基于FAHP方法的列控中心安全风险评估

11技术创新TECHNOLOGICAL INNOVATION基于FAHP方法的列控中心安全风险评估董 宁1 王 剑1，2，3 蔡伯根1，2，3（1.北京交通大学 电子信息工程学院，北京 100044；2.北京交通大学 轨道交通控制与安全国家重点实验室，北京 100044；3.北京交通大学 北京市轨道交通电磁兼容与卫星导航工程技术研究中心，北京 100044）摘要：对铁路信号系统列车控制中心进行详细分析，将列控中心信息安全要素进行分层，整个层次是利用AHP方法进行分析，同时为弥补专家在打分中的主观性，在第三层矩阵权值计算中采取模糊矩阵，通过设定模糊隶属度矩阵和风险因素评级，对对象所能受到的威胁进行风险评估，定量给出每一个因素的风险评估值。关键词：交通信息工程与控制；列控中心信息安全；区间模糊评价；FAHP；网络结构；风险评估中图分类号：U284.48+2 文献标志码：A 文章编号：1673-4440(2018)10-0011-04Train Control Center Safety Risk Assessment Based on FAHP MethodDong Ning1, Wang Jian1,2,3, Cai Bogen1,2,3（1. School of Electronic and Information Engineering, Beijing Jiaotong University, Beijing 100044, China）（2. State Key Laboratory of Rail Traffic Control and Safety, Beijing Jiaotong University, Beijing 100044, China）（3. Beijing Engineering Research Center of EMC and GNSS Technology for Rail Transportation, Beijing Jiaotong University, Beijing 100044, China）Abstract: The paper analyzes the train control center (TCC) of railway signal systems in detail. AHP method is used to analyze the hierarchy of TCC information safety factors and to make up the subjectivity of experts in scoring. By using a fuzzy matrix in the third layer of matrix weight calculation and setting a fuzzy membership matrix and risk factor rating, the risk assessment of threats to objects is made with quantitative risk assessment value of each factor.Keywords: traffic information engineering and control; train control center information security; interval fuzzy evaluation; FAHP; network structure; risk assessmentDOI: 10.3969/j.issn.1673-4440.2018.10.003

列控中心是铁路信号系统中的核心部件，其安全性影响着铁路行车安全这个铁路运输中最关键部分。文献[1]分析了风险评估的基本流程和属性，介基金项目：中国铁路总公司科技研究开发计划（2016X008-B）绍了如何对一个系统进行风险评估。文献[2]介绍了使用AHP方法对信息系统进行安全性风险评估，文献[3]～[6]介绍了AHP方法如何调整比较矩阵一致性的问题，使得矩阵一致性符合要求。铁路通信信号工程技术(RSCE) 2018年10月，第15卷第10期

12T技术创新ECHNOLOGICAL INNOVATION整个流程包括评估准备、要素识别，风险分析和汇报验收4个阶段。一般使用层次分析法对系统进行风险评估，层次分析法对每个因素的结果进行量化分析，解决一致性问题。本文在第二层和第三层中间采取模糊矩阵的方式，这样可以解决专家打分主观性问题，提高整个分析结果的客观性。2 列控中心安全风险评估方法2.1 列控中心介绍列控中心（TCC）主要实现车站/区间轨道电路编码、临时限速报文实时组帧、有源应答器控制、区间方向控制等功能，并通过联锁设备向RBC提供轨道电路状态信息。根据其管辖范围内轨道电路状态、联锁进路及边界条件等信息，通过轨道电路和应答器向工作在CTCS-2级的列车提供行车许可。列控中心主要有以下功能。1）轨道电路编码列控中心设备控制站内和区间的轨道电路编码，并通过联锁设备把轨道电路状态信息传送给RBC，作为生成MA的依据。同时把轨道电路状态信息传送给TSRS和CTC，作为临时限速下达时机的判断依据和CTC列车位置显示的依据。2）临时限速报文实时组帧列控中心根据临时限速命令，结合进路信息，实时组帧，生成应答器报文，通过LEU和有源应答器发给车载设备。3）闭塞方向控制列控中心设备通过信号系统安全数据网，与联锁设备以及相邻车站列控中心间通信，实现站间闭塞方向的控制，并把区间状态和方向信息传送给联锁设备，联锁设备根据闭塞方向状态信息实现进路的开放和关闭。2.2 构造层次结构层次分析法是将决策问题按总目标、各层子目标、评价准则直至具体备投方案的顺序分解为不同层次结构，然后用求解判断矩阵特征向量的办法，求得每一层次的各元素对上一层次某元素的优先权󰽮2ā󱂑󱀐Ҿ󰶇󰞅󱁃󰳠󰠚󰭁󰗲󰽮Fig.1āInformation Security Risk Assessment Flow Chart󰞅󱁃󰹟󰞏󰦥󰹴󱋆󰛨󰢅󰹍󰹁󰞅󱁃󰘪󰫙󰤺󰣄ժ󰳠󰠚󰖘󱇆󰞅󱁃󰹟󰞏󰦥󰹴󰖘󱇆󰞅󱁃󰹍󰹁󰞅󱁃󰠶󰫙󰞅󱁃󰤺󰻙󰳠󰠚󰡗󰗲󰿔󰚗č󰳠󰠚󰡗󰗲󰿔󰚗󰳠󰠚󰡗󰗲󰿔󰚗󰞅󱁃󰳠󰠚󰿔󰥲󰤻󰭤󰞅󱁃󰝴󱀆ԍ󰗼󱅙󱆶󰚦Ҿ󰶇󰙯󰹁󰞏󰞏󰹟󰹟󱅙󱆶Ҿ󰶇󰙯󰹁󰚦󰶓󰶫󰞅󱁃󰳠󰠚󱌚Ԣ󰙤󰷑󱂠󰹎՚󰾰󱁾󰹎՚󱌨󰗂󰹎՚1 风险评估流程文献[7]介绍了模糊风险评估模型，通过对风险因素建立评判集的方式通过矩阵运算获得最终权值。文献[8]介绍了通过云模型和DS证据理论对列控中心进行风险评估的方法。文献[9]介绍了基于组件和VIKOR方法决策的列控中心风险评估。本文利用FAHP方法对列控中心进行风险评估，降低AHP放在在评估中的主观因素。风险评估是组织确定信息安全风险需求的过程，包括资产识别与评价，威胁和弱点评估，控制措施评估，风险认定在内的一系列活动。相比于普通信息系统，列控中心属于工业控制系统，工业控制系统一般包括许多现场控制设备，这些设备的差异性比较大。而对于工业控制系统来说，风险评估必须是一个整体考虑、充分规划、持续运作的过程，从系统结构方面，评估整个工业控制网络的各个逻辑层；从评估要素方面，评估包括技术、管理、运行等各个层面。列控中心风险评估流程如图1所示，

铁路通信信号工程技术(RSCE) 2018年10月

13技术创新TECHNOLOGICAL INNOVATION重，最后再加权和的方法递阶归并各备择方案对总目标的最终权重，此最终权重最大者即为最优方案。根据信息安全风险评估标准，对其中包含的威胁识别来进行风险评估，按照网络结构，系统软件，应用中间件，操作系统对列控中心可能遇到的风险进行分类并组建第二层。然后在第二层每个因素之下再进行分类，将网络结构下面划分为边界保护、内部访问策略，外部访问策略，网络设备安全配置4个因素。系统软件划分为口令策略、事件审计、物理保护、访问控制4个因素。应用中间件划分为协议安全、通信完整性、数据完整性3个因素。操作系统划分为漏洞利用、访问控制、数据审计、密码管理、鉴别控制5个因素，如图2所示。下文将对这些因素进行风险评估。󰽮3āҾ󰶇󰞅󱁃󰖫󰙒󰽮Fig.2āSecurity Risk hierarchy Chart󰾪󰮏󰸢ԢҾ󰶇󰲦󱋃󰬚󰩦󱋐󱂐󰞅󱁃󰳠󰠚󰾔և󰝡󰿚󰖧󰭼󰰾և󰝡󰿚󰖧󰭼Չ󰦹󰝞󰢺󰝡󰿚󰩦󱋆󰺕󰨍󰾜󱊝󱂠󰥬՚󰩦󱋆󰯢󰮓󰠶󰫙󰺕󰨍󰸭󰤺󰝡󰿚󰩦󱋆󰭑󰛴󰫧󱆩󰽚󱂑󰾜󱊝󱂠󱁹󱅱Ҿ󰶇󰿿󰫙ԍ󰢺󰹚󰥲󰸭󰤺󰩨󰬸󰖧󰭼󰾪󰮏󰦳󰠓󱀣󰽥󰷉󰥲󱆌󱆩󱋐󰥘󰥲󰖡󱍕󱀣󰽥3 FAHP方法介绍首先，来计算第二层权重。根据第二层的要素两两比较建立判断矩阵，，其中aij表示从第一层角度考虑ai相对于aj的重要程度，判断矩阵中的数取从1到9之间的自然数。根据判断矩阵，利用方根法来求特征向量。P=(p1,p2,p3,p4,……pn)使用 （1）来对特征向量进行归一化得到权向量W=(w1,w2,w3,……wn)，其中 （2）然后来计算最大特征根 （3） （4）通过对比n阶指标即可判断一致性是否通过。传统AHP方法在第二层和第三层之间还需要两两对比来生成判断矩阵，采用模糊判断各因素进行定量分析。首先构造风险因素集合Ui=(u1,u2,……,un)，然后建立评判标准集合，V=(v1,v2……vm)，其中有m个评判标准等级。利用映射关系f∶U→F(V)把风险因素映射到等级判断标准上。于是得到风险度隶属矩阵，在评判集合中对每个元素分配权值得到权向量A，根据公式 （5）得到相对权重Wb=(wb1,wb2,wb3,……,wbn)，然后归一化后和第一层权向量相乘可得第三层权值。W＝WWb （6）4 计算举例4.1 风险评估计算方法对图3所示的层次结构，首先根据经验生成判断矩阵，然后通过式（1）来计算这个矩阵的特征向量WA为[0,39,2.94,1.32,0.67]，由式（2）对向量进行归一化得到权值为[0,07,0.55,0.25,0.13]，然后利用式（3）求得最大特征根为4.17，利用式（4）求得一致性指标为0.05小于0.1,说明矩No.10 董 宁，王 剑，蔡伯根：基于FAHP方法的列控中心安全风险评估

14T技术创新ECHNOLOGICAL INNOVATION阵一致性没有问题。下面计算第三层权重,令U=(u1,u2,u3,u4)分别对应边界防护，内部防伪策略，外部访问策略，网络设备安全配置4个风险因素，采用7个等级来构造评判集V=(v1,v2,v3,v4,v5,v6,v7)，依次代表可忽略，很低，低，中等，高，很高，非常高，确定其权重分别为1/28, 2/28, 3/28, 4/28, 5/28, 6/28, 7/28，结合专家意见，让专家针对风险因素和评判集打分形成隶属度矩阵通过式（5）得到的相对权重为[0.12 0.15 0.16 0.15]，通过式（6）对其归一化后再和第一层权值相乘之后得到的第三层权值为[0.015 0.020 0.020 0.018]。对于系统软件，计算第三层权值，评判集采用5个等级，分别分配权重为1/25，3/25，5/25，7/25，9/25，结合专家意见形成的隶属度矩阵为 ，得到相对权重为[0.224 0.208 0.200 0.200]，最后得到的第三层权值为[0.150 0.139 0.133 0.133]。类似的对于应用层中间件和操作系统，分别得到第三层的权值为[0.079 0.097 0.073]和[0.032 0.027 0.037 0.030]。5 结语本文利用FAHP方法对列控中心的各种组成要素进行定量的风险评估，降低了直接利用AHP方法所产生的主观性。利用所得的结果可以有针对性的对列控中心各种要素进行风险分析，对重点对象进行特殊防护，从而降低整个列控中心的风险值，保证列车正常安全运行。参考文献[1]李杨，韦伟，刘永忠，等. 一种基于AHP的信息安全威胁评估模型研究[J].计算机科学，2012，39（1）：61-64.Li Yang,Wei Wei,Liu Yongzhong，et al. Research on an Information Security Threat Assessment Model Based on AHP[J].Computer Science，2012，39（1）：61-64.[2]吴叶科，宋如顺，陈波.基于梯形模糊AHP的信息安全风险综合评估[J].计算机工程与应用, 2011，47（34）：111-113.Wu Yeke,Song Rushun,Chen bo.Comprehensive Evaluation of Information Security Risk Based on Trapezoidal Fuzzy AHP[J].Computer Engineering and Applications，2011，47（34）：111-113.[3]董玉梅.AHP中一致性问题的改进及其应用[D]. 太原：中北大学, 2011.[4]李梅霞.AHP中判断矩阵一致性改进的一种新方法[J].系统工程理论与实践，2000，20（2）：122-125.Li Meixia.A New Method for Judging Matrix Consistency Improvement in AHP[J],Systems Engineering-Theory & Practice，2000，20（2）：122-125.[5]吴泽宁，张文鸽，管新建.AHP中判断矩阵一致性检验和修正的统计方法[J].系统工程，2002, 20（3）：67-71.Wu Zening，Zhang Wenge，Guan Xinjian.Statistical Method for Judgment Matrix Consistency Test and Correction in AHP[J].Systems Engineering，2002，20（3）：67-71.[6]秦大力，张利，李吉慧.基于FAHP的信息安全风险评估方法[J].计算机工程，2009, 35（15）：156-158.Qin Dali，Zhang Li，Li Jihui.FAHP-based information security risk assessment method[J].Computer Engineering，2009, 35（15）：156-158.[7]徐征捷，张友鹏，苏宏升.基于云模型的模糊综合评判法在风险评估中的应用[J].安全与环境学报，2014，14（2）：69-72.（下转24页）铁路通信信号工程技术(RSCE) 2018年10月