《安全很有事》德國萊因TÜV官方部落格丨TÜV 莱茵大中华区博客

      
5月24日，上海富欣智能交通控制有限公司安全总监张小林在TÜV莱茵举办的“质胜之道——信息风险管理论坛”上分享了他从业20多年，就铁路信号系统在信息安全保护方面的思考和探索。本文根据现场实录整理而成。

张小林

上海富欣智能交通控制有限公司安全总监

轨道交通是一个集多专业、多工种于一身的复杂的系统。以前我们说轨道交通，大家觉得就是指铁路或地铁，但现在随着新技术的不断涌现，例如中低速或高速磁浮系统、悬挂式空轨系统、跨坐式单轨系统、有轨电车系统，轨道交通的内含和外延在不停扩大，同时线路的复杂度和设备的集中度也不断提高，各系统的融合、网络化智能化也在持续加强。在提高系统运行和效率的同时，信息安全是我们必须要面对的一个课题。同功能安全一样， 信息安全会风险会造成我们运营混乱，不止是财务损失，更多的是生命损失，例如发生在几年前的723温州动车事故，至今大家还记忆犹新。

两大信号系统

轨道交通安全高效地运营，其中信号系统起着重大作用，它相当于整个轨交系统的大脑和中枢神经，可以分为两类，一个是城轨信号系统，一个是国铁系统。信号系统相当于指挥官的作用，是站在整个系统的角度来调度轨交和铁路的运行。

信息安全的常见漏洞

长期以来，信号系统的功能安全和技术安全是我们的关注重点，对于信息安全我们的关注比较有限，但现在我们必须要重视起来，因为如果处理不当，它同样可能引发重大的事故。以下是常见的几大漏洞：

– 封闭网络未实现完全封闭，可能通过暴露的无线接口（GSM-R/WLAN）、调试工具等进行非认证访问

– 网络层次结构复杂，安全网和非安全网边界不清，易遭受跨网攻击入侵，使得信号核心安全设备暴露于危险境地

– 存在大量用户密集交互场景，运营/维护/调试业务交错，用户身份复杂，认证未采取强认证措施，易出现非授权的访问或内部敏感资料外泄情况

– 业务设备（如ATS/CTC）信息安全防护措施单一，易受到病毒、木马的感染

信号系统信息安全策略

那么针对这些风险、挑战和潜在的系统漏洞，我们应该采取哪些安全策略？

首先，物理环境是最基本的要求，确保系统的防破坏、防盗窃、防潮、防火、防电磁干扰、防温度变化等能力，同时配备安防系统、温湿度监控、静电防护、电磁干扰屏蔽和防护等物理手段，并且落实严格的管理制度。

第二是网络安全。将信号系统设定边界，独立成域，建立网络安全防护措施。同时改进现有信号系统的无线接口，逐步实现向LTE-R/LTE-M 的过渡。

第三，主体设备安全。我们依据信号系统安全性，对主体设备进行以下划分：

♣ 安全关键设备（第一类） ：联锁、区域控制器/无线闭塞中心、车载控制器等

♣ 安全相关设备（第二类）： 列车自动监控/调度集中

♣ 非安全相关设备（第三类）： 维护监测设备

第一类设备一般为专门开发的系统，使用商用设备较少。所以，安全关键设备应优先使用经认证的安全操作系统，或对非认证操作系统进行裁剪，使用最简单的功能以确保其功能可验证、行为可预测，使操作系统信息安全风险可控。在关键硬件上应使用经认证的或“长期使用证明”的器件（CPU，PLC等）。 应对编译器等关键工具进行验证，确保其不会带来信息安全风险。需对系统安全设计的开发进行验证与确认，并对系统运行、授权访问实施动态监控。

针对第二类和第三类设备，应该对商用操作系统进行安全加固，对帐号权限、系统服务方面进行安全配置。监测审计设备的使用，对系统关键事件信息进行记录并分析。全方位部署防病毒软件，截断感染途径。部署漏洞扫描系统，监控资源使用情况。使用云计算技术，整合计算资源、存储资源、网络资源，将静态设备管理转变为易调度、按需分配的动态设备管理。

第四、应用数据安全。主要考虑数据保密性、完备性、备份和恢复，防范各种侵入性的危险。

全自动无人驾驶系统面对的挑战及应对建议

随着全自动无人驾驶系统及下一代CBTC信号系统的发展，轨交系统在信息安全面临了更多挑战。如何应对，我建议可以从以下几方面加强：

♣ 对于信号控制系统，除了功能和技术安全外，信息安全也同等重要，应落实到产品研发、设计、工程实施及运营维护的全过程中

♣ 信号产品和项目的独立第三方安全认证也应将信息安全纳入认证范围

♣ 针对信号系统特点，制定信息安全标准规范和专用技术

♣ 开发针对信号系统信息安全的仿真测试验证平台

需要信息与网络安全协助？TÜV 莱茵可以帮你

随着商业环境的全球化和高度互联，企业面临的信息和网络威胁与日俱增。信息安全风险持续演变，攻击手段层出不穷，因而信息安全管理的实践和标准都在不断发展，企业唯一要做的就是保持警惕，随时准备抵御风险，最大程度地降低信息安全风险所造成的不良影响。TÜV 莱茵对此提供完善并通行全球的解决方案。

服务：智能产品隐私数据安全

报名：公开课与人员资格课程

了解：ISO 27001认证

下载：2018 GDPR业务发展白皮书

相关阅读：

海尔工业互联网安全实践

GDPR已经生效，你想知道的关键信息都在这里

个人隐私安全有那么难吗？

IEC 62443给你滴水不漏的网络防御力

时间进入2018年，随着全球范围内车辆保有量的不断增长，对应交通事故频发，据相关调查显示，在一次可能导致死亡的车祸中，安全带的使用可使车内人员生还的几率提高60%，发生正面撞车时，系了安全带可使死亡率减少57%，侧面撞车时可减少死亡率44%，翻车时可减少死亡率80%。可见安全带的重要作用，但实际使用情况却不容乐观，大家平时驾车或乘车时，除了坐在副驾驶位置，基本上都是忽略了安全带，前排人员若不是嫌未系安全带的哔哔报警声太烦，忽略系安全带的应该也不占少数，事实证明报警声起到了十分重要的作用，越是难听刺耳，效果越好。

目前，针对未系安全带报警国内外均有相关法规要求，其中UN ECE 法规（联合国欧洲经济委员会汽车法规），即我们熟知的大E标准，第16号法规：关于机动车成员安全带和约束, 现行有效版本ECE R16.06中明确要求M1类车辆司机座位需要安装未系安全带报警功能，并满足相关要求，但也是仅仅局限在M1类乘用车司机位置，而其他成员位置及车辆类型并未提出要求。

随着法规标准的不断升级改版，于2017年6月份发布的ECE R16.07最新版提出了更为广泛的适用要求，其中：

1、车辆类别由原来的M1类扩展到了整个M, N类

2、位置由原来的司机座椅延伸到了整个司机排(前排)座椅

3、另外针对M1, N1类车辆提出的更高的要求，不仅前排，后排座椅同样需要满足未系安全带报警要求

其中针对某些特殊用途的车辆，如救护车后排座椅，军车消防车等全车座椅，折叠座椅（客车导游座椅）等可无需满足以上报警要求。

前方高能！

国内出口欧洲或做ECE R16认证的整车企业需要注意啦：

1、若是M1类乘用，N1类货车企业，意味着所有乘客座椅均要满足报警要求

2、M2, M3类客车N2, N3类货车不仅仅是司机座椅，司机同排座椅同样需要安装报警功能并满足相关要求

具体报警功能分为两个不同的等级

等级一、为车辆静态报警，即在静止状态下，车辆处于一定条件下需要满足较低要求的报警，即视觉报警

等级二、为车辆动态报警，即在行驶状态下，车辆处以一定条件下需要满足相对等级一较高的报警要求，即视觉和声觉报警

ECE R16.07目前已发布，针对新车型强制执行日期为2019年9月1号，一年半多的过渡期对厂家来讲可以做出充分的准备，另外原有车型06版证书仍然可以继续延伸。

针对安全带标准相关测试认证，TÜV 莱茵可提供整套ECE R16 标准解读，安全测试及形式认证，助力主机厂和零部件厂家顺利获得欧盟成员国签发的证书。由于 ECE R16.07版最大的变化在于安全带未系报警适用车型范围的扩大，建议M,N类主机厂针对设计生产的车辆产品类型不同而提早规划。

最后，不管您是驾车还是乘车，请记住 Fasten your seatbelt

质者介绍

辛哲

德国莱茵TÜV大中华区交通服务型式认证工程师，负责整车E-mark出口认证业务

中国信任自动驾驶汽车技术的驾驶员几乎是美国和德国的两倍；他们都期望提升道路安全水平，但却希望能够随时对其进行干预。

阿尔登霍芬检测中心

受访者对数据保护的重视程度相同，都希望能够确保自动驾驶汽车可以抵御网络攻击。世界各地的驾驶员还希望能够自行决定何时让汽车自动驾驶，何时人工驾驶。

受访者确信自动驾驶汽车可提升道路整体安全水平

尽管受访者普遍认为自动驾驶汽车可提升道路安全水平，但我们发现，中国相信这一点的受访者比例再次高于德国和美国。但有趣的是，随着汽车自动化程度的提高，人们对此越来越怀疑，对技术的信任度也下降。对于部分自动化，只有11%的德国受访者和15%的美国受访者担心其会导致道路安全状况恶化，但面对完全无人驾驶汽车的出现，近半数的德国和美国受访者认为其将使道路安全状况恶化。在中国，只有24%的受访者认为无人驾驶汽车会使道路安全水平降低。

“我们看到，大批中国、德国和美国的汽车驾驶员认为，随着自动化程度的提高，道路安全水平会降低。这告诉我们必须向人们提供更多信息，更清楚地传达自动驾驶汽车技术的好处。”德国莱茵TUV集团交通服务部执行副总裁Matthias Schubert博士说道。

2017年春季，德国莱茵TUV集团就德国消费者对自动驾驶汽车的接受度进行了调查，以上研究的结果与这次调查所反映的趋势相同。这项研究显示，75%的受访者对自动驾驶汽车技术大致持乐观态度，但若往详细说，他们大部分对技术实施仍持保留意见。

根据目前的研究，全球78%的受访者认为，任何人都必须随时可以在紧急情况下完全控制汽车。就此而言，相比于中国，德国和美国受访者的态度更加坚决。

网络防护引领技术信任指标

全球汽车驾驶员普遍担心会发生有关自动驾驶汽车的网络犯罪，这种担心在德国更甚。德国76%的受访者认为，在使用自动驾驶汽车时，个人数据可能会被盗用。美国和中国分别有67%和63%的受访者也持相同观点。受访者担心由于不法分子可以通过技术手段窃取车辆数据，自动驾驶汽车会使汽车犯罪增加。在美国，这种观点更加盛行，52%的受访者支持这种观点。

大部分受访者认为未来汽车系统应定期自动更新，从而确保道路安全并防止网络攻击。在中国，80%的受访者支持“无线更新”。这一数字在美国是68%，在德国则为64%。

值得注意的是，这三个国家的受访者都认为网络防护非常重要。大多数受访者（德国66%，美国61%，中国60%）表示，一旦黑客攻击事件被曝光，他们会转而选择另一种汽车。就此而言，中国消费者更可能相信制造商有能力开发可防止未授权访问的自动驾驶汽车（71%）。在德国，态度趋向乐观（55%），与2017年春季的调查相比，持这种观点的人数明显增加，当时只有47%的德国受访者如此认为。美国人最不相信制造商能够生产出可防止网络犯罪的自动驾驶汽车，这一比例仅为41%。

数据收集与数据保护一样必不可少

如今，大多数汽车驾驶员都知道，现代车辆中的数据会被记录下来并传送给汽车制造商，包括有关车辆状态（例如里程、错误信息）的数据以及车辆运行数据（例如速度、位置）或者诸如驾驶风格或座椅调整设置等个人特定数据。人们对这些了解程度如何？三个国家在这方面差异非常大：美国有55%的受访者表示，对于哪些数据具有哪些用途、谁有权访问数据以及数据保护得如何，他们知之甚少。德国52%的受访者也是如此。但在中国，只有15%的受访者认为他们对此知之甚少。

对于所有受访者来说，安全是共享数据的主要动力。在这三个国家中，30%到50%的汽车驾驶员表示希望将他们的数据提供给故障救援服务机构、汽车保险公司、检测机构、汽车制造商及国家机构。然而，驾驶员不太愿意将其数据传输给服务和移动提供商、特定的数据应用程序提供商、汽车供应商、汽车经销商以及加油站等基础设施运营商。

最后，71%的中国受访者更倾向于（德国45%，美国42%）将其数据用于更新和使用新服务（例如车位探测器等远程信息服务）

政府和行业高管需要做功课

调查结果显示，驾驶员的看法可能会影响消费者对自动驾驶汽车的接受度，并严重阻碍它的广泛使用。为了消除这些障碍，政府和行业高管尤其需要做功课。在德国，超过一半的受访者认为驾驶员始终能够完全控制车辆是最重要的。此外，49%的受访者认为需要进一步澄清法律形势（例如责任问题），37%的受访者希望通过相应的框架确保数据得到保护。对于美国的受访者来说，他们同样认为驾驶员始终可以选择完全控制车辆是最重要的（47%）。通过测试证明功能安全性紧随其后，位居第二（45%）。排在第三的是保护汽车免受未经授权的访问（43%）。对于中国受访者来说，个人数据备份是最重要的（43%），甚至比确保数据保护（40%）和保护车辆免受未经授权的访问（36%）更重要。

此项全球调查始于2017年9月，是德国莱茵TUV集团就自动驾驶汽车进行的第二项研究。2017年春季，公司曾经就德国消费者对自动驾驶汽车的接受度进行了研究。

开车时，通过汽车上的显示屏来操作智能手机上的应用？当然可以。只要将手机通过 USB 数据线连接至汽车后，手机屏幕投屏到汽车的中控显示屏上，您就可以在汽车显示屏上操作例如导航、音乐、通话、语音等应用程序。手机与车机的互联互通的实现，正是基于手机与汽车对某项通讯协议的兼容。

目前来说，车机互联主要是Apple Carplay，Google Android Auto以及MirrorLink三足鼎立，不过MirrorLink已获得全球70%的车企及手机厂商的支持，可谓前景一片美好。

目前支持MirrorLink的车企包括通用、雪铁龙、本田、现代、奔驰、标致、大众、丰田等，三星、LG、HTC、索尼、华为等手机品牌也已有众多支持MirrorLink的机型。

问题来了，手机与车机互联互通的有效性怎么来确保呢？

MirrorLink认证程序

CCC规定只有原始设备制造商（ODM）才能提出认证申请。在认证申请前，首先需要成为CCC的会员，可以从这里下载申请表（http://carconnectivity.org/Membership/How%20to%20join）。提出申请认证申请后，必须于90天内完成测试。

名词解释

ATL：认可实验室（Authorized Test Lab）。TÜV莱茵是CCC的ATL。

CB：认证官（Certification Body）

ECO：工程变更指令（Engineering Change Order）

MLID：认证编号（MirrorLink Identity）

PICS：协议实现一致性声明（Protocol Implementation Conformance Statement）

一致性测试和互操作测试

CCC所认可的认证测试必须在ATL中进行，首先ATL必须完成CCC认证程序所要求的所有协议一致性测试和互操作测试，以验证手机与车机的互联性能。

互操作性测试

互操作性测试至关重要，让我们从消费者的角度对产品设计进行验证及确认。我们会通过5款认证的手机或车机对被测设备进行测试，一旦通过了互操作性测试，则表明该设备可按照预期在MirrorLink框架下运行，无论MirrorLink是何版本。

互操作性测试的要点是：

• 配对的MirrorLink认证设备必须正常工作（即插即用）
• MirrorLink框架中的认证服务器或客户端在任何时候都不会出现故障
• MirrorLink认证零部件必须符合当地法规要求
• 呈现给用户的信息必须简洁准确、内容翔实，不得存有误导性或晦涩难懂的信息
• 所有MirrorLink操作都不得要求用户与服务器进行交互
• 所有测试项目必须在所有IOP设备中进行，并针对每个IOP设备出具一份报告https://causeway.carconnectivity.org/wg/Members/wiki/MirrorLink_Interoperability_Device_List
• 如有偏差，必须记录在测试报告中，其中包括IOP测试阶段的任何被测设备崩溃、 重新启动以及可识别的音频或视频故障。
• 就测试而言，我们只需遵循测试规范。就报告而言，我们必须在以下网址填写报告：https://cert.mirrorlink.com/iop/我们必须尽可能多地添加评论：应用程序时屏幕上显示的内容等。报告需通过点击页面顶部按钮来创建，并应保存为html格式。

一致性测试

一致性测试是为了确定产品是否符合MirrorLink规范的要求。

在MirrorLink 1.1上：连通性、VNC（虚拟网络计算机）、设备证明、通用数据总线、二进制通信协议、音频、GPS（通用问题解决程序）、UPnP（通用即插即用）、 DAP（数据存取协议）、API（应用程序接口）……

在MirrorLink 1.2上：ML通过Wi-Fi显示器、HSML（热点标记语言）、互联网访问、网络信息数据服务以及UPnP。

为了执行一致性测试，我们使用MirrorLink提供的软件（CTS）。我们可测试客户端（车载套件）和服务端（手机）设备。

德国莱茵TÜV是MirrorLink认证计划中的汽车连接联盟(CCC)的授权测试实验室(ATL)。MirrorLink认证的目标是确保获得Mirrorlink认证的产品品质和兼容性。通过这个认证测试，德国莱茵TÜV将彻底检验和确认送测产品是否符合认证要求和技术规范。

质者介绍

杨莉

德国莱茵TÜV大中华区电子电气产品服务助理项目经理 | 硕士研究生，研究方向为工业无线传感器网络多信道调度方法，毕业后从事智能产品研发工作，进入TÜV莱茵后，负责信息通信与技术部门的新技术领域的开拓、测试与认证，实现新技术测试系统的搭建以及测试认证项目，具备物联网领域ZigBee、MirrorLink、Bluetooth等关键技术的相关知识以及测试能力。

焊接对于轨道交通的作用就像缝纫对于一件衣服，焊接标准是轨道交通能够正常运营的基础之一。目前国内焊接认证采用的是欧盟标准，也就是EN 15085标准。但却因为中国不是欧盟委员会成员国，中国的企业产品并不出口到欧盟等特殊原因，在EN 15085的实际执行过程中就不得不绕开一些本土化的问题。TUV莱茵大中华区工业服务部门经理吴坤辉根据其服务过的200多家中国企业中累积的经验，总结了各企业在执行焊接认证体系中的常见问题，及其相应的建议与对策。

一、解决图纸转化问题 保证车体安全运行

EN 15085标准最早来自德国，审核过程涉及了设计、原材料的管理、能源的要求、焊接工程师的评估、现场过程的控制、和焊接的检验，产品出具的符合性声明等各个重要环节，代表了完整的体系认证。TUV莱茵焊接团队通过了欧盟委员会授权，有能力在中国本土进行EN 15085认证。团队在审核过程中发现，从欧盟图纸转化成中国图纸时，使用中国技术语言表达可能会有遗留检验内容的问题，或者没有按照标准执行，这就有可能造成日后的焊接缺陷。即使不出现安全事故，也会使我们产品的使用寿命受到影响。焊接对轨道车辆的贡献不仅仅在于是否会产生安全事故，更重要的是通过焊接认证，来确保轨道产品在30年使用周期里的安全性，避免我们曾遇到过因图纸转化问题造成的车体使用周期一半都不到的情况。

二、重视焊接组织机构问题 促使焊接质量的提升

EN 15085认证是ISO 3834体系的一部分，而ISO 3834又是ISO 9000的特殊部分。大部分企业没有把ISO 3834与ISO 9000有机结合，只是独立运行焊接质量控制体系，这个是我们现在国内的很多企业普遍存在的问题。焊接责任工程师是我们目前中国企业中常被忽视的角色，但在很多企业的组织架构体系中的位置较低，因此其管理权限受到一定的制约，这就很难对整个焊接质量和产品生产有很好的把控。
ISO 3834体系或者EN 15085要求的最高管理者是焊接责任工程师，而这一要求就是为了让焊接工程师掌控整个体系的运转，扭转了国内企业长年因管理体系不科学所造成的焊接质量控制得不到保障的局面。目前TUV莱茵为很多企业进行的认证，就是有机整合了整个企业各项体系的融会贯通。

（图一：ISO 9001， ISO 3834以及EN 15085的关系）

三、不省略疲劳测试问题 保证车体使用寿命

轨道车辆产品有一定的使用寿命，它需要承受动载荷就存在疲劳的问题，就要考虑疲劳强度。在欧盟，生产过程中只要严格按照EN_15085标准的要求，疲劳试验可以不做。但中国的企业在转化图纸的时候，都转化成中国的材料以及中国的技术要求后，疲劳强度就成了一个不可忽视的问题。
我们有一家认证的企业，曾将产品出口到德国，产品须通过验收的附加条件就是疲劳测试。因为对于国内的材料，目前还没有标准可以对应我们设计的时候疲劳强度的许可值，这时候就必须进行疲劳实验。产品基本要求由焊缝的等级决定的，疲劳强度系数通过实验达到相对应的系数而并非照抄欧盟标准，才能有效对抗因焊接造成的疲劳强度的损失。

（图二：疲劳强度的分级）

四、对付合金车体焊接问题， “搅拌摩擦焊”是目前有效的解决方式

目前中国的高铁、地铁很多的车体都是用6000系列的铝合金生产的，但是很多的企业包括设计人员和焊接工程师，并不知道焊接6系列的铝合金的时候强度会下降。为了避免强度损失，检测必须提出对材料强度的要求。当设计人员、工程师必须知道焊接之后材料的强度有损失。在设计和焊接的时候，就要考虑到由于焊接引起热影响区强度的减弱，以及控制环境的湿度和清洁度等因素。比如，焊接的时候，与空气水分在焊缝中析出，产生气孔，降低连续性，焊接过程如果不控制温度，会有大量的气孔产生。
对于层间温度要控制，我们很多企业在做铝合金的车体，焊由于铝合金焊接会带来这么多问题，现在有新的方法出现了，比如说搅拌摩擦焊，搅拌摩擦焊在欧盟委员会列入EN15085要求，可以进行使用。搅拌摩擦焊就可以很好的解决目前6系列的问题。

插入下方图片。文件里有原图的。

相关文章：

现代铁路实施电磁兼容性管理的重要性及其试验方法

地铁进入无人驾驶新时代，安全系数知多少？

关于IRIS升级转版，你想知道的都在这里

质者介绍

吴坤辉

工业服务部门经理 | TÜV莱茵高级审核员，IWE 国际焊接工程师，欧盟和中国压力容器授权评审员，亚洲区第一位欧盟EN1090审核员，(VT,PT,MT,UT,RT,) Level 3，曾为近80多家客户提供过EN15085 焊接质量体系服务