医院网络设计与规划：从带宽估算到VLAN冗余架构实战解析

简介：这是一份题为《人民医院网络设计与规划》的本科毕业设计（论文）文档，源自南阳理工学院网络工程专业，面向网络工程、医疗信息化相关课程设计或毕业设计参考人群。文档以鹤壁市人民医院新大楼网络接入为背景，完整覆盖需求分析、安全网络设计、可控接入方案、局域网/广域网技术选型、交换与互联配置以及网络安全规划等核心内容，并包含摘要、目录、图表和参考文献，适用于需要撰写医院网络规划类论文的学生和网络工程师参考。资源包共 1 个 docx 文件，约 753KB，正文总计 35 页，含 4 个表格和 11 个图片，结构完整，便于直接查阅和使用。这份毕业设计在平台已有 1843 人学习浏览，是同类医院网络规划设计中较为系统的范例。获取后可以快速了解医院信息化网络建设的完整设计流程、技术要点（TCP/IP、交换、网络安全等）以及毕业设计论文的排版组织方式，为自身设计或写作提供可直接借鉴的模板与思路。

1. 人民医院网络设计与规划：毕业论文题目背后的真实工程难题

“人民医院网络设计与规划”这种毕业论文题目，乍看是校园里做的“大作业”，实际上它把一家医院从挂号、门诊、住院到影像、检验、药房的所有业务，全部压在一张网络拓扑上。医院网络与普通园区网最大的区别在于：业务不允许断，数据不能乱，设备品类多到超出想象。一个500床规模的二级医院，终端数量通常在1500到2500台，这还不算随设备接入的输液泵、心电监护、自助机。做这个设计的人，可以是网络工程专业的毕业生，也可以是刚接手医院信息科的网工，或者是给医院做集成项目的售前。你要交的不是一张拓扑图，而是一份能回答“流量怎么走、带宽够不够、哪里会翻车”的落地方案。

2. 需求调研与拓扑选型：先算清门诊、住院、医技三股流量再决定几层网络

医院网络设计最忌一上来就画拓扑。先摸需求，再谈设计，这一步没做透，后面所有的带宽计算和设备选型都是空中楼阁。

2.1 业务系统与终端摸底：三张表替代拍脑袋

我一般会拉上信息科的人聊一个下午，把医院在跑的系统全列出来。挂号收费、门诊医生站、住院护士站、电子病历、PACS影像、LIS检验、手麻系统、医保接口、合理用药……每个系统都要记清楚：部署在哪个网段、哪些科室在用、峰值时段是什么时候、单点故障能不能等。这张表决定了网络是不是要按楼宇分区域，也决定了核心交换机的板卡端口够不够。很多学生做设计时只画拓扑不看业务，结果门诊楼的终端全挤在一个VLAN里，IP地址不够用时才开始改规划。

第二张表是终端统计。不要只数电脑，还要数打印机、自助挂号机、诊室显示屏、摄像头、门禁控制器，以及那些看起来不算网的设备——输液泵、心电监护、胎心监护、远程会诊小车。医院信息科自己往往都说不清物联网设备有多少，最靠谱的办法是去弱电井看交换机端口，或者从核心交换机上读ARP表，看哪些MAC地址在动。终端数量直接影响VLAN大小和IP地址段规划，少算一台就可能在验收时多一次返工。调研时要记得问两个容易忽略的系统：远程会诊和手术示教视频系统，它们终端不多，但对带宽和延迟的要求比普通办公流量高得多。

第三张表是流量走向。内网互访流量主要发生在门诊医生站到检验LIS、收费到HIS、护士站到EMR之间；PACS影像的流量从放射科、CT室流向服务器区；外网出口主要给医保查询、外部门诊预约和办公上网；医保专线则是单独一条链路，不能和办公流量混在一起。把这三张表做完，网络规模基本就定住了，后面画拓扑只是把这些关系落实到设备上。调研结果要标注信息来源，比如“终端数量来自科室实地盘点”，答辩或评审时才能说得清数据的可靠性。

2.2 三层拓扑与冗余：核心双机、汇聚双链路的两种接法

医院网络我基本不推荐扁平二层结构。500床以上的医院，广播域一大，一台接入交换机坏了可能波及整个VLAN；核心设备单机一旦故障，全院挂号收费停摆。常见做法是核心-汇聚-接入三层，核心层两台交换机做热备，汇聚层按楼栋或区域部署，接入层用24口千兆交换机成排接入。这个结构把故障隔离在接入层，一台设备出问题只影响一小片科室。

核心层有两种做法。一种是两台独立核心，之间用40G或万兆互联，跑VRRP冗余网关；另一种是两台核心做堆叠，逻辑上变成一台。堆叠的优点是配置简单、链路利用率高，缺点是一台设备故障时整个堆叠分裂，考验软件可靠性。独立双机加VRRP更稳妥，也是集成项目里最常见的交付形态。汇聚层往上连核心时，每台汇聚至少两条上联，分别连到两台核心上，这样任意一条链路或一台核心出问题，业务都不会挂。这里给出一个简化版VRRP配置，以华为交换机为例：

# 核心A，VLAN 10 主网关 interface Vlanif10 ip address 10.10.10.254 255.255.255.0 vrrp vrid 10 virtual-ip 10.10.10.253 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 20 # 核心B，VLAN 10 备网关 interface Vlanif10 ip address 10.10.10.252 255.255.255.0 vrrp vrid 10 virtual-ip 10.10.10.253 vrrp vrid 10 priority 100

这段配置里，虚拟IP 10.10.10.253是VLAN 10内终端的网关。核心A优先级120，核心B优先级100，正常情况下A成为主网关；A故障或链路断开后，B在几秒内接管。注意后面那行preempt-mode timer delay 20，意思是A恢复后要等20秒再抢占回主角色，避免故障恢复瞬间业务抖动。如果不用VRRP，也可以直接做堆叠，但双核心互联链路要单独规划，不能占用业务端口。

汇聚层到核心的双上行，在配置上要注意两个坑：第一，如果两条上联不做链路聚合也不开STP，二层环路就会产生广播风暴；第二，如果只想让一条链路转发、另一条备用，就必须把STP或聚合协商好，不能凭感觉插线。很多医院网络半夜掉线，第二天一看是汇聚交换机上多了根跳线，原来的备份链路直接变环路。

核心和汇聚设备选型时，不要只看端口数量，要算交换容量。500床医院核心建议交换容量不低于4Tbps，包转发率不低于2000Mpps，否则万兆口跑不满。汇聚交换机至少要有两个万兆上联口和若干千兆业务口，接入交换机用简单网管型，支持VLAN、STP和端口隔离即可。房间到弱电井距离超过90米必须用光纤，多模万兆模块在楼内是常规选择，施工时每根光纤都要贴标签并记录到设备端口表，不然后期跳线接错是家常便饭。

2.3 服务器区与存储网络：别让PACS堵住业务主干

服务器区是医院网络的心脏。HIS、EMR、LIS这些系统对延迟敏感，数据库服务器和存储之间最好有独立链路。PACS影像文件动辄几百MB到1GB以上，如果让影像数据走业务VLAN从放射科跨楼到核心再到服务器，主干链路的带宽会被瞬间占满。常见做法是服务器双网卡：业务网卡接业务VLAN，存储与管理网卡单独接一台存储交换机，PACS服务器到存储阵列之间走万兆甚至25G链路，不从核心转发。

存储交换机不建议和核心混用。预算有限时可以在核心交换机上划出独立VLAN跑存储流量，但必须为这个VLAN单独配QoS优先级，并限制广播。更规整的做法是配一台独立的存储交换机，画拓扑时把“业务网络”和“存储网络”画成两张图，避免评审专家问一句“PACS流量走哪条路”就答不上来。服务器双网卡要分别配IP，业务网卡不能设默认路由到存储网段，否则存储备份的流量会把业务链路压垮。

如果存储网络走以太网，建议在交换机端口上启用流控，并给服务器网卡配置巨型帧，MTU设置到9000，能明显提升大文件传输效率。但巨型帧需要两端网卡同时改，有一端没改就会产生分片，反而变慢。还要提前给服务器管理员一份网络规划表，明确每台服务器的IP、网关和VLAN，避免上架时因为网线插错口而找半天。服务器区和办公区也必须分开，所有对外发布的服务都放在服务器区的DMZ网段，不让办公网直接暴露。

3. 带宽与地址规划：一张500床的医院网络需要多少兆、多少个网段

带宽和IP规划是医院网络设计里最能体现“规划”两个字的部分，也是最容易用经验值拍脑袋然后翻车的地方。如果你在准备网络规划设计师考试，这种场景和下午案例里经常出现的园区网改造是一类套路。

3.1 带宽估算公式与参数：别只按终端数乘一兆

常见错误是拿终端总数乘1Mbps然后说千兆主干够了。这个算法在普通办公网勉强能用，在医院一定会被PACS和视频监控打脸。我一般分三类流量估算：基础业务流量、影像大文件流量、监控与物联网流量。

基础业务流量公式：

核心带宽需求 = 终端数 × 单终端平均会话带宽 × 并发率

单终端平均会话带宽不能按一个固定值。跑医生站的电脑，同时在开医嘱、看检验报告、回传护理记录，单台2Mbps并不夸张；自助机和门禁终端给0.5Mbps就够；视频监控一路1080p大约4Mbps，需要单算。并发率在门诊高峰取0.5，住院区取0.3，全院平均可以按0.4估算。以500床医院2000台终端、平均每台1.5Mbps、并发率0.5来算，基础带宽就是2000×1.5×0.5=1500Mbps，这已经超过一条千兆链路。

接着加PACS。一张CT序列原始数据常常超过500MB，科室内调阅时，一小时间隔内可能有好几台同时拉数据。给PACS预留1000Mbps独立带宽不算富余，如果和门诊高峰重叠，还要再按系数放大。监控摄像头也常被忽略：300个摄像头全开，每个4Mbps，就要1.2Gbps。所以500床医院的汇聚层到核心的上联，万兆是起步，千兆只够当接入下行。下表是我做方案时用的估算模板：

所以核心设备选型时，交换容量和包转发率要按至少2个万兆口满载去算，别只看端口数量。带宽规划写进毕业论文时，把这个计算过程放进去，比直接抄设备厂商的清单有说服力得多。

3.2 VLAN与IP网段划分：按楼栋+科室，给未来留余地

IP地址规划要遵守“能聚合、能隔离、能扩展”三个原则。医院网络我建议统一用私有地址，从10.0.0.0/8这个大段里划一个院区段，比如10.10.0.0/16。不要再按“行政楼用192.168.1.x，门诊用192.168.2.x”这样的小段拼凑，管理起来会疯。

VLAN编号设计成可识别的结构：第一位数字代表区域，后面的数字代表楼层或科室。例如VLAN 10到29给门诊楼，30到49给住院楼，50到59给医技与体检，60给物联网设备，70给无线用户，80给服务器区，100给管理网。这样一个VLAN一个地址段，ACL规则可以直接按VLAN来写。

每个楼栋如果终端超过250台，就用/23，一个VLAN里放500台，不要再开一个VLAN做同样的事。服务器区和办公区必须分开，所有对外发布的服务都放在服务器区的DMZ网段，不让办公网直接暴露。IP地址分配时，前50个地址留给交换机、打印机、自助机等固定设备，DHCP动态池从末端开始，等于在规划阶段就把静态和动态地址切干净。这样做的好处是，以后厂商再往网络里接设备，不会随手拿一个动态池里的IP造成冲突。

3.3 网关与DHCP：三层交换做网关，防火墙只管跨区访问

内网VLAN的网关，我会放在核心交换机上而不是防火墙上。原因是三层交换机转发内网流量是在硬件层面做的，延迟低，吞吐大；防火墙做网关会把所有VLAN间流量都串一遍，性能和故障点都会放大。防火墙放在内网、外网、DMZ之间做跨安全区的访问控制，内网VLAN之间默认互通，敏感区域再用ACL收口。

网关配好后，DHCP服务一般也由核心交换机承担，省一台服务器。配置时注意排除静态地址，并给不同VLAN分配不同地址池。

dhcp enable ip pool vlan10 gateway-list 10.10.10.253 network 10.10.10.0 mask 255.255.255.0 excluded-ip-address 10.10.10.1 10.10.10.50 dns-list 10.10.80.10 223.5.5.5 lease day 3 interface Vlanif10 dhcp select global

这段配置的含义是：VLAN 10的终端从核心交换机全局地址池里拿地址，网关指向VRRP虚拟IP，前50个地址被排除，不参与动态分配。dns-list先指向内网DNS服务器，再给一个公共DNS做备份。lease day 3是租期3天，医院桌面终端不常重启，租期可以长一点；但对无线用户来说，租期建议改成1小时，否则访客和移动查房设备会把IP池占满。参数没有绝对，要根据终端移动频率调整：终端移动越频繁，租期越短。

本文还有配套的精品资源，点击获取