医院软件上线前,谁来替你把关?我们自研了一套测评系统,把内部验收跑成了流水线

先说清楚定位：这是一套医院内部使用的软件测评管理系统，帮助信息科对自己采购、自研、升级的信息系统做上线前的质量测评与验收把关。它不是法定测评工具，不能替代有资质的第三方测评机构出具的认证报告——但它的价值在于：让每一次内部验收都有章可循、有据可查、有 AI 帮忙。

一、痛点：医院的软件测评，长期靠"人肉 + Excel"

信息科的同行们应该都熟悉这些场景：

• • 新采购的 HIS 子系统、评审系统、数据平台上线前，想做一轮功能验证，却不知道怎么系统地组织——测试用例散落在个人电脑里，执行结果靠口头汇报；
• • 供应商演示时说"这个功能有"，上线后才发现"有是有，但不是你理解的那样"，扯皮时没有证据链；
• • 想压测一下并发能力，JMeter 脚本跑完就完了，性能数据、缺陷记录、整改回归无法串成闭环；
• • 等保测评、第三方验收是"一年一度的大事"，而日常每个小版本升级的把关，反而没有顺手的工具。

我们医院信息科的做法是：与其每次临时组织，不如把测评能力沉淀成一套系统。

二、这套系统能做什么

系统自研（Spring Boot + Vue3 + MySQL，Docker 部署），覆盖测评业务全流程，外加几个 AI 新玩法：

1. 委托受理到报告签发的全流程管理测评委托登记 → 资料预审（缺什么材料一键生成补正通知）→ 立项 → 用例设计 → 执行记录 → 缺陷分级（FATAL / MAJOR / MINOR / SUGGEST）→ 状态机闭环（NEW → CONFIRMED → FIXED → CLOSED，可重开）→ 报告起草、两级审核、签发归档。每一步留痕，审计可查。

2. AI 深度赋能（这是和 Excel 最大的不同）

• • 给一段需求描述，AI 生成测试用例草稿，测试工程师改一改就能用；
• • 测评素材自动入知识库（向量检索），写用例、查历史缺陷时能"问"出来；
• • 评审报告初稿由 AI 依据执行数据和缺陷清单自动起草，人负责审核定稿——AI 提效，人担责任；
• • 对接大模型的问答助手，新员工也能快速上手测评规范。

3. 受测方协同门户被测系统的厂商 / 科室通过门户拿到《测评准备清单》：要开什么账号、做什么脱敏、签哪些确认书、终端环境清单怎么填——规范一次性说清，来回沟通成本大幅下降。

4. 工具集成JMeter 性能脚本、安全工具扫描结果可以导入归档，和缺陷单自动关联。

三、实战：我们用它完整测评了一个真实系统

光说功能没意思，上实战。近期我们用这套流程完整测评了院内一套三级中医医院评审系统（我们同时扮演了测评组织和受测整改方的角色，全流程走了一遍）：

功能测评：浏览器实测 15 个用例全部通过——条款树检索、批量分派 257 条任务（幂等跳过 5 条重复）、材料上传台账、指标填报审核闭环、整改闭环、驾驶舱大屏等。

性能测评：JMeter 两轮压测——读场景 17 个接口 3590 样本零错误、全部 P90 ≤ 11ms；写场景 30 并发 5 分钟 4047 样本零错误，批量分派 P90 仅 18ms（目标是 30 秒以内），20MB 文件上传 P90 291ms。

兼容性测评：用真实浏览器（Edge / Chrome）+ 移动端仿真跑 46 个组合点，外加一轮真实窗口逐页操作复核；发现 1 条驾驶舱大屏适配建议。

安全测评（最有价值的部分）：发现 1 项严重（FATAL）+ 4 项重要（MAJOR）缺陷，举两个例子：

• • 低权限账号竟能调用用户管理接口改管理员、删用户——垂直越权；
• • 进一步扫描发现授权缺陷是系统性的：只读账号能创建科室、篡改评审标准树、关闭他人自评批次。

有意思的是，这个系统自己验收自己：缺陷登记 → 整改 → 回归验证 → 关闭，全部在系统内闭环。最终 5 项安全问题整改后回归通过，全部管理接口权限矩阵 12 / 12 拦截正确。

整个过程沉淀出完整的测评档案链：委托单、预审结论、补正通知、账号矩阵、性能方案、执行记录、缺陷单、整改回函——任何一次测评都能在系统里原样复盘。

四、必须强调的边界：它能做什么，不能做什么

这套系统服务的是医院内部质量管理，请务必分清三个概念：

它擅长的事：内部新系统上线前体检、版本升级回归验证、供应商交付验收的辅助证据链、等保 / 第三方测评前的自查预检、日常质量基线管理。

它不做的事：不出具具有法律效力的测评报告，不做等级保护测评等法定测评，不替代第三方测评机构。涉及行政审批、招标验收要求法定检测报告的，仍然必须委托有资质的测评机构。

一句话：它是信息科自己的"体检工具"，帮你把问题尽可能拦在上线之前；真需要"诊断证明"时，还得找正规医院（有资质机构）——但有了这套系统的自查记录，你去"看病"时会从容得多，也知道该查什么。

五、适合谁、怎么起步

适合：二级以上医院信息科、医共体牵头单位的信息中心、有多个自建 / 采购系统需要持续管理的团队。

我们的起步路径供参考：先从一个非核心系统的内部验收试点跑通全流程（我们就是那个评审系统）→ 把测评准备清单、用例模板沉淀进知识库 → 逐步覆盖到所有新系统上线。AI 用例生成和报告起草能把单次测评的人天压缩一半以上，测试工程师把时间花在用例评审和 exploratory 测试上，而不是抄表格。

系统为内部自研，已稳定运行；文中实战数据均来自真实测评记录。欢迎同行交流医院信息化质量保障的经验与踩坑。