为保证数据安全，大型三甲医院核心系统集成架构应如何设计？

三甲医院实现院内医疗服务信息互通共享，核心系统集成平台必不可少。如何在集成平台设计时保障数据安全是一个巨大的挑战。近期twt社区邀请万达信息集团技术支持专家分享了基于LinuxONE的医院综合信息系统集成架构设计方案，与各位医疗同行针对大型三甲医院核心系统集成架构的数据安全设计进行了详细讨论。以下是本次活动的精彩问答整理回顾，供更多同行参考。

主要分享者：uckfeng 万达信息集团技术支持专家，刘东 某集团首席技术顾问，heray2323 某医院系统架构师

Q1、集成平台的维护成本如何？

@刘东：

集成平台的成本主要不是建设成本，而是运维成本。因为集成平台在建设完成后，会有大量的数据进行运维和管理，医院信息系统数据异构性越大，成本越高。而且集成平台后期还需要接入大量新的信息系统，运维成本会越来越高。

通常来说，国内厂商的集成平台产品性价比好一些，不但接地气，了解国内医院用户需求，而且人力成本相对国外HIS厂商成本也更低。

@heray2323：

集成平台是一个庞大而复杂的系统，维护成本根据每家医院平台的建设规模而定，如果是大型的三家医院或者业务量和系统较多的医院，维护成本较高。目前国内主流的集成平台承建商有很多，按照主流的同行观点，自主研发的平台总线稳定性相对来说不如国外比较成熟的平台总线产品，自主研发的平台总线性价比较高。

@uckfeng：

上了集成平台之后，集成平台就成了医院的消息信息中心，是不亚于HIS、LIS等系统的核心平台，集成平台的建立对于医院电子病历等级评定及互联互通等级评定都是前提条件。我们已经协助全国多家二、三级医院完成电子病历6级及互联互通5级的评定。

Q2、关于集成平台，目前故障恢复的主要手段有哪些？恢复的速度如何？

@heray2323：

集成平台根据产品和部署架构不同，有不同的故障恢复方案和手段，但是在集成平台中，临床数据中心（CDR）如果也作为集成平台的一部分，恢复速度就取决于数据库的大小和备份的策略，理论上来说数据库越小，恢复的速度越快。

@刘东：

集成平台的故障恢复手段主要看采用哪种技术进行部署。恢复效果也不大相同。

1、数据库层面，主要包括ORACLE RAC和ADG等等。RAC可以做到故障实时运行，即一个节点故障不会影响另外一个节点运行。ADG为主备模式，平时一个节点运行，另外一个节点备份。出现故障需要数分钟时间进行恢复。

2、应用层面,可以采用物理主机HA技术或者虚拟化的故障恢复技术。

物理机HA通常使用ROSE HA、POWER HA或Linux HA等不同的基于主机的故障恢复技术。大部分都属于主备模式。平时一个节点运行，另外一个节点备份。出现故障需要数分钟时间进行恢复。

虚拟化故障恢复技术可以选择 VMware HA或者VMware Ft或VMTION等故障恢复技术。VMware HA 平时也是一个节点运行，另外一个节点备份。出现故障需要数分钟时间进行恢复。FT和 VMTION可以做到实时故障恢复或者主动迁移故障恢复主机，不需要停机时间。

@uckfeng：

从集成平台的底层架构来都可以使用多穿容灾故障手段恢复业务，如负载均衡，数据同步等。恢复速度也是根据不同的投入而定。

Q3、LinuxONE平台如何为医疗信息化带来更高的安全性？

【问题描述】活动资料文档里面涉及到LinuxONE平台的架构，这个架构在安全性上是如何保证的？现在医院的信息安全非常重要。

@刘东：

LinuxONE具有非常强大的高安全性，可以把不同类型的业务系统部署在1台LinuxONE上，而且没有安全问题的影响。

对于安全隔离问题，如果采用逻辑分区部署，可以通过划分不同的逻辑分区（LPAR）来实现医院核心系统数据库部署。如果采用虚拟机部署，可以将医院众多的应用系统可以部署在一个或多个z/VM或KVM虚机中，而LinuxONE单台可以支持8000个以上的虚拟机。

LinuxONE的LPAR达到CC EAL5+的安全认证等级，其隔离水平接近于物理隔离，且不需要VIO分区。

LinuxONE独有的安全服务容器(Secured Service Containers，SSC)设计杜绝来自外部的资料及代码的未授权访问，为企业安全、可信地开展区块链应用提供最高级别的安全保障。鉴于LinuxONE极致的硬件可靠性，一般情况下应用或数据库可以跨LPAR进行高可用的部署，资源动态共享和优先权机制又能保证分区间应用对资源的需求不会互相干扰。应用和数据间的通讯更可以选择LinuxONE的Hipersocket功能来创建虚拟IP网络，数据通过主机内部总线传输，无需进出相关的网络设备，更安全、高效。

@uckfeng：

LinuxONE使用的 IBM Secure Services Containers 可有效防止特权用户滥用并防御恶意软件。同时LinuxONE 结合了加密密钥以及专为 EAL5+ 认证设计的隔离式工作负载，是业界最安全的Linux服务器。

Q4、我院集成平台将和HIS系统更换同时进行，集成平台与HIS数据对接问题？

【问题描述】我院集成平台将和HIS系统更换同时进行，问题是先上线集成平台接受旧HIS数据，待新HIS上线后后做数据对接，还是先更换HIS系统将新旧HIS系统做数据对接后将数据上传数据系统?

@uckfeng：

医院的集成信息系统可以提高医院的信息共享度，提高医院的工作效率，其中集成平台与HIS系统的平台对接最为重要，与HIS的数据对接可以极大的减少集成开发工作和维护工作，可以使得医院信息系统的集成水平达到一个新的高度，建议在新HIS上线后进行集成平台的数据对接。

@heray2323：

集成平台跟HIS的交互和接口数量会比较多，如果先建设集成平台并先上线，建议在集成平台投入使用时，暂时不把旧HIS相关接口接入集成平台，否则接口会重复接入两次，一次是旧HIS进行对接，另外一次是新HIS进行对接。

如果是先把新HIS建设完成上线，在上线时，也是建议不要马上跟集成平台和第三方接口进行对接，最好沿用以前旧HIS的接口与第三方系统进行数据交互，等新HIS上线稳定后，再逐步把业务和与第三方系统的接口一个一个迁移到集成平台中来使用。

@刘东：

上集成平台最好先更换HIS系统。因为集成平台与HIS系统关系紧密，数据接口众多，集成平台的实施的前提是HIS系统一定要做好准备，包括接口的改造和数据的标准化处理和对接等等。所以，在HIS系统没有更新完成之前，不建议上集成平台，先更新HIS系统，待整个系统稳定后，再考虑部署集成平台。

Q5、医院HIS、LIS、EMR等核心系统全部更换并且上集成平台，应该如何保证切换顺利？

我院领导要求把HIS、LIS、EMR一起全部换掉，并同时上线新的集成平台，如何保证切换顺利？这个对信息科来说是非常麻烦的，听听大家的经验！

@uckfeng：

首先需要制定详细的上线计划，特别是HIS和医院其他系统均有接口，必须做好上线前的测试工作，LIS、EMR、PACS等也同样如此，再加上集成平台，基本上是医院的核心信息系统翻掉重做了，我做了一个项目从项目进场到系统分批上线总共用近两年的时间，建议根据轻重缓急及医院内部的协调情况，分步执行，一步到位肯定会有问题。

@刘东：

1、集成平台上线前，一定要提前更换好HIS、LIS、EMR，不建议同时更换。集成平台建设会涉及大量的应用系统接口改造和数据标准化处理工作。同时更换会非常麻烦和混乱。

2、 信息集成平台开发是一个复杂、庞大的工程，比开发单个系统的开发要困难得多，需要各厂商的配合与大力支持，但各系统各厂商不一定能配合得好，配合开发。所以集成平台最好选择与HIS、LIS、EMR一样的产品厂商。因为同一个厂商的技术路线和数据标准非常容易集成，可以极大的减少系统升级工作的风险和工作量。

3、集成平台涉及的系统多，流程多，数据多。系统开发工作量评估存在重大风险，可能会存在实施时间长、其它系统负责人更换、承诺变更等风险。

4、集成平台上线对科室维护人员提出更高的要求。要求提前与相关厂商进行积极沟通，做好调研和详细的系统实施方案，不能盲目进行系统更新和维护工作。

Q6、互联网+背景下医院IT信息基础设施如何保护？传统物理攻击与网络攻击攻防有何变化？

@uckfeng：

在互联网+背景下，医院信息安全除关注传统的物理机房安全、网络架构安全、服务端安全、数据存储设备安全、专用设备安全等医院信息基础设施层之外，更应关注移动医疗安全，医疗云应用安全，同时也需关注涉及个人隐私数据和医院业务数据的数据安全。应对措施有：（1）合规：医院需要基于网络安全等级保护制度要求，通过安全技术和管理措施，保障医院信息系统的可用性、完整性、安全性。（2）医院应基于互联网业务应用分层次、分阶段、分区域构建系统纵深防御体系。（3）建立风险评估体系，统一安全策略，建设信息系统事前、事中、事后的安全防护措施；（4）建立完善安全应急响应体系，尤其针对黑客入侵、数据泄露、页面篡改等互联网的安全事件等，应建立安全应急响应制度。

@刘东：

互联网+背景下，医院受到的来自外部的网络攻击越来越多。

Q7、架设平台之后，如何解决单点故障的问题？

Q8、集成平台建设基础设施安全、系统安全和数据安全三个层面应该要重点考虑哪些点？

Q9、医院信息集成平台应当如何避免数据泄露问题？

Q10、基于LinuxONE开放平台如何进行云平台灾备部署和同步方案设计？专家这块是否有解决方案？

11、等保2.0时代，医院信息安全应如何应对？等保测评工作该如何开展？

如有任何问题，可点击文末阅读原文到社区原文下评论交流

长按二维码关注公众号