醫院 WiFi 網路設計：切割與正常運作時間
Published
最常見的醫院 WiFi 建議通常從採用較新的基地台、擴大覆蓋範圍與建立獨立的訪客網路開始。這是錯誤的起點。醫院 WiFi 網路應從更嚴肅的問題開始：連線中斷時，哪些臨床工作流程會變得不安全？哪些連線絕不可以被允許？
請將無線網路視為病人安全系統的一環，而非僅是候診室設施的升級。在進行採購之前，請先產出三份工作文件：分段對照圖、臨床故障移轉表以及驗收測試矩陣。這些產出能讓工程師、臨床團隊與設施團隊就網路必須執行的功能、必須阻擋的行為，以及如何證明其正常運作達成共識。
目錄
- 哪些使用者與裝置共用網路
- 哪些臨床裝置可單獨依賴 WiFi
- 如何在安裝前規劃覆蓋範圍與容量
- 如何在現場驗證漫遊與干擾
- 強制執行信任邊界與管理身分識別
- 如何持續監控並證明合規性
- 在購買硬體前規劃您的區段
有哪些使用者與裝置共享網路
在購買基地台之前，請先確認連線對象，以及其流量若傳送到錯誤位置會發生什麼事。訪客的手機與遙測監視器可能會共用無線電基礎設施，但絕不能共用信任存取權。
這種不符的情況並非新鮮事。Becker's Hospital Review 於 2016 年報導了一項針對 100 多名醫療保健 IT 專業人員進行的全球調查，結果發現 77% 的醫院主要將無線網路用於訪客存取，而 64% 的醫院透過無線網路連線醫療裝置。這些是歷史調查結果，而非當前的採用基準，但它們揭示了設計上的問題：訪客服務與臨床基礎設施共存。
流量類型、分段與存取規則
請將此作為建議的策略藍圖，而非要求為每一行建立單獨的 SSID。
| 流量類別 | 典型裝置 | 區段 | 存取方式 | 允許的目的地 |
|---|---|---|---|---|
| 訪客 | 個人手機與筆記型電腦 | 開放式網路，訪客 VLAN | 強制入口或 Passpoint | 僅限網際網路 |
| 病患 | 自有手機和平板電腦 | 開放式網路，病患 VLAN | 強制入口 | 僅限網際網路 |
| 員工企業裝置 | 受管的筆記型電腦與手機 | 安全網路，員工 VLAN | EAP-TLS 憑證 | 臨床應用程式與 EHR |
| 臨床人員個人裝置 | 醫師自有的手機和平板電腦 | 受限的 BYOD VLAN | MDM 註冊與憑證驗證 | 僅限核准的 EHR 應用程式 |
| 臨床工作站與巡房車 | 工作站與行動巡房車 | 臨床 VLAN | 憑證或個別裝置金鑰 | EHR 與臨床系統 |
| 生物醫療裝置 | 輸液幫浦、監視器、遙測儀器 | 生物醫療 VLAN | 個別裝置金鑰 | 僅限核准的供應商伺服器 |
| 建築與物聯網 (IoT) 系統 | 識別證、感測器、暖通空調 (HVAC)、電梯 | 具備特定裝置策略的 IoT VLAN | 個別裝置金鑰 | 僅限指定的後端 |
| 承包商與供應商 | 工程師的筆記型電腦 | 承包商 VLAN | 時效性憑據 | 僅限指定的系統 |
允許的目的地必須成為可執行的規則。請將「廠商伺服器」替換為經核准的應用程式端點，並單獨記錄必要的支援服務（例如名稱解析與時間同步）。請勿將狹隘的應用程式需求轉變為未受限制的伺服器網路存取。
即使資產清單將建築控制與通訊徽章歸為一類，它們也需要不同的策略。設施管理部門擁有升降機控制器；臨床營運部門則可能擁有徽章工作流程。兩者的管理存取權限與中斷後果不可混為一談。
實務原則： 在工程師建立網段之前，每一列都需要指定負責人、憑證生命週期以及明確的目的地清單。
將裝置能力保留於資產清單中。MDM 註冊是管理的前提條件，而非驗證協定，且較舊的生醫設備可能不支援憑證。請將該限制記錄為附帶負責人的例外情況，而非放寬整個類別的策略。
有哪些臨床裝置可以僅依賴 WiFi
考慮連續病人遙測。保持與無線基地台關聯的生理監視器，並不代表已將其測量值或警報傳送到接收應用程式。臨床保證必須涵蓋完整的工作流程，包含當遠端能見度消失時醫護人員所採取的行動。
ASHE 無線醫療遙測指南 強調了非授權無線頻段中的干擾、安全性與互操作性限制，並建議在不間斷監測至關重要時，考慮使用授權的醫療遙測頻譜。授權頻譜是一種設計選項，而非替代驗證監測系統的方案。
裝置類別、連線適用性與故障轉移測試
以下為規劃範本。臨床工程團隊必須確認每種備援機制皆存在、獲得原廠支援，且可供工作人員使用。
| 裝置類別 | WiFi 適用性 | 連線中斷時的備援機制 | 容錯轉移測試 |
|---|---|---|---|
| 連續病患遙測 | 僅在驗證重疊覆蓋範圍與臨床連續性後才使用 WiFi；若監測絕不能中斷，請考慮使用專用醫療遙測頻道 | 在支援的情況下使用經驗證的本機警報與有線備援；否則採用經核准的替代監測工作流程 | 在受控測試中關閉受監測病房內的無線基地台 |
| 輸液幫浦 | 具備冗餘無線基地台覆蓋範圍與經核准的中斷連線行為之 WiFi | 經驗證的本機裝置警報與人工檢查 | 重啟無線基地台並記錄重新連線時間 |
| 行動 EHR 巡房車 | 具備經驗證漫遊功能之 WiFi | 有線擴充基座與經核准的停機工作流程 | 推著巡房車走完完整的病房路線 |
| 通訊徽章 | 透過策略隔離的 SSID 或具備經驗證 QoS 的 VLAN | 有線話機或呼叫器 | 在無線基地台重啟期間進行測試通話 |
| 訪客裝置 | 盡力而為 (Best-effort) 的 WiFi | 非醫療照護所必需 | 未針對臨床用途進行測試 |
幫浦失去網路連線與其失去治療交付屬於不同的故障模式。請確認哪些功能會在本地繼續執行、哪些遠端功能會停止，以及臨床人員如何察覺變化。絕不要假設本地警報可以取代集中監控。
測試依賴項，而非僅測試無線電
唯有在端點能夠使用正常運作的基地台時，重疊覆蓋才有幫助。請在故障狀況下，驗證裝置的互操作性、驗證行為，以及剩餘無線電的容量。
在臨床備援表中包含 RADIUS 備援轉換。當主驗證服務或其區域連線無法使用時，測試新的驗證與重新驗證；現有會話保持連線並不代表兩者皆能正常運作。
我會否決將 WiFi 6 或 WiFi 7 當作臨床安全主張的設計。較新的無線電功能並不能確保可接受的警報傳送、應用程式連續性或復原行為。請在臨床變更控制下，使用測試裝置或經核准的模擬來進行破壞性測試，絕不要隨意關閉正在服務即時醫療照護的基礎設施。
如何在安裝前規劃涵蓋範圍與容量
採購應遵循同時考量建築物與終端的設計。為現代筆記型電腦放置的基地台，即使筆記型電腦的量測結果看起來良好，也可能無法為低功率醫療裝置提供足夠的服務。
根據特定裝置需求制定計劃，而非採用通用的訊號強度目標。使用製造商文件與臨床工作流程需求來定義可接受的服務，然後將這些需求納入採購驗收標準中。
建立規劃套件
盤點分段地圖中的每個裝置類別。 記錄每樓層裝置數量、尖峰同時使用量、支援的頻段和舊版 2.4 GHz 設備，包括保持通電但傳輸頻率較低的裝置。常見的錯誤是計算員工帳戶而非使用中的端點，以及忽略在病房之間移動的設備。
收集平面圖並調查建築結構。 標記混凝土牆、鉛板防護防輻射室、玻璃隔間、電梯井和設備庫房，指派工程師可在現場驗證的衰減假設值。請勿將每面牆視為相同材質，或完全信任建築設計圖能夠如實反映後續的改建。
建立預測性 RF 模型。 針對病房、治療空間和移動路線的要求配置無線存取點，同時考量端點傳輸能力與無線存取點功率。請避免透過提高傳輸功率來解決每個訊號微弱區域，因為端點仍需要可用的返回路徑。
將容量與覆蓋範圍分開建模。 估算同時發生的應用程式需求、通話時間使用率，以及中斷期間轉移到相鄰無線電的負載。即使是訊號覆蓋的房間，也可能在網路壅塞時無法運作，因此請勿將看似良好的覆蓋率圖表作為容量足夠的證據。
制定頻道與天線計畫。 控制走廊和病房區的同頻道重疊，並找出定向天線或板狀天線比全向天線更能有效調整覆蓋範圍的位置。請勿在未考慮頻道重用、裝置支援和周圍 RF 環境的情況下，盲目在所有區域採用寬頻道。
在安裝前制定合格與不合格的門檻。 為每個關鍵裝置類別和路線定義可接受的關聯、身分驗證、封包遺失、延遲及應用程式連續性。若將門檻留到調試階段才確定，會使團隊傾向於直接接受已安裝網路所產生的任何結果。
將規劃視覺圖作為工作坊的輔助工具，同時保留詳細的工程檢查清單。
提早解決安裝限制
在模型成為安裝訂單之前，工務設施部門應確認安裝位置、佈線路徑、電源配置與維護存取管道。如果工程師無法在不干擾隔離病房或不進入限制臨床區域的情況下進行維護，技術上理想的位置就沒有實用價值。
同時識別共用的單點故障。如果同一台故障的交換器或電源使相鄰的基地台同時停止服務，則這些基地台將無法提供有效的容錯能力。請記錄備援切換測試必須執行的基礎架構相依性。
預測模型是一種設計假設。簽署的規劃套套件必須說明醫院將如何對其進行測試。
簽核套件應包含射頻模型、容量假設、可接受門檻以及需特殊處理空間的標示清單。臨床工程與 IT 部門應共同審查，並由設施管理部門確認擬議的安裝方案可行。
如何在現場驗證漫遊與干擾
在安裝後測量證明所有關鍵裝置等級與路由皆符合議定閾值之前，請勿接受部署。 Ekahau 醫療保健 WiFi 連線指南 說明了預測性規劃，隨後進行覆蓋範圍、容量、干擾與漫遊的現場驗證。營運上的重要區別在於：預測是提議效能，而現場測試則是確定已安裝的系統是否確實達到該效能。
驗收測試地點與測量項目
| 測試位置 | 量測項目 | 重複測試時機 |
|---|---|---|
| 病房走廊 | 切換時間、封包遺失與應用程式工作階段連續性 | 高佔用率期間的步行路線 |
| 電梯 | 樓層間的漫遊連續性 | 在電梯正常使用時 |
| 影像醫學科 | 同通道干擾與封包遺失 | 掃描儀運作期間 |
| 病房內 | 覆蓋範圍、容量與裝置關聯 | 包含具代表性的生物醫學流量 |
| 滅菌室區域 | 與微波滅菌機運作相關的干擾 | 滅菌機運作期間 |
請使用 RF 量測工具、適當的頻譜分析儀、控制器遙測資料，以及終端或應用程式記錄檔。量測轉接器可以描述環境特性，但無法證明特定名牌或幫浦運作正常。
擷取交接與應用程式執行結果
實地走訪實際的切換路線。 遵循工作人員在實務上採用的路徑，包括進入房間、轉角走廊以及樓層間的移動。請記錄終端模型、韌體、路線與方向，以便其他工程師能夠重現測試。
在每次轉移時，記錄關聯時間、驗證完成情況、封包遺失率以及應用程式會話是否繼續進行。區分成功的無線電漫遊與應用程式逾時：使用者在乎的是通話、病歷更新或監控摘要是否能繼續運作。
接著在測試地點測量延遲、容量，以及同通道與相鄰通道干擾。請比較離峰時段與尖峰佔用期及代表性生物醫療流量的運作狀況，而非從空白病房的數據進行推算。
- 運作中的設備：在設備正常運作期間，重複對影像與滅菌區域進行測量，並須遵守當地安全程序。
- 觀察到的干擾：使用測量數據區分射頻干擾與遮蔽、壅塞或上游應用程式故障。
- 失敗的結果：指定負責人、矯正措施與複測需求，而非將失敗結果平均計算至全棟建築的分數中。
請勿假設每台掃描器都會對 WiFi 通道產生干擾。應透過對照觀察、頻譜測量及時間戳記來建立關聯性；遮蔽效應與房間結構也可能是服務品質不良的原因。
驗收標準： 簽核需要依路由及裝置類型記錄的結果，而非看起來令人放心的熱圖。
將實際量測值與約定的限制、測試條件及應用程式結果一同儲存。若裝置僅在特定驅動程式、韌體版本或組態下通過測試，請記錄該相依性，以便後續升級時能觸發正確的迴歸測試。
強制執行信任邊界並治理身分識別
僅靠獨立的 SSID 並無法建立信任邊界。如果防火牆在它們的 VLAN 之間自由路由，醫院只是改了扁平化網路的名稱，而不是強化了它的安全性。
NHS England 的網路分段指南 建議將企業無線網路區域與公眾存取區隔開，並將用戶端隔離視為防止橫向移動的一種方式。請在轉送原則中實作這些邊界，而不只是實施於手機上顯示的網路名稱中。
讓管理人員能夠直觀地瞭解身分與策略之間的關聯性。
以明確權限取代共享信任
為每個流量類別分配策略與區段，然後套用預設拒絕的區段間規則。允許所需的目的地與協定（包含已記錄的基礎設施依賴項），並封鎖不必要的用戶端對用戶端通訊。將管理存取與一般裝置運作分開。
對受管理的員工端點使用 EAP-TLS 憑證，並對生物醫療與 IoT 裝置使用唯一的受支援憑證或金鑰。再次光臨的訪客可以使用 Passpoint，而不會獲得臨床權限。上線佈署方法決不能比使用者經核准的角色授予更廣泛的授權。
AHIMA 醫療照護無線安全調查更新%20-%20Retired.pdf) 發現 32% 的醫院未採用技術來強制執行 BYOD 策略。請將該歷史調查結果視為測試非管理端點強制執行的提醒，而非對當今醫院的描述。
實用的 WiFi 存取控制 設計會連結身分驗證、授權與撤銷。請記錄發行每個憑證的人員、其許可的權限，以及應停用該憑證的事件。
證明例外狀況可以被移除
Cisco的醫療保健無線網路報告 指出，無線網路安全暴露使持續的身分治理成為營運重點。請建立撤銷程序，以便在無需變更整個病房憑證的情況下，移除受威脅的裝置或外包廠商。
為承包商存取權限設定到期日與具名的贊助者。針對無法符合偏好身分驗證原則的舊版裝置，請記錄補償性限制、負責的主管以及審查條件。缺少這些欄位的例外狀況，即屬於未管理的存取。
請將隨附的影片作為支援背景資訊，而非作為醫院控制措施有效的佐證。
執行明確的反向與正向測試：
- 未授權關聯：未經批准的端點絕不可取得受信任存取權限。
- 訪客對臨床流量：必須拒絕嘗試連線的行為並產生可用的證據。
- 生醫對工作站流量：未經批准的連線必須失敗，且不得中斷裝置已批准的後端連線。
- 已撤銷的憑證：測試全新的身分驗證，以及對已連線工作階段的處理機制。
- 已批准的工作流程：確認套用限制後，允許的應用程式仍可正常運作。
成功意味著已驗證允許路徑的執行情況。 記錄身分、指派的策略、嘗試的流量與觀察到的結果，包括必須保持可用狀態的合法流量。
如何長期監控並證明符合規範
監控功能應告知維運人員臨床服務是否維持可用，以及存取權是否仍符合策略。僅基地台回報狀態正常，並無法證明上述任何一項。
與醫院的隱私、資安及臨床工程團隊合作，將每個區段對應至適用的合規義務。請勿假設 VLAN 標籤即可確立合規性，或每個司法管轄區都套用相同的記錄檔紀錄要求。
為每項控制措施指定負責人
| 控制領域 | 指定訊號或佐證 | 權責負責人 |
|---|---|---|
| 訪客與病患隱私 | 收集的入口網站資料、存取權限及保留設定 | 隱私保護主管 |
| 臨床與員工存取 | 身分驗證紀錄、角色變更及策略指派 | 身分管理團隊 |
| 生物醫學需求 | 核准的組態設定及製造商支援的連線能力 | 臨床工程團隊 |
| 未授權的流量 | 遭拒的流量及目的地白名單之外的存取嘗試 | 資安維運團隊 |
| 臨床服務品質 | 應用程式可用性、延遲及失敗的交易 | 臨床應用程式負責人 |
當未知裝置加入臨床或生醫網段、發生異常驗證失敗以及嘗試存取核准目的地清單以外的項目時發出警示。將警示傳送給能夠區分引導配置錯誤與安全事件並能啟動適當回應的人員。
結合使用 頻寬使用量測量 與應用程式遙測技術，藉此調查壅塞情況。單憑總吞吐量無法顯示臨床交易是否在訪客下載正常進行時發生停頓。
在安全事件發生期間保持證據可用
設定固定的日誌審查時程，並記錄審查人員、發現結果與後續因應措施。限制日誌存取權限，並與隱私及安全性負責人確認保存期限，因為連線記錄可能包含敏感的識別資訊。
為每個病房指定由其臨床負責人核准的臨床復原目標。明確說明當服務降級時何時觸發備援工作流程、由誰宣佈，以及工作人員如何得知已恢復正常運作。
- 原則一致性：比較跨據點與舊版無線基地台的預期規則與已部署設定。
- 變更觸發因素：在相關韌體、應用程式、建築或裝置變更後重新驗證。
- 佐證資料包：將驗收結果、故障移轉紀錄、例外狀況與日誌審查決策保存在一起。
稽核員或事件應變人員應能確認測試的內容、所使用的組態、通過的時間以及接受剩餘風險的人員。請將佐證資料與組態版本保持關聯，而非分散於螢幕截圖與個人資料夾中。
在購買硬體前繪製網路分段圖
在訂購無線基地台之前，先建立並簽核網段地圖。邀請臨床工程、IT、設施管理與臨床營運部門參與審查，並在權責爭議仍為文件中項目而非實際存取例外時解決問題。
對於每個類別，請決定其是否需要獨立的 SSID、VLAN 指派、特定裝置原則或唯一的憑證。這些是不同的設計選擇。IoT 網路分段 計畫應依據所需的通訊與失敗後果來區隔裝置，而不僅僅是依據設備標籤。
將採購建立在驗證證明的基礎上
將涵蓋範圍與應用程式門檻，以及其備援機制和驗收測試，附加至每個臨床資料列。請包含安裝限制與基礎架構相依性，以使採購決策能反映整體系統，而非僅反映無線電規格。
我們的 Purple Access 規劃工具可讓您勾選目前連接的項目，並查看各個群組在三個 SSID 中的歸屬：Open 供訪客與 BYOD 使用、Secure 供員工與受信任使用者使用，而 xPSK 則供裝置、租戶與社群使用。利用該群組歸類練習來簡化存取設計，切勿將 SSID 整合與臨床驗證混為一談。
在核准之前，必須先就勘測範圍、測試端點以及簽核所需的證明達成共識。請在專案計劃中保留現場驗證工作，而不是在安裝後將其視為可有可無的費用。
本週請採取以下行動：
- 標註平面圖：列出裝置類別及其使用的臨床路徑。
- 分配責任：為每個類別指定負責人，包括外包廠商與舊版裝置的例外狀況。
- 預約驗證：排定現場實測，並在採購前就驗收矩陣達成共識。
採購決策應基於可測試的設計，而不應由採購決策來主導設計。
Purple Access 提供身分的開放、安全與 xPSK 網路，配合 Cloud RADIUS 依身分將裝置指派至適當的網路與 VLAN。請造訪 Purple Access，使用規劃工具來規劃您醫院的連線群組，然後將該對照圖連同故障移轉表與驗收測試，一起帶入您的臨床工程審查中。
