鐵路信號安全數據網網絡管理系統優化方案研究

李 想，趙京京

（北京全路通信信號研究設計院集團有限公司，北京 100070）

1 概述

信號安全數據網是保障鐵路信號系統穩定、安全、高效運行的專用通信網絡，承載著計算機聯鎖設備、列控中心、中繼站與無線閉塞中心和臨時限速服務器等中心設備間的信息傳輸安全。鐵路信號安全數據網網管系統負責監管鐵路局管內所有線路的信號安全數據網設備、網管服務器、企業信息服務器（Enterprise Messaging Server，EMS）和網絡管理系統（Network Management System，NMS）之間的網絡設備的運行狀態。鐵路信號安全網網絡管理系統具有重要作用，一旦發生故障則損失重大，因此對其進行方案優化具有重要意義。

2 當前管理系統及其存在問題

網絡管理系統是一種通過結合軟件和硬件用來對網絡狀態進行調整的系統，以保障網絡系統能夠正常、高效運行，使網絡系統中的資源得到更好地利用。網絡管理系統具有故障管理、配置管理、性能管理和安全管理等主要功能。從技術角度來說，網絡管理可分為帶內管理和帶外管理兩種管理模式，帶內管理是管理信息與數據信息在同一物理通路上傳輸。帶外管理是通過不同的物理通路分別傳送管理信息和數據信息。當前鐵路信號安全數據網網絡管理系統主要通過帶內管理實現。

2.1 帶內管理系統方案

安全數據網二級網管架構由現場級和路局級網管構成，現場級網管直接通過南向接口與現場網絡設備交互，獲取現場設備狀態信息、性能信息、故障信息和配置信息。路局級網管不直接與現場設備通信，而是通過現場級網管提供的北向接口間接獲取各條線路的設備狀態信息和故障信息，通過整合分析后，繪制區域和全網的拓撲圖，提供資產統計信息、故障統計、性能統計以及報表和趨勢信息。按照目前的組織方式，兩級網管系統信息傳輸架構如圖1 所示。

圖1 兩級網管架構示意Fig.1 Schematic of two-level network management architecture

現場級網管和路局級網管的通信基于Corba 技術，該技術包含北向接口和南向接口對接的標準接口通道。北向接口是現場級網管向路局級網管、部級網管發送網管信息的接口，南向接口是路局級網管、部級網管向現場級網管讀取網管信息接口，這兩個接口都是業界通用的接口管理規范。

2.2 帶內管理系統方案存在的主要問題

信號安全數據網作為信號系統重要的基礎通道，對于保證列車正常運營至關重要，必須裝備完善的網絡管理系統，確保在異常情況下仍能夠實施網絡監控。當前以帶內管理系統方法為主的鐵路信號安全數據網絡管理系統主要存在以下幾個方面的問題。

1）帶內管理是管理信息與數據信息在同一物理通路上傳輸，一旦網絡或設備出現故障，帶內管理將無法管理設備，必須由管理員到達現場才能確定網絡狀況，浪費大量人力和財力，效率極其低下。

2）帶內管理由于安全原因，無法在任意時間和任意地點對網絡進行遠程管理和維護，而帶外管理可以不考慮時間和地理位置限制，對分布式網絡系統進行集中管理和維護。網絡管理員可以更有效地對網絡管理系統進行管理和維護，這既降低了用戶網絡運營成本，又提高了網絡運營效率和服務質量。

3 網管系統優化

3.1 對帶內網管優化

3.1.1 網絡結構優化

原技術規范中EMS 終端與EMS 服務器采用直連的方式，由于用戶經常接觸EMS 終端，EMS 終端暴露在相對不安全的使用環境中，有一定安全風險。優化方案中調整了防火墻位置和EMS 終端的位置，一方面EMS 終端和EMS 服務器之間有了防火墻的邊界防護，相對更安全；另一方面，NMS、EMS 服務器、EMS 終端位于相互連通的網絡中，當NMS 服務器部署殺毒軟件的服務器端，EMS 服務器和終端都能通過網絡自動更新病毒庫，并且能夠完成主機時間同步，網絡結構更合理、更優化。

3.1.2 NMS和CTC時間同步

經過調研，在調度集中系統（Centralized Traffic Control，CTC）中心時間服務器通過串行接口從原子鐘接口獲取時間，并且通過網絡接口對外提供時間信息。NMS 和CTC 時間同步如果直接使用網絡連接，明顯違背信號安全數據網封閉性原則。CTC 時間服務器對外發布時間信息采用NTP協議，可以在該鏈路上串入以太網TAP，監聽CTC時間服務器與CTC 之間交互的時間信息進行解析。TAP 為監聽設備，只能接收數據，不發送數據，并且斷電之后具有旁路功能，對通信雙方不造成任何影響，因此該方案非常安全。

3.2 加入帶外網管進行優化

3.2.1 帶外網絡管理方案簡介

帶外管理是一種國際先進的網絡管理方式，不同于傳統的帶內管理方式，將管理信道和數據信道相分離，從而避免帶內管理方式中由于網絡故障所導致的設備管理問題，既可以減少運營成本，又可以提高運營效率和服務質量。基本結構如圖2 所示。

圖2 帶外管理結構Fig.2 Structure of out-of band management

帶外管理系統由控制臺服務器、遠程KVM 和網絡集中管理器組成。控制臺服務器通過把機房內部的網絡設備端口集中起來聯網，建立一套獨立于數據網絡之外的專用管理網絡。網絡集中管理是整個網絡設備的綜合集中監控管理平臺，多種網絡設備通過SLM 內置的https 或SNMP 圖形化管理界面統一監控、管理。系統管理員還可以通過SLM對網絡內部的計算機或網絡設備進行統一系統升級，而無需管理員對設備進行逐一安裝。

3.2.2 在帶內網絡基礎上加入帶外管理的優點

帶內管理和帶外管理是網絡管理的兩個重要方面，帶內管理一般作為正常網絡管理的手段，帶外管理則作為應急通道和安全通道來使用。在帶內管理基礎上還需要建設帶外管理，可以通過帶外網絡管理系統建立一套同時具備網絡集中監控、事故預警、管理、維護等功能的管理網絡系統，在出現網絡故障或通信中斷時都可以通過專用的管理通道對網絡進行管理和維護。

雖然帶外管理在信號系統還是新事物，但是在銀行、大企業、電信領域分布式設備管理以及機房設備管理方面應用十分廣泛，方案成熟。國外很多大公司都有整套解決方案，比如securelinx。信號安全數據網之所以引入帶外管理系統，最突出的優勢能夠實現任意時間和任意地點對網絡進行安全的遠程管理和維護。比如使用網管網或者使用Modern 接入維護，該方案的安全性體現在以下幾個方面。

1）信號安全數據網和網管網完全獨立，兩者之間不存在任何網絡的連接。

2）控制臺服務器作為網管網的接入設備，通過串口與設備的Console 端口連接。

3）帶外網管系統可確保管理數據安全可靠，其原因是由于帶外網管系統支持128-bit、SSHv2、SSLv3 等數據加密技術，可將運維管理人員的所有管理控制信息都以加密方式傳送到被管理設備。

4）帶外網管系統可以防止未經授權用戶非法訪問，主要方法是通過輕型目錄訪問協議、SecurID、終端訪問控制器訪問控制系統、NIS、Kerberos 認證、RADIUS 協議等身份認證系統及加密系統，對運維管理人員的身份、管理權限、管理范圍進行界定來實現。

5）IP 地址過濾技術由管理員配置IP 分組過濾表，IP 過濾模塊根據IP 分組中報頭的源地址、目的地址、端口號等信息，對來往的IP 分組進行過濾，允許或者禁止某些IP 地址的訪問。

6）遠程安全接入可以配合管理制度實施，在故障發生時，由人工連通通道。

3.2.3 帶外網管優化

在鐵路信號安全數據網絡管理系統中引入帶外管理系統，并結合實際需求進行優化，新增設備和DCN，使之成為信號系統的綜合監控平臺，實現信號系統各種設備接口數據采集。該系統就類似于信號系統的云計算平臺，具有計算能力、存儲能力以及I/O 能力的高擴展性，提供串口（RS-232、RS-485、RS-422）、網口以及CAN 總線等多種接口，在應用中硬件配置非常靈活。

綜合監控平臺結構由一臺中心監測服務器以及若干分布式的采集節點構成，其中，中心監測服務器由網絡集中管理器擴展而來，但性能更加強大，采集節點由控制臺服務器擴展而來，但是具備串口/CAN/網絡接口，同時計算能力和存儲能力伸縮性很強。采集節點通過兩個串行接口連接信號安全數據網交換機的console 端口，用于交換機的帶外管理，同時通過交換機的鏡像端口以及自身的CAN總線/串口接口捕獲設備所有的通信數據，采集節點獲得的這些數據將通過大容量網管專用網絡匯集至中心監測服務器供其存儲分析預警。其系統結構如圖3 所示。

圖3 綜合采集平臺系統的架構Fig.3 Architecture of integrated acquisition platform system

網管專用網絡（DCN）采用與信號安全數據網物理隔離的單環網結構，部署非常容易，不用單獨敷設通道，直接利用安全數據網剩余的獨立光纖即可。網管專用網絡和信號安全數據網有直接連接，但是完全可以保證信號安全數據網的安全性，因為信號安全數據網與采集節點只有串口和鏡像口連接，其中交換機鏡像口為單向通信接口，采集節點只能接收網絡中數據，不能向信號安全數據網發送任何數據。

在網管網絡中所有的采集節點與在線監測服務器實現全網時間同步，采集的原始數據都帶有時間戳，經過網管網匯集至中心，可用于數據的記錄和高級分析（比如時序分析、端到端丟包率分析），也可應用于運維系統和帶外管理等應用。

4 結束語

現階段國內鐵路信號安全數據網網絡管理系統多采用帶內網絡管理，隨著國內鐵路行業安全管理等級的逐步提升，帶內網絡管理在一些方面的劣勢日益突出。本文分析了帶外網管的安全可靠性、硬件配置靈活性等優點。希望通過帶內、外系統協同作用，進一步地提高國內鐵路信號安全數據網絡管理系統的可靠性。