医院无线局域网方案设计及安全性研究

胡素芳，施雅贤，陈 新，陈海鸿

（中国人民解放军第一七四医院 信息科，福建 厦门 361003）

伴随着临床信息化，医院正逐步地实现无纸化、无胶片化和无线化。无线局域网技术的不断成熟和普及，使WLAN在全球医疗行业中的应用已经成为了一种趋势。无线局域网作为医院有线局域网的补充，突破了有线网络的局限性，为以病人为中心和对医疗过程管理的新理念服务，无线局域网与PDA和平板电脑等移动终端相结合，充分发挥医疗信息系统的效能，突出了数字化医院的技术优势[1]。

1 医院无线局域网设计方案

1.1 方案设计原则

医院是一个特定的领域，信息系统承载着患者各种至关重要的数据，结合医院的环境特点和系统要求，我们在无线网络方案设计中应遵循以下原则：

1）可靠性原则

无线传输系统的可靠性是具有实用性的前提。在网络完全覆盖的前提下，医生和护士在使用过程中，不得出现如网络掉线、掉包，覆盖区域内无信号，出现网络未覆盖的死角，网络延迟大，网速不能达到使用要求等网络问题。

2）先进性与实用性相结合的原则

既要保证系统设计的先进性，以让该无线网络几年内保持先进，又要保证系统设计尽可能地使用。因此选用的设备必须是经过实践的成熟产品，同时还要考虑系统的总体成本以及实际的气候、地理条件。

3）灵活扩展原则

为了使现有的系统在将来能够得到充分的利用，现有的投资在将来不被浪费，这就需要系统有充分的、灵活的适应能力和扩展的能力。以便于系统将来的扩容与升级。

4）便于维护原则

这是为系统在使用过程中的实际需要考虑的。系统工程实施结束交付使用以后，应该便于各种日常维护工作，能够方便地进行软件的重新配置、系统的自检与恢复、硬件备品备件的更换和软件系统的升级。

5）安全性原则

安全性一直是网络及系统管理的薄弱环节之一，而医院系统用户对网络安全的要求又相当高，因此安全性原则非常重要。

1.2 遵循标准

现有无线局域网（WLAN）的标准主要有802.11b、802.11a和802.11g 3个标准，其中802.11b协议支持11 M数据带宽，802.11a和802.11g协议支持54 M数据带宽[2]。在实际应用中，802.11b的技术比较成熟，得到了广泛的应用，设备的可靠性高，无线覆盖的范围大。从今后的发展来看，802.11b更容易平滑过渡到802.11g，因此802.11g的使用也越来越广泛。

因为现有的所有PDA都只支持802.11b协议，而且11 M的数据带宽在医院的无线医护工作站应用中已经足够了，所以考虑当前实际的技术现状和今后的发展，笔者选择802.11b/11g混合模式作为医院的无线局域网设计标准[3]。

1.3 具体设计方案

我院无线覆盖目标区域为病房楼3～18层病区，一个病区占用一个楼层，病区结构复杂，房间数量多，需要合理规划天线数量以及放置地点。基于楼层面积和房间数量，采用多个天线输出信号的方式可以把WIDS基站的无线信号均匀覆盖到整个楼层。WIDS基站设备放置于楼层弱电设备间，通过馈线把天线延伸至指定地点。WIDS基站通过以太网口于交换机相连，无线施工前要做好220 V交流电源、以太口信息点、设备安装点防潮防尘等准备工作。

无线网络信号覆盖在整体医疗无线解决方案中占有非常重要地位，除此之外，无线网络的安全接入控制、数据加密和网络管理对一个成功的医疗无线网络来说也是十分必要的。我院无线网络系统主要由以下几个部分组成：

1）WLAN室内信号分布系统 （WIDS，WLAN Indoor Distribution System）2）无线网络控制系统（WNC，Wireless Network Controller）3）无线网络管理系统（WNMS，WirelessNetworkManagement System）

系统结构图如图1所示。

图1 医院无线局域网系统结构图Fig.1 Hospital wireless LAN system structure

WLAN室内信号分布系统 （Wireless Indoor Distribution System），简称WIDS。在实际应用中一般由多路WIDS组成，每路WIDS负责覆盖一个物理或逻辑病区，每路WIDS系统包含一个WIDS基站，若干个WIDS天线、WIDS功分器和耦合器。其中 WIDS基站将一个或多个 IEEE802.11b/g或IEEE802.11a标准无线接入点（AP）的独立信道，经过合路、双向放大等信号处理后，由一个信号输出口输出到WIDS信号分布系统中去，使得一个或多个互不干扰的信道可以独立或协同工作。当工作在多频合路模式下时，整个无线网络都能同时接收到多个互不干扰的独立信道，从而保证系统整体带宽，当其中某个信道出现故障时，无线网络服务不会因此而中断。当移动终端在一路WLAN室内信号分布系统下移动时，会始终与同一个AP保持良好连接，在移动中始终保持高带宽和低时延状态，不存在AP间切换所带来的种种问题。由于WIDS基站输出信号采用非重叠信道，所以没有信道干扰问题。WIDS室内信号分布系统，除WIDS基站外，主要由无源设备组成，它们对运行环境要求不高，耐用、不易出故障。

目标区域通过WIDS设备做无缝无线覆盖。WIDS 1000通过VLAN交换机汇聚，根据BSSID的不同可以分为内网VLAN（如 SSID=Internal）和外网 VLAN（如 SSID=Guest）。 对于内网SSID，WNC作为安全认证服务器，提供WPA或802.11i（WPA2）认证服务，任何用户在未得到无线网络认证通过前都无法接通无线网络，认证通过后，所有数据都得到严格的加密保护，确保数据通讯的安全。我院采用的WNC型号为AC2010M－HA，提供两套互为备份的硬件系统，解决用户数据备份问题，提高了系统的可靠性，保证无线网络不会因为其中一台WNC的硬件故障而受到影响。

WNMS（无线网络管理系统）作为网管服务器实现对WNC和WIDS的集中管理，并能针对网络故障即时发出报警。WNMS可以方便网络管理人员对物理位置分散的WIDS基站进行统一管理，集中监控WLAN的运行状况，统一配置WLAN设备参数，及时发现网络瓶颈和设备故障，系统地优化网络资源，提高无线局域网的运行效率，降低系统维护成本，保障无线局域网的稳定运行。

2 无线局域网安全性方案

信息安全对于医院来说至关重要，由于无线网络的数据都是通过空气传输的，无法屏蔽非法用户接触无线网络介质，所以无线网络的数据加密和用户安全认证是十分重要的。安全措施只凭无线基站的简单MAC地址过滤和静态WEP来保护是不灵活、过时和不安全的，现在国际最新的WLAN安全标准WPA/WPA2提出了全新的安全协议，如EAP－TTLS，PEAP，TKIP，AES 等等，这些安全协议需要无线基站和WLAN网络控制器来共同实现[4]。

WPA方式使得无线网络的安全性很高，使用的是802.1x协议的认证方式，802.1x是一种基于与设备无关的信息 （用户名和口令）的认证方式，能够与已有的RADIUS服务器通信，采用的方式是可扩展的认证协议（Extensible Authentication Protocol，EAP），这使得双向认证成为可能。同时，WEP密钥在认证过程中动态生成，实现每用户、每会话拥有自己的密钥[5]。

这个方案的特点是：

1）无线网络的安全性最高。实现了用户身份识别，动态密钥生成，客户和服务器端相互验证，对数据逐包作验证，预防字典攻击等功能。解决了其他方案存在的安全性漏洞：全局密钥问题、身份假冒、盗用网卡、服务器欺诈、数据包欺骗、字典攻击等。

2）管理更简单。只需要在RADIUS服务器上对用户身份进行管理就可以了。

3）可扩展性强。以后新的WLAN安全标准802.11i是以WPA为基础的，所以可以平滑过渡到新安全标准。

3 结束语

在医院信息系统建设中，无线网络作为有线网络的补充和扩展，使网上的计算机具有可移动性，能够快速方便的解决有线网络不易实现的网络连接问题，能够在性能、安全、抗干扰方面满足医院数据网络传输的需求.从而较好的满足了医院医疗、教学、科研和办公的需要。所以应在医院尽快推广，使之在医院信息化建设方面发挥更大作为[6]。

[1]李文博.无线网络技术在临床信息系统中的应用[J].中国数字医学，2008，3（5）：60-61.LI Wen-bo.Application of wireless technology in clinical information system[J].China Digital Medicine，2008，3 （5）：60-61.

[2]陈金雄，黄丽芬.无线网络技术在医院的全面应用[J].医疗卫生装备，2009，30（2）：52-53.CHEN Jin-xiong，HUANG Li-fen.Applications of wireless network technology in hospital[J].Chinese Medical Equipment Journal，2009，30（2）：52-53.

[3]ChoiJ，Chun J，Lee K，etal.Mobile nurse:hand-held information system for point of nursing care[J].Compute Methods Programs Biomedical，2004，74（3）：245-254.

[4]田利民.无线网络技术及安全研究 [J].科技信息，2009，4（8）：210-211.TIAN Li-min.Wirelessnetwork technology and security research[J].Technology Information， 2009，4（8）：210-211.

[5]赵伟艇，史玉珍.基于802.11i的无线局域网安全加密技术研究[J].计算机工程与设计，2010，31（4）：760-762.ZHAO Wei-ting，SHIYu-zhen.StudyofwirelessLAN security encryption technology based on IEEE802.11i[J].Computer Engineering and Design，2010，31（4）：760-762.

[6]尹建东，郭启勇.基于无线网络拓展现有的医院信息系统[J].中国医疗设备，2008，23（2）：52-54.YIN Jian-dong，GUO Qi-yong.Expand the present hospital information system based on wireless network technology[J].China Medical Equipment，2008，23（2）：52-54.