医院网络架构设计与实现

医院网络架构设计与实现

［摘要］随着医院信息化进程的深入，医院信息平台的运行将越来越依

赖根基网络的建设。网络成为医院各种关键数据的信息进展交互和传

递的重要途径。多种网络架构拥有各自的优势与缺乏，下面就我对其

的认识作出阐述和选择一种适宜的网络根基架构。

［关键字］内外网融合，内外网别离，结合

医院的网络根基架构开展至今，主要分为三种架构，分别是内外

网融合的网络架构、内外网别离的网络架构、以及最近几年刚刚兴起

的基于业务的无线网络平台架构，这是和医疗信息化的开展阶段分不

开的。（内网外网的概念为逻辑上的划分，两种实际的物理架构中，

逻辑上均包含内网知外网两局部。划分主要根据业务系统的对内对外

服务属性，医疗核心业务相关度等特性来进展。）

首先先来简单认识一下内外网融合的网络架构、内外网别离的网

络架构和无线网络平台架构和基于业务的无线网络平台架构以及他

们的优缺点比较。

内外网融合的物理架构:就是医院的内网业务以及办公业务都在

一张根基网络上运行，在这一网络架构之上，无论是数据的类型、重

要程度，还是对网络的要求，以及数据流方向都不尽一样，使得网络

数据复杂度提高而可控性下降。从介绍可知，所有业务都在一张根基

网上，缺点明显可知，两网仅逻辑隔离，外网对设备的攻击可能引起

内外网络全面瘫痪。优点那么是：可以保护投资，并且可以根据需要

让某局部终端可以同时访问两个区域，而且内外网融合所需设备相对

较少，在维护和购签设备方面都很大程度上减少了成本。

内外网别离的网络架构：就是将医院的内网和外网业务分别放在

一张单独建设的网络上来运行，两网物理隔离，最大限度的保障内网

业务及数据的安全。内网主要承载医疗核心业务，如HIS、PACS等。

外网作为行政办公、对外发布、互联网医学资料查询的主要平台，对

于稳定性和保密的性的要求低于内网，并且接入终端及数据流特点也

更为复杂。优点：内外网无共用设备和链路，两网之间互不影响c此

种网络架构设计，能够最大程度保证内网安全。缺点：由于内外网完

全物理隔离，两张网络单独建设，投资规模增大；灵活性稍弱，一台

终端只属于一张网，不能同时对两网资源进展访问，也不能自由切换；

需要管理两张网络，增加管理成本

无线网络与上述两种相比大大不同，它是采用无线传输媒介的计

算机网络，结合了最新的计算机网络技术和无线通信技术。首先，无

线局域网是有线局域网的延伸。使用无线技术来发送和接收数据，减

少了用户的连线需求。由于采用无线信号通讯，在网络接入方面就更

加灵活了，只要有信号就可以通过无线网卡完成网络接入的目的；同

时网络管理者也不用再担忧交换机或路由器端口数量缺乏而无法完

成扩容工作了。但是无线网络初次建设成本较高，很多条件不是很好

的医院都无法实现；部署时需要改动现有网络构造，对原网络进

展调整，增加初次部署复杂度，随着无线网络带宽以及传输数据

的增加，无线网络可能会给有线网络设备造成额外的压力。

目前我们基本不可能完全抛弃有线部署架构，所以从普遍

性上来讲，先考虑采用内外网融合的网络架构或内外网别离的网

络架构。随着一些网络新技术的应用，使得内外网融合的物理架构也

具备了内外网别离的特点，典型应用是通过MPLS(Multi-Protocol

LabeISwitchingJVPN技术以及安全控制域的划分，在逻辑上将一

张物理网络虚拟化成几张逻辑网络，逻辑网络之间通过VPN技术进展

隔离，逻辑网络内通过安全域控制不同级别用户的访问权限，在保证

网络安全,稳定,高效,可控的同时,最大限度的保护投资,降低医

院信息化建设的门槛。所以接下来主要阐述内外网融合的网络架构。

首先先要了解医院网络分层及其功能分区，如图：

医院网络主要分为两层机构:数据中心层和终端接入层。

各区域的界限以及作用范围：

1.内网中心服务器区

医院信息平台上内网所有的应用服务器、数据库服务器、中间件服务

器、数据存储设备等一切内网业务系统相关设备的集中连接区域，是

整个医院业务的核心。例如，内网中心服务器区域是HIS系统、LIS系

统，PACS系统，EMR系统等所在的区域。

2.外网中心服务器区〔DMZ区〕

医院信息平台上外网所有的应用服务器、数据库服务器、中间件服务

器、数据存储设备等一切外网业务系统相关设备的集中连接区域。例

如，外网中心服务器区是医院外网0A服务器，夕卜网WEB服务器，MAIL

服务器等所在的区域。

3.数据灾备区

该区域是HIS、电子病历、医学影像系统，等数据中心子系统的灾备

区域，一般该区域为院内灾备区域，通过高速链路直接与核心交换机

相连，实现业务系统与灾备区域数据实时的同步。

4.骨干网络区

主要负贡医院信息平台上数据中心区域内各服务器区之间的互联，以

及数据中心区与终端接入区之间的互联或会聚互联，该区域的主要功

能为实现局域网内数据的高速处理和转发。远程链路会聚主要采用高

性能的路由器、VPN网关服务器。HIS系统、LIS系统、EMR系统、

PACS系统、网络安全管理系统等模块主要通过万兆平台及其以上的

高性能三层交换机进展连接。

4.医疗专网出口区

该区域主要功能为为医疗信息平台提供医疗专网的接入服务，医疗专

网包含的主要内容包括：医疗行业上级单位，疾控直报网络，公共卫

生突发预警系统，公安局，区域医疗卫生信息平台等。医疗专网出口

为医院信息平台提供了与其他医疗信息平台及上级主管机构信息交

互的安全高效的通道，是连接医院信息孤鸟，整合医疗信息网络的重

要局部。这局部出口主要通过专线连接，最好能够提供冗余的出口线

路。

5.互联网出口区

该区域是为下载医学相关资料，获取互联网海量信息而提供的安全的

Internet出口，也是医院门户网站，对外服务系统对公众社会提供

服务的出口区域，该区域由于与广域网链路相连，外部网络环境较为

复杂，存在较大的风险隐患，所以是安全防护的重点区域。该区域主

要由高性能路由器、防毒墙、防火墙、流控设备、VPN设备、上网行

为管理设备，网站保护系统等组成。

6.网络安全管理区

医院信息平台数据中心内保障整体信息平台安全、稳定运行的安全管

理运维系统的连接区域。如证书服务器、身份认证、漏洞扫描、入侵

检测、网络管理等。

7.各终端接入区

主要提供挂号，缴费以及各类行政方面的服务

在定位上，内外网融合的网络架构，将所有功能区域都放到一张

网络上，物理上联通，通过防火墙，三层设备访问控制列表，二层设

备VLAN划分，来到达两网逻辑隔离，网络服务互不影响的目的。通

过二层隔离，三层隔离，安全域划分，MPLSVPN技术等来逻辑隔离

网络，保证网络安全。

之前也提到了通过MPLS〔Multi-ProtocolLabeISwitchingJVPN

技术以及安全控制域的划分，可以使内外网融合架构同时拥有内外网

别离架构的特点，得两网虽在一张网上，但运行于各自不同的逻辑通

道中，彼此之间互不可见；同时可以通过安全控制域的划分，让主机

在接入时动态选择要进入的安全域，保证域内访问安全；就设备而言，

通过设备本身的一些抗攻击机制，如中央处理器保护机制，网络根基

设计保护机制来到达合理分配交换机硬件资源，满足不同场合应用的

目的。这样就在一定程度上弥补了融合架构的缺乏。

在内外网融合的架构中，又包含两种子架构，分别是内外网融合

二层网络架构和内外网融合三层网络架构。这两种架构都有其各自的

区别及特点。

二层网络架构,即全网接入层直接连接到核心或经过一个二层设

备转连接至核心。其特点是：全网拓扑简单，所有终端的网管位于核

心交换机上，核心交换机通过MSTP(Multi-ServiceTransfer

PlatformJ+VRRP〔VirtualRouterRedundancyProtocol'i、环网技

术或者硬件虚拟化技术进展部署，增加冗余性和鲁棒性，但容易造成

核心交换机压力较大，易受到到来自各个区域终端的攻击，导致网络

动乱，网络稳定性下降。

三层网络架构,即全网严格分为核心、会聚、接入三层，接入层

主要负责接入控制、VLAN划分以及二层网络的隔离与互通等功能；

会聚层设备作为各会聚区域的网关，进展三层网络访问控制，减轻核

心交换压力，分割网络动乱区域，使得局部的问题不影响全局，会聚

层之上通过三层接口与核心交换机进展互联，运行动态或静态路由协

议，提高网络自愈能力；核心层交换机主要负责高速的三层转发，由

于已在会聚层上进展控制域划分，此时核心层启用的策略更少，性能

更高，风险降低。

基于其各自的优势，针对不同区域往往两种架构共同使用，形成

二三层混合架构。例如将医技终端接入区与核心共同组成二层架构，

而行政接入区那么通过核心-会聚-接入形成三成架构，将其网关下移

至会聚交换机，降低该区域对骨干网络的影响。

根据内外网融合的网络架构画出了拓扑图:

参照图片对网络架构的实现分析如下：

1.接入层设计

接入层是医院信息平台上所有设备的边缘接入网络，是将终端接入网

络的边缘，也是对终端用户进展访问控制和隔离的边缘，是网络安全

边缘前移和全局网络安全的根基。接入层网络设备主要由二层以太网

交换机和无线接入点等设备组成，其中二层以太网交换机主要是为有

线设备提供网络控制和接入。作为医院信息平台的安全接入设备，接

入层交换机应选用智能网管型交换机，具备VLAN划分，端口隔离，

安全地址绑定，抗攻击，QoS,防雷击等功能，支持标准的802.1x访

问控制，支持标准的SNMP简单网络管理协议，支持DHCP-Snooping等

功能,支持标准的RSTP〔RapidSpaningTreeProtocol],MSTP

[Mu11i-ServiceTransferPlatform〕生成树协议。

接入层的设计需要充分考虑设备的稳定性、安全性、冗余性和高

性能，上联至数据中心的链路尽量使用双链路上联，通过生成树协议

生成无环拓扑，防止播送风暴，保证终端设备稳定，安全，高速的接

入医院信息网络平台。

2.会聚层设计

会聚层是连接接入层与核心层之间的网络层，为接入层提供数据

的会聚，传输，管理，分发处理，集中接入层流量，再转发至核心层

的功能，是局域网中隔离动乱的控制点，也是区域网络流量上收的关

键点。会聚层为接入层提供基于策略的连接，如地址合并，协议过滤，

路由服务，认证管理等。通过网段划分（如VLAN）与网络隔离可以防止

某些网段的问题蔓延和影响到核心层。会聚层同时也可以提供接入层

虚拟网之间的互连，控制和限制接入层对核心层的访问，保证核心层

的安全和稳定。

会聚层设计为连接本地的逻辑中心，仍需要较高的性能和比较丰

富的功能。会聚层设备一般采用可管理的三层交换机或堆叠式交换机

以到达带宽和传输性能的要求。其设备性能较好，但价格高于接入层

设备，而且对环境的要求也较高，对电磁辐射、温度、湿度和空气干

净度等都有一定的要求。会聚层设备之间以及会聚层设备与核心层设

备之间多采用光纤互联，以提高系统的传输性能和吞吐量。用户访问

控制一般会安排在在接入层，但也可以安排在会聚层进展。在会聚层

实现安全控制和身份认证时，采用的是集中式的管理模式。当网络规

模较大时，可以设计综合安全管理策略，例如在接入层实现身份认证

和MAC地址绑定，在会聚层实现流量控制和访问权限约束。

3.网络核心层

网络核心层是医院信息平台网络数据的骨干交换区域，各接入

层数据经会聚层会聚后集中转发至核心层进展高速交换。核心层的主

要职为负责整个医院信息平台数据的高速转发，相关的策略应该尽量

较少。

核心层由于是整个网络的核心，从设备上来讲，需要在考虑高

性能，高稳定性的同时，充分考虑设备引擎、业务线卡、电源、风扇

等的冗余，同时需要具备的一定的抗攻击能力，如中央处理器保护能

力，根基网络保护能力；从架构上来讲，需要充分考虑核心层设备间

的冗余备份和负载均衡，利用MSTP/RSTP+VRRP技术，自愈环网技术，

或者是通过更好的核心层设备的硬件虚拟化技术，实现设备级的冗余

备份，同时，在设计时还应充分考虑网络链路的冗余性和可靠性，提

高网络防灾能力。

具体的设备选型如下：

1.核心层设备建议选用高性能的万兆三层交换机，通过千兆链路与

会聚层设备相连，通过万兆链路进展核心层互联。在设备选择上，

应充分考虑设备自身的冗余性，如电源冗余、引擎冗余、业务线

卡冗余、所有线卡及电源支持热拔插，同时应具备一定的自我保

护机制，如中央处理器保护机制，根基网络保护机制等。在网络

规划时，应充分考虑网络架构的冗余性设计，建议采用两台或两

台以上组成双核心或多核心环网，核心之间可进展冗余互备以及

负载分担，减小由于单核心造成的设备压力及单点故障。

2.会聚层设备建议选用性能较高，且具备丰富安全功能的全千兆三

层交换机，通过千兆与接入交换机以及核心交换机相连，同时会

聚交换机建议具备万兆扩展能力，方便后续网络升级。会聚层设

备需具备一定的稳定性，门诊区域建议采用双会聚设备，保证网

络高可靠。

3.建议内网中心服务器区、外网中心服务器区、安全网络控制区、

数据灾备区、医技终端接入区、无线终端接入区采用全千兆二层

交换机作为接入设备，其他接入区域采用百兆二层交换机，千兆

上联。接入层交换机应选用智能网管型交换机，具备VLAN划分，

二层访问控制列表,MSTP,RSTP,BPDUGUARD,BPDUFILTER,DHCP

Snooping,安全地址绑定，802.1x等功能。接入层交换机还应具

备良好的防雷击特性，由于医院信息平台对网络稳定性要求的特

殊性，建议以太网接口具备高于国家标准的防雷击能力。同时能

在一定程度上抵抗网络攻击，如中央处理器保护，根基网络保护

等。

4.出口设备应选择高性能路由器或专用出口设备作为网络出口，并

添加防火墙进展域间网络访问控制。路由器应具备大容量、高性

能的NAT转换能力，能够进展智能选路