XX醫(yī)院網(wǎng)絡建設方案

1、目錄一. 醫(yī)院網(wǎng)絡建設需求 21.1整體需求概述21.2內(nèi)網(wǎng)需求21.3外網(wǎng)需求2二. 醫(yī)院業(yè)務應用分析 32.1醫(yī)院業(yè)務劃分32.2醫(yī)院業(yè)務系統(tǒng)的需求 3三. 醫(yī)院網(wǎng)絡組建 43.1網(wǎng)絡拓撲43.2網(wǎng)絡組建分析43.3核心層設計53.4接入層設計53.5網(wǎng)絡可擴展性5四. 產(chǎn)品概述54.1 S7500E產(chǎn)品概述54.2 S5120-24P-EI產(chǎn)品概述7.醫(yī)院網(wǎng)絡建設需求1.1整體需求概述1、為HIS、PACS等應用系統(tǒng)提供一個強有力的網(wǎng)絡支撐平臺；2、網(wǎng)絡設計不僅要體現(xiàn)當前網(wǎng)絡多業(yè)務服務的發(fā)展趨勢，同時需要具有最靈活的適應、擴 展能力；3、 一體化網(wǎng)絡平臺：整合數(shù)據(jù)、語音和圖像等多業(yè)務的端

2、到端、以IP為基礎的統(tǒng)一的一 體化網(wǎng)絡平臺，支持多協(xié)議、多業(yè)務、安全策略、流量管理、服務質(zhì)量管理、資源管理；4、數(shù)據(jù)存儲安全：醫(yī)院信息系統(tǒng)的數(shù)據(jù)存儲需要具有存儲量大、擴充性強的特點。5、醫(yī)療信息的安全保護，也是組要的環(huán)節(jié)，網(wǎng)絡的設計不僅要考慮用戶與服務器之間的互 聯(lián)互通，更要保護關鍵服務器的安全和內(nèi)部用戶的安全。1.2內(nèi)網(wǎng)需求內(nèi)網(wǎng)是醫(yī)院核心網(wǎng)絡系統(tǒng)，用于開展日常醫(yī)療業(yè)務（HIS、LIS、PACS、財務、體檢系統(tǒng)等）的內(nèi)部局域網(wǎng)，系統(tǒng)應穩(wěn)定、實用和安全，具有高寬帶、大容量和高速率等特點，并具備將 來擴容和帶寬升級的條件。網(wǎng)絡設計要求：1、主干網(wǎng)絡一臺7503E，全局MSTP鏈路冗余，千兆接入交換

3、機實現(xiàn)千兆到桌面。2、配備的網(wǎng)管軟件應提供可視的形象化的圖形界面，對整個網(wǎng)絡中網(wǎng)絡產(chǎn)品的全部端口進 行監(jiān)視和管理；（可選）3、交換機互連采用多條鏈路捆綁，防止鏈路瓶頸，并提供鏈路冗余。由于醫(yī)療行業(yè)的特殊性， 醫(yī)護人員和病患者之間需要頻繁地在院內(nèi)移動、同時處理大量的信息，要求網(wǎng)絡具備可移動性、傳輸速率高等特點。同時考慮到醫(yī)院業(yè)務量的增加， 網(wǎng)絡需要留出足夠余地擴容而不影響醫(yī)院正常的工作。網(wǎng)絡應用設計要求：1、院內(nèi)核心網(wǎng)絡系統(tǒng) HIS、PACS和LIS、體檢系統(tǒng)等應用分別單獨組網(wǎng)。以子網(wǎng)的形式組 成醫(yī)院的整體網(wǎng)絡。 各網(wǎng)絡功能獨立應用， 信息互通，資源共享；當任何一個子網(wǎng)出現(xiàn)故障， 都不會影響到其

4、他子網(wǎng)的使用。2、新建的網(wǎng)絡系統(tǒng)應充分考慮跟現(xiàn)有網(wǎng)絡系統(tǒng)的平滑接入，不影響現(xiàn)有系統(tǒng)的正常運行， 并考慮和現(xiàn)有網(wǎng)絡系統(tǒng)實現(xiàn)網(wǎng)絡冗余。4、 傳輸動態(tài)圖像的部門有：放射影像科、PET/CT、核磁共振 MRI、介入放射科 DSA、B超室、心超室、腦超室、心電圖室、肌電圖室、胃腸鏡室、內(nèi)窺鏡室、重癥監(jiān)護室（ICU、CCU等）、手術(shù)室、麻醉科、視頻示教室和會議室等。5、 醫(yī)保（包括省醫(yī)保、市醫(yī)保、區(qū)醫(yī)保以及市公費醫(yī)療）是專線接入。須配置醫(yī)院內(nèi)網(wǎng)與專 線網(wǎng)的接口。6、為了更好地服務于醫(yī)療科研工作，需要將各類監(jiān)護治療儀器上的各項生命體征等信息以數(shù)字化手段采集并且保存下來，在需要時，可隨時還原。 因此，須考慮將

5、醫(yī)院所有的監(jiān)護儀器和大型設備都聯(lián)網(wǎng)。1.3外網(wǎng)需求外網(wǎng)原則上是指除醫(yī)院內(nèi)網(wǎng)之外的所有網(wǎng)絡系統(tǒng)，包括INTERNET、銀聯(lián)系統(tǒng)、醫(yī)院圖書館知識管理平臺、和市衛(wèi)生局聯(lián)網(wǎng)的應急系統(tǒng)、辦公自動化系統(tǒng)、電視監(jiān)控信號傳輸、BA、安防監(jiān)控、視頻會議系統(tǒng)、公共區(qū)域無線上網(wǎng)等。以上系統(tǒng)建議分別單獨組網(wǎng)，以子網(wǎng)的形式組成整體網(wǎng)絡。各網(wǎng)絡功能獨立應用，信息互通， 資源共享；當任何一個子網(wǎng)出現(xiàn)故障，都不會影響到其他子網(wǎng)的使用。二. 醫(yī)院業(yè)務應用分析2.1醫(yī)院業(yè)務劃分醫(yī)院的業(yè)務系統(tǒng)有很多， 而且不同的專科醫(yī)院業(yè)務系統(tǒng)也有很大區(qū)別，但以下一些業(yè)務系統(tǒng)是醫(yī)院都具有的：門診系統(tǒng)住院系統(tǒng)體檢系統(tǒng)PACS系統(tǒng)醫(yī)院管理經(jīng)濟系統(tǒng)區(qū)域

6、醫(yī)療系統(tǒng)2.2醫(yī)院業(yè)務系統(tǒng)的需求1）門診系統(tǒng)門診業(yè)務作為醫(yī)院直接面對患者的窗口具有非常重要的地位和自己的特點（包括焦急的病人無法忍受長時間的等待、門診業(yè)務主要集中在上午等），門診業(yè)務具有可靠性高、并發(fā)性、 實時性和突發(fā)性強等特點。因此門診業(yè)務對網(wǎng)絡提出了高可靠性、 高帶寬和QoS的要求。2）住院系統(tǒng)住院業(yè)務是醫(yī)院的另一個主要組成部分，是醫(yī)院經(jīng)濟收入的主要來源，同時還直接關系到重病患者的生命安全，具有以下幾個特點：住院業(yè)務的網(wǎng)絡上流動著重癥病人生命數(shù)據(jù)和各種新業(yè)務數(shù)據(jù)；住院業(yè)務保存有患者病案數(shù)據(jù)和住院費用數(shù)據(jù)；醫(yī)生移動查房；病人呼叫系統(tǒng)；網(wǎng)上視頻監(jiān)控系統(tǒng)；針對住院業(yè)務的以上特點，住院業(yè)務對網(wǎng)絡提

7、出了高可靠性、安全存儲、QoS和無線局域網(wǎng)、VoIP和視頻會議系統(tǒng)的需求。3）體檢系統(tǒng)現(xiàn)在很多醫(yī)院建立專門的體檢大樓，以滿足民眾不斷擴大的體檢需求。從業(yè)務角度上講體檢系統(tǒng)非常簡單，它對網(wǎng)絡的需求主要體現(xiàn)在安全性上，如何保護體檢服務器上體檢人員數(shù)據(jù)安全和體檢大樓網(wǎng)絡安全是醫(yī)院體檢系統(tǒng)解決方案所關注的。4）PACS系統(tǒng)醫(yī)院的PACS系統(tǒng)主要是完成對患者的各種影像數(shù)據(jù)進行采集、存儲、傳輸和處理，并在全院范圍內(nèi)進行共享，由于是各種圖形圖像數(shù)據(jù)，因此具有存儲量大的特點，為了更好的服務于醫(yī)院業(yè)務，PACS業(yè)務對支撐系統(tǒng)提出以下要求：存儲量大、擴展性強、數(shù)據(jù)快速存儲、數(shù)據(jù)容災、高帶寬5）管理經(jīng)濟系統(tǒng)醫(yī)院管理

8、經(jīng)濟系統(tǒng)主要是人、財、物的管理，包括人事、財務管理、藥品藥庫管理等，因此 它最大的需求是數(shù)據(jù)在服務器端和網(wǎng)絡上的安全，保證這些數(shù)據(jù)不會泄露。6）區(qū)域醫(yī)療系統(tǒng)一方面為了發(fā)揮中心醫(yī)院的輻射和覆蓋作用，另一方面充分利用各家醫(yī)院的特色科室的力量，區(qū)域醫(yī)療把這些資源進行共享和整合，這需要穩(wěn)定的廣域網(wǎng)連接。根據(jù)初步的需求，我們按照內(nèi)外網(wǎng)分離的原則，建成后的南擴大樓的新機房將成為以后醫(yī)院 的核心，原有機房成為備份冗余機房。三. 醫(yī)院網(wǎng)絡組建3.1網(wǎng)絡拓撲雙絞線光纖服務器集搟3.2網(wǎng)絡組建分析本次拓撲使用的是光纖連接接入交換機，現(xiàn)在大多部分公司全部使用光纖連 接接入交換機，因為光纖傳輸距離遠、速度快、抗干擾能

9、力強、傳輸數(shù)據(jù)流量較 大、損耗低、工作性能可靠。雙絞線，傳輸過長信號衰減，抗干擾能力比光纖弱, 傳輸數(shù)據(jù)流量比光纖少。為了保證網(wǎng)絡的安全性于穩(wěn)定性，本次方案使用光纖連 接。并通過利用防火墻插卡手段來訪問內(nèi)外網(wǎng)， 可為內(nèi)外網(wǎng)的整體防護提供安全 措施。網(wǎng)絡應用設計要求：1、院內(nèi)核心網(wǎng)絡系統(tǒng)HIS、PACS和LIS、體檢系統(tǒng)等應用分別單獨組網(wǎng)。以子網(wǎng)的形式組成醫(yī)院的整體網(wǎng)絡。 各網(wǎng)絡功能獨立應用，信息互通，資源 共享；當任何一個子網(wǎng)出現(xiàn)故障，都不會影響到其他子網(wǎng)的使用。2、新建的網(wǎng)絡系統(tǒng)應充分考慮跟現(xiàn)有網(wǎng)絡系統(tǒng)的平滑接入，不影響現(xiàn)有系 統(tǒng)的正常運行，并考慮和現(xiàn)有網(wǎng)絡系統(tǒng)實現(xiàn)網(wǎng)絡冗余。4、 傳輸動態(tài)圖

10、像的部門有：放射影像科、PET/CT、核磁共振MRI、介入放 射科DSA、B超室、心超室、腦超室、心電圖室、肌電圖室、胃腸鏡室、內(nèi)窺 鏡室、重癥監(jiān)護室（ICU、CCU等）、手術(shù)室、麻醉科、視頻示教室和會議室等。5、醫(yī)保（包括省醫(yī)保、市醫(yī)保、區(qū)醫(yī)保以及市公費醫(yī)療 ）是專線接入。須配 置醫(yī)院內(nèi)網(wǎng)與專線網(wǎng)的接口。6為了更好地服務于醫(yī)療科研工作，需要將各類監(jiān)護治療儀器上的各項生 命體征等信息以數(shù)字化手段采集并且保存下來，在需要時，可隨時還原。因此， 須考慮將醫(yī)院所有的監(jiān)護儀器和大型設備都聯(lián)網(wǎng)。3.3核心層設計核心網(wǎng)絡設計通過采用華三網(wǎng)絡基于萬兆平臺的核心交換機，完成全網(wǎng)的數(shù)據(jù)轉(zhuǎn)發(fā)的和控制，接入層設備上

11、聯(lián)至一臺S7503E核心交換機.3.4接入層設計接入層采用華三網(wǎng)絡S5120接入層設備。有效防止ARP欺騙，證網(wǎng)絡安全。3.5網(wǎng)絡可擴展性本次拓撲考慮到網(wǎng)絡的擴展性，核心采用 S7503E考慮到未來醫(yī)院網(wǎng)絡擴展 性，S7503E支持IPV6，如果未來計算機網(wǎng)絡采用了 IPV6協(xié)議，醫(yī)院不用花高 昂的經(jīng)費購買新設備。未來三到五年發(fā)展會增加新業(yè)務，S7503E完全能承載新的業(yè)務量，接入能 力擴展性強，未來可能會增加網(wǎng)絡信息點，S7503E完全能承載大量信息點交換。 未來增加接入層交換機數(shù)量便可實現(xiàn)，不用增加核心交換機。S7503E處理能力，不會因為增加網(wǎng)絡點，新業(yè)務造成網(wǎng)絡大面積癱瘓。四. 產(chǎn)品概

12、述4.1S7500E產(chǎn)品概述H3C S7500E系列產(chǎn)品是杭州華三通信技術(shù)有限公司（以下簡稱H3C公司）面向融合業(yè)務網(wǎng)絡的高端多業(yè)務路由交換機，該產(chǎn)品基于H3C自主知識產(chǎn)權(quán)的Comware V5 操作系統(tǒng)，以 IRF2 （Intelligent Resilient Framework 2，第二代智能 彈性架構(gòu)）技術(shù)為系統(tǒng)基石的虛擬化軟件系統(tǒng)，進一步融合MPLS VPN、IPv6、網(wǎng)絡安全、無線、無源光網(wǎng)絡等多種網(wǎng)絡業(yè)務，提供不間斷轉(zhuǎn)發(fā)、不間斷升級、 優(yōu)雅重啟、環(huán)網(wǎng)保護等多種高可靠技術(shù)，在提高用戶生產(chǎn)效率的同時，保證了網(wǎng) 絡最大正常運行時間，從而降低了客戶的總擁有成本（TCO）。H3C S750

13、0E符合 限制電子設備有害物質(zhì)標準（RoHS） ”，是綠色環(huán)保的路由交換機。H3C S7500E 系列包括 S7510E（ 12 槽）、S7506E（ 8 槽）、S7506E-V （垂直 8 槽）、H3C S7506E-S （8 槽）、S7503E （5 槽）、7503E-S （3 槽）和 S7502E（4槽）7 款產(chǎn)品，除了 7503E-S所有產(chǎn)品均支持冗余主控。H3C S7500E可廣泛應用于城 域網(wǎng)、數(shù)據(jù)中心、園區(qū)網(wǎng)核心和匯聚等多種網(wǎng)絡環(huán)境，為用戶提供了有線無線一體化、有源無源一體化的行業(yè)解決方案。產(chǎn)品特點基于IRF2 （第二代智能彈性架構(gòu)）技術(shù)的虛擬化架構(gòu)。H3C S7500E面向數(shù)據(jù)

14、中心技術(shù)的演進，推出了 IRF2為代表的軟件虛擬化技術(shù)，提供多臺主機的協(xié) 同工作、統(tǒng)一管理和不間斷維護功能；IRF2不僅成為數(shù)據(jù)中心交換設備高性能、 虛擬化的關鍵技術(shù)，而且對于傳統(tǒng)企業(yè)網(wǎng)應用，IRF2所提供的高可靠性和無縫 升級、擴展能力，也成為H3C用戶增值服務的重要組成部分。全面的MPLS、VPLS業(yè)務能力。H3C S7500E所有產(chǎn)品均支持 Multi-VRF特性， 可以作為MCE設備使用；支持三層的MPLS VPN和二層的MPLS VPN （Martini、 Kompella）；支持MPLS OAM特性，方便用戶的管理和維護；與H3C MPLS VPN Manager配合，實現(xiàn)圖形化的

15、MPLS部署與維護。全面支持VPLS，VLL，支持1K VPLS實例，4K VLL，還支持分層 VPLS 以及QINQ+VPLS接入方式，提供端到端2層VPN接入方案，支持MPLS/VPLS 全線速轉(zhuǎn)發(fā)，滿足VPLS規(guī)模部署要求。高性能IPv4/IPv6業(yè)務能力。H3C S7500E支持IPv4/IPv6雙協(xié)議棧，支持多種 隧道技術(shù)，支持IPv4/IPv6的組播技術(shù)，為用戶提供完善的IPv4/IPv6解決方案； H3C S7500E采用分布式體系架構(gòu)，實現(xiàn)IPv4/IPv6業(yè)務的線速無阻塞轉(zhuǎn)發(fā)；H3C S7500E已經(jīng)通過了信息產(chǎn)業(yè)部的IPv6入網(wǎng)認證和IPv6 Ready第二階段認證，是 成

16、熟商用的IPv6產(chǎn)品EAD端點準入防護技術(shù)，H3C S7500E支持大容量的Portal認證功能，可以 在數(shù)千用戶的局域網(wǎng)中做為 EAD網(wǎng)關設備，為全網(wǎng)用戶提供 EAD安全認證功 能；可以在大中型的校園網(wǎng)中擔任匯聚 /核心設備的同時，為學生宿舍區(qū)的認證 計費提供Portal認證功能。全方位的安全保障，抵御多種網(wǎng)絡安全威脅，三平面安全保障機制。H3C S7500E提供完善的安全防護機制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面 保障網(wǎng)絡的安全：在控制平面，內(nèi)置協(xié)議報文攻擊識別模塊，防止TCN、ARP等協(xié)議報文攻擊，OSPF/BGP/IS-IS路由協(xié)議采用MD5驗證，防止非法路由更新 報文導致的網(wǎng)絡癱瘓；在

17、管理平面，SNMPv3網(wǎng)管協(xié)議，SSH V2,基于802.1x、 AAA/Radius的用戶身份認證以及分級的用戶權(quán)限管理保證了設備管理的安全 性；在轉(zhuǎn)發(fā)平面，支持IP、VLAN、MAC和端口等多種組合精細綁定；支持 uRPF單播反向路徑轉(zhuǎn)發(fā)，防止非法流量訪問網(wǎng)絡，采用最長匹配逐包轉(zhuǎn)發(fā)機制， 有效抵御病毒的攻擊。H3C S7500E還支持內(nèi)置的高性能防火墻、異常流量清洗 等模塊，將專業(yè)的安全融入到交換機之中。有線無線全面支持EAD，H3C S7500E是EAD端點準入防御解決方案的重 要組成部分，S7500E可以動態(tài)的接收來自安全策略服務器的控制策略，根據(jù)終 端的安全狀態(tài)給予下發(fā)相應的訪問權(quán)限

18、。H3C S7500E既支持有線終端用戶的EAD，也支持無線終端用戶的EAD，能夠做到終端安全防范無漏洞。增強的ACL特性，H3C S7500E系列產(chǎn)品支持強大的ACL能力：支持標準 和擴展ACL ;支持基于VLAN的ACL，方便用戶配置，節(jié)省 ACL資源；支持 出方向和入方向的ACL，滿足金融等行業(yè)訪問權(quán)限嚴格控制的需求。4.2S5120-24P-EI 產(chǎn)品概述產(chǎn)品概述H3C S5120-EI系列交換機是H3C公司自主開發(fā)的全千兆三層以太網(wǎng)交換機 產(chǎn)品，具備豐富的業(yè)務特性，提供IPv6轉(zhuǎn)發(fā)功能以及最多4個10GE擴展接口 通過H3C特有的IRF （智能彈性架構(gòu)）功能，用戶能夠簡化對網(wǎng)絡的管理

19、。 S5120-EI系列千兆以太網(wǎng)交換機定位為企業(yè)網(wǎng)千兆接入，同時還可以用于數(shù)據(jù)中 心服務器群的連接。產(chǎn)品特點高擴展性保護投資，隨著用戶端速度不斷提高，用戶最終會使集群千兆鏈路 達到飽和，而能夠擁有多條10GE鏈路將是我們的未來發(fā)展方向。S5120-EI系列 交換機支持兩個擴展槽位，每個槽位支持單端口或雙端口的10GE擴展模塊，在實現(xiàn)千兆匯聚或接入時保留進一步支持 10GE的擴展能力，盡力保護用戶投資。S5120-EI系列支持IPv4和IPv6的三層路由功能，并可以實現(xiàn)基于硬件的 IPv4和IPv6的全線速轉(zhuǎn)發(fā)。同時支持IPv6的ACL、QoS、組播和網(wǎng)管，實現(xiàn)IPv4 到IPv6的平滑升級。

20、智能彈性架構(gòu)，H3C S5120-EI系列交換機支持IRF2（第二代智能彈性架構(gòu)） 技術(shù)，就是把多臺物理設備互相連接起來，使其虛擬為一臺邏輯設備，也就是說， 用戶可以將這多臺設備看成一臺單一設備進行管理和使用。 IRF可以為用戶帶來 以下好處：?簡化管理IRF架構(gòu)形成之后，可以連接到任何一臺設備的任何一個端口 就以登錄統(tǒng)一的邏輯設備，通過對單臺設備的配置達到管理整個智能彈性系統(tǒng)以 及系統(tǒng)內(nèi)所有成員設備的效果，而不用物理連接到每臺成員設備上分別對它們進 行配置和管理。?簡化業(yè)務IRF形成的邏輯設備中運行的各種控制協(xié)議也是作為單一設備 統(tǒng)一運行的，例如路由協(xié)議會作為單一設備統(tǒng)一計算， 而隨著跨設備

21、鏈路聚合技 術(shù)的應用，可以替代原有的生成樹協(xié)議，這樣就可以省去了設備間大量協(xié)議報文 的交互，簡化了網(wǎng)絡運行，縮短了網(wǎng)絡動蕩時的收斂時間。?彈性擴展 可以按照用戶需求實現(xiàn)彈性擴展，保證用戶投資。并且新增的 設備加入或離開IRF架構(gòu)時可以實現(xiàn) 熱插拔”不影響其他設備的正常運行。?高可靠IRF的高可靠性體現(xiàn)在鏈路，設備和協(xié)議三個方面。成員設備之 間物理端口支持聚合功能，IRF系統(tǒng)和上、下層設備之間的物理連接也支持聚合 功能，這樣通過多鏈路備份提高了鏈路的可靠性；IRF系統(tǒng)由多臺成員設備組成， 一旦Master設備故障，系統(tǒng)會迅速自動選舉新的 Master，以保證通過系統(tǒng)的業(yè) 務不中斷，從而實現(xiàn)了設備

22、級的1： N備份；IRF系統(tǒng)會有實時的協(xié)議熱備份功 能負責將協(xié)議的配置信息備份到其他所有成員設備，從而實現(xiàn)1： N的協(xié)議可靠性。?高性能 對于高端交換機來說，性能和端口密度的提升會受到硬件結(jié)構(gòu)的 限制。而IRF系統(tǒng)的性能和端口密度是IRF內(nèi)部所有設備性能和端口數(shù)量的總 和。因此，IRF技術(shù)能夠輕易的將設備的交換能力、用戶端口的密度擴大數(shù)倍， 從而大幅度提高了設備的性能。完備的安全控制策略，H3C S5120-EI系列交換機支持EAD(端點準入防御) 功能，配合后臺系統(tǒng)可以將終端防病毒、補丁修復等終端安全措施與網(wǎng)絡接入控 制、訪問權(quán)限控制等網(wǎng)絡安全措施整合為一個聯(lián)動的安全體系，通過對網(wǎng)絡接入終端的檢查、隔離、修復、管理和監(jiān)控，使整個網(wǎng)絡變被動防御為主動防御、變 單點防御為全面防御、變分散管理為集中策略管理，提升了網(wǎng)絡對病毒、蠕蟲等 新興安全威脅的整體防御能力。H3C S5120-EI系列交換機支持對試圖接入網(wǎng)絡的用戶進行 802.1X認證?？?以在交換機上對802.1X客戶端的版本和有效性進行驗證，防止非法用戶登錄網(wǎng) 絡。支持集中式MAC地址認證，可以基于端口和 MAC地址