需求與挑戰(zhàn)

      傳統(tǒng)醫(yī)院網(wǎng)絡(luò)多采用內(nèi)網(wǎng)、外網(wǎng)、智能化專(zhuān)網(wǎng)等多套網(wǎng)絡(luò)物理隔離的建設(shè)模式，無(wú)線(xiàn)網(wǎng)絡(luò)作為有線(xiàn)網(wǎng)絡(luò)的延伸，只承載移動(dòng)醫(yī)療等內(nèi)網(wǎng)應(yīng)用。隨著遠(yuǎn)程醫(yī)療、醫(yī)療物聯(lián)網(wǎng)和移動(dòng)互聯(lián)網(wǎng)等新業(yè)務(wù)需求的出現(xiàn)，傳統(tǒng)物理隔離網(wǎng)絡(luò)架構(gòu)已經(jīng)成為智慧醫(yī)院建設(shè)的障礙：

• 遠(yuǎn)程醫(yī)療業(yè)務(wù)需求：為了便于遠(yuǎn)程醫(yī)療開(kāi)展，醫(yī)生需要通過(guò)固定視頻會(huì)議系統(tǒng)、移動(dòng)終端等多種方式靈活接入網(wǎng)絡(luò)中，需要在醫(yī)院的智能化專(zhuān)網(wǎng)、外網(wǎng)以及內(nèi)網(wǎng)之間實(shí)現(xiàn)數(shù)據(jù)互聯(lián)互通；
• 醫(yī)療物聯(lián)網(wǎng)需求：人員資產(chǎn)管理、嬰兒防盜等醫(yī)療物聯(lián)網(wǎng)應(yīng)用的開(kāi)展，需要醫(yī)院內(nèi)網(wǎng)、無(wú)線(xiàn)網(wǎng)絡(luò)和智能化專(zhuān)網(wǎng)中的門(mén)禁、監(jiān)控等系統(tǒng)互聯(lián)互通，完成業(yè)務(wù)聯(lián)動(dòng)；
• 移動(dòng)互聯(lián)網(wǎng)需求：掌上醫(yī)院的開(kāi)通，需要將醫(yī)院無(wú)線(xiàn)網(wǎng)絡(luò)、內(nèi)網(wǎng)、外網(wǎng)互聯(lián)互通，實(shí)現(xiàn)移動(dòng)支付、室內(nèi)導(dǎo)診、掛號(hào)、查詢(xún)報(bào)告等移動(dòng)互聯(lián)網(wǎng)業(yè)務(wù)的開(kāi)展。

      如何實(shí)現(xiàn)醫(yī)院內(nèi)數(shù)據(jù)的互聯(lián)互通，建設(shè)一套安全、穩(wěn)定、高效的網(wǎng)絡(luò)，是智慧醫(yī)院信息化建設(shè)需要解決的首要問(wèn)題。

醫(yī)院網(wǎng)絡(luò)融合方式探討

      常見(jiàn)的醫(yī)院網(wǎng)絡(luò)融合方式有以下兩種。

物理隔離，局部互通

      這種建設(shè)模式中，內(nèi)網(wǎng)、外網(wǎng)、智能化專(zhuān)網(wǎng)等多套網(wǎng)絡(luò)建設(shè)從園區(qū)到數(shù)據(jù)中心采用物理隔離的方式，在多套網(wǎng)之間通過(guò)防火墻、網(wǎng)閘或者前置機(jī)等方式完成數(shù)據(jù)互聯(lián)互通。這種模式雖然滿(mǎn)足了數(shù)據(jù)的安全互通需求，但不足之處也很明顯：建設(shè)成本較高，每套網(wǎng)絡(luò)都需要配置相應(yīng)的等保安全設(shè)備，設(shè)備利用率低；不利于備份或者雙活數(shù)據(jù)中心擴(kuò)展，需要對(duì)應(yīng)多套分別配置獨(dú)立的網(wǎng)絡(luò)安全設(shè)備，運(yùn)維管理工作復(fù)雜。

物理融合，邏輯隔離

      這種建設(shè)模式中，利用 VLAN 技術(shù)把醫(yī)院現(xiàn)有網(wǎng)絡(luò)劃分為幾個(gè)相對(duì)獨(dú)立而又可互相訪問(wèn)的子網(wǎng)，有效避免了網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大時(shí)廣播風(fēng)暴的產(chǎn)生，提高了網(wǎng)絡(luò)的安全性和網(wǎng)絡(luò)帶寬的利用率，實(shí)現(xiàn)了醫(yī)院信息系統(tǒng)多網(wǎng)間的融合。但管理配置更加復(fù)雜，多套網(wǎng)絡(luò)中接入終端和設(shè)備類(lèi)型對(duì)網(wǎng)絡(luò)交換機(jī)不同，容易造成設(shè)備選型和權(quán)限管控的混亂，對(duì)運(yùn)維人員能力要求極高。

智慧醫(yī)院網(wǎng)絡(luò)融合架構(gòu)設(shè)計(jì)

      融合網(wǎng)絡(luò)架構(gòu)如圖 1 所示，該架構(gòu)中分為園區(qū)網(wǎng)和數(shù)據(jù)中心兩部分。

園區(qū)網(wǎng)絡(luò)架構(gòu)

      園區(qū)網(wǎng)絡(luò)采用物理隔離的建設(shè)方式，分為內(nèi)外、外網(wǎng)、智能化專(zhuān)網(wǎng)以及無(wú)線(xiàn)物聯(lián)網(wǎng)共4套相對(duì)的物理設(shè)備。

• 內(nèi)網(wǎng)、外網(wǎng)、智能化專(zhuān)網(wǎng)鏈路帶寬為萬(wàn)兆主干千兆到桌面，采用核心 - 匯聚 - 接入三層架構(gòu)；
• 核心交換機(jī) 2 臺(tái)，通過(guò)橫向虛擬化技術(shù)滿(mǎn)足可靠性要求；
• 核心和匯聚之間通過(guò)雙鏈路連接，保障鏈路的冗余性；
• 無(wú)線(xiàn)網(wǎng)絡(luò)單獨(dú)組網(wǎng)，既提供全院 WIFI 覆蓋，同時(shí)作為有線(xiàn)網(wǎng)絡(luò)備份，園區(qū)網(wǎng)絡(luò)相對(duì)隔離的架構(gòu)將內(nèi)網(wǎng)、外網(wǎng)和無(wú)線(xiàn)網(wǎng)之間的安全風(fēng)險(xiǎn)最大程度降低；
•  物聯(lián)網(wǎng) AP 除了提供基本的 WIFI 功能外，支持內(nèi)置藍(lán)牙，通過(guò) PoE OUT 或者 USB 通用接口滿(mǎn)足基于藍(lán)牙、RFID、ZigBee 等射頻的物聯(lián)網(wǎng)業(yè)務(wù)擴(kuò)展，避免醫(yī)院重復(fù)施工布線(xiàn)，節(jié)約投資。

數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)

      數(shù)據(jù)中心網(wǎng)絡(luò)按照業(yè)務(wù)內(nèi)容不同，劃分為內(nèi)網(wǎng)數(shù)據(jù)中心、外網(wǎng)數(shù)據(jù)中心、智能化專(zhuān)網(wǎng)數(shù)據(jù)中心、DMZ區(qū)。

• 為滿(mǎn)足互聯(lián)互通需求，數(shù)據(jù)中心核心交換機(jī)將多套網(wǎng)絡(luò)物理連接，通過(guò) VLAN 邏輯隔離；
• 數(shù)據(jù)中心核心交換機(jī)支持多虛一虛擬化技術(shù)避免單點(diǎn)故障，支持 EVN、VxLAN 等虛擬大二層技術(shù)，提供雙活或者災(zāi)備數(shù)據(jù)中心擴(kuò)展性能；
• 配置 SDN控制器通過(guò)圖表式的管理界面，將用戶(hù)按照不同的群組統(tǒng)一配置策略權(quán)限，保障多套網(wǎng)絡(luò)之間業(yè)務(wù)隔離；

安全技術(shù)建設(shè)

      為保障醫(yī)院信息系統(tǒng)和業(yè)務(wù)的安全穩(wěn)定運(yùn)行，防止業(yè)務(wù)數(shù)據(jù)丟失、信息泄密、惡意滲透攻擊，需要參照等級(jí)保護(hù)建設(shè)標(biāo)準(zhǔn)對(duì)本文設(shè)計(jì)的網(wǎng)絡(luò)進(jìn)行安全建設(shè)。

• 安全域：按照醫(yī)院數(shù)據(jù)中心應(yīng)用系統(tǒng)信息和應(yīng)用分類(lèi)的安全需求，數(shù)據(jù)中心網(wǎng)絡(luò)業(yè)務(wù)內(nèi)容不同，劃分為內(nèi)網(wǎng)數(shù)據(jù)中心、外網(wǎng)數(shù)據(jù)中心、智能化專(zhuān)網(wǎng)數(shù)據(jù)中心、DMZ 區(qū)、對(duì)外互聯(lián)區(qū)、安全管理區(qū)以及綜合管理區(qū) 7 個(gè)不同的安全域。
• 安全域邊界防護(hù)：在安全域以及互聯(lián)網(wǎng)出口邊界上，針對(duì)醫(yī)院信息系統(tǒng)的網(wǎng)絡(luò)數(shù)據(jù)流入 / 流出提供過(guò)濾和保護(hù)，通過(guò)配置防火墻設(shè)備阻止安全域外部連接的非授權(quán)進(jìn)入內(nèi)部，以及通過(guò)網(wǎng)絡(luò)手段阻斷特定的內(nèi)外連接。通過(guò)配置網(wǎng)絡(luò)入侵防御設(shè)備對(duì)蠕蟲(chóng)木馬攻擊、拒絕服務(wù)攻擊、入侵行為進(jìn)行識(shí)別，并且進(jìn)行實(shí)時(shí)攔截。
• 安全管理區(qū)：通過(guò)數(shù)據(jù)中心交換機(jī)旁?huà)烊肭址烙?、?zhǔn)入控制、堡壘機(jī)、接入認(rèn)證、漏洞掃描、日志審計(jì)等安全設(shè)備，保障系統(tǒng)和數(shù)據(jù)安全。
• 對(duì)外互聯(lián)區(qū)：通過(guò) DDos、VPN、防病毒網(wǎng)關(guān)、上網(wǎng)行為管理等安全設(shè)備實(shí)現(xiàn)局域網(wǎng)和互聯(lián)網(wǎng)之間的安全防護(hù)

醫(yī)院網(wǎng)絡(luò)融合架構(gòu)優(yōu)點(diǎn)

互聯(lián)互通，避免信息孤島

      多套網(wǎng)絡(luò)之間通過(guò)等級(jí)保護(hù)建設(shè)保障信息安全，同時(shí)提高用戶(hù)體驗(yàn)，各子網(wǎng)系統(tǒng)的互聯(lián)互通實(shí)現(xiàn)起來(lái)更加便捷，便于醫(yī)療物聯(lián)網(wǎng)、遠(yuǎn)程醫(yī)療等智慧醫(yī)院業(yè)務(wù)開(kāi)展，奠定了良好的數(shù)據(jù)傳輸管道。

避免重復(fù)建設(shè)，節(jié)約用戶(hù)投資

      本方案中無(wú)線(xiàn)物聯(lián)網(wǎng)預(yù)留了標(biāo)準(zhǔn)的物聯(lián)網(wǎng)擴(kuò)展接口，后期物聯(lián)網(wǎng)建設(shè)避免了重復(fù)的施工布線(xiàn)，以及 PoE 交換機(jī)等投資費(fèi)用。

架構(gòu)先進(jìn)，滿(mǎn)足未來(lái)擴(kuò)展需求

      本方案在網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)中考慮到醫(yī)院未來(lái)災(zāi)備數(shù)據(jù)中心的建設(shè)需求，支持虛擬大二層技術(shù)；無(wú)線(xiàn)網(wǎng)絡(luò)支持人員資產(chǎn)管理、生命體征監(jiān)測(cè)等物聯(lián)網(wǎng)業(yè)務(wù)平滑升級(jí)能力。