一、医院的三层网络架构设计

1.接入层设计

接入层是医院信息平台上所有设备的边缘接入网络，是将终端接入网络的边缘，也是对终端用户进行访问控制和隔离的边缘，是网络安全边缘前移和全局网络安全的基础。

接入层网络设备主要由二层以太网交换机和无线接入点等设备组成，其中二层以太网交换机主要是为有线设备提供网络控制和接入。

作为医院信息平台的安全接入设备，接入层交换机应选用智能网管型交换机，具备VLAN 划分，端口隔离，安全地址绑定，抗攻击，QoS，防雷击等功能，支持标准的802.1x 访问控制，支持标准的SNMP 简单网络管理协议，支持DHCP- 等功能，支持标准的RSTP，MSTP生成树协议。

接入层的设计需要充分考虑设备的稳定性、安全性、冗余性和高性能，上联至数据中心的链路尽量使用双链路上联，通过生成树协议生成无环拓扑，避免广播风暴，保证终端设备稳定，安全，高速的接入医院信息网络平台。

2.汇聚层设计

汇聚层是连接接入层与核心层之间的网络层，为接入层提供数据的汇聚，传输，管理，分发处理，集中接入层流量，再转发至核心层的功能，是局域网中隔离动荡的控制点，也是区域网络流量上收的关键点。

汇聚层为接入层提供基于策略的连接,如地址合并，协议过滤,路由服务,认证管理等。通过网段划分(如VLAN)与网络隔离可以防止某些网段的问题蔓延和影响到核心层。汇聚层同时也可以提供接入层虚拟网之间的互连，控制和限制接入层对核心层的访问，保证核心层的安全和稳定。

汇聚层设计为连接本地的逻辑中心，仍需要较高的性能和比较丰富的功能。汇聚层设备一般采用可管理的三层交换机或堆叠式交换机以达到带宽和传输性能的要求。其设备性能较好，但价格高于接入层设备，而且对环境的要求也较高，对电磁辐射、温度、湿度和空气洁净度等都有一定的要求。

汇聚层设备之间以及汇聚层设备与核心层设备之间多采用光纤互联，以提高系统的传输性能和吞吐量。

用户访问控制一般会安排在在接入层，但也可以安排在汇聚层进行。在汇聚层实现安全控制和身份认证时，采用的是集中式的管理模式。当网络规模较大时，可以设计综合安全管理策略，例如在接入层实现身份认证和MAC 地址绑定，在汇聚层实现流量控制和访问权限约束。

3.网络核心层

网络核心层是医院信息平台网络数据的骨干交换区域，各接入层数据经汇聚层汇聚后集中转发至核心层进行高速交换。

核心层的主要职为负责整个医院信息平台数据的高速转发，相关的策略应该尽量较少。

核心层由于是整个网络的核心，从设备上来讲，需要在考虑高性能，高稳定性的同时，充分考虑设备引擎、业务线卡、电源、风扇等的冗余，同时需要具备的一定的抗攻击能力，如中央处理器保护能力，基础网络保护能力。

从架构上来讲，需要充分考虑核心层设备间的冗余备份和负载均衡，利用MSTP/RSTP+VRRP 技术，自愈环网技术，或者是通过更好的核心层设备的硬件虚拟化技术，实现设备级的冗余备份，同时，在设计时还应充分考虑网络链路的冗余性和可靠性，提高网络防灾能力。

二、具体的设备选型如下：

1. 核心层设备建议选用高性能的万兆三层交换机，通过千兆链路与汇聚层设备相连，通过万兆链路进行核心层互联。

在设备选择上，应充分考虑设备自身的冗余性，如电源冗余、引擎冗余、业务线卡冗余、所有线卡及电源支持热拔插，同时应具备一定的自我保护机制，如中央处理器保护机制，基础网络保护机制等。

在网络规划时，应充分考虑网络架构的冗余性设计，建议采用两台或两台以上组成双核心或多核心环网，核心之间可进行冗余互备以及负载分担，减小由于单核心造成的设备压力及单点故障。