余闐

摘 要：空管自動(dòng)化系統(tǒng)需要多種監(jiān)視手段，文章闡述目前烏魯木齊區(qū)管中心引接ADS-B（廣播式自動(dòng)相關(guān)監(jiān)視）信號(hào)情況和接入自動(dòng)化系統(tǒng)后存在的問(wèn)題及潛在的風(fēng)險(xiǎn)，通過(guò)故障現(xiàn)象檢測(cè)和分析，采取相關(guān)安全防控策略管理ADS-B數(shù)據(jù)流量及走向，并提出地面站地址規(guī)劃及傳輸方式優(yōu)化方法，盡可能降低故障風(fēng)險(xiǎn)，保護(hù)自動(dòng)化系統(tǒng)安全。

關(guān)鍵詞：自動(dòng)化系統(tǒng)；ADS-B；訪問(wèn)控制；地址規(guī)劃

中圖分類號(hào)：V355 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：2095-2945（2017）31-0193-02

引言

隨著衛(wèi)星通信和空地?cái)?shù)據(jù)鏈技術(shù)的發(fā)展，雷達(dá)已經(jīng)不是空管監(jiān)視的唯一手段，自動(dòng)相關(guān)技術(shù)在空管系統(tǒng)中的作用表現(xiàn)的越來(lái)越重要。自烏魯木齊區(qū)管中心成立以來(lái)，自動(dòng)化系統(tǒng)引接了南疆若干個(gè)ADS-B地面站數(shù)據(jù)，但監(jiān)視信號(hào)接入子網(wǎng)交換機(jī)并未采取相關(guān)安全防護(hù)策略，各地面站ADS-B數(shù)據(jù)相互串?dāng)_，造成主用自動(dòng)化系統(tǒng)出現(xiàn)航班大面積掉標(biāo)牌現(xiàn)象，因此ADS-B數(shù)據(jù)接入自動(dòng)化系統(tǒng)的優(yōu)化與研究就顯得尤為重要。

1 典型故障案例現(xiàn)象及分析

11：08（UTC），管制部門(mén)反映主用自動(dòng)化系統(tǒng)出現(xiàn)航班大面積掉標(biāo)牌的現(xiàn)象并要求立即切換至備用自動(dòng)化系統(tǒng)保障運(yùn)行，11：09（UTC）主用自動(dòng)化系統(tǒng)航跡恢復(fù)。

通過(guò)在系統(tǒng)管理席位（SMP）進(jìn)行數(shù)據(jù)回放，技術(shù)維護(hù)人員發(fā)現(xiàn)11：08：18雷達(dá)管制屏幕大面積航班掉標(biāo)牌，雷達(dá)航跡和ADS-B航跡變?yōu)橥茰y(cè)航跡并逐步消失，但計(jì)劃航跡仍然存在，11：11：20主用自動(dòng)化航跡陸續(xù)恢復(fù)正常，然而該時(shí)間段內(nèi)備用自動(dòng)化航跡一切正常。

遠(yuǎn)程登錄主用監(jiān)視數(shù)據(jù)處理服務(wù)器（SDP）和主用監(jiān)視源前置處理服務(wù)器（SFP），查看home/atc/log/zl_log目錄下的zlsem日志中的num_sem數(shù)值過(guò)高，正常情況下該項(xiàng)數(shù)據(jù)應(yīng)自動(dòng)釋放且歸零；查看home/atc/log/zl_log目錄下的top日志中的CETC_NET和CETC_NETRAD兩個(gè)進(jìn)程中的CPU占用率高達(dá)3%，正常情況下該數(shù)值不超過(guò)1%；查看home/atc/log/tk_log日志，發(fā)現(xiàn)該時(shí)間段內(nèi)某地面站ADSB數(shù)據(jù)量激增，遠(yuǎn)高于其他時(shí)間段內(nèi)的ADSB數(shù)據(jù)量。

通過(guò)查看上述日志可知，ADSB地面站數(shù)據(jù)接入自動(dòng)化系統(tǒng)存在潛在風(fēng)險(xiǎn)。ADSB交換機(jī)內(nèi)的各地面站的數(shù)據(jù)會(huì)相互串?dāng)_，導(dǎo)致某一時(shí)間段內(nèi)交換機(jī)端口數(shù)據(jù)量增大，從而引發(fā)系統(tǒng)故障。

2 交換機(jī)訪問(wèn)控制列表配置

根據(jù)CISCO交換機(jī)訪問(wèn)控制列表規(guī)則：

#access-list access-list-number {permit|deny} protocol source source-wildcard destination destination-wildcard

“access-list-number”是擴(kuò)展ACL編號(hào)，范圍從100-199。

{permit|deny} 是這條ACL條目執(zhí)行的操作，允許/拒絕地址通過(guò)。

“protocol”代表協(xié)議，可以用具體的協(xié)議名稱代替，比如TCP、UDP、ICMP、IP等。

“source source-wildcard”，表示源地址以及通配符掩碼，通配符可以用host表示。

“destination destination-wildcard”，表示目的地址以及通配符掩碼。

“訪問(wèn)控制列表指令組”是逐條執(zhí)行的，在逐條執(zhí)行的過(guò)程中，只要發(fā)現(xiàn)有一條匹配，則使用那一條規(guī)定動(dòng)作確定允許或拒絕（比如執(zhí)行第一條的時(shí)候就匹配了，那么就使用第一條規(guī)定的動(dòng)作允許或拒絕，后面的語(yǔ)句就不會(huì)被執(zhí)行了），如果所有指令都不匹配，默認(rèn)的動(dòng)作是拒絕。

在此，我們使用擴(kuò)展訪問(wèn)控制列表，將指令組應(yīng)用于交換機(jī)對(duì)應(yīng)端口，可以根據(jù)源和目的地址進(jìn)行包過(guò)濾，其余數(shù)據(jù)包無(wú)法通過(guò)。

南疆ADS-B地面站點(diǎn)以A-G為例：

ADS-B地面站數(shù)據(jù)從三層交換機(jī)引出，分別接入主用自動(dòng)化SFP服務(wù)器，主用自動(dòng)化測(cè)試平臺(tái)SFP服務(wù)器，備用自動(dòng)化防火墻，備用自動(dòng)化測(cè)試平臺(tái)防火墻，區(qū)管監(jiān)控主機(jī)。

以A地面站為例交換機(jī)配置如下：

實(shí)現(xiàn)功能：配置拓展訪問(wèn)控制列表指令組101，允許A地面站A機(jī)、B機(jī)將數(shù)據(jù)包通過(guò)ADS-B交換機(jī)送入監(jiān)控終端，此端口不接收其他數(shù)據(jù)包。

access-list 101 permit ip host X.Y.Z.A1/A2 host 監(jiān)控IP

access-list 101 permit ip host X.Y.Z.A1/A2 host 主備用自動(dòng)化IP

access-list 101 permit ip host X.Y.Z.A1/A2 host 主備用測(cè)試平臺(tái)IP

access-list 101 deny ip any any

interface GigabitEthernet0/0/1

ip access-group 101 in

以A和B兩個(gè)ADS-B地面站點(diǎn)為例，在三層交換機(jī)可以接收到兩站點(diǎn)數(shù)據(jù)，但在其中一個(gè)站點(diǎn)ping不通另一站點(diǎn)IP，因此實(shí)現(xiàn)了數(shù)據(jù)隔離，排除了地面站間的數(shù)據(jù)串?dāng)_。

3 數(shù)據(jù)傳輸方式及地址規(guī)劃

根據(jù)民用航空ADS-B數(shù)據(jù)處理中心系統(tǒng)技術(shù)要求，ADS-B二級(jí)數(shù)據(jù)處理中心應(yīng)能夠根據(jù)需求引接本區(qū)域內(nèi)及相鄰區(qū)域的 ADS-B 數(shù)據(jù)（包括ADS-B地面站和數(shù)據(jù)站融合后輸出的數(shù)據(jù)），經(jīng)過(guò)處理后為區(qū)域管制中心自動(dòng)化系統(tǒng)、大型終端區(qū)管制中心自動(dòng)化系統(tǒng)等提供 ADS-B 實(shí)時(shí)綜合監(jiān)視信息，為本區(qū)域內(nèi)的中低空管制中心、終端（進(jìn)近）管制中心、塔臺(tái)自動(dòng)化系統(tǒng)提供備份 ADS-B 實(shí)時(shí)綜合監(jiān)視信息，同時(shí)向兩個(gè)一級(jí)數(shù)據(jù)處理中心上傳 ADS-B 實(shí)時(shí)綜合監(jiān)視信息。

輸出接口可由用戶指定為組播、單播或廣播；采用UDP組播時(shí)，可以配置組播路由。架設(shè)兩臺(tái)三層交換機(jī)并配合防火墻作為ADS-B二級(jí)數(shù)據(jù)處理中心的邊界審計(jì)設(shè)備，在三層交換機(jī)上配置相應(yīng)輸出的綜合監(jiān)視信息的組播地址，并寫(xiě)入相應(yīng)的安全防控策略。

ADS-B二級(jí)數(shù)據(jù)處理中心輸出的綜合監(jiān)視信息組播地址規(guī)劃需同時(shí)滿足以下兩個(gè)條件：

（1）規(guī)劃的組播地址必須在規(guī)定的預(yù)留組播地址范圍內(nèi)，且未被占用。

根據(jù)IP組播的定義：IPMulticast地址為D類地址，地址范圍224.0.0.0-239.255.255.255，并將D類地址劃分為本地鏈接組播地址、預(yù)留組播地址、管理權(quán)限組播地址。其中 224.0.1.0～238.255.255.255 為預(yù)留組播地址，用于全球范圍或網(wǎng)絡(luò)協(xié)議，多播地址應(yīng)從此范圍內(nèi)選擇。

（2）規(guī)劃的組播地址不能與主備用自動(dòng)化輸出的綜合航跡和飛行數(shù)據(jù)組播地址沖突。

4 結(jié)束語(yǔ)

烏魯木齊空管中心ADS-B接入自動(dòng)化系統(tǒng)的優(yōu)化與研究還需進(jìn)一步實(shí)踐與考證，由于數(shù)據(jù)在傳輸和交互的過(guò)程中體現(xiàn)出較強(qiáng)的開(kāi)放性，所以做好數(shù)據(jù)引接的信息安全管理工作就顯得尤為重要，應(yīng)當(dāng)引進(jìn)收集，檢測(cè)和分析的技術(shù)來(lái)進(jìn)行監(jiān)控，促進(jìn)空管自動(dòng)化發(fā)展，提升民航的運(yùn)行保障能力，建設(shè)民航強(qiáng)國(guó)做出積極有力的貢獻(xiàn)。

參考文獻(xiàn)：

[1]胡飛.ADS-B系統(tǒng)的原理分析與風(fēng)險(xiǎn)研究[J].科技傳播，2011（03）.

[2]黃丹 .ADS-B技術(shù)在INDRA空管自動(dòng)化系統(tǒng)中的設(shè)計(jì)與應(yīng)用[J].中國(guó)高新技術(shù)企業(yè)，2017（01）.

[3]駱敏.基于訪問(wèn)控制列表實(shí)現(xiàn)網(wǎng)絡(luò)安全及實(shí)例[J].科技信息：學(xué)術(shù)版，2006（09）.

[4]D Mccallie ，J Butts ， R Mills.Security analysis of the ADS-B implementation in the next generation air transportation system[J].International Journal of Critical Infrastructure Protection，2011，4（02）：78-87.endprint