该技能定位为资深医疗软件架构师，专注于 HIPAA 合规、AWS HIPAA-eligible 服务与生产级医疗系统。其核心要求是在代码触及或可能触及 PHI 时主动执行四项动作：识别（标注哪些数据元素属于 PHI 及原因）、架构（给出符合 HIPAA 的模式）、实现（编写具体可投产代码）、告警（在上线前指出违规点）。
一、用途 用于在 AWS 上构建符合 HIPAA 的医疗软件，尤其是医疗 SaaS 产品与涉及受保护健康信息（PHI）的系统。技能要求在未主动询问合规影响时也主动应用相关合规知识。
二、主要能力
- PHI 识别：资料列出 18 项 PHI 标识，分为身份（姓名、SSN、账号、病历号、证书/执照号）、联系（电话、传真、邮箱、完整地址、ZIP，人口超 2 万时仅前 3 位）、时间（与个人关联的日期，单独年份除外；90 岁以上记为“90 or older”）、设备/数字（IP 地址、设备 ID、URL、生物识别标识）、财务（健康计划受益人编号、支付信息）、视觉（全脸照片、可比图像）。关键规则：健康数据 + 任一标识 = PHI，适用于数据库记录、API 负载、日志、错误消息、S3 对象名、CloudWatch 日志、Slack 消息等。
- AWS 架构基线：要求先在任何 PHI 处理前于 AWS Artifact 签署 BAA（无例外）。示例要求启用 CloudTrail 审计跟踪（多区域、日志文件校验）、AWS Config 记录器与 GuardDuty。核心架构将公开区（ALB、WAF、CloudFront）与私有的 PHI 区（EC2/ECS 应用服务器、启用 TDE 的 RDS、加密的 ElastiCache、VPC 内 Lambda）分离，并设安全与审计层（CloudTrail、CloudWatch、GuardDuty、AWS Config、Security Hub、KMS）。资料提供 Terraform 的 HIPAA-ready VPC 基线示例（私有/公有子网、NAT 网关、VPN 网关、flow log），并提示绝不在资源标签中放 PHI。
- 加密默认项：提供 KMS 密钥示例（启用年度轮换、拒绝非 VPC 访问策略）、启用加密的 RDS 实例（AES-256 TDE、35 天备份保留、删除保护、多可用区、日志导出、禁止公开访问）与 S3 PHI 存储示例（KMS 服务端加密、启用版本控制、阻止公开访问）。
- 审计日志：要求记录 what、who、when，但绝不记录 PHI 本身。提供 create_audit_log 与 sanitize_error_message 示例，正则脱敏 SSN、邮箱、电话，并给出错误日志的正确与错误写法对比。
- 访问控制：最小必要标准。提供 HIPAARole 枚举（主治医师、执业护士、计费人员、前台、IT 管理员、研究者）与 PHI_ACCESS_MATRIX 访问矩阵，以及 require_phi_access 装饰器示例，越权时记录审计并抛权限错误。
- 会话管理：提供不同场景超时配置（公共终端 2 分钟、临床工作站 10 分钟、移动健康应用 5 分钟、管理控制台 5 分钟），以及 secure、httponly、samesite 设置。MFA 要求：PHI 必启，允许 totp 与 webauthn，不建议 SMS；账户锁定 5 次、锁定 30 分钟。
- API 设计：提供 FastAPI 的 FHIR R4 患者端点示例，使用 OAuth2 授权码流程与 scope 校验（patient/*.read），按角色过滤字段、审计每次访问，并使用 slowapi 做速率限制（普通 60/分钟，批量导出 2/小时）。
- 开发/测试去标识化：强调非生产环境绝不使用真实 PHI。提供 deidentify_record 示例，用确定性盐值哈希保持外键关系，姓名/邮箱/电话用假数据，SSN 与地址抑制，日期仅保留年份，ZIP 仅前 3 位，临床编码可保留。
- BAA 清单：列出 AWS 各项需签 BAA 的服务（EC2/ECS/EKS/Lambda、RDS/Aurora/DynamoDB/ElastiCache、S3/EBS/EFS、CloudTrail/CloudWatch/GuardDuty、KMS/Secrets Manager、Cognito/WAF/ALB、SES/SNS 有限制），以及需签 BAA 的第三方（认证、APM/日志、错误追踪、邮件、支持工具、分析、AI/ML 厂商），并提示缺失 BAA 即直接违规，平均罚款 10 万至 190 万美元。
- 代码审查清单：覆盖 PHI 暴露（日志、错误消息、URL 参数、S3 对象键、资源标签、CloudWatch 指标名）、加密（静态 AES-256/KMS、传输 TLS 1.2+、环境变量禁用明文、无硬编码凭据）、访问控制（API 层最小必要、先查角色后取数据、每次访问产生审计、无共享服务账号）、会话安全与开发测试。
- 创始人上线检查清单：首个试点前需签 AWS BAA、完成全部供应商 BAA、由医疗律师审阅隐私政策与服务条款、记录风险分析、验证加密、审计日志写入 WORM 存储；首个 100 名患者前需完成渗透测试、撰写并测试事件响应计划、记录员工培训、准备客户 BAA 模板；持续项包括每 6 个月漏洞扫描、每 12 个月渗透测试、年度或重大变更后风险分析复审。
三、使用方式 作为技能加载后，以架构师角色在开发与评审过程中主动应用上述识别、架构、实现与告警流程。资料中涉及的命令与代码（AWS CLI、Terraform、Python 示例）应原样保留使用，具体安装命令资料未提供。
四、适用场景 医疗 SaaS 开发、处理 PHI 的软件系统、在 AWS 上构建 HIPAA 合规架构的团队。
五、限制 资料未提供该技能的收费、价格、平台限制或效果承诺；资料未提供安装命令；除资料明确列出的内容外，不应推断其他功能。