医疗行业解决方案白皮书

神州数码网络医疗行业解决方案白皮书

神州数码网络公司

XXXX的网络系统建设应在实用的前提下，应当在投资保护及长远性方面做适当考虑，在技术上系统能力上要保持五年左右的先进性。并且从用户的利益出发，一个好的系统应当给用户一定的自由度，而不是束缚住他们的手脚，从技术上讲应该采用标准、开放、可扩充的、能与其它厂商产品配套使用的设计。

根据以上种种特性需求，网络设备核心层、汇聚层、接入层产品，选择神州数码网络。神州数码网络是国内领先的网络厂商，其对医疗行业有着深刻的了解，其产品、方案与服务在医疗行业有成熟和广泛的应用，而且能通过智能、安全及可靠的网络设备连为一体，来构建网络系统的设计目标，保障其顺利进行。

根据以上描述，结合实际建网情况和前期网络建设，在充分研究了目前国内外网络界对园区网设计所采用的各种网络主干技术,并充分考虑到技术发展的主流和趋势后，建议选择100G以太网为目标，构建XXXX的网络建设，设计“100G核心、万兆支干、千兆交换桌面”的网络拓扑结构，根据需求分析，结合对应用系统的考虑，提出本期网络系统的设计目标：高性能、高可靠性、高稳定性、高安全性、可管理、可增值的智能安全网络。

经过几年的医院信息化建设和发展,XXXX已经实现基于财务的信息管理（门诊划价、收费系统），实现基于医生的辅助治疗，医生工作站、辅助病因分析及治疗建议；实现PACS（影像应用传输系统）基于临床的影像信息管理、分析。等基本的医疗应用系统。

在未来XXXX讲逐步扩展对医疗信息系统建设的需要，将逐步的扩展以患者为中心的的医疗信息系统建设。

医疗行业由于其特殊性，对于各种系统的稳定和可靠都有非常高的要求，XXXX在稳定

可靠的基础上，以实用为先，应用各种网络技术，提高网络数据传输可靠性、安全性和高效率是目前医疗行业应用的发展趋势。同时，也要不断提高医院领导和信息中心对信息化建设的基础设施网络系统建设的认识。

网络稳定性需求及解决方案

医疗行业是关系到病人生命安危的重要行业，XXXX的各种应用系统和基础设备都要保证超高的稳定性，如果系统没有足够的稳定性，一次小小的系统错误就可能导致一个生命的灭亡。系统的稳定性（7X24稳定、可靠、持续运行）是投入运行的医疗系统的生命线。

由此可见，XXXX对于各种系统的稳定性需求是对所有系统的最高需求也是最根本的需求。而作为基础设施的网络系统的稳定性也就成为XXXX信息化建设的重要指标。怎样的网络结构能够保证整个网络的稳定、可靠，保证在单点故障的情况下不会对整个网络造成冲击，保证核心、骨干设备在出问题的时候能够无缝的恢复或切换。这些都是XXXX网络系统建设的最根本需要。

针对医院的这些需求，我们的解决方案是：提供电信级高可靠性（HA）网络架构：

达到电信级稳定性的网络平台必须满足三个条件：

1、设备硬件架构稳定

2、网络通讯链路稳定

3、网络节点（包括网络设备、主机）的稳定

下面我们将分别针对这三点展开说明，首先是设备架构硬件的稳定性：

目前在网内实现网络通讯的设备主要是以太网交换机，神州数码网络全线交换机产品采用线卡冗余、引擎冗余、操作系统冗余、配置冗余等各种技术相互配合，保证设备的高度稳定性。除此之外，设备还采用三平面分离技术，将交换机数据平面、管理平面、控制平面严格分离，保证交换机系统运行具有电信级的稳定性。

其次，对于链路的稳定性方面，应该保障其具有ms级的收敛时间。在这一方面，我们采用电信环网技术，并且在不改变医院现有网络物理介质的条件下，将网络平滑升级至电信级链路稳定性。

同时，对于住院业务，医生和护士要在病房使用笔记本或者PDA进行移动查房、检查和监控，所以需要在住院大楼搭建无线网络实现医生移动查房，无线访问电子病历。无线SmartMesh技术是目前唯一能够实现无缝覆盖、自躲避干扰、网络快速自愈的MESH系统。

无线电频率能量的传输与光能量传输的特性非常相像。如果你打开一个非聚焦光的白炽灯，光源会被分散到各个方向，能量所覆盖的范围明显缩小；如果你将同样的光能量集中在特定方向，光将会在这个特定聚焦的方向照射到更远。传统内置全向天线的AP就像非聚焦光的白炽灯一样，而BeamFlex天线能将天线信号有选择性的集中在某个方向，实现更远的传输距离。

对于传统AP，由于信号覆盖范围小，意味着性能低，需要更多的AP进行相同面积的覆盖，而AP之间的信号干扰会降低网络性能，甚至导致网络中断；而对于采用了BeamFlex 天线的AP，由于其信号的定向传输性，覆盖范围大意味着更好的性能，而且能够自动躲避AP间的信号干扰。

无线SmartMesh技术利用BeamFlex管理到客户端的最佳信号路径和MESH AP间的路径，每个AP 选择到达根AP和客户端的最佳(最快)路径，如果哪个MESH AP失效，SmartMesh 将快速自愈。

第三，在网络核心到接入设备节点稳定方面，我们采用电信级MVTE多子网流量工程技术，在保障设备节点冗余的同时，也保证了网络流量充分利用网络硬件资源进行负载均衡，将网络传输效率提高至单节点的2倍。

网络传输性能需求及解决方案

目前XXXX的应用系统主要是以HMIS（医院管理信息系统）和CIS（临床信息系统）为主，各种系统对网络的性能都有不一样的需要。

管理信息系统的应用主要是以文字、图表和简单的图形信息为主，虽然信息量不大，但是对于基础架构的可靠性和安全性需要较高，对服务质量也有一定的要求。

临床信息系统的应用内容则较为丰富。除了一般文字信息外，医疗应用数据包含大量的图形、视频和语音信息。要求安全、可靠、保证服务质量和高性能，需要同时支持语音、视频和数据等多种业务，又要方便以后的扩展。在某些关键应用上，对于服务质量、高性能、高可用性都提出了很高的要求。

以XXXX重要的PACS（医学图像传输存储系统）为例，在建设了PACS系统之后，堆积如山的胶片、病例档案都没有了，但是网络上数据量却在急剧增长。海量存储和数据浏览就成为必须解决的问题。在计算机中一页文字资料仅占几千字节(Kb)，而一张数字化的X线片将产生上百万字节(Mb)的信息量，这就是所谓“兆字节问题”；在XXXX每天的信息量中，有大量的信息是PACS系统的数据，医院对于这些TB数量级的数据需要经常的进行调阅。对于网络系统，必须用于强大的数据传输能力。

如何有效的将PACS系统的数据安全、可靠、高速的传输给需要的科室，以供需要的主治医生或研究人员调用，如何保证放射科、CT室等科室的图像能够有效的上传到PACS系统，如何通过有效的网络带宽控制技术和服务质量保证技术，来满足XXXX对于不同数据传输的需要，是后期XXXX网络平台发展的需要。

综上所述，我们将业务需求总结为：

1、对于门诊业务，医生工作站可以快速调阅、频繁访问病人的各种信息（包括病案、检验/检查结果），要求高实时性；

2、对于住院业务，网络上流动着重症病人的监护数据和各种新业务数据，需要被系统优先处理；

3、对于PACS业务，对于带宽要求极高，因为带宽的限制而导致网络拥塞、丢包甚至中断，图像出现马赛克、不畅乃至传输失败，这是医生分析时无法忍受的。

针对医院的这些需求，我们的解决方案是：提供电信级流量工程（TE）网络架构：

1、对于门诊业务，使用高带宽局域网；部署流量整形解决方案，以减少在门诊高峰期其它流量对正常门诊业务的压力。

2、对于住院业务，针对手术或者麻醉等重症病人的监护数据需要部署流量整形进行优先处理。

3、对于PACS业务，使用超高带宽局域网；部署流量整形解决方案，为业务提供带宽保障。

具体的部署是：

对于网络基础架构，提供100G核心、万兆汇聚、千兆到桌面的数据线速转发能力，同时全面部署流量整形解决方案。

为什么电信级TE网络架构能够保证为医院各种网络应用提供传输性能保障：

首先，核心节点的硬件架构：共有8块ASIC交换矩阵芯片，每块线卡与每个交换矩阵

之间的带宽是单向50Gbps，普通线卡连接4块交换矩阵，单向带宽200Gbps，支持20个万兆接口，2个100G接口线速转发，超级线卡连接8块交换矩阵，单向带宽400Gbps，支持40个万兆接口，4个100G接口。这才是真正意义上的N*100G交换机。交换机才能拥有如此强悍的交换能力，成为业界的典范之作。

对与交换机来讲，线速转发是必不可少的，但是在实际产品中，却存在非常做的非线速线卡，尤其在一些高密度的万兆、千兆板卡，往往存在1：4甚至1：8的收敛比。而神州数码98系列交换机凭借先进的设计，可以做到千兆、万兆、十万兆全线速。整机线速转发，气韵流畅。

其次，每一位网络使用者都有一个理想，让网络有所为有所不为，可惜事与愿违，就像这张图一样，残酷的现实摆在我们面前，IP协议喜欢尽力而为，不管承载什么样的应用，都要鞠躬尽瘁死而后已。这种“一视同仁”的网络资源分配机制，对所有业务所有用户均提供无差别的尽力而为传输服务，必然造成核心业务敏感业务重点用户的资源无法得到优先保障。另外，TCP/IP在Qos机制上先天不足，导致每个连接在进行数据交互的过程中，都会极力扩展其带宽占有，只有在网络拥塞的时候才进行自我约束，从根本上说，TCP/IP技术存在容易导致网络拥塞的先天不足。所以我们一定要想办法改变这种情况，协议本身不支持，就需要在技术方面加以创新。为满足医疗行业PACS、HIS、EMR等关键应用带宽得到保障，神州数码网络推出电信级万兆流量整形解决方案，在数据中心和远程连接出口与内网之间部署1台电信级万兆流量整形DCFS8500，吞吐量可以达到10G，根据医疗行业具体应用以及远程

连接的带宽需要，合理为各种应用分配带宽。

DCFS-2000/8000产品是一款功能强大的出口带宽优化工具，自动根据应用程序的协议、应用类别、来源域、目标域和其他应用特征，将网络数据流分成为不同类别，超过静态的对端口、IP 地址等作分辨，而是深入OSI 网络模型的第七层对信息进行应用层和关联性的分类，根据当前的状况对应用程序的网络效率进行分析，然后生成带宽利用率、响应时间、应用关联性以及其他信息的数据，通过分析这些数据生成相应的调整参数。

医院内网安全需求及解决方案

IDC统计，80%以上的安全威胁来自于内部，医院内网所面临的安全隐患主要表现在如下几个方面：

1、补丁升级与病毒库更新不及时、蠕虫病毒利用漏洞传播危害大

由于网络内的各种平台的主机和设备存在安全漏洞但没有及时打上最新的安全补丁，或者主机和设备的软件配置存在隐患，杀毒软件的病毒特征库更新滞后于

新病毒的出现或者未及时得到更新，给恶意的入侵者提供了可乘之机，使病毒和蠕

虫的泛滥成为可能。大规模的蠕虫爆发可能导致企业内网全部陷于瘫痪，业务无法

正常进行。

2、非法外联难以控制、内部重要机密信息泄露频繁发生

员工通过电话线拨号、VPN拨号、GPRS无线拨号等方式绕过防火墙的监控直接连接外网，向外部敞开了大门，使得企业内网的IT资源暴露在外部攻击者面前，攻击者或病毒可以通过拨号线路进入企业内网；另一方面，内部员工可能通过这种不受监控的网络通道将企业的商业机密泄漏出去，给企业带来经济损失但又不易取证。

3、移动电脑设备随意接入、网络边界安全形同虚设

员工或临时的外来人员所使用的笔记本电脑、掌上电脑等移动设备由于经常接入各种网络环境使用，如果管理不善，很有可能携带有病毒或木马，一旦未经审查就接入企业内网，可能对内网安全构成巨大的威胁。

4、攻击方法日新月异，内部安全难以防范

已经被攻破的内网主机中可能被植入木马或者其它恶意的程序，成为攻击者手中所控制的所谓“肉鸡”，攻击者可能以此作为跳板进一步攻击内网其它机器，窃取商业机密，或者将其作为DDOS工具向外发送大量的攻击包，占用大量网络带宽。员工浏览嵌有木马或病毒的网页、收看带有恶意代码的邮件，都可能给攻击者带来可乘之机。

5、软硬件资产滥用、资产安全无法保障，网络故障频发

内网资产（CPU、内存、硬盘等）被随意更换，缺乏有效的技术跟踪手段；员工可以随时更改自己所使用的机器的IP地址等配置，不仅难于统一管理，而且一旦出现攻击行为或者安全事故，责任定位非常困难。软、硬件数量无法精确掌握，盘点困难；计算机数量越来越多，无法集中管理；员工私装软件，造成非法版权使用威胁和机器效率低下；故障频发，网管人员疲于应付等

6、网络应用缺乏监控，网络滥用严重

上网聊天、网络游戏等行为严重影响工作效率，利用QQ，MSN，ICQ 这类即时通讯工具来传播病毒，已经成为新病毒的流行趋势；使用Bitorren 、电驴等工具疯狂下载电影、游戏、软件等大型文件，听歌、看网络电影，玩网络游戏、浏览

工作无关的网站、聊天等等。

7、缺乏外设管理手段，数据泄密、病毒传播无法控制

外设是数据交换的一个重要途径，包括U盘、光驱、打印、红外、串口、并口等；由于使用的方便性，近几年成为数据泄密、病毒感染的出入口。通过封贴端

口、制度要求等方式无法灵活对外设进行管理，特别是对USB接口的管理，所以

必须通过其它技术手段解决存在的问题。

8、内部竞争情报和具有知识产权图档泄露严重

医院一般有着完善的书面文档涉密管理制度，并且由单独的文控中心负责制订、监督、审计企业内部重要情报信息使用状况，达到了较好的效果。但是这些电

子文档存储的方式为明文方式存储在计算机硬盘中，电子格式存储的重要情报信息

却由于传播的便利性和快捷性，对分发出去的文档无法控制，极大的增加了管理的

难度，这部分的资产极易于受到损害，此类案例举不胜举。主要分为：员工或外来

人员将电脑带入单位局域网，他可以进入单位共享文档服务器、员工电脑窃取机密

文件；进入这些终端电脑的信息可以通过存储设备和通讯设备进行外泄，比如：

USB存储；通过MAIL、FTP、BBS等途径将单位内部信息泄密到外网。

传统内网安全防护技术，如：主机防毒软件、主机防火墙、主机入侵检测系统、间谍软件清除工具、操作系统补丁升级工具、文件加密系统等，属于分散、繁琐的主机安全配置，这大大增加了医院的管理维护成本，而且属于亡羊补牢型的攻防安全策略，使医院丧失了应对安全威胁的最佳时机。

我们认为网络使用者接入医院内网，需要实现“可信、可控、可取证”

用户接入四步曲

下面我们对TSA安全接入的工作流程进行说明：

a）在接入交换机为802.1X交换机时，与客户机相联的交换机端口是关闭的，只能通

过认证报文。客户机如果要接入内网，必须安装安全代理软件，启用认证协议，

将用户帐号、密码、IP地址、MAC地址等认证信息通过802.1X交换机，转发到DCBI。若身份合法，DCBI才会下发策略打开交换机端口，这些用户就可以访问FREE RESOURCE并进一步执行认证。这个时候客户端只能访问FREE RESOURCE

区域内的资源，处于受限状态。同时DCBI将认证通过信息发送给内网安全管理系统DCSM。

b）DCSM对于通过身份认证的客户机进行自定义的主机完整性（HI）检查，可检查进程、文件系统、注册表等的完整性，保证企业的安全措施。当某条规则规定的条件不满足时将自动执行完整性修复，手段包括执行本地修复命令。例如：客户机没有安装指定的防病毒软件，则DCSM将自动执行强制安装。客户机通过了HI检测以后，DCSM下发安全策略到客户机，才可以正常访问网络资源。

2、从指定URL 下载并执行某个文件。

智能规则集 每条完整性规则都隶属于一个规则集。同一个集合中的各规

则间为“或”关系；不同集合之间为“与”关系。经过逻辑运算最

终得到一个完整性遵从结果。

完整性检查

和模块升级

CPMS 控制升级。

c ） 客户机在接入到内网以后，均需严格执行DCSM 下发的各项安全策略。一旦有非法

行为发生，都将进行触发安全代理的主机入侵防护系统，同时主机防火墙会阻

止该行为的发生，并发出告警信息。

1、安全防护：弱口令检测、系统进程监测与控制、服务检测控制、自启动项检

测、共享检测、系统漏洞检测与修复、病毒和木马的检测与查杀、黑客入侵防

护

2、监控控制：屏幕察看、外设使用控制

3、集中管理：资产管理、信息发布与收集、补丁分发、病毒库升级

d）针对客户机的操作行为，均会在DCSM上生成细粒度的操作行为审计记录，便于网络管理者对于网络安全事件有证可查。如：文件操作记录、窗口打开记录、光

盘刻录记录、打印记录等

网络管理需求及解决方案

随着信息应用系统规模的不断扩大，业务应用的持续增加，网络系统日益成为医院日常工作的主要支撑平台。而所有网上服务都是通过网络、服务器、系统（数据库系统、存储系统等）、应用程序等协同工作来实现的。设备种类的增多和网络规模的扩大带来的直接影响就是网络管理的复杂性大大增加，人工处理的方式越来越力不从心，网管软件越来越受到医院的重视和欢迎。

综上所述，如何对网络、系统和应用进行统一监控，在用户申告前发现和排除故障，保障医院信息系统的正常运行，提升运行服务水平，这日益成为医院信息部门的工作重点。越来越多的医院认识到网络管理的质量会直接影响员工的工作效率和工作质量，管理好一个网络越来越成为管理好一个医院的重要组成部分。

神州数码LinkManager网络管理系统NM定位于对网络系统和业务应用实施有效管理和控制，保障网络与信息安全的网络管理系统。它能够快速准确地发现网络的拓扑结构，实时监控网络的运行状态，及时反应网络事件；监控和隔离用户非法接入、非法外联，保障网络

与信息安全；监控网上服务的正常运行，当发现故障时及时告警；同时还提供了资产管理、IP资源管理等功能，有效提高了日常网络系统运行维护的工作效率和服务质量，保障网络系统健康有序运行。

统一网管解决方案

1、拓扑管理

作为一款系统级、平台级的网络管理系统，LinkManager NM除可以管理神州数码自己的设备外，还可以很好地支持多厂商的网络设备，包括Cisco、华为、H3C、锐捷、中兴等，同时还支持国产的安全设备和常见的网络设备的基本管理。

LinkManager NM系统提供的多样化，层次化展现拓扑图，可以帮助管理员轻松的做好运维工作，包括：

●在拓扑图上直观呈现链路属性、链路带宽及当前的流量；

●提供快速查找和定位设备功能，可以通过设备名称、IP地址、MAC地址等信息，在拓

扑图上准确定位设备，并显示出此设备的网络连接信息；

●自动记录设备的所有活动情况，如接入网络、设备迁移及上下线信息。

●拓扑图无级缩放、全屏显示以及背景图设置。

手工修改网络设备的配置信息。

2、设备管理

设备概况

［设备概况］页面展现所有系统采集到的关于该设备当日工作运行情况的信息，方便用户及时了解该设备当前的运行状态。进入设备节点的管理页面时，默认显示的是［设备概况］页面，如下图所示：

基本信息

单击［基本信息］选项卡，切换到［基本信息］页面，［基本信息］展现的是该设备的基本信息。用户可对其中一些信息进行修改，如下图所示：

端口信息

单击［端口信息］选项卡，切换到［端口信息］页面，［端口信息］列举了该设备的所

有端口以及端口工作情况，如下图所示：