医院无线网络覆盖解决方案热点.doc

XX医院无线网络覆盖解决方案 南京中科智达物联网有限公司2012-08-13目 录第一章 医院无线网系统需求- 3 -第二章 系统概述- 3 -第三章 中科智达无线局域网方案- 4 -3.1 采用无线局域网的好处- 4 -3.2 选用无线局域网产品的原则- 5 -3.3 中科智达的无线方案- 6 -3.3.1 中科智达医疗无线信息平台的典型网络结构- 6 -3.3.2 中科智达医疗无线信息平台特点- 7 -3.4 无线网络在医院的主要应用- 13 -3.5中科智达天馈系统的特点- 14 -第四章 无线局域网安全- 16 -第五章 无线局域网产品- 20 -第六章 产品清单- 21 - 21 - 2020-1-7 第一章 医院无线网系统需求医院内部已经建立了功能强大的医疗计算机管理系统，医护人员可以通过有线网络来更新患者资料信息和相关数据库，能够访问、修改、输入患者信息、诊断报告和治疗方案，但在使用过程中发现，有线上网方式的地点固定性制约了系统发挥更高的效应，特别针对一些流动性比较强的岗位，根本就无法通过有线的方式上网，也就无法向管理系统的数据库提供或者获得重要的信息，而且想要扩展一个新的网络上网口也是困难重重。医院要求建立医院内部的无线网络覆盖，补充有线网络的不足，提高效率，更好的为患者服务。第二章 系统概述医疗行业作为与人民生活息息相关的行业，在计算机技术高速发展的今天，它的信息化建设就显得尤为重要，利用计算机管理系统进行医生查房、病人监护、药计师配药和分发、设备的管理和实时监控，药品库存管理，病人档案、病例，控制医疗装置，以成为各医院工作人员日常工作必不可缺的重要工具。目前，很多医院的计算机管理系统中，计算机都是放置在各个部门的固定位置，如财务部门、挂号部门、结算部门、药品发放部门、护士值班室、医生办公室、行政人员办公室等，甚至在病房中架设计算机，然后通过计算机综合布线连网。但是，由于医疗行业的特殊性，医护人员和病患者之间需要频繁地在院内移动检查、同时处理的信息量大以及患者对就诊时间的敏感性，这些都要求网络具备可移动性、传输速率高等特点。同时考虑到随着医院业务量的增加，网络需要留出足够扩容空间，传统的有线网络已不能完全满足医院信息化的需求。IEEE802.11系列无线局域网络（WLAN）标准的出现，使“网络无处不在”的美好愿望成为现实，它所具备的移动性和灵活性，使得医院部署特殊的信息化应用成为可能。作为在无线网络安全、规划和建设领域具有丰富经验的无线网络设备和解决方案提供商，南京中科智达无线通信科技有线公司深入分析了国内大型医院的各种应用需求和特点，针对这些需求提出了医疗无线信息平台，可应用于医院移动查房、移动心电传输、电子标签、腕带、条码标识带的应用等。使得医生、护士可以随时随地获取病人的相关信息：病例、医嘱、检查化验结果、影像、诊疗规范、操作指南、参考文献等；还可以随时随地的传送相关信息：生命体征、检查化验结果、病情描述、各种申请，实时会诊、信息交互。更加方便、快捷的工作，大大提高了工作效率。中科智达提出的无线局域网（WLAN）整体解决方案在医疗、教育等行业中得到广泛的应用。客户包括南京大学、东南大学、中国科技大学、上海财经大学等近百所著名高校，医疗行业用户有南京军区总医院、南京中大医院、北京安贞医院、解放军301总院、南海中医院、上海曙光医院等多家大型医院。 第三章 中科智达无线局域网方案3.1 采用无线局域网的好处无线局域网，也被称为WLAN(Wireless LAN) ，一般用于宽带家庭，大楼内部以及园区内部，典型距离覆盖几十米至几百米，目前采用的技术主要是802.11a/b/g/n系列。WLAN利用无线技术在空中传输数据、话音和视频信号，作为传统布线网络的一种替代方案或延伸，无线局域网把个人从办公桌边解放了出来，使他们可以随时随地获取信息，提高了员工的办公效率。一般而言，对比于传统的有线网络，无线局域网的应用价值体现在：- 可移动性：由于没有线缆的限制，用户可以在不同的地方移动工作，网络用户不管在任何地方都可以实时地访问信息。 - 布线容易：由于不需要布线，消除了穿墙或过天花板布线的繁琐工作，因此安装容易，建网时间可大大缩短。 - 组网灵活：无线局域网可以组成多种拓扑结构，可以十分容易地从少数用户的点对点模式扩展到上千用户的基础架构网络。 - 成本优势：这种优势体现在用户网络需要租用大量的电信专线进行通信的时候，自行组建的WLAN会为用户节约大量的租用费用。在需要频繁移动和变化的动态环境中，无线局域网的投资更有回报。无线时代正在来临，这意味着可以在任何便于工作的地方，如在会议室、医疗室、教室、自助餐厅、实验室、办公室以及在野外的野餐桌旁，享受工作的自由和灵活性。无线网络正在成为每个企业根本的、必备的合作工具。无线局域网技术的新发展表现为更高的速度、更好的互操作性以及安全性。无线局域网具有的高灵活性和可靠性，可以立竿见影地提高生产率，在各行业的广泛应用取得了引人瞩目的成果，展示了极为广阔的市场前景，它将创造崭新的生活和工作风尚。3.2 选用无线局域网产品的原则根据网络具体情况，在网络设计中遵循下列原则：先进性原则采用先进的设计思想，先进的网络设备，使网络在今后一定时期内保持技术上的先进性。开放性原则 网络设计及网络设备选型遵从国际标准及工业标准，使网络具有高度的开放性和所提供设备在技术上的兼容性。可伸展性原则 网络设计在充分考虑当前情况的同时，必须考虑到今后较长时期内业务发展的需要，留有充分的升级和扩充的可能性。充分利用现有通讯资源，为以后扩充到更高速率提供充分的余地。另一方面，还必须为网络规模的扩展留有充分的余地。安全性原则网络系统的设计必须贯彻安全性原则，以防止来自网络内部和外部的各种破坏。贯彻安全性原则体现在以下方面：l 设备采用的是扩频技术；l 提供了射频频信道的加密；l 用户可以通过设置自己的网桥或另加独立加密设备实现更高的安全性；l 网络内部对资源访问的授权、认证、控制以及审计等安全措施：防止网络内部的用户对网络资源的非法访问和破坏。可靠性原则网络系统的设计必须贯彻可靠性原则，使网络系统具有很高的可用性。可靠性原则体现在以下方面：l 选用技术先进、成熟高可靠性的网络设备；l 系统增益储备高；l 链路的可维护性好。可管理性原则网络系统应具有良好的可管理性，使得网络管理人员能方便及时地掌握诸如网络拓扑结构、网络性能统计、网络故障等信息，能简便地对网络进行配置和调整，确保网络工作在良好状态。3.3 中科智达的无线方案3.3.1 中科智达医疗无线信息平台的典型网络结构如下图所示：3.3.2 中科智达医疗无线信息平台特点 先进的无线交换技术中科智达无线交换技术具有全新的无线嘉和架构，改变并增强了无线网络的部署、配置、监视、管理的方式，中科智达无线交换机可以集中、有效、低成本地部署、配置、监视、管理无线网络，是一个具有高度冗余性和扩展处理能力的医疗无线信息平台。 可靠性强考虑到医院实际使用的需要，我们在设计时充分考虑系统的可靠性，关键设备冗余设计，实现热备份。天馈系统中大部分采用的是无源设备，所以维护方便、简单，而且设备出现故障的几率大大减少，提高了系统的可靠性。 多种接入认证、控制机制方案中采用的ZG-5000-2N支持多个虚拟的SSID，可以为每个SSID提供不同的认证方式，以及划分不同的VLAN ID。根据用户类型、级别的不同，可以自由定义各种安全策略。内网用户（医疗终端、计费主机等）可以连接带安全控制SSID（如802.1x）。外网用户（病人、普通无线终端等）可以连接开放的SSID，通过VLAN设定，外网用户将只能访问Internet或医院开放的门户网站。 完善的无线安全性 安全对于网络来说至关重要，为了使用户放心使用无线产品，提高用户的高安全性，中科智达的无线网络产品融合了最新的加密技术，支持灵活的多种用户认证方式，用户可以根据需要方便地进行选择，并有效阻止第三方或竞争对手窥探网络内容、获取认证获授权信息以侵入医院的信息系统、获取商业秘密等。支持多种加密方式支持高级加密标准 (AES)、临时密钥交换协议 (TKIP) 以及有线对等加密 (WEP) 加密有助于保护所有的通信连接。基于用户的安全策略对单个用户或组执行不同的安全策略，以便进行灵活、深入的安全控制和管理。 入侵侦测技术无线网络一旦检测到攻击和非法接入时，主动实施定义的安全策略，报警并阻断攻击和非法接入，有效防止黑客的入侵。 扩展性强中科智达无线交换机具有特有的隧道技术，在部署和实施无线网络是，可以不改变原有局域网的结构、配置、设定，方便快捷地部署无线信息平台，中科智达无线交换机可以穿越三层交换结构对AP进行控管，极大地方便了无线信息平台的规划、部署和以后的扩展。中科智达独有的无线天馈系统，当终端的数量日渐增多的的时候，网络带宽会明显不足，这个时候我们可以方便增加AP，把多个AP同时合路到一套天馈中去，使得在信号覆盖区的任何位置都能同时收到多路AP的信号，当其中一个AP出现故障时，用户能自动地切换到另一个AP上，同时达到备份效果。 多样化的解决方案在手术室和心脏相关的区域的无线覆盖。 出于安全考虑，这些区域，我们建议选用 IEEE 802.11a 5.8G 标准产品，以尽量避免与现有的 2.4GHz 的屏蔽不良好的医疗设备产生干扰 ; 在手术室内，无线设备尽量保证与相关医疗设备之间保持一定的距离 , 特别是手术室内的监视设备及血液循环设备等医疗设备对干扰最为敏感 ; 特别值得强调的是，在这些区域的无线网络实施安装过程，尽量减小发射功率。最好调整电波输出的功率为 10mW 以下。 管理方便，支持多应用：一方面中科智达特有的自动RF管理和功率控制技术以及优化的天馈系统，确保无线信号均匀分布，信道的利用率高，较少信道干扰。方案中使用中科智达的无线接入控制器，配合AP的多SSID、VLAN和QoS等功能相结合，提供多种网络安全机制，满足不同用户群的灵活接入需求，而且可以对AP进行集中管理，并且解决了一些无线网络带来的一些安全问题。 功能强大的网管软件 各无线AP间的物理位置比较分散，中科智达网管软件提供了集中式的管理，采用网络管理的标准协议SNMP对相关无线局域网设备进行参数配置、数据采集、性能分析和故障告警。有效地降低了网络的维护成本，提高网络的稳定性，它有以下几个主要功能： 设备自动发现和归类 集中设备参数的配置，包括固件的升级维护 电子地图功能，直观显示各设备的分布状况，便于管理和维护。 系统运行状态监控，包括流量、信道质量、接入用户数、AP分布等 设备故障报警 历史运行情况记录，提供系统瓶颈分析的依据中科智达医疗无线信息平台全面分析了医疗系统对于无线网络应用的需求和特点，其无线网络技术和产品能完全满足大部分医疗机构典型的无线网络应用需求，如移动心电传输、移动查房、移动导医服务、病房移动护理点式服务、即时专家会诊系统、医疗科室和药品综合信息查询、体检化验结果即时获得，住院病人上网等服务和应用项目。同时，医院无线网络建设和应用所面临的问题是多方面的，在部署无线网络之前，我们建议用户进行现场勘察、无线环境调查、网络现状分析、专门的解决方案设计和可行性研究等多项工作。根据医院的具体情况进行具体分析以制定最佳的实施方案。聘请一个专业从事无线网络设计和工程实施的公司能够帮助您出谋划策、分布实施与持续改进医院无线网络的规划和部署，并与您一起迈向成功！具体楼层覆盖示意图：负一层分布图一层分布图二层分布图三层分布图四层分布图3.4 无线网络在医院的主要应用1无线网络用于病区移动查房在病区组建WLAN后，医生不再受网线的困扰，医生每天床边查房需要病人的临床资料（病历、医嘱、化验单、检查报告、影像资料）可以通过无线网络和移动终端设备随时随地获取；同时，可以随时随地获取诊疗规范、操作指南、临床路径、参考文献、知识库等；可以随时随地传送有关信息，包括：生命体征、检查化验结果、病情描述、各种申请；可以进行实时会诊，实时下医嘱、信息交互、重症监测和抢救。2无线网络用于床边护理护理人员可以实时采集病人生命体征，如：体温、呼吸、血压等；可以实时核对最新医嘱变化，执行医嘱时与最新医嘱进行核对，防止差错；可以实时三查七对，“三查”即：“操作前查、操作中查、操作后查”，“七对”即：“对姓名、对床号、对药名、对剂量、对浓度、对时间、对用法”，目的是为了避免护理差错，保证病人医疗安全。另外，无线网络还可以与条码与无线射频技术相结合，更便捷地核对病人、核对药品，简化信息采集和录入手段3无线网络用于呼叫通信组建WLAN后，医院可以利用IP语音（VoIP）系统代替传统的通信设备，可以在同一个网络中传输语音和数据，提供双向的语音通信。4利用无线网络给病人提供上网服务组建WLAN后，将网络分为内网和外网，内网用于信息管理，外网提供病人上网。3.5中科智达天馈系统的特点中科智达天馈系统在继承了传统无线局域网一些固有的特性，如实现移动办公、增加接入端口、随时随地接入网络之外，还有以下特点： 终端设备移动过程中无需漫游 维护简单天馈系统中大部分采用的是无源设备，所以维护方便、简单，而且设备出现故障的几率大大减少，提高了系统的稳定性。 自动RF管理和功率控制技术2.4GHz是一个公共频段，在实际使用中，不可避免存在着射频干扰，中科智达特有的自动RF管理和功率控制技术，能够自动优化 WLAN 性能。动态发射功率控制与自动信道选择相结合，可自动调谐设备的信号强度，以避免干扰。使无线网络的性能达到最优化。 无线网络入侵侦测技术无线网络一旦检测到攻击和非法接入时，主动实施定义的安全策略，报警并阻断攻击和非法接入。 扩展性强当终端的数量日渐增多的的时候，网络带宽会明显不足，这个时候我们可以增加一个AP，把两个AP同时合路到一套天馈中去，使得在信号覆盖区的任何位置都能同时收到2路AP的信号，很方便的提高了网络带宽，当其中一个AP出现故障时，用户能自动地切换到另一个AP上，虽然带宽减半，但达到备份效果。 优化的天馈系统传统的方式是用多个AP来覆盖一定的区域，AP间的干扰大，影响无线网络的性能，中科智达结合医院的特点，采用较少的AP，通过特定的器件接多个无源设备对指定的区域进行无线覆盖。采用天馈系统的优点为： 信号均匀覆盖，保证稳定带宽天线的安装位置和输出功率可以根据覆盖场景来设计，确保无线信号的强度和接收灵敏度，达到边到边的均匀覆盖效果，保证覆盖区拥有连续的、稳定的带宽，对带宽和链接稳定性要求高的应用如PACS很有意义。 减少AP间的切换，保证实时应用移动终端如Laptop、PDA或SmartPhone在同一套天馈覆盖区内移动，不会有AP间切换的现象发生，这对PDA应用和实时语音十分重要。 保障设备物理安全天馈系统中的AP被安放在专用的机箱内，机箱则安装在配电间或其它相对安全的地方，这样不仅能保证良好的运行环境和设备的物理安全，同时在故障出现时可以最快速度地确定AP的位置，缩短维修时间，提高系统的可管理性 减少信道干扰，降低通讯丢包率802.11b/g/n只有三个不重叠信道（1，6，11），天馈系统在每个楼层利用两个不重叠信道的AP来覆盖，同时预留出第三个信道给今后扩容使用，避免了在相对较小的区域使用多个AP覆盖所可能带来的信道干扰，信道干扰会造成通讯丢包率快速上升，从而增长时延，降低带宽。 提高设备稳定性，降低维护成本由于天馈系统中绝大部分都是无源设备，使用寿命长，不容易受潮湿、温度等影响，故障率低。 具有扩展性天馈系统在备份和负载均衡情况下使用两个不重叠信道，留下第三个不重叠信道给今后扩展使用，不仅可以在天馈的基础上选择性地在一些区域利用第三不重叠信道增加11n AP。 自动负载均衡，提供网络冗余备份两个AP同时合路到一套天馈中去，使得在信号覆盖区的任何位置都能同时收到2路AP的信号，这不仅提供了负载均衡，同时当其中一个AP出现故障时，用户能自动地切换到另一个AP上，虽然带宽减半，但达到备份效果。 标准设备，保护投资系统所有设备都完全遵循IEEE标准，具有高兼容性，客户可以自由选择相同性能的标准化AP，保护投资。 多样化的解决方案在手术室和心脏相关的区域的无线覆盖。 出于安全考虑，这些区域，我们建议选用 IEEE 802.11a 5.8G 标准产品，以尽量避免与现有的 2.4GHz 的屏蔽不良好的医疗设备产生干扰 ; 在手术室内，无线设备尽量保证与相关医疗设备之间保持一定的距离 , 特别是手术室内的监视设备及血液循环设备等医疗设备对干扰最为敏感 ; 特别值得强调的是，在这些区域的无线网络实施安装过程，尽量减小发射功率。最好调整电波输出的功率为 10mW 以下。 方便、实用的用户管理中科智达天馈系统，针对不同类型的用户、同类型不同权限的用户实施管理，同时考虑到来医院临时性客户较多，可以利用中科智达认证管理软件可以简单、快速的开设一些限制权限的账号，用户可以简单方便的接入网络，同时系统对用户作日志记录，以便网络中心查阅。第四章 无线局域网安全AP自身的安全管理由于无线局域网采用公共的电磁波作为载体，电磁波能够穿过天花板，玻璃，楼层，砖，墙等物体，因此在一个无线访问点所服务的区域中任何一个无线客户端都可以接受到，包括并不希望他接收数据的客户端。安装无线局域网就如同在任何地方都放置以太网端口一样，任何人都可以访问网络。在一个服务区内，目前还没有办法直接将传输数据导向到接收端。因此与有线线缆组网不同，在无线局域网中，只要有2.4GHz的设备，任何人都有条件窃听或干扰信息，为了阻止非授权用户访问无线网络，以及防止对无线局域网数据流的非法侦听，802.11b标准中引入了认证和加密的手段。通常网络的安全性主要体现在访问控制和数据加密两个方面。访问控制保证敏感数据只能由授权用户进行访问，而数据加密则保证发射的数据只能被所期望的用户所接收和理解。物理地址（MAC）过滤每个无线工作站网卡都由唯一的物理地址标示，该物理地址编码方式类似于以太网物理地址，是48位。可在无线访问点AP中手工维护一组允许访问的MAC地址列表，实现物理地址过滤。服务区标识符(SSID)匹配无线工作站必需出示正确的SSID才能访问AP，因此可以认为SSID是一个简单的口令，从而提供一定的安全。如果配置AP向外广播其SSID，那么安全程度将下降，所以建议设置AP为不广播其SSID（Hidden AP）；由于一般情况下，用户自己配置客户端系统，所以很多人都知道该SSID，很容易共享给非法用户。目前有的厂家支持“任何”SSID方式，只要无线工作站在任何AP范围内，客户端都会自动连接到AP，这将跳过SSID安全功能。有线等效保密（WEP）有线等效保密（WEP）协议是由802.11标准定义的，用于在无线局域网中保护链路层数据。WEP使用40位钥匙，采用RSA开发的RC4对称加密算法，在链路层加密数据。WEP可以提供3种安全： 保密性：这也是WEP协议的首要任务，防止非法的窃听。 访问控制：保护对无线局域网络的访问。对于所有没有通过WEP加密的数据包都要丢弃。 数据完整性：通过校验和方式保证数据不被修改。WEP采用共享钥匙方式，用户的加密钥匙必需与AP的钥匙相同，并且一个服务区内的所有用户都共享同一把钥匙。40位WEP具有很好的互操作性，所有通过Wi-Fi组织认证的产品都可以实现WEP互操作。Wi-Fi 保护访问（WPA）在IEEE 802.11i 标准最终确定前，WPA （Wi-Fi Protected Access） 技术将成为代替WEP的无线安全标准协议，为IEEE 802.11 无线局域网提供更强大的安全性能。WPA是IEEE802.11i的一个子集，其核心就是IEEE802.1x和TKIP。新一代的加密技术TKIP与WEP一样基于RC4加密算法，且对现有的WEP进行了改进，在现有的WEP加密引擎中追加了“密钥细分（每发一个包重新生成一个新的密钥）”、“消息完整性检查（MIC）”、“具有序列功能的初始向量”和“密钥生成和定期更新功能”等4种算法，极大地提高了加密安全强度。TKIP与当前Wi-Fi 产品向后兼容，而且可以通过软件进行升级。从2003年的下半年开始，Wi-Fi组织已经开始对支持WPA的无线局域网设备进行认证。端口访问控制技术（802.1x）该技术也是用于无线局域网的一种增强性网络安全解决方案。当无线工作站STA与无线访问点AP关联后，是否可以使用AP的服务要取决于802.1x的认证结果。如果认证通过，则AP为STA打开这个逻辑端口，否则不允许用户上网。802.1x要求无线工作站安装802.1x客户端软件，无线访问点要内嵌802.1x认证代理，同时它还作为RADIUS客户端，将用户的认证信息转发给RADIUS服务器。802.1x除提供端口访问控制能力之外，还提供基于用户的认证系统及计费，特别适合于公共无线接入解决方案。AP自身的安全管理存在的缺陷和解决办法在当前的网络时代，不满的雇员、黑客、病毒以及一些有意或无意的疏忽等都会对网络的安全构成威胁，一旦网络被恶意攻击，所造成的损失将会是很严重的。当企业部署一个无线网络时，安全应该是所必须考虑的问题之一。无线网传输介质是空气，无法屏蔽非法用户接触网络介质，因此如果部署一个没有接入控制的WLAN将会比有线网更易受攻击，所以接入控制、数据加密、无线网与有线网之间隔离等问题都是非常重要的，这些安全措施只凭AP 提供的简单MAC地址过滤和静态WEP来保护是不够的，因为它们都很容易被攻破，现在最新的安全标准WPA提出了一些新的安全协议，如802.1x(EAP-TLS,EAP-TTLS,PEAP)，TKIP等等，这些安全协议需要由AP 和安全认证/接入服务器来共同承当。中科智达公司凭借自身雄厚的研发实力，向客户提出一整套无线局域网安全解决方案，利用高性能AP和无线接入控制器（AC）复杂的加密与身份验证技术，可以有效解决无线局域网的安全问题。无线网用户安全认证与策略路由无线网络实际是提供一个移动办公的环境，在该移动办公环境中存在着多种类型的用户，从目前情况来看，主要有两种用户类型，分别是医院内部用户和来访用户，而对于这两种类型用户，他们对无线安全要求均不相同，因此，提出了如下解决方案：医院内部用户内部用户主要是医生和护士，他们由于工作的需要要求随时接入网络访问内部资源以及访问Internet，但是这些用户的数据有可能是些比较重要和机密的资料，使用了无线网传输这些重要资料可能遭到非法窃听的严重后果，因此需要对这类用户的数据进行加密处理，以保障用户数据的安全。我们认为使用中科智达高性能无线接入器，使用802.1x对这类用户进行身份验证对该类用户进行认证最为合适。当用户认证成功后，使用Dynamic WEP对用户数据进行加密，由于Dynamic WEP每隔一段时间更换一次加密密钥，因此相比Static WEP而言有更强的加密性能。来访用户来访用户主要