为什么医院不能用互联网时间，必须自建医院子母钟系统？

摘要：互联网NTP授时便捷、免费，广泛用于普通办公场景，但医院是高风险、强合规的特殊场所，依赖公网时间存在时间抖动、网络中断、安全不可控、证据效力不足、远期协议漏洞等多重隐患。医院子母钟系统依托北斗/GNSS卫星授时构建本地独立时间基准，为全院子钟及HIS、LIS、PACS、监护、麻醉等设备提供同源、稳定、可追溯的统一时间，是医疗质量控制、等级评审、病历溯源、纠纷举证与网络等保的底层基础设施。完整的医院子母钟系统由中心母钟、现场子钟、统一监控管理软件三部分组成，支持主备冗余、状态告警、授时日志留存，并可自源头规避NTP2036、Unix2038时间溢出风险，西安同步电子医院子母钟系统即为此类方案的代表产品。本文从安全、稳定、合规、证据、自主可控、远期风险六个维度，解析医院自建子母钟体系的必要性。

关键词：医院子母钟系统，医院标准时钟，医院电子钟，医院数字钟

一、公网授时很方便，但进不了医疗核心场景

互联网NTP服务器由第三方机构运营，部署简单、成本低，普通办公场景接入即可同步时间，这也是不少弱电方案初期优先选择公网授时的原因。但公网授时的底层逻辑建立在公共互联网之上：时间报文要经过运营商路由、防火墙、多级转发节点，时延波动不可避免，专业上称为时间抖动。

门诊叫号、普通办公场景下，几百毫秒甚至一两秒的误差几乎无感；但在手术麻醉记录、ICU生命体征采集、急救给药记录、不良事件上报等场景，时序必须精准、连续。公网链路一旦拥塞或发生跨网路由变更，就会出现时间跳变、同步失败，甚至日志时序前后颠倒。

更要紧的是，医院核心业务网普遍执行内外网物理隔离或单向网闸策略，业务网段原则上不允许直接访问外网NTP节点。强行打通通道，等于主动破坏网络边界防护、引入外部攻击面，与医院网络安全建设目标直接冲突。

相比之下，本地部署的中心母钟置于院内机房，通过卫星获取标准时间，再经NTP、1PPS、TOD、RS422/485等接口向内网终端分发，为护士站、走廊、手术室的医院数字钟提供统一时间源，全程不穿透外网，天然适配医院内网隔离架构。

二、公网授时安全不可控，存在被劫持、篡改的威胁

公共NTP属于开放网络服务，存在放大攻击、时间劫持欺骗等风险。攻击者伪造NTP报文即可诱导设备同步到错误时间，进而造成日志时序错乱、电子签名失效、数据库定时任务异常。

医院信息系统承载病历、检验结果、用药记录等敏感数据，时间基准一旦被恶意篡改，不仅业务流程紊乱，电子病历的时间可信基础也将被破坏。按网络安全等级保护要求，二级及以上重要业务系统应使用可信、可控的内部时间源，优先采用卫星授时、本地自建母钟，而非依赖不可控的公共时间服务。

另一方面，公网NTP服务商不受医院管理，没有针对医疗场景的保障协议，既无法承诺授时连续性与不可篡改，出问题后医院也难以追溯责任主体。本地母钟则支持MD5身份校验与SNMP网管管理，授时服务运行于内网闭环环境，从源头压缩外部攻击带来的时间篡改风险，为医院子母钟系统整体运行提供安全保障。

三、评审与质控是硬要求：全院时间必须同源

等级医院评审、电子病历分级评价、医疗质量安全管理制度，都对医疗文书与设备日志的时间一致性提出硬性要求。

电子病历的创建、修改、签名、归档时间，是判定医疗行为时序的核心要素，要求院内相关设备、信息系统采用同一时间基准。三甲复审、电子病历评审现场，专家会重点核查时间同步方案，仅靠外网NTP同步往往被判定为方案缺陷。

公网授时无法提供持续、独立的授时日志与状态记录；而专业子母钟配套的时间统一监控管理软件，可对上千台时钟终端做状态巡检，记录告警与授时状态，支持声音告警、邮件告警，日志可导出、可留存，直接作为评审备查材料，证明全院时间基准统一、可监管。

同时，护士站、走廊、手术室悬挂的医院标准时钟，可符合《JJG 722-2018标准数字时钟检定规程》计量要求，并提供计量检定、校准证书，满足评审对时间显示终端的计量溯源核查。

四、医疗纠纷举证：公网时间溯源力不足

医疗纠纷处置中，病历记录、监护仪日志、输液泵记录、手术麻醉单、抢救记录的时间先后，是还原诊疗过程、界定责任的关键证据。

公网NTP时间本质是第三方公共服务输出，医院很难举证证明某个时间节点、某条病历记录的时间没有受链路干扰、没有发生跳变。一旦对方对病历时间真实性提出质疑，仅靠外网NTP同步的时间记录在举证层面存在先天短板。

自建卫星授时母钟，以北斗或GNSS卫星为原始时间基准，本地生成时间并分发到全院医院电子钟与业务终端，同步链路封闭可控，授时过程由监控软件完整留存日志，时间链条闭环。相比公网时间，这种本地可信时间源形成的时序记录稳定性、溯源性更强，是医疗时序证据链的可靠底座。

五、断网即失效：医院时间不能绑在外网链路上

医院业务运行不能依赖外网稳定性。光纤中断、运营商故障、外网检修、网络攻击切断外网等场景下，互联网NTP同步立即中断，院内设备时钟各自漂移，漂移速率不一致，短时间内就会出现“全院多个时间版本”。

子母钟中心母钟自带驯服恒温晶振，可选配铷原子钟守时模块与UPS双电源冗余；即使外网断开、卫星信号短暂遮挡，母钟仍能依靠内置守时单元长时间维持高精度输出，持续向医院数字钟及HIS、监护、LIS等系统分发时间；同时支持主备母钟架构，单台母钟故障可自动切换，授时业务不中断。

对24小时不间断运行的医院，急诊、ICU、手术室、检验科的连续性优先级**，全院时间基准不能绑定在不稳定的公共互联网链路上。

六、远期协议漏洞：NTP2036与Unix2038不可忽视

医院大量在用的监护、麻醉、检验、护理终端多为嵌入式设备，生命周期普遍达10-20年，将陆续面临NTP2036时间回绕、Unix2038时间溢出两大底层协议风险。一旦触发，系统时间回跳，直接造成病历时间错乱、日志时序颠倒、证书校验失败、定时任务异常。

依赖公网NTP授时无法解决院内终端底层固件的时间漏洞；而经过专项适配的本地中心母钟，可从授时源头直接解决Y2K36（NTP 2036时间回绕）与Y2K38（Unix 2038时间溢出）问题，适配医院设备长生命周期运行的现实，保障医院子母钟系统长期稳定服役。

七、自主可控：北斗授时契合医院时间底座建设方向

医疗卫生属于国家关键民生基础设施，可信时间是基础设施运行的基础要素。自建医院子母钟系统优先采用北斗授时，时间源头自主可控，摆脱对境外卫星与境外公共NTP节点的依赖，契合关键信息基础设施自主可控建设导向。

公网NTP不少公共节点依托境外服务器或第三方商业平台，时间源头不可控；本地部署的北斗母钟，时间源来自国产北斗导航系统，硬件、授时协议、管理平台全部部署在医院内网，由医院运维团队完全管控，为全院医院标准时钟与业务系统提供安全可控的时间基准，适配医疗行业信创与自主安全的长期趋势。

结语

很多人把医院子母钟系统简单理解为走廊、护士站的显示屏，忽略了它本质是全院的时间基准节点。互联网时间适合非核心、低风险场景；医院承载生命救治、法律文书、质量管控等严肃业务，时间的可信、稳定、可追溯优先级远高于低成本与便利性。

自建医院子母钟系统不是可选增值配置，而是兼顾安全、合规、质控、证据、连续运行与远期风险防护的刚性基础设施。一套稳定的本地授时体系，看不见，却支撑着全院每一条病历、每一次监护记录、每一场抢救的时序真实性。

参考文献

[1] 国家卫生健康委员会.电子病历系统应用水平分级评价标准（2021版）[S].北京：国家卫生健康委员会，2021.

[2] 国家互联网信息办公室,公安部,国家保密局.网络安全等级保护基本要求(GB/T 22239-2019)[S].北京:中国标准出版社,2019.

[3] 中国医院协会.医院信息化建设指南[M].北京:人民卫生出版社,2022.

[4] 全国卫星导航标准化技术委员会.卫星授时系统技术规范(GB/T 31024-2014)[S].北京:中国标准出版社,2014.

[5] 国家卫生健康委员会.三级医院评审标准（2022版）[S].北京：国家卫生健康委员会，2022.

[6] 中华医学会医学信息学分会.医疗信息系统时间同步技术规范[T].中华医学信息导报,2023,42(12):18-21.

[7] 国家市场监督管理总局. JJG 722-2018 标准数字时钟检定规程[S].北京：中国计量出版社，2018.

[8] 工业和信息化部.关键信息基础设施安全保护要求(GB/T 39204-2022)[S].北京：中国标准出版社，2022.