鐵路企業音視頻監控集成平臺方案研究

程若廳，江新樂，夏 雷，王學斌，傅 鵬

（1. 中國鐵路上海局集團有限公司 科技和信息化部（總工程師室），上海 200071；2. 上海申鐵信息工程有限公司，上海 200071）

音視頻監控系統是一種主動探測手段，可以把多個探測結果關聯起來，實現實時動態監控，所記錄的信息具有完整性和真實性，不僅可記錄事件發生時的狀態，還可記錄事件發展的過程和處置結果，常作為事后調查的證據。為此，音視頻監控系統廣泛應用于多種安全生產管理場景，成為作業過程控制、安全管理的重要技術手段。

近年來，隨著網絡傳輸能力不斷增強、移動互聯和圖像智能分析技術飛速發展，音視頻監控系統在鐵路企業中的應用場景更加多樣化，與其它應用系統的信息融合更加緊密。房建、車務、貨運、工務、機務、客運、車輛、供電、非運輸企業等為實現對重要設備設施、生產作業場所、重點安防區域等處所的動態監控，配置了大量音視頻監控資源（攝像機、拾音器、數字對講機、執法記錄儀、手持終端等）及應用系統。這些音視監控頻資源和應用系統的運用，為鐵路運輸指揮、生產作業、公安保衛等各項工作的有序開展提供了強有力的技術保障，有效提升了鐵路安全生產管理水平[1]。

然而，大量音視頻監控資源的分散和重復建設，造成資源浪費、資源不能共享、建設標準不統一、系統網絡安全和應用安全不可控等問題，迫切需要從鐵路局集團公司層面對鐵路企業既有的音視頻監控資源加以深度集成和有效融合，制定技術規范和平臺運用管理辦法，實現音視頻監控資源的統一管理、維護，進一步挖掘音視頻監控資源的應用價值[2]。

為此，提出“一套標準、一個平臺、一張專網”的集成平臺建設思路，開展鐵路企業音視頻監控集成平臺（簡稱：集成平臺）方案研究，在中國鐵路上海局集團有限公司（簡稱：上海局）層面實現既有音視頻監控資源的整合，構建統一的安全認證體系，研發以綜合監控、圖像智能分析、資源管理、智能運營維護（簡稱：運維）為核心的業務應用，面向鐵路各級用戶的應用需求開發定制化服務，為監督檢查、應急指揮和決策分析提供強有力的技術支撐。

1 現狀調查及問題分析

1.1 現狀調查

對上海局及其下屬各單位既有的除綜合視頻監控系統之外的音視頻監控資源及應用系統建設與運用情況進行全面調研，調研結果如表1所示。

表1 上海局音視頻監控資源調查統計表

上述音視頻監控資源和應用系統的建設投資模式較為復雜，包括鐵路投資、外單位投資、租賃視頻廠商服務、鐵路投資與租賃組合等；其主要應用場景包括：鐵路外部場所監控（設備狀態監控、公共場所安保監控、新線建設施工監控、道口、貨場等）、車間工廠等鐵路內部場所監控（車站內場所監控、站場區域監控、鄰近營業線施工安全監控等）以及其他場景監控等。

1.2 問題分析

（1）信息安全缺乏保障：部分單位建設或租用的音視頻監控系統運行在互聯網環境上，大部分不滿足網絡安全等級保護要求，缺乏完善的網絡安全防護措施，安全防護能力和管控能力較弱，易遭受外部網絡攻擊，可能造成鐵路企業數據泄露，對企業形象造成不良影響；有些系統涉及鐵路敏感數據，卻直接部署在路外廠商機房中，存在一定的數據安全風險。

（2）音視頻監控信息共享難以實現：由于缺乏統一的建設標準，前端音視頻監控設備、存儲設備、系統應用的廠家眾多，各站段單位使用的音視頻監控系統運行在互聯網、點對點專線、局域網、辦公網等不同網絡環境中，系統之間難以互聯互通；這些系統基本是封閉運行，缺乏統一管理，數據編碼不統一，系統接口不規范，無法實現系統之間的數據共享和有效聯動，給音視頻監控資源的統一接入、音視頻文件集中存儲、數據共享造成不便；對于部分站段單位租賃的路外單位建設的音視頻監控資源，其信息接入和共享的難度更大。

（3）音視頻監控系統運維管理分散而混亂：目前，各站段單位使用的音視頻監控系統的運維管理較為混亂，有些單位直接將系統委托給路外單位維保，但對委托單位缺乏有效管理和監督；有些系統無專人負責運維管理，設備故障或系統功能喪失后不能及時得到處理，設備或系統更不能有效開展計劃性維護保養，給使用和監管單位帶來不便，也造成系統使用效率低和資源浪費，給后續集中管控、開發智能分析應用等帶來較大困難。

（4）音視頻監控資源管理缺失：各站段單位建設的音視頻監控資源規模龐大，應用系統繁多，著重滿足本單位監控業務需求，音視頻監控資源缺乏規范化管理，大多數未建立設備臺賬管理，無法全面準確掌握各類前端音視頻監控設備的詳情及運行狀況，無法給音視頻監控資源改擴建提供準確決策依據，造成音視頻監控資源的重復和無序建設。

2 建設目標

研究建設一個統一、安全、高效、實用、智能的音視頻監控集成平臺，為上海局各單位提供安全生產管控工具，滿足日趨緊迫的安全管理需求。

2.1 提升音視頻監控系統的網絡安全防護能力

集成平臺構建“云管端”三位一體安全認證體系，從“云管端”3個層級進行全流程的安全管控，按照等保2.0標準進行規劃建設，注重主動防御，做到事前、事中、事后全流程管理，具備安全可信、動態感知和全面審計等功能。

2.2 實現音視頻監控資源的統一接入和數據集中存儲

集成平臺能夠接入支持國標協議和主流廠商私有協議的設備，并為非國標、非主流廠商的設備接入提供國標網關模塊[3]，實現對既有音視頻監控資源最大范圍的接入；依托上海局的音視頻私有云平臺服務，實現音視頻數據集中存儲管理，為音視頻監控信息共享和集成應用開發奠定基礎。

2.3 實現音視頻監控資源的信息共享和集成應用

針對鐵路企業用戶（包括上海局及所屬站段）各類應用場景中對音視頻監控信息資源的訪問需求，集成平臺提供定制化信息共享服務；同時，集成平臺提供集成框架和統一規范，支持第三方應用快速集成，滿足橫向和縱向的無縫擴展要求，適應智能化應用等新技術的快速發展，為鐵路企業安全生產管理提供廣泛的音視頻資源共享服務。

2.4 提供音視頻監控資源的統一運維管理

對接入集成平臺的音視頻監控資源實行統一運維管理，按照統一規范建立既有音視頻監控資源的履歷檔案，開發音視頻監控設備運行監控、故障診斷、維護保養及更新改造的管理工具，提供統一的音視頻監控系統運維管理服務，支持音視頻監控資源全生命周期管理，并為音視頻監控系統的改擴建決策提供準確可靠的參考依據。

3 平臺架構設計

3.1 技術架構

音視頻監控集成平臺依托上海局私有云平臺資源構建，采用“一基座三中臺”架構設計。“一基座三中臺”包括一個承載中臺的基于微服務的集群部署架構的私有云能力基座、媒體中臺、數據中臺、解析中臺，如圖1所示。

圖1 集成平臺技術架構示意

（1）私有云能力基座：基于云計算環境部署，實現自動化部署、高可用、彈性調度、路由管理、存儲管理及監控告警，并為上層應用提供基礎服務能力支撐，包括統一設備、統一配置、統一權限、統一工單、統一項目及統一日志。

（2）媒體中臺：提供統一的媒體服務能力，專注于實現各種不同媒體資源統一接入和處理。傳統的視頻監控平臺、視頻會議平臺等只能接入某一種前端媒體數據，而媒體服務中臺支持多種協議接入，可同時接入視頻監控、視頻會議等，實現統一轉碼、分發、調取；并能提供標準的無插件媒體服務，可方便地實現任何資源點信息的一鍵調閱。

（3）數據中臺：提供統一的數據存儲和訪問服務，以分布式云存儲和數據庫為核心，數據讀寫性能更好，數據可靠性更高；采用各種可擴展的大數據分析組件，支持數據建模，實現各種多維大數據的關聯分析，同時提供可擴展的數據分析服務，能夠支撐豐富的視頻大數據應用。

（4）解析中臺：提供統一的智能分析服務框架，支持算法倉庫，可統一管理和調度車輛分析、人像分析、結構化分析等不同的分析算法引擎，也可同時管理調閱圖形處理器分析資源，并提供統一的算法調度接口，為前端應用提供快捷的算法服務，以快速實現各種智能分析應用。

3.2 部署架構

集成平臺按照中心節點、區域節點分布式架構進行設計，部署架構如圖2所示。

圖2 集成平臺部署架構示意

中心節點機房作為集成平臺的中心節點，其各類系統應用和數據庫部署在上海局自建的私有云平臺上，為集成平臺提供計算、存儲、網絡和安全等資源；在杭州、南京等區域節點機房部署區域節點平臺，就近接入該區域內音視頻監控資源。中心節點采用GB/T 28181-2016國標標準，接入下層的區域節點，實現上海局管轄區域內各類音視頻監控資源的匯聚接入。

私有云平臺采用超融合基礎架構，用軟件定義技術來構建計算、存儲、網絡和安全的統一資源池，并提供運維管理、容災備份、智能監控等特性，為集成平臺系統應用提供穩定、可線性擴容、安全、高效的私有云資源服務[4]。

4 網絡安全體系設計

集成平臺構建“云管端”三位一體安全認證體系，注重主動防御，做到事前、事中、事后全流程管理，具備安全可信、動態感知和全面審計等功能。所構建的網絡安全體系既能滿足國家的法律法規和中國國家鐵路集團有限公司的要求，又要確保用戶方便使用，同時建設成本可控，全面保障音視頻監控集成平臺的安全[5]。

4.1 設備準入安全

為確保聯網設備的接入安全，制定嚴格的設備準入規則。準入認證機制具備主動掃描現網設備（IPC、PC、NVR等）的功能，以構建資產庫，采用設備特征指紋技術，對前端設備的身份進行合規性認證，有效防范前端設備的非法私接仿冒行為。對傳輸數據進行深度協議過濾，準入認證設備部署在網絡匯聚層，對所有前端設備流量進行深度檢測，只放行音頻、視頻、圖片等數據流，阻止病毒、惡意流量進入專網環境，設備準入機制如圖3所示。

圖3 設備準入機制示意圖

準入認證設備具備前端設備身份認證、傳輸數據協議過濾、高可靠性、彈性擴展、圖形化展示等功能。即使有攻擊者通過偽造身份冒名接入網絡，攻擊行為也會被準入認證設備實時阻斷并告警，確保安全防護的準確性和時效性。

4.2 網絡安全設計

平臺側安全設備和安全策略按照網絡安全等級保護三級要求進行配置和部署。搭建邏輯隔離的軟件 定 義 廣 域 網（SD-WAN，Software Defined Wide Area Network）視頻專網通道，前端音視頻監控設備和用戶監控終端通過視頻專網鏈路通道實現專網接入；設立網絡隔離安全區，集團公司互聯網網站群應用與音視頻監控集成平臺在隔離區進行數據交互，保證應用和數據的安全。

4.2.1 有線傳輸安全

集成平臺的有線傳輸采用直連光纖、鐵路點對點專線或SD-WAN加密通道（SD-WAN組網架構如圖4所示），除了對具備條件的應用場景采用直連光纖和點對點專線進行物理隔離外，其他場景均采用SD-WAN專網加密通道進行傳輸，對認證過程和傳輸過程中的數據進行加密，并在虛擬專線上傳輸，以保證數據的私密性和安全性[6]。

圖4 SD-WAN組網架構示意

4.2.2 無線接入安全

對于前端音視頻監控設備不具備有線聯網條件的，均采用虛擬專有撥號網絡（VPDN，Virtual Private Dial Network）無線專網流量方式進行傳輸。從運營商申請的物聯網卡開通私有接入點（APN，Access Point Name）用于VPDN業務，并為用戶配置一個VPDN專用域名，建立起虛擬專用網絡（VPN，Virtual Private Network）專用隧道，實現與互聯網通道的邏輯隔離，確保安全的無線數據傳輸。

4.3 平臺應用安全

集成平臺的安全準入參考鐵路企業標準Q/CR 722-2019《鐵路移動智能終端互聯網安全接入平臺技術條件》[7]和上海局對平臺的網絡安全管理要求，在聯網層面保證音視頻監控資源和終端用戶的可信接入，數據傳輸過程完整可靠，針對特定點位可實現從傳輸到存儲全程加密。集成平臺具備資產管理和安全管控等功能，資產管理主要包括終端資產注冊、注銷和管理；安全管控主要包括用戶認證和行為監控，用戶登錄時啟動準入檢查，通過數字證書認證、用戶名/口令綁定設備標識碼認證等方式，對用戶進行身份認證，保證數據安全共享。

5 應用功能設計

音視頻監控集成平臺是一套集成化、智能化的信息融合系統，以地理信息系統 （GIS，Geographic Information System）地圖為載體，融合各系統能力，滿足音視頻監控豐富的基礎應用和智能應用需求。通過接入各類音視頻監控資源，實現安防信息化集成與聯動，應用功能主要包括8個模塊：匯聚接入、綜合監控、運維管理、設備履歷管理、配置管理、圖像分析、性能優化、日志管理，系統功能結構如圖5所示。

圖5 系統功能結構示意

5.1 匯聚接入

完成媒體網關、離線轉儲、節點匯聚的功能配置，實現音視頻監控資源的整合接入。

（1） 媒體網關：配置國標媒體網關功能模塊，實現非國標、非主流廠商的音視頻監控設備的國標轉碼接入。

（2） 離線轉儲：在用戶端配置采集站設備，對離線音視頻監控設備存儲的音視頻文件進行集中存儲管理，采集站通過有線專網鏈路接入集成平臺，實現離線音視頻文件集中存儲和遠程調用。

（3） 節點匯聚：各區域節點接入的音視頻監控資源通過有線專網鏈路統一匯聚到中心節點系統，實現音視頻監控資源的集中接入和統一管理。

5.2 綜合監控

提供實時視頻預覽、錄像回放與檢索、云鏡控制、語音對講、電視墻管理等基本功能，方便各類用戶訪問所需的音視頻監控信息資源。

（1） 實時視頻預覽：用戶可對監控點進行圖片抓拍、快速上屏、即時回放、碼流選擇、窗口輪巡、畫面布局自定義、桌面預案、定時任務等操作。

（2） 錄像回放與檢索：用戶可對指定監控點的錄像文件進行多功能回放、隨機回放、單幀回放，回放時可進行暫停、快放、慢放等操作。

（3） 云鏡控制：用戶可對指定監控點進行云臺和快球的方向控制、自動掃描、光圈焦距管理、鏡頭縮放、云臺速度調節、預置位巡航設置、焦距調節等操作。

（4） 語音對講：用戶可對指定監控點進行實時語音對講和客戶端語音主動呼叫操作。

（5） 電視墻管理：根據用戶現場實際電視墻布置，選擇相應顯示風格的電視墻，并配置好對應通道的解碼器，按照不同用戶需求，提供基于電視墻的畫面瀏覽、電視墻窗口輪巡等功能。

5.3 運維管理

支持無插件視頻預覽和基于電子地圖的查詢調閱，提供監控點巡檢、視質分析、告警管理，方便運維人員實現音視頻監控資源的統一運維管理。

（1） 監控點巡檢：開發智能巡檢算法，對監控點的在線狀態、設備告警狀態、網絡拓撲等參數進行實時檢測，提供監控點在線數、離線數、告警數等分類統計信息展示。

（2） 視質分析：開發圖像質量分析算法，能夠檢測和分析設備碼流狀態、圖像狀態（視頻遮擋、視頻模糊、場景變更、視頻信號丟失、亮度異常等），定期分析圖像質量，及時發現圖像質量問題。

（3） 告警管理：告警中心對各類告警信息進行集中管理，實現實時告警、歷史告警、告警配置、告警知識庫等告警信息管理功能。

5.4 設備履歷管理

完成設備數據錄入、設備查詢、統計分析，實現對音視頻監控資源的“一機一檔”規范化管理，詳細記錄音視頻監控設備的履歷參數，提供全生命周期的履歷臺賬管理，為音視頻監控系統的改擴建決策提供準確可靠依據。

（1） 數據錄入：既有音視頻監控資源建設單位完成設備數據的錄入，再由專業部門主管單位對錄入的設備數據進行單條或批量審核。

（2） 設備查詢：提供對不同類型的音視頻監控設備數據的查詢、錄入、編輯、查看詳情、刪除、導入導出、模板設置、地圖操作等功能，可查看指定類型的設備數據，設備類型、篩選條件、設備列表展示字段均可靈活設置。

（3） 統計分析：可按監控區域、設備類型、聯網方式、專業部門等不同維度，對音視頻監控設備信息進行統計分析，并以圖表形式直觀展示。

5.5 配置管理

集成平臺采用B/S架構，支持多終端應用訪問（包括網頁端、客戶端、移動端、數據大屏），提供統一認證和權限管理，支持靈活的系統組織架構設置，以及細粒度的用戶和角色管理，方便系統管理員按照信息共享方案，控制不同用戶信息訪問權限。

（1） 組織架構：設置所屬機構的單位名稱、單位級別、單位類型、單位簡稱、所屬轄區、單位編號、單位地址、聯系人名稱、聯系人電話、單位描述，提供組織機構的增、刪、改和查詢功能。

（2） 用戶管理：提供用戶增、刪、改和查詢功能；一個用戶可以關聯多個角色，可設置用戶的有效期限及綁定IP；可設置用戶登錄后的業務主頁及同時播放的實時視頻路數。

（3） 角色管理：可為集成平臺用戶設置不同角色名稱、角色級別、角色描述，可為不同角色的用戶設置其登錄平臺后指定的菜單管理權限及功能使用權限；用戶可按視頻分組、視頻設備、設備屬性進行視頻資源訪問授權；可設置不同角色對視頻資源的操作權限，包含實時查看、歷史回放、PTZ（Pan/Tilt/Zoom）控制、錄像下載等。

5.6 圖像分析

使用智能圖像分析算法，通過數據標注、算法訓練和應用開發，實現對音視頻監控設備采集的圖像信息的分析處理，將分析結果進行記錄或與其他信息進行聯動[8]。

（1） 數據標注：利用矩形框標注、多邊形標注、關鍵點標注等方法對動態圖片、靜態圖片中的目標進行準確框定，通過人工方式，可在人臉特征點的規定位置上標注關鍵點，訓練人臉識別模型。

（2） 算法訓練：主要對圖像分類模型、物體檢測模型、圖像文字識別模型、圖像比對模型、視頻分類模型、視頻行為分析模型等進行算法訓練；算法主要識別圖片中是否含有指定物體、狀態或場景，物體的位置和標記點名稱，提取圖片中的文字進行識別，提取前景圖與背景圖中差異的像素區域，識別視頻中的對象屬性或場景屬性等信息。

（3） 異常檢測與預警：針對鐵路企業安全生產的各種應用場景，基于圖像分析算法，定制各類異常檢測與預警應用，實現對作業現場、站場區域的煙霧、火光、大機侵線、移動偵測、越界報警、扶梯逆行檢測、人群密度報警、電子圍欄周界警戒等異常情況的實時檢測和預警聯動。

5.7 性能優化

利用碼流轉發機制，有效降低前端設備網絡負載，利用時間同步機制為實時采集的音視頻數據準確標記時間戳，保證集成平臺的可用性和用戶體驗。

（1） 層級碼流轉發：某個監控點視頻可能會被多個不同層級的不同用戶并發調閱，例如A-B-C三級域，A和B都調閱C的一個前端監控點，C需要同時向A和B發送兩路碼流，帶寬消耗大；鑒于前端監控點的網絡帶寬資源有限，使用層級轉發后，C只需要向B發送一路碼流，B再向A轉發碼流。

（2） 時間同步：集成平臺提供網絡時間協議（NTP，Network Time Protocol）同步機制，實現中心節點上層平臺與區域節點下層平臺時間同步，中心節點平臺到用戶監控終端時間同步，中心節點平臺到前端音視頻監控設備時間同步。

5.8 日志管理

制定統一的操作日志和系統日志規范，提供日志查看、調用鏈分析等功能，方便系統管理員掌握系統運行情況及用戶使用情況，為故障診斷、系統調優、用戶使用情況分析、安全審計提供支持。

（1） 操作日志查看：可按指定條件查詢操作日志，列表查看詳細的日志記錄，包括日志時間、操作用戶名、登錄IP地址、操作動作、操作對象類型、操作對象、操作結果、操作內容詳情及操作（查看詳情或調用鏈）等信息。

（2） 系統日志查看：可查看指定服務器、組件和服務的系統日志信息，通過其中的錯誤碼可詳細了解系統錯誤情況及相應的處理建議。

（3） 調用鏈分析：支持查看操作日志及系統日志中的調用鏈，方便系統管理員了解一次業務操中涉及到的所有組件間的調用關系，以及這些組件的異常狀況及相關日志，以快速定位異常問題原因。

6 結束語

音視頻監控集成平臺對各專業部門獨立建設和運用的既有音視頻監控資源進行接入和整合，實現音視頻監控資源分區域、分專業和全局共享，提高了上海局范圍內的音視頻監控資源利用率，充分滿足各專業部門、各級安全生產指揮中心對音視頻監控資源的不同使用需求，成為鐵路運輸指揮、生產

作業監控、治安防范、安全生產監督的重要輔助手段，對提升管理效能具有重要意義。集成平臺從“云管端”3個層級進行全方位安全管控，保證鐵路企業音視頻數據的安全；通過實現設備統一運維管理和規范化履歷管理，大大提升音視頻監控資源使用效率，可為音視頻監控系統的改擴建決策提供準確依據，有助于改變以往音視頻監控資源分散建設、重復投資的不利局面。

按照“一套標準、一張專網、一個平臺”的建設原則，集成平臺旨在集團公司層面實現各類音視頻監控資源的統一接入、統一調閱、統一分析、統一運維、統一管理和統一防護。為規范和加強管理，充分發揮集成平臺在鐵路運輸安全和生產指揮中的作用，特制定《中國鐵路上海局集團有限公司音視頻監控平臺（系統）建設管理指導意見》和《中國鐵路上海局集團有限公司音視頻監控平臺運用維護管理辦法》，明確規定前端設備接入、專網傳輸通道、后臺服務等運用及維護管理的具體要求。