地鐵車輛基地綜合自動化管理系統網絡架構的設計與實施

陽丁山　陳華銀　黃國輝　謝剛　葉鸝君

本文對某車輛基地綜合自動化管理系統網絡架構部分的設計與實施進行研究分析，研究發現，該系統網絡架構的重點與難點在于將生產網與辦公網絡隔離，在確保MDIAS系統網絡安全的情況下，不影響其他系統通過辦公網與MDIAS系統的數據通信。實踐證明該系統效果顯著，具有一定的推廣價值。

車輛基地;網絡架構;城市軌道交通

車輛基地綜合自動化管理系統（MDIAS）是一種對地鐵車輛基地內車輛相關作業進行自動化管理的系統，其包括對車輛的收發、停放、整備和維護等工作的管理。地鐵車輛基地的關鍵任務之一是保障車輛的健康狀態，確保車輛設備在正線的安全運營。地鐵基地信息化建設尚處于起始階段，因此所面臨的問題比較多，結合地鐵運營公司的需求和車輛基地的主要業務。本文對地鐵車輛基地綜合自動化管理系統的網絡架構進行設計和實施，為車輛基地綜合自動化管理系統提供一個安全可靠的網絡環境，以此提高地鐵車輛基地的生產效率、降低生產成本。

MDIAS系統位于生產網絡中，通過核心交換機和防火墻與其他網絡隔離，防火墻通過設置一個辦公網OA接口接入辦公網，在防火墻上設置NAT網絡地址進行轉換，通過對源地址轉換，將生產網的IP地址轉換成防火墻上辦公網OA接口的IP地址，并與辦公網設備進行通信，同時辦公網并不清楚防火墻后面的網絡結構，因此并不能對防火墻后面的生產網絡造成威脅，通過防火墻對接口數據的審查，杜絕病毒和垃圾數據對生產網的影響。在服務器機房安置一臺安全服務器，通過搭載殺毒軟件和入侵檢測系統對生產網絡內部的網絡威脅進行管控。

車輛基地綜合自動化管理系統由服務端與客戶端組成。服務器位于車輛基地設備機房，通過多臺服務器組成一個集群來搭載MDIAS系統，并通過集群映射的服務端口向客戶端提供服務，同時由專用的數據庫服務器來儲存系統數據，而數據庫服務器也做了主備，保障數據的安全儲存和冗余。客戶端部分通過MDIAS系統的客戶端與服務器通信，客戶端又由不同的服務對象而劃分不同的服務權限，不同客戶端處于同一個子網內，通過不同權限的賬號登錄，服務器提供對應的服務，避免由于權限操作帶來的問題。

為保障車輛基地綜合自動化管理系統（MDIAS）的網絡安全，需將MDIAS系統和其他系統的網絡隔開，實現其他協同系統無法直接與服務器通信。通過對對接系統的信任程度劃分了兩種方案。

（1）對于可信度比較高的對接系統，我們通過一臺核心交換機相連，開啟核心交換機的三層路由功能，并在核心交換機與對接系統之間設置一個防火墻來保障兩端系統的網絡安全。通過在核心交換機與防火墻上設置網絡路由，MDIAS系統和對接系統就可以直接通信。（2）對于可信度不高的對接系統，可在辦公網絡中設置一個中轉服務器，搭載websocket服務，將MDIAS系統作為一個客戶端，由MDIAS系統主動對接的數據推送到中轉服務器的數據池中，對接系統到中轉服務器的數據池中獲取所需數據，這樣可以杜絕辦公網絡里面的任何設備在訪問生產網絡的同時還能獲取需求的數據。

車輛基地綜合自動化管理系統網絡構架可以分為網絡布局和網絡安全兩個部分組成。

為保障MDIAS系統的服務和數據儲存冗余安全，現將6臺應用服務器和2臺數據庫服務器組成服務器集群，分為兩套冗余應用服務器和兩套冗余數據庫服務器，因此應用不會因為某一臺服務器的故障而導致集群服務的不可訪問和數據丟失。此外其他網絡設備如核心交換機、接入交換機、防火墻和接口工作站等都做了冗余處理。

對于生產網絡內部，本地客戶端通過接入交換機與服務器相連，且兩者處于同一子網內并可以直接訪問;對于生產網內部的對接系統與MDIAS系統的通信，采用的是對接系統通過與服務器處于同一網絡的接口工作站通信，然后服務器通過訪問接口工作站與對接系統通信。異地客戶端通過接入交換機匯聚到一根光纖上，連接到核心交換機上，并通過設置網絡路由的方式來實現異地客戶端與服務器通信。對于處于辦公網絡的設備，在辦公網絡中設置一臺搭載Websocket的中轉服務器，并通過防火墻上的辦公網絡OA接口與防火墻相連，生產網內部服務器向Websocket推送相關數據，位于辦公網絡的設備通過Websocket取得自己需求的數據，因此并不會直接與生產網內部的服務器通信，杜絕辦公網內的不安全通信。同時處于對網絡故障的考慮，該系統所有的服務器和工作站都設置了AB雙網，在A網出現故障的時候，各個服務器和客戶端會自動轉為B網通信。

網絡安全部分，可分為兩種情況，生產網內部與生產網外部。（1）生產網內部。設置有專用的安全服務器，并搭載有殺毒軟件中控和入侵檢測服務端等，在各個工作站和服務器都安裝了客戶端程序，對生產網絡內部的網絡安全進行管控，并在其上設置了一系列的安全策略，包括各客戶端的密碼限制，各服務器的訪問控制以及安全審計等。（2）生產網外部。在生產網與辦公網通過一臺防火墻相連，在該防火墻上設置了NAT地址轉換，將需要訪問辦公網的數據包的源地址轉換為防火墻上辦公網IP，將生產網絡隔離保護起來，讓MDIAS服務器與辦公網絡處于單方向通信狀態，辦公網絡不能直接與生產網絡通信。

由于MDIAS服務器網絡安全限制，外部網絡無法訪問MDIAS服務器，但是MDIAS系統需要和外部服務器進行數據交互，所以采用Websocket協議來實現兩個系統之間的通訊。

Websocket是一種復用http網絡通道的協議，其原理是通過建立長連接方式通訊，基于Websocket通訊方式，我們在外部網絡（OA網）建立網絡通訊中轉服務，MDIAS系統作為客戶端主動發起向服務器的網絡通訊連接，通過輪詢或者長鏈接的方式取回中轉服務的數據，實現數據交互。在這個過程中，中轉服務器無法訪問MDIAS系統資源，只能被動接受和響應客戶端（MDIAS服務器）的數據推送和請求，同時只能在MDIAS系統主動請求連接時才能進行數據交互;當其他系統要請求MDIAS系統數據（例如：PMS）時，必須先通過中轉服務器向MDIAS系統發起數據請求（中轉服務其不能直接請求數據），MDIAS系統收到請求，判斷請求合法后便將數據推動到中轉服務器，其他客戶端（PMS）從中轉服務器取回數據，完成一次數據交互。

總之，整個系統的網絡架構是車輛基地綜合自動化管理系統最基礎的也是最重要的組成部分，因此只有一個良好的網絡環境才能保障系統的正常運行。該系統網絡架構分為系統內部網絡和外部網絡兩部分，而其中的重點與難點在于將生產網與辦公網絡隔離，在確保MDIAS系統的網絡安全的情況下，不影響其他系統通過辦公網與MDIAS系統的數據通信，實踐證明該系統效果顯著，具有一定的推廣價值。

[1] 徐文愷.網絡條件下城市軌道交通列車運行調整研究[D].北京：北京交通大學，2019.

[2] 邢瑩瑩.城市軌道交通復雜網絡特性及脆弱性研究[D].上海：上海交通大學，2017.

[3] 李麗.基于復雜網絡理論的城市軌道交通網絡可靠性研究[D].北京：北京交通大學，2015.

Network Architecture Design and Implementation of Integrated Automation Management System for Metro Vehicle Base

YANG Dingshan， CHEN Huayin， HUANG Guohui， XIE Gang， YE Lijun

This paper studies and analyzes the design and implementation of the network architecture of the vehicle base integrated automation management system， the study found that，the key and difficult point of the system network architecture is to isolate the production network from the office network， under the condition of ensuring the network security of mdias system， it does not affect the data communication between other systems and mdias system through the office network.

Practice has proved that the system is effective，it has a certain promotion value.

vehicle base; network architecture; urban rail transit