CN111510494B - 车载网络安全系统及实现方法 - Google Patents

Abstract

本发明提供一种车载网络安全架构及实现方法。该架构包括：车载安全单元、第一列车通信局域网和第二列车通信局域网，所述车载安全单元包括：安全控制模块：与第一列车通信局域网通信，获取第一列车通信局域网传输的列车数据，并传递至地面；与第二列车通信局域网通信，用于获取第二列车通信局域网传输的列车数据，并可向第二列车通信局域网上传数据；所述安全控制模块对所述数据均进行安全识别；设备维护模块，与安全控制模块通信，用于获取第二列车通信局域网传输的列车数据，传递至设备维护端，获取维护端数据并传递至安全控制模块。采用该架构，经安全单元验证通过的数据可在网络间传输。该架构和方法可以实现高安全性的车载网络数据传输控制。

Description

车载网络安全系统及实现方法

技术领域

本发明涉及列车网络技术领域，具体涉及一种车载网络安全系统及实现方法。

背景技术

列车网络主要包含列车控制网络、列车维护网络、列车信号网络等。当前列车网络控制系统主要采用WTB/MVB通信网络进行列车控制数据的传输，由于带宽限制无法及时传输列车信息服务数据以及列车状态、诊断、维护等信息，无法满足列车控制与信息服务一体化的业务需求，影响列车的可维护性和可用性。

列车网络控制系统是轨道交通车辆的核心系统之一，被称为列车的“神经系统”，其主要功能是实现整车的控制、状态监视、故障诊断等。列车网络控制系统主要包括列车级交换机、车辆级交换机、中央控制单元、远程输入输出单元、人机显示单元等。列车控制数据的网络传输必须具备很高的确定性、实时性、可靠性与安全性。

列车控制网络系统中所有设备均接入列车维护网络。列车维护网络主要功能是提供整列车设备的软件、配置升级、日志等维护数据下载、通信变量实时监测等功能，支持本地维护和跨节点维护。列车维护网络与列车控制网络隔离，确保设备维护时不影响列车控制网络功能。

列车信号网络系统直接控制列车的速度和移动授权，属于安全控制系统，任何干扰或非法侵入都将影响系统的安全性、可靠性和可用性，直接影响整个列车的安全运营。列车信号网络系统对数据传输的安全性、可靠性和实时性要求级别很高。

由于应用需求，列车网络并非一个完全封闭式网络，列车网络与外界网络的通信主要有以下两个场景：(1)列车网络需通过4G、LTE等商用网络将某些列车运行及故障信息持续发送至地面服务平台；(2)外界终端需连接列车网络进行设备升级、维护。上述两种通信场景引入传输信息安全及设备访问控制等安全问题。

发明内容

本发明的目的在于提供一种安全系数高的车载网络安全系统及实现方法。

为了实现上述目的，本发明一些实施例中，提供如下技术方案：

一种车载网络安全系统，包括：车载安全单元、第一列车通信局域网和第二列车通信局域网，所述车载安全单元包括：

安全控制模块：与第一列车通信局域网通信，获取第一列车通信局域网传输的列车数据，并传递至地面；与第二列车通信局域网通信，用于获取第二列车通信局域网传输的列车数据，并可向第二列车通信局域网上传数据；所述安全控制模块对所述数据均进行安全识别；

设备维护模块，与安全控制模块通信，用于获取第二列车通信局域网传输的列车数据，传递至设备维护端，获取维护端数据并传递至安全控制模块。

在本发明一些实施例中，所述系统进一步包括异常流量监测单元，部署于第一列车通信局域网中，用于监测第一列车通信局域网中数据流量，在流量异常时记录并报警。

在本发明一些实施例中，所述系统进一步包括数据采集模块：与第一列车通信局域网络通信，用于获取列车运行相关数据；所述安全控制模块经数据采集模块获取第一列车通信局域网数据；所述系统进一步包括数据发送模块：与安全控制模块通信，获取第一列车通信局域网的数据并发送至地面端。

在本发明一些实施例中，数据采集模块与第一列车通信局域网络的通信端口及网络、数据采集模块与安全控制模块相连的端口及网络、安全控制模块与数据发送模块相连的端口及网络、数据发送模块与地面服务器相连的端口及网络，构造为第三局域网，传输列车向地面服务器发送的第一列车通信局域网的数据。

在本发明一些实施例中，包括安全控制模块与第二列车通信局域网通信的端口及网络、设备维护模块与维护端相连的端口及网络、设备维护模块与安全控制模块相连的端口及网络、安全控制模块与设备维护模块相连的端口，构造为第四局域网络，传输列车维护等数据。

在本发明一些实施例中，所述第一列车通信局域网为列车控制网，用于传输列车运营控制数据，所述第二列车通信局域网为列车维护网，用于传输列车维护数据。

在本发明一些实施例中，进一步提供一种车载网络安全系统的实现方法，基于以上所述的车载网络安全系统，安全控制模块对经过其的数据进行安全认证，所述安全认证的方法包括但不限于：

访问认证：基于802.1x与MAC地址认证，对接入网络的设备进行认证，符合访问权限的设备，可接入车载网络；

加密管理：对车载网络与地面服务器以及维护端之间传输的数据进行加密处理；

流量管理：安全控制模块对于流入列车网络的端口设置流量阈值，当达到该值时，禁止更多数据流入列车网络。

路由管理：对各局域网之间的通信设定路由规则，实现数据分流。

在本发明一些实施例中，所述实现方法进一步包括：维护端设备需经过设备维护模块进行安全认证，认证通过后经过安全控制模块从第二列车局域网下载或上传数据。

在本发明一些实施例中，所述方法进一步包括：异常流量监测单元在以下情况之一发生时，发出报警：

当异常流量监测单元接收报文周期不等于预设时间；

当异常流量监测单元监测出数据源IP地址、目的IP地址、数据源端口、目的端口以及协议类型异常。

较现有技术相比，本发明技术方案的有益效果在于：

本发明为解决列车网络面临的安全问题，提出了一种车载网络信息安全系统，将列车网络分类为第一列车通信局域网和第二列车通信局域网，分别执行不同的数据传输和维护功能。采用车载安全单元将列车网络与外界网络物理隔离，完成了列车数据到地面服务平台的安全传输，并在不影响列车控制网络及列车信号网络功能的前提下，实现列车设备的维护。较现有技术中，每节车厢均设置维护点，该系统系统减少了维护端的数量。通过采用异常流量监测单元根据列车网络预定义数据流实时监测列车网络通信，对列车网络中异常流量进行记录并及时报警，确保列车的信息安全及运行安全。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明车载安全网络系统及数据流向示意图；

图2为列车网络与外界网络经车载安全单元进行数据传输结构示意图；

图3为设备维护模块结构示意图；

图4为数据发送模块结构示意图；

图5为安全控制模块结构示意图；

图6为车载安全单元数据安全认证流程图；

图7为基于802.1x和MAC地址的认证场景示意图；

图8为本发明一种实施方式中，列车网络系统图。

1-第三局域网，2-第四局域网，3-地面服务器，4-维护PC机。

具体实施方式

为了使本发明所要解决的技术问题、技术方案及有益效果更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

需要说明的是，术语“第一”、“第二”仅用于描述目的，而不暗指相对重要性。“连接”、“通信”等，即可以指部件之间的直接连接，直接通信，也可以指部件间的间接连接，间接通信。

本发明一些实施例中，首先提供一种车载网络安全系统，该网络安全系统基于现有车载网元配置而实现，改进了现有网元的连接结构，配置安全单元，构造一种多重局域网系统，进而提高车载网络安全系统的合理性及通信的安全性。

一种车载网络安全系统，包括车载安全单元、异常流量监测单元、第一列车通信局域网、第二列车通信局域网，车载网络安全系统中第一列车通信局域网中涉及列车控制等通信，影响列车运营功能；低优先级列车网络中通信不影响列车运营，提供车载设备维护、列车状态监视等功能。对于配置有车载安全单元的车载网络，车载安全单元结构及数据流向参考图1。列车网络与外界网络通信的上下行数据参考图2。

第一列车通信局域网和第二列车通信局域网用于执行不同的车辆数据传输功能，在一些实施例中，第一列车通信局域网为列车控制网络，用于传输列车控制数据数据，包括运行数据、故障数据等，第二列车通信局域网为列车服务网络，用于传输列车维护数据。本实施例中，将以列车控制网络、列车维护网络为例来说明网络安全系统的组成和实现方式。

第一列车通信局域网(列车控制网络)和第二列车通信局域网(列车服务网络)的构造形式如下。具体参考图8。

具体参考图1，车载网络安全系统，包括：

列车级交换单元：被配置在头车和尾车，其中头车中具有两个列车级交换单元，分别为头车第一列车级交换单元和头车第二列车级交换单元；尾车中也具有两个列车级交换单元，分别为尾车第一列车级交换单元和尾车第二列车级交换单元；以8辆编组动车组为例，每4节车厢为一个列车级节点，在1车和8车分别部署2个列车级交换单元，互为冗余；头车第一列车级交换单元和头车第二列车级交换单元可互通信，尾车第一列车级交换单元和尾车第二列车级交换单元可互通信，头车的列车级交换单元可与尾车的列车级交换单元通信，本实施例中，头车第二列车级交换单元与尾车第二列车级交换单元互联，以实现头车和尾车之间的数据交换；

车辆级交换单元：被配置在每节车厢内，且，每节车厢内均设置有第一车辆级交换单元和第二车辆级交换单元；

车载设备：具有双通信端口；

列车第一通信局域网：第一列车级节点每节车厢内的第一车辆级交换单元顺次连接，第二列车级节点每节车厢内的第一车辆级交换单元顺次连接；每节车辆内的车载设备均与该车辆内的第一车辆级交换单元连接，头车内的第一车辆级交换单元与头车内的第一列车级交换单元连接，尾车内的第一车辆级交换单元与尾车内的第一列车级交换单元连接；车载设备、每节车辆内的第一车辆级交换单元和头车及尾车内的第一列车级交换单元构成一级通信网络，定义为第一局域网，VLAN1；本实施例中，第一局域网特指列车控制网络，用于对车载设备下达控制指令等；

列车第二通信局域网：第一列车级节点每节车厢内的第二车辆级交换单元顺次连接，第二列车级节点每节车厢内的第二车辆级交换单元顺次连接；每节车辆内的车载设备均与该车辆内的第二车辆级交换单元连接，头车内的第二车辆级交换单元与头车内的第二列车级交换单元连接，尾车内的第二列车级交换单元与尾车内的第二列车级交换单元连接；车载设备、每节车辆内的第二车辆级交换单元和头车及尾车内的第二列车级交换单元构成二级通信网络，定义为第二局域网，VLAN2；本实施例中，第二局域网特指列车维护网络，用于车载设备的维护和调试，例如：程序更新、日志下载、配置更新等，通过维护PC机4经列车维护网络对车载设备进行数据的上传和下载。

对于8编组车辆，每节车辆内均设置有2个车辆级交换单元，1车和8车的车辆级交换单元连接至同车厢的列车级交换单元，其他车厢的车辆级交换单元，顺次线性连接。每节中间车辆内进一步设置有以太网中继器，每节车厢内的以太网中继器顺次连接，头车和尾车内的列车级交换单元通过以太网中继器线性连接。

以上仅为一种车载局域网的设置形式，不作为对本发明以下网络安全系统的限制。

车载安全单元用于以上车辆局域网与地面服务器3和维护PC机4的通信，通过进行安全认证的方式，提高数据传输的安全性。在本发明一些实施例中，车载安全单元，车载安全单元用于车辆数据和外界网络之间的数据传输，作为车载网络和外界网络之间的物理隔离。车载安全单元具体包括：

数据采集模块：与第一列车通信局域网通信，用于获取第一列车通信局域网的数据；具体的，数据采集模块连接至第一列车通信局域网，主要负责收集第一列车通信局域网中需要发送至地面服务平台的列车运行数据及故障数据。

安全控制模块：与数据采集模块通信，对第一列车通信局域网中列车运营相关数据进行安全识别；与第二列车通信局域网通信，用于获取车载设备维护数据，包括运行状态及运行记录等，并向第二列车通信局域网上传数据，对下载及上传的数据进行安全识别；安全控制模块是车载无线传输安全单元的核心模块，所有列车网络与外界网络通信均需经过安全控制模块，确保访问控制安全、通信安全及数据传输安全，从而加强对列车网络的安全防护。

设备维护模块：其功能结构参考图3，与安全控制模块通信，用于获取第二列车通信局域网数据并传递至地面维护端，具体为维护PC机4，同时，获取维护端数据并传递至安全控制模块；为降低列车网络遭受攻击概率，严格控制接入列车网络的访问，确保列车运行安全，整列列车仅在车载安全单元处设置设备维护点，外接维护PC机4，通过该维护点可实现本地节点及跨节点的设备软件、配置的升级，设备日志下载、设备状态监视，通过下载日志可查看设备运行过程中历史事件记录，通过设备状态监视可在线实时观测通信变量，进行问题诊断、故障排查等。

数据发送模块：其功能结构参考图4，与安全控制模块通信，用于将高安全等级列车数据发送至地面端设备。数据发送模块主要负责将数据采集模块收集的列车数据通过4G、WLAN、LTE等发送至地面服务器。根据列车实际配置情况，信号系统数据通过LTE模块发送，列车运行数据根据数据类型及使用分类，分别由4G模块、WLAN模块发送，可根据列车数据发送需求增加或减少不同类型的数据发送模块。

对于第一列车通信局域网的数据：数据采集模块将列车运行相关数据经由安全控制模块、数据发送模块发送至地面服务器，以便地面服务器实时观测列车状态及后续列车大数据存储，数据挖掘分析利用。数据采集模块是车载网络信息安全系统中唯一连接至第一列车通信局域网的模块，该模块与数据发送模块独立，两者通过安全控制模块进行通信，从而实现列车网络和外界网络的物理隔离，确保列车网络的安全性。其数据流向参考图1，路径为：列车控制网络->数据采集模块->安全控制模块->数据发送模块->地面服务器3。

对于第二列车通信局域网的数据：车载安全单元作为全列车辆的唯一设备维护点，配置足够的维护端口，以进行本地节点及跨节点设备的维护。其数据流向参考图1，维护PC机4向列车维护网络上传数据路径为：维护PC机4->设备维护模块->安全控制模块->列车维护网络；列车维护网络由维护PC机4下载数据路径为：列车维护网络->安全控制模块->设备维护模块->维护PC机4。

在本发明一些实施例中：数据采集模块与第一列车通信局域网通信端口及网络、数据采集模块与安全控制模块相连的端口及网络、安全控制模块与数据发送模块相连的端口及网络、数据发送模块与地面服务器相连的端口及网络，构造为第三局域网1，传输列车向地面服务器发送的列车运行相关信息。

在本发明一些实施例中：安全处理模块与第二列车通信局域网通信端口及网络、设备维护模块与维护端相连的端口及网络、设备维护模块与安全处理模块相连的端口及网络、安全控制模块与设备维护模块相连的端口，构造为第四局域网2，传输列车维护等数据。

为实现上述功能，车载安全单元可基于防火墙设备及无线通信设备而实现，通过访问控制、数据加解密等安全技术确保列车网络与外界网络的通信安全，并提供列车网络与外界网络的流量统计、车载设备的变量监视、维护升级等功能。

现有技术中，车载设备通常是通过在每节车厢内的交换机进行维护。这种维护方式，每节车厢都配置一个维护点，维护点较多，管理困难。本发明改进了车辆的维护方式，仅在车载安全单元处设置设备维护点，简化了维护系统的结构。

在本发明一些实施例中，安全控制模块功能结构参考图5，安全认证的流程参考图6，安全控制模块的安全认证方法包括但不限于：

(1)访问认证：车载设备种类繁多，且属于不同供应商各自维护，需对接入网络进行设备维护的终端进行访问控制，基于802.1x与MAC地址认证，对接入网络的设备进行认证，符合访问权限的设备，可接入车载网络，具体参考图7。

图7中维护终端A和B通过Hub接入车载网络信息安全系统，若使用通用802.1x协议进行访问控制，终端A认证成功后，终端B即可访问列车网络，存在安全隐患。为此，设计基于802.1x和MAC地址结合的动态认证方式，在终端A认证成功后，安全控制模块记录终端A的MAC地址，在该端口上只允许携带终端A的MAC地址报文通过，终端B在通过认证前，无法访问列车网络。

与传统的访问控制采用基于IP和MAC地址的认证方式相比，使用该种方式，新增的维护终端的接入和维护更方便。

(2)加密管理：对车载网络与地面服务器以及维护端之间传输的数据进行加密处理。

列车网络与外界网络通信中上行和下行数据如图2所示。列车网络发送至地面服务平台数据需经过4G、LTE等商用网络，数据报文以明文方式传输时，攻击者可以窃听通信过程获得车上的数据信息，引发列车网络系统的安全问题。安全管理模块在数据发送至商用网络前对其进行加密处理，即使攻击者截获通信数据，由于其不知加密算法及密钥，无法对截获的密文进行解密，有效地解决了攻击者窃听问题，确保信息安全。地面服务平台收到数据后先解密，再应用。

下载及上传的维护数据可根据实际需求，由车载网络信息安全系统进行加解密处理，确保列车网络安全。

(3)流量管理：安全控制模块对于流入列车网络的端口设置流量阈值，当达到该值时，禁止更多数据流入列车网络。

流量统计控制模块可实时观测经由安全控制模块进出列车网络的数据流量，对于流入列车网络的端口设置流量阈值，当达到该值时，禁止更多数据流入列车网络，影响列车功能。

(4)路由管理：对可以进行通信的各局域网络之间，设定路由规则，实现数据分流。具体的，根据列车通信需求，路由模块将列车信号网络及列车控制网络数据加密后，根据目标网络将报文路由至不同数据发送模块，数据发送模块再将数据发送至相应的地面服务平台，实现不同系统、不同用途的数据分流。

在本发明一些实施例中，异常流量监测单元实时监测列车网络通信，按照列车网络预定义数据流监测列车运行过程中是否存在异常流量，针对预定义的报文监测项点包括：

(1)周期性报文发送间隔异常：包含异常流量监测设备接收到的报文周期小于通信协议规定周期；异常流量监测设备接收到的报文周期大于通信协议规定周期、但未超过预设超时时间；异常流量监测设备在超时时间内未接收到报文。

(2)通信五元组异常：在列车预定义数据流中，规定了各类设备间通信的五元组，数据源IP地址、目的IP地址、数据端口、目的端口以及协议类型异常。

异常流量监测单元若发现以上异常流量，进行记录并及时报警。

本发明改进了车载网络结构以及维护点的设置，该系统工作模式在满足列车通信需求的前提下，解决了列车网络与地面服务平台间的信息传输安全、列车网络与外界网络间流量控制等一系列安全问题，降低了列车网络遭受攻击的风险，提高了列车网络的稳定性，从而确保列车的安全运营。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种车载网络安全系统，其特征在于，包括：车载安全单元、第一列车通信局域网和第二列车通信局域网，所述第一列车通信局域网为列车控制网，用于传输列车运营控制数据，所述第二列车通信局域网为列车维护网，用于传输列车维护数据；所述车载安全单元包括：

安全控制模块：与第一列车通信局域网通信，获取第一列车通信局域网传输的列车数据，并传递至地面；与第二列车通信局域网通信，用于获取第二列车通信局域网传输的列车数据，并可向第二列车通信局域网上传数据；所述安全控制模块对所述数据均进行安全识别；

设备维护模块，与安全控制模块通信，用于获取第二列车通信局域网传输的列车数据，传递至设备维护端，获取维护端数据并传递至安全控制模块；

所述系统还包括安全控制模块与第二列车通信局域网通信的端口及网络、设备维护模块与维护端相连的端口及网络、设备维护模块与安全控制模块相连的端口及网络、安全控制模块与设备维护模块相连的端口，构造为第四局域网络，传输列车维护数据。

2.如权利要求1所述的车载网络安全系统，其特征在于，所述系统进一步包括异常流量监测单元，部署于第一列车通信局域网中，用于监测第一列车通信局域网中数据流量，在流量异常时记录并报警。

3.如权利要求1所述的车载网络安全系统，其特征在于，所述系统进一步包括数据采集模块：与第一列车通信局域网络通信，用于获取列车运行相关数据；所述安全控制模块经数据采集模块获取第一列车通信局域网数据；所述系统进一步包括数据发送模块：与安全控制模块通信，获取第一列车通信局域网的数据并发送至地面端。

4.如权利要求3所述的车载网络安全系统，其特征在于，数据采集模块与第一列车通信局域网络的通信端口及网络、数据采集模块与安全控制模块相连的端口及网络、安全控制模块与数据发送模块相连的端口及网络、数据发送模块与地面服务器相连的端口及网络，构造为第三局域网，传输列车向地面服务器发送的第一列车通信局域网的数据。

5.车载网络安全系统的实现方法，基于权利要求1-4中任意一项所述的车载网络安全系统，其特征在于，安全控制模块对经过其的数据进行安全认证，所述安全认证的方法包括：

访问认证：基于802.1x与MAC地址认证，对接入网络的设备进行认证，符合访问权限的设备，可接入车载网络；

加密管理：对车载网络与地面服务器以及维护端之间传输的数据进行加密处理；

流量管理：安全控制模块对于流入列车网络的端口设置流量阈值，当达到该值时，禁止更多数据流入列车网络；

路由管理：对各局域网之间的通信设定路由规则，实现数据分流。

6.如权利要求5所述的车载网络安全系统的实现方法，其特征在于，所述实现方法进一步包括：

维护端设备需经过设备维护模块进行安全认证，认证通过后经过安全控制模块从第二列车局域网下载或上传数据。

7.如权利要求5所述的车载网络安全系统的实现方法，其特征在于，异常流量监测单元在以下情况之一发生时，发出报警：

当异常流量监测单元接收报文周期不等于预设时间；

当异常流量监测单元监测出数据源IP地址、目的IP地址、数据源端口、目的端口以及协议类型异常。

Images