大型医院基础网络项目解决方案

1导言医疗行业从总体分为公共卫生管理机构与医疗机构，前者包括各级卫生主管部门，如卫生部、各省卫生厅、各县市卫生局及其附属机构等，后者包括各级医院、卫生院、社区卫生服务中心、卫生服务站等。改革开放以来，我国医疗行业高速发展，截至2012年底，各级别医院总数约2.3万，其中三级医院约2000所，二级医院约9000所，其他中小医院约12000所。其中，大型三级医院信息化建设起步早，随着业务的的发展，原有信息化基础设施面临日益增长的业务负荷，已渐渐支撑乏力，面临升级改造；同时，很多的大型医院随着业务的发展，需要建设新的医院来满足居民的诊疗需求，新医院配套的信息化建设则必须考虑到当前业务需求及未来业务扩张，这些都成为了大型医院信息化发展的主要推动力量。医疗信息化是将先进的网络及数字技术应用于医疗工作，实现各种医疗信息的数字化采集、转换、存储、传输及后处理，以及各项业务流程数字化运作的医疗信息体系，是由数字化医疗设备、计算机网络平台和数字医疗软件所组成的三位一体的综合信息系统；同时随着IT及通信技术的发展，除了医疗业务本身的信息化以外，医院朝着更智能化的方向不断发展。如通过远程医疗系统建优质服务延伸到偏远地区；通过远程探视避免探访者与病患的直接接触，杜绝疾病蔓延，缩短恢复进程；通过ICU监护自动报警对病患的生命体征数据进行监控，降低重症护理成本；通过无线医院各种应用（如移动查房）进一步提升医护工作效率，改善服务质量等。整个医疗服务的信息化已经成为国际发展趋势。1.1我国医疗信息化发展状况随着信息技术和我国医疗卫生事业的发展以及国家“金卫”工程的深入展开，我国医疗信息化正如火如荼地展开，越来越多的医院正加速实施基于信息化平台、HIS系统的整体建设；政府宏观政策（《中共中央国务院关于深化医药卫生体制改革的意见》和《医药卫生体制改革近期重点实施方案》）上支持加快信息步伐。医疗信息化建设是比较复杂的系统工程，其核心是病人信息的共享，包括医院各个科室之间、医院之间、医疗保险、卫生行政部门等的信息共享。信息化大致要经历三个阶段：以财务核算为中心的医院管理信息化阶段（HIS）以医生工作站和电子病历为核心的临床管理信息化阶段（CIS）以信息资源共享为基础的区域医疗卫生服务阶段（GIS）目前，我国医疗机构信息化建设的重点开始从以财务管理为主的第一阶段过渡到以临床信息系统支持为主的第二阶段，并逐步实现“以收费为中心”向“以病人为中心”的数字化医院转变。从医院信息化的应用来看，级别高的医院平均IT应用水平高于级别低的医院：大部分三级医院及部分先行的二级医院，已基本完成第一轮HIS/PACS/RIS/LIS系统建设；而当前实践表明，除此以外医院还必须借助先进的技术手段向更智能化的方向发展，以进一步提升医疗服务质量，完成大型医院所承担的社会责任。1.2大型医院信息化应用及趋势近年来，医院信息化在我国取得了快速发展，门急诊划价收费、门急诊药房管理、药库管理；住院病人费用、床位管理；住院药房管理等系统是应用普及最广泛的内容，其中以收费和住院病人管理最为核心。我国大型医院已基本完成上述系统建设，并且逐步从最初的“以财务为中心”的医院信息系统向“以病人为中心”的医院信息系统转；临床信息化获得了快速发展，PACS、LIS、EMR、图像处理和诊断等软件应用迅速发展，同时健康档案、远程医疗、移动医疗新概念也已经成为今后明确发展的领域。整体来看，目前我国医院信息化的发展也存在区域发展不平衡的特点，大医院信息化水平远远高于基层医院。而在大医院，信息化部门也始终很少真正被纳入医院管理核心团队范围，主要作为配合职能，不能对医院运营决策产生足够的影响。基于上述各方面的综合影响，目前国家正在重新组织医院等级评审，对医院信息化的相关标准也提出了10条内容，涉及医院信息化管理组织、计划、制度标准、软硬件等方面，包含对系统网络的管理维护，对人员的管理维护，对信息化项目的管理控制，与相关部门的互联互通，应急管理等内容。可见，信息化建设在医院未来的发展中将担当更加重要的角色。从信息化现状看，目前我国大型医院已基本完成HIS/PACS/RIS/LIS系统建设，但是普遍面临以下一些挑战：缺乏统一规划、存在信息孤岛：需要避免N个系统通过N*(N-1)/2个接口进行互通；充分有效的数据利用：对积累了多年医疗数据，进行充分的挖掘利用；进一步向服务型医疗转变，实现真正的以病人为中心的医疗体系；由于大型医院的资源优势，越来越多的居民期望得到大型医院的医疗服务；卫生部统计信息中心发布的《2011年我国卫生事业发展情况简报》显示，2011年医院医疗服务量增速呈下滑趋势；基层医疗卫生机构门诊量所占比重略有下降；医疗卫生资源利用和病人就医流向不合理状况无明显改善，仍主要流向城市大医院。因此，对于我国大型医院的信息化建设而言，目前主要存在着以下的建设热点:医院集成信息平台：系统整合医院分散的各个烟囱系统，实现各系统的有机融合;医疗数据的深度挖掘分析：通过商业智能（BI），大数据分析等技术对医院积累的数据进行分析利用，辅助决策;服务提升、效率提升：如通过临床路径优化、医院客户关系管理系统等进一步提升医疗服务质量;远程医疗：大型医院通过远程医疗方式向所辐射的区域提供医疗服务，缓解医疗资源分布不均衡问题;医院持续创新：近年来医疗信息化技术发展迅速，很多心技术成功应用于医疗服务并取得了非常理想的效果，引领着各医院持续创新的方向；其中主要有医疗云以及无线医院应用，通过医疗云实现医疗数据的充分共享、打造安全绿色的医疗环境；通过无线医院丰富的应用进一步提升效率，改善医护诊疗、患者就医体验等;整体规模扩张：随着社会对大型医院的认可和依赖越来越高，大型医院也越来越难以满足居民的诊疗需求，因此近年来医院的规模扩张也是一个热点，就信息化而言，这些扩展的医院都需要进行整体信息化建设。无论如何，随着医院信息化的不断深入，中国医院的信息化建设也已经从简单的数据业务应用逐步发展到数据、语音、视讯等多业务统一承载，并且引入了云、无线等先进的信息化技术；而作为这些信息化系统的运行基础网络，多数已无法满足这些新业务的需求，主要问题包括：现有网络资源很难通过灵活有效的策略调整实现业务与网络的充分融合，例如早期医院网络已经很难支撑门诊系统对可靠性、PACS系统对高性能的要求，医院用户对新业务部署的体验感不佳，新业务的部署面临巨大管理压力；网络平台缺乏智能性，无业务识别能力，不能对关键业务应用提供端到端的高质量数据传输的有效保证，医院通常采用的设备升级、链路带宽升级等简单方式使得网络建设、运营、管理成本大幅度上升，而网络资源的利用率却在大幅度下降；医院网络中的安全设备组件多且庞杂，但各组件孤军作战，传输安全、网络安全、数据安全、业务安全层面相互分离，难以有效兼顾。随着电子病例应用越来越广泛，一旦电子病例出现泄密或者被恶意篡改，都会给医院带来严重的医患纠纷甚至法律纠纷，网络安全已经成为医院新一代网络建设的关注重点；而且医院的信息安全等级保护认证已经列为医院等级评定的重要指标；网络的管理控制功能薄弱，单纯设备级的网络管理已经不能满足医院用户对业务可靠性要求，业务的可靠性除了要求网络稳定，还依赖于服务器可靠和数据存储可靠等多种技术组合。2.大型医院基础网络解决方案随着医院信息化的不断深入，各信息系统融会贯通，网络承载由单业务承载转化多业务统一承载。医院各种核心业务应用系统都运行在同一张IP基础网络上，如：医院管理信息系统（HMIS）、临床信息系统（CIS）等，这些关键业务系统涉及患者的生命、健康和财产安全，影响医院的核心竞争力和收入。因此，网络的可靠性和安全性尤为重要。2012年发生数起大型医院因网络引起系统瘫痪的事故，给医院和社会均造成了极大的不良影响，一家大型三甲医院，每天的门诊量接近万人，信息系统一旦出现问题，就医秩序影响巨大。因此医院网络建设中要在控制成本的同时，重点考虑可靠性、安全性、扩展性等关键指标。2.1大型医院的网络需求分析什么样的网络才能满足各大医院各种业务信息系统的需求呢？.融合多业务承载的网络几乎所有信息化设备的最终发展趋势都是IP化，因此IP网络几乎承载了医院的所有信息化业务，目前阶段至少包含：各大楼及楼层的固定网络覆盖；各大楼及楼层的无线WiFi网络覆盖；医疗核心业务系统间互连互通（包括HIS、LIS、PACS、药品管理系统等）、各辅助办公应用系统及对应的终端接入，包括：各办公桌面云终端、VoIP系统及各电话终端、视频系统及呈现终端（含会诊中心、会议中心、培训中心、领导办公室等）、无线定位系统以及对应的电子标签、IPTV系统及各电视机顶盒、信息发布系统及信息发布终端、安防监控系统及IP摄像头等；医疗门户网络的外部访问以及与卫生部、其它医院远程互通，以实现远程医疗、健康档案上传、疫情上报等功能。,业务连续性需求：可靠、稳定医疗行业信息系统的稳定性，关系到医疗业务的正常开展及医疗安全，作为信息系统基础平台的医疗网络，网络的可靠、稳定是最为基本的需求。按《医院信息系统基本功能规范》规定：在门诊医生工作站产生的各种医嘱信息是门诊药房、检验检查、门诊收费等系统的基本数据来源，在联网运行中，要求数据准确可靠，速度快，保密性强，系统要求具有软、硬件应急方案，发生故障时，应急方案的启动时间应少于5—10分钟。特别是大型医院的门急诊划价收费系统，其可靠性要求很高，需要充分考虑网络的冗余备份建设，保证单个设备故障后，5分钟内恢复业务故障。.安全需求医院网络安全面临诸多挑战，既要保障各系统的连通性，医生/护士移动于医院各地的方便接入办公性，也要实现严格的安全防范。包括：避免非授权的人员使用终端（如收费系统、医生工作站）；防止信息泄露，如医院的关键资产（防统方）及病人隐私数据；确保网络能避免来自网络的各种攻击：如黑客、病毒等；整体满足等保三级对网络的要求：包括网络结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码方法、网络设备防护等内容。4.高速、高性能需求一般医院信息化落后于IT行业的信息化几年以上，但近年来医疗行业信息化发展迅速，各种医疗业务也不断开展。早期医疗需要简单的文本数据、交互消息的传递，因此一般对网络性能要求不高。而当前，随着IT技术助力现代化医院的发展，各种新技术不断在医院涌现，比如传统的PACS系统（CT、MRI、CR、DR、PET、超声等），新兴的视频会议、远程会诊、ICU探视、视频监控等，以及药店、社保等丰富的区域卫生信息化应用也在逐步发展，都对通信网络的带宽都提出了更高的要求。随着这种技术发展的趋势，一张高带宽、满足未来业务发展的可扩展网络已经成为现代化医院的发展诉求。整体而言，随着医院发展以及技术的发展，现代大中型医院网络建设的基本诉求是万兆骨干、千兆级接入。5.易于运维需求因医院的IT人员编制较少，常常是几个人就需要维持几千人的医院信息网络7*24小时正常运行，因此网络的可管理、易维护非常重要;不仅是减轻运维人员压力，更重要的是保障网络及各应用系统的稳定可靠、安全的运行。2.2大型医院基础网络解决方案如前所述，网络的可用性和可靠性是医院网络建设首要关注点。公司凭借强大的技术积累，结合多年医疗行业组网经验，针对大型医院网络特点和应用需求，设计出满足大型医院未来业务发展、安全可靠高速的有线无线融合网络。图1：大型医院组网图大型医院组网逻辑架构整体设计为一张物理网络，虚拟隔离为内部办公网络、数据中心网络以及外网（Internet访问网络）。用户接入部分采用接入、汇聚、核心三层网络设计，易于业务扩展；数据中心部分采用接入+核心二层网络，便于数据的高效传输。该网络设计为有线无线统一接入，根据用户需求“有线接入”部分仅供医生访问内网进行办公，即“有线接入”与数据中心网络互通；同一个AP可同时提供内网接入和外网接入，内外网安全隔离；经过授权认证的终端可接入内网进行访问，也可按需访问Internet；而非内部授权的终端仅能访问“Internet”；系统可限制是否允许非授权终端接入网络。即柯保障住院啊揩敲叫靠,特别即柯保障住院啊揩敲叫靠,特别逾枚敛,单畋^.况辑可靠蛙_■FFIRPfFISTP“-保颐稻面?T1J一他界触白天性的全临肃：专利W的民积干缸陟播.n沸回蜀率调空,.,■■熟S用的:皿以阿洛灿何遍足岛速访问需湖，Mife学岩像,椅前是无境网凿?-住群+触螃度：M防犯全我唳段：茹事1SEB网倦于业界业舟版笑爵击节M铤路和用窒100%北界No.LE域IS盖及宥吐且：业羿斑愤岫颛45伽bps爆知gOOMbps^K.g升羽熟H盖及20%a3Sm*图2：大型医院组网物理架构图3：大型医院组网设备选型及连接图网络设计为“万兆到接入、千兆到桌面”，满足大数据量访问及交换需求。其中网络核心交换机以及数据中心核心/接入交换机均部署在信息中心机房，主干万兆光纤网络分别连接到个医院大楼的汇聚交换机，各大楼的汇聚交换机再通过万兆光纤连接到各楼层的接入交换机。考虑到业务的冗余可靠性要求，每个接入层交换机通过冗余光缆上联到2台汇聚交换机，汇聚交换机冗余连接到核心交换机，构成全院可靠冗余的网络架构，满足医院高可靠性网络的需求。内外与外网（Internet）网络物理设备合一，采用VPN技术进行业务隔离。无线AP同时提供内外及外网的业务接入，对内外流量和外网流量分别分流到不同的VPN管道进行隔离。核心层网络核心层部署在医院中心机房，承接医院网络上所有业务流量，提供线速交换、路由转发等功能。考虑到大型医院数据中心服务器较多，并且未来业务发展迅速，因此推荐采用数据中心核心和内网网络核心分离的双核心设计，对于数据中心采用核心+接入二层网络设计，对于医院内网网络接入访问，采用核心+汇聚+接入三层网络设计。无论是数据中心还是内网网络核心，各个业务汇聚点和服务器群都依靠核心层提供连接和业务交换，因此核心网络必须具备以下特征:网络冗余保证高可靠性、兼备多业务高速处理转发能力;支持高密10G、GE接口卡，便于后续网络扩容；路由收敛快，避免因链路故障导致路由震荡影响正常业务;支持大容量堆叠组网，简化网络、降低配置复杂性;智能流量负载均衡，提升服务器利用率，保证业务不中断。网络核心层推荐选用S9700万兆T比特以太框式核心路由交换机，采用双机负载分担方式组网，充分发挥设备性能。S9700系列交换机采用先进的多层交换架构，提供持续的带宽升级能力，支持40GE和100GE以太网标准。该产品基于公司自主研发的通用路由平台VRP开发，在提供高性能的L2/L3层交换服务基础上，进一步融合了MPLSVPN、硬件IPV6、桌面云、视频会议、无线等多种网络业务，提供不间断升级、不间断转发、硬件OAM/BFD、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间。该核心交换机可提供大量万兆千兆的光接口，且可配不同传输距离的光模块，用于各汇聚点到核心的高速连接，支持多业务插卡（如防火墙/NAT/IPSEC/无线控制器AC/负载均衡器），一机多能，简化网络结构，满足业务的进一步发展需要，节省用户投资。S9700采用业界首创CSS交换网集群技术，克服了业界普遍采用的线卡集群跨框多次交换，交换效率低下的架构难题，面向十万兆平台设计，区别于业界接口板集群技术，S9700交换网集群技术有诸多优点。下图显示这两种集群技术的实现方法：图4：CSS交换网集群技术示意图交换网集群技术应用于医院核心网络有三大优势：减化管理和配置集群后需要管理的设备节点减少一半以上。其次，组网变得简洁，不需要配置复杂的协议，包括STP/SmartLink/VRRP等。快速的故障收敛故障收敛时间可控制在＜1ms，大大降低网络链路/节点的故障，对业务的影响。集群带宽高且不占用业务接口资源S9700无阻塞CSS集群，消除“二次交换”，集群卡不占用宝贵的业务板槽位，支持高达256G集群带宽。汇聚层汇聚层是本地接入层的逻辑中心，汇聚所有本地接入网络流量，为本地提供不同VLAN间路由交换功能，因此，汇聚层设备的性能和稳定性要比接入层设备更高；作为逻辑中心也起到隔离接入层与核心层作用，避免接入层网络故障对核心层产生直接影响。汇聚交换机需要实现接入交换机之间的数据高速转发，为保证数据的快速转发、减少网络瓶颈，接入交换机与汇聚交换机之间使用万兆光纤互联，需要此设备能够提供大量的万兆接口，并保证未来的扩容需求。推荐选择S7700框式交换机作为万兆汇聚交换机。S7700系列基于公司智能多层交换的技术理念，在提供稳定、可靠、安全的高性能L2~L4层交换服务基础上，进一步提供MPLSVPN、业务流分析、完善的QOS策略、可控组播、资源负载均衡、一体化安全等智能业务优化手段，同时具备超强扩展性和可靠性。S7700系列汇聚交换机也支持CSS框式集群技术，与S9700一起构成高可靠性的医院网络接入层接入层为边缘设备，为各种用户终端提供网络接入与控制，并根据业务特征执行相应QoS策略。随着诸如IP电话、无线AP的广泛应用，PoE特性是接入交换机不可缺少的功能。同时，服务器接入层需要为各服务器提供高可靠性、大带宽的接入能力，要求至少支持千兆接入和千兆上行，最好是万兆上行；并且能支持各业务的逻辑安全隔离等。整体而言，无论是用户接入层还是服务器接入层，一般要规划VLAN，使用VLAN的目的在于：⑴隔离广播域没有VLAN的二层网络是一个大的广播域，广播报文会发送到域内每个端口，二层网络越大广播报文越多，带宽占用越严重。利用VLAN可以把广播域缩小到VLAN内(即一个VLAN是一个广播域)，有效地把广播信息控制在VLAN内，提高链路的利用率和网络安全的同时，简化了网络管理。(2)业务和用户的隔离使用VLAN后，属于不同VLAN的用户和业务的数据流是隔离的，不可互访，提高了业务和网络的安全性。(3)VLAN可以提高用户接入的灵活性VLAN通常是在一个局域网中的多台交换机上规划和配置的，用户的接入不局限于某台交换机，无论用户接入到哪台交换机，只要属于原来同一个VLAN，则相应的应用不发生变化，提高了用户移动接入的灵活性。随着信息技术的发展，目前千兆接入也已成为医院信息化发展的主流，以便未来业务扩展，因此推荐接入层采用S5700千兆接入交换机。S5700系列全千兆企业交换机，是公司为满足大带宽接入和以太多业务汇聚而推出的新一代绿色节能的全千兆高性能以太交换机。它基于新一代高性能硬件和公司统一的VRP平台，具备大容量、高密度千兆端口，可提供万兆上行、POE供电，充分满足医院多业务接入需求。该系列交换机融合了可靠、安全、绿色环保等先进技术，采用简单便利的安装维护手段，帮助医院减轻网络规划、建设和维护的压力，助力医院搭建面向未来的IT网络网络边界网络出口边界的主要功能是提供外部的互访，包括对接社保/医卫、出差员工、居民的一般访问等，边界路由器需要具备丰富的接口类型（10GELAN/WAN、STM、E1/T1等）以及协议对接能力（BGP、OSPF、ISIS、RIP、静态路由、MPLSTE/VPN、VPLS、IPv4/IPv6互通等），以满足各种对接需求和业务发展；推荐选NE40E-X3作为边界路由器。NE40E-X3采用热备双路由器设计，提供业界领先的400G交换平台，业界第一个支持端到端200ms倒换保护功能，以及BFD&OAM等多种网络保护手段，特别适合应用于大型医院等机构的IP网络的边缘位置。NE40E基于分布式的硬件转发和无阻塞交换技术，具有良好的线速转发性能，优异的扩展能力，完善的QoS机制和强大的业务处理能力，可以灵活部署L2VPN、L3VPN、组播、组播VPN、MPLSTE、QoS等，实现业务运营级的可靠承载；同时，NE40E全面支持IPv6，可以实现IPv4到IPv6的平滑过渡。因此，NE40E应用于医院网络边缘可提供丰富的业务类型和可靠的服务质量，是医院网络向宽带化、安全化、业务化、智能化发展的重要源动力。eSight网管eSight网络管理系统是为各企业用户专门定制的网络管理系统，能针对性的解决网络设备多厂家、多种类以及维护人员/技能缺乏等问题。不但可为医院提供多厂家IP设备管理，还可提供打印机、复印机等IT设备的管理。eSight无需专用的服务器及客户端软件，可提供可视化业务管理，降低了投资成本且简化了安装维护。此外，对火警，盗警等安防检测，医院传统做法主要是通常的闪灯，声音报警等手段，如何能够将各种报警信息汇总到统一管理平台，以便进行灵活处理。eSight可用来提供辅助智能楼宇安防监控，如下图所示：楼道接入交换机告#铃火/烟警检测口与统一通信等系戊统连动.及时通，L知安防人员/7碰g理平台楼道接人*机火/烟著检测告善俺上报告普图5：楼道接入交换机告#铃火/烟警检测口与统一通信等系戊统连动.及时通，L知安防人员/7碰g理平台楼道接人*机火/烟著检测告善俺上报告普2.3大型医院无线网络基础解决方案近年来基于无线网络的无线医院应用也得到迅速发展，无线网络能实现各终端设备移动接入，组网灵活，有效解决有线布线难的问题，降低布线工程成本等。WLAN网络在部署过程中，根据不同的需求有多种实现形式，根据网络架构分为：自治式架构（即FATAP或胖AP架构）和集中式架构（即FITAP或瘦AP架构）两种架构。图6：无线网络自治式架构和集中式架构胖AP架构：AP实现所有无线接入功能，不需要AC设备形态。WLAN早期广泛采用自治式架构，随着企业大量部署AP后，对这些AP进行配置、升级软件等管理工作将给用户带来很高的操作成本，管理成本提高，自治式架构应用逐步减少。瘦AP架构：该架构通过无线控制器（AC）集中管理、控制多个AP。所有无线接入功能由AP和AC共同完成：AC完成网络具有重要意义的功能，例如移动管理、身份验证、VLAN划分、射频资源管理、无线IDS(IntrusionDetectionSystems)和数据包转发等。AP完成无线空口的控制，例如无线信号发射与探测响应、数据加密解密、数据传输确认、空口数据优先级管理等。此架构下AP和入腭间采用CAPWAP隧道协议进行通讯，AC与AP间可以是直连或者穿越Layer2、Layer3网络。CAPWAP信息在AP与AC间交互时可以使用DTLS加密机制，保证通信的安全性。无线支持以上两种架构，针对大型医院，推荐采用瘦AP架构，采用AC对所有AP进行统一管理。通过无线控制器AC+瘦AP的部署架构，与有线网络采用共同的网管eSight、共同的DNS、DHCP等网络服务器，实现医院有线无线网络的统一融合。通过接入交换机S5700的POE向AP同时提供供电和数据传输，S9700上挂接AC及位置定位服务器，实现对全院AP的统一策略管理，并且AC与eSight网管系统的WLAN管理模块协同工作，实现对全网AP的自动配置下发、射频管理、信道分配、安全接入控制等等无线网络配置和运维管理功能