结合宝华视联等医疗示教设备工程实践，从网络规划、安全隔离、设备选型、存储、业务流程、手术室环境、运维、合规隐私几个维度整理，适合方案编写、院内立项、实施交底使用。
一、网络架构与隔离（最核心）
1、严格分区，禁止直接接入互联网 示教系统必须部署在医院内网，严禁直接连通公网。
优先接入医疗业务内网（生产网），不允许直接连互联网、WiFi 外网；
手术室示教终端、编码器、推车接入手术室业务 VLAN；示教室、管理服务器单独划分独立 VLAN；做 VLAN 隔离，通过三层交换机放行必要端口，缩小攻击面。
示教设备支持 VLAN 划分，可实现手术室采集终端、示教室观看端、中心服务器分 VLAN 互通，不开放多余端口。
2、带宽规划
单路 4K 手术术野码流一般 816Mbps，多路分屏同时传输，要预留带宽冗余；
手术室到机房主干建议千兆，接入交换机千兆到桌面，不建议百兆接入；
同时间多间手术室同时直播示教，提前核算并发路数，避免带宽拥塞导致卡顿、花屏、音画不同步。
3、网络延时与抖动
内网要控制网络抖动、丢包，丢包会出现马赛克、卡顿；
端到端示教交互，双向对讲场景，整体延迟建议控制在 200ms 以内，保障示教室和手术室对话不出现回声、等待感。
4、不跨网随意穿透 如果需要给进修医生、分院远程观看，不能直接端口映射公网。优先院内 VPN 访问，或者建设院内专网，禁止直接把示教服务器暴露互联网。
二、网络安全与等保、患者隐私
1.权限分级访问控制
服务器、录像平台做账号分级：管理员、科室医生、规培学员，不同角色观看、下载、导出权限分开；
所有登录、回放、导出操作留完整日志，可追溯，满足医疗数据审计。
示教录像属于患者敏感医疗影像，严禁随意拷贝外传；像系统支持录像加密存储，禁止未经授权导出，所有操作日志留存。
1.服务器安全加固
后台服务器关闭不必要端口、服务；定期补丁更新；
不与 HIS、LIS 核心业务服务器混部署，尽量物理或逻辑隔离，防止示教系统被入侵影响医院核心业务系统。
2、终端安全 手术室示教终端（编码器、推车终端）尽量选用嵌入式无风扇医疗硬件，不要用通用 Windows 工控机；减少病毒、恶意程序风险。
Windows 终端要做加固、杀毒；嵌入式终端本身攻击面更小，更适合手术室。
三、存储设计
1.存储容量测算 单台手术录像 1080P 约 24GB / 小时，4K 可达 815GB / 小时；根据手术室数量、日均手术录制时长、录像保存周期计算存储。
2.存储可靠性 建议使用 RAID 磁盘阵列，不要单硬盘存储，防止硬盘损坏丢失教学病例；
3.备份策略 重要教学手术病例支持手动备份；普通录像按医院制度自动过期清理，不能无限占用存储。
4.录像文件加密保存，不能明文随意存放。
四、信号与设备对接适配（手术室端）
1.医疗信号采集兼容性 内网只是承载网络，前端要兼容腹腔镜、显微镜、内镜、B 超、监护仪各种接口 SDI、HDMI 等；注意信号长距离传输衰减问题，长距离优先 SDI 光纤传输。
2.电磁环境 手术室有电刀、高频设备干扰，内网布线远离高频设备电源线；设备选用抗电磁干扰的医用级示教终端，避免画面闪屏、杂音。
3.移动示教推车场景：内网要预留网口，或者院内医疗专用内网 WiFi，不使用办公 WiFi。
五、业务端：示教室、观看终端
1.示教室大屏、解码终端接入内网指定 VLAN；
2.PC、平板点播，只允许院内内网终端访问，不允许外网设备直接访问；
3.双向对讲：内网需要保障语音包优先级，开启 QoS，防止直播流量挤占语音，出现对讲卡顿、回声。
六、合规与制度配套（很多医院容易忽略）
内网部署不等于万事大吉，还要配套管理制度：
1.手术示教前必须取得患者知情同意，同意方可录制转播；
2.明确录像查阅、调取、拷贝审批流程；
3.满足医院等级保护、医疗数据安全、隐私保护相关要求；
4.定期审计访问日志，排查异常访问。
七、运维与灾备
1.服务器、交换机做好备份配置；关键交换机做好冗余；
2.避免单点故障：多间手术室同时示教场景，转发服务器建议做集群 / 主备；
3.定期测试：多手术室并发直播测试、双向对讲测试、录像回放测试，防止上线后多业务并发故障。
八、常见踩坑总结
1.直接把示教设备接入办公网，办公网终端人人可以访问录像，隐私泄露风险极高；
2.带宽按单路测算，忽略多手术室并发，实际教学时卡顿；
3.使用普通 Windows 工控机做采集终端，病毒风险高；
4.只重视硬件，没有账号权限、日志审计、患者知情同意制度；
5.想外网访问直接做端口映射，带来严重网络安全风险。