摘要：介绍了城市轨道交通智能支付平台实现银行卡过闸、二维码过闸和人脸识别过闸等智能支付功能，既有AFC系统网络、智能支付网络和开放互联网之间的网络安全防护架构的搭建及防护策略。通过分析不同的智能支付过闸方式交易文件上传原理和特点及网络路由设计方案，搭建高效、兼容、经济的网络安全防护架构。
关键词：轨道交通；智能支付；网络安全
1 传统地铁AFC系统简介
城市轨道交通AFC系统一般主要由轨道交通清算管理中心（ACC）、线路中心计算机系统（LC）、车站计算机系统（SC）、车站终端设备（SLE）及非接触式IC卡等各类适用票卡五层架构组成。
1.1轨道交通清算管理中心（ACC）
清分中心系统（ACC）为各线路统一制定、发行和管理轨道交通联网车票(一票通和一卡通)。并负责对各联网线路所有车票收益作清算、对账工作，对车站现金收益进行审核工作。各线路所有车站AFC终端设备产生的充值、消费、购票等行为的交易数据文件层层上传，最终统一由清分中心系统（ACC）进行数据处理。清分中心系统（ACC）对线网AFC系统进行安全定义及交易数据审计等。清分中心系统（ACC）一般建有同步运行的数据级容灾备份中心。
1.2线路中心计算机系统（LC）
线路中心计算机系统（LC）负责所辖线路所有车站计算机系统和各站内AFC系统终端设备的管理。本线路内所有车站的AFC终端设备工作模式、交易状态、数据上传、适用票卡等均可以由线路中心计算机系统（LC）设定。一般情况下，每条线路设置一个LC；线路延长线或者跨区域、跨城市的轨道交通系统也有同一条线路设置多个LC的情况。
1.3车站计算机系统（SC）
车站计算机系统（SC）负责管理所辖车站内所有AFC系统的终端设备，包括自动售票机（TVM）、自动检票机（AGM）、手持检票机（TGM）、自动验票机（TCM）、人工半自动售票系统（BOM）等。车站内所有AFC终端的工作模式、交易状态、数据上传等均可由车站计算机系统（SC）设定。车站内所有AFC系统终端设备产生的交易数据均由车站计算机系统（SC）初步统计、分类、处理、储存。
1.4车站终端设备（SLE）
车站终端设备（SLE）种类较多，主要包括自动售票机（TVM）、自动检票机（AGM）、手持检票机（TGM）、自动验票机（TCM）、人工半自动售票系统（BOM）等。增加智能支付功能后，终端设备增加二维码扫码设备、人脸识别设备等。
1.5各类适用票卡
城市轨道交通各类适用票卡是AFC系统的应用层，在技术中属于系统底层。传统票卡为M1介质、CPU介质的单程票、储值卡票。智能支付功能下出现了多种新型支付手段，CPU介质银行卡、APP二维码、人脸识别信息等都成为了适用票卡。
2非智能支付交易数据流介绍
2.1非智能支付交易数据流
（1）清分中心系统的编码分拣中心对票卡进行初始化认证，此项工作是标记票卡为AFC网络内合法票卡的重要手段。认证后的票卡物理卡号和逻辑卡号均进入系统数据库。票卡物理卡号和逻辑卡号认证入库产生票卡认证数据信息。
（2）清分中心工作人员将认证后的票卡配送到车站，售卖给乘客，此时产生了充值交易、购买单程票交易的交易数据，此数据由SLE产生，经SC处理，LC汇总处理，上传ACC系统进行入库标记清分。
（3）乘客使用票卡乘车，产生查询、进出站、更新、补登、注销等相关操作数据信息，SLE上传SC、LC，进入ACC系统进行交易信息比对入库。
2.2非智能支付交易数据流网络环境分析
票卡认证数据直接进入ACC系统数据库；车站终端设备产生的各类交易数据经由SC、LC进入ACC系统；响应的，ACC系统对交易数据进行处理后返回的路径为LC、SC、SLE。由此可知，传统AFC系统交易数据流网络环境较为封闭，为闭环内网。
3智能支付交易数据流介绍
3.1智能支付交易数据流
在此，我们选定银行卡、APP二维码和人脸信息识别作为智能支付手段进行分析。智能支付票卡与传统票卡不同之处在于，发卡方非轨道交通运营商，所以信息认证交互需要涉及外部单位：银行卡合法性需要银行与银联认证，支付信息需要双向确认；APP二维码需要通过互联网进行中心与手机终端认证；人脸信息识别需要进行中心与外部人脸信息识别数据库进行实时认证。
3.2智能支付数据流网络安全关键点
通过对智能支付数据流的分析，网络安全关键点有三：与银行卡进行信息认证、交易互传过程；智能支付平台二维码发码规则、APP生成二维码、SLE识别二维码的过程；人脸信息识别数据库、银行、银联与轨道交通智能支付中心进行信息交互过程。
4网络安全防护系统搭建
4.1网络安全设计思路
车站级计算机系统（SC）是网络安全防护的要点；智能支付平台系统（SPT）是网络安全防护的核心。完整的系统网络安全保障体系包括管理和技术两部分，本文仅从技术上讨论网络安全保障。技术的网络安全保障分为主机安全，应用安全，数据安全，网络安全四个方面。主机安全主要是主机系统加固、恶意程序检测和系统操作审计；应用安全包括权限管理、身份识别、数据加密、软件容错；数据安全包括完整性保护、加密传输、备份与恢复；网络安全包括网络隔离防护和检测审计。
4.2车站计算机系统（SC）网络改造设计方案
按照工业生产网与信息分中心网进行连接边界防护、工业生产网与工控子系统进行域间隔离、关键设备节点前端进行安全防护的三个设计原则，具体设计方案如下：
在SLE与SC之间进行硬件隔离，布设防火墙；SC设备旁挂入侵检测设备和堡垒机。每个车站的三层交换机更换为三层模块化工业以太网交换机，三层交换机双机冗余热备，每个车站的二层交换机采用工业以太网交换机，三层交换机与二层交换机共同组成千兆光纤冗余环网，当通信链路出现故障时，可在20ms内实现自愈。
4.3智能支付中心（SPT）网络改造设计方案
在智能支付中心（SPT）与AFC系统之间新增防火墙设备，满足等级保护边界防护、访问控制、入侵检测、远程安全访问、恶意程序防护等要求；在AFC系统边界增设串联部署入侵检测防护系统、防病毒网关，满足恶意程序检测、入侵防御、数据防泄漏检测要求；在AFC系统的核心交换机旁路部署网络审计系统包含数据库审计功能，满足网络行为审计、数据库审计要求；在AFC系统核心交换机旁路部署安全运维堡垒机，统一身份认证和安全操作审计；部署日志审计与收集系统；部署主机杀毒软件及杀毒统一管理中心；部署终端安全防护系统；在STP系统的核心交换机旁路部署配置核查系统，开展定期的配置核查扫描；在STP系统的核心交换机旁路部署工控网络审计系统实现工业网络安全审计功能；部署主机卫士、日志审计系统。具体架构如图所示：
5结语
在传统轨道交通AFC系统的基础上，进行智能支付网络安全防护系统搭建是经济可行的方法。利用既有的网络、设备、机构，分析数据流，寻找系统网络薄弱环节，逐项加强，再通过智能支付中心（SPT）网络安全管理整体协调全网络安全防护策略，具有较好的可实施性。
论文作者:于璇
论文发表刊物:《基层建设》2019年第26期
论文发表时间:2019/12/17
标签：系统论文; 智能论文; 车站论文; 网络论文; 终端设备论文; 中心论文; 数据论文; 《基层建设》2019年第26期论文;