去年三月那场胃肠外科的手术直播，做到一半被导播台硬切了黑场。原因不是设备，是术野镜头里飘过一张还没打码的住院病历单，上面姓名、住院号、诊断全清楚。台下坐着的医院伦理委员当场起身，会后给我们出了整改单。这条"术野里任何带字纸片必须提前遮挡"的规矩，是我们拿一次事故换来的。
从那以后，摄行直播做医学手术直播，隐私脱敏不再是一个锦上添花的环节，而是开机前必须过的三道关。下面按部位拆开讲，哪一处翻车代价都不小。
面部遮挡不是打个马赛克就完事
很多客户第一次沟通时说"把脸糊一下就行"。真做起来没这么简单。我们一般用两种手段：一种是物理遮挡贴，3M 的医用肤色贴，术前贴在主刀和助手的眉心到下颌，不挡视线也不反光；另一种是后期动态马赛克，块大小锁在 16×16 像素，跟着人脸走。
物理贴的好处是零延时，坏处是摘戴麻烦，一场三小时的手术要换两次。动态马赛克灵活，但跟踪算法在镜头快速移动时会丢框。我们一般双保险：贴物理贴打底，动态马赛克做补位。说白了，宁可重一点，不能漏一帧。
术野画面里的病历单是高频雷区
术野镜头怼得很近，监护仪、病历夹、器械包上的标签全是字。我们现在的做法：术前一天把手术室走一遍，凡是会出现在画面里的带字物件，要么挪走，要么贴不透明胶条。监护仪屏幕上滚动的 patient ID，用一块遮光板物理挡掉，比后期抠图稳得多。
这里有个细节：麻醉机显示屏的波形可以留，但右上角的患者姓名栏必须挡。我们吃过亏，波形留了，名字忘了挡，回放时被挑出来。从那以后，术前核查清单里专门有一条"屏幕姓名栏确认遮挡"。这条现在由麻醉护士和我们的现场工程师双人签字，少一个都不开机。
实时脱敏和后期打码，两道关都要过
推流端我们挂一层实时脱敏，对固定区域做硬遮罩，这块不动；对动态人脸走算法。但实时层我们默认只挡 80%，剩下 20% 的漏网之鱼靠后期。直播结束后 48 小时内，剪辑台逐帧过一遍，把所有敏感帧打码导出，再替换线上回放。
为什么不全压在实时？因为实时算法的误杀率高，把器械也糊了会影响教学价值。我们宁可直播时留点尾巴，事后补全，也比直播中把关键操作糊成一片强。有回一台前列腺电切的直播，实时层把电切环也糊了，术者骂了半场，后来我们改成只遮人脸、器械一律留清。
术前那张授权书，别等开机才补
《个人信息保护法》第十三条要求处理敏感个人信息要有明确同意。落到手术直播上，就是每台手术前要签患者授权书，列明直播范围、脱敏方式、回放用途、留存期限。我们一般会提前三天把模板发给主刀秘书，开机当天早上核对签署率，必须 100% 才能推流。
遇到过患者家属手术前夜反悔的，当场撤机。规矩就是规矩，哪怕台下坐了三百个听课医生，授权没齐一样不能播。这条没商量，我们宁可丢一单，也不碰合规红线。
码率和遮挡贴的取舍
有人问，遮挡贴贴厚了会不会影响术野清晰度？会，但影响可控。我们把主路码率提到 8Mbps、1080p50，遮一块肤色贴损失的那点细节，在整体画质里几乎看不出。反过来，为了追求极致清晰把脸露了，那是合规事故，不是画质问题。优先级很清楚：合规在前，画质在后。
留存期限这条线，别忘画句号
很多团队只盯着直播当场，忘了回放也要管。我们和院方签的授权书里，回放留存一般锁在 6 个月，到期自动从线上和备份里清掉，清完留一份销毁记录。曾经有合作方想"永久回放当教学库"，被我们劝回去了，敏感数据留越久，风险敞口越大。我们一般建议把销毁动作也写进合同，别等到期了再扯皮。
我们现在的术中复核动作
直播进行中，导播台旁边坐一个专人，不碰任何设备，只盯画面里的敏感区。每二十分钟在群里报一次"遮挡正常"，出现异常三秒内喊停。这台直播下来，我们最多见过一次监护仪名字漏挡，三秒内切黑场补遮罩，观众端只看到半秒静帧。
直播和录播，分开脱敏才稳
还有一层容易混：直播流和精剪录播是两回事。直播流我们只做实时遮挡，图的是不掉帧；精剪录播要逐帧过，连背景里闪过的护士工牌都要打码。我们一般出两套成片，一套即时回放、一套归档教学，归档版脱敏更狠。一场三小时手术，归档版我们最多打过四百多个码块。麻烦，但这是医院伦理审计必查的项，省不得。我们一般建议主刀团队别把直播画面当教学母带用，两份分开留，责任也分开。
授权范围要写死在合同里
我们吃过口头约定的亏。有回院方口头说只院内教学用，我们按这个口径脱敏，结果对方把回放挂到对外平台，患者家属刷到认出自己，投诉到卫健委。从那以后，授权书逐条列明使用范围、展示平台、能否下载、留存多久，超范围用途一律重新签。口头答应不算数，白纸黑字才作数。我们也建议合作方合同里留一条超范围使用追责，双方都踏实。
所以如果你要在贵院做一场手术直播，别先问机位和码率，先问三件事：授权书齐了没、术前走过场没、术中谁盯遮挡。这三件定了，剩下的才是技术。我们一般建议至少留出两周做合规准备，别拿一周硬赶。回放期限也顺手在合同里写死，省得日后返工。
