Projektnotiz. Patientencockpits und Server Komponenten

Transkript

1 . Patientencockpits und Server Komponenten Neubau Bettenhaus Hamburg Version 1.0 vom 1. Oktober 2013

2 I nhalt 0 Über COMNET 3 1 Patientencockpits im Hamburg 4 2 Cockpit 18 IP und Mediset Cockpit 18 IP Schnittstellen, OS Netzwerkanforderungen Cockpit Bandbreitenbedarf der Dienste 7 3 IP TV IP-TV Streamer Netzwerkanforderungen IP TV 7 4 Admin- und Verwaltungstool HiMed / Kassenautomaten Architektur HiMed Server, Netzwerkeinbindung HiMed Client, Systemvoraussetzungen HiMed Kassenautomat Die Patientenchipkarte 9 5 Serverfarm, SAN und PKI Serverfarm und Storage, physikalisch Serverfarm und Storage, logisch Sicherheit der Patientendaten, SmartCards und PKI Verschlüsselung IT-Sicherheit 10 Seite: 2/10

3 0 Über COMNET COMNET ist in Deutschland einer der großen, herstellerunabhängigen Anbieter für Sprach- und Datenkommunikationssysteme und Sicherheitstechnik. Gegründet 1991, beschäftigt die Gruppe heute 220 Mitarbeiter in ihren Niederlassungen in Hamburg, Bremen, Hannover, Berlin, Köln, Magdeburg, Frankfurt und Kassel. Spezialisiert auf multifunktionale, integrierte Lösungen für Unternehmen des Gesundheitswesens unterstützen wir Krankenhäuser, Kliniken und Pflegeeinrichtungen bei der Projektierung, Installation und beim Service von: Telekommunikationssystemen und Netzwerken Infrastrukturen für DECT & WLAN Kommunikation Ortungssystemen über DECT oder WLAN LAN/WLAN Datennetzen und aktiver Infrastruktur Ansprechpartner im Projekt, weiterführende Informationen Fon +49 (40) Web Seite: 3/10

4 1 Patientencockpits im Hamburg Im Rahmen einer Ausschreibung des Neubaus Bettenhaus wurde COMNET im Jahr 2013 beauftragt, 291 Multifunktionsterminals für Entertainment-, Infotainment- und organisatorisch/medizinische Prozess-Dienste im Hamburg zu integrieren. Die Auswahl für COMNET erfolgte auf Grund des wirtschaftlichsten Gesamtkonzeptes. Es waren folgende Dienste zu integrieren: Entertainment IP Telefon / IP TV / Radio / Video-on-Demand / Internetzugang / Spiele Infotainment Patientenaufklärung / Präventionsinformationen, Serviceangebote (Zeitungen, Friseur) Krankenhaus-Prozesse Zugang zum KIS und elektronischer Patientenakte mit sicherer Identifizierung für das medizinische Krankenhauspersonal (Arzt, Pflege) Flexible Erweiterung von Krankenhaus- eigenen Applikationen, wie Patientenbefragung Menübestellung Integration Lichtruf / Raumlichtsteuerung Mit den Multimediaterminals genießen die Patienten besonders hohen Komfort: Die innovative Lösung ermöglicht nicht nur, zu telefonieren, fernzusehen oder Radio zu hören. Patienten können darüber hinaus jederzeit Filme abrufen, im Internet surfen oder sogar über ein eigenes Portal Informationen einholen. Diese und weitere Anwendungen lassen sich problemlos vom Bett aus nutzen. Mit der integrierten Webcam werden demnächst auch virtuelle Krankenhausbesuche der Angehörigen realisierbar. Von der einfach zu bedienenden und sicheren Lösung profitieren aber nicht nur die Patienten. Auch Ärzte sowie der Pflegedienst können damit weitaus flexibler und effizienter arbeiten. So lassen sich durch die Integration in das Krankenhaus-Informationssystem, Daten direkt einsehen und Maßnahmen schneller dokumentieren. Das Hamburg ist eine militärische Behandlungseinrichtung in Norddeutschland, dass gleichzeitig fest in das zivile Gesundheitsnetz der Stadt Hamburg eingebunden ist. Die ambulanten, stationären und rehabilitativen Einrichtungen des Hauses stehen militärischen und zivilen Patienten gleichermaßen zur Verfügung. Das Haus führt den Status "Akademisches Lehrkrankenhaus" und ist im Bereich Lehre an das Universitätsklinikum Hamburg-Eppendorf (UKE) angeschlossen. Schwerpunkte der medizinischen Versorgung sind das gesamte Spektrum der medizinischen Behandlung eines Krankenhauses mittlerer Größe, Tumorchirurgie urologischer Erkrankungen, spezielle Eingriffe im Kopf- und Halsbereich sowie intensivmedizinische und psychotraumatologische Behandlungszentren. Weitere Informationen zum Haus im Web unter Seite: 4/10

5 Projektzeitraum / Ausführung März bis Juli 2013 COMNET Leistungen Konzeption, Implementierung und Service von: Cockpits, Patientenchipkarten, Kassenautomaten Administrations- und Abrechnungssystem Serverfarm, Storage/SAN, IAC/Firewall PKI SmartCards mit CardDrucker SAT-Anlage, IP TV Streamer, VoD Server Investitionsumfang auf Anfrage Die Cockpits werden mit einem Steuerungs- und Abrechnungssystem, hier HiMed V9 (SIEMENS AG), in eine LAN-Infrastruktur integriert und zentral administriert. Der Zugang zu den Entertainment-Diensten für Patienten erfolgt mittels Chipkarte. Die Bezahlung der Dienste erfolgt über Kassenautomaten und / oder am Infopoint des Krankenhauses. Die Dienstezuweisung und Berechtigungen werden zentral administriert und reglementiert. Der Zugang zu den Diensten für organisatorisch/medizinische Prozesse, hier KIS und epa, erfolgt mit gesicherten SmartCards über eine Public-Key-Infrastructure (PKI), WINDOWS Terminalserver (WTS) sessionbasierend, über eine VMWare Serverfarm von HP. Die Datensicherung erfolgt auf einem 20 TB SAN von HITACHI. Der Dienst Telefon am Cockpit (IP User) wird hier über eine HiPath 4000 (UNIFY / SIEMENS) bereitgestellt. Die Dienste TV, Radio und Video-on-Demand werden mittels Multicast IP Streams über einen IP TV Server (DVB IP Gateway) bereitgestellt. Die Einspeisung der TV- Signale erfolgt mittels SAT Anlage. Seite: 5/10

6 2 Cockpit 18 IP und Mediset Im Rahmen einer Ausschreibung wurde als Multifunktionsgerät das Cockpit 18 IP des Herstellers SIEMENS AG favorisiert, weil es bezüglich der wirtschaftlich-funktionell Anforderungen des Hauses anderen Modellen überlegen ist. 2.1 Cockpit 18 IP CPU/Chipsatz Arbeitsspeicher Festspeicher Display Intel Atom Prozessor N450, 1.66 GHz, 512kB cache, 2 GB DDR2 SDRAM Micro SD 4 GB Bildschirm: 17,3 / Auflösung: x 900 / Touchscreen Lautsprecher, Stereo, abschaltbar durch Kopfhörer / Mute-Funktion Chipkartenleser, integriert Webcam Anschlüsse LAN HDMI (deaktivierbar) Kopfhöreranschluss (Stereo) USB Anschluss (deaktivierbar) MediSET Anschluss mit Zimmer-/Bettlicht / Schwesternruf Normen CE, Sicherheit nach IEC Schutzgrad IP65 (Front) Zubehör Haltesysteme (Wand/Decke) Aufnahme für MediSET Aufnahme für Tastatur (Tastatur mit Touchpad) 2.2 Schnittstellen, OS LAN / Ethernet, 100 MB FDX, Multicast VL-Adapter / Kontakt Lichtrufintegration Tyco, Raumlichtsteuerung OS Linux, Redhat gehärtet 2.3 Netzwerkanforderungen Cockpit Access Switch: Layer 2+, VLAN Funktionalität, QoS, 100 Mb/s Multicast Seite: 6/10

7 2.4 Bandbreitenbedarf der Dienste Die benötigte Bandbreite bei IPTV ist abhängig von der Datenrate des jeweiligen Senders. In der Regel kann davon ausgegangen werden, dass bei einem voll belegten Transponder auf dem Satelliten ca. 38 MBit/s am IPTV-Streamer anstehen. Erfahrungsgemäß liegt die Bandbreite für einen Kanal zwischen 1 MBit/s (bei Werbesendern) bis hin zu 6 MBit/s bei den öffentlich-rechtlichen Sendern. Dieser Datenstrom steht dann am Cockpit direkt an. Durch die Multicast-Technologie mittels IGMP-Protokoll werden die benötigten Ströme nur an diejenigen Endgeräte ausgeliefert, welche den Datenstrom aktuell anfordern. Die Bandbreite für Radio-Sender liegt deutlich unter denen von TV-Kanälen und kann in der Regel mit bis zu 128 kbit/sec angesetzt werden. Die Bandbreite bei IP Telefonie beträgt ca. 90 kbit/s synchron bei Nutzung G.711. Die Bandbreite für die WTS beträgt ca. 20 kbit/s pro Session. 3 IP TV 3.1 IP-TV Streamer Der eingesetzte Streamer besteht aus unterschiedlichen Modulen. Die Bedienung erfolgt per Bedienung per Webinterface. Die TV Signale werden als EPG-Daten per XML-Feed und verlustfreien SPTS-Streaming übertragen. Die Hardware enthält Industriestandardkomponenten und ist redundant ausgelegt. 3.2 Netzwerkanforderungen IP TV Access Switch: Layer 2+, IGMP Snooping, VLAN Funktionalität, QoS Core Switch: Layer 3, IGMP v2/v3 Router, RFC 2236/ Gb/s Port, Server und Uplink auf Etagenswitche / Access Switche 10 Gb/s UplinkPort für Stacking, VLAN Funktionalität, QoS Um die Belastung des Netzwerkes gering zu halten, ist es erforderlich, dass die genutzte Netzwerk-Infrastruktur IGMP unterstützt und intelligentes Multicast-Routing über die Subnetze beherrscht. Seite: 7/10

8 4 Admin- und Verwaltungstool HiMed / Kassenautomaten 4.1 Architektur HiMed ist ein Administrations- und Abrechnungssystem für die Dienstleistungen im Krankenhaus. Das System bietet die Möglichkeit, verschiedene Dienste, wie z.b. Telefon, Fernsehen und Internet (LAN / WLAN) abzurechnen. Der Patient erhält dazu bei der Aufnahme eine Chipkarte und zahlt am HiMed-Kassenautomaten einen beliebigen Betrag auf sein Konto ein. Im Zimmer kann er nun die angebotenen Dienste nutzen. Die vom Krankenhaus festgelegten Gebühren werden vom Patientenkonto abgebucht. Am Ende seines Aufenthaltes erhält der Patient das Restguthaben am Kassenautomaten zurückerstattet. Alternativ kann ein Tages-Flat- Modell gebucht werden. Der HiMed Client-Server-Architektur liegt eine SQL-Datenbank auf dem HiMed-Server zugrunde. Auf diesem Server werden alle Patienten- und Teilnehmerdaten anonymisiert verwaltet. Der Server wird in das krankenhauseigene IT-Netz eingebunden. 4.2 HiMed Server, Netzwerkeinbindung Der HiMed Server verwaltet die Patienten- / Verwaltungskonten und steuert die Berechtigungen der einzelnen Dienste. Der HiMed-Server ist mit 3 Schnittstellen ausgestattet. Diese dienen den folgenden logischen Netzwerken: HiMed Server OS: Redhat Enterprise LINUX HiMed Client, Systemvoraussetzungen Der HiMed Client dient zur Administration, Verwaltung und Auswertung. Der Client kann unter Microsoft Windows XP Professional oder Windows 7 Professional oder Ultimate (32 oder 64 Bit) betrieben werden. 4.4 HiMed Kassenautomat Schnittstellen pro Kassenautomat LAN / Ethernet, 100 MB SO Port für POS Dienst Alarmkontakt 2-adrig für Diebstahlsicherung Spannungsversorgung 230V Access Switch : Layer 2+, VLAN Funktionalität, 100 Mb/s Seite: 8/10

9 4.5 Die Patientenchipkarte Die Chipkarten des Abrechnungssystems HiMed entsprechen von ihrer Bauart der ISO 7816, I²C-Bus-Speicherkarte mit EEPROM-Speicher (256 Byte). Die Karten bestehen aus einem PVC-Träger mit eingelassenem Chip. Das Chipkartenlayout beinhaltet das Krankenhaus-Logo, sowie die Patientenrufnummer bestehend aus: Vorwahl + Amtsrufnummer + Nebenstelle 5 Serverfarm, SAN und PKI 5.1 Serverfarm und Storage, physikalisch Hardwareseitig besteht dieser Teil u.a. aus folgenden Komponenten: 4 x HP DL380 Gen8 Server 2 x Enterasys C5-LAN-Switche 1 x Hitachi Data Systems HUS110 SAN 2 x Brocade 320 SAN-Switche Die Server bilden ein VMWare Cluster unter vsphere 5.1 Enterprise. Bei der Dimensionierung wurde eine skalierbare Best-Performance, als auch auf Hochverfügbarkeit durch mehrfache Redundanz zugrunde gelegt. Die ESX Server kommunizieren über ein eigenes VMKernel LAN und mit den Clients und weiteren Servern über verschiedene VLANs. Alle Verbindungen sind redundant ausgelegt. Als Datenspeicher dient ein HDS SAN, welches aus 2 redundanten Controllern sowie 2 Drive Boxen besteht. Das SAN ist nur von den ESX Servern erreichbar und kommuniziert mit diesen über Brocade FC-Switche, ebenfalls redundant ausgelegt. 5.2 Serverfarm und Storage, logisch Auf dem ESX Cluster wird eine eigene Windows-Domäne auf Basis vom Windows 2008R2 Datacenter Server erstellt. Diese besteht aus zwei Domain Controllern (Windows 2008 R2 standard) für ein eigenes Active Directory, welches nur für die User-Authentifikation auf den Terminalservern zuständig ist und keine weitere Verbindung zur anderen Komponenten benötigt. Der Netzwerk-Traffic zwischen den Komponenten findet ausschließlich über Projekt-eigene VLANs statt. Ein Übergabepunkt an das LAN des Krankenhauses wird benötigt, um auf den Terminalservern den KIS-Client zu starten. Dieser Übergabepunkt wird über eine eigene Firewall realisiert und per Access List auf IP- und Port-Ebene entsprechend beschränkt, so dass sichergestellt ist, dass die Terminalserver nur auf explizit benötigte und freigegebene Dienste zugreifen können, z.b. ein zu verbindendes Netzlaufwerk sowie eine SQL-Datenbank. Seite: 9/10

10 5.3 Sicherheit der Patientendaten, SmartCards und PKI Zur Authentifikation am System dient eine Public-Key-Infrastruktur (PKI). Diese Infrastruktur dient zur Verwaltung digitaler Zertifikate. Jeder Mitarbeiter besitzt ein eigenes Zertifikat. Die Zertifikate werden auf SmartCards gespeichert. Die Anmeldeprozedur erfolgt über diese SmartCards. Das Cockpit stellt in diesem Modus einen "ThinClient" dar. Mitarbeiter / Arzt besitzt einen Mitarbeiter Ausweis, hier gesicherte SmartCard mit einem Chip (Prozessor mit Betriebsystem / CardOS) bestückt. Im System liegen PIN geschützte Zertifikate, die zur Authentifizierung, Verschlüsselung, etc. verwendet werden. Das Zertifikat beinhaltet einen privaten Schlüssel und einen öffentlichen Schlüssel, wobei der private Schlüssel mit der PIN geschützt ist. Die Session wird durch Stecken der Karte in das Cockpit initiiert. Während der Sitzung wird der Kartenleser, sowie wie Tastatureingaben und Mauszeigerpositionen über das Remote Desktop Protocol getunnelt. Zum Terminal hin wird nur der Bildschirminhalt übertragen. Der Benutzer befindet sich in der Anmeldemaske und meldet sich mit Smartcard und PIN an. Es werden die Öffentlichen Informationen benutzt um den Benutzer zu identifizieren. Mit dem privaten Schlüssel wird dieser authentifiziert. Beim Ziehen der Karte wird die Sitzung getrennt, der Terminal Services Client am Cockpit beendet und das Cockpit samt Menü wieder freigegeben Verschlüsselung Standardmäßig sind Remotedesktopdienste-Sitzungen so konfiguriert, dass die Verschlüsselungsstufe vom Client zum Server mit dem Host für Remotedesktopsitzungen ausgehandelt wird. Mit Transport Layer Security (TLS 1.0) wird die Identität des Servers mit dem Host für Remotedesktopsitzungen überprüft, und die gesamte Kommunikation zwischen dem Server mit dem Host für Remotedesktopsitzungen und dem Clientcomputer verschlüsselt. Die Sicherheitsstufe SSL (TLS 1.0) wird zur Serverauthentifizierung und Verschlüsselung aller Daten verwendet, die zwischen dem Server und dem Client übertragen werden. Für die Verwendung der Sicherheitsstufe ist ein Zertifikat erforderlich, das zum Überprüfen der Identität des Servers mit dem Host für Remotedesktopsitzungen und zum Verschlüsseln der Kommunikation zwischen Host und Client verwendet wird IT-Sicherheit Die Sicherheitsanforderungen werden im Rahmen der Projektumsetzung analog zum Krankenhausbezogenen IT-Sicherheitskonzept erfüllt und weiterentwickelt. Seite: 10/10