區(qū)人民醫(yī)院整體網(wǎng)絡(luò)解決方案建議書

區(qū)人民醫(yī)院整體網(wǎng)絡(luò)解決方案建議書區(qū)人民醫(yī)院整體網(wǎng)絡(luò)解決方案建議書通信技術(shù)有限公司2011年3月目錄第1章系統(tǒng)需求分析（4）概述（4）總體需求（5）網(wǎng)絡(luò)建設(shè)原則（6）TOC\o"1-5"\h\z網(wǎng)絡(luò)系統(tǒng)的整體架構(gòu)（6）醫(yī)院業(yè)務(wù)應(yīng)用分析（6）醫(yī)院業(yè)務(wù)劃分（6）應(yīng)用系統(tǒng)分類（7）醫(yī)院業(yè)務(wù)系統(tǒng)的需求（8）第2章網(wǎng)絡(luò)總體設(shè)計（10）XXXX區(qū)人民醫(yī)院整體網(wǎng)絡(luò)設(shè)計（11）

方案特性總結(jié)(14)電信級的可靠性(14)先進(jìn)的虛擬化技術(shù)應(yīng)用(14)有線無線一體化(15)網(wǎng)絡(luò)與安全的深度融合(16)統(tǒng)一管理(18)第3章端點準(zhǔn)入防御(EAD)方案(22)概述(22)方案思路(22)方案組成部分(23)EAD應(yīng)用模式(25)應(yīng)用模型(26)安全準(zhǔn)入應(yīng)用模型(26)安全準(zhǔn)入工作流程(26)功能特點(28)安全狀態(tài)評估(28)用戶行為監(jiān)控(30)第4章無線解決方案(31)概述(31)客戶需求(31)無線組網(wǎng)選擇(32)無線網(wǎng)絡(luò)建設(shè)方案(34)整體組網(wǎng)方案(34)覆蓋解決方案(37)覆蓋效果理論計算(38)第5章管理中心設(shè)計(39)集成化管理平臺(39)系統(tǒng)安全管理(40)資源管理(42)拓?fù)涔芾?43)故障(告警/事件)管理(45)告警深度關(guān)聯(lián)分析與統(tǒng)計(47)性能管理(50)

設(shè)備管理組件（53）接入與準(zhǔn)入控制（54）第1章系統(tǒng)需求分析概述衛(wèi)生部于2002/5/28日出臺《醫(yī)院信息系統(tǒng)基本功能規(guī)范》:制定了全國醫(yī)療信息化建設(shè)的統(tǒng)一技術(shù)標(biāo)準(zhǔn)，評審開發(fā)商的產(chǎn)品和解決方案的依據(jù)和標(biāo)準(zhǔn)和醫(yī)院信息化建設(shè)的指導(dǎo)性文件。指出醫(yī)院信息系統(tǒng)應(yīng)該包括臨床診療、藥品管理、經(jīng)濟(jì)管理、綜合管理與統(tǒng)計分析等部分。詳細(xì)規(guī)定了：門診醫(yī)生工作站分系統(tǒng)、護(hù)士工作站分系統(tǒng)、醫(yī)學(xué)影像分系統(tǒng)、藥品管理分系統(tǒng)等的功能規(guī)范。對醫(yī)療信息系統(tǒng)與醫(yī)療保險、社區(qū)衛(wèi)生服務(wù)、遠(yuǎn)程醫(yī)療咨詢系統(tǒng)的外部接口規(guī)定了統(tǒng)一標(biāo)準(zhǔn)。醫(yī)院信息化包括管理信息化、臨床管理信息化、局域醫(yī)療衛(wèi)生服務(wù)信息化三個階段。目前大多數(shù)醫(yī)院停留在醫(yī)院管理信息化階段，需要將化驗自動化―》信息化；醫(yī)院的HIS系統(tǒng)包括：醫(yī)院管理信息系統(tǒng)（MIS）、臨床信息系統(tǒng)（CIS）、醫(yī)學(xué)影像和通信系統(tǒng)（PACK）、辦公自動化系統(tǒng)（OA）。醫(yī)院信息化即醫(yī)院信息系統(tǒng)（HIS）建設(shè)將經(jīng)歷三個階段：醫(yī)院管理信息化階段（HMIS）、臨床管理信息化階段（HCIS）、局域醫(yī)療衛(wèi)生服務(wù)階段（GMIS）。

醫(yī)院信息化系統(tǒng)的結(jié)構(gòu)如下:總體需求XXXX區(qū)人民醫(yī)院網(wǎng)絡(luò)建設(shè)將覆蓋整個新綜合大樓、老住院部、門診部等幾大主樓。新綜合大樓和老住院部的通過萬兆光纖連接到門診大樓網(wǎng)絡(luò)中心，門診大樓內(nèi)部接入交換機(jī)通過雙鏈路千兆上行直接接入數(shù)據(jù)中心核心交換機(jī)；本次建設(shè)的采用10G光纖主干到中心，1000M到桌面的方式；根據(jù)今后XXXX區(qū)人民醫(yī)院的發(fā)展需求，目前我們的網(wǎng)絡(luò)應(yīng)該具有高帶寬、高可靠、高性能、高安全的特性，骨干速率達(dá)到萬兆。網(wǎng)絡(luò)關(guān)鍵節(jié)點能夠冗余熱備保障系統(tǒng)連續(xù)穩(wěn)定運行。使新建成的網(wǎng)絡(luò)能夠很好的為上述提到的醫(yī)療網(wǎng)絡(luò)化建設(shè)服務(wù)。符合國家衛(wèi)生部對醫(yī)療機(jī)構(gòu)實現(xiàn)三步信息化的要求。新建的局域網(wǎng)將為各種應(yīng)用和服務(wù)提供更快的速度、更高的質(zhì)量和性能，弁為新的信息應(yīng)用系統(tǒng)提供可靠的網(wǎng)絡(luò)平臺，提高醫(yī)院的服務(wù)質(zhì)量和經(jīng)濟(jì)效益。區(qū)人民醫(yī)院整體網(wǎng)絡(luò)解決方案建議書1第3頁使設(shè)計更靈活--層次化設(shè)計使得骨干網(wǎng)和分布網(wǎng)之間的包交換形式更具靈活性。很多網(wǎng)絡(luò)都得益于使用混合方式來構(gòu)造整個網(wǎng)絡(luò)架構(gòu)。在大多數(shù)情況下，可在骨干網(wǎng)部分使用專線而在區(qū)域網(wǎng)或本地網(wǎng)接入部分使用包交換服務(wù)。

使交換機(jī)、路由器管理更容易――由于層次化網(wǎng)絡(luò)結(jié)構(gòu)使網(wǎng)絡(luò)分層，相對縮小的網(wǎng)絡(luò)區(qū)域使路由器的鄰居或?qū)Φ韧ㄐ哦肆繙p少，因此時路由器的配置變得簡單化。3、優(yōu)化廣播和多點廣播的流量控制在包交換網(wǎng)絡(luò)中，減少路由器之間廣播信息量的最直接方法就是使用更少數(shù)目的路由器組，通過層次化模塊設(shè)計可以較好地控制網(wǎng)絡(luò)中的廣播。通常在包交換網(wǎng)絡(luò)中最常見的路由器之間的廣播信息流量是路由更新信息，如果在一個區(qū)域或一個層次中有太多的路由器，那么就會因為廣播的原因而造成網(wǎng)絡(luò)瓶頸。層次化的網(wǎng)絡(luò)結(jié)構(gòu)使你可以對區(qū)域網(wǎng)向骨干網(wǎng)的廣播作出限制。因此，對于XXXX區(qū)人民醫(yī)院網(wǎng)絡(luò)工程來說，想要建設(shè)成為一個全所的、網(wǎng)絡(luò)性能優(yōu)良的、具有很強(qiáng)擴(kuò)展能力和升級能力的大型綜合網(wǎng)絡(luò)，那么在網(wǎng)絡(luò)的設(shè)計中就必須采用層次化的網(wǎng)絡(luò)設(shè)計原則。XXXX區(qū)人民醫(yī)院整體網(wǎng)絡(luò)設(shè)計組網(wǎng)說明在XXXX區(qū)人民醫(yī)院網(wǎng)絡(luò)整體設(shè)計中，均采用層次化、模塊化的網(wǎng)絡(luò)設(shè)計結(jié)構(gòu)，弁嚴(yán)格定義各層功能模型，通過邏輯方式設(shè)置不同的權(quán)限，不同層次關(guān)注不同的特性配置。整個網(wǎng)絡(luò)的結(jié)構(gòu)組成分成三層：接入層、匯聚層、核心層。1）接入層：提供網(wǎng)絡(luò)的第一級接入功能，完成簡單的二、三層交換，安全、Qos和POE功能都位于這一層。對于醫(yī)院信息網(wǎng)的接入層設(shè)備，建議采用千兆二層接入的方式，應(yīng)該具有線

速交換、智能彈性堆疊技術(shù)以及高級QoS策略等功能。2）匯聚層：匯聚交換機(jī)采用萬兆雙鏈路的方式接入核心交換機(jī)，從而提供鏈路的冗于及數(shù)據(jù)的負(fù)載均衡。匯聚層交換機(jī)作為核心交換機(jī)與接入交換機(jī)的中接點，其作用是承上啟下，應(yīng)具備豐富的業(yè)務(wù)特性，高帶寬、高性能、支持線速轉(zhuǎn)發(fā)以及10GE擴(kuò)展接口。2）核心層：網(wǎng)絡(luò)的骨干，必須能夠提供高速數(shù)據(jù)交換和路由快速收斂，要求具有較高的可靠性、穩(wěn)定性和易擴(kuò)展性等。對于醫(yī)院信息網(wǎng)核心層，必須提供高性能、高可靠的網(wǎng)絡(luò)結(jié)構(gòu)，推薦采用高可靠的多設(shè)備冗余的星型結(jié)構(gòu)。對于醫(yī)院信息網(wǎng)核心層設(shè)備，應(yīng)該在提供大容量、高性能L2/L3交換服務(wù)基礎(chǔ)上，能夠進(jìn)一步融合了硬件IPv6、網(wǎng)絡(luò)安全、網(wǎng)絡(luò)業(yè)務(wù)分析等智能特性，可為醫(yī)院信息構(gòu)建融合業(yè)務(wù)的基礎(chǔ)網(wǎng)絡(luò)平臺，進(jìn)而幫助用戶實現(xiàn)IT資源整合的需求。如圖示意，XX區(qū)人民醫(yī)院網(wǎng)絡(luò)系統(tǒng)分為五大區(qū)域：分別為上聯(lián)農(nóng)村合作醫(yī)療、醫(yī)保中心和龍寶分院的上聯(lián)區(qū)、核心數(shù)據(jù)服務(wù)器區(qū)、數(shù)據(jù)安全管理區(qū)、核心數(shù)據(jù)交換區(qū)、接入?yún)^(qū)。上聯(lián)區(qū)：醫(yī)院業(yè)務(wù)網(wǎng)需要和農(nóng)村合作醫(yī)院、醫(yī)保中心及龍寶分院的信息網(wǎng)進(jìn)行連接，實現(xiàn)數(shù)據(jù)交換。對于某些業(yè)務(wù)系統(tǒng)對用戶開放，而為了保護(hù)數(shù)據(jù)的安全，需要配置防火墻來防護(hù)外部攻擊防范，支持內(nèi)網(wǎng)安全、流量監(jiān)控、網(wǎng)頁過濾、郵件過濾、應(yīng)用層過濾等功能，能夠有效地保證網(wǎng)絡(luò)的安全。核心數(shù)據(jù)服務(wù)器區(qū)：涉及工作秘密的關(guān)鍵數(shù)據(jù)傳和工作中的應(yīng)用數(shù)據(jù)和系統(tǒng)本身涉及的敏感數(shù)據(jù)如密碼等，為更好的提高核

心數(shù)據(jù)服務(wù)器的應(yīng)用和安全，公司設(shè)計將服務(wù)器直接接入數(shù)據(jù)中心核心交換機(jī)上，數(shù)據(jù)中心核心交換機(jī)提供高帶寬、高轉(zhuǎn)發(fā)、高交換平臺提高服務(wù)器的應(yīng)用，弁且通過在數(shù)據(jù)中心核心交換機(jī)上配置的防火墻板塊來為服務(wù)器提供安全防護(hù)。核心數(shù)據(jù)交換區(qū)：在XXXX區(qū)人民醫(yī)院新建設(shè)的局域網(wǎng)結(jié)構(gòu)選擇中，本方案建議選用雙核心結(jié)構(gòu)，具有以下優(yōu)點：可靠性高：采用兩個核心節(jié)點的雙連接星型網(wǎng)絡(luò)結(jié)構(gòu)，使得網(wǎng)絡(luò)具有可靠性、可用性及安全性，避免了單點失效的隱患。支持流量的負(fù)載分擔(dān)：網(wǎng)絡(luò)流量可能隨著多種業(yè)務(wù)的發(fā)展日益壯大（如語音，視頻會議），網(wǎng)絡(luò)流量的負(fù)載分擔(dān)問題將會成為網(wǎng)絡(luò)可用性的主要因素，采用雙連接的網(wǎng)絡(luò)結(jié)構(gòu)，使得網(wǎng)絡(luò)的流量能夠比較合理的分布在各條鏈路上。支持網(wǎng)絡(luò)的冗余備份：核心節(jié)點采用兩臺高性能的網(wǎng)絡(luò)設(shè)備，使得核心層具有較好的冗余備份能力。同時，兩臺核心設(shè)備之間要采用萬兆高速鏈路互連，提供了核心設(shè)備間的高速互連帶寬，避免兩臺設(shè)備之間形成傳輸瓶頸。在信息中心機(jī)房，配置二臺高性能的超萬兆數(shù)據(jù)中心核心交換機(jī)H3CS7506E-S,H3CS7500E系列產(chǎn)品是杭州XX通信技術(shù)有限公司，面向融合業(yè)務(wù)網(wǎng)絡(luò)的高端多業(yè)務(wù)路由交換機(jī)，該產(chǎn)品基于H3C自主知識產(chǎn)權(quán)的ComwareV5操作系統(tǒng)，以IRF2（IntelligentResilientFramework2,第二代智能彈性架構(gòu)）技術(shù)為系統(tǒng)基石的虛擬化軟件系統(tǒng)，進(jìn)一步融合MPLSVPN、IPv6、

網(wǎng)絡(luò)安全、無線、無源光網(wǎng)絡(luò)等多種網(wǎng)絡(luò)業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、不間斷升級、優(yōu)雅重啟、環(huán)網(wǎng)保護(hù)等多種高可靠技術(shù)，在提高用戶生產(chǎn)效率的同時，保證了網(wǎng)絡(luò)最大正常運行時間，從而降低了客戶的總擁有成本（TCO）。H3CS7500E符合“限制電子設(shè)備有害物質(zhì)標(biāo)準(zhǔn)（RoHS）”，是綠色環(huán)保的路由交換機(jī)。數(shù)據(jù)中心核心交換機(jī)配置我公司最新研制出的防火墻，保障訪問數(shù)據(jù)的安全。弁采用業(yè)界最先進(jìn)的虛擬化技術(shù)，將兩臺物理核心設(shè)備虛擬成一臺邏輯設(shè)備，實現(xiàn)協(xié)同工作、統(tǒng)一管理和不間斷維護(hù)功能，兩臺數(shù)據(jù)中心核心交換機(jī)采用雙萬兆鏈路相連，消除業(yè)務(wù)流量轉(zhuǎn)發(fā)的速率瓶頸。數(shù)據(jù)安全管理區(qū)：配置H3CiMC智能管理中心作為全網(wǎng)的管理平臺，配置EAD組件對終端用戶進(jìn)行準(zhǔn)入控制.接入?yún)^(qū)：在本方案設(shè)計中，在新綜合大樓和老住院部大樓設(shè)立匯聚分中心，匯聚節(jié)點作用是承上啟下，通過雙萬兆鏈路上聯(lián)數(shù)據(jù)中心核心交換機(jī)，下接本樓層的接入交換機(jī)。在新綜合大樓內(nèi)接入交換機(jī)采用1000M多模上聯(lián)匯聚交換機(jī)，在老住院部大樓內(nèi)接入交換機(jī)采用1000M6類線上聯(lián)匯聚交換機(jī)，所以我公司建議采用H3CS5500-EI增強(qiáng)型萬兆三層交換機(jī)，H3CS5500-EI系列交換機(jī)是H3C公司最新開發(fā)的增強(qiáng)型IPv6強(qiáng)三層萬兆以太網(wǎng)交換機(jī)產(chǎn)品，具備業(yè)界盒式交換機(jī)最先進(jìn)的硬件處理能力和最豐富的業(yè)務(wù)特性。支持最多4個萬兆擴(kuò)展接口，支持IPv4/IPv6硬件雙棧及線速轉(zhuǎn)發(fā)，使客戶能夠從容應(yīng)對即將帶來的IPv6時代；除此以外，其出色的安全性，可靠性和多業(yè)務(wù)支持能力使其成為大型企業(yè)網(wǎng)絡(luò)和園區(qū)網(wǎng)的匯聚，中小企業(yè)網(wǎng)核

心、以及城域網(wǎng)邊緣設(shè)備的第一選擇。本方案建議所用樓層采用千兆接入交換機(jī)來提供終端用戶的接入，我公司選用H3CS5120-EI系列交換機(jī)，H3CS5120-EI系列交換機(jī)是H3C公司自主開發(fā)的全千兆三層以太網(wǎng)交換機(jī)產(chǎn)品，具備豐富的業(yè)務(wù)特性，提供IPv6轉(zhuǎn)發(fā)功能以及最多4個10GE擴(kuò)展接口。通過H3C特有的IRF（智能彈性架構(gòu)）功能，用戶能夠簡化對網(wǎng)絡(luò)的管理。S5120-EI系列千兆以太網(wǎng)交換機(jī)定位為企業(yè)網(wǎng)千兆接入，同時還可以用于數(shù)據(jù)中心服務(wù)器群的連接。方案特性總結(jié)電信級的可靠性網(wǎng)絡(luò)系統(tǒng)的可靠性主要由線路質(zhì)量，設(shè)備可靠性，網(wǎng)絡(luò)協(xié)議可靠性等多個方面來保證，在本方案中，信息網(wǎng)的核心層設(shè)備均采用雙機(jī)冗余，且采用了H3c公司最先進(jìn)的虛擬彈性技術(shù)架構(gòu)，數(shù)據(jù)中心核心交換機(jī)采用無單點故障設(shè)計，所有關(guān)鍵部件等采用冗余設(shè)計；無源背板避免了機(jī)箱出現(xiàn)單點故障；所有單板和電源模塊支持熱插拔功能；可以在惡劣的環(huán)境下長時間穩(wěn)定運行，達(dá)到99.999%的電信級可靠性；支持不間斷轉(zhuǎn)發(fā)和優(yōu)雅重啟，提供毫秒級的切換時間；支持等價路由，可幫助用戶建立多條等值路徑，實現(xiàn)流量的負(fù)載均衡及冗余備份；支持RRPP快速環(huán)網(wǎng)保護(hù)協(xié)議，提供小于200ms的環(huán)網(wǎng)故障保護(hù)；支持Smart-Link協(xié)議，保證雙上行網(wǎng)絡(luò)拓?fù)涞臉I(yè)務(wù)毫秒級快速切換。通過上述技術(shù)，核心交換機(jī)可以在承載多業(yè)務(wù)的情況下不間斷運行，實現(xiàn)業(yè)務(wù)的永續(xù)；能夠在不重啟設(shè)備的前提下，通過熱補(bǔ)丁技術(shù)，在線修改軟件BUG,增加新的業(yè)務(wù)特性。核心交換機(jī)提供控制補(bǔ)丁單元狀

態(tài)切換的用戶命令，使用戶能夠方便的加載、激活、去激活、運行或刪除補(bǔ)丁單元。通過熱補(bǔ)丁技術(shù)，降低了設(shè)備需要重啟的次數(shù)，為客戶提供更長的網(wǎng)絡(luò)正常工作時間。核心設(shè)備均采用雙鏈路方式，防火墻也采用雙板卡冗余，整個網(wǎng)絡(luò)系統(tǒng)設(shè)計在關(guān)鍵區(qū)域均避免了單設(shè)備、單板卡和單鏈路故障隱患。先進(jìn)的虛擬化技術(shù)應(yīng)用在本方案中，醫(yī)院信息網(wǎng)的核心設(shè)備均采用了智能彈性虛擬化技術(shù)，就是把多臺物理設(shè)備互相連接起來，使其虛擬為一臺邏輯設(shè)備，也就是說，用戶可以將這多臺設(shè)備看成一臺單一設(shè)備進(jìn)行管理和使用。虛擬化可以為用戶帶來以下好處：簡化管理虛擬化架構(gòu)形成之后，可以連接到任何一臺設(shè)備的任何一個端口就以登錄統(tǒng)一的邏輯設(shè)備，通過對單臺設(shè)備的配置達(dá)到管理整個智能彈性系統(tǒng)以及系統(tǒng)內(nèi)所有成員設(shè)備的效果，而不用物理連接到每臺成員設(shè)備上分別對它們進(jìn)行配置和管理。簡化業(yè)務(wù)虛擬化形成的邏輯設(shè)備中運行的各種控制協(xié)議也是作為單一設(shè)備統(tǒng)一運行的，例如路由協(xié)議會作為單一設(shè)備統(tǒng)一計算，而隨著跨設(shè)備鏈路聚合技術(shù)的應(yīng)用，可以替代原有的生成樹協(xié)議，這樣就可以省去了設(shè)備間大量協(xié)議報文的交互，簡化了網(wǎng)絡(luò)運行，縮短了網(wǎng)絡(luò)動蕩時的收斂時間。彈性擴(kuò)展可以按照用戶需求實現(xiàn)彈性擴(kuò)展，保證用戶投資。弁且新增的設(shè)備加入或離開虛擬化架構(gòu)時可以實現(xiàn)“熱插拔”，不影響其他設(shè)備的正常運行。

高可靠虛擬化的高可靠性體現(xiàn)在鏈路，設(shè)備和協(xié)議三個方面。成員設(shè)備之間物理端口支持聚合功能，虛擬化系統(tǒng)和上、下層設(shè)備之間的物理連接也支持聚合功能，這樣通過多鏈路備份提高了鏈路的可靠性；虛擬化系統(tǒng)由多臺成員設(shè)備組成，一旦Master設(shè)備故障，系統(tǒng)會迅速自動選舉新的Master,以保證通過系統(tǒng)的業(yè)務(wù)不中斷，從而實現(xiàn)了設(shè)備級的1:N備份；虛擬化系統(tǒng)會有實時的協(xié)議熱備份功能負(fù)責(zé)將協(xié)議的配置信息備份到其他所有成員設(shè)備，從而實現(xiàn)1:N的協(xié)議可靠性。高性能對于高端交換機(jī)來說，性能和端口密度的提升會受到硬件結(jié)構(gòu)的限制。而虛擬化系統(tǒng)的性能和端口密度是虛擬化內(nèi)部所有設(shè)備性能和端口數(shù)量的總和。因此，虛擬化技術(shù)能夠輕易的將設(shè)備的交換能力、用戶端口的密度擴(kuò)大數(shù)倍，從而大幅度提高了設(shè)備的性能。有線無線一體化本方案中，通過無線控制器、智能管理