跨国医疗设备商常遇到一个硬约束：中国境内产生的患者与诊疗数据必须境内存储。设备是全球型号，数据不能出境，连接方案就得单独设计——这不是附加题，是设计前提。
一、两条设计原则
落地在境内：存储与算力用境内节点，设备接入、固件更新、日志回传的通道全部境内闭环。漫游卡的出口在境外，天然与数据不出境冲突，医疗场景要避开。
分层出境：境外总部需要数据洞察，走脱敏后的统计结果，原始数据不出去；确需出境的，按数据出境评估路径走，材料留档备查。
二、方案自查三问
方案提交前，按三问自查：
问落点：数据存在哪、算在哪，是否全部境内节点；
问通道：接入、升级、日志是否境内闭环，有没有境外出口；
问出境：有没有数据出境需求，评估材料是否齐备。
数据不出境不是限制功能，是设计前提。前提定得早，方案就不返工。
