關于 TDCS/CTC系統災難備份建設方案的研究

魏 民

1 研究背景

鐵路調度指揮現代化既是鐵路運輸管理現代化的重要標志,也是鐵路運輸信息化建設和應用的重點。列車調度指揮系統(TDCS)和調度集中系統(CTC)是實現鐵路各級運輸調度對列車運行實行統一調度、實時調整、集中控制、覆蓋全路的現代化鐵路運輸調度指揮和控制系統。經過十多年的建設,已建成了覆蓋鐵道部、鐵路局和鐵路車站的現代化鐵路調度指揮網,實現了全國鐵路調度指揮自動化,在提高運輸效率和保證行車安全方面發揮了重大作用,已經成為鐵路運輸調度指揮的基礎裝備。

隨著 TDCS和 CTC系統投入運用,每個列車調度員管轄范圍由傳統的 100 km增大到 260 km,最高達到上千公里,已經成為中國鐵路運輸不可缺少的調度指揮工具。隨著開行列車密度的不斷加大,調度員的管瞎范圍也不斷擴大,列車調度員對列車調度指揮系統的依賴程度也就越來越大,如何應對各種災難對 TDCS/CTC系統的打擊,顯得更加迫切。

災難對計算機系統而言,就是導致系統運行嚴重故障、癱瘓、信息系統支持的業務功能停頓或服務水平不可接受的事件。信息系統面臨的威脅可能來自于自然,如地震、洪水、龍卷風和火災等;也可能來自于人類自身,如操作失誤、病毒、黑客入侵、恐怖襲擊等。這些威脅一旦使關鍵信息系統發生故障或遭受災難性打擊,后果將不堪設想。因此,要使信息化能夠發揮更加重要的作用,信息系統的災備建設應成為當務之急。

目前列車調度指揮系統的備份主要是采用雙機熱備、存儲冗余、動態切換等技術,基本能夠抵御系統一般性故障帶來的影響。但如果發生自然災害,如水災、火災、雷擊、地震或其他災害等突發事件,導致鐵道部、鐵路局調度指揮中心不能正常指揮行車時,對鐵路運輸造成的損失和影響將不可估量。因此,研究 TDCS/CTC系統災難備份建設方案非常必要。

2 災備系統建設目標和建設原則

2.1 建設目標

在充分借鑒銀行、海關等災備系統建設理念和成功經驗的基礎上,結合鐵路信息系統災難備份建設方案,建設符合鐵路調度指揮業務需求的 TDCS/CTC災備系統具體目標如下。

1.符合 《信息安全技術——信息系統災難恢復規范》的要求,滿足恢復時間目標 RTO≤2 h、恢復點目標RPO≤30 min,達到 《信息安全技術—信息系統災難恢復規范》第 5級—實時數據傳輸及完整設備支持等級。

2.將災備中心系統切換至正常運營的時間控制在 2 h內,為災備中心接管生產中心的調度指揮業務提供保障。

3.具備調度指揮中心關鍵業務功能,實現列車運行監視、列車運行計劃調整、列調運行控制、調度命令管理等指揮列車運行的關鍵業務;滿足統一規劃、分步實施及生產力布局調整的需要,靈活地進行變更和擴展,保持與既有 TDCS/CTC中心一致。

4.采用與既有調度指揮中心統一技術平臺,構成一個完整的系統,在界面、功能、數據、系統軟件和系統硬件等各個層次上高度統一與協調。

5.災備中心系統內部各子系統之間必須做到完全匹配、有效集成、嚴密對接,具有極高的穩定性和可靠性。災備中心的建設應實現技術先進、結構合理、功能完善、管理科學、經濟適用、安全可靠,具有可擴充性和可持續發展能力。

2.2 建設原則

1.業務連續性原則。災備中心啟用接管某個調度指揮中心工作時,應充分考慮接管前業務運營的實際情況,保持業務連續性。

2.一致性原則。災備中心在界面、功能、數據、系統軟件和系統硬件等方面,應嚴格按照TDCS/CTC相關規范標準建設,與既有調度中心一致,利于調度員接管調度指揮工作。

3.先進性原則。利用先進的企業級集成開發工具和服務器構建軟件系統,使其完全符合調度指揮工作業務規范;提供高效的、便捷的接管服務,實現與其他系統間的信息共享。以先進的災難備份技術、軟件工程方法和面向對象技術,指導災備系統的設計、研發及部署,確保 TDCS/CTC容災系統具備系統級容災的能力。

4.實時性原則。采用分布式計算的編程模型,設計應用層通信軟件,通過對等模式進行數據通信,使數據處理能夠在局域網內任何節點進行均衡負載,進而提高整個系統的實時性。通過設計高速千兆光纖局域網,滿足各調度臺到服務器信息快速交換和處理的要求。

災備中心系統啟用的時間應控制在 2 h,確保某個調度中心出現異常情況時,滿足災備中心RTO和 RPO要求。系統從車站采集信息傳遞到災備中心應具有實時性。信息從車站至災備中心的時間應在 20 s內,保證用戶信息查詢的快速響應時間應在 10 s以內。

5.可用性。系統應提供可靠的數據后備和恢復手段,提供系統故障恢復功能,保證系統 7×24 h不間斷運行能力。當生產中心失效時,盡快由災備中心接管,確保調度指揮的持續可靠。

6.可靠性原則。硬件采用高端集群服務器、存儲服務器;網絡采用先進的高速網絡設備,保證雙套冗余熱備的千兆網絡直達每個用戶終端;使用安全穩定的 UNIX/LINUX操作系統,以 Oracle數據庫構建信息管理體系,保證整個系統的設計安全可靠。

7.可擴展性原則。系統在設計時需充分考慮升級擴容的需要,在硬件結構方面預留擴展接口,在軟件設計與系統功能方面,均應強化可擴展性。

8.互操作性原則。系統設計要考慮與其他信息系統的信息共享,在不同系統間要提供相互訪問的能力,能方便地進行數據傳輸和交換。

調度指揮容災系統的建設應堅持路網完整性和統一指揮,確保鐵道部、各鐵路局調度指揮的有機協調。設計上堅持統一領導、統一規劃、統一標準、統一管理,實施上堅持統籌規劃建設進程分步建設。

調度指揮災備系統與既有各調度指揮中心的技術體系,應以統一的軟件平臺、統一的安全平臺、統一的業務平臺、統一的管理平臺和統一的數據存儲為特征,對外提供標準的信息接口,構建全路一體化的調度指揮災難備份系統,實現系統資源的優化運用和系統規模的靈活調整。

3 災備系統建設方案

3.1 系統現狀

目前,已建成鐵道部TDCS中心、18個鐵路局TDCS/CTC中心和 6039個車站基層網,鐵道部TDCS中心已經實現實時接入全路 18個鐵路局和6039個車站的 TDCS/CTC信息,實現了鐵路各級運輸調度對列車運行的透明指揮、實時調整和集中控制。

3.2 建設策略

對 TDCS/CTC系統在設計、建設之初,考慮到業務處理流程受到嚴重破壞而不能支持業務連續運行的問題,采用硬件冗余技術 (單機容錯技術、雙機熱備技術 、磁盤冗余、網絡設備冗余、電源冗余)和靜態數據備份等方式,確保故障發生后業務立即恢復。目前 TDCS/CTC系統能夠通過有效冗余和故障切換恢復來實現災備,具備本地系統災備能力。2008年 3月,在國家信息系統安全等級保護定級工作中,TDCS/CTC評定為信息系統安全等級保護 4級,具體要求為 “應建立異地災難備份中心,配備系統災難恢復所需的通信線路、網絡設備和數據處理設備”。

3.3 建設方案

為保證 TDCS/CTC系統日常調度業務的連續運行,滿足信息系統等級保護 4級要求,保證盡量減少數據的丟失,將危險與災難的損失降到最低程度,需要建立 TDCS/CTC災備系統。

鐵道部和 18個鐵路局災備方案采用同城災備方式,距離各生產中心 30 km外建設災備中心。一旦某生產中心癱瘓,災備中心可接管其調度指揮職能,繼續為其所轄路局提供列車調度指揮服務。另外,鐵道部中心在具備同城災備的同時,建立遠程異地災備中心,可將上海鐵路局同城災備中心作為鐵道部的遠程異地災備中心,當鐵道部生產中心和同城災備中心異常時,由該遠程異地災備中心接管其調度指揮的職能。

鐵道部和各鐵路局設置保護鏈路通道,環回災備中心,保證在 TDCS/CTC生產中心失效的情況下,由災備中心接管其調度指揮業務。災備中心設備按滿足接管部及各鐵路局 TDCS/CTC中心業務要求配置。

鐵道部和鐵路局 TDCS/CTC中心的災備結構如圖 1,如圖 2所示。

3.4 主要技術

1.網絡連接。各 TDCS/CTC生產中心與災備中心之間采用 2條 2 Mb/s獨立通道連接。

2.數據傳輸。TDCS/CTC生產中心與災備中心之間通過 2條獨立的 2 Mb/s通道傳輸數據;當啟用 TDCS/CTC災備中心后,TDCS/CTC災備中心通過被其接管的運營中心原有通道,與其接管范圍內的基層車站或鐵路局傳輸數據。

3.數據同步。為保證災備中心在 TDCS/CTC生產中心意外或災難時,能夠接管生產中心的調度指揮職能,生產中心與災備中心將采用異地數據備份的方法保護數據資產。生產中心通過獨立通道實時將各種計劃數據、實際運行數據、各種關鍵操作信息和設備運行狀態信息傳輸至災備中心,實現中心間數據同步,最小的數據丟失,以保證接管后能夠迅速接管調度指揮職能。災備中心與生產中心數據同步原理圖如圖 3所示。

圖3 災備中心與生產中心數據同步原理圖

生產中心 TDCS/CTC系統恢復正常后,災備中心將數據傳輸至生產中心,直至生產中心接管調度指揮職能。

4.應用一致性。災備中心各應用軟件模塊與生產中心相應的應用軟件模塊需一致,以確保系統輸入輸出完全一致,為此應考慮對應用系統模塊進行 “災備化”設計。另外,TDCS/CTC系統必須采用全路統一的標準協議,確保災備中心能夠直接控制和指揮列車運行。

5.系統切換技術,包括通信網絡集中切換和系統切換技術 2方面。系統切換應充分考慮災害發生時的切換、災害結束后的數據反向同步和生產中心系統恢復正常后的切換技術。

4 建議

建議鐵路有關部門盡快確定鐵路 TDCS/CTC系統的災備方案,并加快建設 TDCS/CTC系統的災備系統,才能有效預防各種災難對 TDCS/CTC系統的打擊。

[1] GB/T20988-2007.信息安全技術-信息系統災難恢復規范,2007.

(責任編輯:溫志紅)