手术直播如何控制权限和隐私

手术直播涉及患者隐私、医护人员信息和医疗过程资料，不能按普通活动直播处理。直播范围、观看对象、画面内容、音频内容、录像调阅和访问日志，都应在医院制度下明确，再由系统功能落实。下面按“谁能看、在哪看、看什么、录后怎么管、出了问题怎么查”五个方面说明。

一、谁能看：按角色授权，而不是发链接

观看对象可能是院内规培医生、示教室学员、远程手术示教中的院外专家、学术会议参会人员或合作医院团队。公开范围越大，审批要求越高。权限控制的第一步，是让每位观看者都以自己的账号进入，而不是依赖一个可以随意转发的公开链接。

术眺手术示教采用按角色授权的模型：一个账号属于一个科室、持有一个角色，权限只在角色上定义，视频入口、示教范围与管理权限分别授予。角色权限一经变更，该角色下的在线会话立即失效。系统内置系统管理员、安全管理员、安全审计员三个职责分离角色，临床业务角色由医院按实际情况调整。登录安全策略可配置空闲超时、失败次数上限与锁定时长，新建账号首次登录强制修改口令。

发布与观看的权限也分开：开启与结束示教的权限属于手术室端，接收端只能观看、切换布局、控制云台与参与标绘。

二、在哪看：院内闭环，外网受控

院内观摩与教学走院内网络，由中心机房的平台服务端承载，媒体数据不出院。需要院外专家或合作医院参与时，经安全边界设备走外网，由第三方通用实时音视频服务平台承载。两条链路按场景分工，不相互替代。

设备侧同样有准入：示教室接收终端、手术室终端等客户端以房间编号加客户端唯一标识认证，由管理员在后台确认绑定，未经确认的客户端不能接入；更换客户端须先解绑，解绑即吊销其全部会话。浏览器与客户端只访问统一的加密入口，各服务组件不直接暴露于院内网络。

三、看什么：控制画面和声音

直播画面应避免患者姓名、住院号、检查单、无关人员和非授权区域进入镜头。全景摄像机的画面范围要经院方确认，常用视角保存为预置位，避免临时调整时拍到不该拍的区域。患者信息在各端的呈现范围与脱敏规则，在深化设计阶段与医院共同确定。

术中音频也可能包含病情讨论和个人信息。以主刀讲解为主的场合，可用无线头戴耳麦近场拾音，减少把手术间内其他对话带入直播；操作人员可逐路调节音量。

四、录后怎么管：回看、导出与保存

是否录制、谁能回看、是否允许导出、保存多久，都应由医院确认。录像进入平台后先归入待归属队列，由具备治理权限的账号人工分配归属科室，完成归属后才进入科室可见范围；排班与手麻数据带来的科室信息只作展示，不自动决定录像的可见范围。

录像访问采用短期签名地址：回放、缩略图与导出地址带有效期与签名，过期即失效。导出行为逐次留痕，可按角色限制。保存期限按法规、病历管理制度及医院要求配置，删除经回收站进行。

五、出了问题怎么查：三类操作审计

审计分三类：用户操作审计记录登录登出、账号与角色变更、权限调整；录像操作审计记录归属分配、推荐、回放、导出、删除与恢复；设备操作审计记录客户端绑定解绑与连接状态变化。每条记录携带操作发生时的快照，包括操作者、角色与科室、操作对象、结果与客户端地址，不随后续的人员变动而改变。

六、制度与流程不能缺

系统功能只是基础，制度要跟上：对外学术直播由医院按伦理审查流程确认授权范围；涉及患者画面与声音的，按医院制度完成告知和授权。上线前，由信息科牵头，会同手术室护士长与教学管理部门完成一轮权限走查，用每个角色的真实账号逐项验证功能可见性与数据范围，确认无越权后再投入使用。

系统按网络安全等级保护制度设计，并配合医院完成定级备案与测评，最终等级以定级结果为准。

首视观察

手术直播权限控制的底线，是把观看人、观看地点、观看内容和录像去向管住，并且事后查得到。首视在交付时会协助医院完成角色划分与权限走查，详见手术示教解决方案页与手术转播服务页。