5G醫療行業專網安全的閉環解決方案
5G醫療
2021-01-11 14:43:00
5G醫療
5G
醫療
本文從5G醫療專網建設需求和專網架構出發，分析醫療專網的安全問題，再從端到端角度提出5G醫療行業專網安全的閉環解決方案，為現網建設提供指導。
引用本文：畢敏，王亮，石遠兵.5G智慧醫院安全醫療專網研究[J].通信技術,2020,53（11）:2705-2712.
摘要
醫療服務關乎人們的生命健康。醫療信息化和醫療專網是實現優質醫療服務共享與延伸的重要手段。鏈接萬物的5G商用化，使得醫療專網建設在全國各地井噴式發展。然而，對于承載大量敏感數據和隱私數據的醫療行業，網絡安全性非常重要。因此，從5G醫療專網建設需求和專網架構出發，分析醫療專網的安全問題，再從端到端角度提出5G醫療行業專網安全的閉環解決方案，為現網建設提供指導。
關鍵詞：5G醫療專網；安全；編排；重構
內容目錄：
0 引 言
1 5G醫療行業專網建設分析
2 端到端的5G安全醫療專網解決方案
3 結語
推薦產品：
FCU2302嵌入式控制單元-5G工業網關 >> 點擊查看詳情
5G工業網關 FCU2302嵌入式控制單元，支持邊緣計算，具有高帶寬、低時延、移動性的優勢，更強的運算能力、穩定性和可擴展性。集數據智能采集、多種通信協議轉換、5G無線通信、VPN虛擬專網、本地存儲、WIFI覆蓋、數據多中心傳輸等功能于一體，具有強大的設備接入能力、聯動控制能力。
飛凌提供的5G工業網關可為各種醫療診斷設備、醫療機器人等提供安全可靠醫療數據傳輸，滿足4K/8K 遠程高清會診和醫學影像數據的共享，解決醫院專線建設難度大、成本高，及院內 WiFi 數據傳輸不安全等問題。關注智慧醫療解決方案，關注5G+醫療，飛凌嵌入式提供多種5G工業網關解決方案，支持項目定制，詳細資料您可聯系在線客服索取。
正文開始：
0、引言
醫療服務關乎人們的生命健康，其發展水平和速度備受世界各國關注。進入21世紀，我國在醫療服務建設上取得了舉世矚目的成績，但和人民日益增長的對美好健康生活的需求相比，醫療資源不足的瓶頸依舊凸顯，各地區醫療水平發展不均衡的矛盾仍然存在。如何加速醫療產業健康發展，補齊各地區不平衡發展的短板，提高整體運作效率值得全行業思考。隨著社會的進步，人們對醫療信息化的要求已經從簡單的數據匯集應用發展到對數據的利用階段，由傳統的單體醫院服務模式邁入區域醫療、醫聯體服務模式，實現了優質服務的共享與延伸。這些相關的互聯網+應用，均需要極高的網絡帶寬支撐和極低時延的數據響應。
所以，5G網絡一問世就引起了醫療界的重點關注。它的大帶寬、高可靠、低時延的網絡特性輔以邊緣計算平臺，借助SDN、云計算、大數據以及人工智能等技術，成為醫療行業建立行業專網的有力抓手。
1、5G醫療行業專網建設分析
1.1 5G醫療專網建設需求
結合醫療行業網絡現狀，5G醫療專網建設有兩方面需求。一方面，目前醫療行業內部利用以太網、WiFi以及4G等網絡技術已經建設了醫療信息化系統，醫療企業希望與運營商合作，將5G平滑融入現有業務系統，最好做到“即插即用”，即對現有業務流程不做大的修改，從而實現現有業務提質增效，同時期望能夠與通信服務企業合作探索新興業務類型。企業希望利用本身的站址、網絡傳輸等資源與運營商合作構建5G，實現企業現有的網絡及業務管理系統與5G網絡無縫融合。此外，在獲得5G網絡運營權的同時，期望降低企業自身的網絡及運營成本。另一方面，保障企業核心業務數據安全，不出園區。
1.25G醫療專網架構
如圖1所示，5G醫療行業專網是新型ICT基礎設施，通過標準化的專網構建面向行業客戶服務的市場，同時以“基礎網絡服務+行業增值服務”的運營模式，滿足不同醫院標準化和定制化的業務需求。在基礎網絡服務方面，結合5G網絡的覆蓋情況，打通多級云和多級醫療單位之間的連接，通過行業專用網關和專網分片隔離等技術，滿足企業數據存儲和傳輸的安全、個人業務和企業業務的高效融合以及各類應用場景低時延、高帶寬的網絡需求。
圖1 5G醫療行業專網基本架構
整個5G行業專網組網架構主要涉及行業終端、5G無線網絡覆蓋、端到端網絡切片、行業專網網關以及邊緣計算平臺等[1]。
1.2.1 5G行業終端
5G行業終端主要分為普通行業終端和雙域安全終端兩類。普通行業終端即醫療行業各種終端設備，這些終端或通過網線或通過無線連接到醫院網絡；雙域安全終端實現一個手機可同時接入公網和醫院專網，進而實現公網數據與行業客戶數據的同時訪問。
1.2.2 無線網絡覆蓋
基于客戶的覆蓋需求，提供5G宏站與5G小站的部署位置與方案，保障企業院區內5G無線覆蓋的完整性和連續性。同時，考慮客戶已有的網絡連接的整合，包括WiFi、有線、園區自有網絡和光纖等，實現院內固移融合的全連接無線網絡覆蓋，從而滿足不同類別的生產需求。
1.2.3 端到端網絡切片
針對具體業務安全等級，劃分不同的切片級承載，對應不同等級的專網資源，滿足行業客戶對專屬網絡服務的差異化需求。
1.2.4 行業專網網關
提供企業數據本地分流能力，保障數據不出院區；保證正常的公網用戶訪問數據不受任何影響；借助網關的統一接入與認證能力，實現不同網絡接入類型（WiFi、光纖）的統一連接。
1.2.5 邊緣計算平臺
邊緣計算平臺（Multi-Access Edge Computing，MEC）[2]提供本地數據處理、第三方APP能力以及行業安全解決方案服務，是建設智慧院區的關鍵設備節點。
1.2.6 醫療業務平臺
醫療業務平臺包括HIS系統、PACS系統、EMR系統以及DB系統等。
1.3 5G醫療專網安全問題分析
1.3.1 基于專網組件的角度分析安全問題
基于上述架構及需求，5G醫療安全專網安全問題從網絡組件的角度來看主要涉及以下方面，如圖2所示。
圖2 5G專網安全問題
（1）行業終端安全。在醫療網絡中，終端可以分為普通患者或醫院往來人員使用的終端設備、醫護人員使用的終端和院區的IoT設備3種。海量終端接入網絡，一旦失控將導致網絡后臺癱瘓，難以恢復和排查。因此，終端安全最基本的做法是對其進行分類，根據類型設置權限后再進行訪問。
當終端失控時，把安全事件控制在一定范圍內。普通患者和醫院來往人員的終端設備一般為移動設備，可以訪問醫院普通應用系統，如掛號系統、咨詢系統等，也可以進一步與外部互聯網系統通信。醫護人員的終端有移動終端也有固定臺式終端，根據人員分工不同，這些終端設備訪問權限不同。其中，雙域終端可同時接入公網和醫院專網，實現公網數據與醫院專網數據的同時訪問。這類終端是醫院行業專網中最容易失控的終端，病毒數據通過這類終端偷溜入醫院專網數據庫，竊取數據到互聯網。
因此，雙域終端必須嚴格控制使用人及使用安全，同時制定終端安全方案及終端訪問安全方案，做好終端數據安全隔離，保證行業數據在終端側的安全。采用雙域的云終端可以很好地解決這個問題，且專網數據在終端上不留痕。
特別的，雙域終端在離開園區覆蓋時，也可以根據其安全需求，接入相應安全等級的網絡切片中使用。普通專網移動或者固定終端僅在園區內使用，離開園區覆蓋范圍則不能用。這類終端失控將影響專網的正常運行。
（2）接入安全。5G行業專網接入安全主要源于多種接入終端以及接入網絡采用的多種接入協議導致的協議匯聚、協議交互、協議轉換過程中引入的安全漏洞。此外，5G為主要接入手段的無線專網部署，簡化了光纖部署的施工步驟，為專網接入帶來極大便利，但同時增加了空口被竊聽的風險。
（3）云上數據安全。邊緣計算平臺作為5G專網的云業務平臺，區別于傳統的中心云的部署，通常部署在專網客戶機房，極端情況下（業務回環時延要求極小）也可以與園區內基站共站址，與基站聯合部署。應用網絡下沉到邊緣，極大地提高了業務響應速度，解決了5G應用中的低時延問題；業務更貼近用戶，提供本地化服務，從而提升了用戶體驗，發揮了邊緣網絡的更多價值。
然而，僅是應用網絡下沉到客戶端，核心保護措施由于成本和網絡架構等因素考慮并未完全下沉，因此邊緣網絡是一個極其脆弱的存在，一旦被攻擊，則將導致整個行業應用網絡的不安全，通過核心網元的傳遞將導致整個運營商網絡的不安全。
邊緣云上的安全包括傳統云上的安全，如租戶身份假冒、非授權訪問、非法應用部署以及數據安全隔離。針對醫療行業，專網上有很多敏感數據和個人隱私數據，因此數據不出園區和數據分等級訪問極其重要。
此外，邊緣網絡也是一個能力開放的網絡，甚至網絡能力對某些應用都會開放。外聯安全，調用網絡能力的應用者身份及權限管理非常重要，否則將帶來整個運營網絡的崩潰及個人用戶隱私數據的暴露危險。
（4）管理安全。管理安全包括權限管理、權限關聯管理和生命周期管理，還涉及資源組建、使用、回收以及過程中的安全問題等。管理安全是保障邊緣云安全的重要手段。
1.3.2 基于醫療專網應用的角度分析安全問題
按照醫療專網的應用場景，安全問題在如下幾種場景中集中體現。
（1）園區內本地組網場景，如圖3所示，是醫院園區各個樓棟之間的典型應用場景。基站、行業網關以及用戶面功能（User Plane Function，UPF）[3]在園區內部署，本地業務的數據流不出園區。基本安全策略是園區內本地業務在本地邊緣云和邊緣數據中心上終結。這種場景下，需要特別關注如下的安全問題。
第一，醫護人員的雙域終端安全問題。終端需要根據業務的不同采用不同的控制資源、信令資源以及數據資源，防止不同應用的數據互操作。特別的，復用空間被釋放或重新分配前可得到完全清除，防止互聯網病毒通過終端入侵內網終端。
第二，園區內包括基于多種接入協議的終端及網絡、固移結合的網絡等，而不同協議間的轉換也容易出現安全問題。
第三，園區邊緣網絡。核心網網元UPF下沉到邊緣，更接近用戶端，大大減小了時延，也更加容易被攻擊。嚴重時，通過下沉的核心網網元攻擊運營商整個網絡，會導致整網癱瘓。
圖3 5G醫療專網園區本地網絡
（2）園區間協同組網場景，如圖4所示。5G醫療行業專網，實現醫院及其他醫療機構、醫聯體間的聯合組網，實現優質醫療資源的延伸。這種情況下的專網是一個廣域專網，醫療服務由5G廣域專網核心平臺統一協調處理，通過建立多層級的專網邊緣服務平臺，級聯的專網網關實現數據重定位到特定的服務專網。
它可以分為本地跨院區廣域專網和跨省廣域專網兩種場景。這些網絡有的通過切片分組網接入，而在切片分組網絡沒有覆蓋的地方，則通過普通移動網絡或第三方網絡接入。這種場景下，需要特別關注4方面安全問題：①多級邊緣云數據的相互訪問安全問題；②多級數據在中心云匯聚時的數據合并、存儲時的安全問題；③多級數據間傳輸的安全問題；④多種網絡接入方式及多種網絡協議轉換時的安全。
圖4 5G醫療專網廣域網絡
（3）園區外移動組網場景，如圖5所示。該場景主要應用在醫院園區的急救車駛出院外的場景。它分為有醫療專網覆蓋的場景和無醫療專網覆蓋的場景兩種情況。這種場景下，需要特別關注5方面的安全問題：①移動終端的安全管控問題；②移動終端接入專網身份安全問題；③無專網覆蓋且采用常規網絡接入的情況下，終端及所采用的無線資源和有限資源的安全問題；④移動終端通過普通網絡接入到園區網絡時的安全問題；⑤不同運營商間接入的安全問題等。
圖5 5G醫療專網移動網絡
2 端到端的5G安全醫療專網解決方案
5G商用化利用切片技術實現垂直行業對差異化網絡能力的需求。對于醫療行業來說，不同的應用場景對網絡管道傳輸能力要求不同。例如：對于遠程手術，需要高清視頻業務的支持，重點關注帶寬與傳輸時延；對于醫院固定環境，醫療設備接入則重點關注功耗；對于醫院等敏感數據的行業來說，專網還需要提供差異化可重構的安全能力。因此，在醫療行業領域，由于業務需求的不同，可以有不同的網絡管道切片、不同的業務安全等級以及采用不同的密碼算法給予支撐。
5G醫療專網業務開展解決方案如圖6所示。
圖65G醫療安全專網整體解決方案
2.1 統一編排、動態重構
行業專網安全問題涉及到“云-管-邊-端”各方面。網絡切片也是一個端到端閉環的虛擬資源組合。根據業務性能、網絡性能等動態的變化，專網安全也能夠動態重構。因此，5G醫療專網中，利用網絡安全屬性與網絡資源屬性的可以統一編排、可重構的特點，從終端、傳輸管道、邊緣云以及中心云端采用統一的安全策略，保障同一層級的業務安全進行，保障不同層級業務間的資源隔離。
2.2 軟件定義的5G醫療專網安全架構
5G醫療專網通過應用需求和終端類型需求，實現對網絡組網的深度參與，真正實現軟件定義網絡架構（Software Defined Network，SDN）。如圖7所示，利用5G移動網絡的資源編排能力和開放安全能力，將業務安全需求轉化為對網絡資源的安全防護策略，從而實現對安全資源的按需動態分配和調度，并將業務應用的共性安全能力抽象封裝為業務安全支撐服務，實現業務安全能力的快速部署和擴展。
此外，終端在接入網絡時，通過能力上報和資源請求，也會將其安全需求上報給網絡。由此，網絡統一編排系統可構建一個動態可重構的業務安全防護框架，實現垂直行業差異性安全能力需求的業務安全保障架構。
2.3 第三方能力參與的5G醫療專網建設
網絡能力開放，因此運營商可通過能力開放機制使垂直行業的第三方能力通過編排參與到5G網絡切片的能力構建中，從而更好地服務應用業務。第三方安全服務參與5G網絡能力模式，如圖7所示。
圖7 第三方安全服務參與5G網絡能力模式
2.4 由終端發起的安全醫療業務
圖8是終端側主動發起的安全醫療業務。首先終端需要向網絡端提交申請的業務種類、參與方安全等級等，網絡權衡全網資源后，按需編排相應的資源支撐該業務[4]。
圖8 終端側主動發起的安全醫療業務
（1）救護車開展移動救護工作，需要接入醫療專網獲取相關醫療數據及指導；向網絡發送接入請求，同時攜帶終端能力和安全業務需求。
（2）5G網絡根據業務請求重定位業務到5G邊緣醫療網絡。
（3）邊緣網絡中管理編排（Management and Orchestration，MANO）[5]接收到接入信息后，根據業務請求及相關參數確定業務安全等級，分配邊緣轉網絡虛擬資源（如基礎資源、計算資源、存儲資源以及密碼資源等）。
（4）邊緣云資源分配完成后，通知5G網絡。
（5）5G承載網絡根據業務需求、QoS以及安全需求等，分配切片資源、傳輸資源和無線資源。
（6）5G網絡將終端發起業務所用的無線資源通過空口通知給終端。
（7）終端采用網絡統一分配的資源接入網絡，開展端到端統一安全策略的5G醫療專網業務。
2.5 由網絡發起的安全醫療業務
圖9是網絡側主動發起的安全醫療業務。業務發起時，網絡已經知道業務的種類及安全等級。它主動規劃權衡全網資源，并分配相應的資源支撐該業務。
圖9 網絡側主動發起的安全醫療業務
（1）醫院內網開展遠程醫療教學業務和內部培訓，主要針對主任級人員。MANO根據業務信息確定業務安全等級，分配邊緣網絡上的業務資源、存儲資源及安全資源保障云上業務安全。此外，MANO會查詢終端數據庫，選擇此高級安全業務承載終端設備，并選擇相應的基站設備進行通知（尋呼）。
（2）通知5G承載網絡醫療安全業務開展、網絡需要達到的安全等級及網絡QoS等。
（3）5G承載網絡根據需求分配切片資源、傳輸資源以及無線資源。
（4）5G承載網絡利用重配置消息（尋呼消息）通知參與終端，建立端到端的專網數據切片通道，保障業務安全的進行。
（5）安全醫療業務進行。
3 結語
醫療專網是醫院最重要的信息化基礎設施。5G智慧醫療安全專網整合醫療資源，助力分級診療，實現醫療互助，同時借助第三方安全需求及能力，加以移動網絡切片功能，構建統一編排、動態重構的網絡。本文結合5G醫療專網的應用場景，對5G醫療安全專網建設做了深入分析和研究，對現網建設具有重要的參考價值。
作者簡介
畢敏（1978—），女，碩士，工程師，主要研究方向為移動邊緣計算安全技術；
王亮（1970—），男，學士，工程師，主要研究方向為物聯網安全；
石遠兵（1978—），男，碩士，高級工程師，主要研究方向為網絡信息安全。
選自《通信技術》2020年第11期（為便于排版，已省去原文參考文獻）
聲明：本文來自信息安全與通信保密雜志社，版權歸作者所有。文章內容僅代表作者獨立觀點，轉載目的在于傳遞更多信息。如有侵權，請聯系luan@forlinx.com。
相關產品 >
-
FCU2303嵌入式控制單元
5G智能網關|FCU2303嵌入式控制單元5G智能網關3.0是高度集成的新一代5G智能通信網關。5G智能網關高算力CPU，采用無風扇設計，提供強大的邊緣計算能力的同時保證系統長時間穩定運行。5G網關支持全網通5G模組可為用戶提供高帶寬、低延時、大連接的服務。5G智能網關配有8個獨立MAC地址的千兆以太網和8個RS485。5G智能網關廣泛適用于智慧城市、智慧工廠、智慧電力、智慧水務、智慧農業、安防監控等行業。 軟件采用Ubuntu18.04系統，集成豐富的第三方組件Samba、Lighttpd、虛擬化技術（Docker、LXC、QEMU）、IPSEC、OpenSSL等。提供開放的系統API，方便用戶二次開發。 了解詳情
-
FCU2201嵌入式控制單元
高性價比5G工業網關 |FCU2201嵌入式控制單元搭載NXP LS1012A-C網絡處理器開發設計，是一款工業級的高性價比5G網關產品，采用無風扇散熱設計；CPU主頻1GHz，RAM 512MB，滿足一般邊緣計算和數據轉發的能力；并支持Ubuntu18.04和OpenWRT系統，方便用戶二次開發設計；5G模組采用M.2封裝可插拔方式，可更換為4G模組做成本優化；以及支持5個RS485接口，其中4個可拆卸做成本優化；產品適用于智慧工廠、智慧農業、智慧城市、智慧醫療等領域，關于傳感器數據采集、網絡攝像頭圖像采集、數據的處理、存儲、5G上傳等應用。
了解詳情
換一批
