鄭理華，李一楠，陽亦斌

（1.中國鐵道科學(xué)研究院集團(tuán)有限公司 通信信號(hào)研究所，北京 100081；2.株洲中車時(shí)代電氣股份公司通信信號(hào)事業(yè)部，湖南 株洲 412001）

1 概述

列車運(yùn)行監(jiān)控裝置(LKJ)是鐵路機(jī)車、動(dòng)車組的組成部分，是中國列車運(yùn)行控制系統(tǒng)體系的重要組成部分，是用于防止列車冒進(jìn)信號(hào)、運(yùn)行超速事故，以及輔助機(jī)車和動(dòng)車組司機(jī)提高操縱能力的重要行車設(shè)備[1]。目前我國國鐵2.1萬臺(tái)機(jī)車和1 000多列運(yùn)營速度為250 km/h的動(dòng)車組都裝備了LKJ。LKJ車載數(shù)據(jù)是LKJ控制功能實(shí)現(xiàn)的基礎(chǔ)和運(yùn)行分析的依據(jù)，LKJ數(shù)據(jù)的準(zhǔn)確性是監(jiān)控列車安全運(yùn)行的前提和保障[1-3]。在不同運(yùn)行線路和環(huán)境中，隨著運(yùn)輸基礎(chǔ)設(shè)備、設(shè)施技術(shù)數(shù)據(jù)變化、行車組織變化或鐵路線路施工，引起LKJ車載數(shù)據(jù)變化，LKJ車載數(shù)據(jù)需要進(jìn)行相應(yīng)變更，同時(shí)LKJ車載數(shù)據(jù)版本也需進(jìn)行相應(yīng)升級。與之對應(yīng)的變更工作和升級工作稱為LKJ車載數(shù)據(jù)換裝。因LKJ車載基礎(chǔ)數(shù)據(jù)文件和LKJ車載控制文件直接寫入芯片，安裝在LKJ設(shè)備中，通常鐵路局集團(tuán)公司在組織LKJ車載數(shù)據(jù)換裝過程中，采用人工上車定時(shí)、定點(diǎn)、線纜連接方式進(jìn)行數(shù)據(jù)換裝作業(yè)[4-7]。既有數(shù)據(jù)換裝方式在準(zhǔn)確性、時(shí)效性、安全性要求難以保證，具體表現(xiàn)在以下方面。

（1）導(dǎo)致LKJ車載基礎(chǔ)數(shù)據(jù)換裝的情況如下：新建鐵路、改建線路多，日常線路施工和維護(hù)頻繁；運(yùn)輸組織變化、列車運(yùn)行圖調(diào)整、行包快運(yùn)區(qū)段為適應(yīng)市場需求經(jīng)常變化；保障安全形勢要求，增加季節(jié)性防洪數(shù)據(jù)和列車反方向運(yùn)行數(shù)據(jù)。每個(gè)鐵路局集團(tuán)公司每次數(shù)據(jù)換裝涉及的機(jī)車臺(tái)次多，數(shù)據(jù)換裝過程中換裝人員需要攜帶LKJ車載數(shù)據(jù)或存儲(chǔ)有LKJ車載數(shù)據(jù)的轉(zhuǎn)存器(USB存儲(chǔ)介質(zhì))，在庫內(nèi)或在途上機(jī)車進(jìn)行LKJ數(shù)據(jù)換裝作業(yè)換裝，頻繁換裝導(dǎo)致人員需求大，工作強(qiáng)度和工作量急劇增大。

（2）由于LKJ車載數(shù)據(jù)換裝采用人工作業(yè)及盯控方式，每次換裝過程中涉及到電務(wù)、機(jī)務(wù)、調(diào)度、工務(wù)等多個(gè)部門間的溝通協(xié)調(diào)。應(yīng)急換裝時(shí)效性不高，快速完成數(shù)據(jù)換裝難度大，存在錯(cuò)換、漏換、提前換等各種情況，數(shù)據(jù)換裝一直是電務(wù)部門決策者的難題。

（3）現(xiàn)有人工換裝作業(yè)方式，在執(zhí)行數(shù)據(jù)換裝過程中，庫內(nèi)機(jī)車由換裝人員上機(jī)車進(jìn)行LKJ數(shù)據(jù)換裝作業(yè)，在途機(jī)車需要換裝人員攜帶芯片數(shù)據(jù)前往關(guān)鍵站、立折點(diǎn)日夜蹲守，根據(jù)機(jī)務(wù)、調(diào)度部門提供的出勤和調(diào)度信息，攔截機(jī)車進(jìn)行換裝作業(yè)。在途進(jìn)行LKJ車載數(shù)據(jù)換裝過程中，機(jī)車需要在車站停車20 min左右，對機(jī)車運(yùn)輸效率產(chǎn)生較大影響。

（4）機(jī)車、動(dòng)車組長交路運(yùn)行，跨局機(jī)車換裝成難題，需要鐵路局集團(tuán)公司電務(wù)部門通過郵件、傳真、委托換裝通知書的形式通知對方，在庫內(nèi)或關(guān)鍵站對所屬機(jī)車進(jìn)行LKJ數(shù)據(jù)換裝作業(yè)，或派遣換裝人員駐留外局對所屬機(jī)車進(jìn)行LKJ數(shù)據(jù)換裝作業(yè)。因委托數(shù)據(jù)換裝責(zé)任增加，各鐵路局集團(tuán)公司對承接外局委托換裝存在為難情緒，外派人員換裝存在人身安全隱患，同時(shí)增加數(shù)據(jù)換裝成本。

為了進(jìn)一步適應(yīng)和滿足運(yùn)輸現(xiàn)場頻繁換裝LKJ車載數(shù)據(jù)的現(xiàn)實(shí)需求，降低LKJ車載基礎(chǔ)數(shù)據(jù)換裝的復(fù)雜度及工作量、減少各部門現(xiàn)場參與人次和人工參與程度，提高換裝的自動(dòng)化水平，提升現(xiàn)場參與人員的工作效率和人身安全，提升換裝及時(shí)性、可靠性，消滅錯(cuò)換、漏換、提前換等不安全操作，在完全兼容當(dāng)前數(shù)據(jù)換裝的管理和工作流程情況下，做到進(jìn)一步清晰工作流程、提升相關(guān)部門之間的協(xié)同配合程度。LKJ基于無線進(jìn)行LKJ車載數(shù)據(jù)換裝的全新?lián)Q裝方式，通過對無線、網(wǎng)絡(luò)、安全等相關(guān)技術(shù)進(jìn)行研究，設(shè)計(jì)LKJ車載數(shù)據(jù)無線遠(yuǎn)程換裝系統(tǒng)，在確保安全、可靠的前提下，通過遠(yuǎn)程無線方式對LKJ進(jìn)行數(shù)據(jù)換裝，重點(diǎn)解決LKJ車載數(shù)據(jù)換裝工作中所面臨的各種困難，同時(shí)還能提高運(yùn)輸生產(chǎn)效率，降低運(yùn)輸生產(chǎn)成本。

2 LKJ車載數(shù)據(jù)無線遠(yuǎn)程換裝系統(tǒng)設(shè)計(jì)

2.1 系統(tǒng)總體結(jié)構(gòu)

LKJ車載數(shù)據(jù)無線遠(yuǎn)程換裝系統(tǒng)(以下簡稱“數(shù)據(jù)換裝系統(tǒng)”)由2個(gè)部分構(gòu)成：地面子系統(tǒng)和車載子系統(tǒng)。地面與車載之間通過無線局域網(wǎng)(WLAN)或遠(yuǎn)程網(wǎng)絡(luò)(3G/4G)進(jìn)行通信。數(shù)據(jù)換裝系統(tǒng)總體結(jié)構(gòu)框圖如圖1所示。

圖1 數(shù)據(jù)換裝系統(tǒng)總體結(jié)構(gòu)框圖Fig.1 Framework and structure of data reloading system

地面子系統(tǒng)由數(shù)據(jù)傳輸層、數(shù)據(jù)處理與存儲(chǔ)和終端訪問組成[4-7]。①數(shù)據(jù)傳輸層：鐵路安全傳輸平臺(tái)外部組建局域網(wǎng)，部署通信服務(wù)器、車地防火墻，與車載子系統(tǒng)(安全通信插件)建立IPsec VPN通道進(jìn)行車地?cái)?shù)據(jù)傳輸；對LKJ車載數(shù)據(jù)文件進(jìn)行國密加密；對來自于公共網(wǎng)絡(luò)部分的訪問進(jìn)行網(wǎng)絡(luò)控制，實(shí)現(xiàn)網(wǎng)絡(luò)隔離。②數(shù)據(jù)處理與存儲(chǔ)：鐵路辦公網(wǎng)地面中心機(jī)房部署數(shù)據(jù)服務(wù)器、應(yīng)用服務(wù)器、通信處理服務(wù)器、時(shí)鐘同步服務(wù)器、證書管理服務(wù)器、內(nèi)網(wǎng)防火墻、運(yùn)維審計(jì)平臺(tái)、安全監(jiān)管平臺(tái)、防病毒服務(wù)器等關(guān)鍵設(shè)備，關(guān)鍵設(shè)備功能描述如表1所示。③終端訪問：在鐵路局集團(tuán)公司、站段、車間部署PC終端、大屏幕、移動(dòng)設(shè)備，實(shí)現(xiàn)數(shù)據(jù)換裝計(jì)劃管理、CA證書授權(quán)管理、數(shù)據(jù)換裝情況查詢統(tǒng)計(jì)、數(shù)據(jù)換裝版本實(shí)時(shí)監(jiān)測預(yù)警等。

表1 關(guān)鍵設(shè)備功能描述表Tab.1 Key device function descriptions

車載子系統(tǒng)由DMI (人機(jī)交互單元)、LKJ主機(jī)、擴(kuò)展通信單元組成。①DMI：實(shí)時(shí)從LKJ主機(jī)獲取更新徑路數(shù)據(jù)信息，實(shí)現(xiàn)DMI設(shè)備徑路數(shù)據(jù)同步更新。②LKJ主機(jī)：與擴(kuò)展通信單元通信，實(shí)現(xiàn)LKJ車載數(shù)據(jù)文件在線更新、調(diào)用。擴(kuò)展通信單元：單元中的安全通信插件與地面子系統(tǒng)建立IPsecVPN通道進(jìn)行車地通信，實(shí)現(xiàn)對LKJ車載數(shù)據(jù)文件的解密、校驗(yàn)、解壓、緩存；與LKJ主機(jī)、DMI通信，實(shí)現(xiàn)LKJ車載數(shù)據(jù)文件在線更新，換裝成功后刪除緩存文件；防護(hù)車載子系統(tǒng)受攻擊風(fēng)險(xiǎn)。

2.2 系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)

為解決用戶目前庫內(nèi)人工換裝、委托換裝、外派換裝面臨的問題，系統(tǒng)采用無線局域網(wǎng)(WLAN)與遠(yuǎn)程網(wǎng)絡(luò)(3G/4G)相結(jié)合的實(shí)現(xiàn)方案，本局機(jī)車在建立有WLAN網(wǎng)絡(luò)的本局庫內(nèi)進(jìn)行換裝時(shí)優(yōu)先使用WLAN網(wǎng)絡(luò)，本局機(jī)車在關(guān)鍵站、折返點(diǎn)、外局庫內(nèi)時(shí)使用3G/4G網(wǎng)絡(luò)。LKJ車載數(shù)據(jù)無線換裝系統(tǒng)以鐵路局集團(tuán)公司為單位進(jìn)行實(shí)施部署，不同鐵路局集團(tuán)公司系統(tǒng)間可通過鐵路辦公網(wǎng)進(jìn)行信息的交互。數(shù)據(jù)換裝系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)組成如圖2所示。

（1）無線局域網(wǎng)(WLAN)：WLAN通信工作站部署在地面子系統(tǒng)數(shù)據(jù)傳輸層，當(dāng)待換裝機(jī)車進(jìn)入無線局域網(wǎng)范圍時(shí)，優(yōu)先使用無線局域網(wǎng)，通過車地防火墻經(jīng)無線局域網(wǎng)絡(luò)(WLAN)與換裝機(jī)車進(jìn)行車地通信，接入鐵路內(nèi)網(wǎng)絡(luò)與數(shù)據(jù)換裝數(shù)據(jù)服務(wù)器進(jìn)行交互，實(shí)現(xiàn)無線換裝，適用于本局機(jī)車本局庫內(nèi)換裝場景。

（2）遠(yuǎn)程網(wǎng)絡(luò)(3G/4G)：通信服務(wù)器部署在地面子系統(tǒng)數(shù)據(jù)傳輸層，當(dāng)待換裝機(jī)車遠(yuǎn)程在線時(shí)，通過車地防火墻經(jīng)遠(yuǎn)程網(wǎng)絡(luò)(3G/4G)與換裝機(jī)車進(jìn)行車地通信，基于CA證書方式，采用http/https協(xié)議穿透鐵路安全傳輸平臺(tái)接入鐵路內(nèi)網(wǎng)與數(shù)據(jù)換裝數(shù)據(jù)服務(wù)器進(jìn)行數(shù)據(jù)交互，實(shí)現(xiàn)無線換裝[8]，適用于本局機(jī)車在途、外局庫內(nèi)、關(guān)鍵站、立折點(diǎn)換裝場景。

2.3 系統(tǒng)安全性設(shè)計(jì)

數(shù)據(jù)換裝系統(tǒng)從網(wǎng)絡(luò)結(jié)構(gòu)劃分，可以分為地面子系統(tǒng)、無線傳輸層、車載子系統(tǒng)3部分。由于地面子系統(tǒng)、車載子系統(tǒng)通過無線傳輸層交互，主要的數(shù)據(jù)流是列控車載數(shù)據(jù)，直接涉及到列車行車安全，因而應(yīng)從總體上對車載系統(tǒng)、地面系統(tǒng)、通信網(wǎng)絡(luò)、關(guān)鍵數(shù)據(jù)進(jìn)行安全性設(shè)計(jì)，防止LKJ數(shù)據(jù)在換裝過程中被篡改、仿冒，地面網(wǎng)絡(luò)內(nèi)部遭入侵，主機(jī)服務(wù)器遭惡意代碼攻擊等安全風(fēng)險(xiǎn)，以滿足國家信息安全等級保護(hù)基本要求，有效防止信息安全事件發(fā)生，避免安全隱患，確保列車運(yùn)行的絕對安全可靠[9]。系統(tǒng)安全性設(shè)計(jì)方案嚴(yán)格按照國標(biāo)GB/T 22239—2008等級保護(hù)(三級)基本要求建設(shè)。根據(jù)數(shù)據(jù)換裝系統(tǒng)安全防護(hù)需求，數(shù)據(jù)換裝系統(tǒng)安全性設(shè)計(jì)具體包含強(qiáng)制身份認(rèn)證、數(shù)據(jù)加密、網(wǎng)絡(luò)控制、主機(jī)防護(hù)、運(yùn)維審計(jì)等內(nèi)容。數(shù)據(jù)換裝系統(tǒng)安全設(shè)計(jì)方案部署如圖3所示。

（1）強(qiáng)制身份認(rèn)證。機(jī)車車載安全通信插件通過公共無線網(wǎng)絡(luò)與地面子系統(tǒng)建立數(shù)據(jù)傳輸通道時(shí)，地面子系統(tǒng)采用證書服務(wù)方式對接入的對象進(jìn)行合法性身份認(rèn)證[5]，保障數(shù)據(jù)來源的合法性。

圖2 數(shù)據(jù)換裝系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)組成圖Fig.2 Network structure and composition of data reloading system

圖3 數(shù)據(jù)換裝系統(tǒng)安全設(shè)計(jì)方案部署圖Fig.3 System security design of data reloading system

（2）數(shù)據(jù)加密。機(jī)車與地面系統(tǒng)完成身份合法性驗(yàn)證后，車載安全通信插件與地面系統(tǒng)建立IPsec VPN數(shù)據(jù)傳輸通道，LKJ車載數(shù)據(jù)文件在傳輸過程中采用國密算法(SM2/SM3/SM4)進(jìn)行加密傳輸[4]，防止被篡改，保障數(shù)據(jù)的完整性。

（3）網(wǎng)絡(luò)控制。數(shù)據(jù)換裝系統(tǒng)WLAN網(wǎng)絡(luò)和3G/4G網(wǎng)絡(luò)與地面子系統(tǒng)的網(wǎng)絡(luò)邊界處部署車地防火墻，抵御來自外部網(wǎng)絡(luò)通過端口或指令對地面子系統(tǒng)中心服務(wù)器的網(wǎng)絡(luò)攻擊；在WLAN網(wǎng)絡(luò)和3G/4G網(wǎng)絡(luò)與機(jī)車內(nèi)部網(wǎng)絡(luò)的邊界處部署車載安全通信插件，抵御來自外部網(wǎng)絡(luò)通過端口或指令對車載設(shè)備的網(wǎng)絡(luò)攻擊；在地面子系統(tǒng)局域網(wǎng)與鐵路內(nèi)網(wǎng)間，系統(tǒng)基于鐵路安全傳輸平臺(tái)，采用證書服務(wù)方式，通過http/https協(xié)議實(shí)現(xiàn)內(nèi)外網(wǎng)交互，符合鐵總相關(guān)安全規(guī)范要求。

（4）主機(jī)防護(hù)。在地面子系統(tǒng)旁路部署入侵檢測系統(tǒng)、車地防火墻、內(nèi)網(wǎng)防火墻，為數(shù)據(jù)換裝系統(tǒng)最大限度提供來自外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)對主機(jī)服務(wù)器進(jìn)行網(wǎng)絡(luò)攻擊的實(shí)時(shí)防護(hù)，在網(wǎng)絡(luò)和系統(tǒng)受到危害之前攔截和阻止入侵。

（5）運(yùn)維審計(jì)。在地面子系統(tǒng)旁路部署安全審計(jì)與監(jiān)管平臺(tái)，對數(shù)據(jù)無線換裝系統(tǒng)網(wǎng)絡(luò)拓?fù)浼熬W(wǎng)絡(luò)設(shè)備的運(yùn)行狀況、網(wǎng)絡(luò)流量、溫度、用戶行為等進(jìn)行日志記錄并生產(chǎn)審計(jì)報(bào)表；在地面子系統(tǒng)旁路部署堡壘機(jī)，攔截非法訪問和惡意攻擊行為，過濾所有對目標(biāo)設(shè)備的非法訪問行為，并對內(nèi)部人員誤操作和非法操作進(jìn)行審計(jì)監(jiān)控，以便事后責(zé)任追蹤。

2.4 系統(tǒng)應(yīng)用流程設(shè)計(jì)

運(yùn)輸生產(chǎn)現(xiàn)場環(huán)境復(fù)雜多樣，系統(tǒng)為確保能夠全面適應(yīng)機(jī)車各種工作場景，在應(yīng)用流程設(shè)計(jì)部分采用多種安全技術(shù)和手段，以確保場換裝流程的安全、順暢、可靠，并且具備普適性。系統(tǒng)地面部分、車載部分和傳輸部分均采取CRC48校驗(yàn)，保證LKJ車載數(shù)據(jù)文件完整性；車地傳輸分采用斷點(diǎn)續(xù)傳、丟包重發(fā)等通信機(jī)制，保證車地傳輸階段穩(wěn)定性；地面部分和車載部分采用一車一碼匹配機(jī)制、一車一號(hào)綁定機(jī)制、版本報(bào)警處理機(jī)制，防止數(shù)據(jù)換裝過程中錯(cuò)換、漏換、提前換，保證數(shù)據(jù)換裝過程中安全可靠。LKJ車載數(shù)據(jù)換裝系統(tǒng)更新流程如下。

（1）車載通過無線網(wǎng)絡(luò)將LKJ車載數(shù)據(jù)實(shí)時(shí)版本等信息發(fā)送至地面子系統(tǒng)，地面子系統(tǒng)根據(jù)換裝計(jì)劃判斷并發(fā)起數(shù)據(jù)換裝，車載應(yīng)答后，開始進(jìn)行車地?cái)?shù)據(jù)傳輸，將LKJ車載數(shù)據(jù)文件發(fā)送至車載緩存。

（2）車載接收LKJ車載數(shù)據(jù)完畢后，結(jié)束車地?cái)?shù)據(jù)交互，開始對數(shù)據(jù)進(jìn)行解壓、解密、校驗(yàn)、緩存。

（3）車載數(shù)據(jù)緩存成功后，LKJ主機(jī)定期將是否滿足換裝條件通知車載安全通信插件，車載安全通信插件發(fā)送更新準(zhǔn)備就緒至車載顯示器和地面子系統(tǒng)，提示允許啟動(dòng)在線更新。

（4）車載啟動(dòng)在線更新時(shí)，更新指令通過車載顯示器發(fā)送給車載安全通信插件，車載安全通信插件通知LKJ主機(jī)、DMI，并啟動(dòng)數(shù)據(jù)換裝在線更新過程。

（5）地面啟動(dòng)在線更新時(shí)，更新指令通過車地傳輸發(fā)送給車載安全通信插件，車載安全通信插件通知LKJ主機(jī)、DMI，并啟動(dòng)數(shù)據(jù)換裝在線更新過程。

（6）LKJ主機(jī)接收到換裝命令后，進(jìn)入LKJ主機(jī)換裝階段，并將換裝過程中的進(jìn)度等相關(guān)信息傳送給車載安全通信插件，由車載安全通信插件發(fā)送至車載顯示器進(jìn)行顯示。

（7）數(shù)據(jù)換裝在線更新完成后，進(jìn)入正常應(yīng)用軟件工作狀態(tài)，車載安全通信插件接收換裝后的車載數(shù)據(jù)版本，并將緩存的LKJ車載數(shù)據(jù)文件刪除，發(fā)送心跳包給地面子系統(tǒng)，地面子系統(tǒng)根據(jù)車載發(fā)送最新的數(shù)據(jù)版本信息，對換裝計(jì)劃機(jī)車進(jìn)行銷號(hào)閉環(huán)，結(jié)束本次換裝。

3 結(jié)束語

LKJ車載數(shù)據(jù)無線換裝系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)，結(jié)合現(xiàn)有LKJ車載數(shù)據(jù)換裝管理現(xiàn)狀及特點(diǎn)，通過采用無線的方式，實(shí)現(xiàn)鐵路電務(wù)部門與機(jī)務(wù)、工務(wù)、調(diào)度等鐵路部門在LKJ車載數(shù)據(jù)換裝過程中的協(xié)同工作、步調(diào)一致、過程可控，同時(shí)減少人工參與LKJ車載數(shù)據(jù)換裝，提高數(shù)據(jù)換裝工作效率，降低工作強(qiáng)度，真正讓LKJ車載數(shù)據(jù)換裝過程由“人控”轉(zhuǎn)變?yōu)椤皺C(jī)控”[10]。數(shù)據(jù)換裝系統(tǒng)于2016年4月在中國鐵路蘭州局集團(tuán)有限公司HXD2-1266等多個(gè)機(jī)車上完成現(xiàn)場運(yùn)行試驗(yàn)，并且已在多個(gè)鐵路局集團(tuán)公司進(jìn)行試用，系統(tǒng)能夠滿足現(xiàn)場的運(yùn)用需要，提升了LKJ數(shù)據(jù)換裝的自動(dòng)化、智能化水平。