网闸助力医院内外网联通的应用

浙江大学医学院附属第一医院信息中心，浙江 杭州 310003

网闸助力医院内外网联通的应用

陈磊，陈灿达，樊迪

浙江大学医学院附属第一医院信息中心，浙江 杭州 310003

基于安全的内外网互联，随着网闸技术的发展和成熟，使得网闸技术得以实现。本文介绍了网闸技术及在我院的部署，并着重介绍了它在医院网络环境下的实际应用。

网闸；网络安全；内外网联通；医院信息系统

0 前言

我国医疗机构的网络架构，根据国家保密局发布实施《计算机信息系统国际联网保密管理规定》，基本都遵循内部和外部两套独立网络运行，并相互隔离。而随着新医改方案的推进，要求电子健康档案、区域医疗、社会医疗保险、双向转诊、远程医疗等应用都趋向于信息共享化，网络化。内外网独立运行架构虽然能保证病人的隐私及医院医疗数据的安全，但限制了区域化的发展；互联互通符合发展的需要，却随时受到安全的威胁。随着网闸技术的不断发展和日渐成熟，使这样的两难问题得以解决。

1 安全隔离网闸的技术原理和特点

1.1 网闸的基本原理

网闸又称网络安全隔离与信息交换系统，是模拟人工在两个隔离网络之间的信息交换，中断两个网络间的所有通信协议连接，包括TCP／lP、IPX／SPX、NetBEUI等，使之不能直接进行网络协议通信。将网络数据包的协议剥离，还原为原始数据，对原始数据内容进行安全检测，即实现“协议落地、内容检测”。再将确认安全的数据“摆渡”到网络的另一侧。这样，由于任何时候两个网络间都没有网络协议连接，就阻断了基于网络协议的木马、病毒等的攻击。而对隐藏在原始数据中的病毒，则通过代码扫描予以检测清除。确保受保护的网络对各种潜在的网络攻击具有免疫力，消除来自另一个网络的各种威胁和风险。网闸一般由外部主机、内部主机和专用隔离开关系统组成，外部主机连接外网，内部主机连接内网，专用隔离开关系统在任一时刻点仅连接外部主机或内部主机，与两者间的连接受硬件电路的控制高速切换，保证在任一时刻仅连通外网或内网[1]。

安全隔离网闸主要是用以解决内外网之间的数据交换问题，因此具有以下特点[2-3]：

（1）它对交互的文件信息采用内容过滤、命令过滤、基于URL的路径和文件名控制、文件类型控制和文件格式深度检查等较高要求的信息保密检查技术。

（2）防止外部网络向内部网络的黑客攻击和计算机病毒侵扰，其中包括对未知的攻击和病毒的防范和查杀。

（3）身份认证也是安全隔离网闸所具备的关键技术，强化用户的身份确认、防抵赖和具有强调的审计和取证功能。在特殊情况下，应该加强身份认证的强度，采用一次一认证，甚至是图形认证机制。

（4）它能够解决外部网络和内部网络之间的大流量数据交换问题，在确保安全的前提下，尽可能提高效率，稳定运行，加强可操作性。

2 安全隔离网闸技术在医院的部署设计方案

2.1 医院情况介绍

我院（原浙江省第一医院）系三级甲等综合性医院，是浙江省医疗、教学、科研指导中心之一。近年来，医院积极探索公立医院改革之路借助主持的“十一五”重大科技攻关项目——“国家数字卫生关键技术和区域示范应用研究”，构建“省、县（区）、乡三级医疗服务网络”，成功使优质医疗资源垂直延伸到基层。目前，医院已拥有1家托管医院、3家合作医院、89家协作医院及网络服务单位、1家对口基层医院，提供了上万次的远程会诊服务。

为了使钢筋外观满足相关质量规范要求，就应该对钢筋进场前进行相关质量检查，确保钢筋外观质符合相关规定。因此，对于钢筋的选材，应该选择较为平直形态的，并且钢筋表面没有丝毫损伤，不会有裂痕，表面没有附着杂质[2]。若是弯曲状态的钢筋被敲直后则不能在进行使用。钢筋的质量于混凝土的稳定有着巨大的作用，唯有保证钢筋质量满足国家相关技术标准，才能保证建筑工程中混凝土的稳定性。针对此观点，就应该对钢筋采取全面的质量监控工作，选择有质量检验合格报告的钢筋，进入施工现场后再进行相应的抽查工作。

医院的网络架构为内外网2套相互独立的网络。内网是医院的生产网，用于运行医院的核心应用医院信息系统（HIS）、影像存储与通讯系统（PACS）、实验室信息系统（LIS）、财务应用等，并通过防火墙VPN与各个医保连接；外网也通过防火墙同时接入浙大校园网和电信网，主要用于远程医疗、浙大OA办公系统应用、医院门户网站，为设在我院的传染病诊治国家重点实验室、卫生部多器官联合移植研究重点实验室、国家中医药科研三级实验室（分子生物学、肾病、血液）等国家级实验室及浙江省的40余个重点实验室提供资料文献的查询；为期刊中心的4家国家级杂志社提供工作便利；同时为医院普通职工、VIP病人提供上网服务。

2.2 网闸产品的设计部署

在经过多方考察及参照相等规模单位的成功案例，多轮模拟网络环境测试和局部实地网络测试后，我院最终采用了各项功能和性能均符合我院情况及未来业务扩展需要的联想网御leadsec NETGAPSIS产品。并同时配置了内外网前置机。医院网闸放置架构图，见图1。

图1 医院网闸放置架构图

我院内网划分有多个VLAN，通过三层交换实现VLAN间的路由，服务器所处网段为192.168.1.254/24；医院外网，也划分有多个VLAN，通过三层交换实现VLAN间的路由，核心网络设备所处网段为10.31.29.1/27。网闸就设在内外网核心交换机之间，网闸连接内网的端口地址为192.168.102.202/24，连接外网的端口地址为10.31.29.5/27。内网前置机的地址为：192.168.1.60/24，外网前置机的地址为：10.31.29.53/27。

在没有配置网闸的情况下，两个网络的应用是不可以相互访问的，在配置了网闸之后，双方的应用也还是不能进行通信，只有在内外网前置机上针对相对应的应用建立其特定的通道，内外网的有针对性的应用才能得以通信。

网闸内网口和外网口，除了可以分别设置一个主地址外，还可以设置多个从地址，来满足多个外网对内网访问数据的要求。

3 在医疗领域通过网闸技术实现的各类应用

网闸产品的成功放置，助力了医院的各项应用，使以前受限的诸多应用，在经过有针对性的二次程序开发后，高效地实现医院内外网间的数据交互，为患者提供了方便。

3.1 区域医疗双向转诊

区域医疗又称为区域医疗协同，双向转诊的目的是使大医院更多地承担重要、疑难疾病的诊断和治疗，新医学技术的研究及临床应用；而社区医院主要承担健康教育、预防、保健、康复、计划生育以及常见病、多发病、慢性病治疗工作[4]。连同诊疗记录等电子病历及电子健康档案一起在网上传递的“上传下送”不仅可以使“医疗资源合理利用”，还能使医疗的连续性得到有效保证，同时又能减少不必要的重复检查检验；完全可以不做任何额外投资，就能非常经济、方便地解决由于基层医疗水平低而导致大医院拥挤、小医院冷清的问题。

双向转诊必须在内外网前置机上分别进行配置，建立通讯的通道。首先选择映射模式，数据库类型选用oracle，目标地址为内网HIS中服务器地址192.168.1.100端口为1521。入口设备为外网前置机地址，出口设备为前置机地址。这样内外网双向转诊程序就可以对分别设置在内外网前置机上的文件夹里的数据进行操作。外网前置机上存放的是下面社区医院转上来病人的相关资料数据，而内网前置机上的相关目录存放的则是在我院治疗的病人，经过前期的治疗，需要转到下面社区医院进行康复治疗的病人的相关资料。

3.2 网上预约挂号

出于网络安全因素的考虑，以前医院不愿把HIS数据库服务器直接或间接与互联网连接。需要相关人员通过U盘等移动媒介在内外网间拷贝数据，以手工修改专家出诊排班表和接收网上预约挂号人员信息，工作效率极其低下。而基于网闸的网络预约挂号系统，彻底改变了这种局面，提高了工作效率[5-6]。

通过网闸的网上预约工作原理如下：医院每天的出诊排班表通过网闸同步到外网门户网站服务器；预约挂号患者的信息通过网闸同步到内网HIS；挂号收费窗口仅需从HIS中取出挂号患者身份并进行确认即可完成预约挂号的全过程。此过程无需考虑移动媒介带来病毒等问题，整个系统与电话预约及现场挂号等形式无缝衔接，大大提高了工作效率。

3.3 门户网站上检验结果查询

门户网站提供检验结果的查询。之前类似于网上预约挂号，需要相关工作人员每天一次通过U盘等移动媒介在内外网间拷贝数据，以手工修改检验结果表。病人要等手工拷贝完毕之后才能查询；同时，工作人员必须把数据库中整张检验结果表（也就是所有就诊病人的检验结果数据）放到外网门户网站上。这样做万一门户网站受到攻击，则患者的隐私就被侵犯。网闸很好地解决了这个问题。

流程如下：病人在门户网站上发出查询自己检验结果的请求，门户网站的检验结果查询模块通过数据库查询语句，向外网前置机上的相应程序发出请求。该程序根据病人ID号（身份证号）通过网闸向内网前置机发出相关请求。内网前置机的程序通过数据库语句查询，把结果通过网闸同步到外网前置机，外网门户网站程序则向外网前置机取数据把结果反馈给患者。这种针对网闸流程的改变，提高了工作效率，保护了病人隐私，方便了患者能第一时间查询检验结果，避免贻误最佳治疗时机。

3.4 感染疾病数据上报

根据卫生部的规定，一些具有传染性的特殊疾病，必须在第一时间上报卫生部，以便国家相关部门能及时了解并采取措施。没有网闸之前，医院感染科也是以手工的方式进行上报，一来并不及时，二来增加了院感科的工作量。通过网闸，把相关疾病信息自动摆渡到外网前置机，通过程序，向国家卫生部网站进行报备。这一过程只是内网向外网的数据流，而外网并未向内网传输数据。这一流程在给院感科带来方便的同时也提高了工作效率。

3.5 医院OA信息发布

我院的OA系统是建立在内网上的，而医院的门户网站则是在外网。内网的很多重要信息发布，在没有网闸之前，都是手工拷贝到外网，进行重新发布。有了网闸之后，有选择性的进行同步，把可以发布的信息发到门户网站。

基于网闸的内外网隔离各种应用方案既能保证内外网的安全隔离，又能实现实时、高速、安全的数据交换。网闸应用一年多，我院外网经常受到病毒和木马的攻击，导致网络出现短时部分网段时断时续等不稳定现象，但内网核心业务系统始终保持连续安全运转，很好地满足了医院业务对网络安全的要求，不但扩展了医院信息化的建设，也为医院内部基本的生产和正常运行提供了有力的保障。

网闸技术和产品在医疗领域的引入，是一场医疗信息化的革命[7]。它为公立医院的改革——区域化医疗提供了一扇有效的解决之门。为医疗信息化的外展提供了广阔的应用前景。

[1] 苗元青,辛海燕,徐浩．网闸在医院网络安全管理中的应用[J]．中国数字医学,2009,4(9):67-68．

[2] 胡建理,李小华,周斌．一种基于安全隔离网闸技术的医院内部网安全解决方案[J]．医疗卫生装备,2010,31(7):44-45,5．

[3] 张骁,李红信．信息安全建设中的隔离网闸技术应用研究[J]．山西师范大学学报(自然科学版),2010,(2):43-47．

[4] 李秋甸,李初民,李军．医院区域医疗接口的网络安全设计与实现[J]．重庆医学,2011,40(35):3576-3577．

[5] 李翔,唐慧．网上预约挂号系统的安全设计与实现[J]．中国医疗设备,2011,26(6):43-44．

[6] 王洪强,詹永丰,张蔚,等,基于网闸实现物理隔离的网上预约挂号系统[J]．中国数字医学,2010,11(20):71-72．

[7] 林达峻,任忠敏,干峰,等．隔离网闸在医疗行业中的应用[J]．医学信息(上旬刊),2010,(9):3284-3286．

GAP Helps the Connection of Internal and External Networks in the Hospital

CHEN Lei, CHEN Can-da, FAN Di
Center of Information, the First Affiliated Hospital of Zhejiang University, Hangzhou Zhejiang 310003, China

As GAP (Gatekeeper Technology) was developed into a mature technology, its application onto connection between the internal and the external networks came into reality. In view of this, this paper gave a practical demonstration of the deployment and utilization of GAP in the First Affiliated Hospital of Zhejiang University.

gatekeeper technology; network security; connection of internal and external networks; hospital information system

TP393.08；R197.324

C

10.3969/j.issn.1674-1633.2013.08.036

1674-1633(2013)08-0095-03

2013-01-10

作者邮箱：smile_chenl@163．com