（二）医院部署WLAN的关注点

u  安全性

无线局域网(WLAN)具有安装便捷、使用灵活、经济节约、易于扩展等有线网络无法比拟的优点，因此无线局域网得到越来越广泛的使用。但是由于无线局域网的传输介质——电磁波具有开放的特点，让许多医院对无线传输下是否会出现数据外泄，或者出现非法用户入侵而感到担心，从而对是否采用无线局域网系统犹豫不决。

u  稳定性

医院尤其是门急诊的正常运营（如挂号，收费等）对网络有很强的依赖性，一旦出现网络中断，无法正常挂号和收费，将会出现大量的排队拥堵，会给医院和患者带来诸多不便。因此稳定性对医院来讲至关重要。

u  干扰性

医院内有许多精密仪器，此外还有患者体内的植入器件，无线设备是否会和这些仪器造成互扰，是医院所关心的问题，这些都是部署无线要考虑的要素。

u  移动性

在医院里，医生和护士都需要随时了解病人的情况，而在医院进行信息化建设的时候，信息终端不能灵活移动使用，将会给医疗工作带来诸多不便。

u  管理性

为了达到信号全面覆盖，无线网络中往往需要部署大量AP，如何对成百上千个AP进行快速有效地配置和管理，融合到原有的管理系统中，也是许多医院在部署无线网络时关心的问题。设备和信息的集中管理可以快速有效地帮助管理人员发现和解决问题，同时也能使各种网络资源的分配更合理。

u  扩展性

在网络建设规划的时候，应该充分考虑到网络的可扩展性，为以后网络信息点的增加留有充足的余地。所有的无线产品和解决方案都要为未来的升级和应用做好准备。 

三、无线应用解决方案

无线应用解决方案采用无线控制器（AC）加无线接入点（AP）的网络集中管理架构，满足各种无线网络覆盖。

（一）方案设计原则

1.1、组网架构选择

建议采用业界最主流的增强管理的分布式无线组网架构，它采用“无线控制器+AP”的方式。的网络集中管理架构采用无线控制器加AP的方式。无线控制器负责无线网络的接入控制、统计、转发，AP的配置监控、负载均衡、漫游管理、网管代理和安全控制等；AP负责各无线终端的接入、传输数据的加密解密、接受无线控制器的策略管理等功能。

分布式组网方式优点：

1）支持二层/三层漫游切换；

2）无线控制器对AP群组自动进行信道分配和选择，自动调整发射功率；

3）非法AP检测和处理机制；

4）有效减小骨干网络的传输压力，提升数据效率。

1.2、系统设计原则

1)        充分考虑无线局域网的安全性，采用先进的WLAN安全技术保障，组建安全可靠的无线局域网；

2)        无线局域网系统要支持故障热备冗余能力，提供多重的故障应急手段，让无线局域网具备突出的稳定性；

3)        充分考虑医疗设备与无线系统之间的干扰性，既要保障医疗设备的可靠运行，又要无线系统高速运转；

4)        采用集中控管的组网方式，集中控制管理所有的AP，使无线局域网提供无缝漫游功能；

5)        采用先进的WLAN网管系统管理局域网，提供可视化网络管理；

6)        无线局域网系统要能方便和灵活地调整与扩充；

7)        充分利用现有网络结构与资源，不单独组网，AP就近接入有线网络（最近的交换机），并且不改变原有网络结构以及交换机配置；

8)        AP的供电可以不单独拉线，采用POE供电的方式；

1.3、设计技术指标

1)      工作频段：我国国家无线电管理委员会分配给 ISM 系统的频带为2.4GHz、5.8GHz本项目室内WLAN接入系统将采用上述频段。

2)      无线覆盖区内可接通率：要求在无线覆盖区内的 95%位置，99%的时间无线网卡可接入网络。

3)      无线覆盖边缘场强：≥ -75dBm。

4)      两个有重叠覆盖区的AP之间能够快速切换；

（三）无线解决方案规划设计

1、总体组网设计

1.1、系统拓扑结构

WLAN系统的网络架构应适应各种规模、分布式组网的需求，在满足单个网点网络接入的同时，支持未来更多网点的接入，方便运维管理、系统升级等。AC等核心网元支持大容量、少节点的设置原则，逐步构筑集中、安全、网络架构。

系统组网架构如下图所示：

本方案按照AP+AC的结构化无线网络解决方案进行设计。整体框架基于瘦AP方式部署，采用AC（无线控制器）对AP进行集中管理、控制、配置下发，以及对接入终端的认证、数据分布式、漫游等功能。在这个架构里，AP只负责无线信号的收发，不作MAC层及其以上的协议层处理，所有的智能工作都由AC完成。无线运营系统为商城顾客提供无线上网的广告推送服务，并对上网时长等信息进行统计。

基于瘦AP+AC架构方案的优势在于：

1)   配置简单：AP零配置、所有的配置集中在无线控制器上完成，简单便捷；

2)   维护方便：管理、维护针对无线控制器来实现，不需要对每一台AP进行操作；

3)   易于升级：针对特性增加带来的软件版本升级需求，只需要对无线控制器进行操作即可，不需要对每一台无线AP单独升级，软件的升级由AP自动完成；

4)   安全可控：可以集中进行射频及功率、信道调整，黑白名单、无线入侵检测、安全访问控制等功能；

5)   扩展性强：根据需要，可以灵活增加补点AP，需要扩容的话，只需要将AP接入网络即可。支持三层漫游，方便扩展支持无线监控、话音应用等业务。

6)   网络性能：高速数据转发，支持快速切换，数据私密性好，天然的MAC层加密隧道；

7)   抗干扰性强：可动态分配信道，并在受干扰时切换到最优信道

在该方案中，应包括如下设备：

n  无线控制器，实现对AP及接入终端的集中式管理。

n  无线接入AP，实现优化、无缝的无线信号覆盖和数据分布式转发。

n  病房区域采用面板AP进行覆盖，信号均匀分布，避免走廊部署方式带来的干扰问题。

n  汇聚交换机，连接所有接入交换机及AC，为数据交换中枢。

病房内设备部署示例

设备部署示例 

2、多业务区分设计

医院网络承载着很多种业务，部分业务关系到医疗活动的正常进行、部分业务影响到办公行政的正常运转，所以必须要根据应用类型进行区分对待。不同的业务使用场景差异明显，根据医院业务运行特点，主要有以下几类使用场景：

1)        输液区；

2)        病房区；

3)        门诊区；

4)        行政、公共区域；

在这些场景中运行的业务差异非常大，门诊输液区、病房区、门诊区的网络属于内部业务网，行政、公共区域会用到互联网和部分内网。从医院的网络管理角度来看，两张网络有着截然不同的特性，内部业务网承载着医院的核心业务，必须要保证极高的安全性和稳定性，互联网用于医院网络宣传、行政办公等业务，要求接入便利，所以必须要区别对待。方案建议使用无线网络的多SSID特性，通过不同的SSID对应不同的业务，例如一个SSID专门用于门诊输液区、病房区，可给医生、护士使用，接入到医院内部业务网，而另一个SSID可给行政办公、实习医生、来访学者、手术示教使用，提供部分内网权限和互联网权限。

在医院的门诊输液区、病房区，无线网络承载在大量的病人敏感信息，方案必须首先考虑无线网络的安全性。在这类区域中需要设置一个SSID，专门用于移动输液、移动护理和移动查房，从让非法用户看不见、联不上、进不来这三方面入手，打造安全的无线网络，保障病人敏感信息的安全。首先，我们通过控制器上的SSID隐藏功能关闭SSID广播，让非法用户无法轻易获取到SSID名称，让非法用户看不见无线网络，这样非法用户就无法进入到无线网络中，非法获取网络中的数据就无从谈起了；其次，在SSID隐藏的基础之上采用WPA/WPA2-PSK加密，解决了早期无线网络密码易破解的问题，让非法用户联不上无线网络；最后，在前面的安全基础上采用接入白名单控制，通过控制器设置单个AP或者一个SSID的接入白名单，只有在白名单中的用户设备才能进入无线网络正常通信，不在白名单中的用户即使知道SSID和密码也无法进入无线网络，做到让非法用户进不来。

另外，医院的行政、公共区域接入终端类型众多，在一定的安全基础上更要要求接入的便捷性，所以在这些区域可以设置另外一个SSID，采用WPA/WPA2-PSK加密技术，配合802.1X、Portal认证等方式控制用户接入；同时，通过无线控制器针对不同区域的AP下发策略，限定不同SSID的覆盖范围。

综上所述，医院不同区域的不同业务类型应该采取多SSID进行管理和控制。医院内部业务网承载着核心的业务数据和海量的敏感信息，必须使用专门的SSID，采用级别高的认证和加密手段；对于行政、公共区域可以使用另一个SSID，采用级别相对较低的认证和加密手段，这样就实现了区分的服务。

3、用户认证与加密

无线系统中，可以在多个层面对系统构筑安全防护，其安全性设计如下：

（1）SSID隐藏：每个无线局域网都有对应的SSID作为网络标识，用户通过选择正确的SSID关联上无线网络，获取相应权限。然而今天在网络上已经很容易就能下载到无线网络攻击工具，不怀好意的非法用户可以通过这些下载到的攻击工具循着SSID的标记对无线网络进行攻击。医院病房楼、输液区等区域的无线网络通常为医生、护士的专用网络，接入终端相对固定，所以在这些区域我们建议采用SSID隐藏功能，防止非法用户的联接。而在行政办公等要求接入便利的公共区域，可以关闭SSID隐藏功能，或者在部分AP上关闭SSID隐藏功能，就可以方便用户正常接入。

（2）加密：无线系统支持多种加密的方式，二层的加密支持静态WEP、动态WEP、TKIP、WPA、802.11i多种加密方式，中国无线安全WAPI标准等。传统的加解密动作全部放在AP上实现，这样就会出现AP解密后，后续的数据就没有了安全保障；采用无线控制器+AP的架构，将原来放在AP上的加解密动作全部集中到无线控制器上进行，由于加解密点不在AP上，而在后端的无线控制器上，因此整个加密过程，从无线终端，经过AP，穿越整个有线网络，一直到后端的无线控制器，整个路径都是安全的。

（3）用户的profile：在无线局域网刚刚兴起时，用户类型比较单一，通常采用一种策略就可以轻松实现用户接入管理，随着医院的HIS、EMR、PACS、LIS、OA等业务的不断增加，采用同一种策略来管理用户接入已经无法应对。根据不同应用、行政人员、医生、护士必须要有不同的权限区分和管理策略。控制器能够通过超过百种的用户的profile配置来区分不同用户，为每一类用户建立一个相关的profile，每个profile有一个用户访问权限的设定和带宽控制的设定，轻松实现用户接入管理，防止超越权限的网络访问造成的数据外泄。

（4）基于用户的ACL控制：通过用户的profile配置可以实现用户的网络权限区分，但是网络权限的区分只能做到互联网7层协议中的第三层，没办法实现更精确的权限分割限制。医生、护士都具有内网访问权限，但护士和医生访问的业务类型有很明显的区分，必须要通过用户的ACL控制来实现更加情况的权限控制。用户通过认证以后，无线控制器上会有一个基于这个用户的ACL控制，可以根据每个用户设置他的访问控制策略，实现基于用户的访问控制。

（5）认证系统支持：通过以上4种安全措施可以保障无线局域网的数据安全性，此外无线系统还支持多种认证系统，诸如Radius、802.1X、Portal认证、MAC地址认证等等。

4、WLAN信道与频率

AP的信道根据蜂窝结构的原则，采用不同信道避免同频干扰，根据现场实际环境划分。经过合理的布点及天线控制，剔除洗手间、楼梯间、机房等盲区，将整个覆盖区域形成一个无线整体，保证边缘区域信号强度在-75dBm以上，同时，预计将使用无线的三个信道（1、6、11），使得各个AP在正常工作情况下不相互冲突，形成平面结构上的蜂窝状无线网络，各个AP即独立工作，又是统一整体，实现漫游切换，网内查找等多种无线应用；对于楼层结构相同且AP布点位置相同的楼层，上下楼层之间将AP位置进行错落布置，形成空间立体的蜂窝网络，消除盲区及信号微弱区，最大化的利用无线网络的整体性。

信道分布水平示意图如下：

楼层间的信道分布垂直示意图如下：

AP功率调整将依据现场实际环境规划。

5、网络与用户管理

1、设备和用户管理

医院的无线局域网中通常会有成百个AP同时工作，这些AP的工作状态需要进行实时的监控以便于网络中心了解无线网络的健康状态。无线控制器除了提供强大的策略管理、权限控制、QOS等功能外，还提供了非常丰富的设备、用户管理功能。此外通过的HowayAC1024可视化无线网络管理系统，网络中心的维护工程师可以直观的看到所有AP的状态概况，离线AP详情，无线网络流量使用情况、告警信息等。

 

2、带宽流量管理

为保障每个客户端的上网体验及合理分配有限的网络出口带宽，建议依照实际环境及要求对每个STA做限速。可以基于MAC进行以32Kbps为单位的限速。

（四）方案特点（本节设备型号需要根据项目具体情况修改）

1.      领先的硬件特性

一款优秀的设备离不开高品质的电子元器件，AP采用业界最好的Boardcom芯片解决方案；在无线控制器设备硬件平台方面，采用先进的MIPS多核嵌入式处理器架构设计，性能优越。通过优秀的硬件设计，单台盒式无线控制器单板转发性能60Gbps，是传统无线控制器单板的6-30倍。

2.      信号覆盖优秀

无线局域网的覆盖情况对无线网络的使用效果影响很大，无线解决方案采用内置LNA模块的无线AP，辅以Smart天线，通过合理预算及实地测试，确保能在无线设备覆盖区域方位内提供大于等于-75dbm信号覆盖强度，为医院搭建一张高性能的无线局域网。

3.      带宽高

随着移动医疗的不断发展，病房内的无线应用也在不断的增多，特别是PACS的应用对无线局域网的带宽提出了更高的要求。无线解决方案采用的EW1200NRDI型AP为双频双模设备，可以提供高达600Mbps的带宽，已经可以媲美有线网络的传输速率，能够满足PACS对无线局域网的带宽要求。

4.      智能的负载均衡

无线局域网建设时为了保证无线局域网的信号覆盖效果，会存在一些2个AP重叠覆盖的区域。传统的无线局域网中，会出现无线终端较密集将使单个AP的负载过于繁重，导致部分用户无法使用无线网络。覆盖解决方案通过无线控制器的集中控制功能，通过负载均衡功能，存在于AP重叠覆盖区域内的终端设备指定到其他负载较轻的AP上，有效的解决了单个AP负载过大的问题。负载均衡实现原理见上图。

5.      无缝漫游的设计

在传统的无线局域网中，用户终端通过关联AP广播的SSID进行网络接入。移动漫游过程中，用户终端会从当前关联的AP上切换到下一个AP，在切换过程中，不可避免的将发生“切断上一个连接、关联下一个连接”的过程，导致医生在使用无线网络过程中出现网络中断和账号掉线的现象。

在本方案中，我们采用基于HACIP漫游切换控制技术，以无线控制器为核心，对所有AP上接入的用户采用统一会话管理，所有已认证终端均在中心无线控制器中保存相应会话，AP仅仅只负载传输用户数据，因此无论终端移动到哪个AP下，用户信息和授权都在无线控制器所管辖的移动域内快速的交互，可以有效保持会话完整性及可靠移动性的前提下实现无缝漫游。最终使得终端漫游切换时间控制在30ms-50ms之内，医生在使用无线网络过程中不会感知到切换过程的发生，对正常的移动查房、移动护理不会造成影响，确保了医疗活动的安全、高效的进行。基于HACIP技术的漫游切换过程如下图所示：

基于HACIP技术的漫游切换过程

用户在AP1的范围内，通过AP1与网络进行连接，当用户处于AP1与AP2交叉范围内时，用户在与AP1连接的同时，与AP2做好连接的准备，当用户到达AP2的范围时，通过AP2与网络进行连接,用户感觉不到AP的切换造成的网络中断现象。

HACIP快速漫游切换技术特点如下：

n  无线漫游过程对无线终端而言透明化

n  无线终端漫游过程中,IP地址和TCP连接保持不变，不影响用户的上层业余

n  漫游切换过程小于30ms

n  漫游过程中，无线终端不改变ip地址，无需重新认证

6.      智能的工作模式选择

无线控制器组网架构中，无线控制器负责用户认证控制、权限管理以及数据加解密等功能，所以一旦无线控制器出现单点故障将会造成用户认证、数据加解密全面中断，导致所有无线终端无法使用，无线局域网瘫痪的灾难性后果。通过技术创新，采用AP智能的工作模式选择这一特殊功能完美的解决了这一可能出现的灾难性问题。

无线控制器正常工作时，AP仅负责用户接入控制的执行动作以及数据转发功能，当AP检测到无线控制器出现故障后，AP不需要人工干预智能的切换到自主工作模式，所以当前连接到该AP上的终端能够正常收发数据，并保持认证时获取到的权限。通过AP的智能工作模式选择功能，无线局域网的可靠性得到了成倍的提高。

7.防干扰的设计

来自WLAN网络外部的干扰也分为WLAN干扰和非WLAN干扰。WLAN干扰主要包括Rogue设备、邻居WLAN网络、Ad hoc网络等。WLAN工作在ISM频段，除了WLAN设备外，还有许多非WLAN设备也工作在该频段，如微波炉、无绳电话、蓝牙设备、无线摄像机、户外微波链路、无线游戏控制器、Zigbee、WiMax等等。非WLAN干扰源会干扰WLAN信号，导致WLAN信号无法被正确接收。还有一些非ISM频段上的设备会在ISM频段上产生射频信号泄露，当临近距离很近的情况下，会对WLAN设备形成干扰。

对无线干扰的避免和消减，提出了以下7种解决措施和专利技术：

1)        采用双频AP组建网络，避开大部分2.4G的干扰源，特别是运营商网络的干扰；

2)        网络部署勘测和优化，合理设计AP部署点位，将设备自身的干扰降到最低；

3)        MIMO多入多出技术，抗多径衰落和多径传输干扰；

4)        采用基于MIMO技术的双极化天线。

5)        RRM（射频资源管理），无线控制器集中控制所有AP的功率和信道选择，通过分析整个无线局域网的射频环境，自动调节各个AP的功率和信道；

6)        报文发送速率调整，动态计算每个报文发送速率，降低误码率，提高传输介质的使用效率。

7)        逐包功率、速率控制；

8)        AP产品RF输出指标远超出业界水平，最大灵敏度达-98dB，EVM输出指标可达-29dB以下。

8.    PoE以太网供电

的AP系列产品不仅支持本地供电，同时还支持PoE供电。PoE设备的原理是通过非屏蔽双绞线中四对线中的两对线来供电，传输数据的同时传输直流电，使用PoE设备大大降低了设备成本和管理成本。

PoE具有如下明显的优势：

1.      简化安装、降低成本—不需为每个网络设备单独提供数据和电力线缆；

2.      灵活性提高—网络装置可被安装在任何位置，而不需靠近一个已存在的电源接口；

3.      可靠性增强—有SNMP能力的PoE装置，可实施远程检测和控制，能有效地控制设备的耗电量、处理供电失效故障。

四、典型应用

（一）无线查房

无线网络环境中，在平板电脑或手推车的一体机上可直接安装医院HIS、电子病历等客户端，使医生工作站移动起来，实现无线查房。

医生在查房过程中，可以随时通过无线网络调取患者的诊疗记录或病史等信息，免除了医护人员携带一大堆病例记录本查房诊断的麻烦，帮助他们更加准确、及时、全面的了解患者的详细信息，并随时根据患者当时的具体病情下医嘱，使医生的查房工作效率更高，减少重复记录和输入医嘱的工作量，有效避免和减少了差错的发生。

（二）移动护理

在病床旁，护士使用无线数据采集设备，扫描患者的条码标识带后，可以实现病人身份识别，查询病人住院基本信息，实时获取医嘱信息，查询病人检查报告，实现生命体征的查询和录入，并且可执行医嘱。通过部署无线网络，可将桌面护士站升级为移动护士站，在发放药物、输液、检查、治疗和急救、手术之前，如果存在任何差异，报警系统会发出警告，避免可能发生的任何差错。

（三）门诊移动输液

门诊输液管理工作繁忙、琐碎、工作重复性强而缺乏新意，同时输液病人多、杂，使用药品种类多而新，护士对新药品不了解等增加了门诊输液管理的用药不安全因素。借助无线网络技术，使用条码化代替人工核对，以条码信息实现输液信息的电子化，保证药物信息、病人信息的正确匹配，减少医疗差错，确保病人的安全。通过使用智能物联网AP与护士手持终端的互动，改善输液室的嘈杂环境，维护输液场所秩序。同时可以减轻护士的工作压力，减少医患矛盾，准确考核护士工作量、统计输液室相关数据提高医院管理水平，有利于创建一个高标准、高质量的新型输液护理服务新模式。

（四）远程医疗

由于全球经济、环境、人口等诸多的因素，现阶段医疗行业存在着很多问题，例如医疗资源的分布不均、医疗机构之间的业务协同开展困难、突发情况下医疗救援效率低、医疗机构人才培养手段少，医患关系紧张等。远程医疗利用现代化通讯技术、信息技术以及多媒体技术，与医疗技术相结合，实现医疗信息的远程采集、传输、处理、存储和查询，对异地患者实施咨询、分诊、监护、查房、协助诊断、指导检查、治疗和手术及其他特殊医疗活动。利用无线网络技术可以实时的将病人临床情况、手术中的影像推送到网络中，实现远程专家会诊、远程手术示教等。目前，远程医疗技术已经从最初的电视监护、电话远程诊断发展到利用高速无线网络进行数字、图像、语音的综合传输，并且实现了实时的语音和高清晰图像的交流，为现代医学的应用提供了更广阔的发展空间。 

（五）重要区域无线视频监控

在WLAN覆盖的病区和院区内，结合已有的有线视频监控系统，可以灵活地加装无线摄像头来增加对医院大门、挂号收费窗口、药库房、停车场、病区过道与走廊、院内主要建筑物进出入口、贵重仪器设备存放地、放射源或剧毒麻醉药品存放地、重症监护室以及医患沟通部门等重点区域的安防监控。无线摆脱了线缆的束缚，安装周期短，维护方便。专用的视频监控软件可以同时监控多个场所的画面，并可以有选择地对现场情况进行数字录像。通过各个AP上完善的QoS功能，实现了对突发流量进行码流平滑、多流选择以及误码重传的处理，保证了视频流的实时性和流畅性。