TDCS/CTC系统独立成网原则与跨系统边界安全卡控

cyx1689

TDCS/CTC系统独立成网原则与跨系统边界安全卡控

摘要：本文以《铁路列车调度指挥系统（TDCS）、调度集中系统（CTC）维护管理办法》（2014）为资料依据，围绕TDCS/CTC系统“自成体系、单独成网、独立运行”这一基础性管理原则展开分析。研究采用规章文本梳理与系统边界关系分析的方法，重点讨论独立成网要求的提出背景、与外部系统交换信息时的隔离措施、维护分界划分以及远程接入控制等关键环节。分析表明，该办法将网络独立性作为系统安全运行的前提，并通过审批权限、隔离设备、分界责任和接入记录等制度安排形成闭环。结论认为，维护工作中应把住“不直接联网、经批准接入、按分界负责、按程序操作”四个环节，方能落实系统安全要求。

关键词：TDCS/CTC；独立成网；网络隔离；维护分界；安全管理

引言

列车调度指挥系统（TDCS）和调度集中系统（CTC）是全路各级调度指挥的基础装备，是重要的行车设备。按照《铁路列车调度指挥系统（TDCS）、调度集中系统（CTC）维护管理办法》（2014）的表述，TDCS/CTC系统由中国铁路总公司、铁路局、车站三级构成，综合了铁路信号、计算机、网络通信和现代控制技术，具有点多线长、布局成网、分散维护和集中管理的特点。这一技术构成决定了系统一方面必须保持全网贯通，另一方面又必须对每一个接入点和每一条对外通道实施严格控制。

在维护管理实践中，系统对外提供信息、增加用户终端、与其他系统交换数据等需求长期存在，而这类需求恰恰是网络边界风险的主要来源。该办法对此给出了明确而严格的规定：TDCS/CTC系统直接涉及行车安全，必须自成体系，单独成网，独立运行，严禁与其它系统直接联网；对外提供信息和增加标准用户外终端时，应经总公司运输局电务部批准；系统与其他系统交换信息时，应采用安全可靠的网络隔离设备和措施。这些规定构成了系统网络安全与信息安全管理的制度基础。

本文的分析范围限定于该办法中与“独立成网”及跨系统边界相关的条款，包括组织机构与职责中的审批分工、技术管理中的变更审批事项、设备维护分界、软件与数据管理以及安全管理章节中的存储介质、远程登录等内容。文章不涉及具体设备型号的参数整定，也不对办法未给出数值的技术条件作任何补充。通过梳理“原则要求—审批控制—分界责任—操作约束”之间的逻辑关系，力图为电务维护人员理解并执行该系统维护管理要求提供一个较为完整的技术管理视角。

一、独立成网原则的技术管理定位

该办法开篇即明确TDCS/CTC系统“必须自成体系，单独成网，独立运行，严禁与其它系统直接联网”。这一表述并非一般性的管理倡导，而是置于总则位置的基础性要求，其后的多项条款均可视为该原则的具体化。

从系统构成看，TDCS/CTC综合了信号、计算机、网络通信和现代控制技术，直接服务于行车指挥。系统一旦与其他系统直接联网，外部系统的故障、病毒、非法访问或数据异常便可能沿网络路径进入行车指挥环节，其后果不是单台设备失效，而是可能影响调度指挥信息的完整性与可用性。办法将“独立运行”与“直接涉及行车安全”并列陈述，正是把网络独立性与行车安全直接挂钩。

值得注意的是，办法并未绝对禁止一切对外联系，而是设置了明确的例外通道：对外提供信息和增加标准用户外终端时，应经总公司运输局电务部批准；与其他系统交换信息时，应采用安全可靠的网络隔离设备和措施。这说明独立成网原则的实质是“受控连通”，即任何跨越系统边界的信息流动都必须同时满足两个条件——经过规定层级批准，并具备可靠的隔离手段。维护人员在学习该办法时，应避免把“独立成网”简单理解为“完全不与其他系统发生关系”，也不能反过来以“实际存在信息交换需求”为由弱化隔离要求。

二、审批权限与变更事项的层级控制

独立成网原则能否落实，关键在于边界变更的审批权是否清晰。该办法在组织机构与职责部分明确了三级管理架构：总公司运输局电务部是全路TDCS/CTC系统的业务主管部门，铁路局电务处是铁路局系统的业务主管部门，电务段是系统的维护单位。与边界控制直接相关的是，总公司电务部电务试验室负责审核铁路局对总公司及相邻局间通道变更、TDCS/CTC标准用户和信息交互范围的申请，并报主管部门审批。

在技术管理章节，办法进一步列出须报总公司运输局电务部审批的四种情况：铁路局对总公司及相邻铁路局间通道变更；扩大TDCS/CTC用户范围；超出TDCS/CTC技术标准范围扩展功能；其他系统使用TDCS/CTC。这四项覆盖了通道、用户、功能和外系统接入四个维度，实际上把可能改变系统边界形态的主要情形都纳入了总公司层级审批。

与之衔接的是铁路局电务处的职责：受理TDCS/CTC系统软、硬件变更申请，按规定组织开展软、硬件变更工作；负责部门间、相邻路局间的协调工作。同时，办法规定系统接入、扩容和局部改造时，应由铁路局组织系统供应商、设计等单位进行方案审查。由此形成“方案审查在局、审批在部”的分层控制：涉及跨局通道、用户扩大、功能扩展和外系统使用的，必须上行审批；局内接入扩容则先经方案审查。维护机构与电务段在这一链条中的职责是配合测试、调试、数据信息核对及故障处理，并按规定组织开展软、硬件变更、做好系统试验验证。理解这一分工，有助于维护人员在接到接入或扩容需求时，准确判断应当走哪一级程序，避免先施工后补批。

三、维护分界与隔离措施的责任落点

系统边界不仅是逻辑概念，也体现为具体的物理连接点。该办法在设备维护分界条款中确立了总原则：硬件设备连接按分管负责的原则明确责任主体，协议连接按数据流上层对下层负责的原则明确责任主体。这一原则把“谁维护哪一段”与“谁对哪一层数据负责”区分开来，避免出现故障时责任悬空。

办法对几种典型通道给出了分界口径：采用光纤通道时，以通信专业在信号机房内设置的光纤活动连接器为分界点，连接器（含）至通信机房的光缆由通信专业负责维护，连接器（不含）至TDCS/CTC架及跳纤等设备由信号专业负责维护；采用电路时，以通信专业在信号机房内设置的接线端子为分界点，端子（含）至通信系统间跳线由通信专业负责维护，端子（不含）至TDCS/CTC及跳线等设备由信号专业负责维护。此外，办法还就与GSM-R服务器网闸及TDCS/CTC设备一侧、与运输信息集成平台接口服务器网络安全光纤交换机、与450M区段无线调度命令和无线车次号系统机柜防雷元件等界面分别规定了信号专业与通信专业、信息专业的分工，并明确TDCS/CTC系统与其他系统维护分工分界由铁路局根据实际情况自行制定。

这些分界条款与隔离要求相互支撑：办法要求系统与其他系统交换信息时采用安全可靠的网络隔离设备和措施，而隔离设备本身必须有人维护、有人负责。分界清晰，隔离设备才不会成为“两不管”地带。维护人员在处理跨专业故障时，应首先依据分界规定判断故障段落归属，再按协议连接的数据流方向确定排查顺序，而不是凭经验随意扩大检查范围。

四、运行环境与接入操作的安全约束

边界安全的最后一道防线是日常操作纪律。该办法在安全管理章节提出了成体系的要求：系统应构建由安全管理中心支持下的计算环境安全、区域边界安全、通信网络安全构成的三重防护体系结构；系统应采用物理方式断开光驱、软驱；设备实行密码管理，建立密码台帐，定期修改密码并做好记录。

在存储介质和接入终端方面，办法规定各种数据存储介质和调试用计算机在接入网络前必须经专用计算机查杀病毒，确认无病毒后方可使用；维护机构、电务段应配备专用U盘或移动硬盘用于系统有关数据、软件的拷贝，拷贝只能在系统维护终端上进行，拷贝前必须对专用存储介质进行杀毒；更换计算机主机、硬盘或重装系统后，应当先查毒，再做系统备份，并安装安全计算环境，试运行正常后再投入联网运行。使用部门运用要求中同样明确，严禁在系统各类终端使用移动硬盘等移动介质，防范一机多网、接入外联设备等现象。

远程接入方面，办法规定系统远程登录的传输设备日常应处于断开状态，必须接入时需报请TDCS/CTC中心负责人同意并做好记录；系统供应商远程连接只能读取相关报警信息及日志记录，不得进行其他操作，所用计算机必须是专用计算机，连入系统前须查杀病毒。软件管理上，系统运行环境与软件开发测试环境应分开管理，严禁在运行系统中直接进行软件调试；发现病毒应及时清除并逐级上报，处理不了应采取断开网络措施，防止病毒在网络中传播。

上述条款的共同指向是：系统边界不只在网络拓扑图上，也在每一次介质插入、每一次远程登录、每一次软件调试之中。独立成网原则如果只停留在通道层面，而运行环境和接入操作失控，边界安全仍然无法保证。

结论与建议

依据该办法可以形成以下结论。第一，TDCS/CTC系统“自成体系、单独成网、独立运行、严禁与其它系统直接联网”是直接服务于行车安全的基础性要求，对外提供信息、增加标准用户外终端以及与其他系统交换信息，均须在批准和隔离的前提下进行。第二，边界变更实行分层审批，跨局通道变更、用户范围扩大、功能扩展和其他系统使用须报总公司运输局电务部审批，局内接入扩容由铁路局组织方案审查，维护机构与电务段承担配合与验证职责。第三，维护分界按硬件分管和协议数据流上层对下层负责的原则划分，光纤、电路及与相关系统的界面均有明确口径，未明确部分由铁路局制定。第四，运行环境、存储介质、远程登录和软件调试等操作环节的约束，是边界安全的日常落点。

据此提出以下建议：维护单位在受理任何接入、扩容或信息交互需求时，先对照办法第十八条所列四种情形判断审批层级，再启动方案审查和试验验证；在跨专业故障处理中，以分界条款为第一判断依据，按协议数据流方向组织排查；将专用存储介质杀毒、远程登录审批记录、密码台帐更新等要求纳入日常检查项目，使边界安全要求转化为可核查的作业记录。各项具体作业仍应以现行规章、调度命令和现场管理要求为准。

参考资料

《铁路列车调度指挥系统（TDCS）、调度集中系统（CTC）维护管理办法》（2014）

引用依据：
《《铁路列车调度指挥系统(TDCS)、调度集中系统(CTC)维护管理办法》(2014)330》

资料使用说明：本文依据已抽取铁路专业原始文本整理，仅供学习参考。涉及规章、技术参数和作业要求时，请以现行有效文件为准。