【文章內(nèi)容簡介】 部應用然后與虛機HA進行聯(lián)動。市立醫(yī)療集團數(shù)據(jù)增長速度非常之快，而管理數(shù)據(jù)能力的提高速度總是遠遠落在后面。通過存儲的虛擬化，屏蔽硬件差異性，實現(xiàn)后端存儲可靠性和可用性，實現(xiàn)跨異構(gòu)陣列的數(shù)據(jù)遷移，可以簡化頻繁遷移的難度、復雜程度。支持跨站點數(shù)據(jù)遷移和定位，可以實現(xiàn)站點陣列和虛擬數(shù)據(jù)的遷移，提升雙數(shù)據(jù)中心或多數(shù)據(jù)中心的可用性及靈活性。將存儲資源虛擬成一個“存儲池”，把許多零散的存儲資源整合起來，從而提高整體利用率，同時降低系統(tǒng)管理成本。可以對整合起來的存儲池進行劃分，以最高的效率、最低的成本來滿足各類不同應用在性能和容量等方面的需求。 雙活數(shù)據(jù)中心結(jié)合虛擬服務器和虛擬存儲技術(shù)，實現(xiàn)雙活數(shù)據(jù)中心。兩個數(shù)據(jù)中心均運行日常應用，一方面，某一數(shù)據(jù)中心在出現(xiàn)災難時，不需要進行切換，另一個數(shù)據(jù)中心自動接管應用，不會造成停頓，消除RTO，免除切換的各項復雜操作，不會因為切換而造成各種風險，另一方面，也完全消除了計劃性停機。利用存儲虛擬化技術(shù)實現(xiàn)分布式聯(lián)合，跨數(shù)據(jù)中心透明地移動和共享工作負載（包括整個虛擬機）、整合數(shù)據(jù)中心，以及優(yōu)化資源利用率。把應用、數(shù)據(jù)從物理資源中解放出來，所有的資源變成按需分配可付資源，應用加數(shù)據(jù)是按需求來挑選需要使用的資源并可實現(xiàn)跨地域的流轉(zhuǎn)，實現(xiàn)兩個數(shù)據(jù)中心的數(shù)據(jù)整合。 傳統(tǒng)的備份手段通常備份時間間隔長，數(shù)據(jù)丟失量大，恢復速度也很慢，這些問題無法滿足醫(yī)院HIS、LIS等在線系統(tǒng)的要求。而連續(xù)數(shù)據(jù)保護將注意力從備份轉(zhuǎn)向了恢復。連續(xù)數(shù)據(jù)保護是數(shù)據(jù)保護領(lǐng)域的一項重大突破。在過去，各種數(shù)據(jù)保護解決方案都將主要精力放在定期的數(shù)據(jù)備份上。但是，在定期備份狀態(tài)下卻又會產(chǎn)生像備份時間窗口、打開的文件及數(shù)據(jù)庫的保護以及備份操作過程對業(yè)務系統(tǒng)的影響等問題。今天，CDP已經(jīng)使數(shù)據(jù)保護全面改觀，并且將注意力的焦點從備份轉(zhuǎn)向了恢復。CDP可以為重要數(shù)據(jù)中的變化提供連續(xù)的保護，IT管理員根本不需要考慮備份的問題。當災難發(fā)生時，基于CDP的解決方案可以迅速恢復到任何一個需要的還原點，從而為用戶提供更大的靈活性。 利用CDP技術(shù)在主機房及災備機房之間建立鏡像卷，這樣即使主機房出現(xiàn)災難狀況，容災機房依然能夠保證數(shù)據(jù)的安全；CDP除鏡像卷外，還有日志卷，這樣，如果出現(xiàn)諸如病毒、誤操作、非法篡改等造成的邏輯數(shù)據(jù)，利用CDP方式，可以回滾到任意時間點（在日志空間許可范圍內(nèi)），避免了傳統(tǒng)的備份每天只能夠備份一次，數(shù)據(jù)損失量大的問題。這樣就解決了本地的高可用，又解決了邏輯數(shù)據(jù)保護問題。 虛擬化安全防護虛擬服務器基礎(chǔ)架構(gòu)除了具有傳統(tǒng)物理服務器的風險之外，同時也會帶來其虛擬系統(tǒng)自身的安全問題。新安全威脅的出現(xiàn)自然就需要新方法來處理。虛擬化環(huán)境內(nèi)存在的幾點安全隱患： 虛擬機之間的互相攻擊由于目前使用傳統(tǒng)的防護模式，導致主要的防護邊界還是位于物理主機的邊緣，從而忽視了同一物理主機上不同虛擬機之間的互相攻擊和互相入侵的安全隱患。 隨時啟動的防護間歇由于將大量使用服務器虛擬化技術(shù)，讓IT服務具備更高的靈活性和負載均衡。但同時，這些隨時由于資源動態(tài)調(diào)整關(guān)閉或開啟虛擬機會導致防護間歇問題。如，某臺一直處于關(guān)閉狀態(tài)的虛擬機在業(yè)務需要時會自動啟動，成為后臺服務器組的一部分，但在這臺虛擬機啟動時，其包括防病毒在內(nèi)的所有安全狀態(tài)都較其他一直在線運行的服務器處于滯后和脫節(jié)的地位。 系統(tǒng)安全補丁安裝目前虛擬化環(huán)境內(nèi)仍會定期采用傳統(tǒng)方式對階段性發(fā)布的系統(tǒng)補丁進行測試和手工安裝。雖然虛擬化服務器本身有一定狀態(tài)恢復的功能機制。但此種做法仍有一定安全風險。無法確保系統(tǒng)在測試后發(fā)生的變化是否會因為安裝補丁導致異常。集中的安裝系統(tǒng)補丁，前中后期需要大量人力，物力和技術(shù)支撐，部署成本較大。 防病毒軟件對資源的占用沖突導致AV（AntiVirus）風暴傳統(tǒng)殺毒軟件在防護效果上可以達到安全標準，但如從資源占用方面考慮存在一定安全風險。由于每個防病毒客戶端都會在同一個物理主機上產(chǎn)生資源消耗，并且當發(fā)生客戶端同時掃描和同時更新時，資源消耗的問題會愈發(fā)明顯。嚴重時可能導致ESX服務器宕機。 通過以上的分析是我們了解到雖然傳統(tǒng)安全設(shè)備可以物理網(wǎng)絡(luò)層和操作系統(tǒng)提供安全防護，但是虛擬環(huán)境中新的安全威脅，例如：虛擬主機之間通訊的訪問控制問題，病毒通過虛擬交換機傳播問題等，傳統(tǒng)的安全設(shè)備無法提供相關(guān)的防護，針對虛擬環(huán)境需要全新的信息安全防護方案，通過病毒防護、訪問控制、入侵檢測/入侵防護、虛擬補丁、主機完整性監(jiān)控、日志審計等功能實現(xiàn)虛擬主機和虛擬系統(tǒng)的全面防護，并滿足信息系統(tǒng)合規(guī)性審計要求,采用基于虛擬化的安全解決方案，構(gòu)建虛擬化平臺的基礎(chǔ)架構(gòu)多層次的綜合防護。病毒防護防護傳統(tǒng)的病毒針防護解決方案都是通過安裝Agent代理程序到虛擬主機的操作系統(tǒng)中，在整合服務器虛擬化后，要實現(xiàn)針對病毒的實時防護，同樣需要在虛擬主機的操作系統(tǒng)中安裝防病毒Agent程序，但是服務器虛擬化的目的是整合資源，最大化的發(fā)揮服務器資源的利用率，而傳統(tǒng)的防病毒技術(shù)需要在每個虛擬主機中安裝程序，例如：一臺服務器虛擬6臺主機，傳統(tǒng)方法將Agent需要安裝6套，并且在制定掃描任務就需要消耗虛擬主機的計算資源，這種方式并沒有達到節(jié)約計算資源的效果，反而增加了計算資源的消耗，并且在病毒庫更新是帶來更多的網(wǎng)絡(luò)資源消耗。針對虛擬化環(huán)境提供創(chuàng)新的方法解決防病毒程序帶來的資源消耗問題，通過使用虛擬化層相關(guān)的API接口實現(xiàn)全面的病毒防護。具體如下： 針對虛擬系統(tǒng)，實現(xiàn)底層無代理病毒防護針對虛擬系統(tǒng)中通過接口實現(xiàn)針對虛擬系統(tǒng)和虛擬主機之間的全面防護，無需在虛擬主機的操作系統(tǒng)中安裝Agent程序，即虛擬主機系統(tǒng)無代理方式實現(xiàn)實時的病毒防護，這樣無需消耗分配給虛擬主機的計算資源和更多的網(wǎng)絡(luò)資源消耗，最大化利用計算資源的同時提供全面病毒的實時防護。 訪問控制傳統(tǒng)技術(shù)的防火墻技術(shù)常常以硬件形式存在，用于通過訪問控制和安全區(qū)域間的劃分，計算資源虛擬化后導致邊界模糊，很多的信息交換在虛擬系統(tǒng)內(nèi)部就實現(xiàn)了，而傳統(tǒng)防火墻在物理網(wǎng)絡(luò)層提供訪問控制，如何在虛擬系統(tǒng)內(nèi)部實現(xiàn)訪問控制和病毒傳播抑制是虛擬系統(tǒng)面臨的最基本安全問題?；谔摂M技術(shù)的防火墻提供全面基于狀態(tài)檢測細粒度的訪問控制功能，可以實現(xiàn)針對虛擬交換機基于網(wǎng)口的訪問控制和虛擬系統(tǒng)之間的區(qū)域邏輯隔離，同時支持各種泛洪攻擊的識別和攔截。入侵檢測/防護同時在主機和網(wǎng)絡(luò)層面進行入侵監(jiān)測和預防，是當今信息安全基礎(chǔ)設(shè)施建設(shè)的主要內(nèi)容。然而，隨著虛擬化技術(shù)的出現(xiàn)，傳統(tǒng)的入侵監(jiān)測工具可能沒法融入或運行在虛擬化的網(wǎng)絡(luò)或系統(tǒng)中，像它們在傳統(tǒng)企業(yè)網(wǎng)絡(luò)系統(tǒng)中所做的那樣。需要對虛擬交換機允許交換機或端口組運行在“混雜模式”，這時虛擬的IDS傳感器能夠感知在同一虛擬段上的網(wǎng)絡(luò)流量。除了提供傳統(tǒng)IDS/IPS系統(tǒng)功能外，還提供虛擬環(huán)境中基于政策的（policybased）監(jiān)控和分析工具，使流量監(jiān)控、分析和訪問控制更精確，還能分析網(wǎng)絡(luò)行為，為虛擬網(wǎng)絡(luò)提供更高的安全性。 虛擬補丁防護隨著新的漏洞不斷出現(xiàn)，為系統(tǒng)打補丁上疲于應付，等待安裝重要安全補丁的維護時段可能是一段艱難的時期。另外，操作系統(tǒng)及應用廠商針對一些版本不提供漏洞的補丁，或者發(fā)布補丁的時間嚴重滯后，還有最重要的是，如果IT人員的配備不足，時間又不充裕，那么系統(tǒng)在審查、測試和安裝官方補丁更新期間很容易陷入風險。通過虛擬補丁技術(shù)完全可以解決由于補丁導致的問題，通過在虛擬系統(tǒng)的接口對虛擬主機系統(tǒng)進行評估，并可以自動對每個虛擬主機提供全面的漏洞修補功能，在操作系統(tǒng)沒有安裝補丁程序之前，提供針對漏洞攻擊的攔截。虛擬補丁功能既不需要停機安裝，也不需要進行廣泛的應用程序測試。雖然此集成包可以為IT人員節(jié)省大量時間。完整性審計針對系統(tǒng)支持依據(jù)基線的文件、目錄、注冊表等關(guān)鍵文件監(jiān)控和審計功能，當這些關(guān)鍵位置為惡意篡改或感染病毒時，可以提供為管理員提供告警和記錄功能，從而提供系統(tǒng)的安全性。1日志審計和報表功能提供全面的系統(tǒng)日志和詳盡的報告功能，除了記錄自身的各功能日志外，還可以將虛擬主機操作系統(tǒng)日志結(jié)合自身日志進行統(tǒng)一的統(tǒng)計和分析，日志系統(tǒng)還可以生成符合國際相關(guān)安全規(guī)范的報表。通過對日志進行分析可以讓管理員跟蹤IT基礎(chǔ)設(shè)施的活動，評估服務器數(shù)據(jù)泄密事件是否發(fā)生、如何發(fā)生、何時發(fā)生、在何處發(fā)生的有效方法。 傳統(tǒng)架構(gòu)與虛擬化架構(gòu)投入費用對比表傳統(tǒng)架構(gòu)與虛擬化架構(gòu)投入成本對比表首次購買硬件成本：按80臺中檔次雙路服務器計算傳統(tǒng)方式虛擬化方式虛擬化方式節(jié)約資金增加40臺物理服務器(按HP380計算)3*40=120萬現(xiàn)有12臺高性能服務器擴內(nèi)存+虛擬化軟件可實現(xiàn)90臺邏輯服務器。90萬30萬40臺服務器需要增配2個48口千兆電口交換機插板，增配4個24口san交換機以及光模塊和光纖跳線等。25萬現(xiàn)有設(shè)備可滿足025萬40臺服務器需要2臺KVM20萬無需KVM020萬增加的用電費用（按照1年計算）40臺1000瓦：40臺**24小時*365天*1年*≈20萬020萬空調(diào)費用（空調(diào)耗電費用為服務器耗電的40%）20*40%=8萬08萬合計：19390103總結(jié)：虛擬化方式第一年比傳統(tǒng)方式節(jié)約：100萬元，以后每年電費及管理維護費用至少可以節(jié)約30萬元以上。 集團網(wǎng)絡(luò)帶寬需求測算 人民醫(yī)院PACS系統(tǒng)對帶寬與設(shè)備的需求分析1） 此部分主要分析人民醫(yī)院中各影像設(shè)備同時向PACS服務器存儲數(shù)據(jù)時對網(wǎng)絡(luò)帶寬的占用情況。需要接入PACS 網(wǎng)絡(luò)的設(shè)備見下表：人民醫(yī)院各影像系統(tǒng)中不同設(shè)備次/人傳輸?shù)臄?shù)據(jù)量統(tǒng)計表設(shè)備名稱型號DICOM 接口標準(是否支持worklist)數(shù)量檢查人次/天日數(shù)據(jù)量數(shù)據(jù)量（次/人）西門子Avanto （支持）18045GByte512Mbit（按5G計算）GE64排LIGHT VCT（支持）1404GByte819 Mbit雙排CTHISPEED NX/I（不支持）11002GByte164 Mbit血管造影系統(tǒng)FD20（支持）142GByte4096 Mbit共計：5591 Mbit數(shù)據(jù)量(次/人)計算方法：數(shù)據(jù)量(次/人)＝日數(shù)據(jù)量10248247。（檢查人次/天）。若在影像中心部署萬兆上行，千兆下行接入層交換機，網(wǎng)絡(luò)延遲如下表所示：千兆帶寬到影像設(shè)備/萬兆上行的網(wǎng)絡(luò)延遲統(tǒng)計表 設(shè)備名稱型號DICOM 接口標準(是否支持worklist)數(shù)量檢查人次/天數(shù)據(jù)量（次/人）工作站寬延遲(秒)西門子Avanto （支持）180512Mbit 秒GE64排LIGHT VCT（支持）140819 Mbit 秒雙排CTHISPEED NX/I（不支持）1100164 Mbit 秒血管造影系統(tǒng)FD20（支持）144096 Mbit 秒萬兆上行的傳輸?shù)难舆t：5591 Mbit 秒延遲計算方法：工作站(到接入交換機數(shù)據(jù)傳輸?shù)?延遲為：數(shù)據(jù)量（次/人）247。千兆帶寬的實際傳輸能力；萬兆上行數(shù)據(jù)傳輸延遲為：總數(shù)據(jù)量247。萬兆帶寬的實際傳輸能力。分析如下：考慮在影像中心配置一臺千兆下行，萬兆上行的接入交換機，現(xiàn)有的H3C 1526百兆下行的交換機已不能滿足數(shù)據(jù)轉(zhuǎn)發(fā)的要求，H3C S1526在同時傳輸數(shù)據(jù)時，將達到近8秒的延遲，并會出現(xiàn)網(wǎng)絡(luò)擁塞現(xiàn)象，網(wǎng)絡(luò)會產(chǎn)生流量停滯、延遲、丟包，TCP全局同步等，將嚴重影響網(wǎng)絡(luò)的正常業(yè)務開展。假設(shè)在未來的3－5年內(nèi)數(shù)據(jù)量增加2倍，傳輸?shù)臄?shù)據(jù)達到11182Mbit。建議現(xiàn)在至少部署兩條萬兆上行鏈路，這樣即解決了網(wǎng)絡(luò)中可能出現(xiàn)的延遲、擁塞現(xiàn)象，又考慮到鏈路的可靠性和可擴展性以及其它應用系統(tǒng)對帶寬的使用。人民醫(yī)院住院病房調(diào)用PACS圖像時的分析，此部分主要考慮住院樓工作站在調(diào)取影像時，PACS系統(tǒng)對帶寬，網(wǎng)絡(luò)延遲的影響。醫(yī)院名稱住院樓層數(shù)西門子Avanto GE64排LIGHT VCT雙排CTHISPEED NX/I血管造影系統(tǒng)FD20帶寬(Mbit)延遲(秒)帶寬(Mbit)延遲(秒)帶寬(Mbit)延遲(秒)帶寬(Mbit)延遲(秒)人民醫(yī)院住院病房樓18層1843229484 5904 147456 2號病房樓4層4096 6552 1312 32768 老干部病房樓5層5120 8190 1640 40960 共計27648 221184 平均帶寬75479 Mbit平均延遲帶寬計算方法：各設(shè)備影像數(shù)據(jù)量（樓層數(shù)工作站數(shù)），各設(shè)備影像數(shù)據(jù)量:見表1中數(shù)據(jù)量（次/人）；樓層數(shù)：；工作站數(shù)：按2個計算；例：以住院病房樓采用西門子Avanto ，其數(shù)據(jù)量在調(diào)取時數(shù)據(jù)量大小是：512182=18432Mbit。延遲計算方法：帶寬247。實際傳輸帶寬，實際傳輸帶寬：萬兆按7000Mbit計算。分析：帶寬占用最大的是血管造影系統(tǒng)FD20，最小的是雙排CT。到極端情況下，當各住院病房樓同時調(diào)用血管造影系統(tǒng)，；各住院樓同時調(diào)用流量最小的雙排CT，將占用近9G帶寬。 Gbit。PACS各系統(tǒng)對帶寬的占用超過萬兆10G的2－22倍，在設(shè)計帶寬時，如果帶寬比傳輸?shù)臄?shù)據(jù)量小，將導致網(wǎng)絡(luò)堵塞?？紤]到實際情況下，同時調(diào)用數(shù)據(jù)的可能性非常小，因此建議在匯聚層到核心層鏈路部署4－8條萬兆鏈路。匯聚交換機到接入交換機采用萬兆/千兆帶寬網(wǎng)絡(luò)延遲（秒）見下表：西門子Avanto GE64排LIGHT VCT雙排CTHISPEED NX/I血管造影系統(tǒng)FD20數(shù)據(jù)量（次/人）