基于α-截集三角模糊数和攻击树的CTCS网络安全风险评估方法

针对工业控制系统网络安全风险评估影响因素的不确定性和指标量化困难问题,提出一种基于模糊理论和攻击树的方法评估工业控制系统风险,并将它应用于中国列车控制系统(CTCS)的风险评估。首先,基于CTCS可能面临的网络安全威胁和系统自身的脆弱性建立攻击树模型,使用α-截集三角模糊数(TFN)计算攻击树叶节点和攻击路径的区间概率;其次,利用层次分析法(AHP)建立安全事件损失数学模型,最终得出风险评估值。实验结果表明,所提方法可以有效评估系统风险,预测攻击路径,降低主观因素对风险评估过程的影响,使评估结果更契合实际,为安全防护策略的选择提供参考和依据。

CTCS-3(中国列车运行控制系统3级)在市域铁路中的应用分析

[目的]目前,我国市域铁路仍没有应用CTCS-3(中国列车运行控制系统3级)的案例。为扩展CTCS(中国列车运行控制系统)在市域铁路中的应用,应对CTCS-3在市域铁路的应用进行探讨。[方法]分析了现有市域铁路的特点及CTCS制式在市域铁路应用的现状,提出了CTCS-3在市域铁路应用的技术方案。分析了CTCS-3在市域铁路的适应性,对应用于市域铁路的CTCS-3的技术方案提出了优化建议。[结果及结论]与CTCS-2(中国列车运行控制系统2级)相比,CTCS-3(不以CTCS-2为后备)在市域铁路中具有更好的适应性,其在牵引供电制式适应性、保护区段设置方式、与其他轨道交通制式互联互通等方面均具有优势,信号工程成本也较低。

CTCS-N等级转换场景形式化建模与验证

新型列车控制系统的车载设备承担更多地面设备的功能,其功能测试主要是以现场测试为主,费时费力,构建满足系统功能与性能需求的模型有助于保证列车在线路上安全、高效地运行,因此针对新型列控系统提出一种基于时间自动机的形式化建模与验证的方法。首先,选取等级转换场景为主要建模场景,提取规范中的功能与性能需求,梳理信息交互图,基于UPPAAL建立车载设备、应答器、临时限速服务器、无线闭塞中心的时间自动机模型;然后,使用模拟器进行模型的仿真,生成对应的消息顺序图;最后,以自动机语言为基础,验证正常模式和故障模式下车载设备转换是否满足要求。验证结果表明:所建立的模型满足等级转换场景的需求,其功能符合对应的技术规范,证明了该形式化建模的可行性,为新型列控系统测试、其他场景或功能的建模与验证提供了参考。

基于CTCS-3/2级列控系统的高速铁路闭塞分区长度设计研究

根据CTCS-3级和CTCS-2级列控车载设备控车原理,提出高速铁路闭塞分区长度设计原则和约束条件。结合现行列控车载设备参数,当线路长大下坡道不大于24‰时,闭塞分区长度设计满足CTCS-3级列控车载顶棚速度350 km/h、CTCS-2级300 km/h正常运行。当线路长大下坡道大于24‰时,闭塞分区长度按照满足CTCS-3级列控车载顶棚速度350 km/h、CTCS-2级降速至250 km/h设计;或将CTCS-3级列控系统结合轨道电路信息定义的闭塞分区平均长度由3000 m调整为4400 m,以满足CTCS-3级列控车载顶棚速度350 km/h、CTCS-2级300 km/h运行要求。

基于CTCS-2级常态灭灯区段的动车组列车ATP故障后控车模式选择研究

动车组列车ATP设备故障后应转为ATP部分监控模式还是转为LKJ控车模式,是一个亟需解决的工程技术问题。基于CTCS-2级常态灭灯区段,阐述目前在列控车载设备故障重启后控车模式选择方面存在的问题,明确两种控车模式的作业环节及流程,将运输效率和运营安全指标进行量化,分析两种控车模式对行车效率的影响,以长大坡道过电分相为约束分析控车模式运行安全情况,最后给出CTCS-2级常态灭灯区段动车组ATP故障重启后选用何种控车模式的针对性建议。研究结果表明,ATP部分监控模式在大部分情况下运输效率更高,约占全部计算场景的70%以上;当线路坡度小于11‰时,两种控车模式的安全性基本一致,坡度超过11‰时应选择LKJ控车模式。相关结论可为调度应急处置决策提供参考和支持。

AHP策略下CTCS网络安全风险评估方法

工业控制系统的网络安全风险评估通常受多种不确定性因素的影响,为有效降低评估过程中专家主观因素和其他不确定性因素对评估结果造成的影响,提出一种基于攻击树和层次分析法(Analytic Hierarchy Process,AHP)策略的网络安全风险评估方法,并将其应用于中国列车运行控制系统(Chinese Train Control System,CTCS)的风险评估实践。首先,分析CTCS结构及其安全威胁,并基于安全威胁构建攻击树模型;其次,研究CTCS安全事件的产生机制,基于AHP策略分析安全事件可能导致的损失,将不确定性因素纳入安全事件发生概率的计算,通过安全事件发生概率及其损失计算出CTCS的风险值,当被评估对象为新上线系统或专家评估经验不足时,为降低数据波动引起的评估偏差,计算时去掉安全事件概率的最大值和最小值;最后,基于所提方法开展风险评估试验并进行仿真。结果表明:考虑攻击不确定因子和影响因子,风险评估结果在较低风险至中风险连续区间内的分布率接近100%,相对于未考虑不确定性因素的情况,风险评估结果在连续区间的分布率提升了近15%;去掉安全事件概率的最大值和最小值时,风险评估结果变化幅度更小,收敛于稳定的风险等级。

基于GSM-R和5G-R的CTCS-3级列控系统无线通信协议设计及差异性分析

随着我国5G网络建设日趋成熟,CTCS-3级列控系统及下一代列控系统承载大容量数据业务的需求也愈发强烈。5G-R网络作为替代GSM-R网络的下一代铁路通信移动系统,提供面向字节流的传输服务,具有宽带宽、高速率、低时延的优势,GSM-R网络下的无线通信协议已不再适用。从总体结构、协议分层和协议分割重组等方面对5G-R网络下的无线通信协议进行设计,从协议功能、传输可靠性、传输速率等方面对GSM-R网络和5G-R网络下的两种无线通信协议的差异性进行比对分析。5G-R网络下设计的无线通信协议可靠性更高、传输速率更快,可充分利用和发挥5G-R网络的优势。研究成果可对CTCS-3级列控系统在5G-R网络下的无线通信协议建设提供思路和借鉴。

CTCS-3级列控系统无线超时分析关键技术探索

阐述CTCS-3级列控系统无线超时分析应具备的核心功能以及相应的实现技术。对如何降低无线超时分析中的人工分析的重复工作量、提升自动分析的准确率进行研究;同时,通过对GSM-R网络以及CTCS-3级列控设备的运用质量趋势分析,帮助维护人员及早发现故障隐患。

基于STPA与时序逻辑的CTCS-3级列控系统安全分析

中国列车控制系统(Chinese train control system,CTCS)作为一种安全苛求系统,使用前需要经过严格的安全分析和测试。对我国铁路客运干线主要采用的CTCS-3级列控系统而言,由于传统的安全分析方法主要关注单一场景,因而对其复合场景的安全性分析存在欠缺。此外,CTCS-3列控系统对控制时序有严格要求,现有安全分析方法难以有效解决该问题。为解决上述问题,采用基于系统理论的过程分析方法,以便更全面、更准确地分析CTCS-3级列控系统的安全性。首先,在分析CTCS-3级列控系统典型运营场景的基础上,提取由列控系统直接控车的运营场景,并建立分层控制结构模型;其次,结合时序逻辑辨识运营场景的不恰当控制行为,并将各场景中互不冲突的不恰当控制行为组合成复合场景;最后,对复合场景进行分析,辨识导致不恰当控制行为的控制缺陷。仿真结果表明:系统理论的过程分析方法可以实现对CTCS-3级列控系统复合场景功能的安全性分析。

CTCS-3级列控车载电台无线通信超时问题探讨

CTCS-3级列控系统因车载电台未正常起呼或单电台RBC交权而引起的无线通信超时,均被判定为电台工作异常导致,但更换电台也无法解决,运维效率低下。通过自主化电台日志分析,得出电台小区重选或位置更新异常是造成这2类故障的根本原因。结合电台小区重选和位置更新的流程,提出在电台及网络侧的优化建议方案,为从根本上解决类似问题提供思路。

融合点式后备模式的CTCS-4级新型列控系统研究

首先介绍移动闭塞基本原理,分析新型列控系统的主要故障场景及站间闭塞后备模式下的故障处理方式,指出存在的问题。其次参考CBTC的点式ATP后备模式,按照“故障-安全-运行”的理念,创新性的提出融合点式后备模式的CTCS-4级新型列控系统结构。最后通过局部建模,解析点式后备模式的工作原理以及各种故障场景下的运行方式。

基于自主化电台的CTCS-3级列控系统无线通信超时分析

CTCS-3级列控系统车载设备中的电台是实现车地之间双向通信的核心模块,目前多为国外厂商产品,存在维护管理功能接口不开放、售后服务质量不高等问题。针对CTCS-3级列控系统中由干扰导致的单电台、网络单通等引起的无线通信超时问题,利用自主化电台强大的日志记录功能,精确定位故障原因,可为同类故障分析提供思路。

CTCS-3级列控系统等级转换失败原因分析及解决措施

装备CTCS-3级列控车载设备的列车从CTCS-2级线路向CTCS-3级线路运行时需进行CTCS-2/3等级转换,在转换过程中车地建立无线通信连接时的列控数据交互,需经过物理层、链路层、传输层、安全层和应用层等,任何一步失败,都会导致列车无法转换到CTCS-3等级运行。从CTCS-2/3级等级转换失败案例中选取车载未发送SABME帧、车载发送多条SABME帧、RBC收到多条M155消息包等典型问题进行分析,分别从车载、网络和地面3个方面提出针对性的解决措施,可为类似问题的处理提供借鉴。

解析TB/T 3581—2022《CTCS-3级列控系统总体技术要求》

介绍TB/T 3581—2022 《CTCS-3级列控系统总体技术要求》的制定背景和制定原则,重点解析CTCS-3级列控系统主要技术创新项,包括系统运用指标、系统构成、行车许可和不停车等级切换。分析与Q/CR 661—2018 《CTCS-3级列控系统总体技术规范》的主要差异,并提出标准实施建议,方便使用者更好地理解和执行TB/T 3581—2022。

海外CTC系统关站模式下车次号自动跟踪功能研究

海外CTC系统关站模式下站场信号机始终处于关闭状态,传统的调度集中系统无法实现车次号自动跟踪功能,为此研究海外CTC系统关站模式下车次号自动跟踪功能的实现方法。在维持既有海外CTC系统设备结构的前提下,根据联锁系统的码位信息,由海外新型自律机实现相关逻辑处理,包括方向属性判断、反向搜索车次号和车次号移动3部分。在信号机关闭状态下,增加闭塞表示灯辅助站内占用区段的方向属性判断;增加关站按钮辅助反向搜索车次号时的进路标记设置。该方案已完成功能测试,即将应用于孟加拉帕德玛大桥项目,进一步提高海外CTC系统的自动化水平和安全性能。

CTC/TDCS调度命令内容安全卡控技术研究

针对调度员在CTC/TDCS系统发布调度命令时常见的错发、漏发等问题,研究调度命令安全卡控过程及方法。依据调度命令模板库和业务关键词库,归纳调度命令业务类型识别策略;基于正则表达式识别、基础数据匹配、关键词辅助定位算法,实现调度命令文本信息的有效提取;通过设计标准基础数据拓扑结构与逻辑校核算法,计算线路业务信息的准确性,评判调度命令业务数据的有效性以及业务传达操作的规范性。经验证,调度命令内容安全卡控技术能够有效识别业务信息,并辅助调度员进行二次校核,不仅提高了调度命令的准确性,也有效降低了调度员的劳动强度,满足铁路运输调度的实际应用需求。

基于国密算法的TDCS/CTC系统通信加密技术应用方案研究

为确保我国铁路列车调度指挥系统(TDCS)与调度集中系统(CTC)中业务数据的安全,研究基于国密算法的通信加密传输方案。以安全认证网关为核心,通过路由技术将业务流量导向安全认证网关,实现TDCS/CTC系统各层级间的数据传输加密。在冗余能力方面,当任意节点的安全认证网关故障时,路由技术会将流量切换至下一优先级路由,保障业务的连续性。通过仿真试验对方案的加密有效性、故障倒切能力、承压能力3方面开展验证测试,测试结果满足业务要求。该方案在不影响TDCS/CTC系统原有冗余能力的同时,保证了业务数据传输过程中的安全性,有效填补了我国TDCS/CTC系统数据传输加密防护方面的空白。

CTCS-3级列控车载设备高速适应性关键技术

从CTCS-3级列控系统工程建设角度出发,对包括基于多路速度传感器数据融合的测速测距策略、列车制动模型及CTCS-3/CTCS-2级动态转换机制等CTCS-3级列控车载设备高速适应性关键技术进行研究。根据不同类型测速传感器的特点,采用车轮速度传感器与雷达相结合的方式实现列车速度的安全测量,并运用联合卡尔曼滤波理论提出基于多路传感器数据融合的测速测距算法策略。结合列车移动体的控制特点,在国际铁路联盟UIC 544—1标准的基础上,提出1种改进的分段式减速度计算的列车制动模型,可兼顾行车安全和效率。针对列车运营模式的兼容性与可靠性,采用兼容CTCS-3级和CTCS-2级的双模冗余设计,使CTCS-3级列控车载设备同时具有CTCS-3级控车功能和CTCS-2级控车功能,并通过输入信息共享和等级转换时信息交换等技术手段,实现CTCS-3/CTCS-2级之间的平滑动态转换。研究成果已在武广高速铁路上实施,满足了列车高速安全运行的要求,并提高了等级转换时的列车运行效率和旅客舒适度。

CTCS-3级列控系统规范的建模与形式化验证方法研究

CTCS-3级列控系统规范是CTCS-3级列控系统设计与开发的基础,是实现互联互通以及确保系统高效率与安全性的关键环节。然而,依靠经验与直觉制定的规范不可避免地存在某些漏洞或者安全隐患,因此对CTCS-3级列控系统规范进行建模与形式化验证显得十分必要。本文提出CTCS-3级列控系统规范建模与形式化验证方法,此方法的特点是能够在系统规范、模型、验证工具以及验证结果之间建立一条跟踪链,从而始终保证系统规范、模型及程序代码之间的一致性。结合笔者运用此方法对CTCS-3级列控系统规范建模与形式化验证的实践,证明这种方法是可行的、高效的。

CTCS-3级列控系统临时限速建模与验证

为了满足临时限速系统的实时性要求,采用时间自动机理论,对CTCS-3级列控系统临时限速工作流程分别建立了各设备的时间自动机子模型,进而构成临时限速系统的时间自动机网络模型,并基于临时限速系统技术规范的参数对模型进行赋值;采用BNF语法对临时限速系统待验证的属性进行了形式化描述,并应用UPPAAL验证工具对临时限速模型的安全性和受限活性进行仿真验证.验证结果表明:与现有临时限速系统的时间参数设置相比,修正后的时间参数设置避免了出现系统死锁现象;在不影响安全功能属性和受限活性的基础上,提高了临时限速系统的实时性,可在规范规定时间5 s内做出响应.