Manual de Carino DICOM

Carino DICOM es una pasarela DICOM y un equipo de continuidad: recibe estudios, los enruta y los reenvía, los publica por Query/Retrieve y DICOMweb, y sostiene el servicio de imagen cuando el PACS o el RIS dejan de responder. Este manual cubre la puesta en marcha, los trabajos de cada día y qué hacer cuando fallan, el modelo de seguridad, cada servicio y sus límites reales.

Todas las capturas de este manual son de una instancia real de este software con estudios inventados para la foto. Aquí no aparece ningún paciente.

1. Qué es y qué papel juega

Carino DICOM se instala entre los equipos que generan imágenes y los sistemas que las guardan o las leen. No pretende sustituir a tu archivo: pretende ser la pieza que los conecta y la que sigue en pie cuando alguna de las otras se cae.

Hace dos papeles, y conviene distinguirlos porque determinan qué servicios activas:

• Pasarela permanente. Recibe por C-STORE, archiva en disco por paciente/estudio/serie, reenvía a uno o varios destinos según reglas, anonimiza la copia que sale si lo pides, y publica lo que tiene por Query/Retrieve (para equipos antiguos) y por DICOMweb (para visores modernos).
• Red de seguridad. Si el PACS principal deja de responder, puede activar su propia Modality Worklist para que los técnicos sigan estudiando, retener lo que llega durante la caída y reenviarlo automáticamente cuando el principal vuelve. También recibe órdenes HL7 por MLLP —o las capturas a mano— cuando el RIS es el que está caído.

Todo se define en un único config.json y todo puede ejecutarse sin interfaz gráfica. El panel web es cómodo, no obligatorio.

Puertos por defecto

2. Primeros pasos

Elige la forma de ejecutarlo

App de escritorio

Descarga el paquete de tu sistema desde la página de releases y ábrelo. Se queda en la bandeja del sistema; al hacer clic se abre el panel. Como todavía no está firmado digitalmente, Windows y macOS avisan la primera vez: en la portada están los pasos exactos para abrirlo igualmente.

En el primer arranque pregunta, una sola vez, si puede consultar en GitHub si hay una versión más nueva. Si respondes que no —o si cierras la pregunta— se queda desactivado, que es como viene de fábrica. Si está activado, una versión nueva aparece como una línea en el menú de la bandeja y junto a la versión en el panel Resumen; al hacer clic en cualquiera de las dos se abre la página del release en tu navegador. No se descarga nada ni se instala nada solo. La casilla Buscar actualizaciones del menú de la bandeja lo activa y lo desactiva cuando quieras, y esto solo existe en la versión de escritorio: los despliegues en contenedor y con systemd no lo tienen.

Docker

git clone https://github.com/MiguelCarino/Carino-DICOM
cd Carino-DICOM
mkdir -p data
echo "PACS_UID=$(id -u)" >> .env
echo "PACS_GID=$(id -g)" >> .env
docker compose up -d --build
docker compose logs -f pacs

El primer arranque genera e imprime un token de acceso en el log. Abre http://127.0.0.1:8042/ y pégalo cuando el panel lo pida. Todo —configuración, estudios, logs, índice— vive en ./data, que es lo que tienes que respaldar.

Servicio systemd (Linux)

git clone https://github.com/MiguelCarino/Carino-DICOM.git
cd Carino-DICOM
sudo packaging/systemd/install.sh

El instalador crea el usuario de sistema carino-pacs, copia el código a /opt/carino-pacs, prepara /var/lib/carino-pacs y deja la unidad instalada… y no la arranca. No es un olvido: arrancar un PACS abre puertos que aceptan datos de pacientes, y esa decisión se toma después de leer la configuración, no antes. Edita /var/lib/carino-pacs/config.json y luego:

sudo systemctl enable --now carino-pacs
systemctl status carino-pacs
journalctl -u carino-pacs -f

Volver a ejecutar el instalador actualiza el código sin tocar tu config.json.

Dónde viven los datos

El config.json vive con los datos, no en /etc, porque las rutas relativas del config ("./received", "./logs", "./index.db") se resuelven contra el directorio del propio fichero de configuración. Un config en /etc repartiría estudios de pacientes por /etc.

Primer arranque, en orden

1. Elige los servicios. Todo viene apagado. El asistente del panel pregunta qué debe ejecutar esta máquina; enciende solo eso.
2. Añade los destinos (nombre, host, puerto, AE title) en la pestaña Destinos de Configuración, que es la que abre por defecto.
3. Comprueba la conectividad antes de mover una sola imagen: pulsa Echo en la fila del destino. En una máquina sin panel, ./run.sh echo --name "PACS del hospital" hace lo mismo. Si el echo no pasa, no es un problema de Carino: es red, cortafuegos o AE title.
4. Apunta un equipo hacia aquí con la línea Apunta la modalidad a de la tarjeta del receptor, y envía un estudio de prueba (ver Cómo hago para…).
5. Mira el registro en la pestaña Registro de Actividad. Si algo falla, ahí aparece, y también en la tarjeta del servicio como Último problema; este software prefiere gritar a fallar en silencio.

Sin interfaz gráfica

./run.sh init            # crea config.json y sus carpetas
./run.sh init --token    # además genera web.auth_token
./run.sh serve           # panel en http://127.0.0.1:8042
./run.sh receive         # solo el receptor
./run.sh send            # solo el vigilante de carpeta / reenvío
./run.sh qr              # solo Query/Retrieve
./run.sh mwl             # solo la worklist
./run.sh ris             # solo el receptor de órdenes HL7
./run.sh print           # solo la impresora virtual
./run.sh echo --host 10.0.0.5 --port 104 --aet PACSREMOTO

Todos los comandos aceptan -c / --config <ruta>. En Windows, run.ps1.

3. Cómo hago para…

Recetas cortas para los trabajos que salen en el día a día. Cada una termina diciendo cómo sabes que funcionó; si no funcionó, el capítulo siguiente es la lista de lo que hay que revisar.

…apuntar una modalidad aquí para guardar imágenes

1. Abre Servicios. Si la tarjeta del Receptor dice que está parado, pulsa Iniciar.
2. Lee la línea Apunta la modalidad a de la tarjeta: un AE title, una dirección IP y un puerto (por defecto CARINODICOM y 11112). El botón de copiar que tiene al lado copia los tres. Si la máquina tiene más de una dirección, usa la que está en la red de la modalidad.
3. En la modalidad, añade un destino de almacenamiento —cada fabricante lo llama de una forma: nodo DICOM, archivo, «Enviar a» o «Store»— con esos tres valores. El AE title de la propia modalidad es el AE llamante; no hace falta escribirlo aquí.
4. Si en Configuración → Ajustes → Este PACS hay AE titles en Aceptar solo estos AE, añade ahí el de la modalidad, o el receptor la rechazará.
5. Lanza la prueba de conexión de la propia modalidad (suele llamarse Verify o Echo) y luego envía un estudio. Aparece en Estudios → Historial.

El botón Probar de la tarjeta comprueba el receptor desde esta misma máquina. Si Probar pasa y la modalidad sigue fallando, el problema está entre las dos: dirección, puerto, cortafuegos o la lista de AE permitidos.

…apuntar una modalidad aquí para imprimir

Para equipos cuya única salida es la placa. Carino se hace pasar por la impresora de placas y captura cada hoja para que la identifiques; no se imprime nada en papel.

1. Abre Servicios y pulsa Iniciar en la tarjeta de Impresión.
2. Lee su línea Apunta la modalidad a (por defecto CARINOPRINT, la IP de esta máquina y el puerto 11113).
3. En la modalidad, añade una impresora DICOM —a veces se llama impresora láser o de placas— con esos tres valores. La escala de grises siempre se ofrece; si la modalidad solo imprime en color, marca Aceptar también trabajos de impresión en color en Configuración → Ajustes → Impresión.
4. Pulsa Enviar una impresión de prueba en la tarjeta. En unos segundos aparece en Estudios → Pendientes una hoja marcada TEST PRINT — safe to discard («impresión de prueba, se puede descartar»). Eso demuestra que el receptor funciona; descarta la hoja.
5. Imprime una placa desde la modalidad. La tarjeta muestra Última impresión con el número de placas, el AE title de la modalidad y su dirección, el contador Capturadas sube, y la placa espera en Pendientes a que la apruebes (ver más abajo).

Guardar cada placa capturada como (en Impresión) decide en qué se convierte la placa cuando la apruebas. Muchos archivos y visores guardan un PDF pero no lo muestran; elige Imagen (Secondary Capture) si la placa tiene que leerse al otro lado.

El AE title de impresora que se teclea en la modalidad no se comprueba: aunque tenga una errata, imprime igual. Solo se filtra el AE title de la propia modalidad, y solo si rellenas Aceptar solo estos AE. Si una impresión falla, la tarjeta muestra Último problema; la tabla de problemas de impresión recoge cada mensaje y su arreglo.

…apuntar una modalidad aquí para que descargue su worklist

1. Asegúrate de que hay órdenes. O bien el RIS manda órdenes HL7 al servicio RIS de emergencia (puerto 2575), o bien alguien las teclea en Órdenes → Nueva orden.
2. En Configuración → Modalidades, registra la sala con el AE title exacto de su estación. Así el destino de una orden se elige de esa lista en vez de teclearse.
3. Abre Servicios, pulsa Iniciar en la tarjeta de Worklist y lee su línea Apunta la modalidad a (por defecto CARINOMWL y el puerto 11114).
4. En la modalidad, configura el proveedor de worklist (MWL, «HIS/RIS» o «servidor de worklist») con esos valores y haz la consulta.

Una orden sin destino aparece en todas las estaciones; una orden con destino aparece solo en la estación cuyo AE title coincide exactamente. Cuando el estudio vuelve, se concilia con su orden por número de accession y la orden se cierra sola.

…aprobar una placa pendiente

Las placas capturadas, y los PDF o imágenes encontrados junto a un estudio, esperan en Estudios → Pendientes. El contador 📎 junto a Estudios dice cuántos hay.

1. Abre la Vista previa y mira la hoja.
2. Si el paciente tiene una orden abierta, pulsa Asociar a una orden… y elígela. El nombre, el ID de paciente, el accession y el estudio salen de la orden, y la orden se cierra como capturada.
3. Si no, teclea tú la identidad. ID de paciente y Nombre del paciente son obligatorios; el accession, la fecha y la descripción, muy recomendables.
4. Si el elemento llegó junto a un estudio y has cambiado el paciente, elige a qué pertenece: Adjuntar al estudio original solo si ese estudio es de verdad de este paciente; si no, Estudio nuevo. Elegir mal archiva la hoja de un paciente dentro del estudio de otro.
5. Pulsa Aprobar y enviar. Se convierte a DICOM y se reenvía como cualquier otro estudio.

No hay deshacer: una vez aprobado, el fichero original desaparece de Pendientes y la copia DICOM ya va de camino. Un error se corrige en el archivo. Descartar quita un elemento sin enviarlo.

…arreglar un reenvío atascado

Abre Estudios → Atascados (el contador ⚠ junto a Estudios). Las filas se agrupan por estudio, con el paciente, el accession y la descripción, y se reparten en tres clases:

• Reintentando automáticamente: un destino rechazó la conexión o no contestó. Lee el error de la fila: dice si el remoto nos rechazó (y por qué, por ejemplo «add CARINOSCU to the remote's allowed AE titles», es decir, añade CARINOSCU a los AE permitidos del remoto), si cortó la conexión o si nunca contestó. Arregla eso, pulsa Echo en la fila del destino en Configuración → Destinos y luego Reintentar ahora.
• Retenido: no se envía nada: una retención por anonimización. Ningún temporizador la libera; usa los dos botones de la fila y mira Anonimización al reenviar.
• Sin destino al que reintentar: los ficheros van a un destino que se borró o se desactivó. Vuelve a activarlo, o pulsa Enviar a… y elige otro destino, o Quitar de la cola (pregunta antes) para dar la pérdida por buena.

…averiguar por qué falló algo

1. Mira la tarjeta del servicio. Cada listener muestra Último problema cuando algo salió mal; haz clic y se abre el registro ya filtrado por ese servicio.
2. En Actividad → Registro, usa los chips de servicio (recepción, envío, impresión, worklist, Q/R, RIS…), Solo errores y avisos y el filtro de texto: un AE title, una dirección IP o un número de accession lo acotan enseguida.
3. Para pasarle el problema a otra persona, copia las líneas visibles o descarga el registro de un día entero.
4. Pulsa Probar en la tarjeta. Si la prueba pasa desde esta máquina y la modalidad sigue fallando, mira la red que hay entre las dos.
5. Si cambió un ajuste y nadie sabe quién, Actividad → Auditoría dice la persona y las secciones que cambió.

4. Cuando algo va mal

Primero el síntoma, luego dónde mirar, luego el arreglo. Casi todas las filas empiezan en los mismos dos sitios: la tarjeta del servicio en Servicios (su Último problema) y Actividad → Registro. Las líneas del registro salen del motor en inglés y se citan aquí tal cual, para que las encuentres con el filtro de texto.

Envío, recepción y worklist

Impresión

Cada rechazo y cada fallo del receptor de impresión es una línea del registro (el chip de impresión), cuenta en los Errores de la tarjeta y aparece como su Último problema. Un trabajo correcto aparece como Última impresión.

Dos cosas que no son la causa: el AE title de impresora tecleado en la modalidad (no se comprueba) y que la modalidad deje a la impresora los números de la sesión y de la placa (se crean aquí si faltan). Una Presentation LUT se acepta y se ignora, y una modalidad que primero pregunta la configuración de la impresora recibe respuesta.

5. El modelo de seguridad y la regla del token

Empecemos por lo importante: el panel es la llave del archivo. Quien lo abre puede leer todos los estudios guardados, descargar los ficheros DICOM, cambiar cualquier ajuste, arrancar y parar servicios, borrar estudios y apagar el servidor. De fábrica hay un único secreto compartido y quien lo tiene lo puede todo: los perfiles son opcionales y están apagados hasta que usted los active. Al activarlos, cada persona entra como sí misma, con sus propios permisos, su propia vista de los identificadores del paciente y su propio nombre en la auditoría; el token compartido sigue funcionando como administrador, así que nada de lo que ya lo usa se rompe.

El menú se dibuja según lo que cada perfil puede hacer. Una fila aparece si el perfil tiene alguno de los permisos que necesitan sus pestañas, y después cada pestaña se comprueba por su cuenta: el perfil Radiólogo, que tiene routing.read pero no config.read, abre Configuración y ve Destinos y Rutas, pero no Ajustes, que es donde están el token de la API y el apagado del servidor. Recepción, que no tiene ninguno de los tres permisos, no ve la fila de Configuración.

La regla

La razón es concreta. Sin autenticación, en 127.0.0.1, el sistema operativo es el control de acceso: solo un proceso de esa misma máquina puede hablar con la API. Es defendible. Pero web.host lo configura el operador, y el día que alguien lo cambia a 0.0.0.0 para «poder entrar desde el otro PC» —con prisa, un martes, sin pensar en seguridad— esa misma API le entrega a cualquier vecino de la red la lista de estudios, las rutas de almacenamiento, los bytes DICOM y /api/shutdown. La regla existe porque ese cambio se hace en diez segundos y sus consecuencias duran años.

Todo contenedor está siempre en ese caso: un contenedor publica en 0.0.0.0 por construcción. Por eso la imagen genera un token de 256 bits en el primer arranque si no le das uno — y lo imprime. Lo que nunca hace es generarlo en silencio: un secreto que nadie ve es un secreto que nadie rota.

Cómo generar y entregar el token

./run.sh init --token                                  # lo escribe en config.json
python3 -c "import secrets; print(secrets.token_urlsafe(32))"
openssl rand -base64 32

El servidor acepta la credencial de tres maneras:

• Authorization: Bearer <token>
• X-Carino-Token: <token>
• una cookie de sesión que emite POST /api/login

La cookie existe para que el panel pida el token una vez en lugar de guardarlo en JavaScript, donde lo lee cualquier XSS y cualquier extensión del navegador. La cookie no lleva el token: lleva un HMAC calculado con un secreto generado al arrancar y guardado solo en memoria. Por eso un reinicio cierra todas las sesiones — es el precio correcto para un equipo de un solo operador: nada que robar en disco, y como mucho hay que volver a teclear el token una vez por turno.

El lado DICOM

• allowed_aets — lista blanca de AE titles que pueden asociarse. Vacía significa «acepta a cualquiera». Es un filtro útil, no una autenticación: DICOM no autentica al llamante.
• DICOM-TLS — disponible en ambos lados y de forma independiente, incluido TLS mutuo con certificado de cliente. Usa el mismo puerto: un par en claro no puede hablar con un receptor TLS, ni al revés. TLS cifra y autentica el transporte, no la aplicación: combínalo con allowed_aets o con certificados de cliente para tener control de acceso de verdad.
• Cortafuegos — los listeners DICOM escuchan en 0.0.0.0 por defecto (aunque todo listener está apagado hasta que lo enciendes). Eso es correcto para algo que las modalidades tienen que alcanzar, y significa que debes limitarlo por cortafuegos a la subred de las modalidades.

Lo que el modelo no protege

• Los perfiles están apagados hasta que usted los active. Hasta entonces hay un solo secreto compartido para todo el equipo, sin cuentas, sin roles y sin permisos. Ese sigue siendo el valor por defecto, porque activarlos en silencio durante una actualización rompería todos los clientes automáticos del sitio.
• No hay integración con su directorio. Las cuentas viven en el equipo. No hay LDAP, ni Active Directory, ni inicio de sesión único, ni forma de desactivar a alguien de forma centralizada cuando se va.
• La auditoría se puede truncar. Detecta un registro editado, uno eliminado del medio, registros reordenados y un fichero cortado a mitad de línea: cada caso rompe un resumen y Comprobar integridad dice en qué registro y por qué. No detecta que se borren los últimos registros, porque lo que queda es una cadena válida de verdad, ni impide que alguien con permiso de escritura sobre la carpeta la reescriba entera. Si necesita no repudio, copie la cabecera de la cadena a un sitio donde esta máquina no pueda escribir y compárela después.
• No hay cifrado en reposo. Los estudios son ficheros DICOM normales, el índice sqlite guarda nombres e identificadores en claro, las órdenes son JSON y config.json contiene el token en texto plano. Cifra el volumen por debajo (LUKS, BitLocker, FileVault) y restringe los permisos del directorio de datos.
• El listener HL7/MLLP no tiene ni TLS ni credenciales. Es un socket TCP con trama MLLP. Su único control es allowed_hosts, que comprueba la dirección del par y por tanto es suplantable. Quien pueda abrir una conexión a ese puerto puede inyectar órdenes que aparecerán en la worklist. Átalo a un segmento clínico de confianza y ponle cortafuegos.
• La anonimización no toca los píxeles. Ver el servicio correspondiente más abajo: los datos quemados en la imagen sobreviven a todos los perfiles.

6. Los servicios, uno por uno

Todo lo que abre un puerto viene apagado. La pregunta correcta no es «¿qué puede hacer?», sino «¿qué necesita hacer esta máquina?». Cada servicio encendido es un puerto abierto más. El índice de abajo es la única excepción: arranca solo, porque es una caché sqlite local que no abre ningún puerto.

Cada servicio tiene un solo interruptor. Iniciar en su tarjeta lo arranca y lo deja encendido tras un reinicio; Parar pregunta antes, lo para y lo deja apagado. En Configuración → Ajustes ese mismo interruptor es la casilla Ejecutar este servicio (también al arrancar), así que la tarjeta y el ajuste nunca pueden contradecirse. Guardar los ajustes reinicia solo los servicios cuyos ajustes propios cambiaron, y el panel dice cuáles.

Receptor — Storage SCP

Puerto 11112 · C-STORE, C-ECHO

Qué hace

Acepta estudios enviados por las modalidades y los archiva en disco, opcionalmente organizados por Paciente / Estudio / Serie. Acepta todas las sintaxis de transferencia y guarda lo comprimido tal cual: no hay transcodificación, así que ningún dato se altera al entrar.

Cuándo activarlo

Siempre que algo tenga que enviarle imágenes: modalidades, otro PACS, una estación. Es el servicio central.

Cuándo no

Si esta máquina solo reenvía lo que otro deja en una carpeta.

Auto-envío — Storage SCU y reglas de enrutamiento

Cliente saliente · C-STORE

Qué hace

Vigila una carpeta y reenvía cada fichero nuevo a los destinos que correspondan. Un fichero solo se envía cuando está estable (su tamaño no ha cambiado entre dos pasadas), así que nunca se reenvía un fichero a medio escribir. El progreso se lleva por destino: se da por terminado cuando todos los destinos habilitados lo han aceptado, y los que fallan se reintentan en la siguiente pasada. Al terminar puede conservar, mover o borrar el original.

Reglas

Con el enrutamiento activado, una regla decide destinos según modalidad, AE title de origen, estación, ID de paciente o descripción del estudio (comodines * y ?, sin distinguir mayúsculas). Ejemplo: la TC procedente de ER_* al archivo docente, anonimizada.

La garantía

Un estudio nunca puede quedarse sin destino. Si el enrutamiento está apagado, si ninguna regla coincide, si la cabecera no se puede leer o si una regla nombra un destino que ya no existe, el fichero va a todos los destinos habilitados. Enviar de más molesta al operador; enviar de menos pierde una imagen.

La única excepción

Una regla que pide anonimizar para un destino, cuando la limpieza no se puede hacer de verdad, deja ese destino retenido: no se le envía nada, en vez de enviarle el estudio identificado. Hay dos cosas que impiden la limpieza —que el perfil esté en off, o que el perfil esté activo pero no se pueda construir ningún anonimizador con los ajustes actuales— y se arreglan de forma distinta. En ambos casos no se pierde nada: ver Anonimización al reenviar más abajo.

Cuándo activarlo

Cuando esta máquina tenga que entregar imágenes a otro sistema: reenviar al PACS central, alimentar una estación de lectura, sacar copias a un archivo docente.

La pestaña puede dibujar una tercera sección, Sin destino al que reintentar, que aquí no sale porque en esta máquina no hay ninguno: son archivos enviados a un nombre que ya no es un destino habilitado. No queda ningún nodo al que llamar, así que nada los reintenta y ninguna edición de anonimización los mueve; cada fila dice qué pasará con ellos. Se arregla en Destinos, volviendo a habilitar ese destino con el mismo nombre o corrigiendo el nombre en la regla que los mandó allí; o desde la propia fila, con Enviar a… otro destino, o con Quitar de la cola para dar la pérdida por buena. Hasta entonces se quedan en la carpeta de salida, sin archivarse ni borrarse.

Modalidades registradas

Sin puerto · Configuración → Modalidades

Qué hace

La lista de salas a las que sirve este equipo: un nombre que una persona reconoce, el AE title de la estación que la worklist compara exactamente, el código de modalidad y, si quieres, el nombre de estación. No es una lista de permisos: un equipo no necesita estar aquí para enviar imágenes, y estar aquí tampoco se lo permite. Lo que se gana es que el destino de una orden pase a elegirse de una lista en vez de teclearse, y es la lista de la que la sonda de worklist toma prestado un AE title.

Cuándo rellenarla

Cuando sirves la worklist o tecleas órdenes a mano. Mientras no haya ninguna estación registrada, el destino de una orden se escribe a mano y una errata no se puede detectar.

Sonda de worklist — preguntarle al otro RIS

Cliente saliente · C-FIND de worklist · Configuración → Modalidades

Qué hace

Responde a «¿por qué este equipo no ve su lista?» sin tocar el equipo. Dale una dirección al RIS real del hospital —o a su bróker— en Ajustes y pulsa Probar worklist en la fila de una modalidad: Carino le hace a ese RIS la pregunta que haría esa modalidad, usando su mismo AE title, y archiva cada respuesta en Actividad → Sondas de worklist. Una ejecución hace la misma pregunta cinco veces, ensanchándola de clave en clave —estación, fecha y modalidad; luego sin la modalidad; sin la fecha; sin la estación—, porque lo que localiza el fallo es la diferencia entre las respuestas. Si no vuelve nada en ninguna, el otro RIS no tiene nada programado; si sólo la más estrecha vuelve vacía, el que está mal es el AE title de la estación.

Antes de pulsar

Saca la modalidad de la red primero. La sonda llama como esa modalidad, y dos cosas respondiendo al mismo AE title en un mismo RIS es un lío que luego hay que ir a deshacer.

Qué no es

Ni un servicio, ni una agenda, ni una cola. Lo que hay en Sondas de worklist es el registro de lo que contestó otro: esas órdenes no se sirven nunca en la worklist de este equipo, que no reclama ninguna. Limpiar vacía ese registro y nada más.

RIS de emergencia — órdenes HL7

Puerto 2575 · HL7 ORM^O01 sobre MLLP

Qué hace

Recibe órdenes HL7 por MLLP y también permite teclearlas a mano en el panel cuando no queda nada vivo aguas arriba. Cuando el estudio vuelve por C-STORE, se concilia con su orden por número de accession (con el ID de paciente como reserva) y la orden se cierra y se archiva para la traza — nunca se borra.

Cuándo activarlo

Durante una caída del RIS, o en pruebas de integración.

Qué garantiza

La entrega de imágenes nunca depende de que exista una orden. Un estudio sin orden que le corresponda se guarda y se reenvía igual; la orden simplemente queda abierta para conciliarla a mano.

Sin TLS y sin credenciales. Ver el apartado de seguridad: quien pueda abrir un socket a ese puerto puede inyectar órdenes. Solo en red clínica de confianza y con cortafuegos.

Impresión virtual

Puerto 11113 · DICOM Print, salida PDF o Secondary Capture

Qué hace

Se presenta como una impresora DICOM (AE title CARINOPRINT por defecto) y captura cada hoja de placa que le manden. Para equipos cuya única salida es la placa, es la forma de conservar algo archivable. Una placa no trae una identidad de paciente fiable, así que cada una espera en Pendientes a que una persona la identifique; nada impreso se reenvía solo.

Cuándo activarlo

Cuando tengas una modalidad que solo sabe imprimir y quieras rescatar su resultado. Los pasos están en Cómo hago para… imprimir.

Ajustes

En Configuración → Ajustes → Impresión: el AE title y el puerto, Aceptar solo estos AE (las modalidades que pueden imprimir; vacía significa cualquiera), Aceptar también trabajos de impresión en color y Guardar cada placa capturada como PDF o Imagen. Elige Imagen cuando el PACS o el visor que recibe no muestre PDF, y muchos no lo hacen.

Cómo sabes que funciona

Enviar una impresión de prueba en la tarjeta pasa una impresión completa por el receptor y deja en Pendientes una hoja marcada «TEST PRINT — safe to discard». Tras un trabajo real, la tarjeta muestra Última impresión (cuántas placas, de qué AE y desde qué dirección) y el contador Capturadas. Un rechazo o un fallo aparece como Último problema; ver la tabla de problemas de impresión.

Qué tolera

Modalidades que dejan a la impresora los números de la sesión y de la placa, una Presentation LUT (se acepta y se ignora) y un AE title de impresora tecleado distinto en la modalidad: el AE llamado no se comprueba.

Panel web

Puerto 8042 · HTTP, 127.0.0.1 por defecto

Qué hace

Estado de cada servicio, estudios, órdenes, destinos y reglas, registro de actividad en vivo, ajustes y un editor DICOM incluido. Todo lo que hace el panel existe también en la CLI.

Cómo se navega

El menú de la izquierda tiene seis filas: Resumen, Servicios, Estudios, Órdenes, Configuración y Actividad; y una séptima, Nodo de pruebas, sólo en un proceso arrancado con --dev-peer. Las tres preguntas que se hacen sobre el mismo montón de ficheros son las pestañas de Estudios —Historial, Pendientes y Atascados—; lo que se ajusta al poner el equipo en marcha son las pestañas de Configuración —Destinos, Rutas, Ajustes, Modalidades y Personas—, y esa pantalla abre por Destinos, no por Ajustes; y los registros son las pestañas de Actividad —Registro, Conexiones, Auditoría y Sondas de worklist—. Conexiones enumera las conexiones DICOM recientes en ambos sentidos y dice por qué falló una y qué cambiar, y en qué equipo; el botón Qué acepta de cada destino le pregunta por cada tipo de imagen guardado aquí. Sondas de worklist es lo que contestó otro RIS cuando este equipo le preguntó como una de tus modalidades. Órdenes mantiene su propia tira de abiertas y cerradas. La fila de Estudios lleva dos contadores que son botones, 📎 lo que espera aprobación y ⚠ lo que está atascado, y cada uno abre su pestaña directamente; Órdenes lleva el suyo. Un contador se oculta cuando vale cero, porque un número que dice 0 es una alarma encendida siempre, y una alarma que nunca se apaga deja de leerse: por eso llegar a Atascados es un solo clic mientras haya algo atascado, y dos cuando no lo hay —la fila y luego la pestaña—. Cada pantalla y cada pestaña tienen además su dirección —#studies/stuck, #configuration/routing, #activity/logs—, así que se pueden guardar en marcadores o dictar por teléfono, y el botón de atrás del navegador funciona. Los enlaces antiguos del estilo #dlgStuck siguen llevando donde llevaban. Resumen es la única excepción: responde a #overview si usted lo escribe, pero nunca se escribe solo en la barra de direcciones ni deja entrada en el historial. Imprime el nombre de un paciente, y una pantalla desatendida no debe volver ahí al recargarse.

Los chips de la cabecera

Los chips de servicio de arriba no cambian para quien puede arrancar y parar servicios. Para un perfil que no puede, siguen visibles como indicadores pero desactivados: que el receptor esté caído no es información reservada y quien está en el mostrador necesita verlo, pero no tiene sentido ofrecerle un interruptor que el servidor va a rechazar.

Cuándo moverlo de loopback

Solo con un motivo concreto — y entonces con token obligatorio y HTTPS delante. Ver la regla del token.

7. Esto no es un producto sanitario

Dicho sin rodeos, porque es más útil que una nota al pie:

• Si lo despliegas, la validación es tuya. El cumplimiento normativo, la evaluación de riesgos, la protección de datos y la responsabilidad clínica recaen sobre la organización que lo pone en producción, no sobre el proyecto.
• Se distribuye sin garantía de ningún tipo, como dice su licencia AGPL-3.0.
• No sustituye a tu PACS ni a tu RIS. Es la pasarela entre ellos y lo que mantiene el servicio en marcha durante una caída, hasta que vuelvan.
• Trátalo como infraestructura clínica de todos modos. Que no sea un producto sanitario no lo hace inocuo: mueve datos de pacientes. Cifrado del volumen, cortafuegos, TLS, token y copias de seguridad no son opcionales.
• Si la atención de un paciente depende de esto, la responsabilidad es tuya, no del software.

Nada de esto es pesimismo: el proyecto se toma en serio que una imagen que nunca llega en silencio es peor que un fallo ruidoso, y por eso prefiere negarse a arrancar, contar explícitamente las sub-operaciones fallidas y reenviar de más antes que de menos. Solo retiene una entrega en un caso, de forma ruidosa y reversible: un destino para el que una regla pide anonimizar cuando la limpieza prometida no se puede hacer, sea porque el perfil está apagado o porque el perfil está activo y no se pudo construir ningún anonimizador. Dice cuál de los dos es, porque los dos se arreglan de forma distinta. Pero el software solo puede responder de lo que hace él; del resto respondes tú.

8. Licencia y dónde pedir ayuda

Carino DICOM se publica bajo AGPL-3.0-or-later. Como es un servidor de red, se aplica el §13: si ejecutas una versión modificada como servicio, debes ofrecer su código a quienes la usen. Conserva el fichero LICENSE y un enlace al código con cualquier despliegue modificado.

• Código y seguimiento de incidencias en GitHub
• Política de seguridad — qué está protegido, qué no, y cómo reportar una vulnerabilidad
• Cómo contribuir

Si encuentras un error en este manual —o una traducción que un radiólogo no diría nunca— abre una incidencia. Los manuales en español, portugués, japonés y ruso son parte del proyecto, no un extra.

Carino DICOM · portada · parte del taller carino.systems · AGPL-3.0-or-later.