4. 医疗设备身份注册与初始信任建立

医疗设备从出厂到进入临床网络，身份并不是在接入交换机那一刻才“产生”的。真正可靠的零信任体系，要求设备在出厂阶段就携带可验证的身份根，在入院、上架、激活各阶段逐步完成身份注册、信任锚定与策略绑定。本节围绕“出厂—入院—上架—激活”四个阶段，说明证书签发、预共享密钥、TPM/安全芯片和带外注册四类机制如何协同，并给出可落地的注册流程编排。

一、四阶段身份注册的总体模型

设备身份注册的本质，是把一个物理设备与一个密码学身份、一个资产记录、一组访问策略稳定地绑定起来。四个阶段承担不同职责：

• 出厂阶段：由设备制造商在产线完成身份根注入，生成设备唯一标识（如序列号+厂商ID）和初始密钥材料，写入TPM或安全芯片，并签发出厂设备证书。
• 入院阶段：设备到达医院后，由资产管理系统或注册代理完成设备身份核验，将出厂证书与采购订单、资产编号关联，签发入院注册凭证。
• 上架阶段：设备安装到具体科室、机位和网络端口，注册系统记录位置、VLAN、接入交换机端口等拓扑信息，并绑定初始访问策略。
• 激活阶段：设备首次上线，通过带外注册或证书认证完成与零信任控制平面的双向认证，获得运行时身份令牌和最小权限策略。

这四个阶段不是简单线性流程，而是“身份根—资产绑定—位置绑定—策略绑定”的逐层加固。任一阶段缺失，都会导致后续访问控制失去可信依据。

二、出厂阶段：把信任根做进硬件

出厂阶段的核心目标是让设备“生来就有身份”。推荐做法是在产线为每台设备生成唯一设备标识，并将私钥写入TPM 2.0或符合GlobalPlatform的安全芯片中，私钥不可导出。厂商CA为设备签发X.509设备证书，证书主题中包含厂商ID、设备型号、序列号和硬件公钥指纹。同时，产线可写入一段预共享密钥（PSK），用于设备首次联网时引导带外注册，PSK仅用于建立初始安全通道，注册完成后应立即失效或轮换。

一个可参考的出厂身份清单字段如下：

device_id: MED-INFUSION-2024-000871
vendor: ACME Medical
model: INF-500
serial: SN-871-2024
tpm_ek_fingerprint: SHA256:9f3a...c21d
device_cert_subject: CN=MED-INFUSION-2024-000871,O=ACME Medical
device_cert_issuer: CN=ACME Device CA
psk_id: PSK-871-001
psk_expire: 2025-12-31

需要注意，PSK不能替代证书，它只是“首次见面的暗号”。如果设备支持TPM，应优先使用TPM的EK（Endorsement Key）和AK（Attestation Key）完成设备身份证明，避免PSK泄露导致冒名注册。

三、入院阶段：把设备变成“资产”

设备到达医院后，入院阶段要解决“这台设备是不是我们采购的那台”。操作上，由设备管理员使用注册终端读取设备证书和TPM证明，验证证书链是否指向可信厂商CA，并核对序列号与采购订单、发票、资产编号是否一致。核验通过后，注册系统签发一张入院注册凭证，通常是一张由医院内部CA签发的短期证书或注册令牌，并将设备写入CMDB资产库。

入院阶段的关键判断依据包括：证书链验证结果、设备序列号与订单匹配结果、TPM证明是否通过、设备是否在采购白名单中。任何一项不通过，都应进入隔离流程，而不是直接放行。

四、上架阶段：绑定位置与临床角色

上架阶段把设备从“资产”变成“网络中的具体节点”。设备安装到科室后，需要记录其接入交换机、端口号、VLAN、IP地址段、机位编号和临床角色（如输液泵、监护仪、影像设备）。这些信息构成位置信任锚，后续零信任策略可以据此限制设备只能访问所属科室的业务系统。

例如，一台ICU监护仪上架后，注册系统可生成如下策略绑定：

device_id: MED-MONITOR-2024-001203
location: ICU-3F-Bed12
switch: SW-ICU-3F-02
port: Gi1/0/24
vlan: 210
role: patient_monitor
allowed_destinations:
  - cns.icu.hospital.local:8443
  - ehr.gateway.hospital.local:443
denied_destinations:
  - "*"

上架阶段还应完成设备固件版本、操作系统版本和已知漏洞状态的登记，作为后续健康评估的基线。

五、激活阶段：带外注册与首次准入

激活阶段是设备第一次真正接入零信任控制平面。推荐采用带外注册：设备通过管理口或临时注册网络，使用出厂PSK或TPM证明与注册代理建立安全通道，提交设备证书和入院凭证，注册代理验证通过后，向设备下发运行时身份令牌和策略配置。设备随后使用该令牌与零信任网关建立双向TLS连接，进入正常业务网络。

带外注册的价值在于：设备在未获得运行时身份前，不能访问任何业务系统，避免“先接入、后认证”的窗口期风险。激活完成后，PSK应被吊销，设备后续认证完全依赖证书和TPM证明。

六、注册流程编排与异常处理

实际运行中，注册流程会遇到证书过期、PSK泄露、TPM证明失败、资产信息不匹配等异常。编排引擎应定义清晰的回退路径：证书链验证失败时，设备进入隔离VLAN并告警；PSK验证失败时，要求人工带外确认；TPM证明失败时，禁止激活并标记设备为高风险。所有异常事件应写入审计日志，并与资产库、SIEM系统联动。