智慧医院专网融合组网架构与技术要求

1智慧医院专网融合组网架构与技术要求本文件确立了智慧医院专网融合组网的总体架构和组网架构，规定了智慧医院专网融合组网的功能、安全、可靠性与智能运维技术要求本文件适用于电信网络运营商、医院网络建设者、设备制造商对5G网络与医院现有网络融合演进的智慧医院专网进行研发、建设、运营。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件。仅该日期对应的版本适用于本文件。不注日期的引用文件，其最新版本(包括所有的修改单)适用于本GB15629.11-2003信息技术系统间远程通信和信息交换局域网和城域网特定要求第11部分：无线局域网媒体访问控制和物理层规范GB/T22239-2019信息安全技术网络安全等级保护基本要求YD/T2372-2011支持IPv6的接入网总体技术要求YD/T3615-20195G移动通信网核心网总体技术要求YD/T36275G数字蜂窝移动通信网增强移动宽带终端设备技术要求(第一阶段)YD/T3962-20215G核心网边缘计算总体技术要求YD/T3973-20215G网络切片端到端总体技术要求IEEE802.11信息技术系统间的电信和信息交换局域网和城域网特殊要求第11部分：无线局域informationexchangebeiwensystemsLocalandmetropolitanareanetworWirelessLANMediumAccessControl(MAC)andPhysicalLayer(PHY)SpecificationIEEE802.1X信息技术——系统间的电信和信息交换——局域网和城域网——第1X部分：基于端systems-Localandmetropolitanareanetworks-PartIX:Por-basednetworkaccesIETFRFC2474IPV4与IPv6包头中差分服务字段的定义(DefnitionoftheDifferentiatedServicesField(DSFicld)intheIPv4andIPv6IETFRFC2475差分服务架构(AnArchitcctureforDiftrentiandServicsFramework)IETFRFC2597保证转发PHB组(AssuredForwardingPHBCroup)IETFRFC3246加速转发PHB(AnExpeditedForwardingPHB)IETFRFC3270MPLDifferentated3术语和定义下列术语和定义适用于本文件。2智慧医院smarthospital将云计算、大数据、物联网、移动互联网、人工智能和区块链等新一代信息技术，运用于医疗服务和医院管理，构建智慧服务体系、智慧医疗体系和智慧管理体系，提高医疗服务能力、服务效率和服务质量，优化医疗服务资源，拓展医疗服务空间和内容，提升患者就医体验，实现可持续发展的一种创新型医院。智慧医院专网smarthospitalprivatenetwork一张为满足智慧医院应用场景对通信网络的传输速率、通信时延、覆盖范围、安全隔离等需求而建设的专用网络。下列缩略语适用于本文件3GPP第三代合作伙伴计划50第五代移动通信5GC5G核心网AC无线接入控制器AI人工智能AMF接入与移动性管理功能AP无线接入点AR增强现实CAR承诺接入速率CsMF通信服务管理功能CT计算机断层扫描CIR承诺信息速率DDos分布式拒绝服务攻击DNN数据网络名称DSA数字减影血管造影DSCP差分服务标记字段EDR终端检测与响应HTTPS超文本传输安全协议IAM身份识别与访问管理ICU重症加强护理病房LoRa远距离无线电LTE长期演进MEC多接入边缘计算MEP多接入边缘计算平台MR混合现实MRI磁共振成像NB-IoT窄带物联网NEF网络能力开放功能NFVI网络功能虚拟化基础设施NSSF网络切片选择功能ThirdGencrationPartnershipProjctFifthGcnerationmobilecommunicatArtificialIntelligcnceAccessandMobilityManagementFunctiAugmentedRealityCommunicationServiceManagementDistributedDenialofSerDataNetworkNameDigitalSubtractionAngiographyDifferentServiceCodeEndpointDetectionandReldentityandAccessManngeMulti-acessEdgeComputMulti-accessEdgePlaformMagneticResonanceImagingNarowBandIntemetofThingsNetworkExposureFunctionNetworkFunctionVirtualizationInfastructNetworkSliceSelectionFu3VR个人数字助理策略控制功能策略与计费规则功能峰值信息速率可编程逻辑控制器优先队列服务质量射频识别服务能力开放功能软件定义网络安全文件传输协议会话管理功能简单网络管理协议服务集标识安全套接字协议服务类型目标唤醒时间用户数据管理用户面功能虚拟局域网虚拟现实网络应用防火墙加权公平队列无线局域网PolicyandChangingRulProgrammableLogicCoRadioFrequencyldentifSecureFileTransferPSimpleNetworkManagemenTypeofServiceUnifiedDataManagement用户设备YirtualLoenlAreaNetworWirelessLocalAreaNet5智慧医院专网融合组网架构设计准则面向智慧医院中的典型应用场景(参见附录A),智慧医院专网的总体设计准则如下；a)针对医院多类型网络并有现状，智慧医院专网应基于5G网络部署，具备接入不同网络类型的医疗终端的能力，并具备融合院内多个网络的能力b)智慧医院专网应具备网络资源差异化保障和隔离能力，以满足医院不同业务场景对网络的需c)智慧医院专网应具备边缘计算能力，以满足医院数据不出院区的安全性需求，以及支撑院内应用对网络低时延、高可靠的需求；d)智慧医院专网应具备统一的多类型网络能力开放能力，以使能習慧医院创新业务；e)智慧医院专网应具备统一运营管理能力，支持医院对专网的策略与规则配置和网络状态监控。6智慧医院专网融合组网架构智慧医院专网部署在医院内部，承载着医院内终端访问本院区内(智慧医院云边缘云)应用的传输数据，以及访问院区外应用时在本院区内的传输数据，其总体架构如图1所示：0服人NNE图2智慧医院专网融合组网架构图智慧医院专网融合组网架构包括如下组成部分；a)5G网络：由电信网络运营商承建的覆盖医院院区的、面向智慧医院业务的5G无线网络，应至部署于院区外的电信网络运营商机房，但部分功能可能会下沉到医院院区；b)院区网络：由医院自己承建的承LoRa、有线等技术接入医疗终端。院区网络又分为如下几个组 买院内网：排供右纱、无线接入，连接医院内网云数据中心、其它院区生健康委员会等相关机构；并通过安全边界连接医院外网、医疗物联网和5G网络； 院物联网：提供无线物藏接入，连接物联平台和物联网关，通过安全边界连接医院内网 安全边界：医院网络间实现连接并实施安全管略的相关设备或网络。c)专网管理平台用于智慧医院专网的统一管理，实现用户配置、业务策略与规则配置、运维管理及其他管理功能，并应支持对专网的7*24小时可视化实时监控；d)行业网关：用于实现智慧医院的多网络融合。行业网关部署在UPF与医院云/边缘云MEP之间，通过专线与UPF连接，用于为UPF发送的边缘网络的业务流量分配对应的MEP,以的业务流量分流至对应的MEP,并为MEP提供的医疗应用提供安全访问控制功能。同时与院区网络、网络能力开放平台、专网管理平台对接，支持多网络接接入与开放功能、网络状态监控与计费功能、自主专网资源管理功能等。7智慧医院专网融合组网功能技术要求7.150网络功能技术要求6智慧医院专网基于5G网络部署，应支持网络切片、边缘计算和网络能力开放等关键技术，满足智慧医院应用对网络的多样化需求。7.1.25G终端技术要求智慧医院专网5G终端接入5G网络时的通用技术要求如下：——无线接口应符合YD/T3627的规定：——在不对公网造成干扰的前提下，可支持配置时隙配比——可支持上行增强特性； 应支持网络切片技术，应符合YDT3973-2021中52规定。7.1.35G网络切片技术要求智慧医院专网应支持5G端到端网络切片技术，总体技术要求应符合YD/T3973-2021规定。智慧医院专网5G无线网络基于频率和基站与5G公网的共享程度，分为虚拟专网(共用频率和基站)、混合专网(专用频率，共用基站)、物理专网(专用频率和基站)三种部署形式。为满足医院专网5G无线网络部署需求，5G无线接入网切片应支持如下三种切片技术中的一种或几种：a)调度优先级：对应虚拟专网部署形式：通过调整QoS参数来保障网络性能：5GQoS模型应支持保证流量比特率QoS数据流、非保证流量比特率Non-GBRQoS数据流以及应支持反射Qos.主(RQA)、保证流量比特率(GFBR)、最大流比特率(MFBR)。应符合YD/T3615-2019中规定的5QI映射表，应支持从带宽、延时、优先级以及丢包率等多维度的QoS能力选择：b)RB资源预留：对应混合专网部署形式：通过半静态和动态切片用户组资源预留技术为医疗业务预留保障带宽，应支持将一个或多个切片配置为一个切片用户组，并为该切片用户组预留一定RB无线资源(资源占比可配置),其中一部分RB资源(资源占比可配置)为切片内用户专用，另一部分资源优先保障切片用户组内用户体验，剩余预留资源可以基于QoS公平竞争资源被其他切片用户共享：c)基站资源专用：对应物理专网部署形式：提供物理独立的5G空口，包括独立的频谱、独立的无线设备。7.1.4边缘计算技术要求智慧医院专网应支持边缘计算，整体功能要求应符合YD/T3962-2021第5章的规定。5G网络由UPF完成本地数据卸载，具体技术要求如下： 应支持在UPF与医院MEP之间部署专用链路，带宽不低于1Gbps———应支持医疗终端通过专用DNN访问本院区MEP: 应支持医疗终端通过网络切片访问本院区MEP7.1.5网络能力开放技术要求智慧医院专网应支持网络能力开放功能： 应支持接入5G网络能力开放功能实体，包括但不限于NEF、PCF、CSMF:——应支持接入电信网络运营商的网络能力开放平台； 应支持接入其他可信第三方的网络能力开放平台 支持接入的网络能力包括但不限干：终端状态监控能力、终端定位能力、路由策略配置能力、网络数据统计报告能力、无线接入网络信息、网络切片能力、Qo8策略配置能力。YD/IX000—x0007.2院区网络功能技术要求7.2.1总体技术要求院区网络可承担临床医疗设备、辅助医疗设备、移动医疗终端、医疗信息系统办公PC等的网络服务，同时可为医护人员，患者提供必要的上网服务，应基于SDN技术实现融合网络的管理、部署，通过Overlay技术如VxLAN建设虚拟化网络，一张物理网络承载多个虚拟网络，实现多业务隔离及承载为了适应多类型终端的接入需求，物理网络需要提供统一的终端融合接入能力，可以同时接入有线终端、无线终端和IoT终端，满足不同终端的接入诉求院区网络应满足以下要求：a)WLAN部署要求：为满足医院无线覆盖质量与用户体验，WLAN部署应参考如下建网标准：———无线用户体验：重点覆盖区域设备满足40兆频宽组网下，单AP应支持50个设备接入，30%业务并发，单设备平均带宽不低于8Mbpsn一般覆盖区域设备满足40兆频宽组网下，单AP应支持100设备接入，30%业务并发，单设备平均带宽不低于4Mbps;特殊覆盖区域符合业务需求新建AP设备应支持802.11ax标准宜支持802.11be,存量AP设备应满足802.11ac/ax标准；使用支持802.11be标准的AP时，上行端口速率应大于2.5G,以满足AP回传带宽要—无线覆盖场强要求；保证区域内信号覆盖无死角，并满足业务的体验要求，要求如下：重点覆盖区域场强要求应不得低于65dBm;一般覆盖区域场强应不得低于75dBm;特殊履盖区域符合业务需求；—丢包与时延要求：无线终端接入网络后ping网关时廷和丢包率，用户平均时延应不大于 各可靠性：应支持AC/AP设备升级时业务不中断，主备AC升级时，AP业务无中断：AP应支持分组升级，且升级时所有覆盖区域保障有WLAN信号：——业务安全性要求：重点业务应采用WLAN无感认证及溯源能力，提升安全防控能力的同时兼顾便捷性 运维可视化管理要求：无线业务体验可视化，应支持无线业务每时刻全程体验可视用户认证协议回放，便于快速解决问题； 盖范用：对指挥区、论断区、化验区、普通病房、ICU病房、药房、库房、设各间等医院核心区域应支持无线WLAN全覆盖；无线漫游技术要求：无线网络覆盖应支持连续组网能力，应支持统一sSID在各类场所用户活动区域使用，应支持一次认证全网无感知浸游；智慧病房应支持部署无线零浸游方案b)有线网络部署要求： 支持1G/2.5G/SG/10GE等端口速率形态： 病房、ICU病房、药房、库房、设备间、诊室等位置可使用小型以太网远端模块，在减少水平走线的同时不增加设备管理难度：远端模块上行线缆，宜采用光电复合缆，在提供供电的同时可以满足未来以太网的带宽平滑升级诉求。c)有线无线统一策略管理要求应支持有线无线融合，应支持统一认证、统一策咯，应支持SDN策略控制和自动化部署全网采用统一认证、统一承载，各类设备在医院中一次认证，任意网络，任意位置可访问资源的权限一致，体验一致：d)QoS调度要求：院区网络应支持实施QoS策略，对不同的应用数据提供相应的网络服务，优先保证关键性业务数据的传输，同时对VIP用户的业务质量进行预留部署，保证VIP客户的网络质量，通过部署QoS实现区分服务；对于院内会议系统流量、多学科会诊等对时延和丢包敏感类业务，应支持部署网络切片技术，实现与其他业务的网络隔离，保证业务体验8e)物联接入能力要求：物联网络应支持蓝牙、RFID、红外、ZigBee等的无线物联网接入。7.2.2终端接入技术要求IP有线终端接入有线终端接入应满足如下技术要求：——有线终端通过以太网口接入网络，应支持1000BASE-T或100BASE-T,应符合IEEE802.3相关要求： 线终端应通过IEEE802.1X认证接入网络，IEEE802.1X认证应支持证书认证、账号口令认证： 线终端应通过IEEE802.1X证书认证接入网络时，应支持自动获取和更新证书：———对于哑终端设备，应支持对哑终端设备进行MAC认证。WLAN终端接入WLAN终端接入应满足如下技术要求；———WLAN终端和WLANAP应支持GB15629.11系列标准定义的2.4GHz频段的规范及IEEE802.11n/802.1lac,宜支持IEEE802.11ax以满足大量终端接入的场景，可支持IEEE WLANAP应支持终端通过IPy6接入物联网： WLANAP支持与终端进行TWT协商，在终端设备不需要通信时可以进入睡眠模式，以支持终端低功耗运行能力；—WLANAP应支持发射功率可调； WLANAP应支持IEEE802.11k/vr要求，实现与周边AP设各以及不同频段之间的负载均衡应支持WLAN终端在关联AP与周边AP,以及不同频段之间的无缝漫游——WLAN终端和WLANAP应支持自动发现和接入的机制，减少终端的配置工作量； WLAN终端应通过IEEE802.1X认证接入网络，IEEE802.1X认证应支持证书认证、账号口令认证；——WLAN终端通过IEEE802.1X证书认证接入网络时，应支持自动获取和更新证书； WLAN络端可通过IPy6接入网络。短距无线络端接入短距无线终端接入应满足如下技术要求——应支持蓝牙终端通过网关转换后接入P网络： 应支持ZigBee终端通过网关转换后接入iP网络； 支持REID终端(125M/433M2.4G)通过网关转接后接入IP网络： 支持6LoWPAN终端通过网关转换后接入IP网络。无线融合接入为了避免针对多种无线接入终端，分别建设不同的物联基站，以及由此带来弱电施工复杂度，应支持无线融合网关，满足如下技术要求： 单个网关同时应支持WLAN,蓝牙，ZigBee以及RFID(125K、433M、2.4G)终端接入：——无线融合网关应支持信号间的协调，干扰避让机制，防止多个无线信号互相干扰： 应支持IPy4/IPy6双栈接入：IPy6县体功能应符合YD/T2372-2011应支持Qo8技术实现医疗业务的差异化体验保障，满足如下技术要求 应支持IPv4和IPy6的DifSery功能，应符合IETFRFC2474、IETFRFC2475、IETFRFC 在DiffSery中，应支持基于EXP、VLANPriority、IPTOs、DSCP、IPPrecedence和IP五元组的流分类功能； 应支持对EXP、VLANPriority、IPTOs、DSCP、IP优先级的重标记功能；———应支持通过设置CIR和PIR来实现CAR功能；对于超出CIR/PIR的流量，应能配置将其丢弃或重新进行标记；—应支持分层Q0S(HQoS)功能。设备应支持出端口队列调度，最少应支持8个队列 应支持基于PO、WFQ的队列调度。——应支持基于网络切片实现不同业务之间的网络隔离应用识别应支持应用识别技术识别不同医疗业务并进一步实现差异化体验保障，满足如下技术要求 支持基于静态模板识别和基于AL的智能识别：———应支持基于应用特征和应用行为进行识别——应支持识别应用后进一步进行业务质量(时延、丢包等)实时监控； 应支持对质差应用进行逐跳故障定界定位： 应支持通过SDN控制器编排和下发应用识别配置并呈现应用监控和故障定界结果。应支持业务随行技术实现医院用户无论何时何地接入网络，用户业务体验不变，满足如下技术要求 支持基于用户的唯一标识(如用户名)定义用户分组： 应支持通过SDN控制器进行用户组访问策略的自动化编排和部署。应支持随流检测技术，实现医疗业务流的时延、抖动、丢包率等质量数据的检测，满足如下技术要 应支持基于用户业务流的随流检测能力： 应支持基于检测结果对网络故障进行分析、定界和定位。7.3多网络融合功能技术要求行业网关是实现智慧医院专网多网络融合核心，其应支持的功能包括多网络统一接入控制功能、网络能力统一接入与开放功能、专网自主运维管理功能、网络状态监控与计费功能。智慧医院专网融合组网架构中，行业网关涉及的接口包括：a)5G网络与行业网关之间的接口：行业网关物理上通过专线与UPF对接，接入5G网络分流到医院专网的用户面数据；b)院区网络与行业网关之间的接口用于实现院区网络的接入与认证功能，以及承载院区网络的数据传输；c)网络能力开放平台与行业网关之间的接口：用于实现网络能力开放平台能力的接入与认证功能，以及能力数据的获取功能；d)行业网关与医院MEP之间的接口：承载行业网关与医院MEP之间数据传输，并实现面向医院MEP的网络能力开放以及自主专网运维管理功能；e)专网管理平台与行业网关之间的接口；用于专网管理策略与规则的下发与专网运行状态监控、计费查询。7.3.3多网络统一接入控制5G网络与院区网络为医疗终端提供网络接入，行业网关为医疗终端选择对应的MEP,以使得终端可访问院区内MEP上部署的医疗应用。为保证医院MEP的网络与数据安全，需要对接入MEP的网络进行接入认证与控制，如：网络的开通与关断、端口的开通与关断、带宽控制等。网络接入认证流程网络接入认证有两种方式：主动认证与被动认证主动认证即由接入MEP的网络主动发起接入认证，发起流程的实体可以是网络的管理平台或网络内其他认证功能实体，流程如下a)网络向行业网关发送接入认证信息，携带信息包括但不限于；网络特征b)行业网关转发网络接入认证信息到专网管理平台；0)专网管理平台完成是否允许该网络接入MEP的判断，向行业网关回复网络接入认证响应信息，携带信息包括但不限于；网络接入认证结果，网络ID;d)行业网关将网络接入认证响应信息转发给对应网络；e)若专网管理平台回复允许接入，行业网关开通该网络接入权限。被动认证即由专网管理平台直接向行业网关下发网络接入认证信息，具体流程如下：a)用户在专网管理平台上配置网络接入认证信息并选择接入的行业网关；b)专网管理平台向对应行业网关下发网络接入认证信息，携带信息包括但不限于：网络D,网c)行业网关开通该网络接入权限。网络特征用于描述所接入网络的特征性信息，具体参数要求如下：——应包括网络名称，即网络的可读性名称：——应包括网络类型说明，取值包括但不限于：WLAN,蓝牙，5G,LTE,NB-IoT,有线等； 应包括所支持最大带宽： 应包括最小带宽控制粒度，取值如IM,1G等，如果值为0表示带宽无法动态调整：应包括IP地址段，为保证终端之间的互联互通。同一专网内络端的IP地址应不冲突：应包括所接入的行业网关接口，接口形式可以为物理接口或虚拟接口——宜包括网络所承载业务的优先级； 宜包括网络所承载的应用。网络接入控制流程网络通过行业网关接入MEP后，用户可根据业务需求，通过专网管理平台下发网络的接入控制策略，具体流程如下： ———按接入用户数计费：即按照网络接入的用户数计费，如“按最大接入用户数包月包年计费”和“按实际接入用户数计费”等计费模式：———按网络能力API调用次数计费：即按照实际网络能力API调用次数计费：——按网络能力数据流量计费：即按照实际传输的网络能力数据总量计费：——按网络能力类型计费：即针对不同的网络能力类型指定不同计费模式及价格：———按网络能力数据来源计费：即针对不同的网络能力数据来源指定不同计费模式及价格。8智慧医院专网融合组网安全技术要求8.1融合接入层安全8.1.1终端设备接入安全终端设备接入安全技术要求：——办公终端应支持802.1X客户端：建议具备零信任EDRAgent能力；———物联终端建议支持基于证书的网络接入控制，以避免从物联网发起对医院专网的攻击； 接入层设各应具备终端识别能力，对设各类型、厂家、终端类型、0S等进行识别，以自动下发网络认证策略、准入策略等。8.1.2接入层设备传输安全接入层设备传输安全满足如下技术要求；———具备数据安全的传输能力，保证数据传输过程中的机密性、完整性； 备安全接入能力，防止终端被仿冒接入通信网络。如TCP/IP协议的智能终端或设各可采用ITUX509证书、IEEE802.1X技术实现安全入网； 备网络他测与网络重建能力。8.1.3接入层设备主机与应用安全接入层设备主机与应用安全宜具备如下要求： 备系统可值启动、安全升级能力： 备重要信息的安全保存能力： ——系统授权认证和数字留痕功能；——感知数据的自动校对和地址绑定功能； 8.2通信网络安全8.2.1通信完整性和保密性要求通信完整性和保密性应满足如下功能要求；—对于信息传输的完整性校验应由传输加密系统完成，通过识别传输协议类型对网络数据进行隧道封装，为用户认证提供安全加密传输，并实现全业务数据在复杂网络环境下的传输。对于信息存储的完整性校验应由应用系统和数据库系统完成。宜部署SSL/IPSec安全接入网关或防火墙来实现——对于信息传输的通信保密性应由传输加密系统完成。宜部署SSLVPN系统或防火墙保证远程数据传输的数据保密性。8.2.2通信网络设备可信芯片要求通信网络设备应具有唯一芯片号、公私钥对，可参与通信过程身份认证及加密。可信网络通信设备以安全芯片为可信根，通过散列算法实现完整性度量，通过非对称算法提供身份认证，通过对称算法提供数据加密，为口令算法、密钥、度量值、口令运算等提供更单纯、安全的安全芯片环境。区域边界安全应满足如下功能要求：———边界安全防护设备应具备；网络准入控制、非授权用户外联行为监控、无线网络访问管理能力。宜部署网络准入控制系统，实现对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查，维护网络边界完整性；———边界访问控制应具备：强化网络安全策略、对网络存取和访问进行监控审计、防止内部信息的外泄、精确流量管理、基于WEB应用的协议及内容控制等能力。宜部署边界防火墙及WEB应用防火墙设备实现相关功能；———边界入侵防范应具备：入侵防护系统IPS、防DDos泛洪攻击、防未知高级威胁(APT)、主动防御(诱捕)等能力。宜部署部署诱捕系统提升内网安全：——边界恶意代码和垃圾邮件防范，应在办公外网边界部署防病毒网关或防火墙(开启防病毒功能、防垃圾邮件功能),并保证病毒库和垃圾邮件规则库需及时升级至最新版本-安全审计应具备：全网日志管理、精准到用户级行为分析、安全事件分析等功能。在各主要边界(重要服务器区域、外部连接边界)需要设置必要的审计机制，进行数据监视并记录各类操作，通过审计分析能够发现跨区域的安全威胁，实时地综合分析出网络中发生的安全事 界安全设备应具备可信验证能力。应基于可信根设计，提供如下能力，基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关健执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。8.4计算安全8.4.1计算安全要求宜根据园区安全需求，具备如下能力——身份鉴别、访问控制、安全审计、入侵防范、想意代码防范、可信验证、数据完整性和保密性、数据备份与恢复、剩余信息保护、个人信息保护等 宜在安全管理中心部署双因子认证系统、PKI-CA系结，实现身份鉴别(身份唯一性标识、登录保护、登录失效、多因子认证)、访问控制(用户账号与权限，访问控制策略及力度)功能： 宣在管理中心部署IAM访问控制系统，提供集中统一访问管理功能，针对应用系统和用户进行统一访问方式、访问准入、访问控制等功能。8.4.2系统安全性要求配备AntiDDos,WAF、数据库防火墙、漏洞扫描工具、系统加固等措施，加强系统安全性，满足如下要求： 应提升主机安全能力，提供系统漏洞扫描、入侵检测等功能，降低主机安全风险：应能够扫描容器镜像中的漏洞，以及提供容器安全策略设置和防逃逸功能 应支持主机、数据库、WEB漏洞扫描等能力，应支持恶意请求和未知威胁的智能识别和防 支持主机、数据库定期更新安全补丁，修补系统安全漏洞，从而提升系统抵御外部非法入侵的能力 应支持对主机、数据库、WEB容器、WEB应用等进行安全加固，裁前不安全的组件、封闭不必要的端口、增加安全配置，屏蔽和消除缺陷和漏洞，使系统保持在一个相对更安全的状8.4.3数据安全要求数据安全涉及应用、数据库、主机、网络、存储、管理等多方面的安全防护，应包括———数据采集应遵循最小化和必要性原则，对隐私数据的采集必须获得数据主体的许可；在数据主体未授权的情况下，将不采集、不保存、不处理数据主体的数据：———对敏感数据和隐私数据的存储应进行加密存储，对于涉及的密钥通常也需要进行加密保存，以确保密钥的安全性； 效感数据的传输，应加密传输或采用加密通道进行传输，如HTTPS,SFTP等，尤其对于口令、银行帐号等信息，应支持加密并且利用加密通道传输，确保数据在传输过程安全； 效感数据的展示，应采用匿名化的方式处理，在WEB界面、日志文件、配置文件中都不明文显示。在WEB界面或输入框宜用星号屏蔽，在日志文件或配置文件中，显示为加密后的密文； 放感数据的生命周期结束时，应删除或销毁数据以保护数据安全。对干数据。应设定一定的保存期限，到期进行删除或销毁；对于隐私数据，在数据主体要求的情况下，如与法律法规不冲突，也应进行删除和销毁； 数据应定期进行备份，可采用本地备份、容灾备份等名种备份方式，避鱼意外情况下的数据丢失：在备份数据进行恢复时，应采取措施保证数据安全恢复，对于恢复的数据应采取与生产数据同样的防护措施。8.4.4用户与权限要求应提供完善的权限与用户管理，可采用基于角色的授权模型，并按照最小授权原则进行用户授权： ——操作员应采用基于口令或手机验证码的认证策略，口令策略宜使用强口令策略； 应用系统对文件和数据包括客户资料应实行访问控制，对敏感数据采用二次口令等措施进行 应通过输入检查、输出编码、上传下载控制、异常处理等手段，防范了WEB应用攻击： 宜结合日志审计，应用数据稍核，发现业务活动异常，包括非法算改等操作。8.5.1安全管理中心系统要求网络安全管理中心宜部署以下系统，实现统一安全管理： 部署统一网络管理系统，实现对通信网络设各的系统的资源和运行进行配置、控制和管理：——部署日志审计系统，实现安全审计：网络设备、安全设备、主机、终端、服务器日志审计。以及入侵防范；威胁溯源、网络溯源等功能；——部署安全管理平台系统，实现对安全设备进行统一管理、状态监控、策略下发、集中审计；———部署网络安全态势感知系统，实现对整网安全态势做感知，分析，预警等； 署运维审计系统，实现对网络系统、应用服务器、业务系统、数据库进行状态实时发现故障并报警，快速定位故障点，为恢复环境提供依据。8.5.2安全管理团队要求管理单位宜建立安全管理团队，并发布相关的安全维护管理流程，并授予安全管理团队相应的权限对系统进行监管：——安全管理团队应包括能够维护系统并处理紧急问题的重要人员，建议设立安全管理员、系统管理员、系统操作员、报表操作员等角色，操作员和管理员应具备必要的安全知识或者接受必要的安全培训；———安全部门应建立日志检查、日志备份、日志审计等制度，以便及时发现可能存在的操作异常——安全部门应建立数据定期备份机制，备份的间隔周期应参考恢复的时间指标，在生产环境数据损坏乃至物理损坏等场景下，应保证系统和数据恢复时间满足客户的预期； 安全管理员应定期检查系统是否已被攻击或存在明显的安全障患，能对巡检问题及时修复和解决，减少安全问题的进一步扩大和规避潜在损失。9智慧医院专网融合组网可靠性技术要求9.1可靠性组网原则可靠性组网应遵循如下原则； 分层组网：院区承载网络分为核心层，汇聚层，边缘层。根据业务现状或业各预测，接入边缘层接入节点时采用冗余备份设置，分别与汇聚节点相连。汇聚层设备双归到上层单点多设备或多点。汇聚层与核心层设备可以视情况合理设置。核心层设备采用全互连或半互连，大流量两点一条可达，避免使用多极互连 同层内尽量多互连，单点考虚多设备保护： 下层双归或是多归到上层多个设备的单点上或是多点上。9.2整网可靠性要求整网可靠性应满足如下要求： 应支持全网主体架构采用元余设计，保障网络在单节点故障时，仍然能保障业务的正常运行 出口路由器、出口防火墙和核心交换机需采用双备份设计：———出口路由器需应支持有线、无线多类型可靠备份功能；——任一节点或链路故障，E2E业务50ms快速恢复——接入侧终端接入时，需应支持采用双归接入网络架构9.3设备可靠性要求设备可靠性应满足如下要求： 应支持交换单元的N+1备份及热插拔： 应支持电源模块的冗余设计及热插拔： 支持模块化的风扇冗余设计及热插拔，单台设备风扇框≥2个，每个风扇框采用双风扇提高整机可靠系数： 应支持完备的告警功能。10智慧医院专网融合组网智能运维技术要求专网的智能运维应基于已有的运维数据(设备性能指标、终端日志等数据),通过大数据分析、人工智能算法及更多高级分析技术，将医院网络中的用户体验数字化，将网络运行状态可视化，辅助客户及时发现网络问题，预测网络故障10.2数据采集技术要求应支持Telemety性能采集功能，满足从传统的SNMP方式(PolI)向下一代网络Telemetry(Push模式)演进，利用基于模型的Telemety数据建模和更高效的传输机制，应支持基于订阅发布的推送模式，提供实时的数据采样能力，需要满足以下要求： 应支持对采样数据按阔值过滤： 支持GRPC或UDP模式推送数据：———采样数据应支持按YANG模型组织输出模型描述； 应支持周期采样数据，并应支持事件上报。10.3数据分析平台技术要求应支持大数据分析平台从整体网络、分支网络到具体设备、用户/应用，都提供一套质量可视的网络评估、监控系统，可以直观的感知网络的运行状态，需要满足以下要求：———大数据分析平台基于分布式数据库、高性能消息分发机制、分布式文件系统等构建，满足大于100kIOPS的大数据分析能力：——分布式数据库可以对海量实时数据进行分布式计算、汇聚、存储，提供秒级的多维度检索及统计查询能力10.4网络故障智能维护技术要求应支持AI的智能算法，从海量运维数据中进行学习，自动关联分析、识别异常，自动的识别网络的故障，并对故障进行预测，给出发现问题的根因，推动网络的故障自愈。需要满足以下要求： 应支持基于专家经验和机器学习的故障库模型 应支持基于监督学习的网络健康动态基线及趋势预测 应支持关联性指标根因定位，当网络出现异常时，输入具体现象或者问题，就可以根据业务关系分析可能根因。10.5网络性能智能调优技术要求应支持基于大数据的无线智能调优系统，智能的预测网络中的用户数、流量，并结合历史数据，计算出最优的网络射频参数，保证空口能达到最优的收发效率，需要满足以下要求 应支持通过分析设备上报的数据信息，准确的识别出网络的拓扑和边缘AP设备列表；——应支持通过对历史数据的分析对下一个调优周期内的负载进行预测； 应支持系统启动调优时，以预测数据作为调优算法的输入值，结合实时的网络质量进行调优计算，以便能够获得最优的调优效果。智慧医院院内典型应用场景及对网络需求智慧医院的范围主要包括三大领域，分别是面向医务人员的“智慧医疗”、面向患者的“智慧服务”和面向医院管理的“智慧管理”。本附录主要描述智慧医院院内典型应用场景及其对网络的需求，所描述的应用场景与智慧医院领域的对应关系参见表A.1所示表A.1智慧医院领域与院内典型场景对应关系A.2移动医护移动医护以移动终端和移动医疗车为载体，实现数据的高速传输和共享，为院内医护人员提供医护协同、移动办公、医疗差错管理等全流程闭环服务，将护理和查房过程实现床旁化，包括移动护理和移动查房两个子系统——移动查房通过与医院现有信息系统的无缝集成，为住院部查房医生提供患者基本信息、电子病历、医嘱执行、护理记录等信息随时查阅功能，使医生在床旁即可完成医嘱下达等工作提高病房医生查房效率。—一移动护理为住院部护士提供体征信息采集、护理表单填写、医嘱执行和患者信息查看等功能。大大降低了护士往返病房和工作站的时间，有效提高护理工作效率，降低医疗差错。在放射科病房、传染病病房等特殊区域，医护人员可以控制医疗辅助机器人移动到指定病床，在保护医务人员安全的前提下完成远程护理服务。A.2.2对网络的需求移动医护的成功运行需要影像数据和体征数据的移动化采集和高速传输，并应支持同一时间多个病区内多位患者数据的采集、传输以及医护人员的信息交互，同时需保证多种类型终端能顺利接入网络，医护人员能正常使用终端展开工作。移动医护网络应基于具备高速率、低时延、大连接的5G网络来建设，在医院存量的医疗终端5G化不足场景下，则需要通过WLAN、蓝牙、RFID技术进行补充。移动医护应用场景的网络架构如图A.1所示；虚图A.1移动医护应用场景网络架构示意图移动医护应用场景的网络性能需求如表A.2所示：表A.2移动医护场景的网络性能需求网络性能指标(单场景单终端)A.3智慧病房监护A.3.1场景描述智慧病房监护主要用于在患者住院期间，满足各科室医护人员对患者进行自动化监护的需求，解决医护人员走动式监护、离散型生命体征数据收集答痛点。通过监护仪、监护背心、监护手环、呼吸机等医疗设备的联网，通过监护软件系统实现患者全时序性生命提升数据采集，护士站屏幕显示患者体征数据，后台服务存储患者体征数据及变化，AI应用可对体征数据变化进行分析提供监护建议。智慧病房监护可以减轻医护人员工作负担，让医护人员减少往返查询患者体征数据，将原来每小时记录一次的监护数据变成连续的波形数据记录，以患者为单位综合多台医疗设各数据分析和推理，减少单一医疗设备的误报警，通过综合体征数据分析给医生后续诊疗提供价值意见同时让患者免除被问诊式查房打扰安静休息，提升患者伤病休养质量。A.3.2对网络的需求智慧病房监护能为医护人员提供一个实时度查患者生命体征数据的场景，考虑主要场景在院内。当前医院存量的医疗终端5G化不足，需要通过WLAN、蓝牙、RFID技术进行补充，所以该场景具有a)能够接入多种医疗设备终端，终端协议应支持RFID/蓝牙WLAN等。b)病房中大量的设备可以同时接入，单一物联AP可应支持上百种医疗终端并发数据c)接入海量的生命体征数据可实时读取、可追测患者d)数据交互时延低，并且所有生命体征数据具有时间戳。智慧病房监护场景的网络架构如图A.2所示：临床医疗物联专网W(院级图A.2智慧病房监护应用场景网络架构示意图智慧病房监护应用场景的网络性能需求如表A.3所示；表A3智慧病房监护类场景的网络性能需求(单场景单终ICU是医院护理业务核心部门，负责患者的危急症救治，其工作质量及运行效率不仅影响整个医院的护理业务水平，还关乎患者的生命。智慧ICU应用系统以重症业务为核心，病人为主线，通过信息化手段，减少医护的纸质文书的书写，并实时抓取和展现病人护理过程数据，让医护能最快地了解病人的健康状况和恢复趋势，节省出更多的时间和精力关注病人病情，同时满是了重症护理过程数据可存储、易展现、可质控、可追溯的特点智慧ICU应用主要包括如下几部分。——床旁设备连续监测与病人多维度数据集成与展示；由医疗监护设备如呼吸机、监护仪等床旁设备对患者进行连续的生命体征及多参数监测，通过无线网络实现病患实时监测数据、病人历史回顾数据以及各种可视化仪表盘的数据传输。此外还可与医院的医疗影像平台进行对接不同院区的医生可在线查看或快速下载患者的医疗影像报告、电子病历等，全方位了解患者病情。——临床决策应支持与AI辅助诊断；基于重症信息系统的智能临床决策引擎，可进一步配置针对专病的高级临床决策应支持工具，通过对患者临床数据整合、呈现、分析实现集束化治疗，实现专病筛查与预警，帮助医护人员快速准确做出临床决策。未来还可基于该系统进一步搭载人工智能算法，通过AI技术及对生命体征等床旁数据的综合智能分析，一旦发生异常及时报警，辅助医生进行远程监护，同时为其他科研分析提供可靠依据。——高清视频交互与视频云台监控：部署远程视频系统，通过无线或有线网络传输患者和医生端的高清音视频，保障双方实时高清音视频交互。在紧急情况患者可通过一键报警紧急呼叫监护医生，同样在发生自动报警时，医生也可以发起视频交互及时了解患者情况。A.4.2对网络的需求智慧ICU的成功搭建面临两个问题：ICU病房内患者使用的医疗仪器种类多，是普通病房患者的数倍，多种医疗终端网络特性差异大，极大影响各仪器的数据传输；院内ICU病房多，且对于危重症患者需要多种仪器进行全天候全方位的监护，需要大带宽网络保证数据正常传输。智慧ICU应用场景的网络架构如图A.3所示：C图A.3智慧ICU场景网络架构示意图智慧ICU应用场景的网络性能需求如表A.4所示：表A.4智慧ICU网络性能指标需求A.5智慧手术室A.5.1场景描述智慧手术室为通过信息化和智能化手段和技术，改善手术质量、减少风险，为医生提供更多的信息和工具，提升患者的治疗体。针对围术期业务进行信息化管控，辅助医生进行手术，提高手术效率和精准度，挽救患者生命。智慧手术室应支持： 医学影像与三维重建：通过医学影像(如CT扫描、MRI等)与三维重建系统，帮助医生在手术过程中准确定位和操作。医生可实时查看患者的解剖结构、病变位置等信息—术中影像调度：集成全景、术野、内镜等设备，可通过操作实现视频影像调度，并支持分屏——实时监测生命体征与数据分析通过生命体征监测设备、传感器等实时监测患者的生理参数。如心率、血压、氧饱和度等，并实时传输到对应的监护系统，医生可以根据数据分析患者的状况，并做出及时的调整和干预-—手术示教与指导：可以支持手术示教和手术指导。医生可以通过网络连接进行音视频远程指——数据记录与回放：可以实时记录手术过程中的数据、影像和操作细节。这些数据可以用于手术的回放和分析，为医生提供反思和学习的机会，进一步提升手术技能和质量。——手术过程管理：支持对手术过程进行全流程信息化显示与管理 -—行为管理：支持对手术室限制区人员的准入、权限、行走路径、手术衣鞋发放、物品取用、—一语音控制：部分手术室内操作支持语音控制——手术排班；支持对手术相关人员进行排班。-—麻醉信息管理：支持麻醉术前访视、术中记录、术后随访。A.5.2对网络的需求a)高速稳定的网络连接需要具备高速、可靠的网络连接，以支持实时的数据传输和交互，包括患者的医学影像、实时监测数据和手术记录等b)支持高质量的视频传输配备高清晰度的摄像系统和高清晰度的视频传输，以确保示教医生的手术操作可以清晰可见，以便医生能够实时观察手术过程并进行远程指导或示教c)可靠的音频传输：手术示教还需可靠的音频传输，以确保实时的语音交流。网络需提供清晰、稳定的音频传输，以保证语音的准确传递和听觉沟通的顺畅性。d)网络需具备足够的带宽，并确保低延迟和稳定性，以支持高质量的视频流传输，以及保持视频画面的稳定性和连续性e)安全保护机制：手术数据具有敏感性和机密性，因此网络需要具备安全保护机制，包括身份验证、数据加密、访问控制等，以确保患者隐私和数据的安全性以及敏感信息不会被智慧手术室场景系统及网络架构如图A.4所示：无线网络有线网络感知层应用层智慧手术室应用场景的网络性能需求如表A.5所示(单场景单终A.6.1场景描述智慧导诊利用现代医疗信息化手段，优化就医流程，让广大患者有序、轻松就医效率，改善服务环境，减轻大厅导诊台护士的工作量，减少医患矛盾纠纷，提高导诊效率。利用智能技术和网络连接，提供导诊服务和辅助患者导航的应用。智慧导诊应支持——医院导航和定位：用于医院内部的导航和定位服务。通过手机应用或导航终端，患者和访客可以查找医院的不同科室、门诊区域