HPE ARUBA WIRELESS SOLUTION
HPE Aruba 医疗无线方案｜移动查房、医疗终端准入与访客隔离
资料日期：2026-11-12
内容整理：上海迅晖信息技术有限公司
围绕移动查房、护理推车和医疗终端，设计分区覆盖、身份准入与故障恢复，兼顾访客上网，并用代表性业务验证临床移动场景。
本方案用于项目需求沟通与设计评估。设备数量、配置参数和实施范围应结合现场勘测、实际终端与目标软件版本确定。
一、需求分析
| 需求维度 | 调研内容与设计输入 |
|---|---|
| 临床业务与边界 | 区分移动护理、查房、条码核对、办公与患者上网；与院方明确无线承载范围。 |
| 设备与认证能力 | 获取医疗设备厂商的无线、加密、漫游和支持条件，不擅自改变医疗终端配置。 |
| 移动路线与材料 | 记录病区、护士站、电梯前厅、屏蔽房与清洁限制，按移动终端工作高度测试。 |
| 连续性与审计 | 明确临床窗口、变更审批、事件追溯、最小授权及故障时的业务替代流程。 |
业务负载与容量估算示例
示例输入：一个试点病区有 24 台移动护理终端、12 台查房设备和 30 台经批准接入的专用终端。先按业务类型测量请求频率、超时与漫游容忍度，再叠加办公和患者网络峰值。这里的 66 台只是示例终端表，不代表任何医疗设备兼容结论，也不构成临床可用性承诺。
本阶段输出：可缩放平面图、终端与应用清单、现网拓扑和依赖表、测试目标与限制条件。关联设备数、活跃设备数和业务同时并发分别记录，避免用理论关联上限代替容量设计。
二、方案设计
查房 / 护理 / 医疗终端 → Aruba 无线接入 → PoE 交换与业务分区 → 医疗业务应用；ClearPass / RADIUS 执行准入策略，网关按转发和策略需求配置，Central 提供管理与告警。
按临床业务和终端能力定义需求
首先区分移动查房电脑、护理推车、手持终端、医疗设备和患者手机，逐类确认操作系统、频段、认证能力、业务超时和设备厂家限制。病房、诊室、走廊、护士站及设备存放区分别勘测。医疗设备射频与接入参数的变更须得到相应业务和设备责任方确认，避免用统一终端模板覆盖所有设备。
身份准入与访问路径形成可审查矩阵
支持企业认证的终端可评估证书与 802.1X；能力受限设备按已批准的例外流程接入受限角色。MAC 身份存在被仿冒风险，需要结合资产登记、行为监测和最小访问授权。把设备类别、可访问应用、协议端口及责任人列成矩阵，验证跨区域访问是否确实被设备策略或出口规则阻断。
围绕移动会话设计可用性
沿查房和护理路线测试终端在不同 AP 之间移动时的应用会话。对 RADIUS、DHCP、DNS、时间同步及关键网关分别梳理依赖和冗余；先明确可接受业务中断与维护窗口，再决定拓扑。患者与访客网络独立限制访问医疗系统，设置使用期限和带宽策略，防止业务高峰相互影响。
将验收与风险变更交给明确责任人
上线先做低风险区域试点，由临床、设备与 IT 人员共同确认业务结果。验收保存终端固件、业务版本、路线、异常及恢复记录，交付资产与例外策略台账。无线覆盖或 NAC 产品的部署本身不能替代医院的整体合规评估，相关审查范围应另行确定。
三、网络拓扑与业务转发
临床终端进入受控临床服务区，医护办公和患者访客拥有独立访问策略；专用设备的身份例外必须限权、登记并定期复核。认证平台、日志与业务系统分别标注依赖。高可用设计需覆盖认证、交换上联、电源和出口，不把“双 AP 覆盖”视为完整业务冗余。
虚线表示管理或认证的逻辑依赖，不表示设备之间直接拉线。Central 不作为图中客户端业务流量的中转节点。若采用隧道模式，应另行绘制 AP 到网关的业务路径，并按该模式确认认证者与策略执行位置。
SSID、业务分区与访问策略示例
| 业务分区 / 示例 VLAN | 认证与访问策略 |
|---|---|
| CLINICAL / VLAN 510 | 批准的护理与查房终端；仅到相应临床应用及必要基础服务。 |
| MED-DEVICE / VLAN 520 | 按设备厂商验证条件设置例外，绑定资产与最小访问范围。 |
| STAFF / VLAN 530 | 医护办公独立身份，避免与临床专用设备共用策略。 |
| PATIENT / VLAN 540 | 患者与访客限制访问临床网络，明确会话期限与支持流程。 |
上表名称与 VLAN 编号为设计示例，需映射到客户实际地址规划。划分 VLAN 后仍需在对应转发节点落实角色、ACL 或防火墙规则，并验证允许与拒绝行为。SSID 数量按必要业务控制，兼容性例外单独评估，避免无必要增加空口开销。
四、实施方案与上线流程
- 联合需求评审：由信息科、临床代表与设备责任方确认业务范围、设备清单、变更审批和可测试时段。
- 路线与射频验证：沿查房和护理路线试装测量，关注防火门、屏蔽区域及病房材料，不在诊疗期间擅自进行故障测试。
- 策略与依赖准备：核对设备认证能力、证书、RADIUS、DHCP 与日志；对例外设备建立资产、权限与复核记录。
- 非临床验证：使用获批模拟业务或测试环境，验证移动请求、角色拒绝、会话恢复及厂商兼容条件。
- 病区小范围试点：在获批窗口切换代表性区域，由业务方共同观察请求失败与异常，按预先定义条件回退。
- 验收与持续运营：按病区交付策略、日志、依赖图与故障预案；特殊设备软件升级后按批准流程重新验证。
变更控制与回退条件
每批切换前指定变更负责人、业务确认人和回退执行人，保存获批的变更前配置，并验证目标硬件和软件支持相应恢复操作。出现关键事务失败、身份授权错误或超过约定恢复时限时停止扩大范围，按预定流程恢复；保留时间戳、日志与变更记录后再排查下一项变量。
五、设备与采购配置清单
| 候选与组成 | 采购核对内容 |
|---|---|
| AP-615 | 地区料号、实际供应、目标软件、供电、随附配件与生命周期，逐项核对。 |
| AP-635 | 地区料号、实际供应、目标软件、供电、随附配件与生命周期，逐项核对。 |
| CX 6300M | 地区料号、实际供应、目标软件、供电、随附配件与生命周期，逐项核对。 |
| Central 与身份准入 | 管理版本、设备档位、订阅期限、账号归属，以及认证容量与业务集成范围。 |
| 安装与实施 | 支架、天线、电源、光模块、布线、勘测、实施、培训及约定服务范围，区分已含与另购。 |
六、验收标准与运维交付
- 由业务方选择代表性终端，沿查房路线重复业务操作，记录会话中断和认证事件。
- 验证医疗设备只能访问批准的系统，患者和访客无法访问临床内网。
- 在批准的维护窗口验证认证或网络节点故障，记录业务影响及恢复步骤。
- 核对异常设备隔离、紧急授权、例外审批和日志留存的实际执行流程。
试点前由业务与技术双方确认覆盖、信噪比、丢包、时延和恢复时间等数值目标，明确测试位置、代表终端、并发负载与软件版本，再按同一条件验收。
七、准备选型与报价资料
请提供可缩放平面图、终端与业务清单、现网拓扑和软件、供电与布线记录，以及部署地区、采购数量和切换窗口，便于形成具体配置与报价。
八、地区与架构核对
以上型号用于方案评估，需按实际部署地区核对完整料号、认证、可用信道、软件支持与供货。含 6 GHz 的全球硬件能力不等于中国大陆可启用。AOS 8、AOS 10 及不同 Central 版本的功能与部署流程分别核验。