AFC軟件升級流程風險分析與應對

張唯歡

摘 要：隨著城市化的進程逐步加快，軌道交通的自動化程度越來越高，以計算機控制為核心的軌道交通的運營正朝著開放化、軟件化、網絡化、智能化等方向發展。自動售檢票系統（AFC）是基于計算機、通信、網絡和自動控制等技術，實現軌道交通售票、檢票、計費、收費、統計、清分和管理等全過程的系統。由于地鐵線路的特殊性，如何取代人工手動方式，進行高效且低成本的軟件升級維護并能夠對AFC 系統中眾多的軟件版本信息進行管理已經成為新的挑戰。

關鍵詞：AFC軟件升級流程風險分析與應對

前言：對自動售檢票系統進行軟件升級是不斷滿足運營建設的必然要求，直接關系到運營的生產經營。然而，就目前售檢票系統運作來看，系統下載升級帶來諸多風險問題，在現有的規章流程下也存在一定的潛在風險。這就對票務收集造成一定的安全隱患，威脅票務系統的安全。

一、AFC 系統結構

AFC 的結構可劃分為車票、車站終端設備、車站計算機系統、線路中央計

算機系統、清分系統五個層次。層次結構是按照全封閉的運行方式，以計程收費模式為基礎，采用非接觸式IC 卡為車票介質的組成原則，根據各層次設備和子系統各自的功能、管理職能和所處的位置進行劃分的。目前確定的五層結構，是根據我國國情和城市發展現狀，綜合考慮了軌道交通建設的特點（如線路多而復雜、建設周期長、多個業主單位等情況）而設置的，具有一定的可伸縮性。對各層次必須實現的功能和要求做出如下規定。第一層：車票。車票是乘客所持的車費支付媒介，規定了儲值卡和單程票二種類型的物理特性、電氣特性、應用文件組織以及安全機制等技術要求。第二層：車站終端設備。車站終端設備安裝在各車站的站廳，直接為乘客提供售檢票服務的設備，規定了車站終端設備及其運營管理的技術要求，如自動售票機（TVM），自動檢票機又稱出入站閘機（AGM）。第三層：車站計算機系統，即為車站管理中心（SC）。其主要功能是對第二層車站終端設備進行狀態監控、以及收集本站產生的交易和審計數據，規定了系統的數據管理、運營管理及系統維護管理的技術要求。第四層：線路中央計算機系統。其主要功能是收集本線路AFC 系統產生的交易和審計數據，并將此數據傳送給城市軌道交通清分系統，以及與其進行對帳，規定了對該線路的車票票務管理、運營管理及系統維護的技術要求。第五層：清分系統。其主要功能是統一城市軌道交通AFC 系統內部的各種運行參數、收集城市軌道交通AFC 系統產生的交易和審計數據并進行數據清分和對帳、同時負責連接城市軌道交通AFC 系統和城市一卡通清分系統，規定了對車票管理、票務管理、運營管理和系統維護管理的技術要求。

二、AFC軟件升級流程風險分析

2.1 計算機網絡安全及病毒防護的風險。2.1.1 計算機病毒的特點和傳播方式。計算機病毒具有以下幾個特點：傳染性、潛伏性、隱蔽性、破壞性。計算機病毒傳播渠道通常有以下幾種：通過可移動存儲設備傳播、通過網絡傳播、通過計算機專用ASCI芯片和硬盤等不可移動設備傳播，或者點對點通過通信系統和無線通道傳播。2.1.2 升級下載過程中病毒風險分析。就目前軟件或參數的升級下載都是從供貨商提供的測試軟件拷貝到實驗室測試，再由實驗室拷貝到下發參數的設備，基本都是通過專用存儲工具或者郵件傳輸，整個傳輸過程都有可能受到病毒的感染。AFC系統一旦發生病毒感染，對設備和數據都具有強大的破壞能力。

2.2數據傳輸過程風險。2.2.1 TVM權限參數下載過程中丟失的案例。某日凌晨，LCC向車站SC發出接收0700新版本參數的命令，但因通信中斷而被送入LCC緩存中;通信程序恢復連接后，LCC將緩存中的命令下發給SC，SC將新版0700參數從下載目錄拷貝至SLE設備下載的FTP目錄時，拷貝的文件大小變小了，只拷貝了原來文件的2/3的內容，通過查看異常0700參數的內容發現缺少CRC編碼和相應的權限設置。TVM收到SC更新參數的消息后，將內容不全的0700參數下載到了本地，同時刪除了本地原來的舊版本參數，造成本次全站TVM操作權限丟失。2.2.2 數據傳輸過程風險風險分析。此類參數下載更新過程中由于存在傳輸過程中受到一定原因的干擾組成數據傳輸不全導致的全站故障，其原因包括數據校驗失敗、數據丟包、數據損壞等，在另一方面也說明傳輸設備和校驗機制也存在一定的安全隱患風險。

2.3 設備發生異常的風險。2.3.1 故障閘機升級失敗的案例。某日，在完成了對閘機主程序及讀卡器版本的升級工作后，車站反映閘機暫停服務，SC工作站監控界面顯示無通信。用鍵盤進入閘機軟件查看時發現錯誤提示框。2.3.2 設備發生異常的升級風險分析。經技術人員檢查分析，閘機升級后出現網絡中斷并彈錯誤提示框故障是由于軟件升級后出現交易文件損壞導致閘機軟件運行環境出現錯誤，這種故障的發生可以通過重做閘機軟件來完成修復工作。在升級站級軟件時必須嚴格按照正規流程進行參數的下載和設備的重啟工作，避免設備發生異常時進行升級，造成一定的升級失敗風險。

三、降低風險的可行性分析

3.1 加強軟件下載過程管理。3.1.1 軟件供應商管理。對軟件供應商的管理就是為了提高產品的質量，從源頭把關消除軟件缺陷帶來的一系列風險。對供貨商的有效管理，必須建立和完善有效的準入流程，按標準嚴格執行。要求供貨商提供完善有效的升級保障措施、升級風險控制及如何承擔升級后造成的損失。對供貨商啟動定期評審機制，評估其技術水平是否達到要求。3.1.2 軟件測試管理。對所要升級的軟件或者參數是否符合現場使用的要求，就必須經過一套嚴格的測試過程，對測試數據進行收集、整理、分析，整個過程嚴謹而復雜。對軟件測試進行有效地管理，就必須組建立一只技術過硬的測試團隊，良好的測試環境以及測試流程制度，軟件版本管理制度等。3.1.3 專業下載人員管理。任何系統的運作都離不開人員的操作，因此在相對穩定、安全的設備基礎上，提高操作人員的專業技能，規范操作人員的操作，將更進一步確保軟件下載的安全穩定，有效減少因人員問題造成的風險。3.1.4 軟件下載升級工具管理。軟件下載工具是指在整個升級過程中傳輸軟件的承載工具，目前包括：發送設備、接收設備、存儲介質和升級失敗后的輔助工具。

3.2 建立完善的自動升級回滾系統。AFC系統升級是指對AFC系統運行的各類軟件進行漏洞修補、增加刪除軟件功能、更新設備運行參數;自動體現在升級過程中不需要人工干預，選擇升級模式和升級包后確定升級對象，自動升級系統能夠自動完成升級任務;由于升級操作是AFC系統中很重要的操作，不僅需要對軟件的版本進行管理，而且需要對升級過程、升級結果進行跟蹤記錄，同時對升級后發生異常的，可以進行版本回滾，降至上一版本使用，最大限度地保障運營設備的安全使用。

結束語：

通過對AFC系統的部分專業知識介紹以及案例分析，闡述了AFC系統軟件下載過程中受到的潛在風險影響，并根據分析對降低該風險點采取措施，提高AFC軟件升級工作的安全性，降低AFC系統軟件升級造成的影響，為安全運營打下堅實基礎。目前AFC系統的升級現狀和本人知識水平限制，部分分析結論還有待完善之處，將在今后的工作中做進一步地改進。

參考文獻：

[1]孫立中.軌道交通AFC 系統軟件自動升級系統的設計與實現[D].哈爾濱工業大學，2018.

[2]蔡靜瑤.地鐵AFC 系統中的票務收益安全淺析[J].科技風，2019（8）：249-249.