医院网络解决方案.docx

医院网络解决方案1.概述数字化医院是在数字医疗设备、计算机网络平台和医院业务软件的基础上，对病人的治疗数据进行采集、存储、传输和处理，以达到在全院范围内的全数字化流程，就是数字化医院。数字化医院在发展的过程中分成三个阶段，第一阶段，主要是一些关于人、财、物的管理，如财务管理、各种收费、药品药库管理和OA等，第二阶段，也是这些医院最直接、最迫切的面对临床的信息化，包括诸如PACS、LIS、手术室、麻醉等，第三阶段，主要是充分运用医院信息化，开展远程医疗、社区医疗等区域医疗。 1.1. 医院网络的总体需求1、为HIS应用系统提供一个强有力的网络支撑平台；2、网络设计不仅要体现当前网络多业务服务的发展趋势，同时具有最灵活的适应、扩展能力；3、一体化网络平台：整合数据、语音和图像等多业务的端到端、以IP 为基础的统一的一体化网络平台，支持多协议、多业务、安全策略、流量管理、服务质量管理、资源管理；4、数据存储安全:医院信息系统的数据存储需要具有存储量大、扩充性强的特点。1.2. 网络建设原则1、实用性：整个网络系统具有较高的实用性；2、时效性：网络应保证各类业务数据流的及时传输，网络时效性要强，网络延时要小，确保业务的实时高效；3、可靠性：整个网络系统应具有很高的安全可靠性，必须满足7×24×365 小时连续运行的要求。在故障发生时，网络设备可以快速自动地切换到备份设备上；4、安全性：能有效防止网络的非法访问，保护关键数据不被非法窃取、篡改或泄漏，使数据具有极高的安全性；5、完整性：网络系统应实现端到端的、能整合数据、语音和图像的多业务应用，满足全网范围统一的实施安全策略、QoS 策略、流量管理策略和系统管理策略的完整的一体化网络； 6、效益性：网络的投资应随着网络的伸缩能够持续发挥作用，保护现有网络的投资，充分发挥网络投资的最大效益；7、可伸缩性：网络要具有面向未来的良好的伸缩性能，既能满足当前的需求，又能支持未来业务网点、业务量、业务种类的扩展和与其它机构或部门的连接等对网络的扩充性要求。1.3. 网络系统的整体架构医院信息系统的网络采用三级架构，分为核心层、汇聚层和接入层。核心层处于医院网络的中心，负责全网的路由交换，并与各服务器、存储等核心医院应用相连；汇聚层分布在各个大楼内，负责大楼与核心层的连接；接入层位于各大楼内的楼层，负责直接接入桌面系统，与汇聚层连接。1.4. 医院业务应用分析1.4.1. 医院业务划分 医院的业务系统有很多，而且不同的专科医院业务系统也有很大区别，但以下一些业务系统是医院都具有的：门诊系统住院系统 体检系统  PACS系统 医院管理经济系统  区域医疗系统1.4.2. 应用系统分类医院信息系统主要分成以下三类： 医院管理系统门、急诊挂号子系统门、急诊病人管理及计价收费子系统住院病人管理子系统 药库、药房管理子系统 病案管理子系统  医疗统计子系统  人事、工资管理子系统  财务管理与医院经济核算子系统  医院后勤物资供应子系统  固定资产、医疗设备管理子系统 院长办公综合查询与辅助决策支持系统 临床医疗信息系统 住院病人医嘱处理子系统  护理信息系统  门诊医生工作站系统  临床实验室检查报告子系统  医学影像诊断报告处理系统  放射科信息管理系统  手术室管理子系统  功能检查科室信息管理子系统  病理卡片管理及病理科信息系统 血库管理子系统  营养与膳食计划管理子系统  临床用药咨询与控制子系统  区域医疗信息系统远程会诊社区医疗 1.4.3. 医院业务系统的需求 1）门诊系统 门诊业务作为医院直接面对患者的窗口具有非常重要的地位和自己的特点（包括焦急的病人无法忍受长时间的等待、门诊业务主要集中在上午等），门诊业务具有可靠性高、并发性、实时性和突发性强等特点。因此门诊业务对网络提出了高可靠性、高带宽和QoS的要求。2）住院系统住院业务是医院的另一个主要组成部分，是医院经济收入的主要来源，同时还直接关系到重病患者的生命安全，具有以下几个特点：住院业务的网络上流动着重症病人生命数据和各种新业务数据；住院业务保存有患者病案数据和住院费用数据；  医生移动查房；病人呼叫系统；网上视频监控系统； 针对住院业务的以上特点，住院业务对网络提出了高可靠性、安全存储、QoS和无线局域网、VoIP和视频会议系统的需求。 3）体检系统 现在很多医院纷纷建立专门的体检大楼，以满足社会上不断扩大的体检需求。从业务角度上讲体检系统非常简单，它对网络的需求主要体现在安全性上，如何保护体检服务器上体检人员数据安全和体检大楼网络安全是医院体检系统解决方案所关注的。 4）PACS系统 医院的PACS系统主要是完成对患者的各种影像数据进行采集、存储、传输和处理，并在全院范围内进行共享，由于是各种图形图像数据，因此具有存储量大的特点，为了更好的服务于医院业务，PACS业务对支撑系统提出以下要求：存储量大、扩展性强、数据快速存储、数据容灾、高带宽 5）管理经济系统 医院管理经济系统主要是人、财、物的管理，包括人事、财务管理、药品药库管理等，因此它最大的需求是数据在服务器端和网络上的安全，保证这些数据不会泄露。 6）区域医疗系统 一方面为了发挥中心医院的辐射和覆盖作用，另一方面充分利用各家医院的特色科室的力量，区域医疗把这些资源进行共享和整合，这需要稳定的广域网连接。2. 总体网络设计 2.1. 系统建设的总体目标 目前，HIS系统在很多医院已经或者刚开始部署，很多传统业务都逐渐迁移到网络上，对网络的性能、安全和稳定提出了很高的要求，主要体现在以下几个方面：1）可靠迅速的响应以提供更好的医疗服务 一般大医院每天的门诊量很大，最多可达到5000人/天，一般大型医院平均门诊达到10002000人/天，HIS系统每天对后台数据库的调用非常频繁，会产生很大的数据流量，如果这种访问流量出了问题而导致无法正常进行收费和医疗诊断，会产生严重的社会后果，因此医院对网络的访问性能有很高的要求。2）安全的业务数据保证医院正常对外服务 在医院的业务系统中保存着大量患者的健康信息和过程费用信息，这些数据无论对患者还是医院都非常关键，需要严格保密，因此如何保护这些数据，对医院有着重大的意义。3）高效的管理推动系统的稳定，提高维护的效果 HIS经过几年的建设，已经初具规模。如何管好整个医院的业务系统，包括用户、服务器、数据库、存储设备和网络等，提高医院管理效率，保证医院网络的正常运转已经成为医院急需解决的大问题。4）医院数据的安全存储 医院需要存储包括病人信息、病案信息、费用信息和影像等数据，对数据存储的安全性和扩展性要求非常高。5）区域医疗的建设为了在区域范围内实现远程会诊、网上学术研讨等业务，迫切需要医院之间的资源共享2.2. 网络设计原则 基于医院目前网络现状和未来业务发展的要求，在医院网络设计构建中，应始终坚持以下建网原则：1）高可靠性-网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持医院各业务系统的正常运行。2）技术先进性和实用性-保证满足医院应用系统业务的同时，又要体现出网络系统的先进性。在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑到医院网络目前的现状以及未来技术和业务发展趋势。3）高性能医院网络性能是医院整个网络良好运行的基础，设计中必须保障网络及设备的高吞吐能力，保证各种信息（数据、语音、图象）的高质量传输，才能使网络不成为一眼业务开展的瓶颈。4）标准开放性-支持国际上通用标准的网络协议（如IP）、国际标准的大型的动态路由协议等开放协议，有利于以保证与其它网络(如公共数据网、金融网络、外联机构其它网络)之间的平滑连接互通，以及将来网络的扩展。5）灵活性及可扩展性-根据未来业务的增长和变化，网络可以平滑地扩充和升级，减少最大程度的减少对网络架构和现有设备的调整。6）可管理性-对网络实行集中监测、分权管理，并统一分配带宽资源。选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析功能以及可提供故障自动报警。7）安全性-制订统一的骨干网安全策略，整体考虑网络平台的安全性。8）保护现有投资-在保证网络整体性能的前提下，充分利用现有的网络设备或做必要的升级，用作骨干网外联的接入设备。3.医院设计方案  在方案设计中，要充分考虑网络的高性能，高安全、高可靠设计。中心局域网设计时应注意以下几方面：1、高可靠性：核心交换机与汇聚交换机采用双链路连接，实现链路冗余；核心交换机之间可采用千兆以太网技术互连，为数据报文提供无阻塞交换通道。2、技术的先进性：局域网设备价格便宜，技术发展快,在建设中可适当超前。3、业务尽量隔离：不同业务控制主要通过运行不同的业务系统在不同核心交换机，这样不会影响医院的骨干网络的稳定性和安全性。 医院网络同时承载业务和HIS数据，所有交易业务都要经核心交换机处理，建议核心交换机以两台华为3Com公司H3C S9508万兆核心交换机为业务系统核心交换机，满足大容量、高性能、高可靠、高安全及网络扩展的要求。 2台核心骨干交换机之间使用2条千兆高速链路互联，之间运行VRRP热备份路由协议，两台S9508可以虚拟一台路由设备，为接入的用户提供缺省网关的冗余，即这两台设备可以互为备份工作。一台主用，另一台备份，当主用设备发生故障或上行链路故障时，备用设备可以马上接替主用设备工作，达到设备冗余的目的。并且可以对不同VLAN设置不同的S9508进行主备用工作，达到负载均衡的目的。保障核心节点的高可靠性。数据大集中后整个系统将承载多个业务系统，不同的业务对网络的带宽、时延等要求也不同，这就要求核心交换设备业务与性能并重。S9508采用功能强大的ASIC芯片实现MPLS、QOS的分布式线速处理，从而在为用户提供有保障的业务特性的同时保障数据报文的线速转发。 汇聚交换机采用S7503，接入交换机采用S3600，它们可以通过IRF技术构成一个逻辑设备，构成链路聚合，增加带宽的同时，也提高了网络的可靠性。 3.1. 网络边界防御 在网络出口的边界处部署SecPath防火墙和TippingPoint IPS，通过它们的联动提高网络边界的安全。SecPath防火墙是L3-L4的安全防御设备，TippingPoint IPS是L7层上进行防御的“防火墙”，IPS是“深度检测防火墙”，是“内置了IDS功能”的防火墙。防火墙只能解决20的安全威胁问题，而IPS可以解决80的安全问题通过在企业Internet出口部署TippingPoint IPS，可以有效的抵御来自外网的DDOS拒绝服务攻击、病毒攻击和黑客入侵，保护公司路由器、交换机、防火墙和DNS 服务器等基础设施。 但是上述部署方案，必须有三个关键技术做支撑，才能是真正的有效。这三项技术分别是：精确的攻击检测技术，高性能硬件加速技术和透明的部署技术。 首先，在精确检测技术上，TippingPoint系列产品集成了华为3Com特有的FIRST引擎（Full Inspection with Rigorous State Test，包含精确状态的全面检测）。该引擎可以恢复数据的完整信息，分析报文的五元组、会话状态、时间特性和应用负荷等，并根据综合分析结果进行判断，从而有效地降低漏报率和误报率。对于最耗时的内容搜索部分，可以配置高性能的CIE内容搜索加速卡，在不降低检测准确率的基础上大大提高了性能，另外华为3Com专业的安全队伍负责维护攻击签名的更新，这些签名可以通过华为3Com安全管理中心实施部署到各个IPS设备上去，给IPS设备打上数字疫苗，使用户享受实时安全。 在高性能硬件加速技术上，TippingPoint IPS采用ASIC和NP结合的技术完成报文的过滤和转发。专门设计的ASIC芯片可以以硬件流水线的方式并行处理流重组、流分类和流整形；而NP则用来完成更深层次的报文解析和特征匹配。 3.2. 边界防御 在数据中心与核心网络的边界处部署SecPath防火墙和TippingPoint IPS，通过在核心服务器区域前面部署TippingPoint IPS，可以有效的抵御来自内网用户针对服务器的应用层攻击，保证核心业务的正常运行和数据安全。