TB∕T 3528.1-2018 铁路信号安全通信协议 第1部分：I型协议(铁路运输).pdf

ICS 45.020 S 61 TB 中华人民共和国铁道行业标准2018-11-01发布TB/T 3528.1-2018 铁路信号安全通信协议第1部?:I型协议Railway signal safety comm.micati侃nrotocol一Part 1:Protocol type 国家铁路局发布2019-06-01实施TB/T 3528.1-2018 目次前言.皿1 范围2 规范性引用文件.3 术语和定义、缩略语13.1 术语和定义3.2 缩略语24 参考结构24.1 综述24.2 系统结构.24.3 安全防御技水35 报文定义.jtHH-UHH-UHH-HH-HH-HH-.4 5.1 报文类型.M飞;二，.4 5.2 报文结构f于:-:-，:.斗.5 ;-i 5.3 报文内容.叫4二.56 传输规则6F:J 6.1 安全数据交互原则:.5.:-.:.6.-1;垣丛飞././,6.2 校验过程.凡.7 I.d司呻rl忖叫植飞lbA Jt h气、IA;I FVLZF 乍二4 l二飞TB/T 3528.1-2018 目。吕TB/T 3528(铁路信号安全通信协议分为两个部分:一一第1部分:1型协议;一一第2部分:II型协议。本部分为TB/T3528的第1部分。本部分按照GB/T1.1-2009给出的规则起草。本部分由北京全路通信信号研究设计院集团有限公司提出并归口。本部分起草单位:北京全路通信信号研究设计院集团有限公司、北京交通大学、中国铁道科学研究院集团有限公司通信信号研究所、中车株洲|电力机车研究所有限公司。本部分主要起草.谢迎锋、岳朝鹏、江明、徐超、王一民、李开成、李莹莹、焦名、唐林。皿.d司呻rl忖叫植飞lbA Jt h气、IA;I FVLZF 乍二4 l二飞1 范围铁路信号安全通信协议第1部分:1型协议TB/T 3528.1-2018 TB/T 3528的本部分规定了封闭式传输系统环境下铁路信号设备之间进行安全相关信息交互的基本要求。本部分适用于信号设备的研制。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引文件，其最新版本(包括所有的修改单)适用于本文件。GB/T 24339.1-237轨道交通通信、信号和处理系统第1部分:封闭式传输系统中的安全相关通信CIEC62280 1:20j r _ mT)GB/T 24339.2-2009 北道专5通信、信号和处理系统第2部分:开放式传输系统中的安全相关通信CIEC62280-2:2002,mf)3 术语和定义、缩略语3.1 术语和定义GB/T 24339.1-2009、GB/T24339.2-2009界定的以立下只!这话和定义适用于本文件。为了便于使用，以下重复列出了GB/T24339.1-2009、GB/T24339.2-(09中时不些术语和定义。3.1.1 安全相关设备safety related equipment 负有安全性责任的设备。3.1.2 封闭式传输系统c10sed transmission system 连接的设备数量固定或最大数量固定，有已知且固定特性的传输系统，对于此系统可以忽略非法访问的风险。GB/T 24339.1-2009，定义3.2J3.1.3 序列号sequence number 附加数据字段，包含报文到报文按预定方式变化的数字。GB/T 24339.2-2009，定义3.6.4.2J3.1.4 时间戳time stamp 由发送者添加到报文上的体现时间的信息，通常，与实体的时钟无关。GB/T 24339.2-2009，定义3.6.4.3J3.1.5 源和宿标识符source and destination identifier 一个以名字、数字或任意比特形式赋予各实体的标识符。该标识符用于安全相关传输，通常添加TB/T 3528.1-2018 到用户数据中。GB/T 24339.2-2009，定义3.6.4.3.4J3.1.6 反馈报文feedback message 接收端通过反向传输通道给发送端的回复。GB/T 24339.2-2009，定义3.14.的3.1.7 安全编码safety code 冗余数据，包含在允许冗余校验检测出数据损坏的报文中。GB/T 24339.1-2009，定义3.9J3.1.8 安全论据safety case 证明产品符合规定的安全性要求的证明文件。GB/T 24339.2-2009，定义3.16.3J3.1.9 安全完整性等纺1cfety integrity level 表示所需信用程度的数f.系统将满足其规定的安全特性。GB/T 24339.2-2009，;.主义;0.2J 3.1.10 操作检测码manipulation detection c();整个报文的安全计算函数，包含在相关报文叶塾1、报文也包含了未被发送到传输系统报文的隐含数据。通常操作检测码建立在散列函数之上。GB/T 24339.2-2009，定义3.6.4.1.2.2J 3.2 缩略语下列缩略语适用于本文件。CRC:循环冗余校验CCyclicRedundancy Check)EC:执行周期CExecutionCycle)MDC:操作检测码CManipulationDetection Code)4 参考结构4.1 综述4.1.1 封闭式传输系统存在的可能威胁有:a)重复;b)删除;c)插入;d)重排序;e)损坏;f)延时。4.1.2 为降低上述威胁风险，应对接收到的信息做出以下检查:a)报文的真实性;b)报文的完整性;c)报文的实时性;d)报文的有序性。2 T/T 3528.1-2018 4.1.3 针对封闭式传输网络，目前已知的防护措施概括如下:a)序列号;b)时间戳;c)超时;d)源和宿标识符;e)反馈报文;f)安全编码。4.2 系统结构4.2.1 安全相关设备间通信的总体结构见图l。设备I设备2|应服序|应用层数据|应用程序|卡全功能做|安全相关协议数据单元EE协议数据单元|叫做|二二二#瑜争工二图1安全相关设备间温情目:总体式啕4.2.2 安全通信接口采用分层结构，见图2。应用程序应用层翩翩议(端时)飞气E 层全安t 捆训检作操块模能功全安操作检测安全层协议(端到端)f冗余管理层通信功能模块L传输层E田冗余层协议传输层协议物理层传输系统肌.1由本标准规范设计从标准规范何|用E二1超叫范范围图2通信协议分层化结构4.2.3 安全信息传输的应用协议由各安全相关设备间应用层定义。4.2.4 安全功能模块实现对传输系统中的通信威胁防护。4.2.5 通信功能模块提供非置信的传输，应提供以下功能:3 TB/T 3528.1-2018 a)通信链路的冗余处理功能;b)数据的可靠、透明和双向传输。4.3 安全防御技术4.3.1 本部分选用具体防护技术措施及防护威胁的适用性见表1。表1安全功能模块的防御技术防御威胁序列号时间戳超时源和宿标识符反馈报文安全编码重复J 删除J 插入J J J 重排序J 损坏J 延时J J J 注:表示防护措;也可提供对相应威胁的保护。4.3.2 序列号的使用-L符食L-1:;-规定:a)通信双方应在交民快每条j?，ct附加一个序列号，接收端应根据该序列号校验发送端提供的报文时序性;b)序列号取值应采用系统软件内部F二:T数)字号，发送端将EC作为发送报文时的序号，接收端将其存储在本地存储器中用于评估扳文片，列延时情况;c)应对序列号的长度、序列号初始化的规定、瓦文刮5月如何恢复做出规定，其安全论据应说明安全完整性等级的适当性。4.3.3 时间戳的使用应符合以下规定:a)通信双方应定义各自的时间戳，应参与到消息操作检测码MI)(让其中;b)应对时间戳长度、时间增量、时间增量的精度做出规定，其安全论据应说Ut安全完整性等级的适当性。4.3.4 超时的使用应符合以下规定:a)报文应定义从生成时刻起的最大有效时间段，在其有限时间段内保持有效;b)接收端对接收报文经检验确认有效后，应更新存储为最近接收的报文时间戳;c)接收端应执行以下两种超时处理:1)当存储的报文时效检验超时，应完全清除该报文数据;2)当接收的报文时效检验超时，应启动时序确认机制，待完成时序确认后，方可接受新报文。4.3.5 源和宿标识符的使用应符合以下规定:a)整个传输系统中各实体的标识符需具备唯一性;b)报文应保证源和宿标识符参与到消息操作检测码MDC的计算中;c)应对源和宿标识符的长度做出定义，其安全论据应说明安全完整性等级的适当性。4.3.6 反馈报文的使用应符合以下规定:a)当接收端校验到发送报文序列非预期内的增量时，应启动时序确认请求;b)当接收端向发送端发送时序确认请求到达后，发送端按接收端要求反馈时序确认应答，接收端依据时序应答报文重新设置发送端的时序同步基准。4.3.7 安全编码的使用应符合以下规定:a)安全编码的选择应满足安全传输漏检差错概率的要求，本部分推荐采用双重CRC计算;4 TB/T 3528.1-2018 b)安全编码选取的安全论据应说明安全完整性等级的适当性。5 报文定义5.1 报文类型本部分在安全通信交互过程中定义如下三种报文，见表2。表2报文类型名称用途安全传输数据帧用于传送安全用户数据包报文时序确认请求帧当接收端需要通信对方确认当前时序时，接收端向发送端发起的时序确认请求报文时序确认应答帧发送端对来自接收端的时序确认请求，进行确认应答的反馈报文5.2 报文结构本部分规定的报文结构如图3所示，其中用户数据包仅在安全传输数据帧中使用，时序确认请求。贞与时序确认应答。贞仅包含报文头、安全校验域与报文尾三部分，见图3。图例说明:0由通信夜Ji1;次与1:/_:r;句能模块共同检验处理-由安全功能模块检验b巳-豆医翌3仅安全传输数据帧含刃，由比卢J芝卢萨检验处理丘，习中提升4主构5.3 报文内容5.3.1 报文头作为冗余层和安全应用适配层使用，应包含以rJL;1飞za)协议类别:由用户定义，用于定义区分应用信息交互类别;b)帧类型:由用户定义，用于区分不同来源和类型的报文帧;c)源地址和目的地址，由用户定义，用于通信双方确认通信地址。5.3.2 安全校验域根据不同的帧类型，包含的内容有所不同，详见表3、表4、表5。5.3.3 用户数据包内容由应用层接口协议规定。5.3.4 报文尾是为了检测整个报文传输过程中不受损害而增加的报文完整性校验码，宜使用CRC。表3安全传输数据帧内容报文结构字段名称备注协议类别适用于实时周期性交互的情形帧类型报文头源地址目的地址序列号安全校验域安全数据长度消息操作检测码用户数据包应用数据由应用层接口规范定义报文尾报文完整性校验码根据以上所有字段生成校验码5 TB/T 3528.1-2018 表4时序确认请求帧内容报文结构字段名称备注协议类别报文头帧类型源地址目的地址安全校验域序列号请求方的消息操作检测码报文尾报文完整性校验码根据以上所有字段生成校验码表5时序确认应答帧内容报文结构字段名称备注协议类别帧类型报文头源地址目的地址二气应答方的安全校验域序列号2请求方的j.r，操作检测码数据加4号报文尾报文完整l生机呛码,根据以上所有字段生成校验码一一6 传输规则6.1 安全数据交互原则6.1.1 本部分适用于发送端与接收端周期性传递定长用户数把包:1宜用场景。6.1.2 发送端与接收端间的安全数据交互原则如图4所示，接收就应主检测从发送端来的安全传输数据报文时序性，当时序错误时，触发时序确认机制，时序确认后，方可母受安全传班应用数据。6 接收端A检测到时序有误时序恢复发送端B安全传输数据帧时序确认请求帧-安全传输数据帧二一一一时序确认应答帧安全传输数据帧安全传输数据帧安全传输数据帧安全传输数据帧安全传输数据帧安全传输数据帧图例说明:E表示能够处理来自B的安全数据自表示不能接受来自盹安全数据图4安全数据交互示例始收端CTB/T 3528.1-2018 6.1.3 对于冗余通道报文发送控制，应符合下列要求:a)所有类型的报文都应在冗余通道上传输;b)同一周期发送的不同类型帧序列号应相同，在冗余通道上传输的安全传输数据帧用户数据包内容应相同。6.2 校验过程6.2.1 对来自通信功能模块转发的安全传输数据报文头尾进行有效性检查，若有误直接丢弃。6.2.2 对安全传输数据报文中的安全校验域进行检查，若有误，触发时序确认请求。6.2.3 接收端在发出时序确认请求报文等待回应的时序确认应答报文期间，不应再次发起时序确认请求报文，直到超时仍未收到对方时序确认应答报文回应时，重新发起时序确认请求报文请求时序同步校正。7 FON|FdN白白同阁回华J飞民共和弘j江:予业h:舍铁路信号安全归:主协议第1部分:1型协)iRailway signal safety communicahol protocol Part 1:Protocol type 1 TB/T 3528.1-2018 国*中同铁道出版社有限公司出版、发行(1054，北京市州城以有安门附往，8号)读者服务部电话:市电(010)51873174，路电(021)73174 北京建宏印刷有限公司印刷版权专有侵权.究*1116 印张:1宁数:15千f2019年2月第11:欠印刷开本:880mmxl 230 mm 2019年2月第1版*定价10.00元