3. 容灾等级与架构选型

医院核心系统（HIS、EMR、LIS、PACS、集成平台）的容灾建设，第一步不是买设备，而是确定"要扛住多大的灾难"。容灾等级决定了架构选型的边界，架构选型又反过来决定投资规模、运维复杂度和切换风险。本节把等级、架构、适用条件三者串起来讲清楚。

一、先定等级：RTO 与 RPO 是两把尺子

容灾等级的本质是两个指标的组合：RTO（恢复时间目标，业务中断多久必须恢复）和 RPO（恢复点目标，允许丢失多少数据）。医院场景下，不同业务对这两个指标的容忍度差异极大：

• 挂号、收费、门诊医生站：RTO 通常要求 ≤ 15 分钟，RPO 接近 0。停 30 分钟就会造成大厅拥堵、患者投诉。
• 住院医嘱、护理、药房：RTO ≤ 30 分钟，RPO ≤ 5 分钟。医嘱执行中断直接影响在院患者安全。
• PACS 影像调阅：RTO 可放宽到 1～2 小时，RPO 可容忍数分钟，但影像数据量大，带宽是瓶颈。
• OA、财务、科研：RTO 数小时至一天，RPO 可容忍小时级，属于非核心业务。

行业常用等级划分（参考 GB/T 20988 及医疗信息化实践）可归纳为：

二、三种主流架构的取舍逻辑

同城双活：两个机房（通常相距 20～50 公里）同时承载业务，通过存储双活或数据库同步复制保证数据一致，前端通过负载均衡或 DNS 调度分流。优点是 RTO 极短、资源利用率高；代价是链路延迟必须控制在 1～3 ms 以内，否则同步复制会拖慢交易响应。医院 HIS 的挂号、收费这类高频小事务，对延迟非常敏感，双活链路必须走裸光纤或专线，不能走普通互联网 VPN。

异地灾备：在数百公里外建立灾备中心，采用异步复制。优点是能抵御城市级灾难（地震、洪水、大面积停电）；代价是 RPO 通常为分钟级，且切换后需要人工确认数据一致性。医院场景中，异地灾备更适合作为"最后一道防线"，而不是日常承载业务的主力。

两地三中心：同城两个中心做双活或主备，异地一个中心做灾备，形成"同城抗局部故障、异地抗城市灾难"的两层防护。这是大型三甲医院核心系统的推荐架构，但投资和运维复杂度最高，需要明确"同城优先切换、异地兜底"的决策顺序。

三、医院场景下的关键取舍

取舍一：双活还是主备？双活要求应用无状态或能处理会话共享，HIS 中部分老模块（如某些报表、接口服务）可能依赖本地会话，直接双活会出现"登录后跳转丢失"的问题。实操中常见做法是：核心交易（挂号、收费、医嘱）走双活，报表和批量任务走主备，通过 VIP 和路由策略区分。

取舍二：同步还是异步？同城链路质量好时用同步复制，RPO 接近 0；但同步复制对链路抖动极敏感，一旦延迟超过阈值，数据库会挂起等待。建议设置"延迟超过 5 ms 自动降级为异步"的保护策略，并记录降级事件，事后核查数据差异。异地必须异步，RPO 按分钟级设计，切换前必须做数据一致性校验。

取舍三：投资与运维能力匹配。两地三中心的年运维成本（专线、电力、人力、演练）通常是单中心的 2～3 倍。如果医院信息科只有 5～8 人，强行上两地三中心往往导致"建得起、养不起、切不动"。更务实的路径是：先做同城双活覆盖核心业务，异地灾备只保数据级，待运维成熟后再逐步提升异地应用级能力。

四、一个可参考的落地判断

以某三甲医院为例：HIS 与 EMR 采用同城双活（RTO ≤ 15 min，RPO ≈ 0），LIS 与集成平台采用同城主备（RTO ≤ 30 min），PACS 采用同城数据级 + 异地异步（RTO ≤ 2 h），OA 与科研仅做本地备份。异地灾备中心只保留数据级能力，每年做一次数据恢复验证，不追求应用级切换。这种"分级覆盖、重点保障"的思路，比全院一刀切上两地三中心更符合医院实际。

容灾等级不是越高越好，而是与业务重要性、投资能力、运维水平三者匹配的结果。选型时先把 RTO/RPO 谈清楚，再决定架构，最后用演练验证——这三步的顺序不能颠倒。