51. Jahrestagung der. Deutschen Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie (gmds)

Transkript

1 51. Jahrestagung der Deutschen Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie (gmds) September 2006, Leipzig DICOM Proy zur Kommunikation von DICOM Objekten über Einrichtungsgrenzen Andreas Heldt, Martin Staemmler Fachbereich ETI, Fachhochschule Stralsund, Deutschland Staemmler, Leipzig

2 DICOM Proy zur Kommunikation von DICOM Objekten über Einrichtungsgrenzen Inhalt Kommunikation von DICOM Objekten Anforderungen an einen Proy-Service Ergebnis der Umsetzung Diskussion: Alternative Lösungsansätze Zusammenfassung Staemmler, Leipzig,

3 Staemmler, Leipzig, DICOM Kommunikation in einer Einrichtung Bildgebendes System interne Ziele AE-Title: DCM-A1 IP: a.b.c.01 Port: 104 DCM-A2 a.b.c DCM-A3 a.b.c Befundungsarbeitsplatz interne Ziele AE-Title: DCM-A2 IP: a.b.c.02 Port: 104 DCM-A1 a.b.c DCM-A3 a.b.c PACS interne Ziele AE-Title: DCM-A3 IP: a.b.c.02 Port: 104 DCM-A2 a.b.c DCM-A3 a.b.c Kommunikationsbeziehungen werden gemäß AE_Title, IP und Port verwaltet Bildgebendes System kommuniziert mit Befundungsarbeitsplatz und PACS Befundungsarbeitsplatz kommuniziert mit dem PACS (senden / empfangen) und in der Prais eingeschränkt genutzt Bildgebendes System empfängt Bilddaten vom Befundungsarbeitsplatz oder PACS

4 Staemmler, Leipzig, DICOM Kommunikation zwischen Einrichtungen Bildgebendes System AE-Title: DCM-A1 IP: a.b.c.01 Port: 104 interne DCM-A2 a.b.c interne DCM-B...y.z Ziele DCM-A3 a.b.c Ziele DCM-B...y.z eterne DCM-B1.y.z eterne DCM-A1 a.b.c Ziele DCM-A2 a.b.c Befundungsarbeitsplatz DCM-A3 a.b.c AE-Title: DCM-A2 IP: a.b.c.02 Port: 104 interne DCM-A1 a.b.c Ziele DCM-A3 a.b.c eterne DCM-B1.y.z PACS AE-Title: DCM-A3 IP: a.b.c.02 Port: 104 interne DCM-A2 a.b.c Ziele DCM-A3 a.b.c eterne DCM-B1.y.z Befundungsarbeitsplatz AE-Title: DCM-B1 IP:.y.z.01 Port: 104 auch eterne Kommunikationsbeziehungen werden gemäß AE-Title, IP und Port verwaltet bidrektionale Kommunikation zwischen: DCM-A1 und DCM-B1 DCM-A2 und DCM-B1 DCM-A3 und DCM-B1 mit den jeweiligen AE-Title, IPs und Ports

5 Staemmler, Leipzig, DICOM Kommunikation zwischen Einrichtungen Netzwerk und Sicherheit Radiologische Abteilung AE-Title IPs Port DCM-A1 a.b.c DCM-A2 a.b.c DCM-A3 a.b.c Radiologische Abteilung AE-Title IPs Port DCM-B1.y.z DCM-B2.y.z DCM-B3.y.z IP-Adressen - kein NAT (Network Adress Translation) möglich DICOM C-MOVE wird auf C-STORE abgebildet, IP-Adresse in der Nutzlast - ohne VPN-Tunnel müssen IP Adressen weltweit eindeutig sein - mit VPN-Tunnel müssen IP Adressen in beteiligten Einrichtungen eindeutig sein Radiologische Abteilung Radiologische Abteilung IP-Adressen müssen konfliktfrei zwischen allen Beteiligten sein Öffnung von Firewalls für IPs aus Sicherheitsgründen kaum umsetzbar

6 Staemmler, Leipzig, DICOM Kommunikation zwischen Einrichtungen Netzwerk und Sicherheit Radiologische Abteilung AE-Title IPs Port DCM-A1 a.b.c DCM-A2 a.b.c DCM-A3 a.b.c Radiologische Abteilung AE-Title IPs Port DCM-B1.y.z DCM-B2.y.z DCM-B3.y.z outgoing incoming list right prt. src. dest. 101 permit ip a.b.c.1.y.z permit ip a.b.c.2.y.z permit ip a.b.c.3.y.z permit ip.y.z.1 a.b.c permit ip.y.z.1 a.b.c permit ip.y.z.1 a.b.c.3 list right prt. src. dest. 121 permit ip.y.z.1 a.b.c permit ip.y.z.1 a.b.c permit ip.y.z.1 a.b.c permit ip a.b.c.1.y.z permit ip a.b.c.2.y.z permit ip a.b.c.3.y.z.1 outgoing incoming Access-Listen in den Firewalls der Einrichtungen - können Zugriffe zwischen DICOM-Systemen beschränken - brauchen um so mehr Pflege je präziser sie definiert sind - müssen die Interna der jeweiligen anderen Einrichtung(en) abbilden Einrichtungen müssen sich gegenseitig weitgehend vertrauen Kooperation Medizintechnik - Netzwerkbetreuung zur Pflege

7 Staemmler, Leipzig, Typischer Lösungsansatz: Proy-Service Proy = Stellvertreter und Vermittler in der Kommunikation - Trennung zwischen einrichtungsinternen Netz und eternem Netz - Verwaltung von Zugriffsrechten - Sicherheit durch Filterung, Pseudo- oder Anonymisierung - verfügbar für übliche Protokolle bzw. Dienste wie http, https, pop3, imap, smtp Radiologische Abteilung AE-Title IPs Port DCM-A1 a.b.c DCM-A2 a.b.c DCM-A3 a.b.c Proy a.b.c.n u.v.w.p Proy l.m.n.p.y.z.n Radiologische Abteilung AE-Title IPs Port DCM-B1.y.z DCM-B2.y.z DCM-B3.y.z alle internen IPs (a.b.c... ) auf die eine eterne IP des Proy (u.v.w.p) abgebildet alle internen IPs (.y.z... ) auf die eine eterne IP des Proy (l.m.n.p) abgebildet interne Struktur (IPs, Systeme) wird durch Proy versteckt nur die IP des Proy nach etern sichtbar aber für DICOM kein Proy-Dienst verfügbar

8 Anforderungen DICOM Proy-Service DICOM Rollen: SCP Service Class Provider = Server SCU Service Class User = Client DICOM Assoziationen: outgoing Befundungsarbeitsplatz Anfrage als SCU an etern request reject response Annahme als SCP von intern Proy-Service ok? nein ja Anfrage als SCU an etern request response DICOM Assoziationen: incoming Befundungsarbeitsplatz Annahme als SCP vom intern request response Anfrage als SCU an intern Proy-Service ja nein ok? Annahme als SCP von etern request reject response Staemmler, Leipzig,

9 Staemmler, Leipzig, Anforderungen DICOM Proy-Service Prüfung im Proy: request reject response nein IP? Annahme als SCP von intern ja von AE-Title? nein ok? ja nein ja an AE-Title? nein ja ja Dienst? nein nein ok? Annahme als SCP von etern ja Assoziation? request reject response ja Proy Konfiguration: Teilnehmerliste 0.. n hat zugelassene Benutzer string IP-Adresse string AE-Title bool intern bool anonymisieren 0.. n erlaubt Zugriffe anderer Benutzer bool C-FIND bool C-MOVE bool C-STORE reject nein accept

10 Staemmler, Leipzig, Anforderungen DICOM Proy-Service DICOM Funktionen: C-ECHO SCU SCP Prüfung einer Verbindung C-FIND SCU SCP Suche nach DICOM-Objekten C-MOVE SCU SCP Suche und Anforderung eines DICOM-Objekts C-STORE SCP SCU Empfang und Speicherung eines DICOM-Objekts Rollentausch SCU SCP bei der Umsetzung von C-MOVE: SCP SCU Assoziation Request Assoziation Accept SCP SCU DICOM Partner A Rollentausch C-Move Request C-Move Response C-Store Request C-Store Response Assoziation Release Request Assoziation Release Response Rollentausch DICOM Partner B Rollentausch ist bei der Umsetzung des Proy zu berücksichtigen

11 Umsetzung DICOM Proy-Service JAVA Anwendung unter Verwendung der pielmed Bibliothek (David Clunie) Proy Anwendung Benutzer anlegen einige grundlegende Einstellungen Zugriffsrechte bearbeiten Staemmler, Leipzig,

12 Staemmler, Leipzig, C-FIND mit DICOM Proy-Service DCM-A1 C-FIND RSP to DCM-A1 Direktes C-FIND (DCM-B1) an den Proy-Service C-FIND RQ to DCM-B1 Request auswerten (Attribute) SCP SCU SCU SCP C-FIND RQ to DCM-B1 C-STORE RSP to DCM-PXY DCM-B1 Indirektes C-FIND (DCM-PXY) an den Proy-Service DCM-A1 C-FIND RSP to DCM-A1 C-FIND RQ to DCM-PXY Request auswerten (Attribute) User List DCM-A1 DCM-B1(FIND,...) DCM-B3(FIND,...)... C-FIND RQ to DCM-B1 C-STORE RSP to DCM-PXY DCM-B1 DCM-A2 DCM-A3 SCU SCP SCP SCU Response auswerten C-FIND RQ to DCM-B3 C-STORE RSP to DCM-PXY DCM-B2 DCM-B3

13 Staemmler, Leipzig, C-MOVE zwischen DICOM Proy-Services DCM-A1 C-MOVE RQ to DCM-B2 C-MOVE RSP to DCM-A1 Request auswerten (Attribute) SCP SCU C-MOVE RQ to DCM-B2 Request auswerten (Attribute) SCP SCU C-MOVE RQ to DCM-B1 DCM-B1 DCM-A2 Response auswerten SCp SCU C-MOVE RQ to DCM-PXY Response auswerten SCP SCU C-MOVE RSP to DCM-PXY DCM-B2 DCM-A3 DCM Cache STORESCP Cache STORESCP DCM DCM-B3 SCU SCP DCM SCU SCP DICOM Proy - Cache Nutzung führt zu einer Verzögerung in der Übertragung + beteiligte Einrichtungen durch Proy vertreten + kombinierbar mit einrichtungsbezogener Verschlüsselung

14 Diskussion: Alternative DICOM * Nutzung eines zentralen Providers DCM-A1 SCU C-STORE DCM SCP SMTP SMTP Server POP3/ IMAP Server DCM POP3/ SCU IMAP DCM-B1 SCP C-STORE jede Einrichtung als Provider DCM-A1 SCU C-STORE DCM SCP SMTP SMTP Server POP3/ IMAP Server DCM POP3/ SCU IMAP DCM-B1 SCP C-STORE DICOM - nur für DICOM C-STORE - mit eternen Providern ggf. lange Durchlaufzeiten + Port in jeder Einichtung vorhanden und freigeschaltet + kombinierbar mit einrichtungs-/personenbezogener Verschlüsselung *DICOM , DICOM Standard, supplement 54, Staemmler, Leipzig,

15 Diskussion: Alternative WADO DICOM WADO* WebClient System Web enabled DICOM Server C-MOVE Request (http/https GET) DICOM Objekt(e) übertragen (http/https Antwort mit Header und Body - unterstützt nur DICOM C-MOVE für bestehende gespeicherte Objekte + standardisierte Anfrage gemäß DICOM Standard + Browser-basierte Anfrage und Darstellung *DICOM , DICOM Standard, part 18, Staemmler, Leipzig,

16 Diskussion: Alternative Web-Service Web-Service zur Kapselung der DICOM Funktionen Client System Web Service DICOM Server getaetitle() query(attr) getdicomimage() storedicomimage() http / https / SOAP C-FIND RQ C-FIND RSP STORE LISTEN. C-MOVE RQ C-STORE C-STORE RQ Status RSP DICOM Funktionen - properitäre Umsetzung, kein Standard + Web Schnittstelle WSDL (Web Service Definition Language) basiert + unterstützt alle DICOM Funktionen Staemmler, Leipzig,

17 Zusammenfassung DICOM-Proy DICOM- DICOM-WADO Web-Service DICOM-Funktionen C-FIND C-MOVE C-STORE offline / online online - - offline - - online online Sicherheit Anonymisierung Verschlüsselung Stellvertretung Authentifizierung SSL, VPN Einrichtung - PGP - Person Einrichtung () https, VPN - Person Einrichtung - https, VPN - Person Einrichtung DICOM-Proy stellt konfigurierbar alle DICOM Funktionen bereit DICOM-Proy bietet zentralen Übergabepunkt an der Grenze einer Einrichtung Staemmler, Leipzig,

18 DICOM Proy zur Kommunikation von DICOM Objekten über Einrichtungsgrenzen Vielen Dank für Ihre Aufmerksamkeit. Ihre Fragen bitte! Staemmler, Leipzig