刘医生口腔诊所 · 网络与存储整体方案（精简重做版）

编制日期：2026-09-09　|　模式：combined（网络 + 存储统一交付）　|　预算上限：¥45,000 客户：西安碑林区 · 刘医生口腔诊所（种植 / 正畸 / CBCT 影像）　|　规模：9 人 / 15 终端 / 8 路监控

一、方案摘要

刘医生诊所现有 TP-LINK 家用路由 + 8 口千兆交换机，影像散落在各医生电脑、收银/医疗/访客网络混在一起，患者影像本地无统一留存，存在数据丢失与医疗纠纷风险。本方案以 TP-LINK 企业级网络 + 群晖 NAS 私有存储 重构：用 VLAN 把医疗、办公、访客、监控四张网严格隔离，患者数据全程不出内网；用群晖 DS1522+ 集中存放 CBCT/口扫影像并做 3-2-1 备份 + 防勒索离线副本，确保影像至少留存 5 年。一次性交付合计 ¥39,300（占预算上限 87.3%，留足议价空间）。

二、现状分析

1. 影像散落、易丢失：CBCT（300MB–1GB）、口扫（100–500MB）文件分散在各医生电脑本地，电脑损坏即影像灭失，存在医疗纠纷隐患。

2. 网络混用、无隔离：收银、医疗、访客共用一个家用路由，患者数据合规边界不清。

3. 调阅慢、患者等待：医生需到各自电脑翻影像，患者等医生，就诊体验差。

4. 无备份、抗勒索弱：无统一备份，勒索病毒一旦中招即全盘加密，无离线副本可恢复。

5. 敏感数据上公网风险：患者数据属敏感信息不应上公有云，但医生现用微信传输，合规存疑。

三、方案设计

3.1 网络架构

出口网关（TL-ER6120T）做 VLAN 路由与防火墙策略，核心交换机（TL-SG3428）按端口划分 VLAN，PoE 接入交换机（TL-SG2218P）下挂 AP 与 8 路监控。四张网段严格隔离：

3.2 网络设备选型

精简说明（本次重做）：AP 由 4 台降至 3 台——9 人诊所按候诊/治疗/办公三区各 1 台即可满覆盖，省下的 1 台预算转投存储备份；品牌统一 TP-LINK 企业级，便于运维与备件。

3.3 存储容量规划（5 年影像留存测算）

每日影像量测算（可核对）：

• CBCT：8 例/日 × 平均 600 MB = 4.8 GB

• 口扫：12 例/日 × 平均 250 MB = 3.0 GB

• 合计 ≈ 7.8 GB/日

年新增与 5 年总量：

• 年新增 = 7.8 GB × 250 工作日 = 1,950 GB ≈ 1.95 TB/年

• 5 年生产数据 = 1.95 TB × 5 = 9.75 TB

• 叠加快照/工作副本/元数据膨胀 ×1.3 ≈ 12.7 TB 实际需求

裸容量与 RAID 换算：

• 预留 20% 余量：12.7 TB ÷ 0.8 ≈ 15.9 TB 裸容量需求

• 配置 5 × 8TB：裸容量 40 TB，格式化系数 0.91 → 36.4 TiB

• RAID 5（n−1）可用 = 4 × 8 × 0.91 = 29.1 TiB ≈ 32 TB ＞ 15.9 TB，余量充足，可承载未来增 1 间诊室 + 1 台 CBCT 的增量

硬盘档位由企业级「希捷酷狼 Pro」降一档至「东芝 N300」：诊所影像留存优先级是 5 年容量与成本，而非企业级 7200RPM 极致性能。N300 同为 CMR 垂直盘、256MB 缓存，连续大文件读写满足 CBCT/口扫调阅，单盘省 20%–30%，5 盘合计显著降本，性能/容量取得平衡。

3.4 存储设备选型

精简说明（本次重做）：UPS 由 2KVA 降至 1KVA（山特 C1K）——诊所负载低，1KVA 足以支撑 NAS 正常关机，省下的预算补强备份介质。

3.5 数据保护与备份策略

RAID 不是备份。 RAID 只解决硬盘物理损坏，不解决误删除、勒索病毒、火灾盗窃、整机损坏，必须配合独立备份。

3-2-1 备份策略（落地方式）：

• 3 份数据副本：① 群晖 NAS RAID 5 生产数据；② 本地第二副本（Hyper Backup 定时备份至外置 16TB 硬盘）；③ 离线冷备（另一块 16TB 外置盘定期轮换、拔线存放）

• 2 种不同介质：NAS 磁盘阵列 + 外接 USB 硬盘

• 1 份离线副本：离线冷备盘轮换存放，防火灾/盗窃/勒索

• 加一道防勒索：冷备盘设为只读/定期拔线离线，勒索病毒加密不到；NAS 开启定时快照（可回滚误删与加密）

因患者数据属敏感信息、合规要求不出内网，3-2-1 的"异地"以离线轮换盘替代公有云异地，不启用任何公网云端备份，确保数据全程本地化。

3.6 访问与权限

• 群晖 DSM 账号体系：按角色建 医生 / 护士 / 前台 / 管理 四组，医生可读写本科室影像、护士只读、前台仅收银系统权限

• 医疗设备网段（VLAN 10）仅允许访问 NAS 存储 VLAN，禁止上外网，从源头杜绝患者影像外泄

• 操作审计日志：记录谁在何时访问/下载了哪份影像，留存可查

• 远程维护走合规 VPN 通道，关闭公网直连，不图省事牺牲审计

3.7 安全设计

• 四 VLAN 严格隔离（见 3.1），访客 WiFi 独立 SSID 且限速、禁访内网

• 出口网关做访问控制：医疗/监控 VLAN 禁外网，办公 VLAN 限外网，防数据出网

• 防勒索：离线冷备 + 快照 + 账号最小权限

• 满足数据本地化存储要求，具体合规认定以当地卫健部门要求为准

3.8 扩展能力

• DS1522+ 可由 5 盘位扩展至 7 盘位，未来增 1 间诊室 + 1 台 CBCT 可直接加盘扩容，无需换机

• 核心/接入交换机端口与 AP 点位均预留余量，新增诊室网段与 AP 即插即用

• VLAN 规划已预置扩展位，新增医疗设备归入 VLAN 10 即可

3.9 运维可见化（内置于年度运维，不单独报价）

• 部署 Uptime Kuma 监控 NAS/网络在线率、备份成功次数、容量水位、告警记录

• 每月向刘医生推送运行报告（在线率、备份成功次数、容量水位、告警记录），作为续费与合规佐证

四、数据迁移方案

• 现有各医生电脑本地影像，实施期内由我方统一拷贝至群晖 NAS 对应科室共享目录

• 迁移在营业低峰（晚间）进行，单台工作站迁移 < 1 小时，整体 1–2 晚完成

• 迁移后校验：文件数量 + 大小比对，抽样打开 CBCT/口扫文件确认可读，确认无误后保留原机副本 7 天再清理

五、实施步骤

1. 第 1–2 天：到店勘察，确认 AP 点位、监控/医疗设备网口、机柜安装位

2. 第 3–5 天：布设网关/交换机/AP/机柜，划分四 VLAN 与防火墙策略

3. 第 6–8 天：群晖 NAS 上架、RAID 5 配置、账号权限体系、备份策略与快照落地

4. 第 9–10 天：存量影像迁移 + 校验，医生调阅培训

5. 第 11–12 天：整体联调、验收、交付文档与操作手册

六、验收标准

• 四 VLAN 互访测试：医疗/办公/访客/监控两两不可越权互访，访客禁访内网 ✓

• 任一医生工作站可在 5 秒内调阅本科室历史 CBCT/口扫影像 ✓

• 模拟断电解 UPS：NAS 自动安全关机、阵列无损坏 ✓

• 备份演练：从本地副本与离线冷备各恢复 1 份影像成功 ✓

• 快照回滚：误删文件可回滚恢复 ✓

七、运维建议

• 每日确认备份任务成功、UPS 通讯正常

• 每季度健康检查 + 固件升级；每年容量评估，临近水位提前加盘

• 离线冷备盘每月轮换一次并异地保管

八、报价明细

详见《刘医生_项目报价单.md》。一次性交付合计 ¥39,300（网络 ¥8,000 + 存储 ¥24,800 + 实施 ¥6,500），占预算上限 87.3%。年度运维服务费 ¥3,500 为可选续费，单列不计交付合计。

📩微信：    ｜远程技术支持