4. 现状调研与风险评估

容灾建设最容易犯的错误，是还没摸清现状就开始采购设备、规划双活。现状调研与风险评估的目的，是把医院现有 IT 架构中"一旦出事会怎样"的答案找出来，并量化它与目标容灾能力之间的差距。这一节按机房、网络、存储、数据库、中间件、应用链路六个层面逐层排查，最后汇总成容灾差距分析。

一、调研的基本方法：先画链路，再逐层找单点

调研不是逐台设备登记台账，而是沿着"一次业务请求从终端到数据落盘"的完整路径走一遍。以门诊挂号为例：自助机/PC 终端 → 接入交换机 → 核心交换机 → 防火墙 → 应用负载均衡 → 挂号应用服务器 → 中间件（如 Tomcat/WebLogic）→ 数据库连接池 → 数据库实例 → 存储 LUN → 磁盘。这条链路上任何一环没有冗余，就是单点故障（SPOF）。调研的核心动作就是：画出链路、标出每一跳的设备与冗余状态、记录故障域边界。

建议采用"三问法"记录每个节点：该节点故障时业务是否中断？中断后多久能恢复？恢复依赖人工还是自动？这三个问题的答案，直接决定后续容灾等级（如 RTO/RPO 目标）的设定。

二、机房层：供电、制冷、消防与物理隔离

机房层排查重点是故障域。需要确认：主备机房是否在同一栋楼、同一变电站、同一市政供水/消防分区？如果两个机房共用一路市电或同一台 UPS，那么"双机房"只是形式上的冗余。典型排查项包括：市电引入路数、UPS 单机/并机、电池后备时间、柴油发电机启动时间与油料储备、精密空调 N+1 情况、气体消防分区、机柜承重与布线路径。

一个常见的差距是：医院只有一间主机房，UPS 后备约 30 分钟，无发电机。这意味着市电中断超过 30 分钟，所有系统停机，RTO 实际为"数小时至数天"。这就是需要记录的容灾差距。

三、网络层：链路、设备与路由冗余

网络排查要区分物理链路冗余与逻辑路径冗余。物理上双上行不等于逻辑上无环无单点：如果两台核心交换机跑的是同一套 VRRP 主备，主设备故障时切换时间、STP 收敛时间、路由协议（OSPF/BGP）邻居重建时间都要实测。医院常见问题包括：核心到汇聚只有一条光纤、防火墙单机部署、互联网出口单运营商、跨机房链路走同一管道。

排查时应记录：链路带宽与利用率、设备 CPU/内存余量、关键接口的错包与丢包率、路由收敛实测时间。这些数据是判断"网络能否支撑双活"的直接依据。

四、存储层：RAID、双活与复制链路

存储层要看三件事：本地冗余、控制器冗余、跨站点复制。本地冗余看 RAID 级别与热备盘；控制器冗余看是否双控、双控失效时是否自动切换；跨站点复制看复制模式（同步/异步）、复制链路带宽与延迟、复制一致性组是否覆盖数据库与文件。

以同步远程复制为例，写 I/O 需等待两端确认，链路 RTT 每增加 1 ms，写延迟就增加约 1 ms。若两机房 RTT 为 5 ms，数据库高频小事务的响应时间会明显上升。因此同步复制通常要求同城机房距离在数十公里内、RTT 小于 5～10 ms。异步复制则 RPO 取决于复制周期与链路带宽，需按日均增量数据量估算。

五、数据库、中间件与应用链路

数据库层排查：是否主备/主主、复制模式（物理/逻辑）、复制延迟监控、备份策略与恢复演练记录、归档日志保留时间。中间件层排查：实例是否集群、会话是否共享、连接池配置、JVM 堆与 GC 情况。应用链路层排查：负载均衡健康检查、应用无状态化程度、配置文件与证书管理、上下游依赖清单。

这里最容易被忽略的是依赖关系：挂号系统依赖 HIS 数据库、依赖统一支付、依赖短信平台。如果短信平台是单点，挂号流程在短信环节仍会卡住。因此应用链路排查必须输出一张依赖关系图，而不是只列服务器清单。

六、容灾差距分析的输出

把六个层面的排查结果汇总，形成一张"风险项—现状—目标—差距—整改方向"的对照表，并标注每项的优先级。优先级判断可参考两个维度：发生概率与业务影响面。例如"机房无发电机"发生概率低但影响全院，属于高优先级；"中间件会话未共享"发生概率中、影响挂号与收费，也属高优先级。

差距分析还要落到量化指标上：当前 RTO 是多少、目标 RTO 是多少、当前 RPO 是多少、目标 RPO 是多少。例如现状 RTO 约 4 小时（依赖人工恢复）、RPO 约 15 分钟（异步复制周期），目标 RTO ≤ 30 分钟、RPO ≤ 5 分钟，那么差距就是"需要自动化切换 + 缩短复制周期"。这些量化结论，是下一阶段容灾方案设计与投资估算的直接输入。