張唯歡

摘 要：隨著城市化的進程逐步加快，軌道交通的自動化程度越來越高，以計算機控制為核心的軌道交通的運營正朝著開放化、軟件化、網絡化、智能化等方向發(fā)展。自動售檢票系統(tǒng)（AFC）是基于計算機、通信、網絡和自動控制等技術，實現軌道交通售票、檢票、計費、收費、統(tǒng)計、清分和管理等全過程的系統(tǒng)。由于地鐵線路的特殊性，如何取代人工手動方式，進行高效且低成本的軟件升級維護并能夠對AFC 系統(tǒng)中眾多的軟件版本信息進行管理已經成為新的挑戰(zhàn)。

關鍵詞：AFC軟件升級流程風險分析與應對

前言：對自動售檢票系統(tǒng)進行軟件升級是不斷滿足運營建設的必然要求，直接關系到運營的生產經營。然而，就目前售檢票系統(tǒng)運作來看，系統(tǒng)下載升級帶來諸多風險問題，在現有的規(guī)章流程下也存在一定的潛在風險。這就對票務收集造成一定的安全隱患，威脅票務系統(tǒng)的安全。

一、AFC 系統(tǒng)結構

AFC 的結構可劃分為車票、車站終端設備、車站計算機系統(tǒng)、線路中央計

算機系統(tǒng)、清分系統(tǒng)五個層次。層次結構是按照全封閉的運行方式，以計程收費模式為基礎，采用非接觸式IC 卡為車票介質的組成原則，根據各層次設備和子系統(tǒng)各自的功能、管理職能和所處的位置進行劃分的。目前確定的五層結構，是根據我國國情和城市發(fā)展現狀，綜合考慮了軌道交通建設的特點（如線路多而復雜、建設周期長、多個業(yè)主單位等情況）而設置的，具有一定的可伸縮性。對各層次必須實現的功能和要求做出如下規(guī)定。第一層：車票。車票是乘客所持的車費支付媒介，規(guī)定了儲值卡和單程票二種類型的物理特性、電氣特性、應用文件組織以及安全機制等技術要求。第二層：車站終端設備。車站終端設備安裝在各車站的站廳，直接為乘客提供售檢票服務的設備，規(guī)定了車站終端設備及其運營管理的技術要求，如自動售票機（TVM），自動檢票機又稱出入站閘機（AGM）。第三層：車站計算機系統(tǒng)，即為車站管理中心（SC）。其主要功能是對第二層車站終端設備進行狀態(tài)監(jiān)控、以及收集本站產生的交易和審計數據，規(guī)定了系統(tǒng)的數據管理、運營管理及系統(tǒng)維護管理的技術要求。第四層：線路中央計算機系統(tǒng)。其主要功能是收集本線路AFC 系統(tǒng)產生的交易和審計數據，并將此數據傳送給城市軌道交通清分系統(tǒng)，以及與其進行對帳，規(guī)定了對該線路的車票票務管理、運營管理及系統(tǒng)維護的技術要求。第五層：清分系統(tǒng)。其主要功能是統(tǒng)一城市軌道交通AFC 系統(tǒng)內部的各種運行參數、收集城市軌道交通AFC 系統(tǒng)產生的交易和審計數據并進行數據清分和對帳、同時負責連接城市軌道交通AFC 系統(tǒng)和城市一卡通清分系統(tǒng)，規(guī)定了對車票管理、票務管理、運營管理和系統(tǒng)維護管理的技術要求。

二、AFC軟件升級流程風險分析

2.1 計算機網絡安全及病毒防護的風險。2.1.1 計算機病毒的特點和傳播方式。計算機病毒具有以下幾個特點：傳染性、潛伏性、隱蔽性、破壞性。計算機病毒傳播渠道通常有以下幾種：通過可移動存儲設備傳播、通過網絡傳播、通過計算機專用ASCI芯片和硬盤等不可移動設備傳播，或者點對點通過通信系統(tǒng)和無線通道傳播。2.1.2 升級下載過程中病毒風險分析。就目前軟件或參數的升級下載都是從供貨商提供的測試軟件拷貝到實驗室測試，再由實驗室拷貝到下發(fā)參數的設備，基本都是通過專用存儲工具或者郵件傳輸，整個傳輸過程都有可能受到病毒的感染。AFC系統(tǒng)一旦發(fā)生病毒感染，對設備和數據都具有強大的破壞能力。

2.2數據傳輸過程風險。2.2.1 TVM權限參數下載過程中丟失的案例。某日凌晨，LCC向車站SC發(fā)出接收0700新版本參數的命令，但因通信中斷而被送入LCC緩存中;通信程序恢復連接后，LCC將緩存中的命令下發(fā)給SC，SC將新版0700參數從下載目錄拷貝至SLE設備下載的FTP目錄時，拷貝的文件大小變小了，只拷貝了原來文件的2/3的內容，通過查看異常0700參數的內容發(fā)現缺少CRC編碼和相應的權限設置。TVM收到SC更新參數的消息后，將內容不全的0700參數下載到了本地，同時刪除了本地原來的舊版本參數，造成本次全站TVM操作權限丟失。2.2.2 數據傳輸過程風險風險分析。此類參數下載更新過程中由于存在傳輸過程中受到一定原因的干擾組成數據傳輸不全導致的全站故障，其原因包括數據校驗失敗、數據丟包、數據損壞等，在另一方面也說明傳輸設備和校驗機制也存在一定的安全隱患風險。

2.3 設備發(fā)生異常的風險。2.3.1 故障閘機升級失敗的案例。某日，在完成了對閘機主程序及讀卡器版本的升級工作后，車站反映閘機暫停服務，SC工作站監(jiān)控界面顯示無通信。用鍵盤進入閘機軟件查看時發(fā)現錯誤提示框。2.3.2 設備發(fā)生異常的升級風險分析。經技術人員檢查分析，閘機升級后出現網絡中斷并彈錯誤提示框故障是由于軟件升級后出現交易文件損壞導致閘機軟件運行環(huán)境出現錯誤，這種故障的發(fā)生可以通過重做閘機軟件來完成修復工作。在升級站級軟件時必須嚴格按照正規(guī)流程進行參數的下載和設備的重啟工作，避免設備發(fā)生異常時進行升級，造成一定的升級失敗風險。

三、降低風險的可行性分析

3.1 加強軟件下載過程管理。3.1.1 軟件供應商管理。對軟件供應商的管理就是為了提高產品的質量，從源頭把關消除軟件缺陷帶來的一系列風險。對供貨商的有效管理，必須建立和完善有效的準入流程，按標準嚴格執(zhí)行。要求供貨商提供完善有效的升級保障措施、升級風險控制及如何承擔升級后造成的損失。對供貨商啟動定期評審機制，評估其技術水平是否達到要求。3.1.2 軟件測試管理。對所要升級的軟件或者參數是否符合現場使用的要求，就必須經過一套嚴格的測試過程，對測試數據進行收集、整理、分析，整個過程嚴謹而復雜。對軟件測試進行有效地管理，就必須組建立一只技術過硬的測試團隊，良好的測試環(huán)境以及測試流程制度，軟件版本管理制度等。3.1.3 專業(yè)下載人員管理。任何系統(tǒng)的運作都離不開人員的操作，因此在相對穩(wěn)定、安全的設備基礎上，提高操作人員的專業(yè)技能，規(guī)范操作人員的操作，將更進一步確保軟件下載的安全穩(wěn)定，有效減少因人員問題造成的風險。3.1.4 軟件下載升級工具管理。軟件下載工具是指在整個升級過程中傳輸軟件的承載工具，目前包括：發(fā)送設備、接收設備、存儲介質和升級失敗后的輔助工具。

3.2 建立完善的自動升級回滾系統(tǒng)。AFC系統(tǒng)升級是指對AFC系統(tǒng)運行的各類軟件進行漏洞修補、增加刪除軟件功能、更新設備運行參數;自動體現在升級過程中不需要人工干預，選擇升級模式和升級包后確定升級對象，自動升級系統(tǒng)能夠自動完成升級任務;由于升級操作是AFC系統(tǒng)中很重要的操作，不僅需要對軟件的版本進行管理，而且需要對升級過程、升級結果進行跟蹤記錄，同時對升級后發(fā)生異常的，可以進行版本回滾，降至上一版本使用，最大限度地保障運營設備的安全使用。

結束語：

通過對AFC系統(tǒng)的部分專業(yè)知識介紹以及案例分析，闡述了AFC系統(tǒng)軟件下載過程中受到的潛在風險影響，并根據分析對降低該風險點采取措施，提高AFC軟件升級工作的安全性，降低AFC系統(tǒng)軟件升級造成的影響，為安全運營打下堅實基礎。目前AFC系統(tǒng)的升級現狀和本人知識水平限制，部分分析結論還有待完善之處，將在今后的工作中做進一步地改進。

參考文獻：

[1]孫立中.軌道交通AFC 系統(tǒng)軟件自動升級系統(tǒng)的設計與實現[D].哈爾濱工業(yè)大學，2018.

[2]蔡靜瑤.地鐵AFC 系統(tǒng)中的票務收益安全淺析[J].科技風，2019（8）：249-249.