1 項目概述
XXX醫(yī)院醫(yī)療綜合樓總體分為：地下一層為設備用房，一、二、三、四層為大廳及門診，五層為血透中心，六、七層為內科護理標準層，八層、十一層為內科、外科護理單元，九層為兒科護理單元，十層為骨科護理單元，十二層為婦科護理單元，十三層為產科護理單元，十四層為產房、ICU、手術準備層，十五層為手術層，十六層為手術設備和電梯機房層。大樓總建筑面積約2萬㎡，建筑高度66.40米，屬于一類高層建筑。
2 系統(tǒng)概述
本局域網（LAN）主要為醫(yī)院提供Internet接入和設備的聯網需求。
（1）設備產品選用著名華三H3C品牌產品。
（2）充分考慮網絡安全，該系統(tǒng)具備拒絕訪問攻擊（DOS）的防護。能實現交換機、防火墻/IDS/IPS聯動與網管軟件聯動，自動的實現對網絡蠕蟲和黑客攻擊防范和屏蔽。
3 設計原則
基于XXX醫(yī)院目前網絡現狀和未來業(yè)務發(fā)展的要求，在XXX醫(yī)院網絡設計構建中，應始終堅持以下建網原則：
1、實用性：整個網絡系統(tǒng)具有較高的實用性；
2、時效性：網絡應保證各類業(yè)務數據流的及時傳輸，網絡時效性要強，網絡延時要小，確保業(yè)務的實時高效；
3、可靠性：網絡系統(tǒng)的穩(wěn)定可靠是應用系統(tǒng)正常運行的關鍵保證，在網絡設計中選用高可靠性網絡產品，合理設計網絡架構，制訂可靠的網絡備份策略，保證網絡具有故障自愈的能力，最大限度地支持醫(yī)院各業(yè)務系統(tǒng)的正常運行。必須滿足7×24×365 小時連續(xù)運行的要求。在故障發(fā)生時，網絡設備可以快速自動地切換到備份設備上；
4、完整性：網絡系統(tǒng)應實現端到端的、能整合數據、語音和圖像的多業(yè)務應用，滿足全網范圍統(tǒng)一的實施安全策略、QoS 策略、流量管理策略和系統(tǒng)管理策略的完整的一體化網絡；
5、技術先進性和實用性--保證滿足醫(yī)院應用系統(tǒng)業(yè)務的同時，又要體現出網絡系統(tǒng)的先進性。在網絡設計中要把先進的技術與現有的成熟技術和標準結合起來，充分考慮到醫(yī)院網絡目前的現狀以及未來技術和業(yè)務發(fā)展趨勢。
6、高性能—醫(yī)院網絡性能是醫(yī)院整個網絡良好運行的基礎，設計中必須保障網絡及設備的高吞吐能力，保證各種信息（數據、語音、圖像）的高質量傳輸，才能使網絡不成為一眼業(yè)務開展的瓶頸。
7、標準開放性--支持國際上通用標準的網絡協(xié)議（如IP）、國際標準的大型的動態(tài)路由協(xié)議等開放協(xié)議，有利于以保證與其它網絡(如公共數據網、金融網絡、外聯機構其它網絡)之間的平滑連接互通，以及將來網絡的擴展。
8、靈活性及可擴展性--根據未來業(yè)務的增長和變化，網絡可以平滑地擴充和升級，減少最大程度的減少對網絡架構和現有設備的調整。網絡要具有面向未來的良好的伸縮性能，既能滿足當前的需求，又能支持未來業(yè)務網點、業(yè)務量、業(yè)務種類的擴展和與其它機構或部門的連接等對網絡的擴充性要求。
9、可管理性--對網絡實行集中監(jiān)測、分權管理，并統(tǒng)一分配帶寬資源。選用先進的網絡管理平臺，具有對設備、端口等的管理、流量統(tǒng)計分析功能以及可提供故障自動報警。
10、安全性--制訂統(tǒng)一的骨干網安全策略，整體考慮網絡平臺的安全性。能有效防止網絡的非法訪問，保護關鍵數據不被非法竊取、篡改或泄漏，使數據具有極高的安全性；
4 系統(tǒng)設計方案
4.1 系統(tǒng)需求分析
4.1.1 醫(yī)院業(yè)務劃分
醫(yī)院的業(yè)務系統(tǒng)有很多，而且不同的專科醫(yī)院業(yè)務系統(tǒng)也有很大區(qū)別，但以下一些業(yè)務系統(tǒng)是醫(yī)院都具有的：
1) 門診系統(tǒng)
2) 住院系統(tǒng)
3) 體檢系統(tǒng)
4) PACS系統(tǒng)
5) 醫(yī)院管理經濟系統(tǒng)
6) 區(qū)域醫(yī)療系統(tǒng)
1.1.2 應用系統(tǒng)分類
醫(yī)院信息系統(tǒng)主要分成以下兩類：
1) 醫(yī)院管理系統(tǒng)
門、急診掛號子系統(tǒng)
門、急診病人管理及計價收費子系統(tǒng)
住院病人管理子系統(tǒng)
藥庫、藥房管理子系統(tǒng)
病案管理子系統(tǒng)
醫(yī)療統(tǒng)計子系統(tǒng)
人事、工資管理子系統(tǒng)
財務管理與醫(yī)院經濟核算子系統(tǒng)
醫(yī)院后勤物資供應子系統(tǒng)
固定資產、醫(yī)療設備管理子系統(tǒng)
院長辦公綜合查詢與輔助決策支持系統(tǒng)
2) 臨床醫(yī)療信息系統(tǒng)
住院病人醫(yī)囑處理子系統(tǒng)
護理信息系統(tǒng)
門診醫(yī)生工作站系統(tǒng)
臨床實驗室檢查報告子系統(tǒng)
醫(yī)學影像診斷報告處理系統(tǒng)
放射科信息管理系統(tǒng)
手術室管理子系統(tǒng)
功能檢查科室信息管理子系統(tǒng)
病理卡片管理及病理科信息系統(tǒng)
血庫管理子系統(tǒng)
營養(yǎng)與膳食計劃管理子系統(tǒng)
臨床用藥咨詢與控制子系統(tǒng)
4.1.3 醫(yī)院業(yè)務系統(tǒng)的需求
1）門診系統(tǒng)
門診業(yè)務作為醫(yī)院直接面對患者的窗口具有非常重要的地位和自己的特點（包括焦急的病人無法忍受長時間的等待、門診業(yè)務主要集中在上午等），門診業(yè)務具有可靠性高、并發(fā)性、實時性和突發(fā)性強等特點。因此門診業(yè)務對網絡提出了高可靠性、高帶寬和QoS的要求。
2）住院系統(tǒng)
住院業(yè)務是醫(yī)院的另一個主要組成部分，是醫(yī)院經濟收入的主要來源，同時還直接關系到重病患者的生命安全，具有以下幾個特點：
住院業(yè)務的網絡上流動著重癥病人生命數據和各種新業(yè)務數據；
住院業(yè)務保存有患者病案數據和住院費用數據；
醫(yī)生移動查房；
病人呼叫系統(tǒng)；
網上視頻監(jiān)控系統(tǒng)；
針對住院業(yè)務的以上特點，住院業(yè)務對網絡提出了高可靠性、安全存儲、QoS和無線局域網、VoIP和視頻會議系統(tǒng)的需求。
3）體檢系統(tǒng)
現在很多醫(yī)院建立專門的體檢大樓，以滿足民眾不斷擴大的體檢需求。從業(yè)務角度上講體檢系統(tǒng)非常簡單，它對網絡的需求主要體現在安全性上，如何保護體檢服務器上體檢人員數據安全和體檢大樓網絡安全是醫(yī)院體檢系統(tǒng)解決方案所關注的。
4）PACS系統(tǒng)
醫(yī)院的PACS系統(tǒng)主要是完成對患者的各種影像數據進行采集、存儲、傳輸和處理，并在全院范圍內進行共享，由于是各種圖形圖像數據，因此具有存儲量大的特點，為了更好的服務于醫(yī)院業(yè)務，PACS業(yè)務對支撐系統(tǒng)提出以下要求：存儲量大、擴展性強、數據快速存儲、數據容災、高帶寬
5）管理經濟系統(tǒng)
醫(yī)院管理經濟系統(tǒng)主要是人、財、物的管理，包括人事、財務管理、藥品藥庫管理等，因此它最大的需求是數據在服務器端和網絡上的安全，保證這些數據不會泄露。
6）區(qū)域醫(yī)療系統(tǒng)
一方面為了發(fā)揮中心醫(yī)院的輻射和覆蓋作用，另一方面充分利用各家醫(yī)院的特色科室的力量，區(qū)域醫(yī)療把這些資源進行共享和整合，這需要穩(wěn)定的廣域網連接。
根據初步的需求，我們按照內外網物理分離的原則進行設計。
4.1.4 網絡建設需求
1、為HIS、PACS等應用系統(tǒng)提供一個強有力的網絡支撐平臺；
2、網絡設計不僅要體現當前網絡多業(yè)務服務的發(fā)展趨勢，同時需要具有最靈活的適應、擴展能力；
3、全千兆網絡帶寬；
4、一體化網絡平臺：整合數據、語音和圖像等多業(yè)務的端到端、以IP 為基礎的統(tǒng)一的一體化網絡平臺，支持多協(xié)議、多業(yè)務、安全策略、流量管理、服務質量管理、資源管理；
5、建設一個可管理、支持無線應用的系統(tǒng)；
6、建設一個安全管理平臺。
4.1.5 核心層需求分析
核心層設備擔負著整個網絡的流量。在網絡核心層的流量是非常巨大的，所有的服務器均在網絡的核心層提供相關的服務。對網絡核心層的壓力非常巨大。同時網絡對安全性、穩(wěn)定性的要求極高，由于網絡也基本是一個金字塔的形狀，那么最需要穩(wěn)定的就是金字塔的頂端，即網絡的核心層。
網絡核心層同時需要對網絡的接入層提供不同的網絡層的路由規(guī)劃和信息轉發(fā)的功能，同時還需要保證不同級別的網絡QoS，對于服務器的關鍵業(yè)務通過鏈路級和網絡級的協(xié)議實現嚴格的控制和優(yōu)先級的保證。對于網絡級的保護通常時間是非常長的，那么對一些關鍵業(yè)務，我們就必須通過結合二層快速收斂的協(xié)議一起來完成對網絡安全性的提升和網絡的自愈能力。設備必須支持對不同部門的規(guī)劃，如實現全網統(tǒng)一VLAN的規(guī)劃等。對每個系統(tǒng)分配不同的VLAN并且針對不同VLAN實現不同的安全和控制的策略等。
但是在自身的網絡核心層需要通過完全的三層策略來進行VLAN的終結和三層數據的交換工作，建議采用二層和三層協(xié)議相結合的方式共同實現網絡的規(guī)劃工作。
4.1.6 接入層需求分析
網絡的接入是對用戶直接進行數據透傳的層次，但是由于網絡的特殊性，本次的接入層主要是對一個局域網進行接入。
對本次的接入層的主要需求的分析如下：
（1）、接入層用戶數量的大直接產生大量的數據報文，直接通過三層的數據承載上來，同時造成碰撞域和沖突域，使網絡瓶頸產生于網絡的低層，直接影響接入質量。
（2）、接入層用戶數量大，而所應用的數據種類繁多，多種網絡業(yè)務流量的產生，包括組播業(yè)務的產生，對所接入的網絡設備要求很高，使整個接入層產生了一個業(yè)務接入瓶頸。
（3）、網絡的訪問終結于共享數據的特定位置，因為接入層用戶需要通過網絡最終訪問位于網絡另一端的共享服務器，而多個用戶同時訪問遠端的同一臺服務器或者存在訪問網絡的其他節(jié)點的服務器，就需要這幾個用戶爭搶網絡帶寬，使接入層瓶頸提升到核心層，造成核心層資源的浪費。并且根據網絡流量的分析得出用戶的訪問方向是不規(guī)則的，網絡一定會出現閑置的帶寬的現象，如何規(guī)劃路由將非常重要。
（4）、網絡流量和網絡流向是寬帶網絡的一個新瓶頸。
對于寬帶網絡接入，接入層網絡的通常是以新2/8原則來劃分的，其中有20%的流量是在接入層交換機的內部進行交換的，而80%的網絡流量是通過上聯出口訪問其他的網絡設備。這里，就涉及到網絡產生流量后，網絡流向的問題，網絡流向直接造成網絡對于流量和流向所產生的網絡瓶頸。
（5）、網絡用戶是局域網用戶，實際接入的用戶就是一個網絡，那么對于不同網絡之間的互訪的安全性控制更是由為重要，同時各個不同的機關對本機關內部流通的部分文件是要求要有絕對的安全性的，對其他部門的用戶的訪問是分為很多的不同的級別的。
4.2 系統(tǒng)設計
目前，HIS系統(tǒng)在很多醫(yī)院已經部署，很多傳統(tǒng)業(yè)務都逐漸遷移到網絡上，對網絡的性能、安全和穩(wěn)定提出了很高的要求，主要體現在以下幾個方面：
1）可靠迅速的響應以提供更好的醫(yī)療服務
一般大醫(yī)院每天的門診量很大， HIS系統(tǒng)每天對后臺數據庫的調用非常頻繁，會產生很大的數據流量，如果這種訪問流量出了問題而導致無法正常進行收費和醫(yī)療診斷，會產生嚴重的社會后果，因此醫(yī)院對網絡的訪問性能有很高的要求。
2）安全的業(yè)務數據保證醫(yī)院正常對外服務
在醫(yī)院的業(yè)務系統(tǒng)中保存著大量患者的健康信息和過程費用信息，這些數據無論對患者還是醫(yī)院都非常關鍵，需要嚴格保密，因此如何保護這些數據，對醫(yī)院有著重大的意義。
3）高效的管理推動系統(tǒng)的穩(wěn)定，提高維護的效果
HIS經過幾年的建設，已經初具規(guī)模。如何管好整個醫(yī)院的業(yè)務系統(tǒng)，包括用戶、服務器、數據庫、存儲設備和網絡等，提高醫(yī)院管理效率，保證醫(yī)院網絡的正常運轉已經成為醫(yī)院急需解決的大問題。
4）醫(yī)院數據的安全存儲
醫(yī)院需要存儲包括病人信息、病案信息、費用信息和影像等數據，對數據存儲的安全性和擴展性要求非常高。
5）區(qū)域醫(yī)療的建設
為了在區(qū)域范圍內實現遠程會診、網上學術研討等業(yè)務，迫切需要醫(yī)院之間的資源共享。
4.3 系統(tǒng)內網設計
4.3.1 內網建設需求
內網是醫(yī)院核心網絡系統(tǒng)，用于開展日常醫(yī)療業(yè)務（HIS、LIS、PACS、財務、體檢系統(tǒng)等）的內部局域網，系統(tǒng)應穩(wěn)定、實用和安全，具有高寬帶、大容量和高速率等特點，并具備將來擴容和帶寬升級的條件。
醫(yī)院網絡建設需求：
1、實現千兆主干，桌面接入實現100/1000M自適應（傳輸圖像的桌面直接實現1000M接入）；
2、配備的網管軟件應提供可視的形象化的圖形界面，對整個網絡中網絡產品的全部端口進行監(jiān)視和管理；
3、核心交換機與匯聚接入交換機互聯采用雙星型結構；
4、外科樓、門診樓布置無線AP，可為無線查房，病人上網提供接入服務；
5、由于醫(yī)療行業(yè)的特殊性，醫(yī)護人員和病患者之間需要頻繁地在院內移動、同時處理大量的信息，要求網絡具備可移動性、傳輸速率高等特點。同時考慮到醫(yī)院業(yè)務量的增加，網絡需要留出足夠余地擴容而不影響醫(yī)院正常的工作。
l 網絡應用設計要求：
1、院內核心網絡系統(tǒng)HIS、PACS和LIS、體檢系統(tǒng)等應用分別單獨組網。
以子網的形式組成醫(yī)院的整體網絡。各網絡功能獨立應用，信息互通，資源共享；當任何一個子網出現故障，都不會影響到其他子網的使用。
2、傳輸動態(tài)圖像的部門有：放射影像科、PET/CT、核磁共振MRI、介入放射科DSA、B超室、心超室、腦超室、心電圖室、肌電圖室、胃腸鏡室、內窺鏡室、重癥監(jiān)護室（ICU、CCU等）、手術室、麻醉科、視頻示教室和會議室等。
3、為了更好地服務于醫(yī)療科研工作，需要將各類監(jiān)護治療儀器上的各項生命體征等信息以數字化手段采集并且保存下來，在需要時，可隨時還原。因此，考慮將醫(yī)院所有的監(jiān)護儀器和大型設備都聯網。
4.3.2 內網設計及規(guī)劃
內網是整個醫(yī)院的核心網絡，開展醫(yī)院日常重要的醫(yī)療業(yè)務，對網絡的可靠性、穩(wěn)定性要求非常高，本次設計的網絡按照千兆帶寬（可擴展萬兆交換平臺），內網核心交換機雙機冗余、負載分擔。網內拓撲設計采用二級雙星型架構，分為核心層、接入層。核心層位于機房網絡的中心，負責全網的路由交換，并與各服務器、存儲等核心醫(yī)院應用相連；接入層位于各大樓內的樓層，負責直接接入桌面系統(tǒng)，本次內網采用千兆雙絞線到桌面，與核心層進行千兆光纖連接。
1、核心交換機由兩臺S7510E組成雙星型網絡，當任意一條鏈輪或任意一臺設備出現問題時，保證網絡正常運行；
2、匯聚層采用S5120-EI匯聚交換機，通過雙千兆光纖與核心交換機互聯，保證鏈路的可靠，千兆與接入層交換機互聯。
3、接入層，千兆位以太網逐漸延伸到桌面已經成為最迫切的需要之一，在諸如醫(yī)療行業(yè)的會診、醫(yī)療影像、醫(yī)療科研協(xié)作等，應用在消耗大量帶寬的同時，也在追求終端用戶的滿意度，基于雙絞線的千兆以太網可以將更多的應用從低速鏈路中解放出來，并且為醫(yī)務工作者創(chuàng)新提供了一個嶄新高效能工作平臺。
4、無線：考慮到整體的無線接入點數量很多，建議使用Fit AP加AC控制器的方式，AC控制器部署在核心交換機，以AC無線控制器插卡的方式公用核心交換機的資源，做到有線、無線一體化的融合網絡解決方案，采用瘦AP組網方式，醫(yī)護人員在使用無線網絡中能做到無縫漫游。
5、管理：智能管理中心iMC，具備網絡拓撲、網絡性能、網絡配置、網絡安全、網絡告警、網絡業(yè)務的統(tǒng)一管理，同時在其上可以配置有多種業(yè)務管理組件，本次配置有線無線一體化管理組件WSM，方便管理大規(guī)模的無線管理網絡；端點準入解決方案(EAD)在身份接入基礎上，支持安全狀態(tài)評估、網絡安全威脅定位、安全事件感知及保護措施執(zhí)行等，預防因未打補丁、病毒泛濫、ARP攻擊、異常流量、非法軟件安裝和運行等因素可能帶來的安全威脅，并可根據終端的安全狀態(tài)實現終端VIP、Guest、隔離、下線等多種控制策略。從端點接入上保證每一個接入網絡的終端的安全，從而保證網絡安全。
4.4 系統(tǒng)外網設計
1.4.1 外網建設需求
1、實現千兆主干，桌面接入實現100/1000M自適應（傳輸圖像的桌面直接實現1000M接入）；
2、核心交換機與接入交換機互聯采用星型結構；
3、防問互聯網時采用一定的安全手段，如防火墻和IDS；
4、能夠提供強大的網絡防問控制，路由功能。
4.4.2 外網設計及規(guī)劃
由于外網主要用于醫(yī)院OA辦公、圖書館信息查詢，外網相對于內網來說可靠性要求相對級別次低一級，初期按照采單核心交換機、雙引擎、百兆接入到桌面設計，采用接入直接到核心的簡潔二層結構，根據用戶后期細化可靠性需求、鏈路冗余性需求后，再做進一步調整。
在接入層，選用H3C S5120系列千兆交換機，H3C S5120-EI系列交換機具備豐富的業(yè)務特性，提供IPv6轉發(fā)功能以及最多4個10GE擴展接口。通過H3C特有的IRF（智能彈性架構）功能，用戶能夠簡化對網絡的管理。S5120-EI系列千兆以太網交換機定位為千兆接入，同時還可以用于數據中心服務器群的連接。
在核心層，選用S7506E作為外網的核心交換機，S7500E作為高端多業(yè)務路由交換機，融合了MPLS、IPv6、網絡安全、無線、無源光網絡等多種業(yè)務，提供不間斷轉發(fā)、優(yōu)雅重啟、環(huán)網保護等多種高可靠技術，在提高用戶生產效率的同時，保證了網絡最大正常運行時間，從而降低了客戶的總擁有成本（TCO）。
在網絡出口處部署網神千兆防火墻，網神企業(yè)級千兆防火墻SecGate 3600-G7T是一款接口數目多、配置靈活、網絡適應性好的千兆防火墻產品。產品基于自主開發(fā)的SecOS，在高性能硬件平臺的支撐下，處理能力可達4Gbps；
在出口路由器上采用H3C MSR5060，該系列產品可以為大型分支機構提供高性能、多業(yè)務的一體化網絡方案，也可以作為大中型企業(yè)的核心網絡設備，完成數據、語音、視頻等多種流量的廣域網交互。MSR50針對安全數據連接進行設計，采用內置硬件加密功能的CPU和主板上內置的硬件加密引擎，大大提高產品的數據加密性能，同時節(jié)省接口插槽。另外，MSR 50系列路由器還通過集成以太網交換模塊提供二層數據交換功能，實現了真正的路由交換一體化解決方案。
