铁路信号系统网络的统一安全管控研究

王志宏

（中国铁建电气化局集团北方工程有限公司，山西太原 030053）

0 引言

随着信息科学技术以及铁路运输行业的快速发展，铁路信号的功能和内涵不断丰富，已成为保障列车行车安全，提高铁路运输效率的基础设备之一，并朝着统一化、标准化、综合化方向持续发展。当前我国铁路信号系统在安全管控层面主要采用一般的防火墙设备，依赖外部访问控制、隔离以及病毒扫描技术，无法根据铁路运行的实际情况而实现全面防御。尤其是在网络安全问题频发的互联网背景下，极易因恶意的网络安全攻击行为而导致列控数据延时、丢失或被篡改，进而出现设备故障失效、影响列车行车安全等重大威胁[1]。通过分析我国铁路信号系统，提出铁路信号系统网络的统一安全管控策略，构建集调度、控制、运行和反馈于一体的控制闭环，实现不同信息系统关联以及数据信息共享，对发挥数据资源优势、提升铁路信号系统安全、保障列车高效运行具有重要作用。

1 铁路信号系统分析

1.1 铁路信号集中监测系统

在互联网背景下，铁路信号集中监测系统基于先进的互联网计算机技术以及图形拟物化展现技术、智能诊断技术和模块化的软件程序架构，可以充分发挥先进技术的优势，实现铁路运行信息存储、故障预警、运行状态监测等多重功能，并对铁路运行全过程产生的数据信息做到统一规划、管理与实施，有助于营造可靠的铁路信号系统环境，保障列车行车安全。

第一，安全编码以及冗余技术在铁路信号集中监测系统中的应用，既能保证数据信息安全，又能提高数据信息的精确度，尤其是安全通信协议以及防火墙隔离效能的发挥，能够更好地适应系统种类多样的集中监测系统，保证监测设备正常运行。

第二，铁路信号集中监测系统结合三级四层体系结构，采用新技术与新理念，进一步丰富了电务段子系统功能，完善了信号设备监测内容，既能实现故障预警，引起维修人员关注，又能自动生成信号设备维护建议报告，帮助维修人员选择最佳的维修方案，提高维修质效。

1.2 列车监控监测子系统

铁路综合监控系统以信号ATC 系统为核心，与多项子系统采取互联方式集成。列车监控监测子系统涵盖内容较多，可与综合监控系统数据集成，收集列车运行的实时信息，显示设备运行的状态，便于调度员和行车人员掌握实时信息，完善运营监管。

第一，车载司法记录单元主要收集和记录列车运行过程中产生的安全数据和司法数据，如司机操作信息、紧急制动命令、轨道电路信息等，以发挥原始数据客观、真实的作用，为后期故障分析和事故责任界定提供数据支撑。

第二，维护终端临时限速器采用冗余结构和热备工作方式，通过调阅CTC 系统以及列车实时运行状态，判断正在运行的列车是否处于安全运行模式，具有系统结构简单、易维护和扩展等特点[2]。

第三，微机联锁电务终端借助以太网运行，可以避免网络之间相互渗透，集中监控数据，用于诊断联锁系统故障。

1.3 GSM-R 通信监测系统

GSM-R 通信监测系统是由前端接入、数据采集存储、数据分析处理等部分构成，可以更方便准确地测试通信网络的多个技术指标，为维修人员提供更加准确的原始数据。GSM-R 通信监测系统包括以下两个方面内容：一方面，通信接口监测具有全程追踪列车运行时发生通信行为的功能，既能完整跟踪某一呼叫的信令过程，快速确定各样本间信令配合情况，又能进行切换追踪，时刻监视通信行为切换的成功率，可以为日后故障分析和通信回放，提供大量可靠的原始数据。另一方面，GSM-R 网管监测可以实时获取列车运行的实时数据与状态，为列车配置、故障预警等多项内容提供安全保障，并智能、及时、准确地定位故障，帮助维修人员第一时间完成故障检修，提高业务运行质量，保障列车运行安全。

2 铁路信号系统网络统一安全管控存在的问题

2.1 不同类型设备之间的关联性较少

铁路信号系统网络具有结构复杂性，涉及多个系统和设备的综合应用，其核心是信号集中监测系统，但不同类型设备在整个系统中扮演不同的角色、发挥不同的性能，可以识别不同的数据信息与信号反馈，并做出相关反应，以通过所有设备协同性能的支撑而保障列车安全运行。因此，在列车运行过程中，为了实时监测列车运行的全过程，就需要所有不同类型的设备发挥协同效能。当前铁路信号系统网络在统一安全管控中存在部分问题，如维护终端、动态监测等部分设备处于相互独立的工作状态和运行模式，通过不同类型设备收集整理数据的关联性差，无法整体反映列车的运行状态。需要以人工监测的方式补充完善列车运行数据，便会导致数据信息收集的滞后性，故障判断、识别、维修效率低下，影响列车运行的可靠性与安全性[3]。

2.2 用于信号监测的智能化技术较少

铁路信号系统监测的目的是全方位、多角度记录列车运行过程中产生的各项数据信息，以便为后期责任界定提供客观依据，而铁路信号系统的良好运行离不开内部系统和设备的协同配合，任一环节出现问题都会增加列车运行的不稳定性。当前，在铁路信号系统网络统一安全管控过程中，智能化技术在铁路信号监测方面的应用较少，且挖掘深度不足、智能分析薄弱，便会因提供的原始记录和数据资源有限，无法实时监测列车运行状态。尤其是不能及时发现、预警、诊断故障问题，因故障维修滞后，而增加列车运行的不安全性。例如，在列控体系中，列车与RBC 之间准确的连接状态是确保列控中心的根本，需要依赖以太网和联锁体系连接，保证两者分离。而一旦使用防火墙体系对其进行隔离，便会因不能及时验证所有数据而出现数据传输问题，进而干扰行车的精确性。

2.3 监测数据的共享利用效率待提高

GSM-R 通信监测系统是保障列车安全运行的重要部分，主要负责传输车等地信息状况，发挥数据共享优势，做好风险预警和防控。在列车实际运行过程中，由于通信网管与信号设备监测之间的数据无法共享，导致现有数据信息只能服务于设备所在的特定领域，既无法直观地呈现列车整体运行状态，又无法帮助工作人员快速判断列车运行中通信信号结合部分的故障问题，尤其是无线电干扰等问题的存在，会出现列车运行通信超时、脱网等不良现象，影响列车控制与调度指挥系统的正常工作。另外，我国是世界上铁路运营里程最长、运营速度最快、建设规模最大的国家，铁路信号系统网络统一安全管控是铁路信号系统网络发展的必然趋势，但监测数据的共享利用效率有待提高，会在很大程度上阻碍统一化、标准化安全管控模式的建设，制约列控系统和铁路运输行业有序发展。

3 铁路信号系统网络统一安全管控的策略

3.1 可信计算环境层面

可信计算环境是由可信平台控制模块（TPCM）和可信软件组成，可以保证计算全程可测可控，不被干扰。TPCM 是建立在信任链的基础上，将信任链拓展到具体系统程序中，既能提供数据加密，防止恶意引导加载程序恶意软件，又能在发生妥协时自动切换到隔离模式，以排除故障，还能将在线服务的加密密钥、证书和密码存在其中，提高数据信息存储安全，保证可信报告与度量服务质量[4]。可信软件以控制机制和度量机制为主，不仅可以直接拦截系统程序之外的访问请求，自主检测请求是否违规，又能通过对比分析程序的完整性，及时发现系统程序被篡改现象，进而执行文件恢复功能，防止病毒入侵网络，保证系统安全。

在铁路信号系统网络统一安全管控的过程中，为营造安全可靠的网络环境，政府要从国家层面采取更强有力的措施，支撑可信计算产业发展，加大可信计算的研究投入力度，鼓励引导基于TPCM 可信密码模块的计算系统和设备。坚持以自主密码算法为核心，以可信密码模块芯片为基础，加大力度快速推动可信计算基础产业发展，进而形成战略规模，打造自主可信网络空间的技术环境，推动铁路信号系统网络朝着统一化、规范化、集成化的安全管控方向稳健发展。

3.2 可信管控中心层面

可信管控中心是对可信计算环境、基于SDN 的可信区域边界、通信网络等整个铁路信号系统的管理，包括系统管理、审计管理、密码管理以及安全管理等内容。在可信管控中心运行过程中，为推进落实铁路信号系统网络统一安全管控，管理人员要立足管控中心相对独立的管控模式，根据实际业务需求以及用户身份凭证和安全级别形成可信程序库，并在安全管理员对系统用户授权之后生成基准值，实现对系统主体和客体的命名标记，确定可执行程序白名单，进而按照业务需要和系统逻辑甄别访问客体的权限。由安全审计员对系统管理行为、安全管理行为和可信软件基行为进行审计，全面监控整个系统的运行状态，避免出现系统安全管理缺失问题，保证铁路信号系统始终处于正常运行模式。

3.3 抗DDoS 的SDN 控制调度方法

SDN 控制器采用可信计算技术，可以从可信管控中心下载控制策略，实现对通信网络逻辑的集中统一管控，并对跨节点的通信业务主客体进行标记，实施严格的网络访问控制，进而保证网络环境的整体可信。当前我国铁路信号系统网络规模较大，在使用SDN 控制器技术时，易受以流量为基础的分布式拒绝服务（DDoS）影响，降低铁路信号系统的稳定性。为提高SDN 控制的抵抗能力，工作人员可应用多维条件熵算法建立常规防御与快速防御在内的联合检测机制，以提高检测的准确率。工作人员既要正确认识并发挥SDN 控制器优势，实时监控SDN 网络状态，根据交换机的Packet-in 消息达到率和信息熵检测DDoS是否存在攻击网络状态的行为，又要根据检测结果定位攻击，并通过丢弃Packet-in 消息的方式结束攻击防御，同时设置合适的流表项Timeout 值保护交换机流表空间，使正常的数据包获得较好的服务，以保证铁路信号系统网络的正常运行状态[5]。

3.4 统一安全管控系统

SDN 是由统一控制器进行统一控制和管理的一种新型网络架构方式，可直接编程网络设备的控制面，实现网络功能自定义，方便整网改造和集中管理。铁路信号系统统一安全管控模式由CTC 系统网络、信号安全数据网和集中监测网络组成，既能通过各自独立的网络系统实现隔离，又能通过统一的软件控制而保障整体系统的安全性，积极应对铁路信号网络管控中的复杂问题，促使铁路信号网络管控更加系统化和智能化，满足新时期列车管控对数据实时性的要求。

第一，为增强铁路信号系统网络的稳定性，工作人员要提高自身专业能力，规范自身行为，在明确不同设备对应的网络服务的基础上，在铁路设备资产管理服务器上注册和认证，以增强对网络服务和终端设备的监管力度。

第二，结合已有的合理网络服务和白名单机制，制定通信管理矩阵，利用网络控制器有效控制业务通信管理矩阵中的设备，并访问网络服务资源，控制异常接入和异常检测，减少铁路信号系统管理的安全威胁。

第三，网络控制器可以标记和记录数据，进而明确数据来源，并深入挖掘、实时获取相关的信息资源，一旦出现网络安全问题也能及时追踪溯源，标明数据或设备的异常位置，实现网络流精细化管理。

4 结语

铁路信号系统对网络的安全性和可靠性提出了较高要求，管控能力较弱势必会出现网络安全问题，影响铁路列控系统的可用性。为保证列车运行安全，实施铁路信号系统网络统一安全管控模式，降低网络管控的复杂性，提高铁路信号系统管控的效率和安全性，是铁路运输行业发展的必然趋势。在铁路信号系统网络统一安全管控过程中，工作人员既要正确认识可信计算的重要性，积极构建自主可信网络空间的技术环境，以保证系统安全，又要从可信管控中心层面全面监控整个系统的运行状态。另外，还要立足铁路信号系统网络规模庞大的现状，设置防御DDoS 的SDN 控制器调度方法，弱化DDoS 技术对SDN 技术的干扰，增强控制器的可靠性与网络的可用性，并加大统一安全管控系统建设力度，科学制定通信管理矩阵，实现网络流精细化管理，保证铁路信号系统网络运行状态正常。