临床智能体工具调用安全网关：允许列表、参数约束、双人确认、幂等与补偿

以 ToolCall 为不可分割审计对象，在智能体与临床系统之间实施工具允许列表、参数模式、情境授权、高风险双人确认、幂等和补偿。本文给出覆盖流程、责任、数据、架构、安全、指标、实施与验收的完整方法。