血站网络架构改进与应用效果分析*

——李智成 贺国林 田耘博 欧阳熊妍 何 涛

重庆市血液中心 重庆 400052

“一法两规”(《血站管理办法》《血站质量管理规范》《血站实验室质量管理规范》)明确规定血站必须应用计算机管理采供血和相关服务过程，以保障血液质量和安全[1-3]。随着智慧血站建设的逐步推进，血站信息系统包括血液管理信息系统(Blood Management Information System，BMIS)、实验室信息系统(Laboratory Information System，LIS)、自动化办公系统、财务管理系统等已基本建立，一些大型血站或血液中心还有核酸集中化送检、区域血液联网等信息系统[4]。《中华人民共和国网络安全法》要求单位监测、记录网络运行状态，支持创新网络安全管理方式，运用网络新技术，提升网络安全保护水平[5]。信息网络的质量和安全，决定着血站采供血业务的正常运转。本研究结合重庆市血液中心的实践，就如何优化血站网络架构展开了探讨。

1 原有网络架构问题分析

该中心原网络架构方案包括采供血业务内网、外网、无线网和零散线路。内网终端电脑、服务器配置在同一个IP地址段内，内网交换机通过网络专线(MPLS专线)或虚拟专网设备(VPN设备)连接采血车、区县、互联网。无线网、外网通过交换机和路由器将终端连接至互联网。零散线路如财务专线等通常由运营商布放至电脑终端。如图1所示。

图1 原网络架构方案拓扑图

1.1 网络架构陈旧

基本网络架构灵活性不够，不能适应不断涌现的新业务需求。血站内部不同信息系统之间无法对接，形成 “信息孤岛”。财政网、卫生专网等仅简单铺设线路，未融入血站统一网络中，不能灵活调整。未对关键网络节点配置双机设备，冗余不够，单点故障风险较高，影响采供血业务开展[6]。

1.2 网络结构混乱

原有网络架构没有进行功能区域细分，未启用网络配置策略，未升级网络设备和网络带宽，未划分虚拟局域网(VLAN)和IP地址。服务器和终端设备使用同一地址段，容易因地址冲突导致服务中断。

1.3 网络管理方式落后

通过手工对IP地址进行登记，无法掌握IP地址实时使用情况。未利用信息化工具进行网络体系化管理，故障检查方法有限，无法实现实时巡检[7]。

2 网络架构改进

2.1 网络体系架构

2.1.1 网络融合分级防护 根据采供血业务信息重要程度划分三个不同网络安全级别，分别为血液专网安全级别(内网)、政务外网安全级别(物业网)、互联网安全级别(外网)。内网为采供血业务专用信息应用网，服务于血站业务运营，仅对业务科室开放；物业网主要用于血站一卡通、保安室视频监控、停车场管理系统等；外网是办公互联网，主要用于办公上网、互联网终端上网。它们之间相互独立，由安全隔离与信息交换系统(网闸)进行物理隔离，这样既保证了网络安全又实现了信息互联互通。根据血站信息使用需求划分不同功能区域，进行分区管理。运用分区分域、分级保护策略，通过VPN设备、网闸、边界防火墙、IDC防火墙等设备,对数据进行安全保护。总体功能分区如图2所示。

图2 总体功能分区图

2.1.2 网络拓扑设计 网络核心置于核心机房，采用树形结构和扁平化组网(即接入-核心两层网络架构)，各楼层接入交换机直接通过双路千兆光纤线路汇聚到网络核心交换机。具体网络拓扑如图3所示[8-9]。

图3 网络拓扑图

外网用户通过核心交换机到外网路由器访问互联网，内网业务服务器区域对内网用户提供服务。按照楼宇、楼层分布，结合部门、业务，通过VLAN 划分和IP段配置，实现分区分域[10]。通过网闸实现内网、外网、物业网等相互隔离，在有相互访问需求时，通过网闸进行有限制访问[11]。这样既避免了各功能分区成为“信息孤岛”，又能够满足网络安全要求。

2.1.3 配置网络冗余结构 根据血站实际业务需求以及内网、外网、物业网等重要程度，在内网和外网采用双机双活策略，通过双活冗余确保网络核心层稳定、可靠。

2.2 运用信息化工具

2.2.1 IP地址管理(IPAM)工具 部署IPAM工具，取代手工方式，根据血站实际也可以使用DDI管理工具(DNS域名系统、DHCP动态主机配置协议、IPAM网络地址管理)。运维人员使用IPAM对IP信息进行实时监控。

2.2.2 网络管理软件工具 部署网络管理软件，开启设备简单网络管理协议(SNMP)，添加网络线路监控，设置每5 min检查1次设备线路运行情况，并设置邮件、微信、短信故障告警等。在软件中构建资源、应用系统、业务、用户关联视图，实时反映信息网络资源运行状况。对全网实施统一实时管理，及时发现网络性能瓶颈并告警。定期分析数据报表，进行系统网络性能跟踪监测和诊断。

3 效果分析

3.1 网络可靠性提升

网络故障报修数量由原来的30次/月～40次/月，降低到目前的1次/月～5次/月。采用VLAN和IP地址划分技术进行分区分域，不同VLAN不能随意互通，将网络故障影响范围限制在更小范围，未再发生IP地址冲突影响服务器运行情况。分区分域后，降低了整个网络中的广播包数量，减少了网络中的无效流量。在内、外网之间的核心交换机采用双机双活策略，提升了网络性能和可靠性，也为采供血业务发展预留出充裕的提升空间。

3.2 灵活性和安全性提升

通过对网络资源的统筹规划，使相同安全等级的网络融合部署，提高了终端接入灵活性。采用安全隔离与信息交换系统连接各个“信息孤岛”，让数据在安全前提下互联互通。每台接入层交换机均采用千兆光纤作为传输介质，交换机与核心交换机之间预留万兆接口，满足了网络增长需求。细化功能分区，让网络数据流量更加井然有序，故障影响范围更小，提高了网络安全性。

3.3 可维护性提升

结合网络管理工具运用，提高了网络管控能力，优化了网络性能。使用网络管理软件实时显示网络结构、通断情况和网络流量，能快速对在网信息设备进行巡检，提升了对网络体系的管控能力。网络故障处理由被动等待转变为主动发现，原因判断更加准确，处理更加快速，为血站采供血及相关业务开展提供了信息保障。

4 讨论

随着血站采供血业务发展对信息要求的提高，网络架构及管理能力的重要性更加凸显。如何规划、建设并运维血站网络是值得探讨的问题。采用新的网络技术和运用信息化管理工具改进网络架构，实现血站网络的智能化运维，提升网络质量，使日趋复杂庞大的网络更高效、更安全，为血站全面发展奠定了稳固基石。

血站网络架构是采供血行业信息化建设的基础，随着信息网络技术的快速进步，未来血站所用网络技术必将向多方面发展。(1)网络虚拟化。随着云计算的逐步应用，服务器虚拟化、存储虚拟化成为主流，软件定义网络(SDN)、网络功能虚拟化技术(NVF)逐渐兴起。网络虚拟化技术将传统网络设备功能与硬件设备剥离，无需安装新硬件就可以灵活调配网络资源，从而降低血站网络运维成本。(2)全光纤网络。目前血站网络主干线路主要采用光纤，末端为双绞线。随着光纤设备的普及和末端网络带宽需求的不断增加，未来血站拟采用光纤到桌面技术(FTTD)，这将极大延伸采供血业务操作区域的终端带宽和布线距离，从而进一步精简网络架构。(3)5G采血车和血液冷链温度监测。国内血站的献血服务大部分依靠流动献血车，在献血者征询、血液采集等过程中需实时连接BMIS。随着5G技术的成熟和推广，其高网速、低延迟、多链接的优势将极大改善采血车信号不稳定、带宽较小、延迟较高等问题。5G技术支持大规模物联网设备接入，还可用于血液产品存储管理、冷链运输环境自动化监测等。