基于層次分析法的CBTC系統安全風險研究

陳紅霞，孫 強

（南京鐵道職業技術學院，江蘇 南京 210031）

0 引言

基于無線通信的列車控制（Communicationsbased Train Control，CBTC）系統是獨立于軌道電路，采用高精度的列車定位和連續、高速、雙向的數據通信，通過車載和地面安全設備實現對列車的控制。CBTC作為控車的關鍵系統，對列車的安全運行有著重要影響，由于地鐵的運營環境和特點，對產品設備的可靠性、可用性、可維護性和安全性有著極高的要求，任何情況下均不允許出現系統故障，保障高安全、高可靠是CBTC系統的基本設計原則。因此，系統從設計開始就應對各種可能出現影響系統可靠性和安全的風險因素進行深入分析，識別其產生的原因，有針對性地采取各種措施以消除風險。在既有文獻中，對CBTC進行安全風險分析和研究的報道極少。本文采用層次分析（Analytic Hierarchy Process，AHP）方法，辨識各種可能導致CBTC系統安全風險的原因，并對其進行分類，結合現場設備使用情況，提出相應的防范措施。

1 CBTC的系統結構及風險分析中存在的問題

1.1 CBTC系統結構及功能

典型的基于通信的列車運行控制（CBTC）系統的結構如圖1所示。整個CBTC系統包括CBTC地面設備、聯鎖設備（CI）和CBTC車載設備，通過數據通信網絡實現車載設備與地面設備的信息交換從而完成對列車的控制，是一種采用先進的數字通信技術、無線通信技術、編碼技術和計算機技術，連續控制、監測列車運行的移動閉塞方式。基于車-地間無線通信，CBTC地面設備可以得到每一列車的連續位置的信息，并據此計算出每一列車的移動授權，動態更新發送給車載設備。車載設備根據接收到的移動授權和自身的運行狀態，計算出列車運行的速度曲線，實現完全防護的列車運行控制。

圖1 基于通信的CBTC系統結構

1.2 風險分析存在的問題

基于無線的CBTC系統具有開放的接口，是能夠實現不同廠家之間信號系統互聯互通的唯一手段。但同時又出現了一個問題，就是任何一個與CBTC系統中設備使用相同或兼容無線局域網協議的網絡設備都有可能接入CBTC系統的無線傳輸系統，對系統安全運行構成危害。深圳地鐵多次因CBTC系統受干擾發生的暫停故障，顯示出地鐵電磁環境惡化的問題[7]。這使從復雜的運行環境中準確辨識出可能導致安全風險的因素，會變得更加困難。

由于CBTC系統同時與多個外部設備或系統存在信息交換，與其中任何一個外設的信息交互出現錯誤或故障時，都可能引起安全風險，所以發生安全風險的概率增大，引起安全風險的原因也會相應地增多。

地鐵CBTC是基于WLAN（IEEE802.11b/g）的車-地無線通信系統，由于無線局域網自身的特點，使得其他的信號很容易被系統外的用戶發現。如果乘客攜帶有無線天線或無線網卡的電子設備，能很容易搜索到無線信號獲取信息。甚至個別非法用戶可能會利用一些技術手段侵入無線網。如果信息被非法入侵者竊取利用，發布錯誤的行車指令，將會對列車的行車安全造成極大的安全隱患，增大安全風險的概率。為此，基于層次分析法，對影響CBTC系統的各主要因素進行定量分析，確定其權重，定量計算出影響系統安全的風險，揭示系統故障原因，同時指出安全防護相對不足的因素，進而有針對性地采取措施，提高系統安全水平。

2 層次分析方法 （Analytic Hierarchy Process，AHP）

AHP是美國運籌學家匹茲堡大學教授薩蒂（T.L.Saaty）于上世紀70年代初，為美國國防部研究“根據各個工業部門對國家福利的貢獻大小而進行電力分配”課題時，應用網絡系統理論和多目標綜合評價方法，提出的一種層次權重決策分析方法。AHP把研究對象作為一個系統，按照分解、比較判斷、綜合的思維方法進行決策。把定量計算和定性分析結合起來，增加了決策的有效性，同時所得結果簡單明確，容易被決策者了解和掌握。用AHP分析問題主要包括以下步驟。

2.1 建立層次結構模型

模型的建立首先要進行層次的劃分，最先是最高層（目標層），這一層次中只有一個元素，它一般是分析問題的預定目標或理想結果；然后是中間層（準則層），這一層次中包含了為實現目標所涉及的中間環節，可以由若干個層次組成，包括所需考慮的準則、子準則；最后是最低層（方案層），這一層次包括了為實現目標可供選擇的各種措施、決策方案等。

2.2 構造成對比較判斷矩陣

在建立層次結構模型后，界定各層次元素的權重比較困難，兩兩比較是一種常用的方法。它通過元素之間的兩兩比較和判斷構造矩陣，對各個元素的相對重要性給出定量判斷，在1～9之間對各自的重要程度賦值（見表1），并進行量化，從而構造各層次的指標判斷矩陣。

表1 1～9標度的意義

2.3 一致性判斷

比較判斷矩陣的辦法雖能減少其他因素的干擾，較客觀地反映出一對因子影響力的差別。但綜合全部比較結果時，其中難免會包含一定程度的非一致性，因此，要對判斷矩陣作一致性檢驗。

（1）計算一致性指標CI

式中：λmax是判斷矩陣的最大特征值。

（2）查找相應的平均隨機一致性指標RI。當n=1,2,…,9時，RI的值[8]如下表2所示。

表2 隨機一致性指標RI值

當CR＜0.10時，認為判斷矩陣的一致性是可以接受的，否則應對判斷矩陣做適當修改。

（3）計算一致性比例CR

3 基于無線的CBTC系統風險識別與分析

3.1 風險因素分析

從已有的資料和現場設備的使用情況分析，基于無線的CBTC系統風險存在于各個方面，從設計施工到設備維護的每個環節，從內部工作環境到外部運行環境，以下是影響系統風險的主要因素。

3.1.1 人的因素

目前，基于無線的CBTC系統是以“機控為主，人控為輔”的列車運行控制系統，但是任何系統的運行都不能避免突發狀況，在設備不具備應對能力的情況下，必須通過人來排除。目前，由于存在對維護人員新技術培訓不到位，維護人員技術不精湛等原因，可能導致誤操作、維護不到位或外部人員的惡意破壞等，對行車安全產生威脅。

3.1.2 信息不安全因素

由于電磁干擾或設備老化等原因，使得如CPU、內存等出現錯誤，從而導致MA生成錯誤。在信息交換過程中，當出現偏差、程序溢出、存儲和時鐘校核不正確、線路基礎數據配置錯誤或數據在轉換過程中出錯時，都會導致信息錯誤。

因為系統采用通信網絡進行信息傳輸，車-地之間的通信延時是必然存在的，車-地的通信延時，造成CBTC系統中車載設備和地面設備對信息使用不同步。例如，當軌旁設備收到車載設備的位置報文時，列車實際位置可能已發生改變，這對列車的運行控制存在一定的安全風險。

CBTC信號系統中所有的列車調度、控制信息都是以無線方式在列車和軌旁網絡之間傳遞，由無線網絡的開放性帶來的易干擾、易攻擊問題，使無線信息的傳輸成為了CBTC信號系統最大的安全隱患。錯誤的控制信息可能導致危險情況的發生，降低系統的可用性，甚至危及列車運行安全。列車的高速移動會導致車-地無線通信更高的丟包率和更多的數據重發。數據的丟包和重發會降低系統運行效率，嚴重的丟包會使接收方在一段時間內無法得到完整的信息，列車被迫緊急停車，從而降低了運營的效率和乘客的安全感。

3.1.3 環境因素

目前，基于無線的列車控制系統（CBTC）均采用IEEE802.11標準ISM 2.4GHz頻段。該頻段是一個全球性免費開放的頻段，基于2.4GHz的產品和技術的使用范圍非常廣，這些設備如果與CBTC處于相同的環境，并且工作頻點重疊時，就不可避免地對CBTC無線傳輸系統產生同頻干擾[7]。另外，隨著列車速度的提高，列車在高速移動中帶來的多普勒效應、隧道內的多徑效應以及開放空間中采用相同協議或相同頻段的設備造成的物理干擾等。雷電、暴風、雨雪、迷霧等自然災害，也會直接影響行車安全。

3.1.4 管理因素

無論是調度命令的下達、人對設備的操作、維護、設備的檢修、故障的處理等，都要通過管理來實現，都要通過有效的管理使基于無線的CBTC系統得到更高的可靠性與安全性，從而保證行車的安全性和有效性。在此，僅考慮制度的制定與實施兩個因素。

根據以上分析，建立AHP層次結構模型圖2所示。

圖2 CBTC安全風險AHP層次結構模型

3.2 評價指標權重計算

根據表1進行成對比較，確定各因素之間的相對重要性并賦以相應的值，構造出各層次所有的判斷矩陣，并計算權向量和一致性檢驗。利用AHP軟件計算，并根據表2進行一致性檢驗得出表3，這些值經過AHP驗證滿足表2的要求，即一致性滿足要求。

表3 風險影響因素及權重

表3 （續）

3.3 結果分析

圖3是每組元素對于上一層元素的權重以及每個元素對安全風險影響因素的總權重。從表3和圖3可以看出，信息不安全因素是影響安全風險的主要因素，其次是環境因素和人的因素，管理因素排在其后。由圖3可知，通信錯誤、硬件失效及頻率干擾等是影響安全風險的主要因素，雖然人的因素是影響系統安全的 關鍵因素，但不是主要因素。

圖3 風險影響因素的權重

4 安全風險的改善措施

4.1 加強技術人員的培訓

基于無線的CBTC，使一個以硬件為基礎的系統向以軟件為基礎的系統演變；移動通信技術的發展，無線局域網（WLAN）技術的成熟，接口標準的制定，開放的標準的數據通信系統（DCS），極大地推進了CBTC系統的發展進程。基于無線通信技術CBTC系統已經日趨完善，在世界各個城市的軌道交通項目中得到了實際應用。但是，國產CBTC系統還不完善，國外CBTC系統與國產其他信號設備的協調工作還存在一些問題，尤其是對于后續日常維護人員的培訓問題。如果培訓工作不到位，缺少專業技術精、綜合能力強的技術型職工，在設備維護、故障處理等方面會出現一系列的問題，如搶修查找速度慢、搶修不到位，對一些簡單的系統故障不知道如何判斷故障原因，或者盲目查找、無所適從，以至于導致出現故障延時過長、故障升級等情況。因此，要加強技術人員對于新設備或新技術的學習培訓，設置模擬設備為新進人員學習和培訓。

4.2 提高設備可靠性

通常基于無線的CBTC對通信設備和車載設備都采用雙套冗余配置，確保列車控制信息與車-地信息的可靠交換。對于核心部件可采用二乘二取二或者二取二的冗余方式，在交叉比較中出現任何偏差、程序溢出、存儲和時鐘校核不正確時，要使系統導向安全，同時切換至備用單元，滿足故障-安全的原則。

4.3 提高系統的抗干擾能力

基于無線的CBTC采用跳頻擴頻技術提高系統的抗干擾能力，針對無線網絡的開放特點，在通信網絡上采用多層結構、多種成熟的安全標準和加密規程措施，防止非法侵入截取信息。選擇合理的頻段、場強、天線等合理的信噪比。但是基于802.11標準的Wi-Fi與藍牙、點對點或點對多點擴頻通信、工業、科學和醫療等共用2.4GHz頻段，Wi-Fi系統沒有QoS保證，顯然達不到承載安全業務的標準[7]。筆者認為，改變CBTC使用頻段或改用GSM-R在技術上還是可行的。

4.4 加強管理

對于因系統數據源錯誤而導致的風險，系統本身很難進行預防，必須由數據提供方確保數據源準確無誤。因此，從現場測試開始就要對數據進行嚴格檢查，對于原始數據在生成邏輯數據的過程中出的錯，一定要由專業數據工作人員使用專門的工具，并由專門的數據校核人員按規定的方法和流程嚴格校核數據，再通過集成測試、現場測試等測試方法，確保數據正確無誤。

軟件維護制約著系統的可用性，隨著用戶對系統的不斷了解，需求可能會發生變化，修改或者對系統進行調整，很多時候在合同談判或者投標的時候，出現回避軟件維護工作，造成后續設備維護單位的工作很被動，甚至需要大量投入，可能還會影響正常運營。所以，在供貨廠家的選擇上，應優先考慮服務意識比較好的供貨商，有利于系統的調試開通和運營維護。

5 結語

本文在分析基于無線的CBTC系統結構和功能的基礎上，采用AHP方法分析所有可能導致系統安全風險的因素，結合已有文獻和現場的應用情況，有針對性地提出了系統安全風險防范措施，在實際應用中有一定的借鑒和實用價值。

[1]IEEE STD 1474.1—2004,IEEE Standard for Communica?tions-Based Train Control(CBTC)Performance and Func?tional Requirements[S].

[2]IEEE STD 1474—2003,IEEE Standard for User Interface Requirements in Communications-Based Train Control(CBTC)Systems[S].

[3]IREM UCAL SARI,HULYA BEHRET.Risk governance of urban rail systems using fuzzy AHP:The case of ISTAN?BUL[J].International Journal of Uncertainty,Fuzziness and Knowledge-Based Systems,2012,20(Suppl):67-79.

[4]趙曉峰.無線CBTC信號系統時間同步機制分析[J].鐵路通信信號工程技術（RSCE），2012，9（2）：36-39.

[5]朱光文.地鐵信號系統中車-地無線通信傳輸的抗干擾研究[J].鐵道標準設計，2012（8）：112-116.

[6]何廷潤.面臨電磁環境惡化的地鐵CBTC系統安全性分析[J].移動通信，2012（23）：70-71.

[7]許樹柏.層次分析法原理[M].天津：天津大學出版社，1988.

[8]張苑，劉朝英，李啟翮，等.無線閉塞中心系統安全風險分析及對策[J].中國鐵道科學，2010（7）：112-117.

[9]李曉剛.車地通信延時對CBTC系統列車運行控制的影響分析[J].鐵路通信信號工程技術（RSCE），2011，8（6）：44-46.