DB31/T 1499-2024 城市轨道交通网络安全通用技术规范

ICS35.040

CCSL80

31

上海市地方标准

DB31/T1499—2024

城市轨道交通网络安全通用技术规范

Generaltechnicalspecificationsforurbanrailtransitcybersecurity

2024-07-05发布2024-11-01实施

上海市市场监督管理局发布

DB31/T1499—2024

目次

前言................................................................................III

引言.................................................................................IV

1范围...............................................................................5

2规范性引用文件.....................................................................5

3术语和定义.........................................................................5

4缩略语.............................................................................6

5整体架构...........................................................................7

通信网络.......................................................................7

信息系统.......................................................................8

6网络安全集中防护要求...............................................................9

网络区域划分及部署要求.........................................................9

网络安全互联要求..............................................................11

生产网区防护要求..............................................................12

管理网区防护要求..............................................................12

互联网区防护要求..............................................................13

安全集中管控系统要求..........................................................14

7信息系统安全基本要求..............................................................15

信息系统分级..................................................................15

安全物理环境..................................................................15

安全通信网络..................................................................16

安全区域边界..................................................................16

安全计算环境要求..............................................................18

安全管理中心要求..............................................................21

8信息系统安全扩展要求..............................................................22

生产核心系统要求..............................................................22

生产辅助系统要求..............................................................22

管理系统要求..................................................................23

对外服务系统要求..............................................................23

9智能装备安全要求..................................................................24

运营车辆要求..................................................................24

智能终端设备要求..............................................................25

智能大屏控制系统要求..........................................................26

10基础设施安全要求.................................................................27

机房要求.....................................................................27

基础通信网络要求.............................................................29

云计算平台要求...............................................................31

大数据平台要求...............................................................31

I

DB31/T1499—2024

附录A（资料性）城市轨道交通系统说明................................................32

附录B（资料性）城市轨道交通信息系统分级表...........................................41

参考文献..............................................................................42

II

DB31/T1499—2024

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由上海市互联网信息办公室，上海市经济和信息化委员会提出并组织实施。

本文件由上海市信息安全标准化技术委员会归口。

本文件起草单位：上海申通地铁集团有限公司、上海申通轨道交通检测认证有限公司、公安部第三

研究所、上海市信息安全测评认证中心、上海工业控制安全创新科技有限公司、华东理工大学、上海工

业自动化仪表研究院有限公司、上海电科智能系统股份有限公司、中铁上海设计院集团有限公司、上海

中铁通信信号测试有限公司、上海观安信息技术股份有限公司、上海厚泽信息技术有限公司、绿盟科技

集团股份有限公司、深信服科技股份有限公司、中兴通讯股份有限公司、上海德鋆信息科技有限公司及

新华三技术有限公司。

本文件主要起草人：王大庆、张立东、张菁博、万勇兵、蔡佳妮、纪文莉、朱莉、黄天印、赵雨晴、

孙煜、邹春明、陆臻、金铭彦、傅骏炜、褚文斌、沈琦、沈青、许子恒、王旭、薛文俊、蒋雨捷、雷鹏、

王森、姜臻琪、过弋、周明、周期、赵晓蓉、陈鑫、刘兵、谢江、黄世美、张军、姚宇、张飞、杨雨菡、

袁文杰、蒋瑞、刘捷元、孙艺彬。

III

DB31/T1499—2024

引言

本文件遵照国家网络安全有关方针和政策，以及国家和本市颁布的相关法律法规和标准，吸收和借

鉴了国外相关标准，使本文件符合国家相关网络安全要求的同时，兼具有针对城市轨道交通专业系统的

特点，满足安全、实用的要求。本文件针对城市轨道交通行业的特点，对相关技术要求进行细化、加强。

IV

DB31/T1499—2024

城市轨道交通网络安全通用技术规范

1范围

本文件规定了城市轨道交通网络安全的整体架构、网络安全集中防护、信息系统安全通用要求、信

息系统安全扩展要求、智能装备及基础设施等安全要求。

本文件适用于城市轨道交通新线建设和既有线改造信息系统网络安全的规划、设计和建设，同时也

可作为测评机构网络安全检测的依据。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T4208外壳防护等级（IP代码）

GB/T5271.8信息技术词汇第八部分：安全

GB16807防火膨胀材料

GB17859—1999计算机专业系统安全保护等级划分准则

GB/T22239—2019信息安全技术网络安全等级保护基本要求

GB23864防火封堵材料

GB/T24338城市轨道交通电磁兼容

GB/T25069信息安全技术术语

GB/T28181安全防范视频监控联网系统信息传输、交换、控制技术要求

GB/T31167信息安全技术云计算服务安全指南

GB/T31168信息安全技术云计算服务安全能力要求

GB35114公共安全视频监控联网信息安全技术要求

GB/T35273—2020信息安全技术个人信息安全规范

GB/T39786信息安全技术信息系统密码应用基本要求

GB50157地铁设计规范

GB50174—2017数据中心设计规范

GA/T1400公安视频图像信息应用系统

GA/T1788.3公安视频图像信息系统安全技术要求第3部分：安全交互

3术语和定义

GB/T5271.8、GB17859—1999、GB/T25069、GB/T31167、GB/T31168和GB/T39786界定的以及

下列术语和定义适用于本文件。

信息系统informationsystem

5

DB31/T1499—2024

由计算机及其相关的配套部件、设施设备及网络构成，按照一定的应用目的和规则对信息进行采集、

加工、存储、传输、检索等处理的人机系统。

[来源：GB17859—1999，3.1，有修改]

城市轨道交通urbanrailtransit

采用电机驱动列车的城市轨道交通系统。

注：包括城市公共交通分类标准中规定的地铁系统GJ21、轻轨系统GJ22、单轨系统GJ23、自动导向轨道系统GJ26等。

管理系统managementsystem

以人为主导的用于办公、管理、决策、信息发布的信息服务系统。

生产系统productionsystem

以设备为主导的保障运营行车业务正常开展的自动化系统。

云计算平台cloudcomputingplatform

云服务运营者提供的云计算基础设施及其上的服务软件的集合。

[来源：GB/T31168，3.7]

智能装备intelligentequipment

具有感知、分析、推理、决策、控制功能的装备，用于协助实现城市轨道交通行车运营、设备维保

的自动化、智能化的专用装置。

4缩略语

下列缩略语适用于本文件。

ACS：门禁系统（AccessControlSystem）

AFC：自动售检票系统（AutomaticFareCollection）

ATS：自动监控系统（AutomaticTrainSupervision）

CATS：控制中心列车自动监控系统（CentralAutomaticTrainSupervision）

CBTC：基于通信的列车自动控制系统(CommunicationBasedTrainControlSystem)

CCTV：闭路电视（ClosedCircuitTelevision）

CLK：时间同步系统(Clock)

C3：网络运营调度与应急指挥系统（Command,Control&Coordination）

COCC：路网综合运营协调中心（ComprehensiveOperationCoordinationCenter）

CI：计算机联锁（ComputerInterlocking）

EMCS：环境与设备监控系统(Electric&MechanicControlSystem)

FAS：火灾报警系统（FireAlarmSystem）

FEP：前端处理机(FrontEndProcessor)

FG：防淹门（Floodgate）

LATS：车站列车自动监控系统(LocalAutomaticTrainSupervision)

MSS：维护支持系统(MaintenanceSupportSystem)

NMS：网络管理站（NetworkManagementSystem）

OCC：线路运营控制中心（OperationControlCenter）

6

DB31/T1499—2024

PIS：乘客信息系统(PassengerInformationSystem)

PA：公共广播系统(PublicAddress)

PSD：站台门（PlatformScreenDoor）

PSDC：站台门控制器（PlatformScreenDoorController）

SCADA：监视控制与数据采集系统（SupervisoryControlAndDataAcquisition）

SNMP：简单网络管理协议（SimpleNetworkManagementProtocol）

SQL：结构化查询语言（StructuredQueryLanguage）

SSID：服务集标识（ServiceSetIdentifier）

VPN：虚拟专用网（VirtualPrivateNetwork）

VPC：虚拟私有云（VirtualPrivateCloud）

VOBC：车载控制器(VehicleOnBoardController)

WEP：有线等效加密（WiredEquivalentPrivacy）

ZC：区域控制器（ZoneController）

5整体架构

通信网络

5.1.1物理通信网络

城市轨道交通的基础通信网络如图1基础通信网络示意图所示，由线路级传输系统和线网级传输系

统构成，为各类生产业务和管理业务提供独立的骨干通信通道，实现不同业务的传输通道隔离。基础通

信网络的安全防护重点是设施设备的物理安全。

7

DB31/T1499—2024

……

数据通信网乘客信息系统乘客信息系统技术防范系统技术防范系统自动售检票系统自动售检票系统

主核心交换节点备核心交换节点主核心交换节点备核心交换节点主核心交换节点备核心交换节点

线网级传输系统

C3节点集中节点网络层光缆

轨交总队节点OCCn节点

OCC1节点OCC2节点

线网级传输接入层

各业务系统OCC通信节点各业务系统OCC通信节点各业务系统OCC通信节点……

线路级传输系统

线络层光缆

OCC传输节点OCC传输节点OCC传输节点

传输系统传输系统传输系统……

车站传输节点车辆基地传输节点车站传输节点车辆基地传输节点车站传输节点车辆基地传输节点

控制中心传输节点控制中心传输节点控制中心传输节点

数据通信网

……

乘客信息系统乘客信息系统乘客信息系统技术防范系统技术防范系统技术防范系统自动售检票自动售检票自动售检票

接入交换机1接入交换机2接入交换机n接入交换机1接入交换机2接入交换机n接入交换机1接入交换机2接入交换机n

图1基础通信网络示意图

5.1.2传输系统

线路级传输系统用于联通单线路的车站、车辆基地、控制中心等线路物理节点；线网级传输系统用

于联通线路控制中心、路网综合运营协调中心、线网设备及运维管理中心等线网级物理节点。

5.1.3数据通信网络

各生产系统在各车站、车辆基地、控制中心内部自建局域网，并通过物理通信网络提供的通道构建

覆盖相关物理节点的生产数据通信网络，管理系统统一利用物理通信网络提供的通道构建承载管理业

务及办公终端的管理数据通信网络。

信息系统

8

DB31/T1499—2024

信息系统分为生产系统、管理系统和对外服务系统三大类。其中生产系统又包括生产核心系统和生

产辅助系统两类；管理系统又包括生产管理系统和企业管理系统两类，分类方法见表1。

表1信息系统分类

系统分类服务/控制对象业务描述系统示例

为生产岗位人员提供服务，可控

电力监控系统、信号系统

生产核心系统核心生产设备制和运营列车运行直接相关的

等

核心生产设备；

FAS、站台门、安防集成平

生产系统

为生产岗位人员提供服务，可控台、环境与设备监控系统、

制为运营列车运行提供辅助支音视频统一信息发布系

生产辅助系统生产设施设备

统、AFC、时间系统、门禁

撑的生产设备和系统；可监测生

系统、专用电话、各专业

产设备、系统的运行状态；

在线监测系统等

智慧维保平台、资产管理

为生产岗位人员提供服务，可规

系统、施工管理系统、应

生产管理系统生产岗位人员范生产业务的工作流程、提升工

急抢险系统、运营管理生

作效率；产平台等

企业管理平台、视频会议

支撑企业管理和运营的设施设

管理系统所有人员系统、人事系统、财务系

备；统等

企业管理系统

为管理岗位人员提供服务，为了

企业管理平台、科研管理

管理岗位人员规范管理工作流程、提升管理和

系统等

决策的工作效率；

通过互联网为乘客、外部机构提

供互联网乘车购票服务、各类城门户网站、城市轨道交通

对外服务系统-外部机构人员/乘客

移动出行服务系统等

市轨道交通共享信息服务等系

统

6网络安全集中防护要求

网络区域划分及部署要求

6.1.1网络安全大区划分要求

城市轨道交通根据安全分区、网络专用、三网隔离、分级防护的要求，将生产系统网络、管理网络

和互联网划分为三个安全大区，即生产网区、管理网区及互联网区。各安全域采取不同级别的防护、隔

离措施，各安全域及其子域内部根据实际情况进行网段细分，并应根据安全需求设置访问控制、安全审

计、安全监控等安全控制措施。网络安全区域划分示意如图2所示，区域划分方法如下：

a)生产网区应根据重要程度不同划分为生产核心网域和生产辅助网域两个子域；

b)管理网区应根据现有业务情况划分为生产管理网域、企业管理网域、对外信息服务网域三个子

域；

9

DB31/T1499—2024

c)互联网区应划分独立域，用于互联网应用终端的部署。

外部单位/机构Internet

对外信息服务

管网域互

理联

网网互联网终端

区区

生产管理网域企业管理网域

生

产

辅生产辅助网生产辅助网生产辅助网

助路网控制中心线路控制中心车站/区间/基地

生网

产域

网

区生

产

核生产核心网生产核心网生产核心网

心路网控制中心线路控制中心车站/区间/基地

网

域

图2网络安全大区划分示意图

6.1.2信息系统部署要求

信息系统应按照承载的业务性质确定其类别，并由系统类别、重要程度决定其应当部署的网络安全

区域。生产系统应部署在生产网区，管理系统和对外服务系统应部署在管理网区，互联网上网终端应部

署在互联网区。传输系统、无线网络的网管系统根据服务对象选择部署在生产核心网域或生产辅助网域。

信息系统部署方案如图3所示，其中：

a)生产核心网域用于部署生产核心系统，应部署业务性质为可直接控制运营列车运行的设备（如：

信号系统、SCADA及网络级电力监控系统等自动化过程控制执行系统）；

b)与生产核心类系统密不可分、只能在车站实施日常联动的生产辅助类系统应部署在生产核心

网域；

c)生产辅助网域应部署生产辅助系统（如：C3、FAS、技术防范系统、EMCS、PIS、PA、AFC、ACS、

专用电话系统、公务电话系统、无线集群调度系统、各专业在线监测系统等）；

d)生产管理网域应部署生产管理类系统（如：运管平台、智慧维保平台等）；

e)企业管理网应部署企业管理类系统（如：企业管理平台、人事系统、财务系统等）；

f)对外信息服务网域应部署面向公众、外部机构等服务类系统的对外通信前置机、应用转发服务

器等；

g)业务功能跨越多个网络安全域的系统（城市轨道交通典型系统的功能及接口说明参见附录A），

应对系统进行业务切分，按照系统的业务性质在对应的网络安全域中分区域部署，各区域间的

通信应遵守网络安全域的区域边界访问控制要求。

10

DB31/T1499—2024

图3信息系统部署方案示意图

网络安全互联要求

网络安全互联的要求包括：

a)生产网区与互联网区不应直接互联；

b)应采用具备链路阻断、协议剥离技术的设备对生产网区与管理网区的安全隔离，生产网区与管

理网区不应直接互联；

c)应采用物理传导上具备链路阻断、协议剥离、单向数据推送技术的设备对生产核心网域与生产

辅助网域之间进行安全隔离，生产核心网域与生产辅助网域不应直接互联；

d)生产管理网域、企业管理网域、对外信息服务网域可在受控的前提下互联；

e)对外信息服务网域可在受控的前提下与互联网连接；

f)对外信息服务网域可在受控的前提下与外部单位/机构（如：上级监管部门、第三方支付公司

等）的网络进行连接。

11

DB31/T1499—2024

生产网区防护要求

6.3.1访问控制

生产网区访问控制的要求包括：

a)生产核心网域