“服务器到不了货”——一次差点搞砸的系统部署,及实施团队的极限应变

“服务器还没到?”

信息科李主任的声音,让项目经理小张头皮发麻。

距离V4.0系统在XX医院正式上线,还有10天。

部署清单上,第一批要进场的设备:

– 数据库服务器 2台(高端,双路CPU)

– 应用服务器 3台(中端)

– 存储设备 1台(全闪存阵列)

– 网络交换机 1台

这些都还没到货。

供应商说:因为芯片短缺,交货期延迟三周。

“有没有替代方案?”李主任问。

“暂时没有。”小张硬着头皮说。原计划是全新硬件,软硬一体方案。

李主任摔了电话。

1. 部署方案被颠覆:从”搭新房子”变成”旧房改造”

小张连夜找周总商量。

周总也急了:”我们是软硬件一体方案,服务器都是定制配置,换其他品牌不行吗?”

“客户已经指定品牌了,合同里写了’原厂设备’。”

“那能不能先用云服务器过渡?”

“医院不允许数据上云,安全合规过不了。”

两人面面相觑。

原计划:

“`
新硬件到货 → 上架 → 装系统 → 装软件 → 测试 → 数据迁移 → 上线
“`

现在,第一步就卡住了。

周总说:”别慌,我们还有B计划。”

“什么B计划?”

“用现有设备升级——把V3.0的老服务器,扩容后跑V4.0。”

小张眼睛一亮。

但随即又摇头:”老服务器是五年前的配置,跑V4.0会不会太慢?而且,V3.0还在跑,不能停。”

“那就做虚拟化——老物理机上架虚拟化平台,再开虚拟机跑V4.0。”

“有风险…”

“但有总比没有强。”

2. 从”新建数据中心”到”旧房改造”:风险的维度

方案变了。

原来的”新建数据中心”变成”旧房改造”。

小张带着团队,做了三天的技术评估,结论是:

可以运行,但有风险:

1. 老硬件性能不足(CPU是五年前的E5-2620,V4.0推荐配置是E5-2680),V4.0是微服务,组件多,资源消耗大,预计性能打七折

2. V3.0还在跑,不能停机,迁移时要”热迁”或双跑——两个系统同时运行,隔离要求高

3. 老系统的数据迁移复杂,新旧系统数据结构差异大(V4.0重构了数据模型)

4. 老硬件稳定性堪忧(硬盘用了五年,有免保期,但随时可能坏),万一上线后崩了…

小张的评估报告里写:

> 建议:如果两周内新硬件到不了,再考虑此方案。否则建议延期。

但两周后新硬件也到不了——全球芯片短缺至少持续三个月。

周总拍板:”干。”

3. 部署前,我们做了”预演”:仿真环境的生死测试

小张知道,这次部署,无路可退。

他做了一件 normally 不会做的事:在全仿真环境,完整演练一遍部署流程

仿真环境,是用VMware搭的,配置尽量接近生产环境(虽然实际生产是老硬件)。

演练的内容:

1. 硬件上架(模拟)

2. 安装虚拟化平台(VMware ESXi 6.7)

3. 创建虚拟机网络(隔离V3.0和V4.0)

4. 部署V4.0所有微服务(18个)

5. 数据迁移(从V3.0到V4.0)

6. 验证业务功能

7. 切换流量

演练了三遍,发现一堆问题:

问题1:虚拟机网络配置错误

– V3.0和V4.0的虚拟网络,应该完全隔离(不同VLAN,无路由)

– 但配置时,有一个vSwitch连错了,导致两个虚拟网络互通

– 如果真这么部署,V4.0流量会冲击V3.0,导致老系统崩溃

问题2:数据迁移脚本性能不足

– 测试数据只有1/10(80万 vs 800万)

– 迁移100万条记录要30分钟

– 生产环境有800万条,要4小时

– 但业务窗口只有2小时(深夜到凌晨)

– 需要优化

问题3:回滚方案缺失

– 如果迁移一半失败,怎么回滚?

– 不能简单删V4.0数据库,因为V3.0还在跑,数据可能不一致

– 要有”双向数据同步”机制——迁移失败后,能回到V3.0状态

问题太多,小张头皮发麻。

第三遍演练,加了回滚。

4. 真正的部署日:如履薄冰的72小时

部署日,周五晚上。

小张带着四个工程师, arrive 信息科机房。

李主任也在,盯着看。

第一步:物理检查。

– 确认老服务器状态正常(5年没关机,但昨天剛做了硬件诊断,OK)

– 确认网络连通

– 确认UPS供电正常(电压稳定)

第二步:安装虚拟化平台。

– 在每台服务器上装ESXi(旧版本)

– 配置vCenter统一管理

– 创建资源池:一半给V3.0(不能动),一半给V4.0(新建)

– 这一步花了两个小时。服务器老旧,安装速度比预期慢。

第三步:网络隔离。

– 创建两个vSwitch,一个连V3.0虚拟机,一个连V4.0虚拟机

– 两个vSwitch之间不通,防火墙策略确认

发现:有一个端口组配置错了,导致V4.0的某个管理网卡能ping通V3.0——危险,修正。

第四步:部署V4.0微服务。

– 有20多个微服务,每个都要部署、配置、启动

– 用Ansible自动化部署,但老服务器性能差,Ansible执行慢

– 遇到一个服务启动失败:MySQL连接超时。因为数据库还没迁完,但应用已经起来在连数据库。

“能不能调整启动顺序,先起数据库,后起应用?”工程师问。

“调整,数据库服务设为’启动后30秒再启动应用’。”

第五步:数据迁移。

这是最关键、风险最大的一步。

开始迁移。

前两个模块(用户、权限)顺利。

第三个模块(门诊挂号),出现数据冲突:

– V3.0有一个挂号记录,患者ID为12345,就诊ID为abc

– V4.0里,患者ID变了(新的患者表主键重新生成,使用UUID),但V3.0数据里还是老ID(自增整数)

– 迁移时,映射关系找不到

“停。”小张喊。

问题出在”患者ID映射表”——这个表在迁移过程中生成,但因为某个中间步骤数据量大(800万条),内存不足,没生成全。

部分患者,在新库里的ID映射丢失了。

“现场生成映射。”小吴说。

他写了一个脚本,根据姓名、身份证号、就诊日期,去V3.0里查,生成映射关系。

又花了40分钟。

此时已是凌晨四点。

5. 凌晨五点的抉择:强行”双跑”

迁移到早上五点,进度85%。

还剩核心模块:医嘱、住院登记、收费。

但时间只剩一小时了——七点门诊要开始。

小吴说:”来不及了。”

小张知道,来不及了。

他做了个冒险的决定:强行切换,不迁完

“把医嘱、住院、收费模块的迁移,放到上线后做渐进式迁移。”

意思是:上线时,这几个模块用V3.0的数据,但V4.0的服务也起来,V3.0和V4.0并行运行,V4.0慢慢接数据。

这是个”双跑”方案,风险高,但没别的选择。

他给李主任打电话:”李主任,我们方案有变。核心模块不能一次性迁完,要分两天。但门诊可以先开V4.0,不影响。”

李主任语气很冲:”你敢在上线日不迁完?”

“迁不完硬迁,数据错了更麻烦。”小张说,”双跑是唯一选择。”

李主任沉默几秒:”出问题你负责。”

七点,门诊开始。

小张紧张地盯着监控。

挂号正常(V4.0)、医生开医嘱正常(V3.0)、护士执行正常(V3.0)——V3.0和V4.0在共存。

“这也能行?”李主任惊了。

“临时方案,风险是数据不一致。但至少门诊没堵。”

6. 上线后48小时:在”拆炸弹”

小张知道,双跑方案是把达摩克利斯之剑悬在头上。

V3.0和V4.0的数据,必须尽快合并,不能长期双跑。

但合并不简单:有些数据在V4.0产生(如挂号),有些在V3.0产生(如医嘱),要保证合并后不丢、不错。

小张团队用了48小时,做”渐进式整合”:

– 第一天,把V4.0已经有的数据,合并回V3.0(作为备份)

– 第二天,所有新产生的业务,强制使用V4.0,V3.0只读

– 第三天,停V3.0,全部切到V4.0

每一步都有验证。

周一早上,全部完成。

系统终于”单飞”了。

李主任问小张:”这次部署,虽然惊险,但最后成功了。关键是什么?”

7. 小张的复盘:没有完美的计划,但有充分的预案

小张说:”没有完美的计划,但有充分的预案。”

– 我们有B计划(旧硬件升级),不然第一天就卡死

– 我们有仿真演练,不然网络配置会错

– 我们有回滚预案,不然迁移一半失败就完了

– 我们有”双跑”应急方案,不然上线日就崩了

“但最关键的,是敢于’不完美’上线。”

“什么意思?”

“我们原计划是100%数据迁完再切换。但时间不允许,我们选择了85%+双跑方案。”

“虽然不完美,但业务没受影响——门诊能挂号,医生能开医嘱,药房能发药。”

“如果死磕100%完美,可能拖到下午才能上线,影响更大。”

有时候,接受”可用但不完美”,比追求”完美但不可用”,更重要。

8. 周总的总结:系统稳定性是”冗余”堆出来的

老周后来总结这次部署:

– 硬件不靠谱(老服务器),就用软件方案补(虚拟化、双跑)

– 时间不够(10天),就用策略补(分阶段上线)

– 数据不一致风险,就用验证补(每步验证)

– 人员紧张,就用预案补(演练)

(“系统稳定性,不是’设计出来’的,是’冗余出来的”)

冗余不仅是硬件冗余,更是方案冗余、时间冗余、人力冗余。

没有B计划的部署,是赌博。

有B计划,哪怕B计划看起来不完美,也能保底。

9. 这次部署的”五个教训”

老周把这次经历写成案例,给公司所有实施人员培训:

教训一:永远要有B计划

– 硬件不靠谱,怎么办?

– 时间不够,怎么办?

– 人员生病,怎么办?

教训二:仿真演练不能省

– 这次发现的问题,如果在生产环境才发现,就是灾难

– 演练不是”走过场”,是”找问题”

– 演练一遍不够,要演练三遍

教训三:接受”不完美”的上线

– 不是所有功能一次搞定

– 分阶段上线,保证核心业务先跑

– “可用”优先于”完美”

教训四:回滚方案必须提前测试

– 不能光有计划,要演练回滚

– 回滚失败比不迁更糟

教训五:客户沟通要透明

– 小张一开始没告诉李主任”85%方案”,差点被骂

– 后来说明了,李主任理解了

– 透明能降低客户焦虑

10. 给所有实施人员的建议:预案做到极致

最后,老周说:

“实施工作,本质上是在’不确定性中寻找确定性’。”

– 时间不确定(会不会延迟?)

– 资源不确定(人手够不够?)

– 客户态度不确定(验收会不会卡?)

– 环境不确定(网络通不通?)

我们能做的,就是把确定性做到极致

– 预案做全

– 演练做实

– 沟通做透

– 方案做细

“这次部署,我们准备了一份70页的部署手册,但只用上了20页。那50页是’可能用不上’的预案。”

“但真出事时,那50页,救了我们。”

互动话题

你经历过最惊险的一次系统部署/上线是什么情况?最后是怎么挺过来的?

> 基于真实医院场景改编,人物均为化名


立即免费试用门诊系统https://app.kmhis.com/
International Versionhttps://app.kmhis.com/multi/
了解软佳门诊管理系统详情https://www.kmhis.com/outpatient-management-system.html


扫码预约

手机扫码试用患者预约。请勿输入个人真实信息(点击图片可查看原图)

支持8种语言:简体中文、繁体中文、香港中文、English、藏文、泰文、老挝语、越南语


说真的。这类问题我见过太多了。每次看到医院同事为选型头疼。我就想,要是早点有人把这些经验分享出来就好了。毕竟。选择不对。后面全是麻烦。选择对了。省心省力。还能提升整个机构的运行效率。希望这篇能帮到正在纠结的你。

你如果有具体需求。也可以去 www.kmhis.com 看看。那里有更详细的技术方案和案例。

那个”万能密码”用了三年:一次权限管理的觉醒

“系统出错了!”

信息科李主任刚上班,就接到药房电话。

药房馮主任在电话里嚷:”为什么我登录系统,提示’密码过期’?我昨天还能用!”

李主任心里一沉。

药房系统,用的是全院统一的”管理员账户”——用户名admin_yaofang,密码是Yaofang@2023

这个密码一年前就该过期了,但冯主任一直没改。不是他不想改,是改了之后,药房十几台电脑都要手动更新密码,很麻烦。

而且,这套密码,从2023年用到现在,从来没出过问题。

但今天,突然提示密码过期。

李主任查了一下密码策略:密码有效期是180天。Yaofang@2023是2023年10月设置的,到今天已经超过500天了。

奇怪,为什么系统突然开始强制改密码?

他打开密码策略配置——有效期还是180天,但”密码历史记录”被改成了”记住5次”。而且,”密码必须复杂性”被开启。

“有人动过密码策略。”李主任说。

他查变更日志,发现是上周安全加固时,小吴改的。

小吴来了,解释:”我发现全院所有科室的管理员密码,都是’科室名@年份’,太简单了。我就把策略调严了:必须大小写字母+数字+符号,8位以上,180天过期,不能重复使用。”

“但药房不知道啊,”李主任说,”他们没收到通知。”

“系统登录的时候会提示。”

“但提示了为什么不改?冯主任说,他点了’确定’,登录还是失败。”

小吴查了一下:”哦,新密码策略要求密码不能包含用户名。冯主任如果设成’Yaofang@2024’,就包含了’Yaofang’,不符合策略,所以设失败。”

李主任明白了:这是一个典型的”好心办坏事”——安全策略变严了,但用户不知道怎么设置合格的新密码,导致集体被锁。

1. “万能密码”的发现

但这件事,只是冰山一角。

当天下午,老周来信息科做客,李主任跟他抱怨:”我们这权限管理,一团糟。”

老周问有多乱。

李主任打开用户管理后台,给老周看:

发现一:存在”万能账户”

– 有个用户叫admin_backup,密码是Admin@123456

– 这个账户的权限是”超级管理员”,但没人知道是谁创建的

– 最后一次登录是半年前,但账户状态是”启用”

李主任说:”这个账户是V2.0时代留下的,那时开发商留的后门。V3.0迁移时忘了删。”

发现二:科室共用账户严重

– 药房:admin_yaofang(5人知道密码)

– 住院处:admin_zhuyuan(3人知道密码)

– 财务科:admin_caiwu(4人知道密码)

– 检验科:admin_jianyan(2人知道密码)

密码都是”科室名@年份”,而且五年没改过。

“为什么这么乱?”

“因为一旦改密码,所有科室电脑都要同步更新,很麻烦。而且我们系统没有单点登录,每个科室都要独立账户。”李主任说。

发现三:权限虚高

– 门诊挂号岗的账户,有”删除挂号记录”权限

– 护士站的账户,有”修改药品价格”权限

– 医嘱开立岗的账户,有”删除医嘱”权限

“这些高权限,是出厂设置,我们没细调。”

老周看着后台,摇头:”这就像一个家,钥匙分给所有邻居,而且钥匙上贴着’万能’两个字。”

2. 老周的建议:三管齐下

老周给李主任提了三个建议:

1. 清理账户,最小权限原则

– 删除所有未使用的账户(尤其是admin_backup

– 所有账户按角色分配权限:挂号员只能挂号,收费员只能收费,护士只能执行医嘱

– 每个角色,只给”必须”的权限,不给的权限,一个都不要给

2. 推广单点登录(SSO)

– 医院职工用一个账号(工号)登录所有系统

– 密码只需改一次,所有系统同步更新

– 极大减少”共用账户”现象

3. 建立账户生命周期管理

– 新员工入职,自动创建账户

– 员工调岗,自动调整权限

– 员工离职,24小时内禁用账户

– 定期(每季度)审计所有账户,清理僵尸账户

3. 实施中的”人性化”难题

但实施起来,困难重重。

第一关:清理”admin_yaofang”这类共用账户

李主任在信息科会上提出:药房今后不再使用admin_yaofang,改为每人一个独立账户。

冯主任当场反对:”我们药房十几个人,每人一个账号,那密码怎么管理?出问题谁负责?”

“你们现在共用一个密码,出了问题谁负责?”李主任反问。

“现在也没出问题啊。”

“刚才的密码过期事件,不就是问题吗?”

冯主任不说话了。

李主任提出妥协方案:

– 先为药房所有在职人员创建独立账户

– 保留admin_yaofang账户,但降权为”只读”

– 过渡期一个月,期间两种账号都可以登录,但鼓励用个人账号

– 一个月后,禁用admin_yaofang

冯主任勉强同意。

但执行时,很多人不配合——”用哪个账号不是用?为什么非要改?”

李主任只有硬着头皮,一家家科室去沟通,解释安全风险。

第二关:角色权限细化

老周带着实施团队,开始梳理所有岗位的权限。

工作量巨大:医院有五十多个岗位,每个岗位有上百个操作权限。他们要做的,是为每个岗位,设计”最小必要权限集”。

比如”挂号员”:

– ✅ 能创建门诊挂号记录

– ✅ 能查询患者历史就诊

– ✅ 能退号

– ❌ 不能修改挂号费(财务的事)

– ❌ 不能删除挂号记录(数据安全)

– ❌ 不能开医嘱(业务隔离)

但细化后,业务部门又有意见:

“我们有时候需要帮病人改个联系方式,为什么不能’修改患者信息’?”

“我们偶尔要退号,为什么’删除挂号记录’不行?”

老周的解释是:权限分配,不是按”当前需求”,而是按”职责边界”

如果挂号员需要频繁改患者信息,那应该增加一个”患者信息维护岗”,而不是给挂号员这个权限。否则,每个人都是全能,出了事谁的责任?

但医院觉得这样太”死板”,影响效率。

老周让步:增设一个”高级挂号员”角色,权限比普通挂号员多几条(如修改患者联系方式),申请这个角色需要科室主任批准。

4. SSO上线后,各部门”不习惯了”

三个月后,单点登录系统上线。

所有科室,终于只有一个账号、一个密码。

理论上,密码安全度提高了——统一密码策略要求:12位,大小写+数字+符号,90天过期,不能和历史密码重复。

但实施后,负面反馈来了:

“密码太复杂了,记不住!”

“三个月就过期,太频繁了!”

“我手机不能记密码,每次都要问同事!”

冯主任更是直接找到李主任:”药房现在有两个人同时操作一台电脑,一个人输入密码登录,另一个人就用同一个账号继续操作。这跟以前共用账户有什么区别?”

李主任哑口无言。

这是”安全”与”便利”的永恒矛盾。

5. 老周的平衡之道

老周听完李主任的抱怨,说:”我们是不是把目标定错了?”

“什么目标?”

“我们以为目标是’安全’,其实目标应该是‘可控的安全’。”

“什么意思?”

“绝对的安全,会带来绝对的不便。比如每个操作都要二次验证,那业务就不用做了。安全措施,必须考虑用户的接受度。”

老周调整了策略:

1. 密码策略适度放松

– 长度从12位改为10位

– 复杂度要求保留,但增加”密码短语”支持(允许用句子,如”IloveHIS2024!”)

– 过期时间从90天延长到180天

2. 增加”二次认证”选择性

– 对于普通操作,只用密码

– 对于高危操作(删除、修改价格、批量导出),强制手机验证码

– 这样,日常使用不受影响,高危操作有保护

3. 推广”扫码登录”

– 每个科室电脑,贴一个二维码

– 职工用自己的手机扫码,免密登录

– 手机有生物识别(指纹/面容),安全和便利兼顾

4. 定期安全培训

– 教职工识别钓鱼邮件

– 教育密码管理常识(不要写在便签上)

– 通报安全事件案例

6. 一年后的变化

一年后,李主任再次盘点权限管理:

– 共用账户:从原来的12个,减少到2个(特殊场景,已申请保留)

– 个人账户:全院95%职工有独立账户

– 僵尸账户:清理了37个(离职未禁用)

– 权限事故:0次

– 密码相关求助电话:从每月20+次,降到2-3次

冯主任现在也适应了:”用扫码登录,确实方便。而且密码一年才改一次,能接受。”

老周来检查时,李主任说:”我现在觉得,权限管理不是’技术活’,是’管理学活’。你不仅要懂技术,还要懂人心。”

“怎么讲?”

“技术方案再完美,如果用户不接受,就是废纸。你不能指望医院人员都有IT专业素养。你必须把安全措施,做得像呼吸一样自然——用户甚至感觉不到’我在遵守安全规则’,这才是成功的。”

7. “最小权限”不是”最小信任”

李主任后来在一次省内HIS安全交流会上,分享了他的心得:

“很多领导觉得,权限管理是’防着自己人’。其实不是。

‘明确责任边界’

当每个人只有自己的权限,干了什么操作都能追溯到人,出了问题,就知道是谁的责任。

反过来,如果大家用的是同一个账户,出了事,互相甩锅,查不清。

所以,最小权限原则,表面上是限制,实际上是保护——保护了守规矩的人,也约束了不守规矩的人。

而且,给了每个人独立的账户,是对他们的尊重——’你是独立的个体,有你的职责和权限’。

共用账户,意味着’你只是系统的一个使用者,没有身份’。

这是两回事。”

互动话题

你们单位的账号密码管理是什么情况?有没有”万能密码”?

> 基于真实医院场景改编,人物均为化名


立即免费试用门诊系统https://app.kmhis.com/
International Versionhttps://app.kmhis.com/multi/
了解软佳门诊管理系统详情https://www.kmhis.com/outpatient-management-system.html


扫码预约

手机扫码试用患者预约。请勿输入个人真实信息(点击图片可查看原图)

支持8种语言:简体中文、繁体中文、香港中文、English、藏文、泰文、老挝语、越南语


说真的。这类问题我见过太多了。每次看到医院同事为选型头疼。我就想,要是早点有人把这些经验分享出来就好了。毕竟。选择不对。后面全是麻烦。选择对了。省心省力。还能提升整个机构的运行效率。希望这篇能帮到正在纠结的你。

你如果有具体需求。也可以去 www.kmhis.com 看看。那里有更详细的技术方案和案例。

两千张表,三百万病人:一场没有”撤销”按钮的迁移

“如果现在停止迁移,数据会不一致,永远回不去了。”

凌晨两点,XX医院数据中心。老周盯着屏幕上的进度条,手在发抖。

迁移进度:87%。

总数据量:2.3 TB。

Tables 数量:2176张。

涉及的核心业务:三百万病人的历史病历、五年门诊记录、三年住院档案。

如果失败,后果不堪设想。

但迁移已经开始,没有”撤销”按钮。

1. 为什么这个迁移这么难?

这次迁移,不是简单的”升版本”,而是从旧架构V3.0,迁移到新架构V4.0

两个架构的区别:

– V3.0是单体数据库,所有业务数据在一张库

– V4.0是微服务架构,业务数据分库分表:门诊库、住院库、药房库、财务库、病历库…

以前的迁移,只需要在同一个数据库里改表结构,数据不动——这次,要把数据从”一张大饼”拆成”五块小饼”,还要保证每块小饼都能重新拼回原来的样子(如果失败回滚)。

难点:

1. 数据拆分逻辑复杂:比如门诊缴费记录,原来在payment表里,现在要拆成paymentheader(支付头)和paymentitems(支付明细);还要关联到outpatient_visit(门诊就诊)表。拆分规则涉及六张表。

2. 历史数据质量堪忧:三年积累的数据,有很多”脏数据”——重复记录、缺失字段、编码错误(比如性别填了”未知”),这些在V3.0时代都容忍了,但V4.0的schema有严格约束,脏数据会导入失败。

3. 没有”试错”机会:迁移窗口只有两天(五一假期门诊量少)。两次迁移机会——第一次失败,第二次必须在12小时内完成,否则影响初二开诊。如果两次都失败,就只好延期,等着杨院长问责。

老周带人准备了三个月:

– 写迁移工具(自己开发的data-migrator

– 清洗脏数据脚本

– 回滚方案

– 全量演练三次,每次都发现问题,每次都改,第三次演练才成功

但演练再成功,也不是真迁移。

2. 迁移开始后,第一个坑:脏数据

晚上八点,迁移开始。

前两个小时顺利:系统库、用户表、权限表…都是一马平川。

十点,开始迁移核心业务数据。

payment表开始迁移,1%…2%…

突然,报错。

“`
ERROR: Violation of NOT NULL constraint: column ‘patient_id’ cannot be null
“`

日志里指明,有一条记录的patient_id是NULL。

这是脏数据。

老周让小吴排查:SELECT COUNT(*) FROM payment WHERE patient_id IS NULL

结果:73条。

这些记录,都是V3.0时代的老数据,可能是创建记录时系统bug,patient_id没填。

小吴说:”跳过这73条吧,不影响整体。”

“不行。”老周说,”如果跳过,对账的时候会发现门诊对不上。而且,如果这73条都是大额缴费,财务损失谁负责?”

他们做了个决定:现场清洗

写了一条UPDATE语句,试图从其他表关联补全patientid。但关联发现,这73条记录对应的visitid也缺失,无法追溯到具体是哪次就诊。

死循环。

“只能手工造一个patient_id了。”小吴说,”造一个虚拟患者,把这73条付款挂到他名下。等迁移完成,我们在新系统里加一个’未知患者’账户,把这些数据放进去,后续再处理。”

老周犹豫。虚拟数据虽然能过关,但数据准确性打了折扣。

“有没有其他办法?”

“或者,我们暂停迁移,先回滚,把脏数据彻底清理完再迁?”

回滚意味着放弃这次窗口,五一假期只剩一天了,不够。

时间不等人。

老周咬了咬牙:”现场清洗——把有问题的数据,标上’待处理’标签,迁过去后我们在新系统里专门建一个’脏数据沙箱’,隔离存放。”

这是妥协,但迁移不能停。

3. 第二个坑:数据不一致

凌晨一点,进度到63%。

小吴发现一个问题:visitdate字段,在V3.0里是datetime类型,V4.0里拆分成visitdate(日期)和visit_time(时间)。迁移工具把小吴写得有bug:在拆分日期和时间时,时区处理错了。

V3.0存储的是本地时间(东八区),迁移工具当成UTC时间处理,减了8小时。

结果:所有就诊时间的visit_time,都比实际时间晚8小时。

比如一次早上8点的就诊,迁过去后变成了凌晨0点。

“天呐…”小吴脸白了。

老周也傻了。

这不是小问题。时间错误,会影响排班、统计、甚至医保结算(医保要求精确到小时)。

“修复这个bug,但已经迁过去的数据怎么处理?”

更可怕的是:已经迁了63%的数据,现在发现一个重大bug,是继续迁(错上加错),还是回滚?

继续,所有数据都错,无法挽回。

回滚,63%的数据要清理,重新迁,时间不够。

老周深吸一口气:”调出这个bug的影响范围数据。我们现场修复——迁过去的63%,我们另写一个’修正脚本’,把时间加8小时。”

小吴心算了一下:数据量800万条,修正脚本跑一遍要2小时。

“时间够吗?”

“不够也要够。”老周说。

4. “修正脚本”成为赛跑

老周和团队吃了两片咖啡因,开始写修正脚本。

脚本逻辑很简单:

“`sql
UPDATE outpatient_visits
SET visit_time = DATEADD(hour, 8, visit_time)
WHERE visit_time IS NOT NULL
“`

但要跑800万行,必须在2小时内完成,否则夜深了,医院的业务开始恢复,没机会再改。

他们优化:

1. 分批更新,每次10万行,commit 后继续

2. 加索引:在visit_time上建临时索引,加速 update

3. 关掉binlog,减少IO

4. 调大innodbbufferpool_size,确保数据在内存里

脚本跑起来,每分钟更新12万行。

一小时,600万。

凌晨三点,修正完成。

迁移继续。

5. 最后一个坑:外键约束冲突

早上七点,进度97%。

只剩最后一批数据迁移:prescription(处方)表。

报错:

“`
ERROR: Cannot add or update a child row: a foreign key constraint fails (`prescription` constraint `fk_prescription_visit`)
“`

意思是:有一条prescription记录,引用的visitid,在outpatientvisit表里找不到。

脏数据 again。

但这次很奇怪:前96%的数据都关联成功,为什么最后3%会丢?

小吴排查:最后这批数据,是2024年12月31日跨年的那批。那几天系统做了一次数据归档——把半年前的记录移到历史库。

但归档工具可能有bug,把某些visit_id漏了。

“跳过吧,”小吴说,”就几条处方,影响不大。”

“不行。”老周说,”处方是核心业务,漏一条,病用药记录就不全。而且,这是系统性问题的体现——如果这里漏了,其他地方呢?”

他们决定:现场补数据

方法:从旧库(V3.0)里,把这批visit_id对应的记录,手动补出来,再导入新库。

旧库还没关,可以查。

但旧库是生产环境,不能直接操作。他们只能查,不能改。

查询:SELECT * FROM outpatientvisit WHERE visitid IN (xxx, yyy, zzz)

发现这三条visitid对应的记录,已经被归档到outpatientvisit_history表了。

迁移工具没考虑到这种情况——只迁了主表,没迁历史表,导致引用断裂。

小吴把这些历史记录也迁过去,但迁到outpatient_visit主表(违反了业务逻辑,历史记录不应该混在主表里)。

“标记为历史记录。”老周说。

6. 100%完成后,还有验证

早上八点,迁移工具显示:100%。

所有人松了一口气。

但老周没放松:”迁移完成,不算完成;数据验证通过,才算完成。”

他们有一套验证流程:

1. 行数对比:每张表的记录数,新库 vs 旧库,差异率<0.1%

2. 总和校验:对金额、数量等关键字段,做SUM对比,应该相等

3. 样本抽查:随机抽取1000条记录,逐字段对比,应该一致

4. 业务逻辑验证:跑一遍核心业务流程(挂号→开处方→缴费),结果应该一致

前三个通过,第四个出问题。

模拟一次门诊全流程:挂一个号,开三个药,缴费。

在V4.0里,挂号的visitid,和处方的visitid,对不上。

又一轮排查发现:visit表的id字段是自增的,迁移过程中,新库的自增起点没设置对,导致新生成的ID和旧的不一样。但prescription表里的visit_id是直接迁过来的(旧的ID值),而新挂号的ID是新产生的(新的自增值),两者当然对不上。

“这是一个’活数据’问题,不是迁移问题。”小吴说。

老周明白了:迁移只迁了历史数据,但迁移完成后,新产生的数据用的ID和旧数据不连续。这会影响对账、追溯等需要全局ID唯一性的场景。

解决的方案:重置自增ID的起点,让它从旧库的最大ID+1开始。

但问题是:迁移后已经产生了一条新挂号记录(验证用的),ID是1。重置起点后,这条记录的ID会和后面的冲突。

只能删除这条验证数据,重置ID,再重新验证一次。

折腾到中午十二点,全部通过。

7. 事后反思:我们做对了什么?

这次迁移后,老周写了长篇复盘。

他的结论:

1. “现场清洗”是必须的能力

– 不要指望数据100%干净再迁

– 要能在迁移过程中,实时发现脏数据,实时处理(跳过、修正、隔离)

2. 修正脚本应该提前准备好

– 不是所有bug都能在迁移前发现

– 为每一类可能的数据问题,提前写好”修正脚本模板”,迁移时填参数就能跑

3. 验证必须自动化

– 人工抽查不够,要有程序自动跑完整的数据验证流程

– 验证通过率应该>99.99%

4. 要有”回滚点”概念

– 每完成一个业务单元(如门诊库),就做一个”回滚点”

– 后面的阶段失败,可以回滚到这个点,而不是全部重来

5. “迁移”不只是”搬数据”

– 还包括:ID生成策略、自增主键连续性、时间戳时区、字符集转换…

– 任何细节出错,都会导致业务逻辑错误

互动话题

你经历过最复杂的数据迁移是什么?有什么经验教训?

> 基于真实医院场景改编,人物均为化名


立即免费试用门诊系统https://app.kmhis.com/
International Versionhttps://app.kmhis.com/multi/
了解软佳门诊管理系统详情https://www.kmhis.com/outpatient-management-system.html


扫码预约

手机扫码试用患者预约。请勿输入个人真实信息(点击图片可查看原图)

支持8种语言:简体中文、繁体中文、香港中文、English、藏文、泰文、老挝语、越南语


说真的。这类问题我见过太多了。每次看到医院同事为选型头疼。我就想,要是早点有人把这些经验分享出来就好了。毕竟。选择不对。后面全是麻烦。选择对了。省心省力。还能提升整个机构的运行效率。希望这篇能帮到正在纠结的你。

你如果有具体需求。也可以去 www.kmhis.com 看看。那里有更详细的技术方案和案例。

那个投诉我们的医生,后来成了我们的”宣传员”

“我要举报你们!”

电话那头的声音像是要吃人,每一个字都带着怒火,透过听筒冲击着信息科办公室的安静。

信息科李主任刚端起茶杯,还没送到嘴边,就被这一嗓子震得手一抖,温热的茶水全泼在了深色的裤子上。他顾不上擦,趕緊示意值班的小姑娘把电话转到他这里。小姑娘脸色都有点发白,手忙脚乱地按了转接键。

李主任深吸一口气,努力让自己的声音听起来沉稳、专业:”您好,我是XX医院信息科李主任。您遇到什么问题,慢慢跟我说。”

对方沉默了三秒,能听到粗重的呼吸声。语气稍微缓和了一点,但依旧冲冲的:”我是外科的赵医生。你们系统刚才是不是崩了?我开医嘱,点了保存,提示’操作成功’,但护士站查不到!病人家属堵在我办公室门口,质问我为什么不给药、是不是在耽误治疗!你们知道我现在多难看吗?我作为医生,在病人面前一点信誉都没有!”

李主任心里”咯噔”一下,凉了半截。

系统崩了?不应该啊。运维部早上还发了日报,说所有指标正常,系统运行平稳,CPU使用率45%,内存占用62%,一切都在健康范围内。

但他没急着辩解,更没有说”不可能”或”我们系统没问题”——那只会激化矛盾。多年的客诉处理经验告诉他:当一个人在气头上时,任何辩解都会被当成推诿。

“赵医生,您说的这个情况,具體是什么时候发生的?出现了几个医嘱?涉及几个病人?” 李主任的声音很平静,甚至带着关切。

“大约二十分钟前。我开了三个医嘱,两个抗菌素,一个镇痛泵。都是同一个病人,术后镇痛和预防感染。都点了保存,界面显示’操作成功’,绿色对勾。但我刚离开电脑去隔壁手术室准备下一台手术,回来的时候护士站小妹说那些医嘱后台没收到,病人家属一直在走廊里吵,问我为什么药还没用上!你们系统是不是有问题?为什么点了保存却没存进去?”

李主任快速记着笔记:时间点、医嘱数量、病人情况。”您后来重新开过吗?病人用药耽误了吗?”

“开了!我又重新开了一遍,这次特意等到护士站确认收到才离开。但病人家属已经有意见了,觉得我们医生不靠谱,连个医嘱都开不准。你们这种系统如果连基本稳定都做不到,怎么做医疗?我要举报你们!”

1. 先别急着甩锅

李主任放下电话,脸色凝重。他没有丝毫犹豫,立刻打给运维部值班工程师小吴。

“小吴,查一下赵医生刚才操作的时间点,14:40左右,门诊HIS系统的日志。重点关注他的用户ID,看有没有异常请求和响应记录。务必快,病人用药可能受影响。”

五分钟后,小吴回复:”李主任,查到了。那个时间点(14:42-14:44),系统平均响应时间从正常的200毫秒飙升到15秒,但最终请求还是返回了’操作成功’状态码。理论上,医嘱应该写入数据库了。不过,有个疑点:响应超时时间设置的是10秒,但实际等了15秒才返回,说明后端可能还在处理,但前端已经超时断开?”

“那护士站为什么查不到医嘱?”

“可能数据还没同步到护士站缓存。或者…” 小吴停顿了一下,”或者那条医嘱的数据真的没写入数据库。系统在高延迟情况下,前端收到’成功’响应前就超时了,实际上后端处理失败了,但客户端不知道,这是一种’假成功’场景。”

李主任瞬间明白了。这是典型的”假成功”问题——系统响应太慢,客户端等不及HTTP响应完成就显示成功,但后端可能还在处理,甚至处理失败了,数据根本没存进去。

他做了一件让所有人都意外的事:先不追查系统问题,而是确保病人用药安全

他先回电话给赵医生,语气沉稳而诚恳:”赵医生,我们技术团队正在紧急排查,已经定位到疑似’假成功’问题。您先别急,病人用药的问题,是第一位的。我马上联系护理部陈护士长,请她们立刻核实医嘱状态,手动执行缺失的医嘱,确保病人用药不耽误。病人的安全比我们的面子重要。”

然后他立即联系护理部陈护士长,简明扼要说明情况,请护士站马上核对14:40后系统显示”已保存”但护士端查不到的医嘱,并手动补录执行。陈护士长很配合:”明白,我立刻安排护士核查,优先保证病人用药。”

这一步,先解决病人的问题,而不是先追究谁的责任或急于自证清白——这是李主任多年客诉处理总结的第一原则。

2. 真相:一个被遗忘的定时任务

两小时后,问题初步定位。

运维工程师小吴带着根因分析报告来到李主任办公室。他黑了眼圈,但眼神里有一丝如释重负。

“李主任,根本原因找到了。是一个数据库清理定时任务导致的连锁反应。” 小吴打开笔记本,展示了一堆SQL执行日志。

上周,第三方服务商在远程维护时,执行了一个清理历史数据的存储过程。这个存储过程本是V3.0时代用来清理”医嘱状态同步表”三个月前的数据,但配置参数错了——它删除了全部历史数据,而不是仅删除三个月前的。更糟糕的是,删除后重建索引的任务失败了(因为磁盘空间不足且没有告警),导致”医嘱状态同步表”失去了索引,查询从原来的200毫秒飙升至15秒。

“为什么会出现这种情况?”李主任问。

小吴苦笑:”这个定时任务,是V3.0时代留下的,V4.0迁移时本应该删掉,因为新架构用消息队列同步医嘱状态,不再依赖这个表。但没人记得它还在运行。上周服务商清理表空间,可能看到这个表很大,就顺手执行了清理,但不知道它的重要性,也不清楚删除后必须重建索引。” 他顿了顿,”有监控吗?有的。这个表的查询延迟有监控,但告警级别设的是’警告’(延迟超过5秒),而值班员那天同时收到几十条告警,这个就漏过去了。”

李主任沉默了。他意识到,问题不是技术复杂,而是管理疏忽和知识断层。系统里有太多”历史包袱”:废弃的定时任务、没人敢动的老表、模糊的运维交接文档。就像一栋老房子,管线杂乱,没人清楚哪里是总闸、哪里是承重墙。

“这个表现在怎么样了?” 李主任问。

“索引已经重建,查询恢复到了100毫秒内。但我们检查了其他V3.0遗留下来的定时任务,又发现了3个类似的’定时炸弹’。” 小吴说,”有的删除重要日志,有的清理用户会话,还有一个会在每月1号凌晨把’门诊号源表’的历史记录归档到另一个数据库,但那个归档库三年前就下线了。”

李主任感到一阵后怕:如果这次不是赵医生碰巧投诉,问题可能还会隐藏更久,直到下一次大规模数据同步失败,影响更多人。

3. 紧急处理 vs 根本解决

当晚,小吴和团队熬了一个通宵,做了三件事:

1. 紧急修复: 重建索引,优化查询,把同步时间从15秒降到80毫秒。但仅仅快还不够——他们发现,即使查询降到80毫秒,如果前端超时设置为10秒,在极端情况下仍然可能出现”假成功”。于是他们调整了前端HTTP请求的超时时间,从10秒改为30秒,并对高负载时段的慢请求显示”处理中…”的友好提示,避免误导医生。

2. 临时补偿机制: 系统自动检查”假成功”场景。后端日志增加了一个标记字段,如果某个请求的处理时间超过3秒,会被标记为”高风险”。系统定时扫描这些高风险请求,检查它们的最终写入状态。如果发现请求返回了成功但数据实际未写入,自动发起补单操作,并通过短信或企业微信通知操作者(医生或护士)。补单操作是幂等的,不会重复创建数据。这样即使出现假成功,系统也会在几分钟内自动修复,病人不会等待。

3. 根因整改(系统性措施):

彻底清理废弃定时任务: 小吴列出V3.0迁移后所有遗留的定时任务清单,逐一确认是否还需要。最终删除了7个已废弃的任务,保留了23个真正需要的,并更新了配置文档。

所有定时任务必须有执行结果通知: 无论是成功还是失败,执行完成后必须发送通知给运维值班员。失败的任务会立即电话通知值班人员。团队还增加了一个定时任务”健康检查”——每晚8点自动执行一遍所有定时任务,看是否会报错或超时。

关键业务数据同步,启用双写校验: 医嘱状态同步这种关键链路,现在采用”双写校验”:主库写入后,异步同步到从库,然后一个后台进程每隔5秒对比两边数据的一致性。不一致时自动触发修复。这虽然增加了少量开销,但确保了数据可靠。

延长响应时间并优化前端等待体验: 前端团队配合,增加了更细致的加载状态提示,操作中显示”正在处理,请稍候…”而不是无反应;高延迟时给出”系统繁忙,预计需要X秒”的提示,管理用户预期。

工程量不小,但小吴和团队知道:客诉是一次警钟,如果不彻底整改,下次爆发可能更严重,影响更多病人。

4. 事后,赵医生的态度变了

三天后,赵医生主动找到李主任,是在一个工作日的上午。他敲了敲信息科的门,表情有些拘谨。

“上次是我太激动,不好意思。”赵医生说,声音比电话里低了很多,”当时病人家属围着,我心里急,语气不好。但你们系统确实有问题——这是事实,对吧?”

李主任请他坐下,倒了杯茶:”是,我们承认有问题。’假成功’和同步延迟,都是实实在在我们需要解决的缺陷。现在已经修复了,而且加了预防机制。”

“我听护士说,你们还加了’假成功’检测?系统会自动补单?”

“对。” 李主任详细解释了补单机制和双写校验,”以后如果出现超时或写入异常,系统会在后台自动补单,并通知操作者。不会让病人等,也不会让医生重复劳动。”

赵主任沉默了几秒,点点头:”那…我再试试。如果还有问题,我还找你们。”

一周后,系统运行稳定,没有再次出现同类客诉。更让人意外的是,赵医生在一次科室晨会上,主动提到了这次事件:”我说两句关于HIS系统的事。前段时间我投诉了一次,信息科反应很快,两天就定位问题、修复了,还加了自动补单功能。现在系统响应快多了,开医嘱、查结果,基本秒出。软佳这家供应商,还是靠谱的——出问题能及时解决,不推诿。”

在场的好几个医生都听见了。其中一位张医生后来真的遇到一次小问题(打印处方时格式错乱),他没有直接打客服电话抱怨,而是先给信息科发了条企业微信:”李主任,我这边打印处方有个小问题,能帮忙看看吗?”——这就是信任的建立。

李主任后来在内部复盘会上说:”没想到,一个投诉者,变成了我们的支持者。甚至开始为我们说好话。”

原因是什么?

李主任总结了四点:

1. 真诚的态度: 接到投诉后没有辩解,第一时间承认可能存在问题,并承诺调查。

2. 快速的行动: 两小时定位根因,当晚出修复方案,三天内上线补单机制。速度让客户看到诚意。

3. 有效的解决: 不仅修复当前问题,还做了系统性整改(清理废弃任务、增加监控、双写校验)。客户看到的是长效机制,不是临时打补丁。

4. 持续跟进: 一周后主动回访赵医生,询问是否还有问题,展示改进效果。

这四点组合起来,就是信任建立公式

> 真诚的态度 + 快速的行动 + 有效的解决 + 持续跟进 = 从投诉者到支持者的转变

赵医生后来真的成了信息科的”编外监督员”。每次新功能上线前,他会主动提出试用,并组织科室同事一起测;遇到其他科室同事抱怨系统,他会现身说法:”我之前也投诉过,但他们改得快、改得好,你现在用着不挺顺的吗?” 甚至在班子会上,他为信息科说了不少好话,强调”系统有问题是正常的,关键是态度和响应速度”。

有一次,信息科申请一笔预算做硬件升级,院里本来有顾虑,是赵医生在院长办公会上帮着说话:”钱要花在刀刃上。信息科那批人,我了解,做事靠谱,既然他们需要升级,肯定是有必要。” 这笔预算最后顺利批了下来。

李主任感慨:”一次危机,如果处理得当,反而能加深客户关系。我们不追求’不出问题’——那不可能——我们追求的是’出问题后让客户更信任我们’。”

5. 客诉处理的”黄金四步”

李主任后来在信息科内部培训中,总结了客诉处理的四步法:

第一步:先安抚,不辩解

– 客户投诉时,第一反应不是”不是我们的错”

– 而是”我理解您着急,我们立刻查”

– 先让客户情绪降温

第二步:先解决业务,再追技术

– 病人用药不能等,先手动执行医嘱

– 技术问题稳妥解决

– 不要让客户为技术问题买单

第三步:透明沟通,不隐瞒

– 找到根因后,主动告诉客户”是什么问题”

– 不要怕承认错误,坦承比掩盖更容易获得原谅

– 给出具体整改措施和时间表

第四步:行动跟上,不止于道歉

– 道歉是必须的,但光道歉不够

– 必须有具体整改,让客户看到变化

– 后续跟进,确保问题不再犯

6. 一次投诉,换来一个”代言人”

赵医生后来成了信息科的”编外监督员”。

每次新功能上线,他都主动试用,提建议;科室其他同事有问题,他帮着解释;甚至在班子会上,他为信息科说了不少好话。

李主任后来说:”没想到,一个投诉者,变成了我们的支持者。”

原因是什么?

真诚的态度 + 快速的行动 + 有效的解决 = 信任建立

7. 客诉的”价值”:把投诉变成礼物

这次事件后在季度客户大会上,周总(软佳)特意分享了赵医生的案例。他站在台上,语气诚恳:

“很多公司把客诉当成本,能躲就躲。能压就压,能删就删,生怕别人知道。我们把客诉当礼物。为什么?

因为投诉的客户,是还愿意跟你沟通的客户。他遇到问题,第一反应不是换供应商,而是找你——说明他还信任你,还希望你能解决。

真正不投诉的客户呢?沉默的客户,直接换供应商了,连解释的机会都不给你。你连他为什么走都不知道。

所以,我们感谢投诉。每一次投诉,都像一个警报器,告诉你系统哪里病了。如果你听不见这个警报,盲点就越来越大,直到下一次更大的故障。

更重要的是,每一次投诉解决,都是信任加深的机会。客户看到了你响应问题的态度和能力,他会觉得’这家公司靠得住’。赵医生从投诉者变成我们的支持者,就是最好的证明。

我常跟团队说:不要怕投诉,要怕的是没人投诉——那意味着客户已经放弃你了。”

8. 从”被动响应”到”主动预防”:客户成功体系的建立

这次客诉直接推动软佳建立了主动预警机制,从”救火”转向”防火”。

机制核心是三个联动:

1. 系统监控自动检测异常: 当系统响应时间连续5分钟超过3秒,或错误率突增超过1%,自动触发告警。

2. 客户成功经理主动介入: 告警触发后,系统自动给对应的客户成功经理发送企业微信消息,附上异常时间段和可能的受影响功能。客户成功经理不等信息,主动联系客户的对接人:”我们监测到系统在X时段有延迟,您那边是否遇到了操作卡顿?如果有,具体情况是什么?我们正在排查。”

3. 问题闭环反馈: 客户成功经理将客户反馈的问题录入工单,技术团队优先处理。问题解决后,客户成功经理再次联系客户,告知原因和整改措施,并确认是否满意。

这个机制运行后,效果立竿见影:

“主动发现”的问题占比从0%提升到35%:原来所有问题都是客户投诉后才知晓,现在有超过三分之一的问题在客户开口前就被发现并解决。

平均响应时间缩短了40%:因为问题发现得早,影响范围小,修复快。

客户满意度提升: 很多客户反馈:”你们现在比我们还关心系统稳定性,我们还没感觉到有问题,你们就来问了。”

周总在总结时说:”我们不再等投诉,我们主动出击。我们要让客户以为,问题从来不会发生——但实际上,它们发生之前就被消灭了。”

李主任也感受到了这种变化。以前是医院发现问题 -> 打电话投诉 -> 软佳排查 -> 修复,一两天过去了。现在是软佳的CSM提前联系:”李主任,我们监测到昨晚系统有波动,您那边有没有异常?如果有,我们已经在查了。” 这种”倒置”的服务模式,让XX医院对软佳的评价越来越高。

互动话题

在医疗信息化过程中,您是否遇到过印象深刻的客户投诉?当时是如何处理的?结果如何?

如果您是赵医生,第一次投诉后没有获得满意解决,您会怎么做?欢迎分享您的看法和经验。

> 基于真实医院场景改编,人物均为化名


立即免费试用门诊系统https://app.kmhis.com/
International Versionhttps://app.kmhis.com/multi/
了解软佳门诊管理系统详情https://www.kmhis.com/outpatient-management-system.html


扫码预约

手机扫码试用患者预约。请勿输入个人真实信息(点击图片可查看原图)

支持8种语言:简体中文、繁体中文、香港中文、English、藏文、泰文、老挝语、越南语


说真的。这类问题我见过太多了。每次看到医院同事为选型头疼。我就想,要是早点有人把这些经验分享出来就好了。毕竟。选择不对。后面全是麻烦。选择对了。省心省力。还能提升整个机构的运行效率。希望这篇能帮到正在纠结的你。

你如果有具体需求。也可以去 www.kmhis.com 看看。那里有更详细的技术方案和案例。

一个看似不可能的任务:我们在三天内解决了XX医院的”绝症”问题

“你们能不能在三天内解决这个问题?如果不能,我们就换人了。”

会议室里,XX医院信息科李主任的声音很平静,但每个字都像一块石头,砸在我们项目经理小张的心上。窗外的春日阳光斜斜地照进来,照亮了空气中漂浮的尘埃,却照不进会议室里压抑的气氛。空调吹出的冷风扫过每个人的后背,让人不寒而栗。

这是合同签订后的第二个月,我们的HIS系统在XX医院上线测试的第五天。第五天,一个我们从未遇到过的数据同步问题浮出水面——门诊缴费数据无法实时同步到住院系统。简单说,病人在门诊交了费,住院处查不到,导致重复收费、漏收费,护士站怨声载道,财务科王科长已经来投诉三次了。

我们派出的工程师小刘已经熬了三个晚上,问题依旧。他黑着眼圈,头发凌乱,手指在键盘上飞舞,屏幕上的日志滚动如瀑布。测试环境一切都好,一到生产环境就出问题。日志里只有一堆”timeout”和”connection reset”,看不出所以然。

李主任给我们下了最后通牒:”三天,要么解决问题,要么走人。”他的眼神里没有威胁,只有一种深深的疲惫——那是被问题折磨了一个月后的绝望。

1. 表面的技术问题,背后是管理混乱

回公司的路上,车里没人说话。

车窗外的城市灯火璀璨,但车内一片阴沉。我们在技术圈子里摸爬滚打这么多年,什么疑难杂症没见过?数据库死锁、网络分区、应用OOM…但为什么这次被一个简单的数据同步卡住了?

小张盯着窗外飞驰而过的街景,思绪万千。他想起三年前在另一家医院做数据迁移时,也遇到过类似问题,但那次只用了半天就定位了。这次为什么这么难?

小刘突然说:”哥,我总觉得问题不在代码里。”

“那在哪里?”

“在医院网络的防火墙策略。我怀疑他们在应用层做了流量限制,或者中间有某个设备在做SSL拦截。”

小刘是公司最年轻的高级工程师,26岁,话不多,但一针见血。他打开笔记本电脑,快速画出数据流向图:从门诊收费终端,到HIS应用服务器,再到住院数据库,中间经过三道网络设备——防火墙、WAF、负载均衡。

“如果中间有设备做深度包检测,可能会拦截某些SQL语句。”小刘说。

张哥点点头:”但为什么测试环境没问题?”

“因为测试环境没有那三道设备,直接连数据库。”

2. 七台设备,两个未知节点

第二天一早,我们没带电脑,只带了笔记本和笔,直接去了XX医院的网络机房。

机房在住院部地下二层,恒温恒湿,蓝色LED灯闪烁。机房管理员老陈是个四十多岁的中年人,戴着眼镜,表情很冷淡,正在低头修一台交换机。

听说我们要查网络设备,他直摇头:”你们厂商就是喜欢折腾设备。问题是你们的软件有问题。”

“陈师傅,”小刘递上一支红塔山,”我们不急,就想看看贵院的网络拓扑,特别是HIS系统这条链路上有哪些设备。”

老陈犹豫了一下,接过烟:”跟你们说了也没用,这是内部网络结构,涉密。”

“我们签了保密协议。”李主任也来了,掏出协议给他看。

他扫了一眼,终于松口:”好吧,就看看,不能拍照。”

老陈拿出一张A3纸,画了一张拓扑图,用不同颜色的笔标注:

从HIS服务器(位于信息中心机房)到住院收费终端(分布在门诊楼、住院楼各楼层),中间经过七台设备:

1. 核心交换机(华为S7700,位于信息中心)

2. 防火墙(深信服AF-1000,位于信息中心)

3. WAF(Web应用防火墙,自研,位于安全接入区)

4. 负载均衡(F5 BIG-IP,位于应用前端)

5. 路由交换机(思科Catalyst 6500,住院楼核心)

6. 二层交换机(华为S5700,各楼层)

7. 住院收费终端(PC机,运行Windows 10)

问题出在数据从第3台WAF到第4台负载均衡之间。我们的服务调用住院数据库接口,先过WAF做安全检测,再过负载均衡分发到住院应用服务器。

小刘指着WAF和负载均衡之间的连线:”这里,我们要抓包。”

“抓不了。”老陈说,”WAF是省信息中心统一部署的,我们没有管理权限,只有使用权限。抓包要找省里审批。”

“那WAF的策略是谁维护?”

“省信息中心安全科。他们每季度更新一次规则,但从不告诉我们具体规则是什么。”

张哥心里一沉。这意味着我们要联系省里,走流程,申请排查。七天?一个月?都不够。

小刘却笑了:”哥,我有个想法。”

3. 绕开防火墙,但不能绕过规则

小刘的想法是:不直接连接住院数据库,通过门诊数据库做中转

“如果我们把门诊缴费成功的记录,先存到门诊库,然后让医院现有的数据同步工具(他们有个ETL任务,每5分钟同步一次),把数据从门诊库同步到住院库呢?”

张哥摇头:”住院实时缴费怎么办?病人缴费后要马上生成住院预交金,如果同步有延迟,病人没法办理手术。”

“我们可以加一个中间表,记录所有待同步的数据,再写一个监听程序,确保每条缴费记录都同步到住院库。同步失败就重试,重试三次还失败,就人工介入。”

“但如果数据不一致,财务对账会出大问题。”

“我们可以做到99.99%一致。”小刘眼神坚定,”我在之前项目用过类似方案。”

张哥知道,这方案最大的风险在于:这只是一时之计。如果长期这样,数据延迟会导致住院处无法实时掌握病人费用,影响医疗决策。

而且,一旦住院库有问题,门诊库也会被拖累——数据链路变长了,故障点变多了。

“这个方案能撑多久?”

“至少撑到我们拿到省里的WAF策略调整许可。”小刘说,”我打听到,省信息中心下个月要做一次WAF规则优化,我们可以把我们的情况报上去,申请白名单。”

张哥想想,这也是无奈之举。

4. 说服的关键:不是技术,是态度

我们带着方案去见李主任。

这一次,张哥没有带笔记本,而是带了一叠A4纸,上面手绘了数据流对比图:现状(直接连住院库)vs 临时方案(门诊库中转)。

他开门见山:”李主任,我们有两个方案。方案A:继续等省里审批,预计时间1-2个月,期间系统会持续不稳定。方案B:我们先上线一个临时方案,绕过WAF的误拦截,保证业务正常,同时我们去省里协调。”

李主任皱眉:”临时方案会不会影响数据安全?”

“不会。数据仍在医院内网流转,只是多了一步中转。而且,我们会加日志记录,所有数据流动可追溯。”

“那什么时候能彻底解决?”

“如果省里配合,一个月内。如果不配合,我们只能长期用这个方案,但我们会持续优化,确保延迟在3秒内。”

李主任看向网络管理员老陈:”你觉得呢?”

老陈说:”WAF确实是我们控制不了的。我建议先临时方案,同时周总你们去省里跑,我们医院也给省里发个函,说明业务影响。”

5. 72小时不眠不休

接下来的72小时,是我们职业生涯中最漫长的一段。

小刘带人写中转服务,这是一个Java应用,要监听门诊库的binlog,捕获缴费成功事件,然后写入住院库的中间表,再触发住院库的同步。

张哥在医院现场协调:

– 第一天:改造门诊收费模块,增加数据双写(同时写门诊库和中间表)

– 第二天:开发和部署中转服务,与住院系统联调

– 第三天:数据一致性验证,灰度上线

李主任几乎没回家,吃住都在医院,随时决策。

第三天凌晨四点,系统终于上线。

上线前,我们做了三轮压力测试:

– 模拟门诊高峰,1000个并发缴费请求,中转延迟平均1.2秒,最大3秒

– 住院端查询,数据一致率100%

– 故障切换:如果中转服务挂掉,门诊收费仍能正常进行,只是同步暂停,人工补同步

李主任看着测试报告,紧绷的脸终于有了一丝松动:”上线吧。”

6. 事后复盘,我们做对了什么?

一周后,系统运行稳定。

李主任请我们吃饭。酒桌上,他举杯:”说实话,那三天,我没想到你们能搞定。”

“为什么?”

“换别家厂商,遇到我们这种’受制于省里’的情况,早就推脱了。你们没推脱,而是给我们一个临时方案,让我们业务不停摆。”

张哥说:”关键不是技术方案多巧妙,是不放弃。”

李主任点头:”而且你们没把我们当外人——所有的决策,都让我们参与;所有的风险,都提前告诉我们。这种透明,让我们很放心。”

7. 省里协调:一个月后的好消息

与此同时,张哥跑省里的工作也有了进展。

他找到省信息中心安全科的科长,是一个45岁的技术男。张哥没有直接要策略,而是先做了三件事:

1. 准备数据:统计了XX医院过去一个月因WAF拦截导致的业务异常次数(37次),以及影响的患者数量(约5000人次)

2. 提供方案:写了一份详细的白名单申请,只申请对HIS系统的特定接口放行,并附上了安全自评报告

3. 承诺责任:如果因为放行导致安全事件,由软佳承担全部责任

科长被诚意打动,两周后批复:同意对XX医院HIS系统加白名单,为期一年,期满可续。

消息传来,李主任第一时间打电话给张哥:”你们怎么做到的?”

“周总说过:(‘解决问题,要找到问题的根源’)。问题的根源不是WAF,是沟通。”

8. 这次事件,让我们明白的五个道理

第一,技术问题往往是管理问题的表象

如果XX医院自己有WAF策略管理权,问题早就解决了。但因为他们把安全外包给了省里,就失去了主动性。我们作为供应商,只能适应环境,不能改变环境。

第二,临时方案不是妥协,是策略

永久方案需要时间,但业务不能等。临时方案的价值是赢得时间,同时不让客户受损。很多厂商不愿意做临时方案,觉得”不完美”,但客户才不管完美不完美,客户只要能用。

第三,信任建立在”困难时刻”

如果一切顺利,客户看不出供应商的差别。只有在困难时刻,才知道谁靠得住。那72小时,我们所有人都拼了,这种拼劲,客户 seeing 到了。

第四,跨层级协调是能力

我们不仅要解决技术问题,还要学会和省里、和其他部门协调。这种能力,比技术能力更重要。

第五,透明沟通比技术方案更重要

客户不关心你的技术多高深,客户关心的是:问题能不能解决?什么时候解决?过程中有什么风险?把一切都透明化,客户就不会猜疑。

9. 三个月后:系统稳定,客户满意

三个月后,XX医院HIS系统可用率达到99.95%,数据同步延迟平均0.5秒,住院处投诉率为零。

杨院长在一次IT座谈会上说:”我们信息化,最怕两种供应商:一种是技术不行,一种是服务不行。软佳两种都不占。他们技术扎实,服务到位,关键是有担当。”

这次事件,也成了软佳内部的经典案例,被写进新员工培训教材,标题是:《如何在72小时内解决一个看似不可能的问题》。

10. 核心观点:问题的大小,取决于你的态度

小刘后来在一次技术分享会上说:

“很多问题,看起来很大,是因为你把它当成’问题’。

如果你把它当成’任务’,就有思路;

如果你把它当成’机遇’,就有动力;

如果你把它当成’证明自己的机会’,就一定能解决。

(‘态度决定高度,高度决定角度’)

你用什么样的心态面对问题,问题就会以什么样的结果回报你。”

互动话题

你遇到过最棘手的技术问题是什么?是怎么解决的?

> 基于真实医院场景改编,人物均为化名


立即免费试用门诊系统https://app.kmhis.com/
International Versionhttps://app.kmhis.com/multi/
了解软佳门诊管理系统详情https://www.kmhis.com/outpatient-management-system.html


扫码预约

手机扫码试用患者预约。请勿输入个人真实信息(点击图片可查看原图)

支持8种语言:简体中文、繁体中文、香港中文、English、藏文、泰文、老挝语、越南语


说真的。这类问题我见过太多了。每次看到医院同事为选型头疼。我就想,要是早点有人把这些经验分享出来就好了。毕竟。选择不对。后面全是麻烦。选择对了。省心省力。还能提升整个机构的运行效率。希望这篇能帮到正在纠结的你。

你如果有具体需求。也可以去 www.kmhis.com 看看。那里有更详细的技术方案和案例。