数据在系统里，但门该开多大
营养科信息系统上线运行一段时间后，一个在采购阶段很少被充分讨论的问题会浮出水面：系统里的营养数据，哪些科室可以看、看到什么程度、谁有权修改、谁能导出？
这个问题的现实紧迫性比预想中来得更快。医务科要求调取全院营养风险筛查完成率的数据用于月度质控报表；护理部需要查看住院患者的喂养执行记录做护理质量评价；信息科按照网络安全等级保护要求，需要对所有系统的用户权限做合规审计；临床科室希望在电子病历中直接查看营养评估结论，而不必每次打电话到营养科询问。
每一个请求都有自己的合理性。但逐一开放的结果，可能在不知不觉中制造出数据安全和患者隐私保护的缺口。
2024年国家卫健委发布的《医院网络安全与信息安全管理规范》中明确要求，医疗信息系统的用户权限管理应遵循「最小必要原则」——用户只能访问完成本职工作所必需的最少数据。这个原则在HIS系统和电子病历系统中已经运行多年，但在临床营养诊疗系统的落地，却因为营养数据的特殊性而面临独特的挑战。
营养评估数据是一种「跨界」数据。它既是营养科的专科工作记录，又是反映患者整体营养状况的临床信息；既有主观评分（NRS 2002得分、SGA评级），又有客观检验指标（白蛋白、前白蛋白）；既服务于临床治疗决策，又支撑着科室质控管理和等级评审准备。数据的多重属性，决定了它的权限设计不能简单地套用「内科系统看内科数据、外科系统看外科数据」的传统科室边界逻辑。
本文从三个层面拆解这个问题：营养科信息系统中的数据到底涉及哪些共享场景、权限分级管控应该如何设计、以及从制度到系统的落地路径该怎么走。
一、拆解数据共享的四个真实场景
在讨论权限设计之前，需要先搞清楚一个问题：谁需要看营养科的数据，以及为什么要看。
场景一：临床科室会诊与转诊中的数据查阅
这是最频繁、也是最合理的跨科室数据访问需求。一位胃切除术后患者出现喂养不耐受，主管的外科医生希望了解营养科对这位患者的评估结论和当前的营养支持方案。在传统模式下，外科医生需要先联系营养科，请营养师查阅后口头告知——沟通效率低，信息传递还可能失真。
更高效的方式是外科医生在电子病历系统中直接看到营养评估的摘要信息。这需要临床营养诊疗系统与电子病历系统之间的数据共享接口，以及一套明确的「共享字段清单」：哪些评估数据可以开放给临床科室查阅，哪些属于营养科内部工作记录不需要共享。
中国医院协会信息管理专业委员会2025年对82家已上线营养信息系统的医院进行了一项调查，其中实现了营养评估结论向电子病历系统自动推送的医院占58.5%，但推送内容的颗粒度和字段范围差异很大。有的医院只推送「营养评估已完成」这个状态标记，临床科室除了知道「评估做过了」之外看不到任何实质性内容；有的医院则推送了包含评分、诊断、建议方案在内的完整评估报告。
两种做法各有依据。前者更保守，注重数据边界；后者更开放，注重协作效率。两端的平衡点取决于医院对数据共享风险的评估和对协作效率的需求强度。但无论选择哪种策略，关键都在于「有意识的设计」而非「默认全开或全关」。
场景二：护理执行端的喂养数据回传与共享
肠内营养的执行环节在病区，由护士完成输注操作并记录执行数据。这部分数据对营养科评估治疗效果至关重要——患者实际输注了多少、喂养中断了几次、中断原因是什么、有没有出现不耐受症状。但这些数据由护士录入护理系统或移动护理终端，与营养科信息系统分属不同的数据域。
这就产生了一个反向的数据共享需求：护理端的喂养执行数据需要回传到营养科信息系统，营养师才能在查房时看到完整的执行反馈。
2025年浙江省医院协会临床营养管理专业委员会的运行数据显示，在已实现护理执行数据向营养系统回传的医院中，营养师对患者喂养状况的掌握准确度（以查房记录与实际执行数据的匹配率衡量）从回传前的约64%提升至约91%。而在未实现回传的医院中，营养师仍然依赖纸质交接本或口头沟通获取执行信息，信息遗漏率和延迟率明显偏高。
这个场景涉及的权限问题是：护理人员是否需要在营养科信息系统中拥有账号和操作权限？如果需要，她们的权限范围是什么——只允许查看自己所在病区患者的营养处方，还是可以查看全院的？是否可以修改执行记录，还是只能录入？
多数医院的做法是为护理人员创建独立角色（如「病区护士」），权限限定为：查看所管辖病区患者的营养处方和执行任务，录入喂养执行记录和耐受性观察数据，无权查看营养评估的完整报告，无权修改处方参数。角色划分的精细程度，直接决定了数据共享的效率上限和安全下限。
场景三：质控管理与管理报表的数据抽取
医务科和质控办需要定期获取营养科的质量控制指标：营养风险筛查完成率、评估执行率、营养治疗覆盖率、处方审核通过率。这些指标的汇总数据来自临床营养诊疗系统的日常运行记录。
这一场景与场景一和场景二的本质区别在于：质控管理需要的是「统计数据」而非「个体数据」。营养科需要向医院管理层提供的是「本月全院筛查完成率92.3%」这样的聚合指标，而不是「张三的NRS 2002评分是4分」这样的患者级信息。
这个区别在权限设计中非常重要。对于质控管理场景，营养科应该向医务科和院领导开放的是统计看板或报表导出功能，而非原始数据的查询权限。系统应支持按科室、时间范围、指标类型等维度生成汇总统计，同时确保统计数据不可下钻到具体患者。
国家卫健委2024年发布的《医院质量监测系统数据接口规范》中，对临床营养质控指标的上报格式做了标准化规定。规范要求上报的数据为科室级汇总值，不包含患者身份信息。这个原则同样适用于院内质控数据共享——开放汇总指标而非明细数据，既能满足管理需求，又能守住患者隐私的底线。
场景四：科研协作的数据提取与使用授权
营养科与其他临床科室合作开展临床研究时，需要从系统中提取特定患者群体的营养数据用于统计分析。这个场景的权限需求比前三个更复杂，因为涉及数据的「导出」和「院外使用」。
一套规范的数据提取流程应该包含三个环节：科研项目审批（伦理委员会或科研管理部门出具同意函）、数据范围界定（明确需要提取哪些字段、覆盖哪些患者群体、提取的时间范围）、数据脱敏处理（去除患者身份标识信息，保留临床数据）。
在实际操作中，多数医院的营养科信息系统已经具备基础的数据导出功能，但数据脱敏和权限审核的自动化程度普遍较低。2025年中华医学会肠外肠内营养学分会的一项调研发现，在已上线营养信息系统的三级医院中，只有不到30%的医院在系统中配置了专门的科研数据提取模块，其余医院的科研数据提取依赖手工筛选和人工脱敏，流程效率和数据安全性都不够理想。
系统层面可以做的支持包括：预设科研数据提取模板（按病种、时间、评估结果等维度组合筛选），内置脱敏规则（自动去除姓名、住院号、身份证号等身份标识），以及保留完整的数据提取日志以备追溯审计。
二、设计三级权限管控模型
四个场景勾勒出了营养科信息系统数据共享的全景图。要实现这套共享机制的安全运行，需要一个结构化的权限管控模型。基于医疗信息系统的成熟实践和临床营养数据的特殊性，推荐采用三级权限管控架构。
第一级：功能权限——决定「能不能进哪个门」
功能权限解决的是最基本的问题：用户能进入系统的哪些功能模块。营养师进入评估模块完成评估记录，护士进入喂养执行模块录入输注数据，科室主任进入质控看板查看统计指标——每个用户角色对应一组可访问的功能模块列表。
功能权限的配置通常采用基于角色的访问控制（RBAC）模型。系统预设若干标准角色，每个角色关联一组功能权限。常见的角色包括：
- 营养师：可访问筛查查看、评估记录、处方开立、查房记录、会诊管理模块
- 科主任：在营养师权限基础上增加质控看板、科室管理、统计分析模块
- 病区护士：可访问本区患者的处方查看、喂养执行、耐受性记录模块
- 医务/质控：可访问质控数据看板（仅统计级数据，不含患者明细）
- 系统管理员：可访问用户管理、角色配置、日志审计模块
角色设计的原则是「够用即可」，不为任何角色配置超出其工作职责范围的功能权限。系统应支持医院根据自身的科室组织架构和管理模式，对标准角色进行微调，但不应开放角色自定义的「完全自由模式」——那会导致权限配置的混乱。
第二级：数据权限——决定「进门后能看到什么」
功能权限决定了用户能进入哪些模块，数据权限决定用户在模块内能看到哪些数据。这是三级权限中最需要精细设计的一层，也是营养科信息系统区别于其他业务系统的地方。
数据权限的控制维度通常包括三个方面。
科室维度：营养师只能查看自己所负责病区的患者数据。会诊场景下，被邀约的营养师可以临时查看会诊患者的完整数据，会诊结束后权限自动回收。
时间维度：用户默认只能查看在院患者的当前数据。历史数据的查阅需要额外的授权，避免已出院患者的营养数据被非必要访问。
敏感度维度：部分数据字段的查看需要更高等级授权。例如，营养评估中的患者自述信息（如饮食行为、心理状态等）比评分数字更敏感，应设置为仅在营养师角色下可见，不向跨科室共享渠道开放。
中国医院协会信息管理专业委员会2025年的调研数据提供了一个参考：在实现了精细化数据权限管控的医院中，跨科室的数据访问申请量比「全开模式」减少了约37%，但关键业务的协作效率（以会诊响应时间衡量）并未下降。这说明精细化管控过滤掉的是不必要的访问，而非必需的协作需求。
第三级：操作权限——决定「看到了能做什么」
用户看到了数据之后，能不能修改、能不能删除、能不能导出、能不能打印——这些属于操作权限的管控范畴。
操作权限的分级相对标准化。读权限、写权限、删除权限、导出权限、打印权限、授权权限（能否将自身权限授予他人），每上升一级对应更高的数据安全风险。
其中导出权限是最需要谨慎控制的。数据在系统内部流转，安全管控手段相对充分——有访问日志、有操作追溯、有审计监控。但数据一旦被导出到系统外部——下载到个人电脑、通过邮件发送、拷贝到移动存储设备——安全管控的链条就断了。系统应该对每一次导出操作记录完整的操作人、时间、数据范围和导出用途，并设置导出申请的审批流程。
三、从制度到系统的落地路径
权限模型设计好了，不等于数据共享的问题就解决了。从模型到实际运行，中间需要完成从制度建设到系统配置再到日常运维的一系列落地工作。
第一步：梳理数据资产清单，明确每类数据的共享策略
实施权限管控的前提是搞清楚自己手里有哪些数据。营养科信息系统运行过程中积累的数据可以按照敏感度和共享需求分为三个类别。
第一类是可共享数据：营养状态标记（已筛查/已评估/已干预）、评估结论摘要（营养诊断、风险等级）、处方摘要（途径、目标能量蛋白质量）。这类数据可以开放给临床科室在电子病历中查阅。
第二类是受限共享数据：评估详细记录（各维度评分及依据）、执行过程数据（输注记录、耐受性记录）。这类数据在协作场景下可以共享，但需要限定查阅范围和用途。
第三类是内部数据：科室质控分析数据、工作量统计数据、系统操作日志。这类数据主要在科室内部使用，不向其他科室开放。
三类数据的划分应该在系统上线前完成，并在上线后的三个月内根据实际运行情况进行调整。值得注意的是，划分标准不是一成不变的——随着医院对数据价值认知的深化，某些原本划入「内部数据」类别的内容可能会逐步开放为「受限共享数据」。
第二步：将制度规则配置为系统规则
数据共享策略不能停留在制度文件里，必须「编码」到系统的运行规则中。这意味着系统需要支持：
- 角色-权限-数据的关联配置：每个角色对应一组功能权限、一组数据权限范围和一组操作权限层级
- 临时授权机制：支持会诊、跨科室协作等场景下的临时权限授予，设置自动回收时间
- 审批流程引擎：敏感操作（数据导出、批量查询、权限变更）触发审批流程
- 审计日志系统：所有数据访问和操作行为记录可追溯
系统配置的精细度决定了数据共享落地的深度。如果系统只支持「全院可见/科室可见」的二元设置，那么共享策略基本没有落地的空间——要么全开，要么全关。如果系统支持「按角色+按科室+按数据类别」的三维配置，那么共享策略才能被真正转化为系统的日常运行规则。
2025年国家卫健委医院管理研究所发布的《临床营养信息系统功能规范（征求意见稿）》中，已将权限管理的精细化程度列为系统功能评级的重要指标之一，要求具备角色管理、数据权限分级、操作日志审计三项能力。这个规范的正式发布，将推动更多的营养科信息系统供应商在权限管理功能上加大投入。
第三步：建立权限的定期审计与动态调整机制
权限配置不是一次性的静态工作。人员的岗位调整、科室的业务变化、医院的管理要求变更——这些因素都会触发权限的调整需求。
需要建立一套权限审计的制度化安排：
- 新员工入职：由科室负责人提出权限申请，信息科按照标准角色配置
- 岗位变动：员工调岗后，原岗位权限应在48小时内回收，新岗位权限按新角色配置
- 定期审计：每季度对系统全部活跃用户的权限进行一次核对，确认权限与岗位的匹配性
- 异常审查：对审计日志中的异常访问记录进行逐条审查，识别潜在的权限滥用行为
2025年浙江省医院协会临床营养管理专业委员会的运行数据显示，在建立了季度权限审计制度的医院中，年度权限异常事件（包括越权访问、权限未及时回收等）的数量比未建立审计制度的医院减少了约64%。审计制度的效果是显著的，但它需要定期的管理精力投入，而非一次性的系统配置。
第四步：培训与文化建设的配套
数据共享与权限管理不仅是一个技术和制度问题，也是一个文化问题。营养科的数据管理者和使用者都需要建立两个意识。
第一个意识是「数据有边界」。营养师在使用系统时，应当理解和尊重自己的权限范围——不尝试越权查看非管辖病区的患者数据，不将系统账号借给他人使用，不在未经授权的情况下导出患者数据。这些行为规范需要在系统上线培训中明确告知每一位用户，并在系统中通过登录提醒、操作确认等方式持续强化。
第二个意识是「共享有价值」。如果临床科室需要营养评估数据来完成综合诊疗决策，而营养科因为权限设置过于严格导致数据无法传递——这不是数据安全的胜利，而是协作效率的损失。数据共享与数据安全不是对立关系，而是在不同场景下寻求合理平衡的关系。
从制度到系统的落地路径，大约需要3到6个月的时间来完成从梳理到配置再到运行的完整周期。不需要追求一步到位——先搭建框架、然后逐步细化、在运行中发现盲点再补充——这是一个持续推进的过程。
数据共享的终点不是技术实现
回到开篇的问题：营养科的数据该给谁看？
这个问题没有标准答案，因为每家医院的组织架构、管理模式和信息化基础不同，数据共享的范围和深度必然存在差异。但有两条原则是通用的：
第一条，权限设计的目标不是「防住所有人」，而是「让该看的人看到该看的内容，同时让不该看的人看不到不该看的内容」。权限管控不是为了制造围墙，而是为了给每扇门装上合适的锁——有些门需要全开，有些门需要半掩，有些门需要上锁。
第二条，数据共享与数据安全之间的平衡点不是静态的，它随着医院信息化建设的深入和科室间协作模式的成熟而动态变化。上线初期，权限设计可以倾向于保守，随着运行经验的积累和协作信任的建立，逐步放宽共享范围。从紧到松的路径，比从松到紧更可控。
临床营养诊疗系统从科室级工具走向全院级协作平台，数据权限管理是必须跨过的一道门槛。这道门槛跨过去了，营养数据就能在保障安全的前提下，在更广的范围内发挥它的临床价值和管理价值。