摘要
- VA 在 2023 年 4 月暂停的并非一次常规软件安装。在临床医生和退伍军人报告新 EHR 未达到预期后，VA 停止了大多数后续部署。到那时，正式记录已将该系统与临床医嘱丢失、药物和过敏数据问题、预约排期失败、反复发生的性能事故、权宜措施以及用户满意度低联系起来。
- 最有力的独立事故记录是 VA 监察长办公室 2024 年 9 月的审计。审计统计了 2020 年 10 月 24 日至 2024 年 3 月 31 日期间由 VA 或 Oracle Health 负责的 826 起重大性能事故，系统受影响时间合计 1,909 小时 26 分钟。这些数字并非受伤害患者人数，且并非所有事故都是完全停机。它们说明了问题的规模、持续时间，以及严格管控事故的必要性。
- 经确认的患者安全证据更为具体。OIG 对未知队列的审查发现，数千条医嘱被送往一个无法检测到的位置，VHA 的审查确认了 149 起患者伤害事件。另一项 OIG 预约排期检查发现，一项 EHR 错误导致一次错过的心理健康预约未能进入队列，并与不充分的护理共同促成一名患者死亡。系统错误是促成因素之一，而非唯一原因。
- VA 和 Oracle Health 已有修复证据。VA 重新谈判合同，将其改为年度选择期，引入性能阈值和可能的发票抵扣额，报告持续的可靠性改善，关闭重大事故审计中的大多数建议，并于 2026 年 4 月和 6 月在 Michigan、Ohio 和 Kentucky 的 8 个医疗中心恢复部署。
- 修复尚不等同于结案。GAO 2025 年 12 月的准备情况记录称，VA 尚未完全落实此前 18 项 GAO 建议中的 16 项。截至 2026 年 7 月 15 日，OIG 重大事故审计的 9 项建议中仍有 2 项未关闭，包括实时共享事故数据，以及无论事故责任方是谁均适用的有效通知与解决指标。本文援引的公开记录也尚不包含对 2026 年 8 个部署站点所作的独立、纵向患者安全评估。
- 因此，持久的问责不能只靠正常运行时间和一次成功的切换周末。它需要从每起重大事故到临床影响的可审计关联、明确指定的控制责任人、经测试的停机和核对程序、可执行的供应商补救措施、用户与患者结果、独立验证，以及对尚未解决事项的公开披露。
EHR 重置失败意味着什么
本案中的 "重置" 有两层含义，不应混淆。它可以指系统在技术中断后重新启动或恢复的动作。更重要的是，VA 将 "Reset" 用作 2023 年 4 月宣布的全项目干预措施名称：后续部署将停止，由该部门及其承包商修复当时正在使用新 EHR 的 5 个站点所面临的可靠性、可用性、工作流程、治理和患者安全问题。本文所称 "重置失败"，是指严重到迫使项目实施上述重置的失败，以及原本应使重置可信的证据和控制所发生的失败。本文并不声称每起事故都由字面意义上的重新启动所致。
现代化目标本身是正当的。2018 年 5 月，VA 签署了一份 Cerner 合同，10 年期上限为 100 亿美元。其目标是以美国国防部使用的同一核心平台，取代各地有所差异的 Veterans Health Information Systems and Technology Architecture，即 VistA 实例。统一的纵向病历原本应在军人转入退伍军人医疗体系时减少人工交换与核对，同时改善对社区医疗服务提供者所持病历的访问。
这一目标并未回答问责问题。一个平台可以承诺互操作性，却仍可能在具体实施中引入不安全的医嘱路由、令人困惑的药物信息视图、预约排期缺口、接口缺陷或停机负担。VA 有其独特的临床工作流程、治理方式、人员配置模式、本地集成、患者群体和法律义务。因此，恰当的分析单位是实际运行的医疗系统整体：软件、配置、接口、数据、政策、培训、人员配置、事故管理、本地适配和供应商表现缺一不可。
重置之所以必要，是因为承诺中的统一病历与实际运行中的病历差距过大，已不能再视为正常的采用摩擦。VA 的 2023 年 4 月 21 日重置公告称，新 EHR 未达到退伍军人和临床医生的预期。公告围绕临床医生与退伍军人的体验、持续的高性能与可靠性，以及生产率恢复设定了准备情况测试。公告还称，VA 与 Oracle Cerner 正在推进一项合同修正案，以提高承包商的问责程度。这些是要拿出证据的承诺，并非宣告相关问题已经解决。
从合同授予到恢复推广的可审计时间线
| 日期 | 已确认事件 | 问责意义 |
|---|---|---|
| 2018 年 5 月 17 日 | VA 将 EHR 合同授予 Cerner，10 年期上限为 100 亿美元。 | VA 选择了采购模式、核心平台、合同要求和初始控制权分配。 |
| 2020 年 10 月 24 日 | 新 EHR 在 Spokane 的 Mann-Grandstaff VA Medical Center 上线。 | 首个运行站点成为对配置、培训、工作流程和事故响应的首次真实检验。 |
| 2021 年 6 月至 12 月 | VHA 开始对发送至未知队列的医嘱开展临床审查，后来将该风险评定为严重程度重大、发生频繁且极难检测。 | 隐藏的路由状况由单纯的支持工单转变为患者安全和披露问题。 |
| 2022 年 2 月 1 日 | GAO 报告了迁移数据的质量和报告问题，其中包括可能构成患者安全风险的过敏、药物和免疫接种数据错误。 | 数据迁移成为一项可衡量的安全控制，而不再是使用统一平台所带来的一项假定收益。 |
| 2022 年 3 月至 6 月 | VA 在 Walla Walla、Columbus、Roseburg 和 White City 部署 EHR。Oracle 于 2022 年 6 月收购 Cerner。 | 部署范围扩大，同时承包商责任转至 Oracle Health。收购并未消除 VA 的职责，也未抹去继承的合同记录。 |
| 2022 年 7 月 14 日 | OIG 发布未知队列报告，并确认 149 起患者伤害事件。 | 该记录确认了实际伤害，以及未能将最终用户需要监控的队列告知他们这一失误。 |
| 2022 年 7 月至 2023 年 4 月 | VA 推迟新增部署，开展 "评估与处理" 阶段，随后宣布全面重置。 | 一系列暂停表明，不能根据时间推移或此前的上线推断准备就绪。 |
| 2023 年 5 月至 6 月 | VA 修改合同控制，包括可靠性指标和财务抵扣机制，并从 5 年期改为年度选择期。 | 重置增加了合同执行层，尽管后续审计发现数据访问和指标执行仍有缺口。 |
| 2024 年 3 月 9 日 | 在更大范围的暂停仍在继续时，VA 与 DOD 在联合运营的 Lovell Federal Health Care Center 部署 Federal EHR。 | Lovell 成为内部对照站点，用以判断更充分的准备能否在重置期间支撑复杂上线。 |
| 2024 年 3 月 21 日 | OIG 发布有关药房安全、预约排期相关死亡和预约排期挑战的报告。 | 这些记录将软件行为与用药、随访、人员配置和临床政策控制联系起来。 |
| 2024 年 6 月 13 日 | VA 授予为期 11 个月的第二个合同选择期，强调财务和绩效问责。 | 年度选择期形成反复出现的决策点，但续期仍取决于 VA 验证所报告绩效的能力。 |
| 2024 年 9 月 23 日 | OIG 报告称，对重大事故的控制不足，已上线站点的员工仍持续表示担忧。 | 可靠性、停机、事故后分析、人员配置、生产率和患者安全关联仍属于治理问题。 |
| 2024 年 12 月 20 日 | VA 开始规划 2026 年在 Michigan 4 家设施的部署，并公布改善主张。 | 重置从修复转向规模化，使独立的准备情况证据更加重要。 |
| 2025 年 3 月至 5 月 | GAO 报告渐进式改善，但仍有重大工作未完成；随后 VA 授予 Oracle Health 第三个年度选择期。 | 在成本、进度、用户满意度和建议落实仍有缺口时，合同继续履行，推广也在提速。 |
| 2025 年 9 月至 12 月 | OIG 发现 Lovell 接口测试文档存在缺陷；GAO 称截至 12 月，18 项 EHR 建议中有 16 项尚未完全落实。 | 宣称上线成功，并不能消除对完整测试证据或关闭独立建议的需要。 |
| 2026 年 4 月 11 日 | Michigan 的 4 个医疗中心上线。 | 这是暂停后的首个多站点部署批次，也是对重置控制的首次重大规模检验。 |
| 2026 年 6 月 6 日 | Ohio 和 Kentucky 的 4 个医疗中心上线。 | 在尚无对 Michigan 站点的公开、独立纵向审查时，VA 已提速进入第二个 4 站点批次。 |
| 2026 年 6 月 26 日至 7 月 15 日 | VA 称 EHR 已在 14 个医疗中心和 75 家诊所投入运行，服务超过 515,000 名退伍军人；另有 5 个 2026 年站点已有规划，但截至本文截止时间尚未上线。 | 部署成功如今是一个持续的临床结果问题，而非为期一周的实施里程碑。 |
这份时间线有意采取保守口径。它不推断公开日期之间未披露的事故，也不把监督建议关闭视为相关风险不可能复发的证明。它标明控制主张何时进入公开记录，以及检验这些主张需要哪些证据。
控制虽分散，但并非无人负责
VA 部长和副部长控制战略延续、部署速度、高层治理、合同选择期以及宣布准备就绪的标准。他们能够停止部署、指示重置、整合决策、要求提供绩效证据，并决定所宣称的收益是否足以支持进一步扩大规模。这些权力带来了对部署关口的责任。它们并不意味着高层领导是每个临床队列或数据库的操作人员，却意味着高层领导有责任确保实际操作这些控制的人员拥有权限、资源和可衡量的义务。
EHR 现代化整合办公室负责项目整合。其职责包括把临床和运营要求转化为配置与合同工作，协调全国和地方利益相关方，跟踪变更请求，管理部署准备工作，验证承包商服务水平，并整合来自支持、安全和运营方面的证据。OIG 的重大事故审计在此尤其重要，因为它发现 VA 依赖 Oracle Health 的报告，并且缺少验证部分承包商绩效指标及抵扣额的正式程序。截至 2026 年 7 月 15 日，OIG 已将建立指标和相关抵扣额验证程序的建议标记为关闭，但仍将关于在合同中承诺实时提供事故数据的建议列为未关闭。
退伍军人健康管理局负责临床政策、患者安全流程、人员配置预期、停机程序、用药核对要求、患者通知，以及数字工作流程失效时适用的标准。这一控制边界非常重要，因为在心理健康预约错过后需要尝试多少次随访、药剂师应如何核查跨系统药物数据，以及设施应如何在停机后核对纸质记录，都不是由软件决定的。VHA 无法独自修复 Oracle 代码，但它可以建立强制性临床保障措施、监控合规情况，并拒绝把临时拼凑的权宜措施当作永久运营模式。
Oracle Health 控制技术和服务运营的主要部分：供应商拥有的代码、数据库行为、托管和平台性能、缺陷补救、供应商工单、运营分析，以及按合同交付。首次部署和未知队列问题出现时，这一角色由 Cerner 承担；Oracle 于 2022 年 6 月收购 Cerner，并继承合同和持续补救责任。Oracle 的合同续期公告主张平台已得到强化，Lovell 的表现超出预期，而且相同核心系统已在 DOD 大规模运行。这些是相关的供应商主张。由于配置、集成、治理和工作流程不同，它们不能取代针对 VA 的审计证据。
地方医疗中心领导负责其设施内的上线准备、角色分配、培训出席、本地人员配置、问题升级、停机工作组、核对实践，以及对安全问题的即时响应。他们的权限真实存在但有边界。一名设施主管可以要求员工停止依赖可疑的电子数据，OIG 审查的一起事故中就曾如此，但他无法独自修复全国性代码缺陷或重写合同。因此，对地方问责的判断应依据其准备、升级、缓解和如实报告情况，而不应依据一家设施是否毫无怨言地承受了所有全国性缺陷。
临床医生、药剂师、预约排期人员、健康信息人员和支持人员控制获批工作流程中的个人行为。他们可以报告事故、监控队列、进行用药检查、使用停机表格、核对记录并升级异常。他们应对自己能够合理履行的专业职责负责。若一种设计长期依赖警觉、重复录入、人工搜索或本地记忆，他们不应成为默认的责任归集对象。权宜措施可以证明员工在受限条件下保护了患者，却不能证明上游控制充分。
国会、GAO 和 OIG 控制监督工具，而非临床运营。国会可以要求报告、对资金附加条件、举行听证会并通过立法要求披露。GAO 可以依据领先实践检验项目管理并跟踪建议。OIG 可以调查安全与合同控制、公布调查结果，并在 VA 提供充分证据后关闭建议。这些机构都无法替 VA 运行 EHR，但它们的记录界定了 VA 和 Oracle 不能以宣传主张公平取代的证据。
退伍军人和照护者几乎不控制系统架构的任何部分。他们可以打电话、回来就医、使用门户、纠正自己注意到的信息，或在延误后投诉。他们并未选择队列行为、药物数据映射、接口测试、中断响应、人员配置或推广速度。因此，问责应当落在对预防、检测、缓解、披露和修复具有实际控制力的行为方，而不应落在那些被要求从患者一端发现机构失误的人身上。
伤害记录分为若干不同层次
未知队列是控制失败转化为患者伤害的最清晰已确认案例。OIG 发现，新 EHR 将数千条医疗医嘱发送到一个无法检测到的位置，而非预期目的地。VHA 的临床审查确认了 149 起因医嘱被路由至该位置而发生的患者伤害事件。OIG 还发现，Oracle Cerner 未向 VA 最终用户告知该队列，将缓解负担留给了 VHA。到 2022 年 5 月，尽管已开展缓解工作，其中仍发现 200 多条医嘱。公开记录没有说明每名患者、医嘱类型、严重程度或长期后果，本文也不会编造这些细节。
队列失败说明，为何仅看可用性并不足以衡量安全性。临床医生可以登录并录入医嘱，系统也仍然处于 "正常运行" 状态，但预期的服务部门可能永远收不到这项工作。相关控制链包括医嘱验证、路由、异常可见性、队列归属、监控、升级、临床审查和披露。较高的正常运行时间百分比无法检测到静默误路由的医嘱。因此，持久修复需要事务级完成证据，并为每个异常队列指定可问责的责任人。
预约排期相关死亡的记录同样需要精确表述。OIG 审查了一名患者在错过预约约 7 周后因吸入剂意外过量而死亡的事件。审查发现，一项 EHR 错误使错过的预约未能被路由至可触发重新排期工作的队列。审查还发现心理健康护理不充分，新 EHR 站点要求的联系尝试次数少于旧系统站点，评估与监督不完整，以及关怀沟通方面的失误。报告结论认为存在多项促成因素。它不支持 "软件单独造成死亡" 这一简化说法；但它确实支持这样的结论：当政策、随访、监督和升级控制也失效时，预约排期缺陷可能产生临床后果。
药房记录呈现出另一类风险。OIG 2024 年 3 月的药房检查发现，一项软件编码错误把不准确的药物与过敏信息从新 EHR 站点传输至旧系统站点。报告称，在检查所覆盖的时间点，受影响患者尚未获知其风险，并认为建议医疗服务提供者采取的缓解措施不可持续。OIG 还把运营低效与增加药剂师人员配置、权宜措施、教育材料、职业倦怠、工作不满和士气下降联系起来。9 项建议后来全部被列为关闭，最后一批于 2025 年关闭。关闭建议是实质性的修复证据，但持久的检验在于：随着 EHR 站点数量增加，跨系统药物信息准确性和人员配置能力能否维持在安全范围内。
预约排期挑战并不限于一项不良结果。OIG 预约排期咨询文件描述了被调整预约的队列问题、患者信息不准确、更改预约类型困难、医疗服务提供者与预约排期人员之间的沟通问题、无法自动发送部分提醒函，以及需要增加人员和加班才能恢复到部署前的预约水平。这些并非全部属于患者伤害认定，而是风险路径：除非由受监控的控制措施形成闭环，否则每一项都可能造成延误、重复工作、错过随访或不确定性。
数据迁移形成了另一个层次。GAO 2022 年的数据管理审查发现过敏、药物和免疫接种数据存在错误，并要求为迁移数据质量制定绩效指标与目标。数据迁移常被描述为一次性技术任务，但在全国性医疗系统中，它是一项临床核对项目。病历跨越 VA、DOD、社区、旧系统和新系统边界时，准确性、完整性、来源可追溯性、重复项处理、患者身份和纠错工作流程都必须保持可审计。
系统中断是范围最广的一层。OIG 的重大事故数据集统计了从首次上线至 2024 年 3 月 31 日期间由 VA 或 Oracle Health 负责的 826 起事故：172 起归于 VA，654 起归于 Oracle Health。系统受影响时间合计 1,909 小时 26 分钟，单起事故持续时间从 1 分钟到 27 小时 7 分钟不等。部分事故被归入不止一种类别，合计时间除了停机，还包括性能下降和功能不完整。因此，不能把 1,909 小时换算成同样时长的临床完全停摆，也不能乘以一个猜测的患者人数。
即使有上述边界，风险暴露仍然相当可观。在一起系统变更事故中，OIG 报告称 Mann-Grandstaff 负责人要求人员停止使用 EHR，并将电子患者数据视为已损坏或不准确，许多预约不得不重新安排。OIG 还发现，不同设施采用的停机程序不一致，并且缺少完全有效、可互操作的只读备份。如果临床医生无法信任当前电子数据，患者安全就取决于多快宣布问题、仍有哪些可信数据可用、用药和医嘱活动能否继续，以及恢复后如何核对每一份纸质或临时记录。
2024 年 9 月设施关切备忘录表明，伤害和成本也会在工作系统中累积。Walla Walla 和 Southern Oregon 的领导与员工描述了效率、生产率、人员配置、财务和患者安全方面持续存在的问题。这些访谈并未量化整个全国项目，不应超出其证据范围加以概括。但它们确实表明，技术可靠性趋势可以改善，而临床人力和地方财务后果仍未解决。
成本不仅发生了，也发生了转移
公开成本记录中的数字指向不同事项。2018 年原合同的 10 年期上限接近 100 亿美元。VA 2019 年 1 月的总生命周期估算约为 161 亿美元，包含合同、基础设施准备和项目管理支持。2022 年，Institute for Defense Analyses 作出一项独立的 498 亿美元生命周期估算：其中 327 亿美元用于 13 年实施，171 亿美元用于 15 年运维。这些数字不可互换，也都不是最终账单。
GAO 的 2025 年 12 月准备情况证词称，从 2018 财年至 2025 财年第二季度，VA 已承担约 138.4 亿美元的付款义务。其中约 58.5 亿美元用于 EHR 合同，33.5 亿美元用于 IT 基础设施，14.8 亿美元用于项目管理，28.5 亿美元用于 VHA，3.24 亿美元用于 VA 信息与技术办公室。截至 2025 年 12 月，GAO 称 VA 仍未提供更新后的总生命周期成本估算，项目也未提交足够详细的进度文件，因而 GAO 无法依据领先实践评估其进度。
直接项目支出只是成本类别之一。临床人员投入时间监控队列、核查药物数据、学习新工作流程、录入或扫描停机记录、处理支持工单、重新安排预约并恢复生产率。设施使用加班和增加药房人员配置。退伍军人承担等待、重新排期、反复联系、不确定医嘱是否送达的困扰，以及不准确数据跨系统跟随自己的风险。公开记录没有为这些负担提供可靠的全国性金额总计，因此应如实列明这些成本，而不能佯称它们已被充分货币化。
锁定效应也是一种成本。一旦数据、接口、培训、工作流程、门户和 DOD 互操作性依赖统一平台，即便性能令人失望，改变方向也会变得更加昂贵。这并不意味着继续推进不理性，而是意味着年度选择期决策后果更为重大。VA 必须比较修复并扩大 Oracle Health 的增量成本与安全性，同延长 VistA、运行并行环境或采购替代系统的成本与安全性。所审查的公开记录不包含对这些替代方案所作的最新、完整比较估算。
法律和监督记录改变了问责结构
EHR 项目并非仅由新闻稿治理。《2021 年 VA 电子健康记录透明度法》于 2022 年 6 月以 Public Law 117-154 形式颁布，要求定期向众议院和参议院退伍军人事务委员会报告项目成本、绩效指标和结果。所要求的绩效记录包括质量、绩效、安全和价值指标、支持数据、这些指标的变更，以及每个已实施设施的患者安全报告、事故、警报或披露清单。该法律将透明度从可自由决定的沟通惯例，转变为在完成全面实施获得认证前持续履行的法定义务。
国会又在 2024 年拨款法 Public Law 118-42 中增加了一项资金杠杆。该法把相关现代化资金的可用性同以下报告挂钩：2023 年 4 月部署延迟的原因、重置指标与进展、临床和产品标准化、相对于部署前基线的表现，以及关于系统是否稳定、是否准备就绪并已针对进一步部署完成优化的书面认证。这并未使国会成为系统运营者，却明确了部署准备情况会产生资金和报告后果。
重置期间，合同的可执行性有所增强。VA 的 2024 年 6 月第二选择期公告称，协议强调财务与绩效问责，并说明合同已从 1 个 5 年期转为 5 个 1 年期。2023 年 5 月的修订将无停机目标从 99.9% 提高至 99.95%，新增无事故指标，并强化了潜在财务抵扣。2025 年 5 月第三选择期公告延续年度审查模式，并称谈判重点是成本效率与优化。
可执行性仍取决于证据。GAO 发现，停机和事故阈值可触发发票冲抵，而审查期内部分工单解决阈值并不产生财务后果。OIG 发现，VA 需要自身的验证程序、实时运营数据、一致的优先级划分、不因责任方不同而异的响应指标，以及完整的解决后报告。截至本文截止时间，验证程序、优先级划分和解决后报告三项建议已关闭。实时数据共享以及有效通知与解决指标两项建议仍未关闭。
本文审查的公开记录并未确认存在一项最终法院判决，为这些失败在 VA 与 Oracle Health 之间分配民事责任；也未确认对任一机构存在刑事认定。OIG 建议、GAO 建议、法定报告、拨款条件和合同补救措施，与损害赔偿判决属于不同机制。它们的重要性是实际的：在法院分配损失之前，它们就可以要求披露、延迟资金、改变合同经济安排，并迫使相关方提供证据。
修复证据确实存在，但证明力各不相同
GAO 的 2025 年 3 月重置评估记录了有实质意义的改善和尚存的薄弱环节。截至 2024 年 6 月，VA 已实施超过 1,500 项配置变更。截至 2024 年 7 月，项目官员称 14 项最高优先级患者安全增强请求中已有 9 项关闭。已识别的 7 项药房增强功能中有 6 项完成交付。VA 还为工单解决时间、无停机时间和无事故时间建立了服务水平阈值。
同一份报告也阻止人们作出过度乐观的解读。截至 2025 年 2 月，约 1,800 项复杂配置变更请求尚未处理。2024 年末，剩余 5 项最高优先级患者安全增强措施中，2 项等待关闭，3 项尚未完全解决。2024 年 9 月，75% 的受访用户不同意或强烈不同意 EHR 能使他们尽可能高效。仅 23% 的人同意或强烈同意该系统能够支持高质量护理，低于 VA 设定的 27% 重置目标。截至 2024 年 8 月，最初 5 个站点中有 4 个仍低于上线前生产率基线。
可靠性指标有所改善，但最初并非每个月都达标。GAO 发现，在 2023 年 4 月至 2024 年 9 月的 18 个月中，VA 高于 99.95% 的无停机阈值有 15 个月达标；95% 的无事故阈值有 13 个月达标。VA 官员将相关事故归因于数据库错误、代码缺陷、处理积压，以及一次影响数据交换合作方的攻击。这些指标因定义明确且与合同挂钩而有用，但仍需独立验证和临床语境：无事故百分比并不能证明每条医嘱、每项药物信息、每份结果或每次预约都到达了正确目的地。
VA 的 2024 年 12 月重启规划公告报告了更好的结果。公告称，所有已上线站点的退伍军人信任评分均有上升，停机次数下降，用户平均中断次数接近零，临床医生满意度有所改善。这些是由当事方自行报告的指标，不过 VA 称信任评分来自退伍军人调查。它们可以作为修复证据，但应与指标定义、分母、站点层面的差异，以及 GAO 报告中独立的用户满意度调查结果相互核对。
VA 在 2026 年 3 月提出了更强的可靠性主张。副部长称，系统在 2023 年 6 月至 2025 年 12 月的 31 个月中有 27 个月达到无停机目标，连续 30 个月达到工单管理目标，并在 2024 年 3 月至 2025 年 12 月的每个月都达到无事故时间目标。该声明还介绍了单一治理委员会、标准化基线、更密切的高层参与和本地站点访问。这些主张足够具体，可以接受检验。持久的问题在于，VA 和独立审查方是否能够取得底层事故数据、排除规则、责任归属和临床影响关联。
OIG 建议的关闭提供了另一项修复信号。截至 2026 年 7 月 15 日，2024 年重大事故审计的 9 项建议中有 7 项被列为已关闭并落实。已关闭工作包括指标与抵扣额验证、事故优先级划分、解决后信息、对全国停机程序的熟悉、备份系统培训、审查已识别的患者安全报告，以及建立将重大事故与患者不良结局关联的机制。2 项未关闭建议之所以重要，是因为它们位于供应商与政府的边界：实时共享事故数据，以及无论事故责任方是谁都有效的通知与解决指标。
Lovell 提供了一项结果复杂的内部检验。OIG 2025 年 9 月的接口备忘录确认，VA 和 Oracle Health 对所审查的 24 个接口实施了正确测试，并在适用时进行了复测。备忘录也发现文档不充分，4 个接口出现 "未运行" 与 "已通过" 相互矛盾的标记，另有 2 个 VA-DOD 接口缺少功能，原因是测试人员没有考虑联合工作流程。这既不是判定部署失败，也不是彻底免责。它表明，即使测试已经开展，审计轨迹仍可能薄弱到无法准确证明测试和验收的具体内容。
部署本身已经恢复。VA 报告称，Michigan 的 4 个中心于 2026 年 4 月 11 日上线，Ohio 南部和 Kentucky 北部的 4 个中心于 6 月 6 日上线。后一份公告介绍了同伴支持、提前启用指挥运营和集中监控。到 6 月 26 日，VA 称系统已投入运行于 14 个医疗中心和 75 家诊所，服务超过 515,000 名退伍军人；Spokane 早期版本缺少目前已经纳入的 13,000 项升级。
这些部署是运营证据，表明 VA 能够在重置后完成多个站点的切换。但它们尚不是持久的患者安全证明。另有 5 个站点安排在 2026 年 8 月和 10 月上线，晚于本文截止时间。所援引的公开记录尚未包含对 2026 年 8 个站点所作的独立、跨多月比较，比较内容应涵盖安全报告、用药核对、预约完成、医嘱闭环、停机后核对、生产率、人员配置和患者体验。早期成功应被记录为早期成功，而不能转化为最终结论。
GAO 2025 年 12 月的情况快照提出了最强烈的谨慎理由。它称，5 项主要 EHR 审查提出的 18 项建议中有 16 项尚未完全落实，其中包括 12 项优先建议。VA 已关闭为全部 9 项重置指标设定基线和目标的建议，但成本、进度、变更管理、用户满意度、工单时效、独立运营评估、数据质量、测试和利益相关方参与等建议仍处于未关闭或部分落实状态。GAO 称计划观察 2026 年部署中重大测试发现能否得到持续解决。截至 7 月 15 日，这项计划中的观察属于尚缺失的验证记录。
最新的独立预约排期背景也提示，不应假定一个平台即可消除碎片化。GAO 的 2026 年 6 月预约排期证词描述了数十个 VA 预约排期系统和工具，指出 Oracle Health 的推广因技术和性能问题而延误，并讨论了在旧系统与 Oracle Health 站点之间实现自助预约排期标准化的持续工作。从长期看，统一 EHR 可以减少碎片化，但过渡期本身包含多个门户、预约排期规则、接口和站点状态，必须加以治理。
反事实比较有助于明确成功的含义
第一项反事实是继续执行重置前的部署计划。如果 VA 在未知队列、药房、预约排期、事故响应、用户满意度和生产率问题尚未解决时，仍于 2023 年继续增加站点，那么在控制标准化之前，会有更多退伍军人和员工进入风险暴露范围。暂停带来了延误和过渡成本，但正式记录支持这样一项推断：暂停限制了影响范围。尚不明确的是暂停防止了多少起事件；任何公开来源都无法提供这个数字。
第二项反事实是把 VistA 视为零风险的后备方案。事实并非如此。VA 推进现代化，是因为各地有所差异的旧系统实例限制了互操作性、维护、安全和纵向病历。无限期保留 VistA 会为许多用户保留熟悉的工作流程，但也会保留碎片化，并需要持续投资。负责任的比较并非 "新系统坏、旧系统好"，而是分阶段过渡至 Federal EHR、长期维持混合状态、重新设计采购方案，或继续对旧系统进行现代化，哪一种方案能让每一美元和每一单位中断获得经过验证的最佳临床结果。
第三项比较是 DOD 对同一核心商业平台的部署。Oracle 2024 年的声明称，该系统已在 DOD 的 3,890 个驻地设施上线，拥有超过 197,200 名用户，为超过 950 万名受益人服务。这一规模证明核心产品能够在大型联邦环境中运行，但不能证明 VA 的实施在每个阶段都是安全的。VA 与 DOD 在配置、集成、治理、人员配置、临床路径、患者人口构成、旧数据和本地运营模式方面均有差异。比较由此把问题从 "产品是否可能扩展到这一规模"，转向 "为何 VA 特有的社会技术系统产生了已有记录的失败，以及这些原因是否已经修复"。
第四项比较是 Lovell 与最初 5 个站点。Lovell 在重置期间上线，上线时没有报告关键或高严重级别的测试发现，并被 VA 与 Oracle 作为更有力的部署案例。OIG 后来确认，其抽样接口接受了适当测试，但也发现文档和功能缺陷。这里的教训并非以二元方式判定 Lovell 成功或失败，而是更好的部署仍可能留下证据缺口；在把该方法复制到更大批次之前，应先补上这些缺口。
第五项反事实是设置更严格的部署关口。VA 本可以要求先关闭每项 GAO 优先建议和 OIG 重大事故审计剩余的 2 项建议，完成独立运营评估，提供最新生命周期成本与综合进度，以及跨多月的站点级结果证据，然后再提速。这样做可以减少不确定性，却会延长混合环境、增加延误成本并推迟互操作性收益。可辩护的决策可以接受部分工作尚未关闭，但前提是每项例外都有明确责任人、有界风险、补偿性控制、截止日期和透明理由。"未关闭" 绝不应意味着无人负责。
已确认事实、有依据的推断与未知事项
已确认事实。 VA 于 2018 年 5 月将一份 10 年期 EHR 合同授予 Cerner，2020 年 10 月首次在 Spokane 部署系统，2022 年扩大到另外 4 个站点，并于 2023 年 4 月停止大多数后续部署。Oracle 于 2022 年 6 月收购 Cerner，接手承包商角色。VA 于 2024 年 3 月继续在 Lovell 上线，2024 年 12 月开始规划更大范围的重启，并于 2026 年 4 月和 6 月在另外 8 个医疗中心完成部署。
已确认事实包括：OIG 发现数千条临床医嘱被路由至未知队列，VHA 审查确认 149 起患者伤害事件；预约排期检查得出结论，一项 EHR 错误和不充分的心理健康护理共同促成一名患者死亡；药房报告发现，一项编码错误在新 EHR 与旧 EHR 站点之间传输了不准确的药物和过敏信息，并发现存在权宜措施、人员配置和员工负担问题。
已确认事实还包括：OIG 统计截至 2024 年 3 月 31 日由 VA 或 Oracle Health 负责的 826 起重大性能事故，系统受影响时间合计 1,909 小时 26 分钟；GAO 发现，截至 2024 年 6 月，VA 已实施超过 1,500 项配置变更，截至 2025 年 2 月约有 1,800 项复杂变更请求尚未处理，而 2024 年 9 月用户满意度仍明显偏低。已确认事实也包括 VA 后来公布了改善后的可靠性指标，不过这些仍是 VA 自行报告的指标，而非独立结论。
已确认的法律和治理事实包括法定季度报告义务、2024 年拨款条件、年度化合同选择期结构、合同绩效阈值、已关闭和未关闭的 OIG 建议。已确认的成本事实包括原合同上限、不同的生命周期估算，以及 VA 报告的截至 2025 财年第二季度的付款义务。每个数字衡量的范围不同。
有依据的推断。 这些失败属于社会技术问题，并非只有软件缺陷，也并非只有用户错误。产品行为、配置、数据转换、接口、合同设计、事故信息、临床政策、培训、人员配置、本地工作流程和随访相互作用。之所以支持这一推断，是因为监督记录在所有这些层面都发现了薄弱环节，而且不同事故跨越了不止一个控制边界。
以下同样属于有依据的推断：2023 年重置在 VA 与 Oracle 作出变更期间延缓扩张，从而降低了即时风险暴露；只有当 VA 能够独立验证数据并执行补救措施时，年度选择期和 SLA 抵扣才会增强约束力；更高的正常运行时间本身并不能证明医嘱完成、药物信息准确、预约排期安全或停机后核对有效。ONC 的 2025 SAFER Guides支持这一更广泛的标准，其中把 EHR 安全视为组织责任、应急规划、系统管理、医嘱录入、结果随访、患者识别和临床医生沟通的组合。
8 个 2026 年上线站点具有意义但只是尚不完整的修复证据，这也属于有依据的推断。多个站点运行而未立即出现公开危机，具有相关性。要得出持久结论，还需要足够的时间和数据，以检测低频伤害、权宜措施、延迟随访、生产率影响，以及异常队列或跨系统问题是否复发。
未知事项。 公开记录没有披露完整事故日志、供应商全部遥测数据、每项变更控制决策、全部根本原因分析、全部患者安全报告、每名受影响患者，或 149 起未知队列伤害事件的完整严重程度分布。它未能确定 EHR 对每次预约延误、人员配置问题、不良事件或临床结果的全部因果贡献。
当前记录没有提供一份完整且经独立验证的生命周期成本估算，以反映重置和提速后的进度。它没有提供完整的发票抵扣总额、每次 SLA 未达标与补救措施之间的公开对应关系，也没有提供 VA 与 Oracle Health 之间完整的商业损失分配。它没有揭示年度选择期授予或部署决策背后的所有内部讨论。
本文援引的记录尚未提供对 Michigan 和 Ohio 南部/Kentucky 部署所作的跨多月独立结果比较、2026 年稍后安排的 5 个站点的完整证据，或每项已关闭建议在负载增加后仍然有效的证明。它不能证明现代化已经完成、此前每个缺陷均已修复，或未来不会发生事故。这些未知事项应保持可见，而不应以对动机、能力或隐蔽伤害的假设填补。
对下一部署批次的持久问责检验
第一项检验是 临床事务闭环。VA 与 Oracle 应能够证明，医嘱、转诊、检验结果、处方、消息和预约均到达有明确责任人的目的地。异常队列必须可见、配备人员、记录积压时长并得到核对。不能仅因发起端屏幕接受了一项事务，就把它计为成功。安全指标应按站点和临床风险报告完成、延迟、重新路由和人工干预情况。
第二项检验是 事故与结果关联。每起重大事故都需要在 VA 和 Oracle 工单系统中使用共同标识符，并记录准确起止时间、受影响功能、站点、用户、临床工作流程、权宜措施和纠正行动。VA 的患者安全系统应能使用该标识符关联不良事件和险情，无需人工搜索关键词。剩余 2 项 OIG 建议只有在实时数据访问和不因责任方不同而异的指标实际运行，而非仅完成设计时，才应关闭。
第三项检验是 停机连续性与核对。每个站点都应证明，临床医生能够访问可信的只读病历，使用标准表格，继续开展高风险用药和医嘱流程，识别停机期间发生的变更，并在恢复后核对每份临时记录。演练既应覆盖全面停机，也应覆盖局部性能下降，因为缓慢、不完整或不可信的 EHR 可能比明确不可用的系统更难判断。
第四项检验是 跨边界的药物与身份完整性。VA 应持续抽样检查药物、过敏、免疫接种、人口统计和患者身份数据在 DOD、Oracle Health、VistA、社区医疗、药房模块和患者门户之间流转的情况。对后果严重的字段而言，平均值并不足够。系统需要阈值、异常审查、患者通知规则，以及相关证据，以证明一项纠正能传播到所有应当到达之处，同时不会覆盖权威数据。
第五项检验是 人员工作负担。准备情况应包括人员配置、加班、每名患者对应的 EHR 使用时间、队列积压、工单负担、人员流失、倦怠指标和本地生产率。如果一种工作流程只有在药剂师、预约排期人员或护士加入永久人工检查后才安全，就不能说它已得到完全修复。人员配置可以在过渡期间作为有效的补偿性控制，但其成本、期限和退出条件必须明确。
第六项检验是 独立运营验证。在运行时间足以观察常态和高峰状况后，VA 应发布对 2026 年各站点的独立评估，或将其提供给监督机构。该审查应把 VA 的可靠性主张同原始定义、被排除的事故、供应商责任归属、患者安全报告和站点结果相互核对。它应检验标准化全国基线是否得到实际使用，以及必要的本地差异是否受到治理，而非被隐藏。
第七项检验是 合同后果。年度选择期应披露哪些绩效证据支持继续履约、哪些阈值未达到、适用了哪些抵扣或其他补救措施、哪些缺陷仍被接受，以及由谁批准每项例外。没有经验证数据和可预期执行的服务水平协议，只是一种报告惯例，并非问责。合同补救也不应取代临床纠正；发票冲抵无法修复一条遗漏的医嘱。
第八项检验是 如实反映成本与进度。VA 需要一份最新、独立的生命周期估算和综合进度，其中包括混合运行期、站点准备、基础设施、临床人员配置、运维、当前选择期结束后的后续采购，以及旧系统退役。决策者应看到区间和不确定性，而非一个醒目的单一数字。加快推广可以减少多年的双系统成本，但如果准备情况假设有误，也会成倍增加补救成本。
第九项检验是 透明的部署关口。每个批次开始前，VA 应公布用于批准上线的指标、阈值、未解决问题、补偿性控制、责任高管和独立证据。每个批次完成后，还应公布相同指标与部署前基线的比较结果。如果某一阈值获得豁免，豁免文件应说明临床理由、有效期限和升级路径。
最后一项检验是 控制权与负担是否一致。VA 对公共使命、临床政策、采购和部署决策负责。Oracle Health 对合同约定的技术和服务义务负责。设施在全国性控制范围内对本地执行负责。临床医生对其能够合理履行的专业行为负责。国会和独立审计机构负责监督。退伍军人不控制任何隐藏的系统机制。持久的问责制度应防止最后这一群体因他人所控制的失败而以延误护理或承受不确定性为代价。
截至 2026 年 7 月 15 日，证据支持一项平衡的结论。项目早期造成了经确认的患者伤害、严重的事故控制失败和巨额公共成本，实施重置有其正当性。项目也带来了可衡量的改善、更有力的合同结构、监督建议关闭，以及 2026 年新增的 8 个上线站点。尚未得到证明的是全国规模下的持久性。只有当每次新部署增加的不只是用户和站点，还包括可独立验证的证据，证明临床事务能够闭环、事故与结果能够关联、员工能够安全恢复、补救措施得到执行，而且未解决风险在真正受到控制前始终保持可见，VA 与 Oracle Health 才算通过这项问责检验。