首都医科大学附属北京积水潭医院：基于多院区的VMware vSphere升级替代与国产化转型实践

一 项目简介

首都医科大学附属北京积水潭医院作为一家三级甲等综合医院，历经多年发展形成“一院三区”格局，涵盖新街口院区、回龙观院区及新龙泽院区。在新院区建设与老院区改造过程中，医院面临两大核心困境：一是各院区IT基础设施异构，VMware虚拟化版本不一致，导致运维复杂度高、授权成本攀升；二是数据中心安全架构以边界防护为主，虚拟化环境存在明显安全隐患，难以满足国家网络安全等级保护相关要求。在此背景下，医院于2025年2月启动VMware vSphere升级替代与国产化转型项目，核心目标是实现多院区IT资源统一纳管、国产虚拟化替代落地，同时通过网络安全加固，构建政策合规、适配医疗业务需求的安全防护体系，为医院数字化转型和跨院区业务协同提供坚实支撑。

本项目聚焦医疗行业云化转型中的内部安全治理与国产化落地难点，同步推进三大核心任务：一是多院区IT资源的统一管控，破解异构架构带来的资源浪费与协同低效问题；二是VMware虚拟化平台的国产化替代，落实国家“2+8+N”国产化应用战略，实现核心业务系统向自主可控技术体系平稳迁移；三是虚拟化环境的安全加固，通过虚拟网络微分段、流量可视化等技术，构建纵深防御体系，保障医疗数据全生命周期安全。项目最终形成“资源统一、国产替代、安全可控”的多院区IT架构新模式，为医疗机构国产化转型中的网络安全建设提供可借鉴的实践参考。

二 建设与开发

1.多院区IT基础架构建设

针对“一院三区”异构IT架构的痛点，医院确立“物理分离建设、逻辑统一管理”的核心思路，兼顾各院区业务差异与全院协同需求。在物理层面，结合各院区建设基础与业务特点，分别搭建适配的IT资源池：新街口院区保留部分关键物理机业务，升级扩容虚拟化资源，保障复杂业务系统稳定运行；回龙观院区扩大超融合技术应用范围，优化现有架构，提升资源利用率；新龙泽院区依托新建优势，打造具备高扩展性的全新IT基础设施，为互联网医疗等新兴业务提供支撑。

在逻辑层面，构建统一的资源管控平台，实现多院区算力、存储资源的集中纳管与动态调度。该平台可实时监控各院区CPU利用率、内存占用、存储剩余空间等关键指标，当某院区核心业务系统出现计算资源紧张时，自动从其他院区调配闲置资源，避免业务瓶颈与资源浪费。同时，建立统一的运维管理标准和流程，确保各院区在系统升级、安全防护、数据备份等方面保持一致，降低运维成本，提升故障响应效率。

2.VMware替代与国产化转型建设

针对传统VMware架构的瓶颈，医院将国产化替代作为国产化转型的核心任务，明确三大建设要求：一是搭建功能匹配的国产虚拟化资源池，确保新平台具备企业级资源管理能力、稳定性和可靠性，保障核心业务7×24小时不间断运行；二是实现业务平滑迁移，选用成熟迁移工具，支持虚拟机在线迁移，确保HIS、EMR等核心业务不中断；三是降低学习与运维成本，新平台操作逻辑贴近原有VMware架构，简化运维流程，缩短培训周期。

项目实施中，医院分别在回龙观院区与新街口院区构建相关资源池，选用专业国产迁移工具，实现从VMware虚拟化平台到国产化超融合集群的便捷迁移，最终构建起传统X86和C86统一运维管理的“一云多芯”资源池。迁移过程遵循“试点先行、逐步推广”原则，医院先在新龙泽院区DMZ区完成10余台业务虚拟机迁移试点，在验证工具兼容性与业务连续性后，逐步推进新街口院区VMware架构业务大规模迁移，确保转型过程平稳有序。

3.网络安全体系建设

结合国家网络安全法、信息系统安全等级保护2.0等政策要求，针对医院互联网医疗业务拓展带来的安全风险，确立“分层防护、可视化管控”的建设思路。在网络层面，构建覆盖多院区的纵深防御体系，部署高性能防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等设备，实现外部攻击的有效拦截与网络流量的实时监测。

针对虚拟化环境安全隐患，引入虚拟机微分段技术，结合分布式防火墙组件与虚拟分布式交换机，构建细粒度安全防护模型。实施标签化管理，为HIS、EMR等核心业务虚拟机设置专属通信标签，按照“明确允许、默认拒绝”的零信任理念，实现虚拟机之间的精细化访问控制。同时，修订网络安全管理制度，明确各部门职责，与第三方合作伙伴签署安全承诺书，定期开展全员网络安全培训，形成“技术+管理”双轮驱动的安全防护体系。

三 关键技术或产品描述

1.多院区统一运维技术

医院选用的统一运维平台的核心优势是打破异构架构壁垒，实现多院区资源集中管控。该平台可将三个院区的超融合集群、虚拟化资源池全部纳入管理范畴，运维人员通过统一界面即可完成服务器资源调配、存储容量分配等操作，实时掌握全院区资源分布与使用状态，实现资源动态调整。平台内置三大特色功能，大幅提升运维效率：一是内容库功能，可存储常用虚拟机模板和ISO镜像，实现跨院区批量分发，缩短新业务系统上线周期；二是跨集群热迁移功能，支持虚拟机在不同院区集群间无中断迁移，保障设备维护、负载调整时业务连续性；三是巡检中心工具，自动对多院区资源池进行全面巡检，提前发现故障隐患并发出预警，实现运维模式从被动响应向主动预防转变。

2.VMware迁移技术

迁移工具选型以“业务连续性、操作便捷性、成本可控性”为核心评估维度，最终选用的超融合配套迁移工具具备显著优势。首先该工具支持在线热迁移，可在虚拟机运行状态下进行数据传输，确保业务不中断，成功实现10余台排队叫号、用药咨询等相关虚拟机迁移，患者就医未受任何影响。其次，工具操作界面简洁直观，运维人员经过短期培训即可熟练上手，迁移流程涵盖任务创建、全量迁移、增量迁移、驱动注入等多个阶段，通过自动创建快照的方式减少业务中断风险。同时，该工具兼容性强，可与医院现有多厂家复杂业务操作系统无缝对接，为大规模迁移工作奠定基础。

图1 迁移流程图

3.网络安全防护技术

（1）虚拟网络微分段技术：基于零信任理念，摒弃传统“边界可信”模式，将网络划分为细粒度安全区域，对所有访问请求实施白名单策略，防止威胁在数据中心内部横向传播。医院通过分布式防火墙组件与虚拟分布式交换机构建微分段模型，采用标签化管理，按运维逻辑为虚拟机设置通信标签。落地过程遵循谨慎原则，分三阶段推进：先放行已知流量并记录日志，再对非关键业务启用阻断并观察影响，最后在业务低峰期将核心业务逐步切换至阻断模式，同时制定应急回退预案，确保防护效果与业务连续性平衡。

图2 网络安全业务图

（2）超融合平台分布式防火墙技术：该技术以纯软件组件形式集成于超融合平台，替代传统硬件防火墙，大幅降低部署与扩容成本。支持全局安全策略、自定义安全策略、虚拟机隔离三种策略，策略优先级从高到低依次为虚拟机隔离策略、自定义拒绝策略、自定义放行策略、全局白名单、默认拒绝通信，可通过安全策略命中计数和日志查看生效情况。安全规则支持虚拟机、IP地址等多种对象，涵盖TCP、UDP等多种协议，可灵活设置入流量、出流量规则，实现精细化防护。

图3 网络安全策略图

（3）流量可视化技术：采用虚拟化平台原生无侵入式全流量采集，无需部署代理软件，降低系统资源开销。支持TCP、UDP等协议深度解析，通过智能分析引擎建立业务基准，以图形化方式直观展示主机与虚拟机数据流向。可实时监控各数据流的源端、目标端及通信端口，基于历史数据构建流量预测模型，应对体检高峰等流量激增场景，同时监控存储网络RTT（往返时延），快速定位PACS等系统流量波动的原因，为故障排查提供支撑。

图4 网络流量监控图

四 应用效果

1.多院区资源利用效率显著提升

通过统一资源管控平台的部署，医院解决了多院区异构架构带来的资源分散问题，实现了资源动态调度与高效利用。在医疗业务高峰期，新街口院区的紧张计算资源可通过平台快速调度回龙观、新龙泽院区的闲置资源，避免业务卡顿与排队现象，提升医疗服务效率；非高峰期闲置资源可合理分配至科研、远程教学培训等场景，减少资源浪费。

2.国产化转型与VMware替代成效突出

成功构建“一云多芯”资源池，实现传统X86与C86架构的统一运维，完成核心业务虚拟机的安全迁移，未出现任何业务中断事件。国产虚拟化平台的应用，彻底打破了VMware架构的兼容性限制，实现与国产服务器、操作系统的无缝对接，落实了国家国产化转型战略要求。同时，大幅降低了VMware软件订阅与后续升级成本，节省下来的资金可投入到其他信息化建设领域。

3.网络安全防护能力与合规水平达标

通过虚拟网络微分段、分布式防火墙与流量可视化技术的结合，医院构建了全方位的网络安全防护体系，有效防范了外部攻击与内部渗透风险。微分段技术实现了核心业务虚拟机与非关键虚拟机的隔离，避免了单点攻破后的横向扩散；流量可视化功能可实时监测异常流量，多次成功排查并处置虚拟机恶意软件感染、存储设备故障等安全隐患，保障了医疗数据安全。项目实施后，医院顺利满足信息系统安全等级保护2.0要求，其中流量可视化功能满足“入侵防范”相关要求，分布式防火墙满足“访问控制”与安全审计要求，安全日志通过Syslog服务器实现长期保存，全面提升合规能力。

4.业务连续性与服务质量持续优化

跨集群热迁移、巡检中心等功能的应用，将医院运维模式从被动响应转变为主动预防，有效降低了业务中断风险。例如，回龙观院区服务器硬件维护时，通过热迁移功能将虚拟机实时迁移至其他院区，业务系统正常运行，患者就医不受影响；巡检中心提前预警新街口院区存储设备性能下降，及时维护避免了数据丢失与业务中断。

图5 超融合集群架构图

五 总结

本项目围绕北京积水潭医院“一院三区”的发展格局，聚焦VMware替代、国产化转型与网络安全三大核心需求，通过“物理分离建设、逻辑统一管理”的思路，构建了适配医疗行业特点的多院区IT架构，实现了资源管控、国产替代与安全防护的协同推进，于2025年7月顺利完成既定建设目标，核心成效与实践价值突出。

项目的核心亮点体现在三个方面：一是实现了运维思维的跃迁，从传统被动防火墙拦截转变为主动业务流治理，通过流量可视化与微分段技术，实现安全风险的提前预警与精准处置；二是破解了多院区异构环境的运维难题，通过标签化管理与统一管控平台，简化了海量安全策略的管理流程，提升了运维效率；三是实现了安全能力与运维生产力的融合，将安全防护与业务连续性保障深度结合，既满足了政策合规要求，又支撑了医疗业务的高质量发展。

本项目的实践表明，医疗机构在国产化转型过程中，可通过科学的架构设计、合适的技术选型与循序渐进的实施策略，实现对国外虚拟化平台的平稳替代与网络安全的同步加固。项目形成的多院区资源统一管控、VMware国产化迁移、虚拟网络微分段防护等实践经验，可为国内其他多院区医疗机构的国产化转型与网络安全建设提供参考，助力医疗行业数字化、自主化、安全化发展。

（来源：CHIMA 2026医院新兴技术创新应用典型案例集）