3. 零信任架构在医疗设备场景的适配

零信任的核心主张是“永不信任、始终验证、最小权限、假设失陷”。这套原则在通用 IT 环境里已经相对成熟，但把它直接搬到医疗设备上，会遇到四类硬约束：临床可用性、实时性、生命周期和法规合规。本节的任务不是复述零信任口号，而是分析这些约束如何改变访问控制策略的设计，并输出一份可落地的设备访问控制策略需求说明。

一、四类落地约束如何改变策略设计

临床可用性约束。医疗设备的第一优先级是“不能因为安全机制影响救治”。一台输液泵、监护仪或呼吸机在抢救时若因策略校验超时、证书吊销检查阻塞而拒绝服务，其后果远大于一次未授权访问。因此策略必须区分“临床关键路径”和“管理路径”：临床数据通路要求策略判定在本地可完成、可离线降级；管理通路（配置变更、固件升级、日志导出）才允许强校验和在线依赖。可用性约束直接决定了策略引擎不能全部集中在中心 PDP，而要在设备侧或边缘网关保留本地决策能力。

实时性约束。医疗设备的数据流有明显的时间尺度差异。生命体征波形采样可达 100–500 Hz，报警信号要求端到端延迟低于 100 ms；而影像归档、电子病历同步可以容忍秒级延迟。零信任的“每次访问都验证”如果对每个数据包都做完整身份校验，会引入不可接受的抖动。可行做法是分层：会话建立时做一次强身份认证与授权，会话内用短周期令牌（如 30–60 s）和轻量完整性校验维持信任，而不是逐包重认证。策略中必须写明各类数据流的最大可接受附加延迟，例如报警通路附加延迟 ≤ 20 ms，波形通路 ≤ 50 ms。

生命周期约束。医疗设备寿命常达 10–15 年，远超一般 IT 设备 3–5 年的更新周期。很多设备出厂后无法安装新代理、不支持现代 TLS 版本、甚至无法修改默认口令。零信任要求“持续验证”，但老设备可能连证书轮换都做不到。策略必须按设备能力分级：支持 802.1X/EAP-TLS 的设备走强身份；仅支持静态 IP 和 MAC 的设备，通过边缘网关做代理身份绑定和流量白名单；完全不可改造的设备，则用网络微隔离把它限制在最小必要通信对端。生命周期约束意味着策略不能假设“所有设备都能装 Agent”。

法规合规约束。医疗设备受《医疗器械监督管理条例》、网络安全等级保护、以及 FDA 对联网医疗设备网络安全的要求约束。任何安全策略变更如果影响设备已注册的预期用途，可能触发重新验证。因此策略必须可审计、可追溯、变更可控：谁在什么时间、基于什么依据、对哪台设备下发了什么策略，都要留痕。合规还要求患者数据访问遵循最小必要和目的限定，策略中应体现“同一设备在不同临床角色下可见的数据范围不同”。

二、约束到策略需求的映射

把上述约束转成可执行需求，可以归纳为五条：第一，策略判定必须支持本地降级，中心不可达时临床通路按预置白名单继续运行；第二，按数据流类别设定延迟预算，并据此选择认证粒度；第三，按设备能力分级授权，不强制统一 Agent；第四，所有策略变更需双人复核并记录审计日志；第五，患者数据访问遵循角色—目的—最小范围三元约束。

三、设备访问控制策略需求说明（示例）

下面给出一份可直接参考的策略需求说明示例。字段包括需求编号、约束来源、策略描述、判定条件与验证方式，便于在真实项目中填写和评审。

四、落地时的关键判断

在实际项目中，最容易出问题的是把“始终验证”理解成“每个包都验证”。对医疗设备而言，正确的做法是会话级强认证 + 会话内轻量维持。例如，监护仪与中央站建立会话时完成 EAP-TLS 双向认证，之后每 30 s 用一次令牌刷新维持信任；若令牌刷新失败，先降级为只读告警通路，而不是立即切断，给临床留出处置时间。

另一个判断点是老设备的处理边界。对于无法改造的设备，不要试图在设备上“打补丁”，而应在网络层用微隔离把它限制在最小必要通信对端。例如，一台老式输液泵只允许与输液管理服务器和护士站终端通信，禁止访问互联网和其他病区设备。这样即使设备本身存在漏洞，横向移动也被限制在极小范围。

最后需要强调，零信任在医疗设备场景的适配不是降低安全要求，而是把安全要求放到正确的层次上：临床通路保可用、管理通路保严格、老设备保隔离、所有变更保审计。只有这四件事同时成立，零信任才真正适配医疗设备，而不是成为临床负担。