網閘助力醫院內外網聯通的應用

浙江大學醫學院附屬第一醫院信息中心，浙江 杭州 310003

網閘助力醫院內外網聯通的應用

陳磊，陳燦達，樊迪

浙江大學醫學院附屬第一醫院信息中心，浙江 杭州 310003

基于安全的內外網互聯，隨著網閘技術的發展和成熟，使得網閘技術得以實現。本文介紹了網閘技術及在我院的部署，并著重介紹了它在醫院網絡環境下的實際應用。

網閘；網絡安全；內外網聯通；醫院信息系統

0 前言

我國醫療機構的網絡架構，根據國家保密局發布實施《計算機信息系統國際聯網保密管理規定》，基本都遵循內部和外部兩套獨立網絡運行，并相互隔離。而隨著新醫改方案的推進，要求電子健康檔案、區域醫療、社會醫療保險、雙向轉診、遠程醫療等應用都趨向于信息共享化，網絡化。內外網獨立運行架構雖然能保證病人的隱私及醫院醫療數據的安全，但限制了區域化的發展；互聯互通符合發展的需要，卻隨時受到安全的威脅。隨著網閘技術的不斷發展和日漸成熟，使這樣的兩難問題得以解決。

1 安全隔離網閘的技術原理和特點

1.1 網閘的基本原理

網閘又稱網絡安全隔離與信息交換系統，是模擬人工在兩個隔離網絡之間的信息交換，中斷兩個網絡間的所有通信協議連接，包括TCP／lP、IPX／SPX、NetBEUI等，使之不能直接進行網絡協議通信。將網絡數據包的協議剝離，還原為原始數據，對原始數據內容進行安全檢測，即實現“協議落地、內容檢測”。再將確認安全的數據“擺渡”到網絡的另一側。這樣，由于任何時候兩個網絡間都沒有網絡協議連接，就阻斷了基于網絡協議的木馬、病毒等的攻擊。而對隱藏在原始數據中的病毒，則通過代碼掃描予以檢測清除。確保受保護的網絡對各種潛在的網絡攻擊具有免疫力，消除來自另一個網絡的各種威脅和風險。網閘一般由外部主機、內部主機和專用隔離開關系統組成，外部主機連接外網，內部主機連接內網，專用隔離開關系統在任一時刻點僅連接外部主機或內部主機，與兩者間的連接受硬件電路的控制高速切換，保證在任一時刻僅連通外網或內網[1]。

安全隔離網閘主要是用以解決內外網之間的數據交換問題，因此具有以下特點[2-3]：

（1）它對交互的文件信息采用內容過濾、命令過濾、基于URL的路徑和文件名控制、文件類型控制和文件格式深度檢查等較高要求的信息保密檢查技術。

（2）防止外部網絡向內部網絡的黑客攻擊和計算機病毒侵擾，其中包括對未知的攻擊和病毒的防范和查殺。

（3）身份認證也是安全隔離網閘所具備的關鍵技術，強化用戶的身份確認、防抵賴和具有強調的審計和取證功能。在特殊情況下，應該加強身份認證的強度，采用一次一認證，甚至是圖形認證機制。

（4）它能夠解決外部網絡和內部網絡之間的大流量數據交換問題，在確保安全的前提下，盡可能提高效率，穩定運行，加強可操作性。

2 安全隔離網閘技術在醫院的部署設計方案

2.1 醫院情況介紹

我院（原浙江省第一醫院）系三級甲等綜合性醫院，是浙江省醫療、教學、科研指導中心之一。近年來，醫院積極探索公立醫院改革之路借助主持的“十一五”重大科技攻關項目——“國家數字衛生關鍵技術和區域示范應用研究”，構建“省、縣（區）、鄉三級醫療服務網絡”，成功使優質醫療資源垂直延伸到基層。目前，醫院已擁有1家托管醫院、3家合作醫院、89家協作醫院及網絡服務單位、1家對口基層醫院，提供了上萬次的遠程會診服務。

為了使鋼筋外觀滿足相關質量規范要求，就應該對鋼筋進場前進行相關質量檢查，確保鋼筋外觀質符合相關規定。因此，對于鋼筋的選材，應該選擇較為平直形態的，并且鋼筋表面沒有絲毫損傷，不會有裂痕，表面沒有附著雜質[2]。若是彎曲狀態的鋼筋被敲直后則不能在進行使用。鋼筋的質量于混凝土的穩定有著巨大的作用，唯有保證鋼筋質量滿足國家相關技術標準，才能保證建筑工程中混凝土的穩定性。針對此觀點，就應該對鋼筋采取全面的質量監控工作，選擇有質量檢驗合格報告的鋼筋，進入施工現場后再進行相應的抽查工作。

醫院的網絡架構為內外網2套相互獨立的網絡。內網是醫院的生產網，用于運行醫院的核心應用醫院信息系統（HIS）、影像存儲與通訊系統（PACS）、實驗室信息系統（LIS）、財務應用等，并通過防火墻VPN與各個醫保連接；外網也通過防火墻同時接入浙大校園網和電信網，主要用于遠程醫療、浙大OA辦公系統應用、醫院門戶網站，為設在我院的傳染病診治國家重點實驗室、衛生部多器官聯合移植研究重點實驗室、國家中醫藥科研三級實驗室（分子生物學、腎病、血液）等國家級實驗室及浙江省的40余個重點實驗室提供資料文獻的查詢；為期刊中心的4家國家級雜志社提供工作便利；同時為醫院普通職工、VIP病人提供上網服務。

2.2 網閘產品的設計部署

在經過多方考察及參照相等規模單位的成功案例，多輪模擬網絡環境測試和局部實地網絡測試后，我院最終采用了各項功能和性能均符合我院情況及未來業務擴展需要的聯想網御leadsec NETGAPSIS產品。并同時配置了內外網前置機。醫院網閘放置架構圖，見圖1。

圖1 醫院網閘放置架構圖

我院內網劃分有多個VLAN，通過三層交換實現VLAN間的路由，服務器所處網段為192.168.1.254/24；醫院外網，也劃分有多個VLAN，通過三層交換實現VLAN間的路由，核心網絡設備所處網段為10.31.29.1/27。網閘就設在內外網核心交換機之間，網閘連接內網的端口地址為192.168.102.202/24，連接外網的端口地址為10.31.29.5/27。內網前置機的地址為：192.168.1.60/24，外網前置機的地址為：10.31.29.53/27。

在沒有配置網閘的情況下，兩個網絡的應用是不可以相互訪問的，在配置了網閘之后，雙方的應用也還是不能進行通信，只有在內外網前置機上針對相對應的應用建立其特定的通道，內外網的有針對性的應用才能得以通信。

網閘內網口和外網口，除了可以分別設置一個主地址外，還可以設置多個從地址，來滿足多個外網對內網訪問數據的要求。

3 在醫療領域通過網閘技術實現的各類應用

網閘產品的成功放置，助力了醫院的各項應用，使以前受限的諸多應用，在經過有針對性的二次程序開發后，高效地實現醫院內外網間的數據交互，為患者提供了方便。

3.1 區域醫療雙向轉診

區域醫療又稱為區域醫療協同，雙向轉診的目的是使大醫院更多地承擔重要、疑難疾病的診斷和治療，新醫學技術的研究及臨床應用；而社區醫院主要承擔健康教育、預防、保健、康復、計劃生育以及常見病、多發病、慢性病治療工作[4]。連同診療記錄等電子病歷及電子健康檔案一起在網上傳遞的“上傳下送”不僅可以使“醫療資源合理利用”，還能使醫療的連續性得到有效保證，同時又能減少不必要的重復檢查檢驗；完全可以不做任何額外投資，就能非常經濟、方便地解決由于基層醫療水平低而導致大醫院擁擠、小醫院冷清的問題。

雙向轉診必須在內外網前置機上分別進行配置，建立通訊的通道。首先選擇映射模式，數據庫類型選用oracle，目標地址為內網HIS中服務器地址192.168.1.100端口為1521。入口設備為外網前置機地址，出口設備為前置機地址。這樣內外網雙向轉診程序就可以對分別設置在內外網前置機上的文件夾里的數據進行操作。外網前置機上存放的是下面社區醫院轉上來病人的相關資料數據，而內網前置機上的相關目錄存放的則是在我院治療的病人，經過前期的治療，需要轉到下面社區醫院進行康復治療的病人的相關資料。

3.2 網上預約掛號

出于網絡安全因素的考慮，以前醫院不愿把HIS數據庫服務器直接或間接與互聯網連接。需要相關人員通過U盤等移動媒介在內外網間拷貝數據，以手工修改專家出診排班表和接收網上預約掛號人員信息，工作效率極其低下。而基于網閘的網絡預約掛號系統，徹底改變了這種局面，提高了工作效率[5-6]。

通過網閘的網上預約工作原理如下：醫院每天的出診排班表通過網閘同步到外網門戶網站服務器；預約掛號患者的信息通過網閘同步到內網HIS；掛號收費窗口僅需從HIS中取出掛號患者身份并進行確認即可完成預約掛號的全過程。此過程無需考慮移動媒介帶來病毒等問題，整個系統與電話預約及現場掛號等形式無縫銜接，大大提高了工作效率。

3.3 門戶網站上檢驗結果查詢

門戶網站提供檢驗結果的查詢。之前類似于網上預約掛號，需要相關工作人員每天一次通過U盤等移動媒介在內外網間拷貝數據，以手工修改檢驗結果表。病人要等手工拷貝完畢之后才能查詢；同時，工作人員必須把數據庫中整張檢驗結果表（也就是所有就診病人的檢驗結果數據）放到外網門戶網站上。這樣做萬一門戶網站受到攻擊，則患者的隱私就被侵犯。網閘很好地解決了這個問題。

流程如下：病人在門戶網站上發出查詢自己檢驗結果的請求，門戶網站的檢驗結果查詢模塊通過數據庫查詢語句，向外網前置機上的相應程序發出請求。該程序根據病人ID號（身份證號）通過網閘向內網前置機發出相關請求。內網前置機的程序通過數據庫語句查詢，把結果通過網閘同步到外網前置機，外網門戶網站程序則向外網前置機取數據把結果反饋給患者。這種針對網閘流程的改變，提高了工作效率，保護了病人隱私，方便了患者能第一時間查詢檢驗結果，避免貽誤最佳治療時機。

3.4 感染疾病數據上報

根據衛生部的規定，一些具有傳染性的特殊疾病，必須在第一時間上報衛生部，以便國家相關部門能及時了解并采取措施。沒有網閘之前，醫院感染科也是以手工的方式進行上報，一來并不及時，二來增加了院感科的工作量。通過網閘，把相關疾病信息自動擺渡到外網前置機，通過程序，向國家衛生部網站進行報備。這一過程只是內網向外網的數據流，而外網并未向內網傳輸數據。這一流程在給院感科帶來方便的同時也提高了工作效率。

3.5 醫院OA信息發布

我院的OA系統是建立在內網上的，而醫院的門戶網站則是在外網。內網的很多重要信息發布，在沒有網閘之前，都是手工拷貝到外網，進行重新發布。有了網閘之后，有選擇性的進行同步，把可以發布的信息發到門戶網站。

基于網閘的內外網隔離各種應用方案既能保證內外網的安全隔離，又能實現實時、高速、安全的數據交換。網閘應用一年多，我院外網經常受到病毒和木馬的攻擊，導致網絡出現短時部分網段時斷時續等不穩定現象，但內網核心業務系統始終保持連續安全運轉，很好地滿足了醫院業務對網絡安全的要求，不但擴展了醫院信息化的建設，也為醫院內部基本的生產和正常運行提供了有力的保障。

網閘技術和產品在醫療領域的引入，是一場醫療信息化的革命[7]。它為公立醫院的改革——區域化醫療提供了一扇有效的解決之門。為醫療信息化的外展提供了廣闊的應用前景。

[1] 苗元青,辛海燕,徐浩．網閘在醫院網絡安全管理中的應用[J]．中國數字醫學,2009,4(9):67-68．

[2] 胡建理,李小華,周斌．一種基于安全隔離網閘技術的醫院內部網安全解決方案[J]．醫療衛生裝備,2010,31(7):44-45,5．

[3] 張驍,李紅信．信息安全建設中的隔離網閘技術應用研究[J]．山西師范大學學報(自然科學版),2010,(2):43-47．

[4] 李秋甸,李初民,李軍．醫院區域醫療接口的網絡安全設計與實現[J]．重慶醫學,2011,40(35):3576-3577．

[5] 李翔,唐慧．網上預約掛號系統的安全設計與實現[J]．中國醫療設備,2011,26(6):43-44．

[6] 王洪強,詹永豐,張蔚,等,基于網閘實現物理隔離的網上預約掛號系統[J]．中國數字醫學,2010,11(20):71-72．

[7] 林達峻,任忠敏,干峰,等．隔離網閘在醫療行業中的應用[J]．醫學信息(上旬刊),2010,(9):3284-3286．

GAP Helps the Connection of Internal and External Networks in the Hospital

CHEN Lei, CHEN Can-da, FAN Di
Center of Information, the First Affiliated Hospital of Zhejiang University, Hangzhou Zhejiang 310003, China

As GAP (Gatekeeper Technology) was developed into a mature technology, its application onto connection between the internal and the external networks came into reality. In view of this, this paper gave a practical demonstration of the deployment and utilization of GAP in the First Affiliated Hospital of Zhejiang University.

gatekeeper technology; network security; connection of internal and external networks; hospital information system

TP393.08；R197.324

C

10.3969/j.issn.1674-1633.2013.08.036

1674-1633(2013)08-0095-03

2013-01-10

作者郵箱：smile_chenl@163．com