何之煜，李 輝，鄭理華，侯大山，吉志軍

（1.中國鐵道科學(xué)研究院集團有限公司 通信信號研究所，北京 100081；2.北京華鐵信息技術(shù)有限公司 列控事業(yè)部，北京 100081)

0 引言

近年來，由于既有線改造、線路設(shè)備設(shè)施變化、長交路跨線運行等多種因素影響，導(dǎo)致列車運行監(jiān)控裝置(LKJ)基礎(chǔ)數(shù)據(jù)變更頻繁，隨之而來的是LKJ數(shù)據(jù)換裝的巨大壓力[1-3]。而目前以人工換裝為主的換裝方式，存在漏換、錯換、提前換等安全隱患，且費時費力，已無法滿足對LKJ車載數(shù)據(jù)換裝日益增長的需求。在上述背景下，LKJ車載數(shù)據(jù)無線換裝方案被提出，用于解決這一迫切需要。根據(jù)換裝計劃安排，LKJ車載數(shù)據(jù)無線換裝通過無線通信網(wǎng)絡(luò)將LKJ車載數(shù)據(jù)文件傳輸至LKJ車載設(shè)備進行緩存，當(dāng)換裝條件滿足時，地面換裝人員通過遠程控制的方式實現(xiàn)車載數(shù)據(jù)的更新，這種方式既可以提高數(shù)據(jù)換裝效率，也可以節(jié)約人力物力成本[4-6]。

與CTCS-2和CTCS-3級列控系統(tǒng)不同，LKJ采用車載數(shù)據(jù)預(yù)存的方式，因此車載數(shù)據(jù)是LKJ控車的核心，保障LKJ列車的運行安全。對于LKJ車載數(shù)據(jù)無線換裝系統(tǒng)，保障LKJ數(shù)據(jù)文件和換裝相關(guān)業(yè)務(wù)數(shù)據(jù)的網(wǎng)絡(luò)傳輸安全是系統(tǒng)安全架構(gòu)設(shè)計的關(guān)鍵。為了進一步適應(yīng)和滿足LKJ車載數(shù)據(jù)無線換裝系統(tǒng)的數(shù)據(jù)安全需求，提高系統(tǒng)安全設(shè)計的完整性，從數(shù)據(jù)存儲安全、傳輸安全和網(wǎng)絡(luò)安全3個方面展開分析，構(gòu)建系統(tǒng)的安全體系架構(gòu)。通過技術(shù)手段可以有效提高系統(tǒng)中數(shù)據(jù)傳輸?shù)陌踩?，提升LKJ車載數(shù)據(jù)無線換裝系統(tǒng)的可用性，進而提高以車載數(shù)據(jù)為行車依據(jù)的LKJ列車控車的安全性，提升路網(wǎng)的運輸效率。

1 LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全需求

LKJ車載數(shù)據(jù)無線換裝系統(tǒng)分為車載LKJ系統(tǒng)、無線通信網(wǎng)絡(luò)和地面系統(tǒng)3部分。車載LKJ系統(tǒng)主要負責(zé)接收來自地面的換裝數(shù)據(jù)文件，進行解密、解壓、校驗，并緩存至緩存區(qū)等待數(shù)據(jù)加載指令；在數(shù)據(jù)加載過程中，負責(zé)與LKJ主機進行信息的交互。無線通信網(wǎng)絡(luò)是LKJ無線換裝車地通信的載體，系統(tǒng)采用的是公共移動通信網(wǎng)絡(luò)(3G/4G/5G)。地面系統(tǒng)主要負責(zé)與車載LKJ系統(tǒng)進行換裝業(yè)務(wù)相關(guān)的信息交互，并將數(shù)據(jù)傳輸至主機服務(wù)器進行存儲、處理和分析，鐵路局集團公司終端設(shè)備則通過可視化界面對數(shù)據(jù)換裝進行全方位的管理，包括數(shù)據(jù)換裝計劃管理、過程控制、數(shù)據(jù)版本監(jiān)測、銷號管理和查詢統(tǒng)計等。LKJ車載數(shù)據(jù)無線換裝系統(tǒng)總體架構(gòu)如圖1所示。

圖1 LKJ車載數(shù)據(jù)無線換裝系統(tǒng)總體架構(gòu)Fig.1 Architecture of wireless reloading system for LKJ onboard data

按照安全功能劃分，從車載數(shù)據(jù)文件的存儲安全、傳輸安全和系統(tǒng)網(wǎng)絡(luò)安全等角度分析LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全性需求。

（1）LKJ采用預(yù)存的方式將車載數(shù)據(jù)預(yù)先存儲在車載系統(tǒng)上，LKJ列車依據(jù)存儲的車載數(shù)據(jù)行車，LKJ車載數(shù)據(jù)文件的存儲安全直接關(guān)系到列車的運行安全，因此需要保障LKJ車載數(shù)據(jù)文件在地面系統(tǒng)存儲的安全性。

（2）LKJ車載數(shù)據(jù)文件通過公共移動通信網(wǎng)絡(luò)(3G/4G/5G)實現(xiàn)地面到車載，需要在公共移動通信網(wǎng)絡(luò)的基礎(chǔ)上建立安全的數(shù)據(jù)傳輸通道；在地面系統(tǒng)中，由于地面在外網(wǎng)接收車載數(shù)據(jù)，而換裝業(yè)務(wù)處理在鐵路內(nèi)網(wǎng)進行，因此需要研究數(shù)據(jù)在鐵路內(nèi)外網(wǎng)的安全交互技術(shù)。

（3）LKJ車載數(shù)據(jù)無線換裝地面系統(tǒng)是無線換裝業(yè)務(wù)功能實現(xiàn)的主體，也是保障車載數(shù)據(jù)文件和換裝數(shù)據(jù)存儲、處理、分析、管理等網(wǎng)絡(luò)安全的核心，因此需要研究地面系統(tǒng)網(wǎng)絡(luò)安全架構(gòu)及設(shè)備部署方案。

2 LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全架構(gòu)分析

結(jié)合LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全性需求分析，從存儲安全、傳輸安全和網(wǎng)絡(luò)安全3個方面分析LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全架構(gòu)。

2.1 存儲安全分析

相比于傳統(tǒng)的集中式數(shù)據(jù)存儲方式，LKJ車載數(shù)據(jù)無線換裝系統(tǒng)采用的是分布式存儲架構(gòu)，通過采用可擴展的系統(tǒng)結(jié)構(gòu)，利用多臺存儲服務(wù)器分擔(dān)存儲負荷，利用位置服務(wù)器定位存儲信息，不但可以提高系統(tǒng)的可靠性、可用性和存取效率，還易于擴展[7-8]。

為保證系統(tǒng)數(shù)據(jù)存儲的安全性，在分布式存儲架構(gòu)下，采用三副本四存儲單元的存儲架構(gòu)。LKJ車載數(shù)據(jù)無線換裝系統(tǒng)三副本存儲結(jié)構(gòu)如圖2所示，左側(cè)為雙機熱備冗余架構(gòu)的交換機，是LKJ無線換裝相關(guān)業(yè)務(wù)數(shù)據(jù)寫入存儲設(shè)備的媒介；中間4臺為三副本架構(gòu)的存儲單元，是系統(tǒng)主要的存儲介質(zhì)；右側(cè)為雙機熱備冗余的萬兆交換機，主要用于數(shù)據(jù)的備份和同步。當(dāng)LKJ無線換裝數(shù)據(jù)通過圖2左端交換機準備寫入存儲單元時，系統(tǒng)會在內(nèi)部對數(shù)據(jù)進行線性地址切分，將切分后的子數(shù)據(jù)復(fù)制3份，分別存入3個存儲單元中，并按照一定的邏輯和策略將這些副本放在集群的不同節(jié)點上，保證數(shù)據(jù)的可靠和安全。

圖2 LKJ車載數(shù)據(jù)無線換裝系統(tǒng)三副本存儲結(jié)構(gòu)Fig.2 Architecture of three-copy storage for LKJ onboard data

當(dāng)某個存儲單元由于電源等設(shè)備的故障而導(dǎo)致失效時，系統(tǒng)可以使用其他存儲單元上的副本修復(fù)發(fā)生的故障，從而提高業(yè)務(wù)數(shù)據(jù)的存活率；另外，當(dāng)有數(shù)據(jù)節(jié)點損壞，或系統(tǒng)存儲單元發(fā)生故障時，這時有效的數(shù)據(jù)副本數(shù)量不足3份，系統(tǒng)就會通過圖2右端的萬兆交換機迅速將故障單元的數(shù)據(jù)復(fù)制到其他存儲單元上，使故障數(shù)據(jù)的副本數(shù)量始終保持3份，從而保證數(shù)據(jù)的同步和安全。

2.2 傳輸安全分析

按照功能和應(yīng)用場景劃分，LKJ車載數(shù)據(jù)無線換裝系統(tǒng)傳輸安全可以分為車地?zé)o線傳輸安全和鐵路內(nèi)外網(wǎng)交互安全2個方面。

2.2.1 車地?zé)o線傳輸安全分析

LKJ無線換裝與既有換裝方式最本質(zhì)的區(qū)別，是無線換裝采用無線通信技術(shù)手段將LKJ車載數(shù)據(jù)文件由地面?zhèn)鬏斨淋囕d，由于系統(tǒng)采用的是公共移動通信網(wǎng)絡(luò)實現(xiàn)數(shù)據(jù)的車地傳輸，鑒于LKJ車載數(shù)據(jù)對于LKJ控車安全的重要性，需要在公共移動通信網(wǎng)絡(luò)的基礎(chǔ)上建立一條加密的安全傳輸通道，保障數(shù)據(jù)的傳輸安全。車地IPSec VPN網(wǎng)絡(luò)示意圖如圖3所示。

圖3 車地IPSec VPN網(wǎng)絡(luò)示意圖Fig.3 IPSec VPN for train-ground transmission

系統(tǒng)采用IPSec VPN技術(shù)建立車地安全傳輸通道，保障車地之間傳輸通道的網(wǎng)絡(luò)安全[9]，原因如下：一是IPSec VPN建立在網(wǎng)絡(luò)層，能夠?qū)W(wǎng)絡(luò)層所有的傳輸數(shù)據(jù)進行保護，一旦發(fā)現(xiàn)攻擊者對換裝過程進行網(wǎng)絡(luò)攻擊，系統(tǒng)立即阻斷車地通信鏈接，從而保護車載和地面數(shù)據(jù)安全；二是車載和地面都需要安裝相應(yīng)的應(yīng)用軟件，在車地通信時，受到特定的接入設(shè)備、客戶端、用戶認證機制和預(yù)定義安全規(guī)則的限制。LKJ無線換裝屬于特定的端到端通信(授權(quán)的車載安全通信插件和授權(quán)的地面外網(wǎng)通信服務(wù)器)，因而車地通信具有高安全性。

為保證數(shù)據(jù)安全，系統(tǒng)采用國密算法建立IPSec VPN車地通道以及加密保護數(shù)據(jù)。通過國密非對稱算法SM2和哈希算法SM3，基于數(shù)字證書認證的方式，對車載和地面進行雙向的身份認證，防止網(wǎng)絡(luò)攻擊者仿冒車載或地面對換裝過程發(fā)起網(wǎng)絡(luò)攻擊行為，具有車地身份的不可抵賴性；通過國密對稱算法SM4對換裝數(shù)據(jù)進行加密，基于分組加密的思想，對車地交互數(shù)據(jù)進行對稱加密，密鑰長度達到128 bit，具有較高的安全性。

2.2.2 鐵路內(nèi)外網(wǎng)交互安全分析

如圖3所示，LKJ無線換裝地面系統(tǒng)通過外網(wǎng)通信服務(wù)器接收來自車載的業(yè)務(wù)數(shù)據(jù)，且按照《鐵路站(場)局域網(wǎng)無線安全接入暫行技術(shù)要求》(鐵總運[2014] 214號)，鐵路業(yè)務(wù)系統(tǒng)不能暴露在外部網(wǎng)絡(luò)，因此LKJ車載數(shù)據(jù)無線換裝系統(tǒng)的車載數(shù)據(jù)、換裝計劃等數(shù)據(jù)按規(guī)定只能存儲于鐵路內(nèi)網(wǎng)中。

由于LKJ車載數(shù)據(jù)無線換裝系統(tǒng)基于公共移動通信網(wǎng)絡(luò)將LKJ車載數(shù)據(jù)文件上傳至車載，用于列車運行控制，對數(shù)據(jù)傳輸?shù)募皶r性、傳輸速率和安全性要求較高，需要研究一種高效、可控、安全的鐵路內(nèi)外網(wǎng)數(shù)據(jù)交互方法，保障LKJ車載數(shù)據(jù)無線換裝等業(yè)務(wù)系統(tǒng)運用，滿足現(xiàn)場安全生產(chǎn)運用需求。

系統(tǒng)采用數(shù)字證書認證的方式，通過鐵路安全傳輸平臺實現(xiàn)鐵路內(nèi)外網(wǎng)的數(shù)據(jù)交互，使用基于用戶名/口令的正向代理實現(xiàn)從內(nèi)網(wǎng)訪問外網(wǎng)，使用基于數(shù)字證書的反向代理實現(xiàn)從外網(wǎng)訪問內(nèi)網(wǎng)。鐵路內(nèi)外網(wǎng)交互原理圖如圖4所示。

圖4 鐵路內(nèi)外網(wǎng)交互原理圖Fig.4 Communication of internal and external networks of railways

鐵路內(nèi)外網(wǎng)數(shù)據(jù)安全交互主要涉及外網(wǎng)通信服務(wù)器、內(nèi)網(wǎng)通信服務(wù)器和鐵路安全傳輸平臺。換裝數(shù)據(jù)在由外網(wǎng)傳輸至內(nèi)網(wǎng)的過程中，外網(wǎng)通信服務(wù)器接入層接收來自車載的換裝數(shù)據(jù)，TCP通信服務(wù)將數(shù)據(jù)寫入到外網(wǎng)Receive隊列，數(shù)據(jù)轉(zhuǎn)發(fā)層通過調(diào)用鐵路安全傳輸平臺提供的數(shù)字證書，將車載數(shù)據(jù)發(fā)送到內(nèi)網(wǎng)通信服務(wù)器，內(nèi)網(wǎng)通信服務(wù)器中的內(nèi)網(wǎng)HttpServer接收到數(shù)據(jù)后，將數(shù)據(jù)寫入內(nèi)網(wǎng)Receive隊列中，換裝數(shù)據(jù)處理層實時讀取Receive隊列數(shù)據(jù)并進行業(yè)務(wù)邏輯處理，而后數(shù)據(jù)寫入Send隊列。

同時，換裝數(shù)據(jù)在由內(nèi)網(wǎng)傳輸至外網(wǎng)的過程中，數(shù)據(jù)轉(zhuǎn)發(fā)層通過調(diào)用http請求，并攜帶數(shù)字證書中的認證令牌環(huán)信息，實時由內(nèi)網(wǎng)獲取數(shù)據(jù)并寫入外網(wǎng)Send隊列，外網(wǎng)通信程序?qū)崟r讀取Send隊列數(shù)據(jù)并加密傳輸?shù)絃KJ車載安全通信插件。

2.3 網(wǎng)絡(luò)安全分析

LKJ車載數(shù)據(jù)無線換裝系統(tǒng)按照信息安全等級保護三級的要求建設(shè)，通過部署網(wǎng)絡(luò)設(shè)備(交換機、路由器等)、安全設(shè)備(防火墻、入侵檢測系統(tǒng)、堡壘機、安全監(jiān)管與審計平臺、防病毒系統(tǒng)等)和應(yīng)用設(shè)備(外網(wǎng)/內(nèi)網(wǎng)通信服務(wù)器、超融合IT架構(gòu)等)實現(xiàn)LKJ業(yè)務(wù)數(shù)據(jù)的安全傳輸和處理。LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全架構(gòu)如圖5所示。

按照LKJ車載數(shù)據(jù)無線換裝系統(tǒng)網(wǎng)絡(luò)安全功能劃分，將系統(tǒng)分為數(shù)據(jù)存儲及核心業(yè)務(wù)安全域、無線通信網(wǎng)絡(luò)安全域和車載內(nèi)部網(wǎng)絡(luò)安全域3部分，網(wǎng)絡(luò)安全區(qū)域劃分如圖6所示。綜合圖5系統(tǒng)安全架構(gòu)，對系統(tǒng)安全設(shè)備的部署方案和安全策略分析如下。

圖5 LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全架構(gòu)Fig.5 Security Architecture of wireless reloading system for LKJ onboard data

圖6 網(wǎng)絡(luò)安全區(qū)域劃分Fig.6 Division of network security zones

（1）防火墻。防火墻作為網(wǎng)絡(luò)安全主要的防護設(shè)備，通過其內(nèi)部配置的安全策略實現(xiàn)對系統(tǒng)的網(wǎng)絡(luò)邊界防護和訪問控制。根據(jù)系統(tǒng)邊界防護需求和安全部署策略，可以將防火墻分為內(nèi)網(wǎng)防火墻、車地防火墻和車載防火墻3種。3種防火墻網(wǎng)絡(luò)安全分析如表1所示。

表1 3種防火墻網(wǎng)絡(luò)安全分析Tab.1 Network security analysis of three types of firewalls

（2）入侵檢測系統(tǒng)。與防火墻不同，入侵檢測系統(tǒng)采用主動防御方式，通過網(wǎng)絡(luò)監(jiān)聽內(nèi)外網(wǎng)穿透以及鐵路綜合信息網(wǎng)各終端設(shè)備的網(wǎng)絡(luò)通信，并通過內(nèi)置的攻擊特征庫識別網(wǎng)絡(luò)中的攻擊行為，并對網(wǎng)絡(luò)攻擊行為進行記錄，供管理人員對攻擊行為進行識別和分析。根據(jù)防護網(wǎng)絡(luò)安全區(qū)域的不同分為外網(wǎng)入侵檢測系統(tǒng)和內(nèi)網(wǎng)入侵檢測系統(tǒng)，分別部署于地面系統(tǒng)外網(wǎng)核心交換機旁路和地面系統(tǒng)內(nèi)網(wǎng)核心交換機旁路。

（3）堡壘機。堡壘機部署在地面系統(tǒng)數(shù)據(jù)存儲及核心業(yè)務(wù)安全域，具有綜合核心系統(tǒng)運維和安全審計管控兩大主要功能。核心系統(tǒng)運維可以攔截非法訪問和惡意攻擊，對不合法命令進行命令阻斷，過濾所有對目標(biāo)設(shè)備的非法訪問行為；安全審計管控對設(shè)備、主機服務(wù)器日常運維操作進行權(quán)限控制，審計監(jiān)控內(nèi)部人員誤操作和非法操作，為安全事件和風(fēng)險防范提供視頻、日志等可追溯的歷史分析依據(jù)，以便事后責(zé)任追蹤。

（4）安全監(jiān)管與審計平臺。安全監(jiān)管與審計平臺部署在地面系統(tǒng)數(shù)據(jù)存儲及核心業(yè)務(wù)安全域，地面系統(tǒng)內(nèi)網(wǎng)核心交換機旁路，采用以LKJ數(shù)據(jù)無線換裝業(yè)務(wù)為核心的網(wǎng)絡(luò)安全、應(yīng)用安全、業(yè)務(wù)安全一體化的安全管理解決思路，將安全審計、監(jiān)管功能融入統(tǒng)一平臺進行數(shù)據(jù)采集、分析、監(jiān)控和預(yù)警。以保障系統(tǒng)安全、可用為中心，圍繞資產(chǎn)和業(yè)務(wù)，實現(xiàn)從設(shè)備管理、策略部署管理、運轉(zhuǎn)監(jiān)控、風(fēng)險預(yù)警到安全聯(lián)動響應(yīng)的完整、安全、閉環(huán)管理，實現(xiàn)安全風(fēng)險的可視、可管、可預(yù)防。

（5）防病毒系統(tǒng)。防病毒系統(tǒng)部署在地面系統(tǒng)數(shù)據(jù)存儲及核心業(yè)務(wù)安全域，安裝在主機服務(wù)器層內(nèi)，客戶端安裝在內(nèi)網(wǎng)通信服務(wù)器、數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器、數(shù)字證書服務(wù)器、時鐘同步服務(wù)器、外網(wǎng)通信服務(wù)器內(nèi)，為各主機服務(wù)器操作系統(tǒng)提供病毒及惡意代碼安全防護。

3 LKJ車載數(shù)據(jù)無線換裝系統(tǒng)安全優(yōu)化分析

既有的以人工為主的車載數(shù)據(jù)換裝方式需要換裝人員攜帶專用IC卡定時、定點上車作業(yè)，費時費力，且存在錯換、漏換、提前換等安全隱患，LKJ無線換裝技術(shù)能夠優(yōu)化數(shù)據(jù)換裝管理，提升數(shù)據(jù)安全及人身安全，具體體現(xiàn)在以下方面。

（1）由于線路改造、施工、行車組織變化等因素，導(dǎo)致LKJ數(shù)據(jù)變化頻繁，頻繁的換裝導(dǎo)致人工需求大、工作強度和壓力大，而LKJ無線換裝只需作業(yè)人員在換裝終端作業(yè)，就能夠?qū)KJ車載數(shù)據(jù)傳輸至車載設(shè)備，可以極大減輕現(xiàn)場換裝作業(yè)壓力。

（2）既有人工換裝在執(zhí)行過程中需要人工盯控，涉及到電務(wù)、機務(wù)、調(diào)度等多個部門協(xié)同操作、溝通協(xié)調(diào)，效率較低，采用LKJ無線換裝的方式，通過信息化的手段對換裝流程進行把控，能夠提高數(shù)據(jù)換裝各相關(guān)部門的工作效率，同時也有助于解決應(yīng)急換裝中出現(xiàn)的數(shù)據(jù)錯換、漏換等安全隱患。

（3）在途換裝場景中，人工換裝方式需要作業(yè)人員前往列車運行途中站點進行蹲守，并且需要聯(lián)合機務(wù)、調(diào)度部門進行配合，攔截列車進行上車換裝作業(yè)，對換裝人員存在人身安全隱患的同時，還降低了路網(wǎng)的運輸效率，而LKJ無線換裝能夠消除上述安全隱患，地面換裝終端隨時可以將LKJ車載數(shù)據(jù)傳輸至LKJ車載緩存。

（4）機車長交路跨局運行中，人工換裝需要車輛配屬的鐵路局集團公司委托換裝，或派遣駐外人員對所屬機車進行換裝，而委托換裝導(dǎo)致責(zé)任增加，屬地鐵路局集團公司對承接其他鐵路局集團公司委托的換裝業(yè)務(wù)有畏難情緒，而LKJ無線換裝通過無線傳輸?shù)姆绞竭M行數(shù)據(jù)的車地傳輸，無需委托換裝，責(zé)任分工明確。

（5）LKJ車載數(shù)據(jù)無線換裝系統(tǒng)能夠?qū)囕d數(shù)據(jù)版本進行實時把控，一旦發(fā)生數(shù)據(jù)錯換或意外換裝等情況，地面及時進行報警處理，通過信息化的手段保障車載數(shù)據(jù)的安全性，進而提升LKJ列車的行車安全。

4 結(jié)束語

LKJ車載數(shù)據(jù)是保障LKJ列車運行安全的基礎(chǔ)和核心，是LKJ車載設(shè)備進行“兩冒一超”安全防護的依據(jù)，LKJ無線換裝系統(tǒng)安全架構(gòu)的研究，保證了LKJ車載數(shù)據(jù)從地面終端到車載設(shè)備一整套傳輸過程的安全性，從而保障了LKJ列車行車的安全性，為鐵路信息安全系統(tǒng)的建設(shè)提供借鑒。由于目前對于LKJ無線換裝系統(tǒng)安全架構(gòu)的研究僅停留在理論研究的層面，缺乏在實際應(yīng)用上的實踐經(jīng)驗，在后續(xù)正式應(yīng)用于鐵路生產(chǎn)中，還需根據(jù)實際情況對系統(tǒng)網(wǎng)絡(luò)安全進行改進和優(yōu)化。