基于VPN的移动产检车安全网络构建

金忠林 江西省妇幼保健院 南昌市 330006

0 引言

为顺应国家全面两孩政策的实施，进一步提高妇幼保健服务能力，满足群众多层次医疗服务需求，我院创新推出了“移动产检”服务项目。“移动产检”是在一辆移动产检车上配备超声诊断、胎心监测、心电图、骨密度检测等产检设备，配备产科医护人员按需开展上门产检服务。

“移动产检”项目是我院产科门诊服务的延伸，业务流程和信息流程必须与院内流程一致，移动产检车上信息网络的安全接入项目实施的技术前提。

1 “移动产检”的业务需求分析

“移动产检”车即是一辆车载工作站，涵盖门诊医生站、超声诊断工作站、治疗工作站等，主要开展门诊诊疗、检验采血、B超诊断、骨密度测定、心电图检查等诊疗业务。“移动产检”项目的业务流程主要分为缴费流程和诊疗流程，门诊缴费流程通过医院微信公众号进行预约、挂号和缴费，与院内流程保持一致，如图1；诊疗流程通过移动网络接入医院内网，利用车载各类工作站操作与院内流程保持一致如图2。

2 网络安全接入

2.1 网络接入模式

图1 “移动产检”挂号缴费流程

图2 移动产检车诊疗流程

“移动产检”车采用4G移动网络+VPN的方式接入医院业务内网，4G通信标准指的是第四代移动通信技术，它是宽带（broadband）接入和分布式的网络，具有 100 Mbps 的下载速度，20 Mbps 的上传速度。不仅可对全速移动用户提供高质量影像服务，实现三维图像的高质量传输，还能提供通信信息之外的定位定时、数据采集、远程医疗等综合功能[1]。VPN(Virtual Private Network),即虚拟专用网. 它是在Internet 网络中建立一条虚拟的专用通道,让两个远距离的网络客户能在一个专用的网络通道中相互传递数据信息[2]。VPN设备与医院业务内网的业务连接通过网闸隔离。

图3 网络拓扑图

2.2 CAB应用安全发布

利用VPN的CAB应用安全发布功能，在医院内网段部署一台HIS工作站应用服务器，安装门诊医生工作站、门诊一卡通工作站和检验条码打印工作站、治疗工作站等应用程序，在外网区域配置VPN，两者通过网闸进行控制访问，这样远程用户不用装HIS的客户端软件，直接可以用浏览器通过VPN调用的形式去访问HIS服务器。此方案保证了以下三点安全特性：

◎ 使用VPN用户端无法直接向前置服务器传送数据，（CAB远程发布可以控制VPN客户端能否上传下载文件等数据），以保证前置服务器不被外来恶意破坏。

◎ 采用不同的用户配置不同的应用程序，而一个VPN客户端同时开放多个CAB远程用户可以达到根据医生不同级别不同权限的控制（如A医生可使用HIS、LIS、EMR；B生只能使用HIS）。并可以做到在医生点击退出HIS系统时，自动断开远程连接（保证了授权程序可用，但无法通过退出应用程序来非法使用别的程序）。

◎ 所有VPN用户可以随时调业务系统使用权限，不会造成每调整一个VPN权限必须多次操作，或是复杂操作，只需要通过管理界面将对应的发布信息删除即可。达到使用简单、维护方便。

2.3 单点登录与主机防护

利用VPN的单点登录服务，对一个内部网络用户进行集中式应用的权限分发和管理(即统一的身份认证和访问控制)，将不同应用的不同身份认证方式，不同的访问权限，进行一个有效的整合，方便了用户的使用，简化了多次的登陆过程和网络管理员在权限管理上的复杂性。我院将不同用户的配置不同的CBA应用权限，通过权限配置让移动用户在任何工作站都有相同的工作界面和应用程序桌面。同时采用Ukey的方式对接入VPN的工作站电脑进行准入控制。

图4 单点登录

3 实施效果

通过4G移动网络的VPN组网，使“移动产检”车载工作站安全有效接入医院业务内网，移动产检的业务流和数据流与院内信息系统保持同步，保障了移动产检业务的正常运行。截止目前，我院移动产检车工开展了50余例的上面产检服务。