旅客列车无线局域网系统技术要求

旅客列车无线局域网系统技术要求V1.8CRGT WiFi建设组2018年07月28日目录1. 术语表 (2)2. 系统组成 (4)3. 系统功能 03.1 互联网接入 03.2 车厢局域网 03.3 站库WiFi互通 03.4 认证鉴权 03.5 安全防护 03.6 维护与管理 (1)4. 组网要求 (3)4.1 整体组网要求 (3)4.2 车厢局域网 (3)4.3 互联互通 (4)5. 车载设备技术要求 (5)5.1 中心服务器 (5)5.2 单车服务器 (6)5.3 AP设备 (8)5.4 车载天线 (9)5.5 设备质量要求 (9)6. 安装部署要求 (10)6.1 中心服务器 (10)6.2 单车服务器 (11)6.3 AP设备 (12)6.4 车载天线 (14)7. 参考文献 (15)1.术语表2.系统组成根据文献[5]的要求，旅客列车无线局域网系统包括列车网络、接入网、互联网、数据中心等部分，如图1所示。

其中列车网络及数据中心由CRGT建设并提供，接入网及互联网由接入运营商或电信运营商提供。

列车网络由车厢局域网互联组成，可选的互联方式包括通过光纤、以太网、无线桥接等方式进行互联。

接入网提供车地通信功能，可选的技术包括4G蜂窝通信网、卫星通信网、以及其它移动宽带网技术，例如802.11无线局域网[8]、802.16宽带无线接入系统[9]、EUHT超高速无线通信系统[10]、LTE专网或LTE-R[11]等。

现阶段考虑列车网络及接入网技术条件与成熟度、成本、高铁列车车型具体安装环境限制等因素，合理地取舍与合并设备的功能单元，尽量精简网络设备的物理部署。

针对列车网络及车地通信，采用以下技术途径：（1）跨车厢通信采用千兆以太网线连接各车厢局域网，车载服务器通过车载交换机VSW 接入车厢内部的千兆以太骨干网，实现全列车的互联；（2）车地通信采用多路4G通道接入互联网及数据中心；（3）站场通信采用WiFi通道接入地面站场无线局域网。

针对车厢网络的部署，采用表1所示的整合方案，以精简部署的物理设备数量：（1）在AP物理设备中集成两个或多个AP接入点；另一种可以考虑的AP部署方案，是将AP模块集成在单车服务器中，图1中的接入点AP退化为WiFi天线，而物理网络架构仍符合文献[5]的要求，图1未展示；（2）在中心服务器CVS中整合路由器、防火墙、4G接入单元、合路器等部件；中心服务器CVS需适当保留可扩展空间；（3）在单车服务器LVS中集成PoE交换机；单车服务器LVS也需适当保留可扩展空间；（4）在车载天线VMA中集成4G天线、GPS/北斗单元天线、STA模式的WiFi天线等功能，以精简整个天线系统。

表1：物理部署设备列表作为一种可参考的方案，数据中心包括以下子系统与设备：（1）路由器R：用于提供IP路由、网络接入及安全防护；（2）防火墙FW：用于提供安全防护；（3）运维系统：用于提供列车网络所有设备的运维管理，包括云端AP控制器AC，VPN 服务器，认证服务器AAA，运维管理服务器OAM，日志服务器LOG等。

采用分布式AP控制的情况下，AC设备可以配置在中心列车局域网中，图1未展示；（4）业务系统：用于提供支撑高铁WiFi业务的应用系统，包括应用服务器AS，数据库服务器DBS，内容服务器COS等；（5）门户系统：用于提供面向互联网的服务，包括网站服务器WWW，电子邮件服务器EMS，域名服务器DNS等。

门户系统为可选子系统。

列车网络通过接入网访问数据中心服务器，乘客终端用户通过车厢局域网AP访问中心服务器、单车服务器、以及数据中心提供的业务与应用系统，车下的非乘客终端用户通过互联网访问数据中心提供的业务与应用系统。

图1：旅客列车无线局域网系统物理组成3.系统功能旅客列车无线局域网系统应具备互联网接入、构建车厢局域网、与客站/车库WiFi网络互通、认证鉴权、安全防护和系统管理维护等功能。

3.1互联网接入系统能够通过运营商2G/3G/4G网络、卫星网络或专用宽带网络接入公众互联网，根据安全管理需要，建立列车局域网与互联网之间的VPN通道。

3.2车厢局域网车厢无线局域网应提供车内通信网络，局域网内用户终端可共享车厢无线局域网系统的内容服务，包括：新闻娱乐、实用信息等内容，服务内容应符合国家有关部门的规定。

3.3站库WiFi互通系统应提供与客站/车库无线局域网互通的接口，列车在进站/进库时，可利用客站、车库内无线局域网与运营管理中心进行信息交互。

3.4认证鉴权系统应提供认证鉴权功能，包括：（1）系统应具备对用户进行身份认证的功能；（2）系统应在用户接入车厢局域网时提供PORTAL服务，可导航到指定的页面；（3）系统应提供用户接入互联网的鉴权功能，对用户的身份、权限及访问内容进行认证。

3.5安全防护系统应提供安全防护功能，包括：（1）互联网安全防卫措施按照公安部82号令执行[3]；（2）互联网通道应配置防火墙，防止病毒入侵、黑客攻击等恶意破坏行为；（3）系统可对用户行为进行记录与追溯,用户信息、用户行为和故障告警等重要数据应保存60天以上，支持syslog日志推送；（4）支持非授权AP监测及对非授权AP进行阻断，防止伪造无线网络信号，欺骗无线终端接入；（5）系统具备互联网出口端口防护功能；（6）系统具备黑白名单设置功能；（7）支持ARP攻击防护，支持ARP静态绑定和停止学习功能，有效绑定ARP对应关系；（8）支持防ping，防非法Web登陆功能；（9）支持访问控制安全防护、流量监控等策略；（10）支持基于用户/时间的URL过滤功能；（11）密码算法应符合国家商用密码管理部门关于无线局域网产品密码算法的相关要求，终端4G模组需打通机卡通道，支持AT+CSIM来访问卡上的安全应用；（12）支持VPN功能，如IPSec VPN、SSL VPN、L2TP VPN等，中心服务器存储的敏感信息及认证过程应通过专有VPN通道或国密算法加密保护进行上传；（13）支持邮件、即时通讯工具、论坛等行为识别功能；（14）支持流量识别保障功能，能够精确识别网络应用，保障关键业务；（15）为保证在多条外网线路情况下带宽的合理分配使用，设备必须支持多链路负载均衡，负载均衡可基于带宽、负载等多种方式；（16）满足网监中心的日志对接要求，能提供5个方面的日志：网络虚拟身份轨迹、上网行为日志、终端上下线日志、场所资料、设备资料；（17）提供中国人民共和国公安部颁发的互联网公共上网服务场所信息安全管理系统网络通讯安全审计（无线接入前端）计算机信息系统安全专用产品销售许可证复印件。

3.6维护与管理系统应提供维护与管理功能，包括：（1）系统应具备管理、维护旅客列车局域网设备的功能，对车载中心服务器、单车服务器、AP、网桥等设备状态、设备配属位置进行监控和管理，对设备参数进行远程设置；系统应至少支持对设备进行表2所示的监控操作，以及表3所示的查看操作；（2）系统应具备对车载中心服务器、单车服务器设备进行本地及远程软件升级功能；在升级失败时能自动回滚版本，不影响设备开机与正常使用；（3）系统应具备对车载中心服务器、单车服务器设备进行本地及远程内容更新、内容管控的功能；（4）系统应具备检测外部设备授权状态的功能，能够拒绝未授权设备的接入，防止恶意攻击、信息篡改，信息被篡改后可自动修复；（5）系统接入互联网时应具备应用层过滤、QoS保障、掉线自动重拨、场强覆盖及流量统计功能；（6）系统应具备在全路范围内统一规划、设置运营管理中心设备、互联网接入设备和车厢局域网设备IP地址的能力，防止IP地址冲突，保证网络的畅通；（7）系统应具备车厢局域网位置管理功能，能够利用北斗/GPS进行定位；（8）设备支持远程SSH登录，并可对设备进行管理和配置；（9）设备支持日志远程下载，自动将设备日志信息上传至数据中心日志服务器；（10）设备日志信息，告警记录存储周期不少于60天。

表2：系统支持的监控功能表3：系统支持的查看功能在现阶段，设备供应商应提供运维监控平台，对车载中心服务器、单车服务器、AP设备进行监控与管理。

目前，不同设备供应商采用的运维监控平台采用了不同的协议，包括TR-069 CWMP[12]协议，及SNMP[13][14][15][16][17][18][19][20]系列协议。

根据项目规划，后续设备供应商应支持统一的网管协议（TR-069或SNMP待定），过渡到直接接入统一的运维监控平台，实现设备的在线运维与监控管理。

4.组网要求4.1整体组网要求整体组网要求如下：（1）中心服务器与运营管理中心VPN服务器或者网关建立VPN通道，如：IPSec、L2TP VPN；（2）为了方便进行网络运维管理，给每个列车规划不同的网段，运营管理中心可以通过VPN通道，使用多种管理协议，如：SNMP、TR069、SSH等，直接管理中心服务器、单车服务器、以及车载AP；（3）中心服务器支持802.11ac Station功能，待车辆入库或者进站后，可以通过WiFi连接地面WiFi网络，进行高速内容更新；（4）内容同步：中心服务器通过多种方式，如：离线、WiFi通道、4G通道等，将需要更新的内容通过运营管理中心更新到本地，然后由中心服务器同步更新到各车厢的单车服务器；（5）本地内容访问：每个车厢的单车服务器具备内容服务器的功能，WiFi终端接入后，可以自动将终端浏览页面或者APP主页重定向到本车厢单车服务器的内容，WiFi终端可以免认证的情况下访问本地内容；（6）认证鉴权：WiFi终端访问Internet需要首先认证，车载服务器配合运营管理中心鉴权服务器，实现接入终端的认证，如：微信、短信、APP等，认证通过后允许终端接入Internet，通过配合计费服务器实现按时间或者流量计费；（7）认证流量：认证流量建议通过VPN通道转发，保证安全性；（8）上网流量：a) 方案1：中心服务器支持多条4G线路，列车内接入的WiFi终端可以直接通过4G线路访问Internet；b) 方案2：为了满足更详细审计或者控制的要求，列车内接入的WiFi终端访问Internet的流量也可以通过VPN通过，集中到运营管理中心统一出口。

4.2车厢局域网车厢局域网要求如下：（1）单个车厢内采用无线AP进行无线覆盖，车内WiFi信号应连续覆盖。

单个车厢内，座车AP数量2个；（2）AP与单车服务器之间采用有线连接，单车服务器以PoE方式为AP供电；（3）车厢间可采用有线或无线方式连接构建列车车厢局域网，在重新编组的情况下，应具备在无需人为干预的条件下，进行自组网的能力；车厢局域网规划不同VLAN用于隔离不同业务，如：设备管理、AP管理、数据流量等；（4）车厢间具备同轴电缆、双绞屏蔽线、以太网线、光纤等传输介质时，系统应能够利用上述传输介质进行有线组网。