全國城市軌道交通行業(yè)網(wǎng)絡安全態(tài)勢調研分析報告

1.1城市軌道交通發(fā)展現(xiàn)狀

城市軌道交通具有快速、準時、便利的特點，特別適合城市內(nèi)部與城郊之間大規(guī)模出行的需求，成為現(xiàn)代城市公共客運交通體系的骨干，起到客流組織的主導作用。以北京為例，2019年北京地鐵全網(wǎng)工作日正?？土髟?200萬人次左右，成為人們公共交通出行的首選方式。城市軌道交通的建設能夠顯著地節(jié)約出行者的出行時間和交通成本，改變土地的利用性質，促進城市經(jīng)濟的繁榮，帶來巨大的經(jīng)濟效益。此外，在我國土地資源日益緊張和環(huán)境保護壓力巨大的條件下，城市軌道交通依賴其相同運量占用土地面積小、節(jié)能低污染的特性，在城市交通基礎設施建設中占據(jù)日益重要位置。

截至2019年底，中國內(nèi)地累計有40個城市開通城市軌道交通，運營線路總里程達6730.27公里。剛剛過去的2019年，中國內(nèi)地新增的城市軌道線路多達50條，新增運營線路里程968.77公里。2019年9月，中共中央、國務院印發(fā)了《交通強國建設綱要》?！毒V要》提出，到2020年，完成決勝全面建成小康社會交通建設任務和“十三五”現(xiàn)代綜合交通運輸體系發(fā)展規(guī)劃各項任務；到2035年，基本建成交通強國；到本世紀中葉，全面建成人民滿意、保障有力、世界前列的交通強國。2019年9月26日，習總書記乘坐北京城軌交通大興機場線并發(fā)表重要講話。習總書記強調，要構建綜合、綠色、安全、智能的立體化現(xiàn)代化城市交通系統(tǒng)，要發(fā)展世界一流的軌道交通，我國城市軌道交通迎來了實現(xiàn)高質量發(fā)展的歷史性機遇。

1.2城市軌道交通網(wǎng)絡安全風險

近年來，伴隨著城市軌道交通項目的持續(xù)建設，國內(nèi)城市軌道交通信息化建設呈現(xiàn)快速穩(wěn)步的發(fā)展。隨著信息化與軌道交通自動化的深度融合，軌道交通自動化與控制網(wǎng)絡也向著分布式、智能化的方向迅速發(fā)展，越來越多基于TCP/IP的通信協(xié)議和接口被采用，實現(xiàn)了各子系統(tǒng)的互聯(lián)互通、資源共享，進一步提升了自動化水平。城市軌道交通信息化系統(tǒng)的集成化、智能化程度越來越高，業(yè)務運行過程對信息系統(tǒng)的依賴性日益增強，隨之而來的網(wǎng)絡安全面臨的挑戰(zhàn)也變得更大。信息系統(tǒng)一旦停滯，車輛調度、故障報警、安全運維等各個環(huán)節(jié)都無法正常進行，后果將不可想象。城市軌道交通系統(tǒng)每天承載上千萬人的出行，一旦出現(xiàn)網(wǎng)絡安全事故將直接影響人民的正常生活，造成的損失不可估量。因此，城市軌道交通的網(wǎng)絡安全風險需引發(fā)高度重視。

1.3城市軌道交通網(wǎng)絡安全管理政策

國家政府和各級管理單位高度重視城市軌道交通網(wǎng)絡安全問題，相繼出臺一系列的網(wǎng)絡安全管理和保障政策。

2017年，《中華人民共和國網(wǎng)絡安全法》正式施行，關鍵信息基礎設施的運行安全受到法律保護。城市軌道交通作為交通行業(yè)的重要組成部分，其是否能夠持續(xù)安全運行，直接影響著國計民生、人民的公共利益。城市軌道交通系統(tǒng)一旦遭到破壞、喪失功能，直接危害國家安全?！毒W(wǎng)絡安全法》的實施對于保障城市軌道交通安全運行提供了強有力的法律支撐。

2017年7月，國家互聯(lián)網(wǎng)信息辦公室發(fā)布《關鍵信息基礎設施安全保護條例（征求意見稿）》。條例明確將交通行業(yè)列入關鍵信息基礎設施保護范圍。

2019年4月，國家認監(jiān)委發(fā)布《關于明確城市軌道交通裝備認證機構資質條件及認證實施規(guī)則的公告》，從四方面對城市軌道交通裝備認證機構資質條件進行了明確。同時，發(fā)布了與第一批目錄對應的認證實施規(guī)則。公告的發(fā)布對于城市軌道交通裝備準入認證提供了明確的指導建議。

2019年8月，交通運輸部印發(fā)了關于城市軌道交通的四個管理辦法，包括：《城市軌道交通運營安全風險分級管控和隱患排查治理管理辦法》（交運規(guī)〔2019〕7號）、《城市軌道交通設施設備運行維護管理辦法》（交運規(guī)〔2019〕8號）、《城市軌道交通運營突發(fā)事件應急演練管理辦法》（交運規(guī)〔2019〕9號）、《城市軌道交通運營險性事件信息報告與分析管理辦法》（交運規(guī)〔2019〕10號）。10月，交通運輸部印發(fā)5項管理制度，包括：《城市軌道交通正式運營前安全評估規(guī)范第1部分：地鐵和輕軌》、《城市軌道交通正式運營前和運營期間安全評估管理暫行辦法》、《城市軌道交通運營期間安全評估規(guī)范》、《城市軌道交通客運組織與服務管理辦法》、《城市軌道交通行車組織管理辦法》。交通運輸部制定了風險隱患、安全評估、行車組織、運行維護、應急演練，客運服務、質量評價等方面的九個規(guī)范性文件，以及四個配套服務文件，初步構建起了城市軌道交通管理體系。

2019年8月，中國城市軌道交通協(xié)會正式發(fā)布了《智慧城市軌道交通信息技術架構及網(wǎng)絡安全規(guī)范》，對利用云計算、大數(shù)據(jù)等技術構建城市軌道交通信息化系統(tǒng)及保障其網(wǎng)絡安全提供建設規(guī)范。

為貫徹落實習近平總書記關于“加快構建關鍵信息基礎設施安全保障體系”，“全面加強網(wǎng)絡安全檢查，摸清家底，認清風險，找出漏洞，通報結果，督促整改”的重要指示精神，CNCERT對國內(nèi)城市軌道交通信息化建設情況進行梳理，排查網(wǎng)絡安全風險，編寫本報告。

2.1城市軌道交通線路分布及運營商情況

據(jù)2020年初調研統(tǒng)計數(shù)據(jù)顯示，中國內(nèi)地共有44個城市有城市軌道交通建設及運營信息，其中上海、北京、廣州、南京、武漢、重慶、深圳、天津、成都、香港、青島、西安、杭州、大連、鄭州、蘇州、昆明、長春、寧波、沈陽、臺北、南寧、長沙、南昌、無錫、福州、溫州、合肥、高雄、石家莊、東莞、貴陽、常州、佛山、哈爾濱、廈門、烏魯木齊、濟南、蘭州、徐州以及呼和浩特共40個城市已經(jīng)建設并開通運營城市軌道交通，此外南通、紹興、洛陽、太原4個城市正在規(guī)劃城市軌道交通建設。全國城市軌道交通累計運營里程達6730.27公里，其中2019年當年，中國內(nèi)地共新增溫州、濟南、常州、徐州、呼和浩特5個城軌交通運營城市；另有27個城市有新增線路（段）投運，新增運營線路26條，新開延伸段或后通斷24段，新增運營線路長度共計968.77公里，再創(chuàng)歷史新高。

2019年新增968.77公里的城軌交通運營線路共涉及3種制式，其中，地鐵832.72公里，市域快軌59.11公里，現(xiàn)代有軌電車76.94公里?？梢钥吹?，新增城市軌道線路中，地鐵仍是多數(shù)城市的主流選擇。地鐵運營里程城市排名如下圖所示。中國已成為全球地鐵運營里程最長的國家，其中上海、北京、廣州位列全球城市地鐵運營里程前三甲。

圖1 地鐵總里程TOP15城市統(tǒng)計圖

經(jīng)過對各地地鐵運營商的調研發(fā)現(xiàn)，各地的地鐵由所屬城市的地鐵集團有限公司負責經(jīng)營管理和維護，例如北京地鐵由北京地鐵運營有限公司、北京京港地鐵有限公司負責運營。上海地鐵的運營公司為上海地鐵運營有限公司。

2.2城市軌道交通主要業(yè)務系統(tǒng)及供應商情況

城市軌道交通運行業(yè)務系統(tǒng)主要包括城市軌道交通信號系統(tǒng)、城市軌道交通供電系統(tǒng)、BAS環(huán)境與設備監(jiān)控系統(tǒng)、FAS火災報警系統(tǒng)、票務系統(tǒng)以及運營控制系統(tǒng)等。具體介紹如下：

2.2.1. CBTC城市軌道交通系統(tǒng)

圖2 CBTC系統(tǒng)網(wǎng)絡結構

列車自動監(jiān)控子系統(tǒng)（ATS）由控制中心、車站、車場以及車載設備組成。ATS系統(tǒng)在ATP系統(tǒng)的支持下完成對列車運行的自動監(jiān)控。

列車自動防護子系統(tǒng)（ATP）設備由車站、軌旁設備和車載設備組成，監(jiān)督列車在安全速度下運行，確保列車一旦超過規(guī)定速度，立即施行制動。

列車自動駕駛子系統(tǒng)（ATO）是控制列車自動運行的設備，主要由ATO車載設備及軌旁設備組成，在ATP系統(tǒng)的保護下，根據(jù)ATS的指令實現(xiàn)列車運行的自動駕駛、速度的自動調整、列車車門控制。

CI系統(tǒng)是實現(xiàn)車站聯(lián)鎖的信號系統(tǒng)，CI將控制范圍內(nèi)信號機、列車占用檢測裝置及道岔等信號設備構成一種既相互聯(lián)系又相互制約的關系。CI能滿足城軌正線車站、車輛段/停車場運輸作業(yè)及系統(tǒng)功能的要求，保證行車安全、提高運輸效率、改善勞動條件，并具備大信息量和聯(lián)網(wǎng)功能。

 DCS數(shù)據(jù)通信系統(tǒng)的主要作用是在各個信號子系統(tǒng)之間傳輸列車控制信息和維護信息，允許軌旁設備和車載設備之間在正線、車輛段/停車場和試車線進行連續(xù)雙向大容量的數(shù)據(jù)通信。

CBTC城市軌道交通系統(tǒng)的主要供應商為：西門子、阿爾斯通、USSI、阿爾卡特、龐巴迪、交控科技等。

2.2.2. 城市軌道交通供電系統(tǒng)

城市軌道交通供電系統(tǒng)是城市軌道交通運營的動力源泉，負責電能的供應和傳輸，為電動列車牽引供電和提供車站、區(qū)間、車輛段、控制中心等其他建筑物所需要的動力照明用電。它擔負著為電動車輛和各種運營設備提供電能的重要任務。它的主要功能包括：全方位的供電服務功能，故障自救功能，自我保護功能，防誤操作功能、方便靈活的調度功能、完善的控制、顯示和計量功能、電磁兼容功能。

圖3 城市軌道交通供電系統(tǒng)構成示意圖

系統(tǒng)主要由外部電源供電系統(tǒng)、主變電所或電源開閉所、牽引供電系統(tǒng)、動力照明供電系統(tǒng)、雜散電流腐蝕防護系統(tǒng)、電力監(jiān)控系統(tǒng)構成。詳情如下：

外部電源供電系統(tǒng)：城軌供電系統(tǒng)的主變電所或電源開閉所提供電能的外部城市電網(wǎng)電源供電系統(tǒng)。包括從發(fā)電廠經(jīng)升壓、高壓輸電網(wǎng)、區(qū)域變電站至主降壓變電站部分。

主變電所或電源開閉所：主變電所，接受城市電網(wǎng)輸送的電能，再將接受的高壓（110KV或220KV）通過主變壓器降壓后向為牽引變電所、降壓變電所提供中壓電源。主變電所適用于集中式供電方式。電源開閉所，接受城市電網(wǎng)提供的中壓電源（10KV或35KV），為牽引變電所轉供中壓電源。電源開閉所適用于分散式供電。

牽引供電系統(tǒng)：將交流中壓經(jīng)降壓整流變成直流1500V或直流750V電壓，為城軌電動列車提供牽引供電。牽引供電系統(tǒng)包括牽引變電所和牽引網(wǎng)兩個部分。

動力照明供電系統(tǒng)：將交流中壓（35KV或10KV）降壓變成交流220/380V電壓，為運營需要的各種機電設備提供電源，它包括降壓變電所、動力照明配電系統(tǒng)。

雜散電流腐蝕防護系統(tǒng)：在城市軌道交通中由于采用直流牽引供電，電流有牽引變電鎖的正極出發(fā)，經(jīng)由接觸網(wǎng)、電動列車、鋼軌、回流線返回牽引變電所負極。由于鋼軌與隧道或道床等結構之間的絕緣電阻不是無窮大，不可避免地將造成部分電流不從鋼軌回流，而是通過沿線的道床鋼筋、隧道、高架橋或建筑物的結構鋼筋或土壤回流到牽引變電所，這一部分電流就是雜散電流，也叫迷流。雜散電流腐蝕防護系統(tǒng)是減少因直流牽引供電引起的雜散電流并防止其對外擴散，盡量避免雜散電流對城市軌道交通本身及其附近結構鋼筋、金屬管線的電腐蝕，并對雜散電流及其腐蝕防護情況進行監(jiān)測。

電力監(jiān)控系統(tǒng)：又稱電力SCADA系統(tǒng)或者遠動系統(tǒng)，往往簡稱SCADA系統(tǒng)。是貫穿于整個供電系統(tǒng)的監(jiān)視控制部分，是控制技術在電力系統(tǒng)中的應用。電力監(jiān)控系統(tǒng)由控制中心、通信通道和被控制站系統(tǒng)組成，對全線路的變電所及沿線的供電設備實行集中監(jiān)視、控制和測量。典型的電力監(jiān)控系統(tǒng)由以下四部分組成：位于控制中心的電力調度中心主站系統(tǒng)（即中央監(jiān)控系統(tǒng)）、位于變電所的遠程終端（RTU，即變電所綜合自動化系統(tǒng)）、通信網(wǎng)絡、位于供電維修基地的供電復示系統(tǒng)。

城市軌道交通供電系統(tǒng)的主要供應商為：蘇州史比特照明科技有限公司、杭州華塑加達網(wǎng)絡科技有限公司、杭州鴻雁電器有限公司、天津益昌電氣設備股份有限公司、株洲弘浩達科技有限責任公司、杭州高電科技有限公司、南京南車電氣科技有限公司、沈陽二一三電子科技有限公司等。

2.2.3. BAS環(huán)境與設備監(jiān)控系統(tǒng)

BAS環(huán)境與設備監(jiān)控系統(tǒng)負責監(jiān)控及管理通風、空調、水冷、給排水、電梯、照明系統(tǒng)、人防、屏蔽門等各類設備運行。其主要職能包括控制和調節(jié)地鐵內(nèi)的熱環(huán)境，保證地鐵內(nèi)的IAQ（室內(nèi)空氣品質）在一個合理舒適的范圍之內(nèi)，滿足乘客和工作人員的舒適性、健康和安全需求以及設備降低能耗的工作要求；在事故及災害情況下進行通風、排煙和排熱，起到生命保障及輔助滅火作用。

圖4 BAS 網(wǎng)絡拓撲圖

系統(tǒng)的主要目的如下所述：

車站環(huán)境控制，為乘客提供舒適的乘車環(huán)境；

保證城軌環(huán)境達到國家有關規(guī)定和標準，并在災害發(fā)生時能夠及時迅速地進入防災運行方式，包括列車阻塞時通風、火災時防排煙等，保證人員的生命安全和減少財產(chǎn)損失；

在正常狀態(tài)下保證各城軌車站及區(qū)間內(nèi)機電設備運營安全、各項公共設備可靠、節(jié)能；

在不犧牲車站衛(wèi)生標準和熱舒適的前提下，提高空調系統(tǒng)管理水平，降低維護管理人員工作量，節(jié)省空調設備運行能耗。

控制環(huán)控機電設備運轉，監(jiān)視設備狀態(tài)，提高操作、管理及維護的自動化水平。

BAS環(huán)境與設備監(jiān)控系統(tǒng)的主要供應商為：Honeywell(霍尼韋爾），Johnson(江森），SIEMENS（西門子），美國KMC，施耐德，GE等。

2.2.4. FAS火災報警系統(tǒng)

城市軌道交通FAS系統(tǒng)設置兩級（中心級、車站級）管理和三級（中心級、車站級、就地級）控制設置全線系統(tǒng)，實現(xiàn)對運營線路火災探測報警和消防系統(tǒng)設備進行監(jiān)控與管理。在地鐵發(fā)生火災時，發(fā)出模式指令使消防系統(tǒng)和各相關設備轉入火災模式運行，執(zhí)行消防聯(lián)動，實現(xiàn)防救火災功能。

( 1 ) 中心級系統(tǒng)

中心級系統(tǒng)主要包括中心級火災報警控制器、圖形工作站、打印機、系統(tǒng)軟件、全線系統(tǒng)網(wǎng)絡接口設備、主備電源、火警電話等設備，通過通信協(xié)議，將全線信息傳輸?shù)街鞲删W(wǎng)，以備OCC（運營控制中心）內(nèi)的其他系統(tǒng)使用。

中心級系統(tǒng)主要功能包括：

● 在OCC設立“中心級”系統(tǒng)，實現(xiàn)對運營線路FAS集中監(jiān)視。

● 作為OCC管理全線FAS網(wǎng)絡控制器，是全線系統(tǒng)設備的管理和控制中心，實現(xiàn)對全線火災自動報警控制系統(tǒng)、氣體滅火控制系統(tǒng)和聯(lián)動設備等的監(jiān)控和管理。

● 通過圖形和文字的方式對全線各站FAS設備的報警、故障、屏蔽、復位、反饋、控制等信息進行實時監(jiān)視和管理。

● 發(fā)生火災時，中心對火災點相關車站發(fā)布救災運行模式的控制指令。

● 收集車站級報送的火災報警信息和FAS監(jiān)控設備的運行狀態(tài)及故障信息，并記錄存檔，按信息類別進行歷史資料檔案管理。

● 發(fā)生火災時，若本站水源故障，通過中心級下發(fā)指令，車站啟動備用車站消防水系統(tǒng)。

( 2 ) 車站級系統(tǒng)

車站級系統(tǒng)主要包括火災自動報警控制器、圖形工作站、探測器、氣體滅火控制器、手動報警按鈕、消火栓啟泵按鈕、消防電話系統(tǒng)、防救災設備、現(xiàn)場各種監(jiān)控模塊等設備，下圖所示為車站級火災自動報警系統(tǒng)框圖。FAS通過報警主機與全線通信骨干網(wǎng)相連，在車站與ISCS綜合監(jiān)控系統(tǒng)、BAS（環(huán)境與設備監(jiān)控系統(tǒng)）相連。

圖5 車站級火災自動報警系統(tǒng)框圖

( 3 ) 就地級設備

就地級設備主要包括消防泵、防排煙設備、防火卷簾、氣體滅火系統(tǒng)、電梯、自動扶梯等。

就地級設備功能包括：

● 當火災報警控制器、消防泵處于自動方式下，F(xiàn)AS接收到消火栓按鈕啟泵請求后，火災報警控制器報警，消防泵啟泵并反饋狀態(tài)信息；當火災報警控制器處于手動方式、消防泵處于自動方式下，F(xiàn)AS接收到消火栓按鈕消防泵啟泵請求信號，需人為確認后（滅火需用消防水的情況下）人工啟動消防泵。

● 防煙/排煙聯(lián)動控制：火災時， FAS向ISCS發(fā)送控制優(yōu)先指令，使ISCS停止對共用設備的控制，BAS啟動相應火災模式，F(xiàn)AS按預先編制的聯(lián)動控制邏輯通過輸入/輸出模塊開啟相應區(qū)域內(nèi)的排煙防火閥，防煙防火閥，排煙風機，送風機進行排煙與通風。

● 防火卷簾門聯(lián)動控制：火災時，F(xiàn)AS接到報警信息后，根據(jù)監(jiān)控程序，向卷簾門控制器發(fā)出下降指令，使卷簾門自動下降。

● 非消防電源切除：火災時，按照防火分區(qū)FAS自動切除空調、非疏散用扶梯、電梯系統(tǒng)等非消防電源。

● 氣體滅火系統(tǒng)聯(lián)動控制：當氣體滅火保護區(qū)發(fā)生火災時，探頭將火警信息傳輸給火災報警控制器，火災報警控制器向氣體滅火控制器發(fā)控制指令，對火災區(qū)域進行滅火控制。

● 開啟應急照明系統(tǒng)（含應急疏散指示，此條指地面車站）。

● 電梯聯(lián)動控制：發(fā)生火災事故時，由FAS通過BAS發(fā)指令給電梯（電2）控箱，電梯控制箱接到指令后，自動?？吭诨?，打開電梯門，并由電控箱反饋信號給FAS，同時屏蔽其它呼叫操作，F(xiàn)AS收到反饋信號后切除電梯電源。

圖6 火災自動報警系統(tǒng)基本結構

FAS火災報警系統(tǒng)的主要設備供應商為：橋程、金一鳴、海灣GST、日本能美、焰井、Honeywell/霍尼韋爾、泛海三江、康朝、VESDA、IFD、ICAM、瓦格納、凱德Kidde、 愛森司、博康、艾華、海灣GST、國泰怡安、利達消防、賽科等。

2.2.5. AFC票務系統(tǒng)

票務系統(tǒng)是指通過計算機技術、現(xiàn)代通訊網(wǎng)絡技術、自動控制技術、智能卡技術、大型數(shù)據(jù)庫技術、傳感技術、統(tǒng)計和財務等專業(yè)知識的綜合應用，來實現(xiàn)軌道交通的售票、檢票、計費、收費、統(tǒng)計、清分結算和運營管理等全過程的自動化系統(tǒng)。其總體功能主要包括：售檢票作業(yè)處理、票務管理、運營管理、設備管理、財務管理、清算對賬管理、統(tǒng)計查詢管理、網(wǎng)絡管理、數(shù)據(jù)管理、安全管理、用戶權限管理以及運營模式的監(jiān)控管理等。

AFC 系統(tǒng)采用五層架構，每一層都包含相對獨立的職能，同時通過網(wǎng)絡通信系統(tǒng)將各層連接組成一個完整的系統(tǒng)。分別是：清算管理中心ACC、線路中心LC、車站中心SC、終端設備、車票。

( 1 ) 清算管理中心(ACC)

ACC系統(tǒng)是城市軌道交通網(wǎng)絡化運營條件下AFC系統(tǒng)的管理中心。其主要功能是統(tǒng)一城市軌道交通AFC系統(tǒng)的各種運行參數(shù)、收集AFC系統(tǒng)產(chǎn)生的交易和審計數(shù)據(jù)并進行數(shù)據(jù)清分和對帳、具備數(shù)據(jù)管理、客流分析、票卡發(fā)行、票務管理功能，同時負責連接城市軌道交通AFC系統(tǒng)和一卡通清分系統(tǒng)，可適應多線路自動售檢票系統(tǒng)聯(lián)網(wǎng)運營模式。

( 2 ) 線路中心(LC)

LC系統(tǒng)是AFC系統(tǒng)的核心和大腦，是系統(tǒng)的運營管理中心和交易數(shù)據(jù)存儲、分析中心，用其實現(xiàn)線路設備監(jiān)控、運營管理、數(shù)據(jù)的集中采集、各種業(yè)務報表處理。LC可以接收ACC系統(tǒng)下發(fā)的運營參數(shù)并下發(fā)至車站計算機系統(tǒng)及車站終端設備，同時接收終端設備上傳的各類交易和管理數(shù)據(jù)，并按照票務清分系統(tǒng)的要求上傳，實現(xiàn)清分對賬功能。

( 3 ) 車站中心（SC）

SC 系統(tǒng)是直接控制車站終端設備的基本管理單元，負責對車站系統(tǒng)運營、票務、收益、維修等的集中管理。SC系統(tǒng)接收LC系統(tǒng)下達的各類運營參數(shù)并下發(fā)給各終端設備、接收終端設備上傳的交易數(shù)據(jù)等并給LC系統(tǒng)。另外，系統(tǒng)操作員還可以通過在SC工作站上設置命令，來控制車站系統(tǒng)的運營，及車站設備的運行。

( 4 ) 終端設備

終端設備直接面向地鐵乘客，AFC系統(tǒng)中終端設備扮演著信息收集者的角色。車站終端設備安裝在各車站的站廳，包括各類操作終端，如自動售票機、自動檢票機、半自動售/補票機、自動查詢機等，直接對乘客提供自動售檢票服務。車站終端設備通過車站網(wǎng)絡連接到車站計算機系統(tǒng)，將數(shù)據(jù)上傳至SC并接收SC下發(fā)的參數(shù)及指令。

( 5 ) 車票層

車票層是記錄乘客乘車信息的媒介和載體，能記錄車票的系統(tǒng)編號、安全信息、車票種類、個人信息、進出站信息、金額、有效期、歷史交易記錄等信息，與車站設備共同完成自動售票、檢票功能。

圖7 AFC系統(tǒng)網(wǎng)絡拓撲圖

AFC票務系統(tǒng)主要為定制系統(tǒng)，在網(wǎng)絡系統(tǒng)的主要供應商為：華為技術有限公司、深信服科技股份有限公司、杭州華三通信技術有限公司、思科公司、Juniper網(wǎng)絡公司。工控機部分供應商主要為研華科技、艾寶科技(ARBOO)、研祥智能科技股份有限公司、富士康科技集團、深圳華北工控股份有限公司、索奇、天拓集團、深圳市久峰科技有限公司等。

2.2.6. OCC運營控制系統(tǒng)

運營控制系統(tǒng)（OCC），英文全稱為Operating Control Center。OCC主要是對列車的運行、車站設備、電力供應、火災報警、票務管理等工作進行統(tǒng)一調度指揮，在列車的運行中，是整個運行線路的信息樞紐中心，在緊急情況下，還能夠擔任救災搶險工作。其子調度系統(tǒng)為：電力調度、行車調度、維修調度、控制調度幾部分。在列車的運行中，電力調度系統(tǒng)內(nèi)的行車、電力、控制三者之間是相互聯(lián)系，缺一不可的。其工作是由OCC的值班調度主任領導，其他三部分開展協(xié)助，以此完成調度工作，確保地鐵車輛的穩(wěn)定運行。系統(tǒng)主要功能如下：

( 1 ) 管理該線路日常運營的指揮調度

行車調度是所有其他功能的前提與歸宿，城市軌道交通主要工作就是安全、快捷的運送旅客，車輛是所有工作的根本。電力調度是對城市軌道交通所有運行設備電力分配的管理過程，電力系統(tǒng)是整個城市軌道交通的能源動力系統(tǒng)，是所有系統(tǒng)運行的前提條件，所以其調度管理工作非常重要。在正常運營情況下，電力調度可以按日常計劃按部就班地進行，但是當在非正常運營的情況下，電力調度就要準確地根據(jù)突發(fā)事件類型選擇調度模式。環(huán)控調度就是對城市軌道交通系統(tǒng)環(huán)境控制的相關設備根據(jù)運營要求進行適時地調度管理。維修調度除了對日常設備的按計劃檢修外，更重要的作用是在發(fā)生突發(fā)故障之后能迅速地恢復相關設備的功能，將其對正常運營的影響降到最低。

( 2 ) 實現(xiàn)對本線路的機電設備系統(tǒng)運行狀況的監(jiān)控

OCC是線路各個機電設備系統(tǒng)的監(jiān)控管理中心，各設備系統(tǒng)負責收集該設備系統(tǒng)自身的工作狀態(tài)等各項數(shù)據(jù)，并通過通信傳輸系統(tǒng)傳送給OCC使運營單位的設備管理人員及時掌握，隨時根據(jù)運營狀況對設備系統(tǒng)進行監(jiān)視和控制保障本專業(yè)系統(tǒng)設備的正常運營。OCC下轄的有一個綜合監(jiān)控系統(tǒng)，該系統(tǒng)就是完成對各個機電設備的監(jiān)視與控制，同時具有采集各個機電設備的各項工作數(shù)據(jù)的功能，最終綜合監(jiān)控系統(tǒng)會將這些數(shù)據(jù)交給OCC處理來保證城市軌道交通的正常運營。

( 3 ) 負責協(xié)調本線路的組織運營，完成突發(fā)事件時的指揮恢復工作

OCC是整條線路的運營管理中心，是負責軌道交通運營管理的具體執(zhí)行單位，對行車運營相關的各個部口具有協(xié)調調度的作用。當有突發(fā)事件或災害事件發(fā)生后，運營控制中心就是應急指揮中心，通過大屏幕顯示系統(tǒng)和各機電設備控制系統(tǒng)及時掌捏行車狀況和緊急事件的發(fā)展態(tài)勢，從而使各級管理人員迅速準確地處置突發(fā)事件，完成各種命令的下達，確保人員和財產(chǎn)的安全。

( 4 ) 實現(xiàn)與上級管理部門及外部單位之間的數(shù)據(jù)交換和資源引入功能

OCC是軌道交通本線路與上級管理部口和外單位進行信息交互的窗口。軌道交通系統(tǒng)也需要外接的資源和支持才能正常運作，主要是提供電力系統(tǒng)、通信系統(tǒng)和火災報警系統(tǒng)。電力供應直接來自城市電網(wǎng)，作為整個城市電力調度的一部分，軌道交通的供電系統(tǒng)也需要將本系統(tǒng)的主要狀態(tài)參數(shù)反饋給城市電力調度中心。同樣地，火災報警系統(tǒng)需要與城市消防中心聯(lián)動，所以需要和其進行數(shù)據(jù)交換，在火災情況下，OCC要能迅速將信息傳遞給城市消防中心從而使其快速出警應對火情。來自城市電信等部門的語音、數(shù)據(jù)資源則是整個軌道交通與外界保持通信和資源共享的基礎。OCC與外部單位之間的數(shù)據(jù)交換等業(yè)務主要是上述三個系統(tǒng)，原因在于這三個系統(tǒng)OCC沒有獨立自主的監(jiān)管權力需要上級相關管理部口協(xié)調管理。

( 5 ) 實現(xiàn)運營部門與乘客之間的信息交流和存儲

城市軌道交通的最終服務對象是乘客，時刻保持與乘客之間的信息交流成為提高城市軌道交通運營服務水平的重要手段。城市軌道交通與乘客直接相關的有兩點，分別是車輛和車站，車輛上與乘客有信息交流的是車內(nèi)廣播、車內(nèi)線路標示以及服務監(jiān)督熱線電話等。車站的各種可見設備大多是為乘客的服務而提供的。車站的主要設施包括自動售檢票系統(tǒng)的相關設備，能為乘客提供列車線路、站點、票價等相關信息，除此之外還有可變情報板等服務設施可與乘客進行信息交流。關于乘客信息或者客流數(shù)據(jù)等城市軌道交通有專門的數(shù)據(jù)庫對這些數(shù)據(jù)進行存儲管理及處理，這些數(shù)據(jù)的意義重大，對以后的運營計劃等都具有很大的指導意義。城市軌道交通系統(tǒng)設有專門的乘客信息系統(tǒng)，主要負責管理以上除自動售檢票以外的其他服務功能，同時會將列車運營、新聞時事、天氣情況等信息傳達給乘客以方便乘客高效出行。

圖8 OCC系統(tǒng)總體層次圖

3.1城市軌道交通系統(tǒng)聯(lián)網(wǎng)情況

CNCERT針對城市軌道交通行業(yè)的聯(lián)網(wǎng)管理系統(tǒng)進行了全國專項掃描和探測，全國共發(fā)現(xiàn)聯(lián)網(wǎng)的城市軌道交通相關系統(tǒng)100個，分布在15個省20個城市，涉及到遠程監(jiān)控、資產(chǎn)管理、工程安全等系統(tǒng)。此外，福建地鐵AFC工班備件系統(tǒng)經(jīng)IP定位，發(fā)現(xiàn)其歸屬地為境外。

圖9 聯(lián)網(wǎng)的城市軌道交通系統(tǒng)分布統(tǒng)計

圖10 地鐵系統(tǒng)全國分布圖

在聯(lián)網(wǎng)城市軌道交通業(yè)務系統(tǒng)中，運行管理類系統(tǒng)共計89個，運行監(jiān)控類系統(tǒng)11個。其中：

● 運行管理類包括：辦公系統(tǒng)、郵件系統(tǒng)、項目管理系統(tǒng)、資產(chǎn)管理系統(tǒng)、施工管理平臺、地鐵造價指標管理系統(tǒng)等。

● 運行監(jiān)控類包括：安檢監(jiān)控平臺、施工安全監(jiān)測預警系統(tǒng)、巡查系統(tǒng)、地鐵監(jiān)測平臺等。

圖11 地鐵行業(yè)聯(lián)網(wǎng)運行類系統(tǒng)的占比

3.2城市軌道交通聯(lián)網(wǎng)系統(tǒng)風險分析

3.2.1. 城市軌道交通聯(lián)網(wǎng)系統(tǒng)整體風險分析

針對城市軌道交通聯(lián)網(wǎng)系統(tǒng)，CNCERT進行自動化無損漏洞掃描，發(fā)現(xiàn)其中84個聯(lián)網(wǎng)系統(tǒng)存在漏洞，占聯(lián)網(wǎng)系統(tǒng)總數(shù)的84%。共發(fā)現(xiàn)存在425個漏洞，其中高危漏洞33個、中危漏洞184個、低危漏洞208個。涉及配置不當、信息泄露等20種漏洞類型。漏洞分類統(tǒng)計如下圖所示。

圖12 漏洞等級統(tǒng)計圖

圖13 漏洞分類統(tǒng)計圖

3.2.2. 城市軌道交通聯(lián)網(wǎng)系統(tǒng)抽樣安全檢查

針對城市軌道交通行業(yè)聯(lián)網(wǎng)監(jiān)控管理系統(tǒng)，對北京、杭州、大連三地10個系統(tǒng)進行手動安全抽樣巡檢，發(fā)現(xiàn)其中有6個系統(tǒng)存在各種類型的安全漏洞，即有60%的系統(tǒng)存在明顯的安全隱患。其中運行監(jiān)控類1個，運行管理類5個。安全巡檢過程中，共計發(fā)現(xiàn)11個安全漏洞。我們對系統(tǒng)存在的安全漏洞進行歸類與統(tǒng)計分析，主要包括：弱口令漏洞、SQL注入漏洞、未授權訪問漏洞、敏感信息泄露漏洞等。其中弱口令、SQL注入、未授權訪問等屬于高危漏洞，攻擊者利用此類漏洞可獲取服務器或數(shù)據(jù)庫的控制權。

各類漏洞的數(shù)量比例如圖所示：

圖14 各類型安全漏洞的具體數(shù)量

從下圖可知，高危漏洞占比約36.4%，中危漏洞占比約63.6%，數(shù)據(jù)反映出地鐵行業(yè)部分監(jiān)控管理系統(tǒng)的安全狀況較為嚴重。從各個細分種類來看，未授權訪問和敏感信息泄露最多，反映出地鐵行業(yè)的系統(tǒng)開發(fā)和運維人員的安全意識較為薄弱。

圖15 安全漏洞風險等級分布圖

3.2.3. 城市軌道交通聯(lián)網(wǎng)系統(tǒng)典型漏洞情況說明

弱口令漏洞

弱口令指的是僅包含簡單數(shù)字和字母的口令，例如“123”、“abc”等，因為這樣的口令很容易被別人破解，從而使系統(tǒng)面臨風險。通過安全巡檢，發(fā)現(xiàn)弱口令漏洞在工控系統(tǒng)中并不罕見，說明工控行業(yè)運維人員普遍存在安全意識薄弱的問題，這也成為工控網(wǎng)絡安全網(wǎng)問題頻出的誘因。分析巡檢結果，常用的弱口令組合包括admin/123456、admin/admin、123/123、test/123456、test/111111、system/123456、admin/000000等。攻擊者利用弱口令可直接進入生產(chǎn)類系統(tǒng)，輕則造成大量生產(chǎn)數(shù)據(jù)、用戶數(shù)據(jù)被竊取，重則導致生產(chǎn)系統(tǒng)被操縱，生產(chǎn)活動被干擾或破壞。

下面是本次安全巡檢發(fā)現(xiàn)的典型實例。該地鐵乘務管理系統(tǒng)主要提供日常業(yè)務流程管理和日常辦公等功能。該信息系統(tǒng)存在弱口令漏洞，通過弱口令成功登錄后，可以對用戶進行“增改刪查”操作，同時可以配置相關用戶權限，因此該用戶具有較高權限，一旦被攻擊成功，易導致大量信息泄露。

圖16 某地鐵乘務管理系統(tǒng)后臺

SQL注入漏洞

SQL注入漏洞是最常見的WEB漏洞，主要原因是程序員在開發(fā)用戶和數(shù)據(jù)庫交互的系統(tǒng)時沒有對用戶輸入的字符串進行過濾、轉義，限制或處理不嚴謹，導致用戶可以通過輸入精心構造的字符串去非法獲取到數(shù)據(jù)庫中的數(shù)據(jù)。SQL注入漏洞屬于高危漏洞，造成的危害包括泄露敏感信息、操作任意文件、執(zhí)行任意命令等。

下面給出安全巡檢中發(fā)現(xiàn)的典型實例，該系統(tǒng)主要負責要負責故障收集、故障處理、人員考核管理等。該系統(tǒng)存在SQL漏洞，遠程攻擊者繞過密碼限制登錄系統(tǒng)，獲得相關故障報警信息。

圖17 某地鐵監(jiān)控管理系統(tǒng)存在SQL注入漏洞

圖18 網(wǎng)站數(shù)據(jù)庫列表

未授權訪問漏洞

未授權訪問漏洞，是在攻擊者沒有獲取到登錄權限或未授權的情況下，不需要輸入密碼，即可通過輸入網(wǎng)站控制臺主頁面地址或者不允許查看的連接便可進行訪問，同時進行操作。

下面給出安全巡檢中發(fā)現(xiàn)的典型實例，該系統(tǒng)主要負責要負責日常辦公、事務處理等。該系統(tǒng)存在未授權訪問漏洞，遠程攻擊者繞過密碼限制登錄系統(tǒng)，查看系統(tǒng)各個用戶的身份信息等。

圖19 某辦公系統(tǒng)用戶列表

3.3城市軌道交通工控產(chǎn)品漏洞分析

3.3.1. 城市軌道交通行業(yè)工控產(chǎn)品供應商安全分析

CNCERT針對城市軌道交通行業(yè)中主要供應商漏洞情況展開分析。結合中心CNVD漏洞數(shù)據(jù)庫對城市軌道交通行業(yè)設備主要供應商漏洞情況進行梳理，城市軌道交通行業(yè)主要供應商的工控產(chǎn)品共計發(fā)布漏洞539個，其中，高危漏洞234個、中危漏洞271個、低危漏洞34個，中高危漏洞數(shù)量占93.69%。

圖20 城市軌道交通行業(yè)中主要供應商設備漏洞等級統(tǒng)計圖

通過對漏洞的發(fā)現(xiàn)年份統(tǒng)計發(fā)現(xiàn)，城市軌道交通行業(yè)中主要供應商的產(chǎn)品漏洞數(shù)量整體呈現(xiàn)逐年遞增趨勢。

圖21 地鐵供應商設備漏洞年份統(tǒng)計圖

3.3.2. 城市軌道交通行業(yè)典型工控產(chǎn)品漏洞情況分析

針對地鐵、輕軌等城市軌道交通系統(tǒng)廣泛采用的系統(tǒng)或設備暴露出的安全漏洞進行詳細分析，主要為控制設備和網(wǎng)絡交換設備。以下列舉了城市軌道交通系統(tǒng)中常用的設備漏洞情況。

1. Belden Hirschmann MACH1000交換機產(chǎn)品

Belden Hirschmann MACH1000交換機是美國Belden公司的交換機產(chǎn)品。常用于軌道交通系統(tǒng)。目前已公布5個MACH1000交換機中存在的安全漏洞。漏洞分析如下：

● 漏洞類型

圖22 Belden Hirschmann MACH1000交換機漏洞類型統(tǒng)計

● 漏洞危險等級

圖23 Belden Hirschmann MACH1000交換機漏洞危險等級統(tǒng)計

● 高危漏洞信息

( 1 ) 0 Belden Hirschmann MACH1000交換機產(chǎn)品暴力破解漏洞

漏洞編號：CNVD-2018-04781

漏洞類型：暴力破解漏洞

公開時間：2018-03-09

危害級別：高

影響產(chǎn)品：Belden Hirschmann MACH1000

漏洞描述：Belden Hirschmann RS等都是美國Belden公司的交換機產(chǎn)品。多款Belden Hirschmann交換機產(chǎn)品中的Web界面存在安全漏洞，該漏洞源于程序未能正確的限制身份驗證請求的次數(shù)。攻擊者可利用該漏洞暴力破解身份驗證。

( 2 ) Belden Hirschmann MACH1000交換機產(chǎn)品會話劫持漏洞

漏洞編號：CNVD-2018-04784

漏洞類型：會話劫持漏洞

公開時間：2018-03-09

危害級別：高

影響產(chǎn)品：Belden Hirschmann RS，Belden Hirschmann RSR，Belden Hirschmann RSB，Belden Hirschmann MACH100，Belden Hirschmann MACH1000，Belden Hirschmann MACH4000，Belden Hirschmann MS，Belden Hirschmann OCTOPUS

漏洞描述：Belden Hirschmann RS等都是美國Belden公司的交換機產(chǎn)品。多款Belden Hirschmann交換機產(chǎn)品中的Web界面存在會話固定漏洞。攻擊者可利用該漏洞劫持Web會話。

2. Moxa PT-7528 交換機產(chǎn)品

Moxa PT-7528交換機是臺灣Moxa公司的工業(yè)交換機產(chǎn)品。常用于軌道交通系統(tǒng)。目前已公布5個Moxa PT-7528交換機中存在的安全漏洞。漏洞分析如下：

● 漏洞類型

圖24 Moxa PT-7528交換機漏洞危險等級統(tǒng)計

● 漏洞危險等級

圖25 Moxa PT-7528交換機漏洞危險等級統(tǒng)計

● 高危漏洞信息

( 1 )  Moxa PT-7528和PT-7828 Series弱密碼漏洞

漏洞編號：CNVD-2020-13514

漏洞類型：弱密碼漏洞

公開時間：2020-02-26

危害級別：高

影響產(chǎn)品：Moxa PT-7828 series firmware <=3.9，Moxa PT-7528 series firmware <=4.0

漏洞描述：Moxa PT-7528和PT-7828 Series存在弱密碼漏洞，攻擊者可利用該漏洞未經(jīng)授權的訪問系統(tǒng)。

( 2 )  Moxa PT-7528和PT-7828 Series硬憑證漏洞

漏洞編號：CNVD-2020-13513

漏洞類型：硬憑證漏洞

公開時間：2020-02-26

危害級別：高

影響產(chǎn)品：Moxa PT-7828 series firmware <=3.9，Moxa PT-7528 series firmware <=4.0

漏洞描述：Moxa PT-7528和PT-7828 Series存在硬憑證漏洞，攻擊者可利用該漏洞獲取敏感信息。

3. Siemens SIMATIC S7-1200 PLC產(chǎn)品

Siemens SIMATIC S7-1200 PLC適用于廣泛的自動化應用產(chǎn)品。常用于軌道交通系統(tǒng)。目前已公布28個S7-1200 PLC中存在的安全漏洞。漏洞分析如下：

● 漏洞類型

圖26 Siemens SIMATIC S7-1200 PLC漏洞危險等級統(tǒng)計

● 漏洞危險等級

圖27 Siemens SIMATIC S7-1200 PLC漏洞危險等級統(tǒng)計

● 高危漏洞信息

( 1 )  Siemens SIMATIC S7-300/1200/1500 CPU拒絕服務漏洞

漏洞編號：CNVD-2016-11519

漏洞類型：拒絕服務漏洞

公開時間：2017-02-17

危害級別：高

影響產(chǎn)品：Siemens SIMATIC S7-1200 CPU，SIEMENS SIMATIC S7-300 CPU，SIEMENS SIMATIC S7-1500 CPU

漏洞描述：Siemens SIMATIC S7-300/1200/1500 CPU存在拒絕服務漏洞。由于西門子S7-300、1200、1500 CPU在特定構造的ProfinetIO二層網(wǎng)絡包通訊時拒絕服務，CPU進入故障模式，需手動重啟進行恢復。攻擊者利用漏洞可直接通過二次MAC廣播獲取目標信息發(fā)起拒絕服務攻擊。

( 2 )  SIEMENS SIMATIC S7-1200 CPU Family跨站請求偽造漏洞

漏洞編號：CNVD-2018-20531

漏洞類型：跨站請求偽造漏洞

公開時間：2018-10-10

危害級別：高

影響產(chǎn)品：SIEMENS SIMATIC S7-1200 CPU family <4.2.3

漏洞描述：SIEMENS SIMATIC S7-1200 CPU Family存在跨站請求偽造漏洞。允許攻擊者讀取或修改設備配置的某些部分。

我國城市軌道交通行業(yè)必須不斷加強信息安全風險管理，通過提升基礎設施產(chǎn)品的自主研發(fā)能力，按照等級保護安全管理要求積極開展信息安全管理體系、信息安全技術體系以及信息安全運維體系的建設，并通過教育培訓等手段，提升行業(yè)就業(yè)人員的網(wǎng)絡安全技能，加強安全風險防范意識，全面提升信息安全水平，為我國城市軌道交通業(yè)務的健康穩(wěn)定發(fā)展保駕護航。同時企業(yè)必須加強新技術信息安全風險的防范意識，加強信息安全保護機制建設，以確保新技術在城市軌道交通行業(yè)應用的安全性。

為了更好應對城市軌道交通行業(yè)網(wǎng)絡安全隱患，CNCERT建議如下：

● 健全組織結構，落實網(wǎng)絡安全責任制

建議行業(yè)各單位以《網(wǎng)絡安全法》為依據(jù)，按照中央和各省針對網(wǎng)絡安全工作的相關要求，建立健全網(wǎng)絡安全和信息化領導機構，明確各級網(wǎng)絡安全職能部門的工作職責，加強人才隊伍建設，完善各類安全崗位設置，落實網(wǎng)絡安全工作責任到人，提高地鐵行業(yè)網(wǎng)絡安全整體防御能力。

● 加大建設力度，積極引進先進技術和設備

目前，關鍵設備的運行情況直接關系到城市軌道交通行業(yè)的信息安全程度，因此，需提高其整體防御性能，抵御病毒入侵，為城市軌道交通系統(tǒng)的高效率運行奠定基礎。同時，為推動我國城市軌道交通系統(tǒng)的信息安全建設，技術團隊需積極引進技術和設備，結合我國城市軌道交通系統(tǒng)的運行情況，實施改善，在此基礎上形成符合我國國情的城市軌道交通系統(tǒng)安全運行體系。

● 統(tǒng)籌安全規(guī)劃，完善運維管理體系

以關鍵設備為核心，依據(jù)相關標準規(guī)范，如《工業(yè)控制系統(tǒng)信息安全 第1部分：評估規(guī)范》（GB/T 30976.1-2014）等，建立安全運維整體策略，制定安全運維目標和內(nèi)容，建立安全運維體系，明確安全運維團隊的工作職責，定期進行安全風險評估，并通過培訓和考核相結合的手段不斷提高安全運維人員的安全意識及技能水平，以滿足信息系統(tǒng)、數(shù)據(jù)應用全生命周期的運維需求。同時選擇專業(yè)的安全管理團隊，組織信息安全檢查和運行系統(tǒng)監(jiān)督工作，建立完善的安全檢查和風險評估體系。通過對信息安全風險的評估和控制，確保能夠及時發(fā)現(xiàn)工業(yè)控制系統(tǒng)中的安全問題，并采取相關的風險防范方式。

● 提升安全素養(yǎng)，強化安全培訓工作

結合網(wǎng)絡安全法律法規(guī)、網(wǎng)絡安全意識、網(wǎng)絡安全管理、網(wǎng)絡安全技能等多個層面，對于網(wǎng)絡安全管理人員、技術人員等不同角色，根據(jù)其實際工作需求組織開展不同內(nèi)容的安全培訓，提升人員的安全素養(yǎng)。整體培訓內(nèi)容要立足實際，符合當前安全形勢，強化員工意識和安全技能，建立安全培訓與崗位安全能力考核相結合的培訓制度，將日常工作所需的知識與培訓內(nèi)容相結合，并通過崗位安全能力考核進行實踐檢驗培訓效果，查漏補缺切實提高相關人員的安全責任意識和安全能力。