4. 医疗边缘设备接入与身份认证工程

医疗边缘设备接入不是“插上网线就能用”的简单动作。一台床旁监护仪、一台输液泵或一台影像边缘网关，一旦接入医院网络，就意味着它要参与患者数据的采集、转发甚至闭环控制。因此，接入工程的核心是回答三个问题：这台设备是谁、它凭什么被信任、它被允许做什么。设备唯一标识解决“是谁”，证书体系解决“凭什么被信任”，安全入网流程解决“被允许做什么”。三者缺一不可，且必须与医院现有网络环境（VLAN 隔离、防火墙策略、DHCP 与 DNS 架构）协同设计。

一、设备唯一标识：从“能区分”到“可追溯”

设备唯一标识（Device Unique Identifier，DUID）是身份认证的起点。工程上不建议直接用 MAC 地址作为唯一标识，原因有三：MAC 可被伪造、网卡更换后标识漂移、部分无线模块 MAC 随机化。更稳妥的做法是采用“硬件信任根 + 逻辑标识”的组合：

• 硬件信任根：优先使用设备内置的安全芯片（如 ATECC608A、SE050）或 TPM 2.0，其中固化不可导出的私钥和唯一序列号。
• 逻辑标识：由医院设备管理系统分配，格式建议为 MED-{院区}-{科室}-{设备类型}-{流水号}，例如 MED-A-CICU-MON-00137。
• 绑定关系：将逻辑标识与硬件公钥指纹（如 SHA-256 哈希）在注册阶段写入设备台账，形成“一机一档”。

这样，即使设备更换网卡或迁移科室，逻辑标识仍可追溯；而硬件私钥不可复制，保证了标识的不可抵赖性。

二、证书体系：轻量 PKI 与双向 TLS

医疗边缘设备通常算力有限，不适合运行完整的 PKI 客户端。推荐采用轻量级双向 TLS（mTLS）：设备侧预置设备证书和私钥，服务端（边缘接入网关）持有 CA 证书，双方在 TLS 握手阶段互相验证证书链。证书层级建议如下：

• 根 CA：离线保存，仅用于签发中间 CA，有效期 10 年。
• 中间 CA：按院区或设备类型划分，有效期 5 年，用于签发设备证书。
• 设备证书：有效期 1～2 年，主题字段包含逻辑标识，扩展字段写入设备类型和允许接入的 VLAN ID。

证书吊销采用 OCSP Stapling 或短有效期证书自动轮换，避免设备离线时无法吊销的问题。对于确实无法支持 TLS 的老旧设备，可部署边缘代理：代理持有证书，设备通过串口或私有协议接入代理，由代理完成身份转换。

三、安全入网流程：注册、激活、鉴权、注销

完整的设备生命周期分为四个阶段，每个阶段都有明确的输入、操作和判断依据。

注册阶段：设备出厂或入院时，管理员在设备管理平台录入逻辑标识、设备类型、所属科室、预期接入位置（交换机端口或 AP MAC），并生成注册令牌（一次性 Token，有效期 24 小时）。设备首次上电后，通过带外方式（如 U 盘、串口或二维码扫描）获取令牌，向平台发起注册请求。平台验证令牌后，将设备公钥指纹写入注册表，并签发设备证书。判断注册成功的依据是：平台返回证书链完整、设备本地存储证书成功、注册表中出现该逻辑标识且状态为“已注册”。

激活阶段：设备携带证书发起 mTLS 连接，网关验证证书链和 OCSP 状态后，查询注册表确认设备已注册且未被吊销。若通过，网关向 NAC 发送授权请求，NAC 根据设备类型和科室策略分配 VLAN（例如监护仪划入 VLAN 210，输液泵划入 VLAN 220），并下发 ACL 限制其只能访问指定的临床数据平台地址和端口。激活成功的标志是：设备获得 IP 地址、能 ping 通目标平台、TLS 会话建立且数据上报正常。

鉴权阶段：每次数据上报或指令下发时，网关都会校验会话证书是否仍在有效期、设备是否在注册表中、目标地址是否在 ACL 允许范围内。对于高风险操作（如远程参数下发），可要求设备额外签名，网关验证签名后再转发。鉴权失败的典型日志包括：certificate expired、device not registered、ACL deny，运维人员应能根据日志快速定位是证书问题、注册问题还是策略问题。

注销阶段：设备退役或迁移时，管理员在平台发起注销，平台将设备证书加入吊销列表（CRL）或更新 OCSP 响应，同时从注册表中标记为“已注销”。网关在下次握手时拒绝该设备，NAC 回收 VLAN 和 ACL。注销后应保留审计记录至少 6 个月，以满足医疗数据合规要求。

四、与医院网络环境的结合要点

医院网络通常已具备 VLAN 隔离、DHCP Snooping、端口安全等机制，接入方案应尽量复用而非另起炉灶。具体建议：

• DHCP 与 DNS：为医疗边缘设备划分独立地址池，DNS 指向内部解析服务，避免设备直接使用公网 DNS。
• NAC 联动：将网关的授权决策通过 RADIUS CoA 下发给交换机，实现 VLAN 动态切换，避免手工配置端口。
• 时间同步：设备必须通过 NTP 与医院时钟源同步，否则证书有效期校验会失败。建议在 DHCP Option 42 中下发 NTP 地址。
• 无线接入：若设备使用 Wi-Fi，应启用 802.1X + EAP-TLS，禁止使用 PSK 共享密钥，防止一台设备泄露导致全网风险。

接入工程的质量最终体现在运维可观测性上：设备在线率、证书到期提醒、鉴权失败率、异常 VLAN 切换次数，都应纳入监控看板。只有把身份、证书、网络策略和审计串成闭环，医疗边缘设备才能真正做到“接得进、认得出、管得住、退得净”。