医院 WiFi 网络设计：网络切片与正常运行时间
Published
最常见的医院 WiFi 建议通常从更新接入点、扩大覆盖范围和设置独立的访客网络开始。但这是一个错误的起点。医院 WiFi 网络规划应当从一个更严肃的问题开始：当连接中断时，哪些临床工作流会变得不安全？而哪些连接是绝不允许建立的？
请将无线网络视为患者安全系统的一部分，而非仅仅作为候诊室的升级设施。在采购之前，请编写三份工作文档：分段地图、临床故障转移表和验收测试矩阵。这些交付物能让工程师、临床团队和设施管理部门在网络必须实现的功能、必须阻断的内容以及如何验证其有效性方面达成一致。
目录
哪些用户和设备共享该网络
在购买接入点之前，明确谁会连接以及如果其流量到达错误位置会发生什么。访客的手机和遥测监护仪可以共享无线电基础设施，但绝不能共享信任。
这种不匹配并非新鲜事。《贝克尔医院评论》(Becker's Hospital Review) 2016 年报道的一项针对 100 多名医疗保健 IT 专业人员的全球调查发现，77% 的医院主要将无线网络用于访客访问，而 64% 的医院通过无线网络连接医疗设备。这些是历史调查结果，而非当前的采用基准，但它们揭示了设计上的问题：访客服务与临床基础设施共存。
流量类别、分段与访问规则
请将其作为建议的策略映射参考，而非强制要求为每一行创建单独的 SSID。
| 流量类别 | 典型设备 | 网络分段 | 接入方式 | 允许访问的目的地 |
|---|---|---|---|---|
| 访客与宾客 | 个人手机与笔记本电脑 | 开放网络，访客 VLAN | 强制门户或 Passpoint | 仅限互联网访问 |
| 患者 | 自有手机与平板电脑 | 开放网络，患者 VLAN | 强制门户 | 仅限互联网访问 |
| 员工公司设备 | 受管笔记本电脑与手机 | 安全网络，员工 VLAN | EAP-TLS 证书 | 临床应用与电子健康记录 (EHR) |
| 临床医生个人设备 | 医师自有的手机和平板电脑 | 受限 BYOD VLAN | MDM 注册与证书身份验证 | 仅限批准的 EHR 应用 |
| 临床工作站与工作车 | 工作站与移动工作车 | 临床 VLAN | 证书或独立设备密钥 | EHR 及临床系统 |
| 生物医学设备 | 输液泵、监护仪、遥测设备 | 生物医学 VLAN | 独立设备密钥 | 仅限批准的厂商服务器 |
| 楼宇与 IoT 系统 | 工牌、传感器、HVAC、电梯 | 按特定设备策略划分的 IoT VLAN | 独立设备密钥 | 仅限指定的后端 |
| 承包商与供应商 | 工程师笔记本电脑 | 承包商 VLAN | 限时凭据 | 仅限分配的系统 |
允许的目标位置必须成为可执行的规则。 将“供应商服务器”替换为经批准的应用端点，并单独记录必要的支持服务（如名称解析和时间同步）。切勿将狭隘的应用需求转变为不受限制的服务器网络接入权限。
即使资产清单将楼宇控制和通信徽章归为一类，它们也需要不同的策略。设施部门拥有电梯控制器所有权；临床运维部门可能拥有徽章工作流所有权。它们的管理访问权限和中断后果不可混为一谈。
实用规则： 在工程师构建细分网络之前，每一行都需要指定负责人、凭据生命周期和明确的目的地列表。
在资产清单中保留设备能力信息。MDM 注册是管理的前提条件，而非身份验证协议，且较旧的生物医学设备可能不支持证书。应将该局限性作为附带责任人的例外情况进行记录，而不是放宽对整个设备类别的策略要求。
哪些临床设备可以仅依赖 WiFi
考虑连续的患者遥测。保持与接入点关联的监护仪并不一定意味着已将其测量数据或警报传送至接收应用。临床保证必须涵盖整个工作流程，包括当远程可见性消失时工作人员所采取的应对措施。
ASHE 无线医疗遥测指南 强调了免许可无线频段中的干扰、安全性和互操作性局限性，并建议在持续监测至关重要时考虑使用许可的医疗遥测频段。许可频段是一种设计选项，但不能替代对监测系统的验证。
设备类别、连接适用性和故障转移测试
以下是规划模板。临床工程部门必须确认每个备用方案均存在、受制造商支持且可供工作人员使用。
| 设备类别 | WiFi 适用性 | 链路中断时的回退机制 | 故障转移测试 |
|---|---|---|---|
| 连续患者遥测 | 仅在验证重叠覆盖范围和临床连续性后使用 WiFi；对于监测绝对不可中断的情况，请考虑使用持照医疗遥测系统 | 经过验证的本地报警和有线备用方案（如支持）；否则使用批准的替代监测工作流 | 在受控测试中关闭受监测病房内的接入点 |
| 输液泵 | 具有冗余接入点覆盖和经过批准的断网行为的 WiFi | 经过验证的本地设备报警和人工检查 | 重启接入点并记录重新连接时间 |
| 移动 EHR 工作车 | 具有经过验证的漫游功能的 WiFi | 有线扩展坞和经过批准的停机工作流 | 推着工作车走完整个病房路线 |
| 通讯徽章 | 经过策略隔离的 SSID 或具有经过验证的 QoS 的 VLAN | 有线话机或寻呼机 | 在接入点重启期间进行测试呼叫 |
| 访客设备 | 尽力而为的 WiFi | 医疗护理非必需 | 未针对临床用途进行测试 |
输液泵失去网络连接与其停止治疗输送属于不同的故障模式。请确认哪些功能可在本地继续运行、哪些远程功能会停止，以及临床医生如何察觉这一变化。切勿假设本地警报可以替代集中监控。
测试依赖项，而非仅测试射频环境
重叠覆盖仅在端点能够使用幸存的接入点时才有用。验证设备互操作性、身份验证行为以及故障条件下剩余无线电的容量。
在临床故障转移表中包含RADIUS故障转移测试。当主身份验证服务或其区域连接不可用时，测试新的身份验证和重新身份验证；现有会话保持连接并不能证明这两者都能正常工作。
对于将 WiFi 6 或 WiFi 7 作为临床安全论据的设计，我会予以拒绝。较新的无线电功能并不能确立可接受的警报交付、应用连续性或恢复行为。请在临床变更控制下，使用测试设备或经批准的仿真工具运行破坏性测试，切勿通过随意关闭服务于实时护理的基础设施来进行测试。
如何在安装前规划覆盖范围与容量
采购应遵循兼顾建筑和终端的设计。即使现代笔记本电脑的勘测结果良好，为该笔记本电脑部署的接入点也可能无法为低功耗医疗设备提供足够的服务。
根据特定设备的需求制定计划，而非统一的信号强度目标。使用厂商文档和临床工作流需求来定义可接受的服务标准，然后将这些需求纳入采购验收标准。
构建规划方案包
盘点细分映射表中的每类设备。 记录每个楼层的设备数、并发使用峰值、支持频段以及旧版 2.4 GHz 设备，包括保持供电但很少传输数据的设备。常见错误是统计员工账户数而非活跃终端数，以及忽视了在病房之间移动的设备。
收集楼层平面图并调查建筑结构。 标记混凝土墙、铅衬影像室、玻璃隔断、电梯井和设备库房，分配工程师可在现场验证的衰减假设。切勿将所有墙壁视为相同材质，也不要完全相信建筑图纸能反映后期的翻修情况。
构建预测性 RF 模型。 根据病房、诊疗空间和移动路线的要求部署接入点，同时兼顾终端传输能力与接入点功率。避免仅通过提高传输功率来解决每一个信号弱区，因为终端仍需要一条可用的返回路径。
将容量建模与覆盖范围建模分开处理。 评估并发应用需求、空口时间占用以及网络中断期间转移到相邻无线电台的负载。覆盖良好的房间在竞争拥堵时仍可能出现故障，因此切勿将令人满意的覆盖图作为容量充足的依据。
制定信道与天线规划。 控制走廊和病房区同信道重叠，并确认在哪些区域使用定向天线或板状天线会比全向天线更有效地塑造覆盖效果。在未考虑信道复用、设备支持和周边 RF 环境的情况下，切勿在所有区域盲目规定使用宽信道。
在安装前制定合格/不合格门槛。 为每个关键设备类别和路线定义可接受的关联、身份验证、丢包率、时延和应用连续性指标。如果在调试阶段才制定门槛，会导致团队被迫接受已安装网络所呈现的任何实际效果。
将规划图作为研讨会辅助工具，同时保留详细的工程检查表。
尽早解决安装限制因素
在模型成为安装订单之前，后勤设施部门应确认安装位置、电缆走向、供电安排和维护通道。如果工程人员在不干扰隔离室或不进入限制性临床区域的情况下无法进行检修，那么技术上理想的位置也就失去了实用价值。
同时识别共享的故障点。如果同一故障交换机或电源导致相邻接入点同时停止服务，则它们无法提供有效的冗余。记录故障转移测试必须演练的基础架构依赖项。
预测模型属于设计假设。签署的规划交付包必须说明医院将如何对其进行测试。
签署交付包应包含射频模型、容量假设、验收阈值以及需要特殊处理的空间标注列表。临床工程和 IT 部门应共同评审，并由设施部门确认拟议的安装方案具备可行性。
如何在现场验证漫游与干扰情况
在安装后调查证明每个关键设备类别和路线均达到约定的阈值之前，请勿接收部署。Ekahau 医疗保健 WiFi 连接指南 介绍了预测性规划以及对覆盖范围、容量、干扰和漫游的现场验证。重要的运维区别在于，预测只是提出性能目标；而现场测试才能确认已安装的系统是否达到了该目标。
验收测试地点及测量指标
| 测试地点 | 测量指标 | 复测条件 |
|---|---|---|
| 病房走廊 | 切换时间、丢包率与应用会话连续性 | 高峰使用期的步行路线 |
| 电梯 | 跨楼层漫游连续性 | 电梯正常运行状态下 |
| 影像科室 | 同频干扰与丢包率 | 扫描设备运行期间 |
| 病房 | 覆盖范围、容量与设备关联性 | 存在代表性生物医学流量时 |
| 消毒区 | 与微波消毒设备运行相关的干扰 | 消毒设备运行期间 |
使用 RF 勘测工具、适当的频谱分析仪、控制器遥测数据以及终端或应用日志。勘测适配器可以表征环境特征，但无法证明特定胸牌或输液泵能够正常工作。
捕获切换过程及应用结果
实地走访实际的切换路线。 遵循医护人员在实际工作中使用的路径，包括进入房间、走廊转弯以及楼层间的移动。记录终端模型、固件、路线和方向，以便其他工程师可以复现测试。
在每次切换时，记录关联耗时、身份验证完成情况、丢包率以及应用会话是否继续。区分成功的无线漫游与应用超时：用户关心的是通话、病历更新或监控数据流是否持续正常。
然后在测试位置测量延迟、容量以及同信道和邻信道干扰。将空闲时段的运行数据与高峰占用期及代表性生物医学流量的数据进行对比，而不是从空置病房的数据中推算。
- 运行中的设备：在遵守当地安全规程的前提下，当设备正常运行时，重复对成像和灭菌区域周围进行测量。
- 观察到的干扰：使用测量数据区分 RF 干扰与屏蔽、拥堵或上游应用程序故障。
- 失败的结果：指定负责人、纠正措施和复测要求，而不是将失败平均计入全楼的分数中。
不要假设每台扫描仪都会在 WiFi 信道上产生干扰。应通过受控观察、频谱测量和时间戳确定相关性；屏蔽设施和房间结构也可能是导致服务质量差的原因。
验收标准： 签收需要按路由和设备类别记录结果，而不是一份看似令人放心的热力图。
将实际测量值与商定的限制、测试条件和应用结果一同存储。如果设备仅在特定驱动程序、固件版本或配置下才能通过测试，请记录该依赖关系，以便后续升级时触发正确的回归测试。
强化信任边界并治理身份
仅靠独立的 SSID 无法创建信任边界。如果防火墙在它们的 VLAN 之间自由路由，那么医院只是重命名了扁平网络，而没有对其进行安全加固。
NHS英格兰的网络分段指南 建议将企业无线区域与公共接入区域隔离，并将客户端隔离作为防止横向移动的一种手段。请在转发策略中实现这些边界，而不仅仅是在手机上显示的网络名称中体现。
使身份与策略之间的关系对管理人员清晰可见。
使用明确权限取代共享信任
为每个流量类别分配策略和网段，然后应用默认拒绝跨网段规则。允许所需的目标位置和协议（包括已记录的基础设施依赖项），并阻止不必要的客户端到客户端通信。将管理接入与正常的设备运行隔离开来。
对受控的员工端点使用 EAP-TLS 证书，对生物医学和物联网设备使用唯一的受支持证书或密钥。再次光临的访客可以使用 Passpoint，但不会获得临床特权。入网引导方法决不能赋予超出用户经批准角色范围的授权。
AHIMA 医疗无线安全调查更新文件%20-%20Retired.pdf)发现，32% 的医院没有使用技术手段来强制执行 BYOD 策略。请将这一历史调查结果视为对未管理端点测试强制执行力的提醒，而不是对当今医院现状的描述。
实用的 WiFi 访问控制 设计应将身份验证、授权和撤销连接起来。记录谁颁发了每个凭据、该凭据允许的操作以及应当禁用该凭据的事件。
证明例外情况可以予以消除
Cisco的医疗无线网络报告 指出了无线安全暴露问题，这使持续的身份治理成为一项运维关注点。请建立一套撤销程序，以便在不更改整个病房凭据的情况下移除受损设备或承包商。
为承包商访问权限设置有效期和指定担保人。对于无法满足首选身份验证策略的旧版设备，记录补偿性限制、明确的责任人以及审查条件。缺少这些字段的异常情况均属于未管理访问。
将附带的视频作为补充上下文，而不要将其作为医院控制措施有效的证据。
运行明确的反向和正向测试：
- 未经授权的关联：未经批准的终端绝不可获得受信任的访问权限。
- 访客到临床流量：必须拒绝尝试并生成可用的证据。
- 生物医学到工作站流量：未经批准的连接必须失败，且不得破坏设备已批准的后端连接。
- 凭据撤销：测试全新身份验证以及对已连接会话的处理。
- 已批准的工作流：确认在应用限制后，允许的应用程序仍能正常运行。
成功意味着对允许路径的强制执行已得到验证。 记录身份、分配的策略、尝试的流量和观察到的结果，包括必须保持可用状态的合法流量。
如何长期监控并证明合规性
监控应告诉运维人员临床服务是否仍然可用，以及访问权限是否仍然符合策略。报告状态健康的接入点无法证明其中任何一点。
与医院的隐私、安全和临床工程团队合作，将每个网段映射到适用的合规义务。不要假设 VLAN 标签就能确立合规性，也不要假设所有司法管辖区都施加相同的日志记录要求。
为每项控制措施指定责任人
| 控制领域 | 指定信号或证据 | 问责责任人 |
|---|---|---|
| 访客与患者隐私 | 收集的 Portal 数据、访问权限和保留设置 | 隐私保护负责人 |
| 临床与员工访问 | 身份验证记录、角色变更和策略分配 | 身份管理团队 |
| 生物医学要求 | 经批准的配置和制造商支持的连接方式 | 临床工程团队 |
| 未授权流量 | 被拒绝的流量和超出目标白名单的尝试 | 安全运维团队 |
| 临床服务质量 | 应用可用性、时延和失败的事务处理 | 临床应用负责人 |
针对加入临床或生物医学网络段的未知设备、异常的身份验证失败以及超出批准目的地列表的访问尝试设置告警。将告警发送给能够区分入网错误与安全事件并能发起适当响应的人员。
将 带宽使用测量 与应用遥测相结合，用于调查网络拥塞情况。仅凭总吞吐量无法判断是在访客下载正常进行的同时，临床交易发生了停滞。
确保安全事件发生期间证据可用
设定固定的日志审查计划，并记录审查人员、发现的问题以及后续跟进措施。限制对日志的访问权限，并与隐私和安全负责人商定保留期限，因为连接记录可能包含敏感的身份识别信息。
为每个病房分配一个由其临床负责人批准的临床恢复目标。明确服务降级在何时触发备用工作流、由谁宣布触发，以及工作人员如何获知已恢复正常运行。
- 策略一致性：对比预期的规则与各站点及老旧接入点上已部署的配置。
- 变更触发因素：在相关固件、应用、建筑或设备发生变更后重新进行验证。
- 证据包：将验收结果、故障转移记录、例外情况和日志审查决策汇总保存。
审计人员或事件响应人员应能够查明测试的内容、所用的配置、通过的时间以及剩余风险的接受人。将证据与配置版本相关联，而不是散落在截图和个人文件夹中。
在购买硬件之前规划网络分段
在订购无线接入点之前，构建并签署网络分段图。邀请临床工程、IT、设施和临床运维部门参与评审，并在所有权争议仍为文档条目而非线上实际访问例外时予以解决。
对于每个类别，请确定是否需要独立的 SSID、VLAN 分配、特定于设备的策略或唯一的凭据。这些是不同的设计选择。IoT 网络分段 计划应根据所需的通信和故障后果来划分设备，而不仅仅依据设备标签。
将提供验证凭据作为采购前提条件
为每个临床行附加覆盖范围和应用阈值，以及后备方案和验收测试。包含安装约束和基础架构依赖项，以便采购决策能够反映完整系统，而不仅仅是射频规格。
我们的 Purple 接入规划器允许您勾选当前的连接项，并查看各个组在三个 SSID 中的分布情况：面向访客和 BYOD 的 Open、面向员工和受信任用户的 Secure，以及面向物联网、租户和社区的 xPSK。利用该分组练习可以简化接入设计，避免将 SSID 整合与临床验证混为一谈。
在批准之前，要求就勘测范围、测试端点和验收所需的凭据达成一致。应在项目计划中预留现场验证工作，而不是在安装后将其作为可选支出。
本周请采取以下行动：
- 标注平面图：列出设备类别及其使用的临床路线。
- 分配责任：为每个类别指定负责人，包括承包商和老旧设备的例外情况。
- 预约验证：安排现场勘测，并在采购前就验收矩阵达成一致。
采购决策应遵循可测试的设计，而不应去定义设计。
Purple Access 提供身份驱动的开放式、安全式和 xPSK 网络，并通过 Cloud RADIUS 根据身份将设备分配到相应的网络和 VLAN。请访问 Purple Access，使用规划器绘制您医院的连接组地图，然后将该地图以及您的故障转移表和验收测试一并提交给您的临床工程审查团队。
