方家樹　王耀

[摘 要] 醫(yī)院信息系統(tǒng)業(yè)務(wù)范圍廣，涵蓋了醫(yī)療、管理的各個環(huán)節(jié)，經(jīng)過多年的建設(shè)，數(shù)據(jù)量大。一旦系統(tǒng)癱瘓或數(shù)據(jù)丟失，將會給醫(yī)院和病人帶來巨大的災(zāi)難和難以彌補的損失。建立醫(yī)院業(yè)務(wù)容災(zāi)系統(tǒng)勢在必行。本文通過對醫(yī)院容災(zāi)系統(tǒng)建設(shè)的目標、容災(zāi)系統(tǒng)的主要技術(shù)指標以及醫(yī)院建立容災(zāi)系統(tǒng)需要考慮的關(guān)鍵因素進行闡述。綜合考慮目標、效果、成本之后，從醫(yī)院現(xiàn)實所處條件、環(huán)境、具備的能力等方面綜合去設(shè)計適合的容災(zāi)方案，選擇具有快速恢復(fù)能力，能夠有效解決軟錯誤的容災(zāi)方案，當醫(yī)院信息系統(tǒng)面臨災(zāi)難性事件時，才能為業(yè)務(wù)保駕護航，使得醫(yī)院的業(yè)務(wù)系統(tǒng)鍵康穩(wěn)定地運行。

[關(guān)鍵詞] 醫(yī)院業(yè)務(wù)系統(tǒng)；容災(zāi)；主要技術(shù)指標；關(guān)鍵因素

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2018. 17. 070

[中圖分類號] TP315 [文獻標識碼] A [文章編號] 1673 - 0194（2018）17- 0177- 04

1 醫(yī)院業(yè)務(wù)現(xiàn)狀

醫(yī)院的信息化建設(shè)經(jīng)過十幾年的建設(shè)，HIS、LIS、EMR、PACS等業(yè)務(wù)都已經(jīng)建設(shè)完畢，當前任務(wù)是逐漸向數(shù)據(jù)集成平臺、信息互聯(lián)互通的方向進一步的建設(shè)。

在軟件層面，當前存在的業(yè)務(wù)軟件系統(tǒng)，已經(jīng)覆蓋全院的每個部門，涵蓋病人來院就診的各個環(huán)節(jié)，幾百上千臺客戶端同時運行，支持各方面的管理，成為醫(yī)院開展醫(yī)療服務(wù)的業(yè)務(wù)平臺，醫(yī)院信息系統(tǒng)的穩(wěn)定和安全性直接關(guān)系到醫(yī)院醫(yī)療工作的正常運行，一旦系統(tǒng)癱瘓或數(shù)據(jù)丟失，將會給醫(yī)院和病人帶來巨大的災(zāi)難和難以彌補的損失。

另外，隨著醫(yī)院信息系統(tǒng)模塊的不斷增加，數(shù)據(jù)經(jīng)年累月地積累，導(dǎo)致服務(wù)器的業(yè)務(wù)負擔逐漸沉重，數(shù)據(jù)庫越來越龐大，查詢的速度也越來越慢，而且還會在很大程度上影響正常業(yè)務(wù)的運行。

硬件方面，有很多醫(yī)院的網(wǎng)絡(luò)層面在核心、樓層都使用了冗余；服務(wù)器系統(tǒng)已經(jīng)基本上通過了雙機熱備、負載均衡、虛擬化來實現(xiàn)故障的漂移；在存儲層面，使用了存儲鏡像、虛擬網(wǎng)關(guān)等技術(shù)來規(guī)避存儲的單點故障，但這些是否都已經(jīng)在業(yè)務(wù)容災(zāi)層面考慮周全，還需要進一步地確認。

隨著醫(yī)院信息化進程朝著更深的程度發(fā)展，結(jié)合當前的業(yè)務(wù)系統(tǒng)，立足于今后的業(yè)務(wù)發(fā)展，如何改造現(xiàn)有的信息系統(tǒng)架構(gòu)，對當前信息系統(tǒng)的容災(zāi)建設(shè)進行分析，建立起一套符合醫(yī)院業(yè)務(wù)運行、多層次防護、立體的、立足于業(yè)務(wù)的容災(zāi)和應(yīng)急體系，是一件必須重視和考慮的事情。

2 醫(yī)院主要業(yè)務(wù)系統(tǒng)容災(zāi)分析

在建立一套完整的、符合醫(yī)院實際需求的容災(zāi)和應(yīng)急系統(tǒng)之前，必須對醫(yī)院的業(yè)務(wù)進行詳細的歸類、分析。

3 故障常見原因

相對于醫(yī)院而言，一般對業(yè)務(wù)連續(xù)性和數(shù)據(jù)庫安全造成的威脅主要有以下幾類。

3.1 自然災(zāi)害

自然的或意外的事故、災(zāi)難，例如地震、水災(zāi)、火災(zāi)等導(dǎo)致的硬件損壞，進而導(dǎo)致數(shù)據(jù)的損壞和丟失。這個原因，在大部分醫(yī)院出現(xiàn)的可能性比較小，可能性相對較大比例的是火災(zāi)。

3.2 基礎(chǔ)設(shè)施

由于供電、制冷等基礎(chǔ)設(shè)施造成的系統(tǒng)業(yè)務(wù)停頓和數(shù)據(jù)損壞，很多醫(yī)院的供電輸入或UPS是單鏈路，當供電發(fā)生故障時，就容易造成主機房的全部斷電，引發(fā)全院性的業(yè)務(wù)中斷；有些醫(yī)院的空調(diào)設(shè)備是單路，發(fā)生故障時會造成機房溫度過高，引起系統(tǒng)癱瘓。

3.3 硬件故障

服務(wù)器、存儲、網(wǎng)絡(luò)等硬件故障造成系統(tǒng)癱瘓、業(yè)務(wù)停止，嚴重的會造成數(shù)據(jù)丟失；雖然在這個層面有一些雙機熱備、存儲鏡像等技術(shù)來規(guī)避故障，但仍然有很多方面的因素會導(dǎo)致系統(tǒng)癱瘓。

3.4 軟件故障和BUG

由于技術(shù)的實施和使用者對于技術(shù)的配置不當，或者軟件本身BUG引發(fā)的穩(wěn)定性不夠。

3.5 人為疏忽或者破壞

由于授權(quán)用戶造成的無心的誤操作或者損壞，例如誤刪除；存心不良的編程人員、技術(shù)支持人員和執(zhí)行數(shù)據(jù)庫管理功能的人員的破壞、毀損及其他行為。

4 容災(zāi)建設(shè)的目標要求

面對醫(yī)療信息化建設(shè)的快速發(fā)展，如何應(yīng)對醫(yī)院信息系統(tǒng)出現(xiàn)的各種意外故障，如何提高醫(yī)院信息化抗風險能力和應(yīng)對突發(fā)事件的能力，保證醫(yī)院正常工作的開展。建立容災(zāi)系統(tǒng)勢在必行。

通過對醫(yī)療市場分析和醫(yī)療領(lǐng)域所提出的種種規(guī)范可以得出醫(yī)療行業(yè)對容災(zāi)系統(tǒng)的要求有如下幾點：

（1）容災(zāi)系統(tǒng)必須考慮到機房、基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、服務(wù)器、數(shù)據(jù)、業(yè)務(wù)等各個方面。

（2）容災(zāi)系統(tǒng)必須保證醫(yī)院各業(yè)務(wù)系統(tǒng)能不間斷運行。

（3）容災(zāi)系統(tǒng)必須考慮到各個業(yè)務(wù)模塊之間的關(guān)聯(lián)和影響。

（4）容災(zāi)系統(tǒng)不能影響醫(yī)院各業(yè)務(wù)系統(tǒng)的運行狀態(tài)。

（5）當災(zāi)難發(fā)生時，容災(zāi)系統(tǒng)必須能全面，快速地恢復(fù)業(yè)務(wù)系統(tǒng)。

（6）特殊地區(qū)容災(zāi)需要做到異地容災(zāi)，保證數(shù)據(jù)安全。

（7）容災(zāi)系統(tǒng)的備用系統(tǒng)必須為可用系統(tǒng)，備用數(shù)據(jù)必須為可用數(shù)據(jù)。

（8）容災(zāi)系統(tǒng)數(shù)據(jù)必須保證與生產(chǎn)系統(tǒng)數(shù)據(jù)實時同步。

5 容災(zāi)系統(tǒng)的主要技術(shù)指標

從技術(shù)和適用性的角度考慮，主要有以下幾個技術(shù)指標。

5.1 RTO （Recovery Time Object）

RTO是指“將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到可正常運行狀態(tài)，并將其支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)”所需時間，其中包括備份數(shù)據(jù)恢復(fù)到可用狀態(tài)所需時間、數(shù)據(jù)處理系統(tǒng)切換時間以及備用網(wǎng)絡(luò)切換時間等，該指標用以衡量容災(zāi)方案的業(yè)務(wù)恢復(fù)能力。

5.2 RPO（Recovery Point Time）

RPO是指業(yè)務(wù)系統(tǒng)所允許的災(zāi)難過程中的最大數(shù)據(jù)丟失量（以時間來度量），這是一個與數(shù)據(jù)備份系統(tǒng)所選用的技術(shù)有密切關(guān)系的指標，用以衡量災(zāi)難恢復(fù)方案的數(shù)據(jù)冗余備份能力。

5.3 容災(zāi)半徑

是指生產(chǎn)中心和災(zāi)備中心之間的直線距離，用以衡量容災(zāi)方案所能防御的災(zāi)難影響范圍。

5.4 容災(zāi)適應(yīng)性

指的是容災(zāi)系統(tǒng)在實施和使用的過程中對原有的生產(chǎn)系統(tǒng)、硬件系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)的影響，有的容災(zāi)系統(tǒng)可能需要在凍結(jié)原有的生產(chǎn)系統(tǒng)的情況下進行數(shù)據(jù)的復(fù)制，有的容災(zāi)系統(tǒng)可能要對硬件、網(wǎng)絡(luò)環(huán)境進行改造，改造成系統(tǒng)所要求的條件。這些改造對原有的系統(tǒng)和數(shù)據(jù)都存在一定的風險性。

5.5 容災(zāi)可見性

指的是容災(zāi)系統(tǒng)的容災(zāi)效果是不是可見、可查詢的。有的容災(zāi)系統(tǒng)的容災(zāi)效果要等災(zāi)難發(fā)生之后，備用系統(tǒng)恢復(fù)之后才能驗證是不是真做到了數(shù)據(jù)零丟失的效果。如果數(shù)據(jù)復(fù)制失敗不能馬上反映出來，同樣達不到容災(zāi)的效果。

顯然，具有零RTO、零RPO和大容災(zāi)半徑的災(zāi)難恢復(fù)方案是醫(yī)院最期望的，但受系統(tǒng)性能要求、適用技術(shù)及成本等方面的約束，這種方案實際上是不大可行的。

所以，醫(yī)院在選擇容災(zāi)方案時應(yīng)該綜合考慮災(zāi)難的發(fā)生概率、災(zāi)難對數(shù)據(jù)的破壞力、數(shù)據(jù)所支撐業(yè)務(wù)的重要性、適用的技術(shù)措施及自身所能承受的成本等多種因素，理性地做出選擇。

6 醫(yī)院容災(zāi)考慮的關(guān)鍵因素

根據(jù)醫(yī)院的實際情況，分析了眾多導(dǎo)致醫(yī)院業(yè)務(wù)連續(xù)性故障的案例，我們建議在實際的容災(zāi)建設(shè)過程中充分考慮到以下因素。

6.1 容災(zāi)建設(shè)成本

綜合考慮災(zāi)備項目，目標、規(guī)模、風險、成本這幾種因素總是緊密關(guān)聯(lián)在一起的。容災(zāi)項目的成本是由前三者綜合決定的。建設(shè)一個完備的災(zāi)備系統(tǒng)到底需要投入多少資金，投入巨資建設(shè)的一個災(zāi)備系統(tǒng)到底能起到什么樣的效果和作用，這是很多醫(yī)院對容災(zāi)建設(shè)最為關(guān)心的問題。

在容災(zāi)建設(shè)中，首先要考慮的是建設(shè)目標，一般而言，容災(zāi)建設(shè)目標中，我們需要考慮災(zāi)難的防御范圍、恢復(fù)的效果，還需要考慮是否建設(shè)能夠防御大型災(zāi)害的異地災(zāi)備系統(tǒng)（還是僅僅同城）等。當我們對于災(zāi)難防御的目標胸有成竹之后，我們就需要考慮建設(shè)成本了。

6.1.1 場地費用

包括災(zāi)備機房基礎(chǔ)設(shè)施費用，災(zāi)備中心人員費用等。

6.1.2 設(shè)備費用

包括購買的災(zāi)備存儲、交換機、路由器、協(xié)議轉(zhuǎn)換器、主機等各種設(shè)備的費用。這些費用由于容災(zāi)技術(shù)方案的不同，組成元素完全不同。

6.1.3 傳輸網(wǎng)絡(luò)費用

這一部分費用隨著災(zāi)備技術(shù)路線的不同更是差距明顯。尤其在異地災(zāi)備體系的建設(shè)中，容災(zāi)技術(shù)路線的不同導(dǎo)致的傳輸帶寬評估有時令人難以置信，可以相差達到40倍的帶寬差異。例如，采用不同的技術(shù)，也可能只需要每年支付20萬的傳輸網(wǎng)絡(luò)費用，也可能需要支付每年200萬的網(wǎng)絡(luò)費用，而實際效果卻完全相同。

6.1.4 運維費用

這部分的費用包括向廠商或供應(yīng)商購買的每年服務(wù)和應(yīng)急的專業(yè)服務(wù)費用，還包括高級別的系統(tǒng)維護人員的費用。一般而言，隨著設(shè)備開放性的增加，維護人員的成本就相應(yīng)下降，而災(zāi)備應(yīng)急如果能夠掌握在用戶手中，災(zāi)難應(yīng)急時向廠商購買的專業(yè)服務(wù)費用就減少。

綜合考慮以上幾個方面的因素，用戶就可以比較準確地計算出容災(zāi)系統(tǒng)建設(shè)的整體擁有成本，并能做出合理的取舍。

6.2 容災(zāi)半徑

容災(zāi)半徑因素是首先需要納入容災(zāi)建設(shè)的第一步，容災(zāi)是采用同一機房的業(yè)務(wù)容災(zāi)？不同機房的容災(zāi)？不同大樓之間的容災(zāi)？還是不同院區(qū)之間的互相容災(zāi)？

容災(zāi)半徑的不同，會影響到后續(xù)容災(zāi)技術(shù)的選擇，會影響到容災(zāi)架構(gòu)的穩(wěn)定性，最終會影響到容災(zāi)效果，甚至能夠影響到容災(zāi)是否能夠切換。從目前常見的容災(zāi)半徑來看，基本上采用的是同一院區(qū)不同機房的方式。隨著醫(yī)療集團的方式興起，一些有足夠費用預(yù)算的醫(yī)院會采用不同院區(qū)的容災(zāi)半徑。

6.3 容災(zāi)的范圍和層面

容災(zāi)層面的選擇是第二層需要考慮的因素，這是一個縱向的業(yè)務(wù)范圍，哪些業(yè)務(wù)模塊需要納入容災(zāi)的考慮體系中？根據(jù)業(yè)務(wù)需求的不同可以分為：全院業(yè)務(wù)層面的容災(zāi)、門診級別的容災(zāi)、模塊級別的容災(zāi)。

隨著醫(yī)院業(yè)務(wù)模塊的推進，業(yè)務(wù)模塊之間的關(guān)聯(lián)和耦合度越來越高，模塊級別的容災(zāi)考慮得越來越少，更多的會考慮到容災(zāi)啟用后，各個模塊之間是否能夠正常地關(guān)聯(lián)和交互。

容災(zāi)的業(yè)務(wù)范圍考慮也是非常重要的一個步驟，這主要是一個橫向的業(yè)務(wù)范圍選擇，醫(yī)院的業(yè)務(wù)非常復(fù)雜，有些是7*24的核心關(guān)鍵業(yè)務(wù)，有些是非關(guān)鍵性業(yè)務(wù)。這些業(yè)務(wù)的容災(zāi)及可用性等級也是不一樣的。

為了保障容災(zāi)切換的快捷和簡便性，就需要盡可能地保障核心業(yè)務(wù)的快速切換，這就需要整理出一條業(yè)務(wù)關(guān)鍵路徑，將醫(yī)院的業(yè)務(wù)模塊掛載到這條關(guān)鍵業(yè)務(wù)容災(zāi)路徑上。從這個角度上，容災(zāi)路徑是一個需要經(jīng)常變動和關(guān)注的部分。

6.4 容災(zāi)技術(shù)的選擇（多種技術(shù)的并行）

為了真正達到醫(yī)院的業(yè)務(wù)容災(zāi)，需要將多種技術(shù)并行來解決不同層面的故障。

基于磁盤陣列的同步，數(shù)據(jù)同步性高，但是對于數(shù)據(jù)庫的邏輯故障無法避免；基于數(shù)據(jù)庫的數(shù)據(jù)同步，可以有效規(guī)避數(shù)據(jù)庫的邏輯故障，但是大數(shù)據(jù)量時的同步效率一般。這時候就需要結(jié)合兩者的優(yōu)缺點，多種技術(shù)并行，建立不同層面的數(shù)據(jù)容災(zāi)。

6.5 容災(zāi)切換復(fù)雜性

切換過程的復(fù)雜性也是選擇容災(zāi)的一個重要考慮因素。如果整個容災(zāi)過程需要很強的專業(yè)技能，需要很復(fù)雜的切換過程。那么這個容災(zāi)的建設(shè)肯定是不科學、不合理的。一個合理的容災(zāi)切換，必定是簡單而且有效的。

6.6 容災(zāi)系統(tǒng)的實施和驗證

容災(zāi)系統(tǒng)的實施過程中對于生產(chǎn)系統(tǒng)的影響，也是容災(zāi)建設(shè)選擇的一個考慮因素。一個好的容災(zāi)系統(tǒng)建設(shè)，會對生產(chǎn)系統(tǒng)的影響降到最小，甚至業(yè)務(wù)系統(tǒng)對于容災(zāi)建設(shè)的過程是透明的。

作為一個成功的容災(zāi)系統(tǒng)，可以隨時接受用戶對于容災(zāi)數(shù)據(jù)的驗證。該驗證可以通過對于容災(zāi)的只讀操作，對數(shù)據(jù)進行查詢、統(tǒng)計和對比，來隨機隨時驗證容災(zāi)數(shù)據(jù)是否能夠正常使用。

6.7 應(yīng)用容災(zāi)

容災(zāi)的目標除了避免數(shù)據(jù)丟失，讓數(shù)據(jù)能夠及時在線以外。最主要的一點是能夠在容災(zāi)數(shù)據(jù)的基礎(chǔ)上，讓應(yīng)用系統(tǒng)無縫地跑起來。因此這個應(yīng)用啟用流程是硬件、系統(tǒng)軟件、容災(zāi)啟用、應(yīng)用啟用整套流程。

7 常見的容災(zāi)技術(shù)

實現(xiàn)數(shù)據(jù)容災(zāi)的四種主要方式：兩種邏輯數(shù)據(jù)復(fù)制：一是利用中間軟件實現(xiàn)數(shù)據(jù)的遠程備份；二是利用數(shù)據(jù)庫系統(tǒng)本身實現(xiàn)數(shù)據(jù)庫的遠程備份。兩種物理數(shù)據(jù)復(fù)制：一是利用系統(tǒng)軟件或虛擬存儲設(shè)備，實現(xiàn)數(shù)據(jù)網(wǎng)絡(luò)鏡像；二是利用存儲子系統(tǒng)或者存儲網(wǎng)關(guān)實現(xiàn)硬件級數(shù)據(jù)遠程復(fù)制。

7.1 存儲網(wǎng)關(guān)和磁盤陣列復(fù)制技術(shù)

存儲網(wǎng)關(guān)技術(shù)的典型廠商是EMC的Vplex，vPlex 會通過透寫方式寫到兩個站點，待數(shù)據(jù)寫入兩地的磁盤陣列后，才會向主機回應(yīng)寫完成。這樣可以保持兩個磁盤陣列之間的數(shù)據(jù)同步。

磁盤陣列復(fù)制技術(shù)主要由一些磁盤陣列廠商提供，如EMC SRDF、IBM PPRC 、HP BusinessCopy、HDS TrueCopy等， 該技術(shù)是將數(shù)據(jù)復(fù)制通過磁盤陣列控制器在進行寫入操作的同時通過高速網(wǎng)絡(luò)向容災(zāi)系統(tǒng)的陣列上發(fā)送相同的I/O指令來實現(xiàn)。

7.2 存儲卷復(fù)制技術(shù)

由一些卷管理軟件廠商提供，如VERITAS VVR。

7.3 存儲虛擬化技術(shù)

飛康的CDP等，該技術(shù)是將系統(tǒng)中各種異構(gòu)的存儲設(shè)備映射為一個單一的存儲資源，對用戶完全透明，達到屏蔽存儲設(shè)備的異構(gòu)和主機的異構(gòu)的目的。

7.4 數(shù)據(jù)庫復(fù)制技術(shù)

由數(shù)據(jù)庫廠商以及一些第三方廠商提供，如DSG RealSync/SmartE等。

8 結(jié) 語

在綜合考慮目標、效果、成本之后，從醫(yī)院現(xiàn)實所處條件、環(huán)境、具備的能力等方面綜合去設(shè)計適合的容災(zāi)方案，選擇具備有快速恢復(fù)能力，能夠有效解決軟錯誤的容災(zāi)方案，當醫(yī)院信息系統(tǒng)面臨災(zāi)難性事件時，才能為業(yè)務(wù)保駕護航，更使得醫(yī)院的業(yè)務(wù)系統(tǒng)鍵康穩(wěn)定地運行。

主要參考文獻

[1]王歡，高向濤.醫(yī)院容災(zāi)系統(tǒng)建設(shè)與虛擬化技術(shù)[J]. 現(xiàn)代電子技術(shù)，2012，35（8）：46-49.