醫(yī)院雙中心機(jī)房虛擬化網(wǎng)絡(luò)的設(shè)計

張文強(qiáng) 王翠花

（威海市中心醫(yī)院，山東 威海 264400）

隨著醫(yī)院信息化進(jìn)程的不斷加快，醫(yī)院對信息系統(tǒng)的需求越來越大，這就需要醫(yī)院的網(wǎng)絡(luò)系統(tǒng)有更高可用性服務(wù)的輸出。醫(yī)療行業(yè)的核心是以患者的需求為主，患者的時間就是生命，當(dāng)發(fā)生信息網(wǎng)絡(luò)系統(tǒng)故障時，需要以最快的速度解決。當(dāng)前多數(shù)三甲醫(yī)院配置的網(wǎng)絡(luò)交換冗余和數(shù)據(jù)集的容災(zāi)備份機(jī)制較少，且現(xiàn)有的網(wǎng)絡(luò)無法滿足雙活配置需要，數(shù)據(jù)信息中心機(jī)房單一。當(dāng)發(fā)生故障時，信息系統(tǒng)就會陷入崩潰。雖然概率較低，但是對醫(yī)院的網(wǎng)絡(luò)運(yùn)作卻是致命的。因此，該文根據(jù)醫(yī)院的位置和環(huán)境建立了相應(yīng)的災(zāi)備機(jī)房系統(tǒng)，使用雙機(jī)房虛擬化網(wǎng)絡(luò)的方式建立實(shí)時的網(wǎng)絡(luò)互備系統(tǒng)，以期為醫(yī)院的突發(fā)性故障提供可靠的解決方式。

1 醫(yī)院現(xiàn)有網(wǎng)絡(luò)中存在的弊端

隨著醫(yī)院涉及的業(yè)務(wù)越來越廣泛，醫(yī)院的網(wǎng)絡(luò)系統(tǒng)存在的各種弊端也逐漸顯露出來，如各個信息點(diǎn)之間的資料無法得到及時共享、信息無法有效傳輸?shù)取?shù)據(jù)傳輸量的不斷增加帶來的是用戶需求的不斷增加，而現(xiàn)有網(wǎng)絡(luò)系統(tǒng)的運(yùn)行速度已無法滿足當(dāng)前醫(yī)院業(yè)務(wù)的需求，且對醫(yī)院的網(wǎng)絡(luò)系統(tǒng)運(yùn)行也是一種負(fù)擔(dān)，造成了有反應(yīng)遲鈍、傳輸速度慢以及工作效率低等問題，嚴(yán)重的還會出現(xiàn)網(wǎng)絡(luò)癱瘓。設(shè)備的老舊帶來的是故障的頻發(fā)，運(yùn)行可靠性降低，網(wǎng)絡(luò)癱瘓的發(fā)生概率也不斷增加，醫(yī)院現(xiàn)有的網(wǎng)絡(luò)技術(shù)無法與市場發(fā)展相匹配，網(wǎng)絡(luò)的安全性無法得到有效保障。因此，更完善、安全的網(wǎng)絡(luò)設(shè)備是保證醫(yī)院系統(tǒng)整體運(yùn)行的關(guān)鍵。

2 醫(yī)院雙中心機(jī)房虛擬化網(wǎng)絡(luò)設(shè)計方法

2.1 總體設(shè)計

在醫(yī)院的網(wǎng)絡(luò)環(huán)境中，數(shù)據(jù)中心機(jī)房的網(wǎng)絡(luò)設(shè)計要按照標(biāo)準(zhǔn)化的流程進(jìn)行規(guī)劃，以保證醫(yī)院網(wǎng)絡(luò)機(jī)房工程建設(shè)的質(zhì)量。在數(shù)據(jù)中心機(jī)房的總體設(shè)計中，虛擬化網(wǎng)絡(luò)系統(tǒng)的設(shè)計尤為重要，其次是監(jiān)控系統(tǒng)和供配電系統(tǒng)，三大系統(tǒng)的有效結(jié)合是確保供電系統(tǒng)正常運(yùn)行的關(guān)鍵。進(jìn)行機(jī)房監(jiān)控系統(tǒng)設(shè)計時要做到雙保險，以保證醫(yī)院的數(shù)據(jù)中心系統(tǒng)網(wǎng)絡(luò)的正常運(yùn)行[1]。虛擬系統(tǒng)主要連接中心系統(tǒng)與各個節(jié)點(diǎn)，其網(wǎng)絡(luò)設(shè)計如圖1 所示。

圖1 醫(yī)院數(shù)據(jù)中心網(wǎng)絡(luò)總體規(guī)劃

根據(jù)圖1 可知，作為供電設(shè)計的關(guān)鍵設(shè)施，UPS 配電柜采用的是放射式的配電方式，主要負(fù)責(zé)對計算機(jī)設(shè)備和應(yīng)急設(shè)備等部件進(jìn)行供電[2]，當(dāng)發(fā)生突發(fā)狀況時可以及時進(jìn)行補(bǔ)救。監(jiān)控系統(tǒng)采用分散式的監(jiān)控方式對整個系統(tǒng)進(jìn)行集中管理。虛擬網(wǎng)絡(luò)系統(tǒng)在運(yùn)行中可以連接網(wǎng)絡(luò)中的其他分支并且可以對數(shù)據(jù)進(jìn)行壓縮處理，使數(shù)據(jù)的運(yùn)行速度、傳輸速度等得到有效提高。集中管理的設(shè)計方式可以通過虛擬系統(tǒng)對醫(yī)院的網(wǎng)絡(luò)進(jìn)行延伸，并利用VPN 系統(tǒng)連接到其他服務(wù)器中以實(shí)現(xiàn)數(shù)據(jù)的傳輸和共享。

2.2 設(shè)計特點(diǎn)

該文設(shè)計不僅可以完全保障業(yè)務(wù)需要，還能保證技術(shù)的先進(jìn)性，將先進(jìn)技術(shù)與現(xiàn)有技術(shù)相結(jié)合，并充分應(yīng)用到系統(tǒng)中，以順應(yīng)信息化應(yīng)用的發(fā)展趨勢。系統(tǒng)的穩(wěn)定性是網(wǎng)絡(luò)穩(wěn)定運(yùn)行的關(guān)鍵，因此方案設(shè)計需要選擇高可靠性的設(shè)施，并將冗余、容錯能力充分考慮其中，合理設(shè)計系統(tǒng)架構(gòu)，讓系統(tǒng)具有自愈功能。同時，系統(tǒng)的高性能也是保證整個網(wǎng)絡(luò)穩(wěn)定運(yùn)行的關(guān)鍵點(diǎn)，高性能不僅可以保證網(wǎng)絡(luò)的高帶寬，還可以保證設(shè)備均有高處理能力，使應(yīng)用系統(tǒng)的數(shù)據(jù)、語音以及圖像等得到高質(zhì)量的處理，并根據(jù)未來業(yè)務(wù)發(fā)展的需要，適當(dāng)?shù)貙ο到y(tǒng)功能進(jìn)行升級與拓展，最大化地減少對系統(tǒng)架構(gòu)的調(diào)整。先進(jìn)的管理平臺可以保證設(shè)備與端口的統(tǒng)一管理，可管理性還可以為系統(tǒng)提供自動報警功能。

2.3 專用網(wǎng)絡(luò)設(shè)計

第一，作為醫(yī)院中心機(jī)房供配電系統(tǒng)的關(guān)鍵設(shè)施，UPS供配電不僅可以解決數(shù)據(jù)中心機(jī)房設(shè)備運(yùn)行的故障，還可以為其他運(yùn)行設(shè)施及時供電。在網(wǎng)絡(luò)運(yùn)行的整體環(huán)境中，數(shù)據(jù)中心機(jī)房配電系統(tǒng)的設(shè)計需要通過專業(yè)插座進(jìn)行工作，中心機(jī)房主機(jī)和重要電子設(shè)備需要使用專用插座，其他輔助設(shè)備需要使用標(biāo)準(zhǔn)插座。第二，UPS 供配電的配電箱包括數(shù)據(jù)中心機(jī)房中重要的網(wǎng)絡(luò)主機(jī)設(shè)備和應(yīng)急照明設(shè)備。第三，該文對2 種配電設(shè)備采用了分開設(shè)計回路的方式，讓每個回路都由單獨(dú)的電源開關(guān)進(jìn)行控制。第四，醫(yī)院的數(shù)據(jù)中心機(jī)房配置2 個UPS 供電插座，通過UPS 配電箱為每個機(jī)柜提供回路。

作為機(jī)房整體運(yùn)行的重心，醫(yī)院的中心機(jī)房網(wǎng)絡(luò)監(jiān)控系統(tǒng)的雙保險設(shè)計起到了關(guān)鍵作用。數(shù)據(jù)中心機(jī)房具有數(shù)字硬盤錄像功能，可對醫(yī)院的整體運(yùn)行環(huán)境進(jìn)行實(shí)時監(jiān)控以及時掌握醫(yī)院的網(wǎng)絡(luò)環(huán)境運(yùn)行數(shù)據(jù)。B/S 框架下的監(jiān)控系統(tǒng)、集中管理模式的整體設(shè)計使數(shù)據(jù)中心機(jī)房可以對不同軟件系統(tǒng)進(jìn)行實(shí)時控制。醫(yī)院中各個分支系統(tǒng)都需要與數(shù)據(jù)中心機(jī)房進(jìn)行單獨(dú)連接，因此更專業(yè)的網(wǎng)絡(luò)系統(tǒng)非常重要。網(wǎng)絡(luò)系統(tǒng)設(shè)計的關(guān)鍵就是數(shù)據(jù)中心機(jī)房，所有的分支設(shè)計都需要通過VPN 系統(tǒng)隧道進(jìn)行設(shè)計[3]，網(wǎng)狀式的設(shè)計結(jié)構(gòu)可以讓數(shù)據(jù)中心機(jī)房訪問系統(tǒng)下的所有分支結(jié)構(gòu)。因此需要建立廣域網(wǎng)設(shè)備，使其及時連接到各個分支，并對分支結(jié)構(gòu)進(jìn)行優(yōu)化，進(jìn)而實(shí)現(xiàn)更準(zhǔn)確的組網(wǎng)。在同一個時間段內(nèi)，通過優(yōu)化各個應(yīng)用系統(tǒng)，可以有效提高數(shù)據(jù)中心機(jī)房的數(shù)據(jù)處理速度，以實(shí)現(xiàn)對數(shù)據(jù)中心機(jī)房中數(shù)據(jù)的統(tǒng)一管理，這對工作效率的提高十分有效。通過VPN 系統(tǒng)對數(shù)據(jù)進(jìn)行壓縮，可以降低傳送量、提高傳輸速度、減少帶寬壓力并保證同步效果。

2.4 中心機(jī)房網(wǎng)絡(luò)設(shè)計

為了保證醫(yī)院網(wǎng)絡(luò)中各個分支系統(tǒng)提取的有效時間一致，該文采用簇點(diǎn)算法進(jìn)行設(shè)計。選擇一條設(shè)計主線作為主要的傳輸通道，一條備用線路進(jìn)行問題處理，為后臺的數(shù)據(jù)處理提供全方位的設(shè)計空間。同時，為了保證提取數(shù)據(jù)的速度，需要對主線路進(jìn)行升級，因此為了讓剩余的能量可以被備用線路獲取[4]，需要對其進(jìn)行改進(jìn)，如公式（1）所示。

式中：Er i為主線路的剩余能量；Erave為數(shù)據(jù)中心機(jī)房網(wǎng)絡(luò)的剩余能量；p為所占比值。

醫(yī)院數(shù)據(jù)中心機(jī)房網(wǎng)絡(luò)分支結(jié)構(gòu)中的設(shè)計數(shù)量會影響網(wǎng)絡(luò)的速度，為了保證能耗不被降低，需要對分支結(jié)構(gòu)進(jìn)行重新設(shè)定和選擇，確定分支數(shù)量，可得公式（2）。

式中：d（si，sink）為節(jié)點(diǎn)i到中心機(jī)房的距離；dmin、dmax為節(jié)點(diǎn)到中心機(jī)房的最小距離和最大距離；c 為數(shù)據(jù)競爭；R0c為備選線路的最大值[5]。

2.5 驗(yàn)證結(jié)果與分析

為了驗(yàn)證上述基于數(shù)據(jù)傳輸速度優(yōu)化方法的網(wǎng)絡(luò)設(shè)計的有效性，對不同醫(yī)院的網(wǎng)絡(luò)環(huán)境進(jìn)行仿真試驗(yàn)，將網(wǎng)絡(luò)負(fù)載作為TCP 負(fù)載，最大字節(jié)為2550。為了滿足醫(yī)院網(wǎng)絡(luò)環(huán)境對數(shù)據(jù)的壓縮需求，需要對傳輸速度進(jìn)行優(yōu)化，并根據(jù)表1 的數(shù)據(jù)[6]推測醫(yī)療數(shù)據(jù)包的吞吐量。

表1 不同數(shù)據(jù)中心機(jī)房網(wǎng)絡(luò)設(shè)計方法大小

根據(jù)表1 可知，由VPN 的虛擬系統(tǒng)獲取的醫(yī)療數(shù)據(jù)傳輸通道不僅可以支持網(wǎng)狀結(jié)構(gòu)，還可以訪問系統(tǒng)中的任一分支結(jié)構(gòu)，優(yōu)化系統(tǒng)數(shù)據(jù)，并通過不斷優(yōu)化的方式提高數(shù)據(jù)中心機(jī)房讀取信息的速度，以保證醫(yī)院網(wǎng)絡(luò)環(huán)境數(shù)據(jù)的吞吐量不受影響。

3 醫(yī)院雙中心機(jī)房虛擬化網(wǎng)絡(luò)方案規(guī)劃

根據(jù)醫(yī)院網(wǎng)絡(luò)的實(shí)際情況，基于雙中心機(jī)房，采用網(wǎng)絡(luò)虛擬化技術(shù)構(gòu)建網(wǎng)絡(luò)系統(tǒng)，對核心層、匯聚層、接入層等網(wǎng)絡(luò)架構(gòu)進(jìn)行全面的改造后構(gòu)建屬于醫(yī)院的全新的核心網(wǎng)絡(luò)系統(tǒng)。

3.1 核心層

核心層部署如圖2 所示。在現(xiàn)有的機(jī)房和門診樓機(jī)房中，1 臺數(shù)據(jù)交換主核心交換機(jī)、2 臺鏈路互聯(lián)核心交換機(jī)、2 臺物理核心交換機(jī)、1 臺虛擬核心設(shè)備、2 臺服務(wù)器匯聚交換機(jī)、2 臺現(xiàn)有機(jī)房交換機(jī)共同組成了整個醫(yī)院的網(wǎng)絡(luò)虛擬環(huán)境[7]。通過2 臺現(xiàn)有機(jī)房的交換機(jī)可以實(shí)現(xiàn)線纜互聯(lián)，并在虛擬化技術(shù)的支持下形成了一臺邏輯交換機(jī)，使雙機(jī)房之間的邏輯交換機(jī)進(jìn)行結(jié)合形成光纖鏈路，在虛擬化技術(shù)的支持下形成跨中心數(shù)據(jù)的邏輯交換機(jī)，從而實(shí)現(xiàn)高可靠性的服務(wù)器功能。當(dāng)核心層被虛擬化后，交換性能得到了提高，設(shè)備之間的切換時間得以降低，這種切換方式讓業(yè)務(wù)之間能自由切換。通過鏈路聚合協(xié)議使核心交換機(jī)與其他交換機(jī)實(shí)現(xiàn)鏈路冗余，以此來提高網(wǎng)絡(luò)的傳輸速度。核心層虛擬化可以讓虛擬交換機(jī)進(jìn)行VLAN 規(guī)劃，2 個VLAN可以完成數(shù)據(jù)中心服務(wù)器的連接。通過VLAN 網(wǎng)關(guān)，在雙機(jī)房的核心交換機(jī)上布置一臺負(fù)載均衡器，啟動后負(fù)載均衡器會均衡交換機(jī)之間的功能，以此來滿足客戶端對調(diào)度的需要。同時，為了更好地進(jìn)行安全服務(wù)，需要設(shè)置防火墻板卡，形成一個邏輯防火墻，以此來簡化管理，提高整體服務(wù)性能，完成并實(shí)現(xiàn)對應(yīng)用系統(tǒng)的差異化防護(hù)管理。

圖2 核心層部署

3.2 匯聚層

匯聚層部署如圖3 所示。住院部與門診樓均部署一臺匯聚交換機(jī)，該交換機(jī)的功能是連接核心交換機(jī)，通過上行的方式實(shí)現(xiàn)萬兆光纖鏈路的連接，下行則通過千兆光纖鏈路接入交換機(jī)。為了提高上行鏈路的可靠性，該交換機(jī)的上行萬兆端口需要與核心交換機(jī)進(jìn)行對接，在充分考慮門診樓業(yè)務(wù)的同時更好地保證設(shè)備的使用。通過光纖交換機(jī)使2 臺交換機(jī)合并為一臺邏輯交換機(jī)，上行通過萬兆光纖鏈路進(jìn)行互聯(lián)，下行通過千兆光纖鏈路接入交換機(jī)。為了提高鏈路的可靠性與性能，2 臺交換機(jī)的上、下行均需要采用鏈路聚合技術(shù)與核心交換機(jī)實(shí)現(xiàn)高速對接[8]。

圖3 匯聚層部署

3.3 接入層

為了保證各個樓宇之間網(wǎng)關(guān)交換機(jī)的信息共享，同時提高交換機(jī)的安全性能，該文將多臺高安全性的接入交換機(jī)作為主要設(shè)備，使各個樓宇之間的醫(yī)療終端可以得到及時信息共享。門診樓的接入交換機(jī)采用雙鏈路捆綁上行的方式進(jìn)行信息接入，其他樓宇則采用單鏈路上行方式。該接入方式的優(yōu)勢是能實(shí)時將門診接入層進(jìn)行有效規(guī)劃與部署，并將單點(diǎn)故障分散在各個住院部。雖然無法完全保證網(wǎng)絡(luò)系統(tǒng)交換機(jī)的冗余性，但能大大改善網(wǎng)絡(luò)結(jié)構(gòu)的復(fù)雜性，在一定程度上達(dá)到了節(jié)約成本的目的。

4 醫(yī)院數(shù)據(jù)中心機(jī)房網(wǎng)絡(luò)安全系統(tǒng)設(shè)計

4.1 規(guī)劃拓?fù)?/h3>

獲取信息時，越復(fù)雜的網(wǎng)絡(luò)環(huán)境越容易受到外界環(huán)境的干擾，個人信息泄露的概率也就越大，因此網(wǎng)絡(luò)的安全系統(tǒng)在整個網(wǎng)絡(luò)系統(tǒng)的設(shè)計中非常重要。具體的網(wǎng)絡(luò)安全系統(tǒng)規(guī)劃拓?fù)浣Y(jié)構(gòu)如圖4 所示[9]。

圖4 網(wǎng)絡(luò)安全系統(tǒng)規(guī)劃拓?fù)浣Y(jié)構(gòu)圖

在整個網(wǎng)絡(luò)安全系統(tǒng)規(guī)劃拓?fù)浣Y(jié)構(gòu)中，防火墻采用板卡式，通過數(shù)據(jù)線與核心交換機(jī)進(jìn)行互聯(lián)，并利用虛擬網(wǎng)絡(luò)虛擬出多個防火墻以作備用。在設(shè)備上通過劃分安全區(qū)域的方式提高安全級別，使不同區(qū)域提高安全性能，并根據(jù)用戶的業(yè)務(wù)需要靈活改變安全設(shè)定范圍，以適應(yīng)網(wǎng)絡(luò)系統(tǒng)的復(fù)雜性，提高網(wǎng)絡(luò)的安全管理水平。板卡式設(shè)計的部署核心主要在數(shù)據(jù)中心的交換機(jī)上，該板卡方式可以通過深入剖析與檢測解決網(wǎng)絡(luò)中存在的病毒，并對其進(jìn)行防御抵抗，以病毒過濾的方式抵制各種外界入侵，保障網(wǎng)絡(luò)的運(yùn)行安全。

安全漏洞掃描系統(tǒng)的優(yōu)勢是可以更好地對醫(yī)院中現(xiàn)有網(wǎng)絡(luò)設(shè)備進(jìn)行安全檢查，并針對安全漏洞提出解決方案。將安全審計設(shè)備部署在數(shù)據(jù)中心旁，通過監(jiān)聽設(shè)施對服務(wù)器的運(yùn)行進(jìn)行監(jiān)控，記錄存在的問題，并與數(shù)據(jù)庫中的信息進(jìn)行整合，保證數(shù)據(jù)庫可以隨時訪問設(shè)備信息，這也是保障服務(wù)器安全運(yùn)行的一種方式。將Web 應(yīng)用防火墻設(shè)置在應(yīng)用服務(wù)器中，以便對數(shù)據(jù)進(jìn)行保護(hù)。在安全防護(hù)過程中，該設(shè)計方式可以隨時對攻擊對象進(jìn)行分析和過濾。防護(hù)完成后會開啟對界面的保護(hù)與檢測，如果頁面被篡改，其會立即給管理員發(fā)送通知，并對外界保持篡改前的界面[10]。

4.2 板卡部署

防火墻的板卡部署通過三層接口連接到數(shù)據(jù)中心，統(tǒng)一集合在匯聚交換機(jī)中，并與多個漏洞的匯聚交換機(jī)進(jìn)行結(jié)合，實(shí)現(xiàn)對醫(yī)院內(nèi)部用戶訪問的控制。并通過IPS 以在線的方式部署在網(wǎng)絡(luò)的關(guān)鍵路徑中，對流經(jīng)該路徑的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行深度分析，精準(zhǔn)識別來自各類網(wǎng)絡(luò)的攻擊。

4.3 漏洞部署

漏洞掃描部署采用遠(yuǎn)程評估的方式和獨(dú)立的運(yùn)行操作模式，可以解決網(wǎng)絡(luò)系統(tǒng)中存在的冗余問題。由于數(shù)據(jù)的冗余會造成數(shù)據(jù)較密集，因此需要解決網(wǎng)絡(luò)拓?fù)鋯栴}。將遠(yuǎn)程安全評估系統(tǒng)與網(wǎng)絡(luò)進(jìn)行連接，正確匹配后才可使用。設(shè)備的工作范圍涵蓋了醫(yī)院的所有網(wǎng)絡(luò)數(shù)據(jù)，用戶可以通過任意IP 登錄系統(tǒng)，并進(jìn)行地址授權(quán)，以此來完成掃描評估任務(wù)。

4.4 安全審計部署

為了保證醫(yī)院的安全審計系統(tǒng)不受外界入侵，該文通過虛擬網(wǎng)絡(luò)為安全審計系統(tǒng)設(shè)計了多種安全策略，不同對象對應(yīng)的審計系統(tǒng)有所差異，因此不同對象需要由不同的安全策略進(jìn)行保護(hù)，因此安全審計需要更智能化。

4.5 防護(hù)系統(tǒng)部署

Web 應(yīng)用防護(hù)系統(tǒng)在設(shè)計中主要分為橫向防護(hù)和縱向防護(hù)2 個防護(hù)方式。橫向防護(hù)的部署以優(yōu)化資源為主，其核心是為了解決網(wǎng)絡(luò)中存在的各種安全問題，應(yīng)用Web應(yīng)用防護(hù)系統(tǒng)可以更好地滿足業(yè)務(wù)需求；縱向防護(hù)的部署是建立在信息流向中的，可以使系統(tǒng)提高防護(hù)技術(shù)，讓系統(tǒng)擁有更多的防護(hù)方案。

5 結(jié)語

在進(jìn)行系統(tǒng)設(shè)計過程中，要保證系統(tǒng)的技術(shù)先進(jìn)性、高可靠性、高性能性、可擴(kuò)展性、可管理性、安全性以及經(jīng)濟(jì)性，系統(tǒng)的穩(wěn)定運(yùn)行是整個應(yīng)用系統(tǒng)運(yùn)行的關(guān)鍵，不僅可以有效維護(hù)網(wǎng)絡(luò)的高帶寬和設(shè)備的高處理能力，同時還維護(hù)了應(yīng)用系統(tǒng)對各類信息的高質(zhì)量傳輸能力與處理能力。且隨著網(wǎng)絡(luò)和計算機(jī)技術(shù)的快速發(fā)展，社會醫(yī)療的深入改革使醫(yī)院的信息系統(tǒng)得到了不斷完善，醫(yī)院的網(wǎng)絡(luò)系統(tǒng)工作性能成了醫(yī)院管理的關(guān)鍵。因此，建立更好的醫(yī)院網(wǎng)絡(luò)系統(tǒng)，可使醫(yī)院在管理、科研等領(lǐng)域均得到更好的發(fā)展。