4. 医疗业务连续性风险全景

医疗业务连续性保障的第一步不是买设备、建机房，而是把“可能让业务中断的东西”找全、找准。医院信息系统的中断往往不是单一原因造成的，而是基础设施、网络、应用、数据、人员、供应链、网络安全与物理环境八类风险相互叠加、逐级放大的结果。本节按这八个维度展开风险识别，并说明它们之间的传导关系。

一、基础设施风险：单点与容量是核心

基础设施风险指支撑 HIS、LIS、PACS、EMR 等核心系统的计算、存储、供电与制冷资源失效。识别时重点看三类问题：单点故障、容量瓶颈、隐性依赖。

单点故障的典型对象包括：单台数据库服务器、单台存储控制器、单路市电、单台核心交换机、单台虚拟化宿主机。以某三甲医院为例，其 HIS 数据库运行在一台物理服务器上，未做双机或集群，该服务器即构成“业务连续性单点”。识别方法是对每个核心系统画出“业务→应用→中间件→数据库→存储→供电”的依赖链，逐层标注是否存在冗余。

容量瓶颈常被忽视。例如 PACS 影像年增长约 20～30 TB，若存储剩余容量低于 15%，写入性能会明显下降；虚拟化集群 CPU 平均利用率长期高于 70%，一次批量任务就可能拖垮多个业务系统。识别时应记录关键资源的当前使用率、增长速率和告警阈值。

二、网络风险：链路、设备与配置

网络是医院各系统之间的“血管”。风险识别关注：核心交换机是否双机、上联链路是否冗余、内外网是否隔离、关键网段是否存在环路或广播风暴隐患、DNS 与 DHCP 是否单点。

一个常见场景是：门诊楼与住院楼通过单条光纤上联至核心机房，该光纤被施工挖断后，住院楼所有终端无法访问 HIS。识别时应绘制网络拓扑，标注每条链路、每台设备的冗余状态，并检查 VLAN 划分、路由策略、ACL 规则是否与业务分区一致。配置错误同样属于网络风险，例如误删路由、误改网关、ACL 误封端口，都可能造成大范围中断。

三、应用风险：可用性、性能与版本

应用层风险包括：应用无高可用部署、版本升级引入缺陷、接口调用超时、批处理任务与业务高峰冲突、License 或证书过期。识别时应梳理每个核心应用的部署架构（单机/主备/集群）、依赖的中间件、对外接口清单，以及最近一次变更的时间和内容。

例如 LIS 与检验设备之间的接口若采用同步调用且无超时重试，当某台生化分析仪通信异常时，可能阻塞整个 LIS 的标本接收线程。识别这类风险需要查看接口日志、线程池配置和超时参数，而不是只看应用是否“能打开”。

四、数据风险：完整性、可恢复性与一致性

数据风险是医疗行业最敏感的一类。识别重点：备份是否存在、备份是否可恢复、RPO/RTO 是否满足业务要求、数据库是否有坏块或复制延迟、归档数据是否可读。

“有备份”不等于“能恢复”。某医院每日做数据库全备，但从未做过恢复演练，真实故障时发现备份文件因存储空间不足被截断，无法还原。识别时应明确：备份对象、备份频率、保留周期、存放位置（本地/异地/离线）、恢复演练记录。对 EMR、PACS 等关键数据，建议 RPO 不超过 15 分钟、RTO 不超过 30 分钟，并定期抽样恢复验证。

五、人员风险：技能、流程与在岗

人员风险包括：关键岗位只有一人掌握、值班交接不清、应急联系人失效、外包人员权限过大、变更操作无复核。识别时可制作“关键技能矩阵”，列出每项核心操作（如数据库切换、存储扩容、网络割接）的掌握人数和备份人员。

例如某院仅一名工程师熟悉 PACS 存储扩容流程，该工程师休假期间存储告警无人能处理，最终导致影像写入失败。识别人员风险要落到具体操作和具体人，而不是笼统地说“人手不足”。

六、供应链风险：设备、备件与服务

供应链风险指硬件备件、软件授权、原厂服务、云资源或通信线路的供应中断。识别对象包括：关键设备的备件库存、维保到期时间、原厂响应时限、单一供应商依赖、进口设备交付周期。

例如核心存储的维保在三个月后到期，若未续保，故障时原厂不提供备件；某型号服务器已停产，备件需从二手市场采购，交付周期不可控。识别时应建立关键设备清单，标注维保状态、备件情况和替代方案。

七、网络安全风险：勒索、泄露与横向移动

网络安全风险已从“数据泄露”扩展到“业务中断”。勒索软件加密服务器后，HIS、EMR、PACS 可能同时不可用。识别重点：边界防护、终端防护、账号权限、补丁管理、日志审计、备份是否离线。

常见薄弱点包括：服务器使用弱口令或共享账号、远程运维通道未做双因素认证、内网横向访问无限制、备份与生产网络未隔离。识别时应检查是否存在“一台终端被控即可横向渗透到数据库”的路径，并确认离线备份是否真正离线。

八、物理环境风险：机房、供电与灾害

物理环境风险包括：机房漏水、空调故障、UPS 电池老化、消防误喷、鼠害、雷击、地震、施工破坏。识别时应查看机房温湿度记录、UPS 带载测试记录、防水与排水措施、门禁与监控、以及机房所在楼层和周边施工情况。

例如 UPS 电池组已使用五年未更换，实际后备时间可能从 30 分钟降至 5 分钟，市电波动时无法支撑到发电机启动。物理环境风险往往与基础设施风险叠加，形成“市电中断→UPS 失效→服务器宕机→业务中断”的链条。

九、八类风险的传导关系

八类风险并非孤立。物理环境故障可导致基础设施失效，基础设施失效可导致应用不可用，应用不可用可导致数据写入中断，网络安全事件可同时影响应用、数据和人员操作，供应链问题会延长恢复时间，人员不足会放大以上所有风险。下图给出风险全景与典型传导路径。

十、风险识别成果：风险登记表

识别完成后应形成可跟踪的风险登记表，而不是停留在讨论。下表给出一个可直接参考的字段示例，其中数据为教学示例，实际填写时以本院真实情况为准。

八类风险中，基础设施、网络、应用、数据属于技术主线，人员、供应链、网络安全、物理环境属于支撑与外部条件。真正有效的风险全景，是把它们放在同一张图上，看清哪些风险会互相触发、哪些风险会延长恢复时间、哪些风险一旦发生就没有退路。下一阶段的连续性设计，正是围绕这些识别结果逐项建立冗余、备份、切换与演练能力。