一、ATM：290 万台还在跑的老机器

全球在用的 ATM 大约 290 万台，密度大约是每百万人 360 台——平均每 2800 个人就有一台。

更值得注意的是位置的变化：超过一半的 ATM 已经不在银行网点里了，而是挪进了便利店、地铁站、商场。它从一个【银行柜台的一部分】变成了【城市基础设施的一部分】。

市场规模也在涨：2026 年约 256.7 亿美元，2031 年预计 297.6 亿美元。说 ATM 要消失说了十几年，它只是换了个活法——现在 30% 的机器支持无卡取款（用手机扫码），一年前才 20%。

二、ATM 怕的不是老，是没人管

两个数字放在一起看：

85% 的 ATM 还在跑厂商已经不支持的操作系统。

2024 年物理攻击增长了 6 倍，平均每次事件的损失约 12 万美元。

一台机器被撬开，损失的是那台机器里的现金，可以换、可以赔。但 85% 的机器跑在没人维护的系统上，是 290 万台一起承担的风险——每个漏洞都不会单独打补丁。

所以教材 5-3 把 ATM 放进【不可停止】这一类，理由不只是【用户要取钱】：它同时是一台暴露在街头的、连在银行核心网络上的老电脑。

三、电子病历：几乎所有医院都压在上面

美国非联邦急症医院的采用率是 99.4%（ONC 口径），开业医生是 91%。这个数字意味着：电子病历已经不是【先进医院的配置】，而是【医院的运行方式】。

集中度也很高：Epic 一家管着美国 60% 以上的电子病历，服务 2.5 亿患者。一家厂商出事，影响的不是一家医院。

使用的深度还在加：2024 年有 65% 的患者用过在线病历（2014 年才 25%）。到 2026 年 6 月为止的 12 个月里，TEFCA 网络交换了 10 亿次以上的病历——一年前这个数字还只有约 1000 万次。

换成一句话：十年前病历是【存在电脑里的纸】，现在病历是【流动在医院之间、连着医生和患者的数据流】。

四、停下来到底损失多少

有一个被反复引用的行业估算：医院 EHR 停机期间，平均每分钟损失约 2500 美元（这个数字是方向性估算，各家医院的规模差别很大）。

停 1 小时 = 15 万美元；停 4 小时 = 60 万美元；停 8 小时 = 120 万美元。

但真正要命的不是这笔钱。EHR 停 8 小时，医生拿不到过敏史、看不到用药记录、开不出化验单、调不出影像——这不是【业务受影响】，这是临床停摆。

所以教材用 ATM 和电子病历做这一节的两个例子，是想说清楚一件事：【不可停止】有两种，一种是商业上的，一种是物理上的。 前者能算成钱，后者算不回来。

五、动手 Demo：ATM 的规模与电子病历的停机账

把这一节的两组数字各算一遍：ATM 看规模和风险，电子病历看停机成本。

atm = 2_900_000            # 台
per_million = 360
print("  全球 ATM %s 台，每百万人 %d 台"
      % (format(atm, ","), per_million))
print("  平均每 %d 人就有一台 ATM" % (1_000_000 // per_million))
print("  仍在跑不受支持系统的比例：85%%")
print("  2024 年物理攻击增长：6 倍，平均每次损失 12 万美元")

per_min = 2500             # 美元，行业方向性估算
break_cost = 120_000       # ATM 单次被破坏的平均损失
for h in (1, 4, 8):
    print("  EHR 停 %d 小时 = %d × 60 × %d = %.0f 万美元"
          % (h, per_min, h, per_min * 60 * h / 10000))
same = per_min * 60 * 4 / break_cost
print("  停 4 小时的损失，相当于 %.0f 次 ATM 被物理破坏" % same)

实跑输出：

--------------------------------------------------------------------
D3 ATM 与电子病历：两个不许停的老家伙
--------------------------------------------------------------------
  教材 5-3 举了两个例子——ATM 和电子病历系统。先看 ATM 的体量：

  项目                      数字
  ------------------------------------------------------------------------------
  全球在跑的机器            约 290 万台（每百万人 360 台）
  放在银行网点之外的        超过一半
  市场规模（2026）          256.7 亿美元（2025 年 249.1 亿，2031 年 297.6 亿）
  还在跑不支持的系统        85%
  物理攻击增长（2024）      6 倍，平均每次损失 12 万美元
  支持无卡取款              30%（上一年是 20%）

  一家银行最怕的不是 ATM 老，是它的操作系统已经停止安全更新。
  85% 这个数字意味着：**大部分机器上跑的，是厂商早就不管的系统。**

  再看电子病历系统：

  项目                          数字
  ------------------------------------------------------------------------------
  美国非联邦急症医院使用率      99.4%（ONC 口径）
  开业医生使用率                91%
  Epic 一家管的美国病历         60% 以上，服务 2.5 亿患者
  患者用过在线病历（2024）      65%（2014 年才 25%）
  TEFCA 一年交换病历            10 亿次以上（到 2026-06，一年前约 1000 万次）

  然后是最贵的那一行：

  ----------------------------------------------------------------------------------------
    医院 EHR 停机成本  平均约 2500 美元/分钟
    停 1 小时 = 2500 × 60 = 15 万美元
    停 4 小时 = 60 万美元（相当于 5 次 ATM 被物理破坏的损失）
    停 8 小时 = 120 万美元
  ----------------------------------------------------------------------------------------

  但真正要命的不是钱。**EHR 停 8 小时，医生拿不到过敏史、看不到用药记录、
  开不出化验单——这不是【业务受影响】，这是临床停摆。**

  所以 5-3 说的【不可停止】，落到这两台机器上是两句话：
    ATM：一停，现金就断；
    电子病历：一停，诊疗就断。

前三行先给一个尺度感：290 万台、每 2800 人一台。教材说 ATM 是【不可停止】的系统，是因为它已经到了【小区门口的便利店】这一层，不再是【银行的事】。 中间那三行是这一节的账：停 4 小时 60 万美元，等于 5 次 ATM 被撬开。注意这两笔钱的差别——ATM 被撬是可以理赔的，EHR 停机是算不回来的。 所以 5-3 真正要记住的是那句没写进公式的话：能换算成钱的停机，和不能换算成钱的停机，是两个级别的工程投入。

30 秒实验

1. 路过一台 ATM 时看一眼它的屏幕和外观，判断它是哪一代机器。
2. 想一下你去医院时，医生是在电脑上还是在纸上记录——这就是 EHR。
3. 列出你身边【停了会立刻有人受影响】的系统，看它们分别属于商业损失还是物理阻断。

常见误区

1. 错误：ATM 要被手机支付取代了。——纠正：减少的是现金使用，不是取现需求。70% 的银行观察到客户对 ATM 存现金的需求在上升，现在的机器还能扫码取款、视频服务。
2. 错误：电子病历只是把纸换成了屏幕。——纠正：它是医院之间的数据流。TEFCA 一年交换 10 亿次以上，这种连接一旦断掉，影响的不止一家医院。
3. 错误：这两个系统不能上云是因为技术不行。——纠正：架构上并非做不到，真正的约束是响应时间（诊室里那十几秒）、法规（数据不能出院）和【一次中断就是临床事故】。

• ☐ 下一节（5-4 将现有系统迁移到云端的障碍：虚拟服务器）

相关笔记

• 不能停止运行的系统1 —— 上一节算的是可用性数字，这一节看的是具体后果
• 负载的分散 —— 让系统【停不下来】的常见做法
• 日趋严格的欧盟个人信息管理 —— 病历这类数据为什么受法规限制
• 安全对策的物理性架构 —— 数据放在哪里，是有实体约束的
• 🕸️ Web技术原理 · 索引