尉雯雯 趙浩宇

摘要：該文從互聯(lián)網(wǎng)發(fā)展現(xiàn)狀出發(fā)，結(jié)合醫(yī)院自身內(nèi)網(wǎng)建設(shè)特點(diǎn)，利用網(wǎng)閘、VPN、防火墻等網(wǎng)絡(luò)安全設(shè)備和技術(shù)，設(shè)計(jì)了一套內(nèi)外網(wǎng)互聯(lián)的網(wǎng)絡(luò)信息化平臺，該平臺可以實(shí)現(xiàn)醫(yī)院內(nèi)部數(shù)據(jù)與外網(wǎng)的交互，為新時(shí)期下醫(yī)院信息化創(chuàng)新發(fā)展打下堅(jiān)實(shí)基礎(chǔ)。

關(guān)鍵詞：內(nèi)外網(wǎng)互聯(lián)；數(shù)據(jù)交換；平臺設(shè)計(jì)

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-3044（2018）25-0037-02

Design of Network Platform for Hospital Internal and External Network Interconnection

WEI Wen-wen ，ZHAO Hao-yu

（Department of Information， Southwest Hospital， Chongqing 400038， China）

Abstract： In this paper， from the development of the Internet situation， combined with the characteristics of hospital network construction， the use of network， VPN， firewalls and other network security equipment and technology， designed a set of network information platform and network interconnection， the platform can realize the interactive data and Internet within the hospital， a solid foundation for the development of hospital information system innovation under the new period.

Key words： Internal and external； network data exchange； platform design

1 引言

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展和公眾對醫(yī)院信息量需求的增加，為提升醫(yī)療服務(wù)質(zhì)量，優(yōu)化就醫(yī)流程，提升醫(yī)院對外信息化建設(shè)水平，這就要求在保證醫(yī)院數(shù)據(jù)安全的情況下，建立實(shí)現(xiàn)內(nèi)外網(wǎng)數(shù)據(jù)交互與應(yīng)用的網(wǎng)絡(luò)化平臺。通過該平臺的運(yùn)用，對醫(yī)院拓展對外信息化服務(wù)，完善醫(yī)院數(shù)字化建設(shè)起到積極作用。

2 內(nèi)外網(wǎng)互聯(lián)的網(wǎng)絡(luò)化平臺設(shè)計(jì)

2.1關(guān)鍵技術(shù)

1）網(wǎng)閘。網(wǎng)閘技術(shù)來源于人們對內(nèi)網(wǎng)與外網(wǎng)數(shù)據(jù)互通的要求，由于內(nèi)網(wǎng)數(shù)據(jù)有保密的要求，如果外網(wǎng)連通，則面臨來自外網(wǎng)的各種威脅攻擊和信息泄漏，而網(wǎng)閘實(shí)現(xiàn)的是一個(gè)安全的概念，所以網(wǎng)閘又稱網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，是模擬人工在兩個(gè)隔離網(wǎng)絡(luò)之間的信息交換，中斷兩個(gè)網(wǎng)絡(luò)間的所有通信協(xié)議連接，使之不能直接進(jìn)行網(wǎng)絡(luò)協(xié)議通信[1]。

2）VPN。PN（Virtual Private Network， 虛擬專用網(wǎng)絡(luò)），不是真正的專用網(wǎng)絡(luò)，卻能夠?qū)崿F(xiàn)專用網(wǎng)絡(luò)的功能。它通過對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行加密和封裝，在公網(wǎng)上傳輸私有數(shù)據(jù)，同時(shí)保證私有網(wǎng)絡(luò)安全性技術(shù)。它兼?zhèn)淞斯W(wǎng)的便捷、經(jīng)濟(jì)和專用網(wǎng)的安全，實(shí)現(xiàn)了利用公網(wǎng)通過加密等手段來實(shí)現(xiàn)單位組織的“專用網(wǎng)”[2]。

3）防火墻。防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施[3]。

2.2 內(nèi)外網(wǎng)互聯(lián)的網(wǎng)絡(luò)化平臺設(shè)計(jì)

為滿足新時(shí)期下醫(yī)院信息化發(fā)展需要，醫(yī)院內(nèi)部的業(yè)務(wù)網(wǎng)與院外互聯(lián)網(wǎng)必然存在醫(yī)療信息數(shù)據(jù)交互。在醫(yī)院內(nèi)外網(wǎng)互聯(lián)的拓?fù)浣Y(jié)構(gòu)設(shè)計(jì)中，采用基于網(wǎng)閘的網(wǎng)絡(luò)安全數(shù)據(jù)交換平臺，整個(gè)網(wǎng)絡(luò)架構(gòu)由三部分組成，外網(wǎng)區(qū)域的網(wǎng)絡(luò)建設(shè)、中間的網(wǎng)絡(luò)安全交換平臺建設(shè)和醫(yī)院內(nèi)網(wǎng)的網(wǎng)絡(luò)安全建設(shè)。外網(wǎng)網(wǎng)絡(luò)建設(shè)主要由政府和網(wǎng)絡(luò)運(yùn)營商主導(dǎo)建設(shè)，中間的網(wǎng)絡(luò)安全交換平臺則由醫(yī)院信息部門和網(wǎng)絡(luò)安全廠商共同設(shè)計(jì)建設(shè)，內(nèi)網(wǎng)網(wǎng)絡(luò)建設(shè)主要由醫(yī)院信息管理部門主導(dǎo)。整體設(shè)計(jì)的拓?fù)浣Y(jié)構(gòu)如圖1所示。

該網(wǎng)絡(luò)化平臺主要基于網(wǎng)閘與數(shù)據(jù)交換服務(wù)器組成的安全數(shù)據(jù)交換系統(tǒng)構(gòu)成。在核心交換機(jī)前由三級防火墻組成，2級DMZ（隔離區(qū)）域形成網(wǎng)絡(luò)層的重點(diǎn)防護(hù)區(qū)域，同時(shí)配合安全數(shù)據(jù)交換系統(tǒng)和網(wǎng)頁防篡改系統(tǒng)，對門戶網(wǎng)站和數(shù)據(jù)庫應(yīng)用服務(wù)器集群形成有效保護(hù)。網(wǎng)絡(luò)安全交換平臺與醫(yī)院現(xiàn)有數(shù)據(jù)中心內(nèi)部防火墻再次形成DMZ，再利用安全數(shù)據(jù)交換系統(tǒng)和網(wǎng)閘、光閘等單向傳輸控制設(shè)備形成應(yīng)用層信息級單向過濾。當(dāng)外網(wǎng)需要向內(nèi)網(wǎng)傳輸數(shù)據(jù)時(shí)，發(fā)起對隔離網(wǎng)閘的非TCP/IP協(xié)議的數(shù)據(jù)連接，網(wǎng)閘將所有通過網(wǎng)閘的應(yīng)用層信息都從TCP/IP協(xié)議中剝離，還原為裸數(shù)據(jù)并寫入存儲介質(zhì)中。根據(jù)應(yīng)用情況，可以對數(shù)據(jù)進(jìn)行安全性和完整性檢查。數(shù)據(jù)完全寫入存儲介質(zhì)后，網(wǎng)閘立即切斷與外網(wǎng)的連接，轉(zhuǎn)而發(fā)起對內(nèi)網(wǎng)的非TCP/IP協(xié)議的數(shù)據(jù)連接，將數(shù)據(jù)推向內(nèi)網(wǎng)。內(nèi)網(wǎng)收到數(shù)據(jù)后進(jìn)行TCP/IP和應(yīng)用協(xié)議的封裝，并交給應(yīng)用系統(tǒng)。數(shù)據(jù)處理完畢后，中斷與內(nèi)網(wǎng)的連接，網(wǎng)閘恢復(fù)完全隔離狀態(tài)。內(nèi)網(wǎng)向外網(wǎng)傳輸數(shù)據(jù)流程類似[4]。該流程能充分保護(hù)現(xiàn)有醫(yī)院業(yè)務(wù)系統(tǒng)正常運(yùn)行和對外數(shù)據(jù)交互的安全性。

院區(qū)外醫(yī)院合法用戶可以通過營運(yùn)商網(wǎng)絡(luò)與網(wǎng)絡(luò)安全交換平臺建立VPN（虛擬專用網(wǎng)絡(luò)）通道，并通過CA（Certificate Authority）認(rèn)證服務(wù)器證書驗(yàn)證便可遠(yuǎn)程對共享的醫(yī)療信息進(jìn)行相關(guān)工作，既滿足了合作醫(yī)療單位和本院工作人員的業(yè)務(wù)需求，又保障了醫(yī)療數(shù)據(jù)交互的安全性。

醫(yī)院合法用戶在院區(qū)外活動(dòng)時(shí)，可以利用WIFI、3G、4G、有線互聯(lián)網(wǎng)等手段，通過營運(yùn)商網(wǎng)絡(luò)與網(wǎng)絡(luò)安全交換平臺建立VPN（虛擬專用網(wǎng)絡(luò)）通道，并通過CA認(rèn)證服務(wù)器證書驗(yàn)證為我院合法用戶，便可遠(yuǎn)程進(jìn)行醫(yī)療相關(guān)工作，如下醫(yī)囑、進(jìn)入醫(yī)院管理平臺等。

患者也可使用移動(dòng)終端連接互聯(lián)網(wǎng)WIFI，通過防火墻和認(rèn)證短信訪問前置機(jī)，查詢與己相關(guān)的醫(yī)療信息。

內(nèi)網(wǎng)網(wǎng)絡(luò)安全主要由防火墻和入侵檢測系統(tǒng)構(gòu)成，內(nèi)網(wǎng)服務(wù)器只負(fù)責(zé)將部分公開數(shù)據(jù)傳輸給網(wǎng)絡(luò)安全交換平臺的前置服務(wù)器，除了通過CA認(rèn)證服務(wù)器認(rèn)證的合法用戶訪問內(nèi)網(wǎng)外，其余外網(wǎng)地址或用戶對內(nèi)網(wǎng)建立的訪問都將被阻止。內(nèi)網(wǎng)用戶可通過移動(dòng)終端內(nèi)置的TF卡認(rèn)證合法后訪問醫(yī)院數(shù)據(jù)庫數(shù)據(jù)，進(jìn)行醫(yī)療數(shù)據(jù)的讀寫。

3 結(jié)語

通過對醫(yī)院內(nèi)外網(wǎng)互聯(lián)的網(wǎng)絡(luò)化平臺的設(shè)計(jì)與建設(shè)，使醫(yī)院不再是一座信息孤島，而是融入了互聯(lián)網(wǎng)的浩瀚海洋。該平臺不僅能滿足醫(yī)院內(nèi)網(wǎng)的信息系統(tǒng)運(yùn)行和安全，還能夠滿足醫(yī)院內(nèi)外網(wǎng)醫(yī)療數(shù)據(jù)交互，如醫(yī)保數(shù)據(jù)上傳、網(wǎng)上預(yù)約掛號、感染疾病數(shù)據(jù)上報(bào)、患者醫(yī)療信息查詢、遠(yuǎn)程會診、區(qū)域醫(yī)療數(shù)據(jù)共享等應(yīng)用，不僅為醫(yī)護(hù)人員和患者提供了便利，也為醫(yī)院對外拓展信息化工作打下堅(jiān)實(shí)基礎(chǔ)。

參考文獻(xiàn)：

[1] 苗元青，辛海燕，徐浩，等.網(wǎng)閘在醫(yī)院網(wǎng)絡(luò)安全管理中的應(yīng)用[J] 中國數(shù)字醫(yī)學(xué)，2009， 4（9）：67-68.

[2] 馮義，崔柔剛，等.VPN技術(shù)在醫(yī)院網(wǎng)絡(luò)建設(shè)中的應(yīng)用及發(fā)展前景[J].科學(xué)大眾，2010， 5（5）：167-168.

[3] 蔣曉.談?dòng)布阑饓υ卺t(yī)院網(wǎng)絡(luò)系統(tǒng)中的應(yīng)用[J].醫(yī)療裝備，2008， 8（1）：20-21.

[4] 馬毅.論醫(yī)院內(nèi)外網(wǎng)間數(shù)據(jù)交換安全解決方案[J].電子世界，2014， 9（5）：85.

【通聯(lián)編輯：代影】