基于VPN的移動(dòng)產(chǎn)檢車安全網(wǎng)絡(luò)構(gòu)建

金忠林 江西省婦幼保健院 南昌市 330006

0 引言

為順應(yīng)國(guó)家全面兩孩政策的實(shí)施，進(jìn)一步提高婦幼保健服務(wù)能力，滿足群眾多層次醫(yī)療服務(wù)需求，我院創(chuàng)新推出了“移動(dòng)產(chǎn)檢”服務(wù)項(xiàng)目。“移動(dòng)產(chǎn)檢”是在一輛移動(dòng)產(chǎn)檢車上配備超聲診斷、胎心監(jiān)測(cè)、心電圖、骨密度檢測(cè)等產(chǎn)檢設(shè)備，配備產(chǎn)科醫(yī)護(hù)人員按需開(kāi)展上門產(chǎn)檢服務(wù)。

“移動(dòng)產(chǎn)檢”項(xiàng)目是我院產(chǎn)科門診服務(wù)的延伸，業(yè)務(wù)流程和信息流程必須與院內(nèi)流程一致，移動(dòng)產(chǎn)檢車上信息網(wǎng)絡(luò)的安全接入項(xiàng)目實(shí)施的技術(shù)前提。

1 “移動(dòng)產(chǎn)檢”的業(yè)務(wù)需求分析

“移動(dòng)產(chǎn)檢”車即是一輛車載工作站，涵蓋門診醫(yī)生站、超聲診斷工作站、治療工作站等，主要開(kāi)展門診診療、檢驗(yàn)采血、B超診斷、骨密度測(cè)定、心電圖檢查等診療業(yè)務(wù)。“移動(dòng)產(chǎn)檢”項(xiàng)目的業(yè)務(wù)流程主要分為繳費(fèi)流程和診療流程，門診繳費(fèi)流程通過(guò)醫(yī)院微信公眾號(hào)進(jìn)行預(yù)約、掛號(hào)和繳費(fèi)，與院內(nèi)流程保持一致，如圖1；診療流程通過(guò)移動(dòng)網(wǎng)絡(luò)接入醫(yī)院內(nèi)網(wǎng)，利用車載各類工作站操作與院內(nèi)流程保持一致如圖2。

2 網(wǎng)絡(luò)安全接入

2.1 網(wǎng)絡(luò)接入模式

圖1 “移動(dòng)產(chǎn)檢”掛號(hào)繳費(fèi)流程

圖2 移動(dòng)產(chǎn)檢車診療流程

“移動(dòng)產(chǎn)檢”車采用4G移動(dòng)網(wǎng)絡(luò)+VPN的方式接入醫(yī)院業(yè)務(wù)內(nèi)網(wǎng)，4G通信標(biāo)準(zhǔn)指的是第四代移動(dòng)通信技術(shù)，它是寬帶（broadband）接入和分布式的網(wǎng)絡(luò)，具有 100 Mbps 的下載速度，20 Mbps 的上傳速度。不僅可對(duì)全速移動(dòng)用戶提供高質(zhì)量影像服務(wù)，實(shí)現(xiàn)三維圖像的高質(zhì)量傳輸，還能提供通信信息之外的定位定時(shí)、數(shù)據(jù)采集、遠(yuǎn)程醫(yī)療等綜合功能[1]。VPN(Virtual Private Network),即虛擬專用網(wǎng). 它是在Internet 網(wǎng)絡(luò)中建立一條虛擬的專用通道,讓兩個(gè)遠(yuǎn)距離的網(wǎng)絡(luò)客戶能在一個(gè)專用的網(wǎng)絡(luò)通道中相互傳遞數(shù)據(jù)信息[2]。VPN設(shè)備與醫(yī)院業(yè)務(wù)內(nèi)網(wǎng)的業(yè)務(wù)連接通過(guò)網(wǎng)閘隔離。

圖3 網(wǎng)絡(luò)拓?fù)鋱D

2.2 CAB應(yīng)用安全發(fā)布

利用VPN的CAB應(yīng)用安全發(fā)布功能，在醫(yī)院內(nèi)網(wǎng)段部署一臺(tái)HIS工作站應(yīng)用服務(wù)器，安裝門診醫(yī)生工作站、門診一卡通工作站和檢驗(yàn)條碼打印工作站、治療工作站等應(yīng)用程序，在外網(wǎng)區(qū)域配置VPN，兩者通過(guò)網(wǎng)閘進(jìn)行控制訪問(wèn)，這樣遠(yuǎn)程用戶不用裝HIS的客戶端軟件，直接可以用瀏覽器通過(guò)VPN調(diào)用的形式去訪問(wèn)HIS服務(wù)器。此方案保證了以下三點(diǎn)安全特性：

◎ 使用VPN用戶端無(wú)法直接向前置服務(wù)器傳送數(shù)據(jù)，（CAB遠(yuǎn)程發(fā)布可以控制VPN客戶端能否上傳下載文件等數(shù)據(jù)），以保證前置服務(wù)器不被外來(lái)惡意破壞。

◎ 采用不同的用戶配置不同的應(yīng)用程序，而一個(gè)VPN客戶端同時(shí)開(kāi)放多個(gè)CAB遠(yuǎn)程用戶可以達(dá)到根據(jù)醫(yī)生不同級(jí)別不同權(quán)限的控制（如A醫(yī)生可使用HIS、LIS、EMR；B生只能使用HIS）。并可以做到在醫(yī)生點(diǎn)擊退出HIS系統(tǒng)時(shí)，自動(dòng)斷開(kāi)遠(yuǎn)程連接（保證了授權(quán)程序可用，但無(wú)法通過(guò)退出應(yīng)用程序來(lái)非法使用別的程序）。

◎ 所有VPN用戶可以隨時(shí)調(diào)業(yè)務(wù)系統(tǒng)使用權(quán)限，不會(huì)造成每調(diào)整一個(gè)VPN權(quán)限必須多次操作，或是復(fù)雜操作，只需要通過(guò)管理界面將對(duì)應(yīng)的發(fā)布信息刪除即可。達(dá)到使用簡(jiǎn)單、維護(hù)方便。

2.3 單點(diǎn)登錄與主機(jī)防護(hù)

利用VPN的單點(diǎn)登錄服務(wù)，對(duì)一個(gè)內(nèi)部網(wǎng)絡(luò)用戶進(jìn)行集中式應(yīng)用的權(quán)限分發(fā)和管理(即統(tǒng)一的身份認(rèn)證和訪問(wèn)控制)，將不同應(yīng)用的不同身份認(rèn)證方式，不同的訪問(wèn)權(quán)限，進(jìn)行一個(gè)有效的整合，方便了用戶的使用，簡(jiǎn)化了多次的登陸過(guò)程和網(wǎng)絡(luò)管理員在權(quán)限管理上的復(fù)雜性。我院將不同用戶的配置不同的CBA應(yīng)用權(quán)限，通過(guò)權(quán)限配置讓移動(dòng)用戶在任何工作站都有相同的工作界面和應(yīng)用程序桌面。同時(shí)采用Ukey的方式對(duì)接入VPN的工作站電腦進(jìn)行準(zhǔn)入控制。

圖4 單點(diǎn)登錄

3 實(shí)施效果

通過(guò)4G移動(dòng)網(wǎng)絡(luò)的VPN組網(wǎng)，使“移動(dòng)產(chǎn)檢”車載工作站安全有效接入醫(yī)院業(yè)務(wù)內(nèi)網(wǎng)，移動(dòng)產(chǎn)檢的業(yè)務(wù)流和數(shù)據(jù)流與院內(nèi)信息系統(tǒng)保持同步，保障了移動(dòng)產(chǎn)檢業(yè)務(wù)的正常運(yùn)行。截止目前，我院移動(dòng)產(chǎn)檢車工開(kāi)展了50余例的上面產(chǎn)檢服務(wù)。