公立医院的精神科或临床心理科，是整个社会心理健康体系的最高防线。他们对心理测评软件的要求，与普通学校或企业的需求完全不在一个维度。
很多医院在采购心理量表系统时，科室主任往往只关注“你们系统里有没有明尼苏达（MMPI）和韦氏智力测验？”而忽视了底层架构的安全性。一旦系统上线，被医院极其严苛的信息科（IT 部门）拉去进行安全审查时，往往会因为底层设计太烂而被当场毙掉。
为了避免项目烂尾，医院在招投标或选型阶段，必须像审查医疗器械一样，对软件厂商的底层架构进行硬核拷问。以下是必须抛给厂商的 5 个极其致命的技术问题。
1. “你们的系统支持物理网络隔离与内外网穿透吗？”
为什么问：
医院的内网（HIS 系统所在的网络）是绝对禁止连接国际互联网的。但是，很多患者的测评又需要在家里通过手机扫码完成（外网环境）。这就产生了一个极度撕裂的需求：内网的医生要看报告，外网的患者要做题。
不合格的回答： “我们在阿里云上部署，你们医院拉条专线就能访问了。”（这种公有云方案在很多三甲医院直接违规）
极客的方案：
厂商必须支持将数据库和核心算分引擎部署在医院绝对断网的内网核心区。并在医院内外网交界的 DMZ 区（隔离区），部署一个极其轻量级的“前置代理网关”。外网的答卷请求先到达网关，网关经过严格的白名单过滤和参数清洗后，通过医院内部的网闸单向推入内网核心库。
2. “如果患者名字和身份证号泄露，你们在数据库里是明文吗？”
为什么问：
心理档案属于极度敏感的特级医疗隐私。如果有人偷偷用 U 盘拷贝走了数据库的备份文件，里面的抑郁症患者名单是否会大白于天下？
不合格的回答： “我们对口令进行了 MD5 加密。”（答非所问，问的是业务数据）
极客的方案：
系统必须在应用层（而不是依赖数据库透明加密）实现“字段级非对称加密”。
患者的真实姓名、手机号、身份证号，在写入数据库之前，必须在后端代码里使用医院专用的 RSA 公钥进行加密，数据库中只存储一堆乱码。只有拥有私钥的授权主治医生登录系统时，代码才会在内存中进行实时解密。即使数据库被整个脱裤（窃取），黑客拿到的也只是一堆无法复原的垃圾字符串。
3. “你们的数据隔离方案是逻辑隔离还是物理隔离？”
为什么问：
很多医院属于医联体架构，一个系统要给总院和下面十几个社区分院共同使用。
不合格的回答： “我们在表里加了一个 hospital_id 字段。”
这种做法叫“逻辑隔离（Shared Schema）”。一旦后端程序员在写查询 SQL 时不小心漏掉了一个 where hospital_id = ?，总院的医生就会瞬间看到分院的全部机密病历，这是极其严重的医疗事故。
极客的方案：
正如橙星云架构团队为大型医疗集团设计的方案，必须支持“基于 Schema 的物理隔离”或者“多租户独立数据库（Database-per-Tenant）”。
每个分院在底层都有自己独立的一套表甚至独立的数据库实例。通过后端的动态数据源路由（Dynamic Routing DataSource）进行切换。从物理链路上彻底斩断了数据串库的任何可能性。
4. “你们的计分引擎是写死在代码里的吗？能热更新吗？”
为什么问：
临床心理量表的常模（Norm）和划界分（Cutoff Score）是会随着医学研究的进展而更新的。如果某天中华医学会发布了最新的 SCL-90 常模，系统该怎么升级？
不合格的回答： “我们需要停机 2 小时，把新版的代码包发上去重启。”
极客的方案：
计分逻辑绝对不能硬编码（Hardcode）在 Java 或 Node.js 代码里。
优秀的架构会将所有量表的计分规则抽象成一套自定义的 JSON 表达式（AST 抽象语法树），存储在数据库中。
当常模更新时，只需在后台修改这段 JSON 规则，算分引擎实时读取生效，实现零停机、零感知的高级“热更新”。
5. “你们的系统能通过国家的‘等保三级’测评吗？”
这不是一个技术问题，而是一个底线问题。
等保三级（网络安全等级保护第三级）是地市级以上医院系统的准入门槛。它要求系统具备完善的操作审计日志、强制的强口令策略、登录失败防爆破锁定、以及极其苛刻的权限最小化模型（RBAC）。
如果厂商听到“等保三级”这四个字显得一脸茫然，或者表示需要额外加收几十万的定制费，那么请立刻将他们请出会议室。
总结
采购医疗级心理系统，绝不能只看界面漂不漂亮、量表多不多。
只有通过极其尖锐的架构拷问，逼迫厂商亮出他们在内外网穿透、字段级强加密、多租户物理隔离以及等保合规等底层基建上的真实肌肉，医院才能买到一套真正能抵御黑客与内部泄露、守卫患者生命隐私的数字堡垒。