Universitätsklinikum Würzburg. Netzkonzept

Transkript

1 für das Klinikum 12/2009

2 1 Einleitung Istzustand Datennetz Historische Entwicklung Außennetz Gebäudevernetzung Sekundärverkabelung Tertiärverkabelung Logische Netzwerkstruktur Aktive Komponenten im Inhouse-Bereich Backbone-Topologie Telefonnetz Patienten-Telefonie und das Patienten-Fernsehen Schwachstellenanalyse BNC-Verkabelung Außennetz Ausfallsicherheit Fehlende Integration der technischen Netze Tertiärverkabelung Etagenverteiler Sollkonzept Netzwerkdienste Cluster und SAN-Technologien Verzeichnis-basierte Benutzerverwaltung und zentrale File-Services Sicherheit und Telemedizin Sprach- und Bewegtbildübertragung Funknetze Forschungsnetz in den Kliniken Passive Netzwerk-Infrastruktur Verteilerräume Voice-over-IP-taugliche Gebäudeverkabelung Außennetz Aktive Netzwerkkomponenten Inhouse-Komponenten Zentrale Netzwerk-Komponenten Core- und Distribution-Switches Access-Bereich Technische Umsetzung der Anforderungen Übertragungsprotokolle Komponentenauswahl Patienten-Dienste Telefon-Amtsanlage Realisierungsschritte Backbone-Ausbau Außenverkabelung Ausbau des Forschungsnetzes im Klinikum Ablösung der BNC-Verkabelung im Altgelände Patienten-Dienste Amtstelefonanlage Neubau Zentrum innere Medizin Sicherheit und Telemedizin Funknetze...30 Seite 2 von 32

3 1 Einleitung Das Datennetz im Universitätsklinikum Würzburg orientiert sich an den Bedürfnissen der zentralen DV-Verfahren im Klinikum. Es berücksichtigt die administrativen, wie die klinischen DV-Verfahren gleichermaßen. Darüber hinaus ist das Datennetz die Basis für Bürokommunikation, File- und Print-Services, Videostreaming und als Zugangsmedium zum Internet und zu den zentralen Diensten von Hochschulrechenzentrum und Universitätsbibliothek. Seit dem Bezug des Zentrums Innere Medizin wird das Datennetz auch für Telekommunikationsdienste genutzt. Durch die großen Neubauten Zentrum Operative Medizin, Zentrum Innere Medizin und der Zahnklinik hat es eine Neustrukturierung des Datennetzes geben, die mit der Umstellung des Backbones auf 10-Gigabit-Ethernet im Laufe des kommenden Jahres zu einem vorläufigen Abschluss kommen wird. Ziel dieser Neustrukturierung ist der Aufbau einer leistungsfähigen und ausfallsicheren Basis-Infrastruktur, die die DV-Versorgung der nächsten Jahre sichern wird. Auf der Basis dieser Netzwerkstruktur ist jedoch ein weiterer Ausbau des Datennetzes zur Erweiterung der Dienste und zur Erhöhung der Sicherheit notwendig. Als Schwerpunkte zu nennen sind der Aufbau einer Voice-over-IP-tauglichen Endgeräteversorgung und ein kontrollierter Zugang zum Datennetz und seinen Diensten. Ziele sind aber auch der Ausbau des Angebots für Patienten, Forscher und Studenten, sowie die Integration von Spezialnetzen durch Virtualisierungstechniken. Grundlagen für die Entwicklung des Sollkonzeptes und für die Realisierungsstufen bilden die Planungsrichtlinien für Kommunikationsnetze beim Freistaat Bayern, Stand , der Bericht der bayerischen Netzkommission Hochschulinterne Datennetze Stand und Planung in Bayern und die Europäische Norm DIN-EN 50173: (Anwendungsneutrale Verkabelungssysteme) und das Strukturkonzept des Klinikums. Seite 3 von 32

4 2 Istzustand 2.1 Datennetz Historische Entwicklung Durch das Netzwerk-Investitionsprogramm des Freistaats Bayern wurde die Basis für die derzeitige Vernetzung des Universitätsklinikums Würzburg geschaffen. Unter der Federführung des Hochschulrechenzentrums wurde 1991 eine HU-Bau für das Außennetz und die Gebäudevernetzung der gesamten Universität erstellt. Der Anteil für die Inhouse- Vernetzung des Klinikums umfasste ein Volumen von 9,3 Mio. DM. Während das Außennetz 1993 gemäß dieser Planung realisiert werden konnte, musste die Planung für die Inhouse- Vernetzung nach den Vorgaben des Bayerischen Staatsministeriums für Unterricht, Kultus, Wissenschaft und Kunst überarbeitet und deutlich reduziert werden. Für die Gebäude des Klinikums standen insgesamt statt der geplanten 9,3 Mio. DM nur 1,4 Mio. DM zur Verfügung. Um mit den begrenzten Mitteln die Infrastruktur für die Einführung der SAP- Verfahren schaffen zu können, wurden bezüglich des Klinikums die aktiven Netzwerkkomponenten aus dieser Baumaßnahme herausgenommen und über den HBFG- Antrag für die SAP-Verfahren beschafft. In den Jahren 1994 bis 1996 wurde dann durch diese Baumaßnahme eine Verkabelungsstruktur realisiert, über die noch heute ein Teil der DV-Anschlüsse im Klinikum versorgt wird. Bereits 1994 wurde ein Bauantrag zur Erweiterung des Datennetzes im Klinikum gestellt, der zu einer Ende 1997 genehmigten HU-Bau mit einem Volumen von 6,5 Mio. DM führte. Unter anderen bedingt durch die Anpassung der Planung an die technische Entwicklung konnte jedoch mit der Realisierung dieser Baumaßnahme erst im Sommer 2001 begonnen und 2004 beendet werden. Seitdem wurden die Datennetze in den Gebäuden des Altklinikums ständig erweitert. Größere Erweiterungen gab es durch die Sanierung von Hautklinik und Frauenklinik-OP, die Bauteile 3 und 4 der Zahnklinik und den Umzug der Stationen der medizinischen Klinik II in den Campus-Bereich Lukra. Mitte 2007 wurde in der Kopfklinik eine Baumaßnahme zur Ablösung der überholten BNC-Verkabelung begonnen. Die heutige Struktur des Datennetzes wurde jedoch entscheidend durch die Neubauten des Zentrums Operative Medizin (ZOM) und des Zentrums Innere Medizin (ZIM) geprägt. In diesem Gebäudekomplex liegt ca. die Hälfte der aktiven Netzwerkports im Klinikum. Mit dem Bezug des ZOM wurde das IP-Adresskonzept des Kliniknetzes vollständig überarbeitet. Im Konzept der Neustrukturierung wurde auch die weitere Entwicklung des Klinikums durch Neubauten Zentrum Innere Medizin, Zahnklinik und Kinderklinik und die damit einhergehenden räumlichen und organisatorischen Veränderungen im Klinikum berücksichtigt. Mit der Fertigstellung des Zentrums Innere Medizin (ZIM) wurde wesentliche Komponenten des Backbones auf 10-Gigabit-Ethernet-Technologie umgestellt. Die Migration im Altgelände ist in Vorbereitung. Die zukünftigen Core-Komponenten verfügen über Virtualisierungstechniken, mit denen sich bisher getrennt gehaltene Netzstrukturen für Spezialanwendungen in den Klinikbackbone integrieren lassen. Seit Oktober 2007 erfolgt die Betreuung von Telekommunikation und Datennetz gemeinsam im SMI. Damit wurde der Tatsache Rechnung getragen, dass beide Bereiche durch die steigende Verbreitung von Voice-over-IP auch technisch zusammenwachsen. Das ZIM erhielt als erstes Gebäude im Klinikum eine vollständige Voice-over-IP-Versorgung. Seite 4 von 32

5 2.1.2 Außennetz Das Außennetz (Primärverkabelung) wurde durchgängig mit hochfasrigen Monomode- Kabeln realisiert und auf wichtigen Strecken mit Gradientenfaser-Verbindungen ergänzt. Es gliedert sich in 2 Bereiche: Campusbereich Luitpoldkrankenhaus Im Campusbereich Luitpoldkrankenhaus bildet Grundstruktur ein Glasfaserring mit 24 Monomode-Fasern, von denen je 12 Fasern für das Kliniknetz und 12 Fasern für das Forschungsnetz zur Verfügung stehen. Das Gebäude der Hautklinik wird von dem Glasfaserring zweimal durchlaufen. Zusätzlich gibt es LWL-Verbindungen mit 24 Monomode und 24 Gradientenfasern zwischen den Rechnerräumen für die zentralen DV-Verfahren sowie zwischen ZIM, ZOM, der Frauenklinik und der Kopfklinik (Haus B1). Weitere Querverbindungen existieren zwischen der Kopfklinik und der Hautklinik, sowie zwischen der Frauenklinik und der ehemaligen Medizinischen Klinik (Haus D20). Durch diese Querverbindungen ist es möglich, sternförmige Strukturen aufzubauen. Die Institutsgebäude an der Versbacher Landstrasse werden versorgt durch zwei 12-faserige Stichleitungen, die alle Gebäude durchlaufen, sowie durch 2 LWL-Stammkabel zu den Instituten für Pathologie und für Virologie. Im Institutsbereich wird die LWL-Verkabelung primär für das Forschungsnetz genutzt, es besteht jedoch für alle Gebäude auch die Möglichkeit des Zugangs zum Kliniknetz. Das Zentrum für experimentelle molekulare Medizin (ZEMM) wird sowohl von der Frauenklinik als auch von den Instituten an der Versbacher Straße her erschlossen. Es ist das einzige Forschungsgebäude, bei dem die DV- und Netzwerk-Betreuung überwiegend durch das SMI erfolgt. Durch die bevorstehende Sanierung der ehemalige Medizinischen Klinik und des Heizgang- Systems wird es in den nächsten Jahren wesentliche Veränderungen im Campusnetz geben. Stadtnetz Das Stadtnetz verbindet den Campusbereich und die Außenkliniken (Nervenkliniken, Zahnkliniken und Medizinische Poliklinik) miteinander. Die einzelnen Verbindungen des Stadtnetzes bestehen aus jeweils 4 Monomode-Faserpaaren, die langfristig angemietet sind. Es besteht jedoch die Option auf eine kurzfristige Erhöhung der Faserzahl. Zur Erhöhung der Ausfallsicherheit und der Unabhängigkeit vom Provider wurden auf jeder Strecke Faserpaare von unterschiedlichen Anbietern angemietet. Zwischen der Zahnklinik und dem Klinikum wird WDM-Technik zur Kapazitätserhöhung eingesetzt Gebäudevernetzung Alle Gebäude im Universitätsklinikum Würzburg sind an das Datennetz angeschlossen, jedoch konnte bisher noch nicht jeder Raum mit einem EDV-Anschluss versorgt werden. Eine Vollversorgung existiert jedoch den Neubauten der Zahnklinik, des ZOM und des ZIM, sowie den Gebäuden des Altgeländes, die in den letzten Jahren saniert worden sind. In den anderen Gebäuden richtete sich die Auswahl der Räume, die an das Datennetz angeschlossen wurden, primär nach den Aspekten der Leistungserfassung, der Patientenversorgung und der administrativen DV-Verfahren. Anschlüsse erhielten hauptsächlich die Arzt- und Schwesternzimmer auf den Stationen, die medizinischen Funktionsbereiche und Labore, sowie die Arbeitsplätze mit administrativen Funktionen. Seite 5 von 32

6 Abbildung 1: Campus-Verkabelung (Ist-Zustand) Seite 6 von 32

7 In jedem Gebäude gibt es einen Hauptverteilerraum. In diesem Raum enden die Kabel des Außennetzes und die Verkabelung innerhalb des Gebäudes wird von hier aufgespannt. Die Verkabelungsstruktur im Gebäude ist zweistufig: Sekundärverkabelung Die Sekundärverkabelung zwischen dem Gebäudehauptverteilerraum und den Unterverteilern wurde durchgängig mit hochfasrigen LWL-Kabeln realisiert. Es kommen dabei hauptsächlich Gradientenfasern (50/125µm) zum Einsatz, jedoch wurden zusätzlich auch in der Regel 12 bis 24 Monomodefasern für Gebäudeübergreifende Strukturen und zukünftige Erweiterungen mitverlegt. Die Dimensionierung der Kabel hängt davon ab, ob aktiver Komponenten in den Unterverteiler vorgesehen sind. Für die Unterverteiler stehen jedoch meist keine eigenen Räume zur Verfügung, sondern die Verteilerkomponenten sind in abgeschlossenen Schränken in auch anders genutzten Räumen untergebracht (z.b. Technik- oder Abstellräumen). Im TK-Bereich herrscht eine konventionelle Verkabelung (Kat-3 mit LSA-Plus-Rangierungen) vor. Nur im ZIM sind die TK-Sekundärkabel auf RJ45-Patchpanel aufgelegt. Da aber nur zum Anschluss konventioneller TK-Endgeräte (FAX, DECT-Sender, Aufzugstelefone) dienen, wurden auch hier Kat-3 Kabel verwendet Tertiärverkabelung In der Tertiärverkabelung kamen, abhängig von Zeitpunkt der Realisierung und den zu erwartenden Anforderungen unterschiedliche Techniken zum Einsatz. Anschlüsse, die für Bild- und Videoverarbeitung vorgesehen sind, wurden von Anfang an mit LWL realisiert. Bei der ersten großen Baumaßnahme und auch in der darauf folgenden Zeit wurde aus Kostengründen für die Mehrzahl der Datendosen BNC-Technik verwendet. Die damals geschaffene Infrastruktur ist bis heute die Basis des Datennetzes im Klinikum. Ab 1997 wurden im Zuge von größeren Umbau- und Sanierungsmaßnahmen neue Abteilungsnetze in TP-Technik realisiert Mit dem Aufkommen von Gigabit-Ethernet fiel die Entscheidung, für neue Datendosen auch im Tertiärbereich grundsätzlich Glaskabel zu verwenden (Fiber-to-the-Office). Die Versorgung jeder Anschlussdose erfolgt mit 4 Gradientenfasern, wodurch 2 unabhängige Verbindungen z.b. für Redundanz oder für die Verbindung mit Klinik- und Forschungsnetz möglich sind. In den Neubauten der Zahnklinik, ZIM und ZOM sind alle Anschlüsse nach dem Fiber-to-the- Office-Konzept realisiert worden, im Altgelände trifft dies derzeit für ungefähr die 75 % aller vorhandenen DV-Anschlüsse zu. Ein Viertel der Anschlüsse im Altgelände beruhen noch auf der veralteten BNC-Technik, der Rest sind TP-Anschlüsse. Im ZIM wurde in Hinblick auf die Einführung von Voice-over-IP die tertiäre TK-Verkabelung als strukturierte TP-Verkabelung ausgeführt. Ergänzend zur konventionellen Verkabelung wurde in den Gebäude ZIM, ZOM und der Kopfklinik eine WLAN-Infrastruktur installiert. Damit sollen mobile Geräte unterstützt werden. Außerdem kann über das WLAN bei Störungen im Kliniknetz oder in der Stromversorgung ein Notbetrieb gewährleistet werden Logische Netzwerkstruktur Die logische Struktur des Datennetzes richtet sich sowohl nach den organisatorischen Strukturen des Klinikums als auch nach den baulichen Gegebenheiten und der Topologie der Verkabelung. Fast alle Kliniken und eigenständigen Fachabteilungen sind in eigenen Gebäuden bzw. Gebäudeabschnitten untergebracht. Die räumliche Zuordnung ist über die Jahre hin weitgehend konstant und Nutzungsänderungen führen meist nur zu Verschiebungen innerhalb der einzelnen Abteilungen. Daher lassen sich auf der Basis der physikalischen Verkabelungsstruktur voneinander getrennte Klinik- bzw. Abteilungssubnetze aufbauen. Seite 7 von 32

8 Aktive Komponenten im Inhouse-Bereich Innerhalb der einzelnen Subnetze kommen nur Netzwerkkomponenten zum Einsatz, die über SNMP managebar sind. Die Inhouse-Netze werden von den Gebäudehauptverteilerräumen aus über Chassisbasierte Layer-2-Switches aufgespannt (CISCO Catalyst 4500-Serie). Diese Geräte verfügen über eine hohe LWL-Portdichte (bis zu BaseFX- bzw. 1000SX-Ports) und über 10- Gigabit- bzw. Gigabit-Ethernet-Uplinks zum Backbone. Existieren in einem Gebäude mehrere Teilnetze, so werden diese Teilnetze über VLANs innerhalb des zentralen Gebäude-Switches realisiert. Durch redundante Uplinks und Stromversorgungen erhöhen die Ausfallsicherheit ebenso wie die Versorgung der beiden Ports einer LWL-Doppeldose über verschieden Einschubmodule. Während die Versorgung der LWL-Verkabelung durch die zentralen Gebäude-Switches erfolgt, kommen dort, wo die Tertiärverkabelung in Kupfer ausgeführt ist, auch in den Etagenverteilern aktive Komponenten zum Einsatz. Die Uplinks dieser Komponenten werden an den zentralen Gebäude-Switch angeschlossen. Dort, wo die Endverkabelung in TP ausgeführt ist, erfolgt die Versorgung über 10/100/1000TX-Switches, die über Gigabit-Uplinks mit dem Gebäude-Hauptverteilerraum verbunden sind. Dort, wo noch die veraltete BNC-Verkabelung noch nicht abgelöst werden konnte, ist die Übertragungsgeschwindigkeit für einen Teil der Endgeräte auf 10Mbit/s begrenzt. Die einzelnen BNC-Segmente werden in den Unterverteilungen über BNC-Multiportrepeater versorgt, die über Workgroup-Switches zur Geschwindigkeitsanpassung und LWL-Uplinks mit dem Gebäude-Switch verbunden sind. Ergänzend zu der kabelgebundenen Infrastruktur wurde im ZIM, im ZOM und in einigen Gebäuden und Abteilungen des Altgeländes ein WLAN installiert. Die Sicherheit der Funk- Kommunikation wird über 802.1X-Authentifizierung und Verschlüsselung nach den WPA/WPA2-Standards gewährleistet. Im ZIM basiert das WLAN auf dem n-Standard, in den übrigen Gebäuden auf g. Abbildung 2: Backbone-Struktur (Ist-Zustand) Seite 8 von 32

9 Das Klinikums-WLAN wird über mehrere, redundant ausgelegte WLAN-Controller aufgespannt und stellt logisch getrennte Strukturen für verschiedene Dienste zur Verfügung (Klinikische Anwendungen, Patientendienste, etc.) Der Übergang vom WLAN in die verschiedenen Netzstrukturen wird durch ein Policybasiertes Firewallsystem kontrolliert und abgesichert Backbone-Topologie Da in den Subnetzen ausschließlich Layer-2-Komponenten zum Einsatz kommen, gibt es innerhalb der Subnetze keine Einschränkung bezüglich der unterstützten Netzwerk- Protokolle. Zwischen den einzelnen Subnetzen und zum Backbone hin wird jedoch geroutet. Sowohl das Kliniknetz als auch das Forschungsnetz sind reine IP-Umgebungen. Dabei wird im Kliniknetz auch Multicast-Routing unterstützt. Das Routing im Kliniknetz basiert auf dem OSPF-Protokoll. Auf der Basis der Gebäudetopologie wurde das Kliniknetz in mehrere Areas untergliedert, wobei auch zwei Areas für Server-Farmen eingerichtet wurden. Innerhalb jeder Area gibt es als Distribution-Layer 2 Router, die die Inhouse-Netze redundant an den Backbone anschließen. Zur Administration der Router-Redundanz kommt HSRP zum Einsatz, wobei durch HSRP-Parametrierung in den einzelnen Subnetzen eine Lastverteilung auf die beiden Router erreicht wird. Die zentrale Backbone-Struktur (Area 0) wird durch 2 Paare von untereinander vermaschten Core-Routern aufgebaut. Jeder der Core-Router ist mit allen Distribution-Routern entweder mit 10-GE oder mit bis zu 4 Gigabit-Ethernet-Strecken verbunden. Die Verteilung des Datenverkehrs auf die verschiedenen Verbindungsstrecken erfolgt über das Routing- Protokoll. Zum Schutz des Kliniknetzes existiert ein Catalyst-6500-Paar mit Firewall-Service-Modulen, an die unter anderem der Firewall, das Fernwartungsgateway und die WLAN-Controller- Module angeschlossen sind. Der Datenverkehr zwischen diesen Komponenten und dem Kliniknetz wird durch umfangreiche Firewall-Regeln abgesichert. Der frühere ATM-Backbone, der im Rahmen der Umstrukturierung 2004 abgelöst wurde, wird als separates Management-Netz weiter betrieben. Dieses Netz ermöglicht einen vom Kliniknetz weitgehend unabhängigen Zugriff auf die Konsol-Ports von Servern und Netzwerkkomponenten und ermöglicht so die Fernadministration, die Fehlerdiagnose und Störungsbehebung selbst bei einem Ausfall des Klinik-Backbones. Für das Kliniknetz liegt die Betreuung sämtlicher aktiver Netzwerkkomponenten beim Servicezentrum Medizin-Informatik. Die Administration der Router und Switches im Forschungsnetz wird für die gesamte Universität einschließlich des Klinikums durch das Hochschulrechenzentrum übernommen. 2.2 Telefonnetz Das Kommunikationsnetz im Klinikum, das bereits am längsten existiert und die meisten Anschlüsse hat, ist das Telefonnetz. Seit dem Austausch der Telefonanlage im Jahre 2002 besteht das Telefonnetz des Klinikums aus einem Verbund von 13 Anlagen. Die Verkabelungsstruktur wird sternförmig von den Anlagenstandorten aus über ein mehrstufiges System von passiven Haupt- und Etagenverteilern aufgebaut. In den Verteilern erfolgt das Schalten der Verbindungen mit der LSA-Technik. Die Anzahl der Adernpaare verringert sich von der Anlage über Hauptverteiler zur Etage hin. Die Kabel entsprechend maximal der Kategorie 3. Als Telefonanlage sind SIEMENS HiCom 300/HiPath4000 Systeme im Einsatz. Die überwiegende Anzahl der Endgeräte sind ISDN-Apparate, daneben gibt es jedoch auch Seite 9 von 32

10 Faxgeräte, eine geringe Anzahl von Analoganschlüssen und eine DECT-Installation (HiCom Cordless). Die DECT-Versorgung ist jedoch außer im ZIM und ZOM nicht flächendeckend. Der Verbund der Anlagen erfolgt über S2M-Verbindungen, die zum Teil über Kupferstrecken aus der Telefonvernetzung und zum Teil über dedizierte Fasern aus der Datennetz-LWL- Infrastruktur realisiert sind. Außerdem gibt es zwischen den Telefonanlagen der Universität und des Klinikums 2 S2M-Querverbindungen. Die Verbindung zwischen den Klinik- Telefonnetz und dem öffentlichen Netz erfolgt über S2M-Leitungen zu den zentralen TK- Anlagen im Klinikum Die Steuerung der Anlagen erfolgt auf IP-Basis über das Kliniknetz, wobei für die Telefon- Komponenten ein eigener IP-Adressbereich und eigenes VLANs verwendet werden. Im Rahmen der Inbetriebnahme des ZIM wurden die Telefonanlagen im ZOM, im der Frauenklinik und dem ZEMM auf HiPath4000-Systeme umgestellt. Diese Anlagen erhielten IP-Baugruppen, die sowohl als Gateway zur Voice-over-IP-Anlage für das ZIM als auch als Querverbindung untereinander genutzt werden können. Für das ZIM wurde eine redundant ausgelegt HiPath8000-Anlage eingerichtet, die alle Telefone im ZIM versorgt. Die DECT-Sender im ZIM sind jedoch an der ZOM-Alage angeschlossen und es gibt zusätzlich einen IPDA, der für Analogbaugruppen für die FAX- Geräte aufnimmt x ISDN S2 glk Vorrouting 2 Hicom 300 H Kopfklinik Gebäude UNI -0 Netz Röntge n- ISDN S2 ring LWL Hicom 300 H Zahnklinik Gebäude -0 Vorrouting 7 2x ISDN S0 Gehend Hicom 300 H Med. Poli Gebäude xS 0 L W 1 L xS / x x ISDN gehend S2 S x ISDN 1 Hicom Gehend S2 V H 0931/ Nervenklinik 2- Gebäude 25 S -0 2 LARC OR Hicom 300 H Hautklinik Gebäude 12 1x S2 L W x S2 Hicom 300 H Weininger Haus Gebäude WH 2x S2 Hicom 300 H Straubmühlweg Gebäude HiPath 4000 Frauenklinik Gebäude 22 1x ISDN S2 Glk 0931/201-0 Vorrouting Bdl Bdl 400 1x ISDN S2 Hicom 300 glk H Medizin Gebäude xS x S S2 IS 1- D 2- N 25 1xS LWL x S x ISDN S2 glk Vorrouting 0,1,5,8,9 1xS x ISDN S2 HiPath 4000 ZOM Gebäude A1 Hicom 300 H Virologie Gebäude 32 Hicom H Hygiene Gebäude 17 Abbildung 3: Anlagenverbund Telefon-Amtsanlage (Ist-Zustand) V 4 x Bdl2 04 Bdl x S xS 2 Vorrouting / x ISDN S2 glk 0931/ xS xS xS xS -1 DAKS xS XPRESSION VOICE FAX CTI Callmanag er Vorrouting 4 1x ISDN S2 HiPath 8000 ZIM Gebäude A4 IPDA ZIM xS xS2 HiPath 4000 ZEMM Gebäude Universitätklinikum Würzburg TK-Anlagenverbund Amtsanlage Seite 10 von 32

11 2.2.1 Patienten-Telefonie und das Patienten-Fernsehen Für die Patienten-Dienste Telefonie, Internet und Fernsehen gibt es einen Gestattungsvertrag zwischen dem Klinikum und der Firma SIEMENS. Siemens erhält die erwirtschafteten Einnahmen und führt dafür jährlich einen Pauschalbetrag an das Klinikum ab. Das Klinikum stellt die Kabel-Infrastruktur und Siemens die Anlage, die Kassenautomaten und die Telefone. Die Administration und Wartung der Anlage, der Telefone, des Abrechnungssystems und der Kassenautomaten übernimmt die Firma Siemens. In allen Gebäuden, in denen es eine WLAN-Versorgung gibt, kann dies auch von den Patienten für den Internet-Zugang genutzt werden. Der Zugang wird über das Siemens- Abrechungssystem verwaltet. Das ZIM ist mit Multimedia-Terminals (SIEMENS Cockpit) ausgestattet, die Fernsehen, Radio, Internetzugang und IP-Telefonie in einem Gerät vereinen. Außerdem können die Cockpits von Klinikpersonal als Thinclients für das Krankenhaus-Informationssystem genutzt werden. In den anderen Gebäuden des Klinikums sind die Patientenzimmer mit konventionellen Telefonen und Fernsehern ausgestattet. Neben der Telefon-Verkabelung (Kategorie 3) wird für das Patientenfernsehen auch eine Koxial-Verkabelung für das Antennensignal benötigt. Die Patienten-Telefonanlage ist in den Anlagenverbund des Klinikums integriert, weil Anbindung der Außenkliniken über gemeinsam genutzte Querverbindungen erfolgt und die Privatgespräche der Mitarbeiter über die Patientenanlage abgerechnet werden. Das Patientenfernsehen wird als kostenloser Service zur Verfügung gestellt, weil derzeit auf Grund des Gebührenrechts eine Verrechnung nicht wirtschaftlich ist. Der Betrieb der Fernsehanlage wird vom Servicezentrum Medizin-Informatik des Klinikums übernommen. Trotzdem gibt es ein Zusammenspiel mit der Patienten-Telefonanlage, weil die Fernsteuerung der Fernsehgeräte und die Tonübertragung über das Telefon erfolgt. 2.3 Schwachstellenanalyse Die bestehende Verkabelungsinfrastruktur beruht im Altgelände teilweise noch auf über 10 Jahre alten Konzepten. Zwar wurde das Verkabelungskonzept bei Netzwerkerweiterungen im Rahmen von Umbaumaßnahme an den jeweiligen Stand der Technik angepasst, jedoch konnten trotz verschiedener Baumaßnahmen immer noch nicht alle DV-Anschlüsse in Alt- Klinikum nicht auf einen technisch aktuellen Stand gebracht werden BNC-Verkabelung Die im Altgelände noch zum Teil vorhandene BNC-Verkabelung beschränkt die Übertragungsgeschwindigkeit auf 10 MBit/s. Da diese Technik seit Längerem nicht mehr weiterentwickelt wird, sind inzwischen keine hochwertigen aktiven Komponenten für die BNC-Technik mehr auf dem Markt verfügbar. Dadurch ist es praktisch nicht mehr möglich, BNC-Stränge leistungsfähig und ausfallsicher zu versorgen. Hinzu kommt, dass viele moderne Endgeräte nicht direkt, sondern nur über Medienumsetzer an BNC-Kabel angeschlossen werden können. Dies schafft zusätzliche Fehlerquellen und erschwert die Netzwerkadministration Außennetz Das Außennetz war für ringförmige Netzwerktopologien konzipiert worden, bei denen jeweils 6 Verbindungsmöglichkeiten zwischen den Gebäuden als ausreichend betrachtet wurden. Jedoch bauen heute alle gängigen Backbone-Topologien auf sternförmigen Strukturen auf. Seite 11 von 32

12 Zwar kann auch auf dem mehrfasrigen Glasfaserring eine sternförmige Netzwerktopologie geschaltet werden, jedoch führt dies schon ohne Redundanzstrecken zu Engpässen in der Infrastruktur. Auch wenn in den letzten Jahren Erweiterungen vorgenommen wurden, bleibt die Problematik bestehen, weil die zusätzlichen Kapazitäten hauptsächlich für den Aufbau eines klinikumsweiten Fiber-Channel-SANs genutzt worden sind. Hinzu kommt, dass nach dem Bezug des ZIM eine Entkernung des Hauses D20 ansteht, durch die ein Großteil der LWL-Verbindungsstrecken im Altgelände verloren gehen wird Ausfallsicherheit Zum einen ist durch die derzeitige Verkabelung die Möglichkeit für den Aufbau redundanter Strukturen nur begrenzt gegeben, zum anderen standen Investitionsmittel nur für eine redundante Versorgung im Backbone zur Verfügung. Dies gilt sowohl für die aktiven Netzwerkkomponenten als auch für die Ausstattung der Gebäudehauptverteilerräume. Bei Ausfällen von aktiven Komponenten steht durch Austausch der Komponenten nach wenigen Stunden der Netzbetrieb wieder voll zur Verfügung, dagegen kann in manchen Verteilerräumen z.b. der Ausfall der Klimaanlage oder der Stromversorgung zu längeren Stillstandszeiten führen Fehlende Integration der technischen Netze Bisher wurden für alle technischen Gewerke physikalisch getrennte Netzwerkstrukturen aufgebaut. Diesen Strukturen fehlen definierte Übergangspunkte. Dadurch ist weder eine gemeinsame Administration noch die Nutzung möglicher Synergie-Effekte durch den Einsatz neuer Technologien möglich Tertiärverkabelung Da im Klinikum die Telefone auch bei einem Stromausfall funktionieren müssen, ist die Stromversorgung der Telefone über das Datennetz eine Voraussetzung für den flächendeckenden Einsatz von Voice-Over-IP im Klinikum. Durch die schlechte Situation hinsichtlich der Etagenverteiler ist es jedoch derzeit nicht möglich, eine flächendeckende, strukturierte TP-Verkabelung aufzubauen Etagenverteiler Für die Etagenverteiler gibt es keine geeigneten Räume. Meist wurden kleine Verteilerschränke in auch anders genutzte Räume montiert. Die Schränke wurden von der Dimension auf die BNC-Verkabelung ausgelegt und lassen sich aus Platzgründen oft nicht erweitern. Die Schränke werden zwar über Notstrom versorgt, aber sie sind von ihrer Ausstattung für moderne aktive Netzkomponenten und für USV-Versorgung nicht geeignet. Hinzu kommt, dass die Etagenverteiler klimatechnisch nicht versorgt sind, wodurch die Geräte insbesondere während der Sommermonate überhitzen. Daher sind die meisten Etagenverteiler nur als passive Rangierverteiler für die LWL- Verkabelung, aber nicht als Basis für eine VoIP-taugliche, flächendeckende TP-Verkabelung geeignet. Seite 12 von 32

13 3 Sollkonzept Das Datennetz im Universitätsklinikum Würzburg wird in Zukunft zu einem wesentlichen Bestandteil der Infrastruktur für die medizinische Versorgung. Je mehr EDV-Verfahren im Klinikum eingesetzt werden, desto höher werden die Anforderungen an die DV-Infrastruktur. Dies gilt nicht nur hinsichtlich der Leistung und der Verfügbarkeit der Netzwerkkomponenten, sondern auch hinsichtlich der Sicherheit der Systeme im Netz. Hinzu kommt, dass durch Aspekte der Telemedizin und der Zusammenarbeit mit niedergelassenen Ärzten im vor- und nachstationären Bereich eine Öffnung nach außen notwendig wird. 3.1 Netzwerkdienste Neben den baulichen Rahmenbedingungen bestimmen die Anforderungen durch die DV- Verfahren und Netzwerkdienste das Konzept des Datennetzes. Für die Versorgung der Endgeräte wird in vielen Bereichen eine Übertragungsgeschwindigkeit von 1 GBit/s benötigt. Daher ist bei Neubauten in Zukunft die Anbindung mit Gigabit-Ethernet der Standard. Die bestehenden Strukturen sollen innerhalb der nächsten 3 Jahre schrittweise auf Gigabit- Ethernet migriert werden. Bereits jetzt sind in allen Gebäuden Gigabit-Anschlüsse für einzelne Arbeitsplätze möglich. Für Router-Verbindungen und High-End-Server wird es jedoch die Option auf eine Übertragungsgeschwindigkeit von 10-Gigabit geben. Hinsichtlich der Verkabelung sollten die Längenrestriktionen bei einer Übertragungsgeschwindigkeit von 10 Gigabit berücksichtigt werden Cluster und SAN-Technologien Gerade im medizinischen Umfeld spielt eine hohe Verfügbarkeit der Hardware eine große Rolle. Insbesondere der Aspekt, dass die Verfahren auch im Katastrophenfall weiter zur Verfügung stehen sollen, führt zur räumlich getrennten Aufstellung der Server und SAN- Plattenspeicher von Clustersystemen. Die Konsequenz daraus ist die Notwendigkeit einer performanten und redundanten Netzwerkverbindung zwischen den Serverstandorten. Ein zusätzlicher Bedarf an Backbone-Kabeln entsteht für das Schalten der SAN-Strecken und für dedizierte LAN-Verbindungen zur Clusteradministration Verzeichnis-basierte Benutzerverwaltung und zentrale File- Services Im Universitätsklinikum Würzburg sollen alle wesentlichen DV-Verfahren zentral über das Servicezentrum Medizininformatik administriert werden. Eine wesentliche Voraussetzung dafür ist eine homogene Benutzer- und Berechtigungsverwaltung, die auf einem klinikumsweiten Verzeichnisdienst beruht. Über Standardschnittstellen (z.b. LDAP und DirXML) wird dieser Verzeichnisdienst einerseits mit den zentralen DV-Verfahren, aber andererseits auch mit Netzwerkdiensten wie und VPN-Gateways gekoppelt. Als erster Schritt wurde ein IDM-Projekt durchgeführt, bei dem ein zentrales Meta-Directory aufgebaut wurde. An das Meta-Directory angeschlossen sind derzeit, die SAP-Verfahren, die File- und Print-Services und die Administration der Fernzugänge. Über das Personalinformationssystem HR erhält das Meta-Directory die personenbezogenen Stammdaten und die Informationen über das Ausscheiden von Mitarbeitern, was zur automatischen Deaktivierung von Accounts führt. Durch eine Kopplung der Telefonanlagen mit dem Verzeichnisdienst wird eine automatische Aktualisierung der Adressbücher möglich. Langfristig sollen alle Systeme im Klinikum über das Metadirectory verwaltet werden. Das Seite 13 von 32

14 Benutzer-Login soll durch den Einsatz von Single-Signon und Smartcards vereinfacht und sicherer gemacht werden. Es soll aber nicht nur die Benutzerverwaltung, sondern auch die Verwaltung der Endgeräte vereinheitlicht werden. Es muss möglich sein, ein ausgefallenes Endgeräte durch ein Ersatzgerät mit einer Standardkonfiguration zu ersetzen und über Softwareverteilungswerkzeuge automatisch mit der benötigten Software zu betanken. Bezüglich der Zuweisung der Applikationen sollten die Softwareverteilungswerkzeuge mit dem Verzeichnisdienst gekoppelt sein. Die einfache Austauschbarkeit von Endgeräten setzt voraus, dass Daten und Dokumente nicht auf den Endgeräten, sondern ausschließlich auf zentralen Plattensystemen gespeichert werden. Die enge Bindung an den Verzeichnisdienst und die zentrale Datenspeicherung bedeutet jedoch, dass die Endgeräte ohne Netzwerkanbindung nicht einsetzbar sind. Daher bringt diese Organisation hohe Verfügbarkeitsanforderungen an Datennetz, Verzeichnisdienst und Speichersysteme mit sich. Diese Anforderungen können nur durch räumlich verteilte, redundante Systeme erfüllt werden, was jedoch zu einer Belastung des Backbone durch Datenabgleich und beim Backup führt. Insbesondere für die Synchronisation des Verzeichnisdienstes und zur Lastbegrenzung bei zentraler Verteilung von Softwareupgrades sollten die aktiven Netzwerkkomponenten Multicast-Protokolle unterstützen Sicherheit und Telemedizin Aspekte der Telemedizin, der überregionalen Zusammenarbeit mit Praxen, anderen Klinik und Forschungseinrichtungen und die Nutzung moderner Techniken (z.b. Video-Konferenz) und Arbeitsformen (z.b. Home Office) machen eine Öffnung des Kliniknetzes nach außen notwendig. Andererseits wächst der Schutzbedarf mit der zunehmenden Nutzung des Datennetzes für medizinische Verfahren. Hinzu kommt, dass die Bedrohung durch Hacker- Angriffe aus dem Internet sprunghaft gestiegen ist. Für diese komplexe Aufgabenstellung ist das derzeit verwendete, relativ einfache Firewallsystem nicht mehr ausreichend. Zwar bietet es die Möglichkeit eines gesicherten Zugangs über VPN-Lösungen, jedoch würde es jedem authentifizierten Benutzer den uneingeschränkten Zugang zum Kliniknetz eröffnen. Vielmehr ist ein mehrstufiges Sicherheitssystem mit verschiedenen Zonen unterschiedlicher Berechtigungen notwendig. Die Übergänge zwischen den einzelnen Zonen werden über Kombinationen aus Firewall- Systemen bzw. Netzwerkkomponenten realisiert, die nicht zugelassene Dienste filtern und die Zugriffspfade zu den Servern in Abhängigkeit von den Diensten steuern(layer4-7- Routing). Ziel ist dabei, Angriffsmöglichkeiten zu verringern und die Folgen eines trotz allem erfolgreichen Angriffs zu beschränken. Wird der Zugang zu einem Server auf die Dienste beschränkt, die der Server dem Netz zur Verfügung stellt, so kann er nicht über eventuelle Sicherheitslöcher in anderen Diensten angegriffen werden. Sollte es jedoch einem Hacker über zugelassene Dienste gelingen, Zugriff auf einen Server zu bekommen, so verhindert die Einschränkung der Dienste, dass das angegriffene System als Sprungbrett für weitere Attacken genutzt werden kann. Im Wesentlichen sind folgende Zonen zu unterscheiden: Die Web-Zone für Informationsdienste. Die Access-Zone mit den Gateways für Telemedizin, Videokonferenzen, Fernwartung und Home-Office-Anwendungen. Restricted Networks sind logisch bzw. physikalisch getrennte Overlay-Strukturen des Kliniknetzes, die die Verbindungen zwischen den Gateways in der Access-Zone und den dienst-erbringenden Partnersystemen im Kliniknetz herstellen. Seite 14 von 32

15 Funk-LAN Mailserver Gateway Video- Fernzugangs- Gateway Einwahl- Server Access-Control Access-Control - Funk-LAN Kliniknetz Gateway Access-Zone VPN- Firewall Funk-LAN Firewall nur Outbound Internet/ Forschungnetz Web-Server Web-Zone Access-Control Abbildung 4: Sicherheitskonzept Web-Zone Die Informationsdienste in der Web-Zone dienen hauptsächlich zur Darstellung des Klinikums nach außen. Sie sollten für Anwender im Internet, im Forschungsnetz und im Kliniknetz frei zugänglich sein. Zusätzlich muss die Pflege der Informationen aus dem Kliniknetz heraus möglich sein. Die Systeme enthalten keine Datenschutz-relevanten Daten, gleichwohl kann durch eine Hacker-Attacke dem Klinikum ein erheblicher Image-Schaden zugefügt werden. Da vom Internet zu den Diensten in der Webzone ein anonymer Zugang möglich sein muss, sollte der Übergang zwischen Kliniknetz und Webzone genau wie der Übergang zwischen Kliniknetz und Forschungsnetz bzw. Internet über ein Firewallsystem gesichert sein. Dagegen bietet zwischen Web-Zone und Internet ein filternder Switch bzw. Router einen ausreichenden Schutz. Access-Zone Dienste, die einen Zugriff auf Daten bzw. Systeme aus dem Kliniknetz benötigen, sind besonders sicherheitsproblematisch. Es soll daher kein direkter Zugriff in das Kliniknetz erlaubt werden. Vielmehr soll die Kommunikation über Gateway-Systeme erfolgen, die in der Access-Zone stehen. Die Access-Zone kann sowohl vom Forschungsnetz bzw. Internet als auch über einen Einwahlknoten für ISDN-Zugänge über VPN-Firewall-Systeme erreicht werden. Diese Systeme ermöglichen den Zugang entweder über das IPSec-Protokoll oder über SSL/HTTPS. Die Gateways ihrerseits sind über Firewall-systeme und filternde Switch/Router an Restricted Networks angeschlossen, die ausschließlich die Kommunikation zu den Systemen erlauben, die mit den entsprechenden Gateways zusammenarbeiten. So wäre zum Beispiel für Home Office-Anwendungen das Gateway ein Outlock-Web-Access- Server, der dann über eine Inbound-Proxy eines Firewall-Systems auf einen Exchange- Server im Kliniknetz zugreifen kann. Für Videokonferenzen dient ein Multi-Session-Videoserver als Gateway. Teilnehmer einer Videokonferenz müssen sich entweder aus dem Klinik-Netz oder aus den offenen Netzen über die Firewall-Systeme mit dem Videoserver verbinden, der dann als Relay zwischen den Teilnehmern fungiert. Eine direkte Kommunikation zwischen Teilnehmern aus dem Kliniknetz mit Teilnehmern von außerhalb wird aus Sicherheitsgründen nicht zugelassen. Seite 15 von 32

16 Für Telemedizin-Lösungen gelten besonders hohe Sicherheitsanforderungen, da dabei sensible Daten ausgetauscht werden. Es müssen sowohl Vorkehrungen gegen Abhören als auch gegen Fälschung der Partner-Identität getroffen werden. Die Authentifizierung und der verschlüsselte Austausch erfolgt über Public-Key-Verfahren. Dabei muss jede Anforderung und Anfrage elektronisch unterschrieben sein. Für jede Einsendung sollte ein externer Partner einen fallspezifischen Schlüssel erhalten, der nur den Zugriff und die Entschlüsselung für die Daten dieses Falls erlaubt. Der Schlüssel für die Datenübertragung wird bei jedem Verbindungsaufbau neu ausgehandelt. Zudem sollte bei VPN-Verbindungen dieser verbindungsbezogene Schlüssel automatisch variieren. Zur Zertifizierung der öffentlichen Schlüssel und der elektronischen Unterschriften betreibt das Klinikum eine eigene PKI. In Zusammenhang mit dem Heilberufeausweis wird jedoch auch auf die Dienste externer Trust-Center zurückgegriffen. Die eingesetzten Systeme und Verfahren sind entsprechend vorbereitet. Restricted Networks Da trotz aller Sicherheitsmaßnahmen die Gateways ein potentielles Sicherheitsrisiko darstellen, soll von den Gateways kein Zugriff auf das gesamte Kliniknetz, sondern nur zu den beteiligten Partnersystemen über sogenannte Restricted Networks möglich sein. Die Gateways in der Access-Zone sind an einem zentralen Punkt im Datennetz angesiedelt. Dem gegenüber können die Systeme, zu denen über die Gateways der Zugang gestattet wird, im ganzen Klinikum verteilt sein (z.b. Systeme, die ferngewartet werden sollen; Vortrags- und Videoräume für Videokonferenzen). Daher kann die Kommunikation nicht über separate Leitungen erfolgen. Stattdessen sollen logische Strukturen (VLANs, VRF, MLPS) definiert werden, auf denen der Zugriff auf virtuell getrennten Pfaden erfolgen kann. Routing bzw. Bridging-Übergänge zwischen den Restricted Networks und dem übrigen Kliniknetz sind möglichst zu vermeiden und werden über Firewallsysteme kontrolliert Sprach- und Bewegtbildübertragung In den vergangenen Jahren haben sich Sprach- und Datenübertragungstechniken aufeinander zu entwickelt. Insbesondere im Endgerätebereich (IP-Telefonie, Unified Messaging, ISDN, xdsl) und im Core-Bereich werden zunehmend gemeinsame Techniken verwendet. Im Universitätsklinikum Würzburg werden schon deshalb konventionelle Telefonie und Datennetz nebeneinander weiterbestehen, weil Telefon und Fax in der Ausfallorganisation für die DV-Verfahren eine wichtige Rolle spielen. Jedoch werden Unified Messaging und IP-Telefonie als Ergänzung der konventionellen Telefontechnik einerseits, sowie ISDN und xdsl als Zugangtechnik zum Datennetz andererseits eine zunehmende Rolle spielen. Sowohl für Forschung und Lehre als auch für medizinische Zwecke gewinnt die Übertragung von Bewegtbildern ständig an Bedeutung. Videokonferenzen finden gleichermaßen in der Telemedizin wie auch im Wissenschaftsbereich Anwendung. Zum Beispiel dienen Video- Übertragungen aus den OP-Sälen der Lehre und der Dokumentation, können aber auch dazu verwendet werden, über Fernkonsile kurzfristig Spezialisten hinzuzuziehen. Sowohl Sprach- als auch Bewegtbildübertragung erfordern eine garantierte Bandbereite. Während für Sprache ca. 100 KBit/s ausreichend sind, werden für die Bildübertragung in Abhängigkeit von der Auflösung garantierte Bandbreiten von 6 MBit/s und mehr benötigt. Ist die Kommunikation bidirektional so kommt zusätzlich das Problem der Zeitverzögerung hinzu. Es hat sich gezeigt, dass Teilnehmer von Videokonferenzen bzw. Gesprächspartner am Telefon innerhalb von 200 Millisekunden eine Reaktion des Partners erwarten. Bleibt die Reaktion innerhalb dieser Zeit aus, so kommt der Gesprächsfluss ins Stocken. Daher darf Seite 16 von 32

17 die Gesamtverzögerung über die gesamte Übertragungsstrecke nicht mehr als 100 Millisekunden pro Richtung betragen. Je nachdem, ob für die Videoübertragung eine Multicast- oder eine Server- bzw. Relaisbasierte Technik gewählt wird, ergeben sich unterschiedlich Anforderungen an die Backbone-Komponenten. Multicast-Übertragungen führen zu einer hohen CPU-Belastung der Backbone-Switches, wogegen eine Server- bzw. Relais-basierte Lösung einen hohen Datenverkehr im Backbone erzeugt Funknetze Während in den Büros und Dienstzimmern in der Regel den Mitarbeitern fest installierte Arbeitsplätze zur Verfügung stehen, gehen im Stationsbereich die Mitarbeiter von Bett zu Bett. Insbesondere die Ärzte benötigen einen Online-Zugriff auf die medizinischen Daten der Patienten direkt am Bett. Daher werden auf den Stationen mobile Rechner zum Einsatz kommen. Eine Datennetzversorgung über fest verlegte Kabel ist jedoch für mobile Rechner nicht praktikabel. Zum einen müssten die Rechner ständig umgesteckt werden, wodurch die Anschlussdosen, die je nach Bauart für Steckzyklen ausgelegt sind, innerhalb kurzer Zeit verbraucht wären. Zum anderen müsste bei jedem Ortswechsel die Netzwerkverbindung inklusive der Anmeldung neu aufgebaut werden, was zu erheblichen Verzögerungen im Arbeitsablauf führen würde. Dies kann nur durch eine Funknetzlösung vermieden werden, bei der die Verbindung ständig bestehen bleibt und durch Roaming gegebenenfalls von einer Funkzelle zur anderen übergeben wird. Da über die Funkstrecke sensible Daten übertragen werden, muss der Datenverkehr über das Funknetz abhörsicher verschlüsselt werden. Innerhalb der Funknetze wird der Datenverkehr, soweit dies von den Endgeräten unterstützt wird, nach dem WPA-2-Standard verschlüsselt. Außerdem kann das Funknetz-VLAN als Restricted Network betrachtet werden. Zwischen den Accesspoints und den zentralen WLAN-Controllern erfolgt die Kommunikation über ein Tunnelprotokoll. Die Controller sind über ein Firewall-System mit dem Kliniknetz bzw. dem Internet verbunden, wobei die Berechtigungen auf den WLAN- Clients auf der Basis der 802.1x-Authentifizierung zugewiesen werden. Zusammen mit Voice-over-IP-Technik kann das Funknetz auch als Alternative zu DECT- Telefonen verwendet werden. Durch die HiPath8000-Anlage im ZIM wurde auch die Basis für die Einführung von Voice-over-WLAN-Lösungen gelegt. Es ist jedoch vorerst nicht an eine DECT-Ablösung, sondern an ein nebeneinander beider Technologien gedacht. Neben den Funknetz-Anwendungen im medizinischen Bereich sollen Funknetze auch im Bereich von Forschung und Lehre zum Einsatz kommen. Zum einen können sich so Studenten und Doktoranden mit ihren eigenen Notebooks in Bibliotheken und Arbeitsräumen einfach mit dem Forschungsnetz verbinden. Zum anderen können vorbereitete Präsentationen und Bildmaterial über das Funknetz von Rechnern der Dozenten auf die Video-Beamer in den Hörsälen und Seminarräumen übertragen werden Forschungsnetz in den Kliniken Bisher spielte das Forschungsnetz in den Kliniken nur eine untergeordnete Rolle. Es war durch die Verkabelungsstruktur in vielen Gebäuden überhaupt nicht möglich, neben dem Kliniknetz ein zweites Netzwerk aufzubauen. Dies führte dazu, dass zwischen Sicherheitsanforderungen einerseits und der Versorgung der Kliniken mit Informationsdiensten andererseits eine Reihe von Kompromissen eingegangen werden musste. Mit der sternförmigen LWL-Verkabelung wird jedoch die Voraussetzung für eine weitreichende Forschungsnetzversorgung geschaffen. Daher wird sich in Zukunft die Bereitstellung von Diensten im Kliniknetz nach den Bedürfnissen der medizinischen Seite 17 von 32

18 Versorgung und den Aspekten der Sicherheit orientieren. Für darüber hinausgehende Anforderungen aus den Bereichen Forschung und Lehre steht dann das Forschungsnetz zur Verfügung. Langfristig ist damit zu rechnen, dass von ca. 10% der Datendosen im Klinikum eine Verbindung in das Forschungsnetz geschaltet werden muss. Der Aufbau des Forschungsnetzes im Klinikum wird im Wesentlichen dem des Kliniknetzes entsprechen, jedoch bestehen geringere Verfügbarkeitsanforderungen, wodurch man zumindest im Inhouse-Bereich auf die Redundanz verzichten kann. Außerdem ist bei der Auswahl der zentralen aktiven Komponenten auf die Homogenität und Kompatibilität mit den Komponenten im Institutsbereich zu achten. 3.2 Passive Netzwerk-Infrastruktur Für den Betrieb der DV-Verfahren und Netzwerkdienste und zur Erfüllung der damit verbundenen Verfügbarkeitsanforderungen sind gewisse Voraussetzungen bezüglich der Verkabelungsinfrastruktur und der Ausstattung der DV-Verteilerräume zu erfüllen Verteilerräume Die Verteilerräume haben für das zuverlässige Funktionieren des Datennetzes eine zentrale Bedeutung. Alle aktiven Komponenten müssen über Notstrom versorgt werden, wobei pro Raum mindestens 3 unabhängige Stromkreise vorzusehen sind. Die Zeit bis zum Anlaufen des Notstromdiesels muss zusätzlich über USV-Anlagen überbrückt werden. Diese Anlagen gleichen auch mögliche Spannungsschwankungen im Dieselbetrieb aus. Durch Klima- oder Lüftungsanlagen muss dafür gesorgt werden, dass die Umgebungstemperatur auch im Hochsommer sicher innerhalb der Toleranzwerte der aktiven Komponenten bleibt. Die Räume müssen über Gebäudeleittechnik und Brandmeldeanlage überwacht werden. Alle Verteilerräume sollen zudem mit Telefon ausgestattet und durch Zutrittskontrolle gesichert sein. Es ist jedoch auch darauf zu achten, dass beim Ausfall einer Klimaanlage, einer USV oder bei Wartungsarbeiten an der Stromversorgung der Netzwerkbetrieb weiter gewährleistet ist. Dies kann man durch mehrere Verteilerräume innerhalb eines Gebäudes oder Versorgung von Redundanzstrecken aus dem Nachbargebäude erreichen. Wo es die Gebäude-Struktur erlaubt, sind neben den Gebäude-Hauptverteilern auch Unterverteilerräume vorzusehen, von denen aus man jeden Raum des Gebäudes mit einer maximalen Kabellänge von 80 Meter erreichen kann. Damit sind sowohl die Vorraussetzungen für eine strukturierte TP-Verkabelung als auch für High-Speed- Anschlüsse nach den 10GE-SR-Standard gegeben. Sofern die Kabellängen eingehalten werden, kann ein Unterverteiler auch mehrere Stockwerke versorgen. Ist es nicht möglich, für die DV-Unterverteiler eigene Räume zu bekommen, so ist auch eine Mitnutzung anderer Technik-Räume denkbar, um zumindest die Geräte mit TP zu versorgen, für die eine PoE-Anbindung erforderlich ist. Bei Neubauten und bei der Sanierung ganzer Gebäudeteile sind auf jeden Fall Unterverteiler mit einzuplanen Voice-over-IP-taugliche Gebäudeverkabelung EDV-Verfahren stellen in Zukunft ein wichtiges Organisations- und Arbeitsmittel im Klinikum dar. Deshalb müssen alle Arbeitsplätze im Klinikum einen Anschluss an das Datennetz erhalten. Nur mit einer flächendeckenden Verkabelung kann man den DV-Anforderungen eines modernen Klinikums gerecht werden. Seite 18 von 32

19 In einem modernen Klinikum gibt es Anwendungen (z.b. WLAN, Voice-over-IP), bei denen neben der Datenleitung auch die Stromversorgung der angeschlossenen Komponente (Access-Point, IP-Telefon) hochverfügbar sein soll. Für diese Anwendung soll die Tertiär- Verkabelung in Kupfer ausgeführt werden, damit die Stromversorgung durch Inline-Power über das Datenkabel von USV-gepufferten Switches aus den Etagenverteilern erfolgen kann. Stehen ausreichend dimensionierte Unterverteilerräume zur Verfügung, so soll die gesamte Tertiärverkabelung als strukturierte TP-Verkabelung (Kat-7) ausgeführt werden. Die schafft eine hohe Flexibilität und spart Kosten bei der Verkabelung und den aktiven Komponenten. Wenn jedoch keine geeigneten Unterverteiler zur Verfügung stehen, so sollen die Datenanschlüsse mit LWL vom Hauptverteilerraum aus versorgt werden. Die Telefonanschlüsse sollten trotzdem möglichst als TP-Kabel ausgeführt werden, wobei jedoch die Längenrestriktionen einzuhalten sind. Wo auch dies nicht möglich ist, sollen die Telefonanschlüsse auch weiterhin als konventionelle Kat-3-Anschlüsse ausgeführt werden. Die Sekundärverkabelung soll mit hochfasrigen Gradienten-Glasfaserkabeln (50/125µm, OM3) ausgeführt und auf SC-Duplex-Stecker aufgelegt werden. Im Hinblick auf die Längenrestriktionen im High-Speed-Bereich sollen im Sekundär-Bereich neben den Gradienten-Fasern auch immer eine gewisse Anzahl von Monomode-Fasern mit verlegt werden. Station PC 1 Laptop Station PC 2 VoIP-Telefon Voice-over-IP LWL- Stammkabel Backbone Abbildung 5: Sollkonzept Inhouse-Netz Seite 19 von 32

20 3.2.2 Außennetz Alle gängigen Backbone-Protokolle sind für sternförmige Topologien konzipiert. Durch die geografischen Gegebenheiten wird es im Universitätsklinikum Würzburg mehrere Sternstrukturen geben, die sich aus Redundanzgründen überlappen sollten. Die Zentren dieser Sterne, in denen Hauptkomponenten des Backbone aufgestellt werden, werden untereinander verbunden. Um bei Übertragungsgeschwindigkeiten jenseits von 1 GBit/s nicht in Reichweitenprobleme zu kommen, sollen diese Strukturen durch hochfasrige Monomode- Kabel realisiert werden. Neben den Kabeln für die Backbone-Struktur werden zwischen benachbarten Gebäuden hochfasrige Multimode-Kabel benötigt, die zur Versorgung der wichtigsten Arbeitsplätze bei Störungen im Gebäudeverteilerraum dienen. 3.3 Aktive Netzwerkkomponenten Das Datennetz muss so aufgebaut sein, dass auch beim Ausfall einer Komponente alle medizinisch relevanten Arbeitsplätze DV-mäßig versorgt werden können. Für den Tertiärbereich bedeutet dies, dass die beiden Zuleitungen der Doppeldosen jeweils über unterschiedliche aktive Komponenten versorgt werden. Im Primär- (Backbone) und Sekundärbereich müssen die aktiven Komponenten über standardisierte Protokolle (z.b. Spanning Tree, IP-Routing, OSPF, VRRP) redundante Strukturen automatisch verwaltet werden können. Für die Video-Übertragung müssen auch Multicast-Routing-Protokolle (IGMP,PIM) unterstützt werden. Im Hinblick auf die Sprach- und Videoübertragung müssen alle Netzwerkkomponenten Mechanismen besitzen, um diesen Dienst die benötigten Bandbreiten zur Verfügung zustellen. Jede aktive Komponente trägt zur Gesamtzeitverzögerung mindestens die Zeit bei, die für den Empfang eines Datenpakets und zur Bestimmung der Zielschnittstelle benötigt wird. Um Gesamtzeitverzögerung gering zu halten, sollte deshalb sowohl im Backbone- als auch im Inhouse-Bereich die Kaskadierung von aktiven Netzwerkkomponenten möglichst vermieden werden. Darüber hinaus sollten insbesondere die Komponenten des Backbones selbst eine ausfallsichere Architektur mit redundanten Stromversorgungen und Supervisorboards, sowie hot-swap-fähigen Modulen besitzen. Alle aktiven Netzwerkkomponenten müssen über SNMP managebar sein und über Innenband und Außenband-Kommunikation administriert werden können Inhouse-Komponenten Im Inhouse-Bereich werden die Subnetze auf der Layer-2 aufgespannt. Da eine ausfallsichere Architektur hauptsächlich bei Chassis-basierten Systemen zu finden ist, werden in der Regel mehrere Subnetze von einem Gerät bedient. Daher müssen die Geräte VLAN-fähig sein und auf den Uplinks VLAN-Tagging gemäß IEEE802.1q beherrschen. Die Ausfallsicherheit innerhalb eines Gebäudes wird über das Spanning-Tree- (STP, Protokoll IEEE802.1D, 802.1W) verwaltet. Versorgt ein Gerät mehr als ein Subnetz, so muss STP pro VLAN möglich sein. Dies ermöglicht die Lastverteilung über unterschiedliche Strecken im Normalbetrieb und verhindert, dass für einzelne VLANs ungünstige STP- Blockierungen entstehen. Zur Reduzierung des Multicast-Verkehrs sollten die Layer-2-Switches IGMP-Snooping (RFC 1112) unterstützen. Seite 20 von 32