· 企业名称

东华软件股份公司

· 企业简介

东华软件股份公司（原北京东华合创数码科技股份有限公司于2009年5月更名）成立于2001年1月， 是深圳证券交易所上市公司。 股票简称“东华软件”，股票代码002065， 注册资金31.4亿元。在北京及全国拥有30余家分支机构，员工规模超过8000人。以应用软件开发、计算机信息系统集成、信息技术服务及网络流控产品为主要业务，拥有300多项自主知识产权的软件产品，是国家规划布局的重点软件企业， 国家火炬计划重点高新技术企业，国内最早通过软件能力成熟度集成（CMMI）5级认证的软件企业之一。连续多年被工业和信息化部评为中国自主软件产品前十家企业。

· 申报项目名称

东华反统方系统

· 项目基本信息

【用户范围】医院

【上市日期】2015年

· 申报项目详情概述

【项目背景】

·应用背景

“统方”是医院对医生用药信息量的统计行为，所谓商业目的“统方”是指医院中个人或单位为医药营销人员提供医生或部门一定时期内临床用药量信息，供其发放药品回扣的行为。作为医药回扣利益链条中的重要环节，非法获取计算机信息系统数据、非法控制医药信息系统的统方行为，既违反了《卫生部八项行业纪录》，也触犯了中华人民共和国刑法，这种行为威胁了卫生行业的正常工作秩序，严重影响了医院及医疗机构的社会形象，损害了人民群众的利益，因此医院急需有效的控制统方的手段，以解决非法统方的问题。

对此，国家卫生计生委印发了《关于加强医疗卫生机构统方管理的规定》，文件明确要求各级卫生行政部门和各类医疗机构加强医院信息系统药品、高值耗材统计功能管理，避免为不正当商业目的统计医师个人和临床科室有关药品、高值耗材用量信息。要对医院信息系统中有关药品、高值耗材使用等信息实行专人负责、加密管理，严格“统方”权限和审批程序，未经批准不得“统方”，严禁为商业目的“统方”。

医院信息系统越来越庞大，各业务系统关联性越来越复杂，对核心资料的侵犯手段多种多样，目前医院反统方的手段只局限于依赖员工职业道德并以双密码的用户认证方式进行约束，缺乏技术手段来杜绝医院内的统方行为。

·东华反统方系统解决方案

东华反统方系统的系统架构分为数据处理框架和业务展示框架两部分。数据处理框架由系统底层的高效报文捕获模块、应用识别模块、监听报文解析模块、行为数据记录分析模块构成，主要完成底层的数据获取、数据解析、数据存储、数据分析等工作，为业务展示提供数据基础；业务展示框架由数据展现、审计策略、规则库管理、告警策略、实时告警、报表报告、系统管理等功能模块组成，使其对医院HIS系统数据和用户数据库操作行为做综合分析和汇总，并及时告警和定期生成报表。

·实现功能

• 流量的双向审计
• 东华反统方系统的双向审计技术，不仅能够审计从客户端对数据库的查询请求数据，也能审计从服务器返回的查询数据，通过对查询结果的检索、筛查关键字，提高统方判别的精确性。通过双向数据审计也能让医院纪检监察部门人员清楚了解数据的完整内容，记录数据库操作的整个过程，为以后违规人员移交检方提供证据。

• 违规智能告警
• 东华反统方系统使用非关系型数据库存储海量数据后，通过自身的大数据分析技术，结合内置或自定义的统方规则库进行匹配，如果发现统方行为将通过页面、短信、邮件等技术进行告警，使卫生纪检部门在第一时间知晓统方行为。通过登录设备，能够查看到匹配什么规则、告警级别及对结果数据的分类。

• 统方行为追溯
• 在出现统方告警行为后，使用者登录设备，能够通过告警数据对统方行为进行追溯，查看登录用户名、IP地址、MAC地址、执行语句，操作结果等信息。医院纪检监察部门也能够通过纪委页面快速的定位统方告警信息，对行为进行追溯。
• 自动出具报表报告
• 通过东华反统方系统自带的报表报告模块，可为用户自动生成报表报告。报表报告通过自定义，能够实现每天、每周、每月、每年的报表报告。在报表报告中可显示告警的数量，告警的详细内容等信息。

·应用场景

东华反统方系统通过旁路部署的方式独立部署在医院的网络之中。旁路部署方式采用核心交换机上设置端口镜像方法，使反统方系统能够监听到所有用户通过交换机与HIS系统进行通讯的全部操作，这种方式接入基本不会影响链路状态。

在单台设备出现性能瓶颈时，可选择集群模式部署。模式切换过程无需软件升级即可无缝切换。集群模式时只需定义其中一台设备作为反统方server，此设备进行数据处理与数据存储，其他设备做为反统方agent，反统方agent只进行数据处理，并将处理完毕后的数据发送到反统方server中。通过集群模式部署，将流量分摊到各个agent设备中，实现数据高性能处理。

·资质

软件著作权

【项目管理方案】

·技术支持措施

技术支持服务体系

东华软件股份公司是ISO9001：2000质量管理体系认证企业，具有国家信产部“计算机信息系统集成一级资质”，公司遵循ISO9001国际质量认证标准，制定了一整套文件化的质量管理规范，建立了完善的客户服务体系，拥有一支经验丰富、技术精良的售后技术服务队伍，承诺向用户提供全面、有效、及时的技术支持和服务。东华软件股份公司本着“求实为本，至诚至信”的原则，与广大用户建立了广泛的、良好的合作伙伴关系。我们深知，只有客户的成功才有我们的成功。服务就是东华人的产品，而客户满意与否是衡量东华人服务质量的惟一标准。

技术服务涉及本项目的有关方案规划、方案设计、技术咨询、方案实施、设备（软件）安装、系统调试、产品维修、部件更换、定期巡查以及故障排除等，向用户提供的从项目立项--方案设计--项目实施--售后技术支持的一整套技术服务体系。

具体技术支持与服务内容如下:

• 硬件维修
• 软件维护
• 软件升级
• 技术咨询
• 技术支持
• 技术文档

技术支持中心同时提供多种方式的服务，包括:

• 提供7*24小时服务热线。
• 远程登录，快速响应。
• 资深工程师现场支持。

技术支持服务机构

东华软件股份公司具有完善和强大的售后服务体系。服务机构包括七个技术支持中心、十多个备品备件中心和遍及省会城市的办事处：北京总部支持中心和沈阳、南昌、西安、上海、长春、成都、武汉、广州等多个分支技术支持中心以及全国办事处。

·项目实施及风险管理

项目实施步骤

• 前期准备
• 施工方完成现场勘查，与用户方协调确认安装环境负荷安装要求，确认各安装系统相关负责任的联系方式，由项目经理开启项目启动会，明确项目目标及各方职责，设备上线前严格安装各子系统安装涉及计划。
• 设备发货
• 设备统一由库房组织发货，发货前与客户方确认发货地址、收货时间，设备发货前施工方会通知客户方收货人即将发货，并跟踪运输进展，设备发货完成后由客户方核对设备数量，并与施工方共同签署设备到《货签收单》。
• 联调测试
• 系统联调自实施安装上线后持续进行，施工方负责汇客户方的采集需求，并持续对业务、监控链路进行详细的软件配置，确保分析结果不限于单纯的IP地址，而是将IP与业务相关联进行描述和报告。

实施管理制度

• 人员管理
• 项目实施需要明确的组织结构进行协调和沟通，此项目由项目经理统一进行人员实施调配，横向连接前端客户与后台研发，纵向收集实施队伍遇到的问题并反馈销售和监理方去解决，确认实施组长，由实施组长调配实施团队开展具体实施工作，实施过程中的实施经验由项目经理统一汇总，该组织机构在项目实施过程具有决策快、效率高。
• 材料管理
• 为设备单独划分型号，每台设备具备唯一的ID号，在生产和实施环节对ID号进行记录，编号采用DH0000XXXX的格式，漏洞扫描设备独立进行编号记录。设备编号管理对于后期维护具有长期的意义，可以记录设备完整生命周期内的事件。
• 由生产部进行调配，所有硬件配件由固定生产线安装，安装完成统一安装软件，批量进行压力测试，测试通过后包装封箱，压力测试完成后打印标签，设备在库房存储时间较短，即测试通过后即准备发往客户现场。
• 测试管理
• 避免因惯性测试导致的遗漏，将不同角色人组织参与产品测试，采用多级人员分工参与，不同级别的人有不同的测试重点和主要职责，其中又以详细测试环节为主导。

• 首先由项目经理对客户需求按照现有环境进行评估性测试，经过研发接口人评估确定可行性，提交开发人员进行开发，开发过程中伴随着后台基础测试，即初步测试，当功能完善后，提交测试部门由测试部门人员进行详细测试，详细测试是测试环节的重点，在解决产品漏洞的同时，提出了关于许多使用习惯等建议，最后移交给前台出厂测试人员，测试无误后装箱发货，测试过程一直伴随着项目展开，即使是在项目实施阶段我们的实施团队依然能发现一些问题要求研发去改正。
• 测试环节中，除了对系统功能进行测试外，反复的进行了关于系统稳定性和安全性的测试，主要包括高温烤机、频繁掉电、大量采集机监控、多资源下载测试等，这些操作在实际使用中出现的可能性较低，在厂验环节中为了充分了解潜在风险因素，对极端事件进行了多次测试，出厂的设备具备更高的可靠性和风险抵御能力。

·本项目主要风险及应对措施

不同类型的项目有不同类型的风险，安全项目实施的风险同样有其特殊性。本项目实施过程中的主要风险管理措施如下。

项目进度风险

• 在项目的实际实施过程中，并非所有用户对本次项目实施理解与认同，因此，在项目实施时，可能一味在项目进度计划时求快，甚或是刻意追求某个具有特殊意义的日期作为项目里程碑，将对项目进度控制造成很大压力。当然，也可能由于种种原因，如安装环境不具备、人员没有到位，产品质量问题等等，造成项目进度拖延。因此，东华软件将充分考虑各种潜在因素，适当留有余地；任务分解详细度适中，便于考核；在执行过程中，强调项目按进度执行的重要性，在考虑任何问题时，都将保持进度作为先决条件；同时，合理利用赶工及快速跟进等方法，充分利用资源。

人力资源风险

• 人力资源是本项目实施过程中最为关键的资源。保证合适的人员以足够的精力参与到项目中来，是项目成功实施的基本保证。东华软件在此项目实施中将调动软件研究院、公司总部的骨干技术人员，成立项目小组，保证进入到项目中并承担角色的各类人员满足项目要求，同时保证项目人员对项目的投入程度。将参与本期设备建设项目人员的业绩评估与该项目实施的状况相关联，明确本期项目是在该阶段项目相关人员最重要的本职工作。

产品故障风险

• 在产品运输过程中或实施过程中可能会出现产品故障，产品故障不但会导致用户业务中断，用户的安全受到威胁，而且还会导致整个项目实施计划延期。东华软件会针对此问题建立备品备件库，如果出现产品故障，立即响应，及时送到用户现场，在最短的时间内恢复故障。

沟通风险

• 本项目涉及多类设备，由沟通不及时或误解的风险，这会给项目执行带来一定的影响。我们将采取书面形式进行沟通并启用沟通管理计划，并对每次书面沟通进行电话确认。电话确认的目的在于确定对方是否受到沟通文档、并确认对方对沟通内容理解没有理解偏差。

项目实施与风险监控

• 东华软件会采取以下措施对 项目实施中的风险进行监控，以防止危及项目成败的风险发生。
• 建立并及时更新项目风险列表及风险排序。项目管理人员随时关注与关键风险相关因素的变化情况，及时决定何时、采用何种风险应对措施。
• 风险应对审计：随时关注风险应对措施（规避、减轻、转移）实施的效果，对残余风险进行评估。
• 建立报告机制，及时将项目中存在的问题反映到项目经理或项目管理层。
• 定期召集项目干系人召开项目会议，对风险状况进行评估，并通过各方面对项目实施的反应来发现新风险。

·项目管理原则

项目管理是科学和艺术的完美结合，如何正确理解项目经理的角色，并且依靠强有力的团队，去了解真正的项目需求，进行财务分析，而且要根据实际情况及时调整方案，制定详细的工程实施计划，正确的管理项目组，制定详细的项目计划，关注人际关系，根据基本目标评估项目情况客观地应对风险，主动促进与用户的沟通，使项目工作最优化，深入考虑项目后续工作，“实现”准确的界面”管理，并主动寻找信息反馈，制定多种衡量标准并灵活地运用项目文件。

系统设备项目依据如下管理原则：

• 明确分工、明确职责；
• 制定规范、遵循标准；
• 周密计划、严格分工；
• 实时跟踪、加强控制；
• 采用工程化技术强化管理；
• 采用均衡的原则，在时间、成本和资源之间进行调控；
• 实施质量保证，强化检查和测试，严格控制产品质量；
• 规范售后服务及培训。

ISO9001工程实施标准

在项目中，东华软件股份公司将严格按照ISO9000国际标准进行管理和实施项目，保证项目的高标准、高质量完成。主要通过以下方法：

确定管理职责：

• 在项目实施中，通过协商和惯例规定质量目标和对质量的承诺等质量方针，并形成文件。质量方针充分体现我公司的组织目标以及用户的期望和需要。东华软件股份公司确保项目实施中各级人员都理解质量方针，并坚持贯彻执行。 
• 组织的职责和权限：对从事与质量有关的管理、执行和验证工作的人员，特别是对需要独立行使权力开展以下工作的人员，明确其职责、权限和相互关系，并形成文件；
• 采取措施，防止出现与产品、过程和质量体系有关的不合格；
• 确认和记录与产品、过程和质量体系有关的问题；
• 通过规定的渠道，采取、推荐或提出解决办法；
• 验证解决办法的实施效果；
• 控制不合格产品的进一步交付和安装，直至缺陷或不满足要求的情况得到纠正。 
• 对资源进行管理，执行工作和验证活动（包括内部质量审核），供方应确定资源要求并提供充分的资源，包括委派经过培训的人员。 
• 明确管理者代表：我公司在自己的管理层中指定一名成员为管理者代表，应明确权限，以便确保按照本标准要求建立，实施和保持质量体系；
• 向供方管理者报告质量体系的运行情况，以供评审和作为质量体系改进的基础。 
• 管理评审：应按规定的时间间隔对质量体系进行评审，确保持续的适宜性和有效性，以满足本标准的要求和供方规定的质量方针和目标。

建立质量体系

我们根据多年的系统集成和软件开发的实际经验，已经建立起完善的质量保证体系，形成文件并加以保持，作为确保产品符合规定要求的一种手段。在项目实施过程中，我公司为用户编制有覆盖ISO标准要求的质量手册，质量手册包括或引用质量体系程序，并概述质量体系文件的结构。 

• 东华软件股份公司的质量体系程序包括：
• 编制与供方规定的质量方针相一致的形成文件的程序；
• 有效地实施质量体系及其形成文件的程序。
• 作为质量体系的一部分的质量体系程序，其程序范围和详细程序可应取决于工作的复杂程序、所用的方法、以及开展这项活动涉及的人员所需的技能和培训。
• 进行质量策划，对满足质量要求做出规定，并形成文件。
• 质量策划应与供方质量体系的所有其他要求相一致，并形成适于操作的文件。
• 编制质量计划：确定和配备必要的控制手段、过程、设备（包括检验和试验设备）、工艺装备、资源和技能，以达到所要求的质量；
• 确保设计、生产过程、安装、服务、检验和试验程序和有关文件的相容性；必要时，更新质量控制、检验和试验技术，包括研制新的调度设备；
• 确定所有测量要求，包括超出现有的水平但在足够时限内能开发的测量能力；
• 确定在产品形成适当阶段的合适的验证； 
• 对所有特性的要求，包括含有主观因素的特性和要求，明确接收标准；
• 确定和准备质量记录曲线合适的地方，以可测量的术语表示的质量要求；
• 用于软件开发的生存周期模型；
• 规定起动和结束每一阶段的准则；
• 明确需要执行的评审、测试以及其他验证和确认活动的类型；
• 明确需要执行的配置管理规程；
• 详细策划（包括进度安排、程序、资源和批准）和特定的质量活动职责和权限，质量计划应根据开发进展情况更新，当某一阶段开始时，与该阶段有关的活动应完全确定。 
• 质量计划应由在其执行中有关的所有组织加以评审和协商一致。
• 质量计划可以包括或引用单元测试、集成测试、系统测试和验收测试的计划，测试策划和测试环境的指南是检验和测试的一部分。

· 经济效益与社会效益

技术方面

东华反统方系统可以通过对医院访问数据库数据进行记录审计分析整理，提取所有使用者操作行为的特征，与告警策略，规则库相匹配，得出完整的事件报告，能正确还原使用者当时的操作。只有通过东华反统方系统的双向审计才能审计出通过存储过程进行统方的行为。在统方告警方面，除了能够匹配内置的统方告警规则库实现智能告警，也能够自定义告警规则实现定制化告警。东华反统方系统也能够将晦涩难懂的网络数据翻译成简单易懂的语言展现给管理人员。

经济方面

减少纪检监察部门的人力物力，通过设备中的审计与告警，可智能化的对统方行为进行管理。通过东华反统方系统中纪委页面，实现一站式查询，减少用户在统方行为防护方面的工作量，提高工作效率。

社会方面

通过东华反统方系统充分发挥“制度+科技”在治理商业贿赂中的积极作用，助力医院行风建设，为营造“廉洁、自律、公正、诚信”的医疗环境，为广大市民提供舒适、放心、满意的医疗服务打下了坚实基础。东华反统方满足了医院信息建设中的合规性审计要求，又可以对越权操作、违规操作实时监控并追根溯源，实现了防统方手段从制度约束到技术限制的跨越，使工作人员从技术上远离统方禁区，有助于医院行风建设，树立良好公众形象，有效助力医院反腐。减少统方行为，意味着减少药品回扣，进一步降低药品成本，还平价药品予患者。

· 项目创新情况简述

深度检测技术

东华反统方系统能深入分析TCP或UDP通信流量的内容。当IP数据包、TCP数据流或UDP包经过反统方设备时，将会按照预定义的策略对应用内容进行操作。用户可以使用一定的规则或策略来定义这些变量，这些策略符合给予应用的类型或者数据业务的最终目标。

专业名词库

东华反统方系统内置专业名词解释库，使反统方系统更好的将统方操作正确的表达给管理员，名词解释库的完善决定了最终能否正确解释统方操作行为定义。针对HIS系统建立对应的CSP、m语言、sql等名词解释库，系统可以根据名词解释库识别相应的“统方”操作，并翻译成直观的操作过程，对于某个“统方”操作做到正确解释，完整操作回放等。

统方数据的还原与双向审计

东华反统方系统采用双向数据审计，可对客户端请求数据进行审计，还可对数据库返回的数据进行审计。在页面中对审计数据进行还原，通过还原数据能够很清晰的查看用户对数据库操作的整个过程。

数据存储与处理

东华反统方设备基于高性能硬件处理平台，可对报文数据进行完全捕获，数据分析模块通过大数据分析技术将用户接入的数据进行解析，得到相应的操作数据和行为数据，判断用户的行为数据是否违规，并将数据存入本地的非关系型数据库。非关系型数据库可做到海量数据存储，存储数据量只与硬盘空间大小有关与数据条目无关。