【正文】 設備運行狀態(tài)等數(shù)據(jù)。星型結(jié)構(gòu)每一個設備都使用一根雙絞線一個接口相連,因此，這種結(jié)構(gòu)有易于維護。AFC系統(tǒng)主要采用了星型、樹型和環(huán)型相結(jié)合的網(wǎng)絡結(jié)構(gòu)?？偠灾?，AFC系統(tǒng)網(wǎng)絡的建設能促進整個地鐵業(yè)務系統(tǒng)的發(fā)展。 AFC系統(tǒng)網(wǎng)絡實現(xiàn)目標AFC系統(tǒng)是一個基于計算機、通信、網(wǎng)絡、自動控制等技術(shù)，實現(xiàn)軌道交通售票、檢票、計費、收費、統(tǒng)計、管理等全過程的自動化系統(tǒng)，實現(xiàn)了軌道交通售票、檢票、計費、收費、統(tǒng)計、清分管理等全過程的自動處理，涉及到自動控制、計算機網(wǎng)絡通信、模式識別技術(shù)、微電子計算、機電一體化、嵌入式系統(tǒng)和大型數(shù)據(jù)庫管理等高新技術(shù)的應用。雖然 AFC 網(wǎng)絡系統(tǒng)是一個完全封閉的內(nèi)部專用網(wǎng), 但數(shù)據(jù)傳輸安全性也要加以重視,采用訪問控制、硬件防火墻系統(tǒng)、防殺病毒系統(tǒng)可充分保證中央計算機系統(tǒng)以及各車站網(wǎng)絡的系統(tǒng)安全。4. 網(wǎng)絡可擴展性原則：如網(wǎng)絡設備以Cisco IOS網(wǎng)絡操作系統(tǒng)為核心,其良好的可擴展性和可升級性, 可以滿足將來不斷發(fā)展的新需求。AFC數(shù)據(jù)中心服務器以及其他關(guān)鍵服務器、工作站均采用雙機冗余方式分別接入兩路以太網(wǎng)中。CC系統(tǒng)與SC系統(tǒng)間的通信從地鐵傳輸系統(tǒng)的城域網(wǎng)接入實現(xiàn)， 主要有E1接入和100Mb/s以太網(wǎng)接入兩種方式現(xiàn)在AFC系統(tǒng)網(wǎng)絡建設要實現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，提供全面的保障服務，使網(wǎng)絡安全可靠。當某一臺核心交換機出現(xiàn)故障或核心交換機與接入層/匯聚層交換機的某一條互聯(lián)線路出現(xiàn)故障時，系統(tǒng)將通信業(yè)務快速自動切換到另一臺正常工作的核心層交換機上，以使整個網(wǎng)絡具備高容量、無阻塞、高可靠的能力。這樣來自外網(wǎng)的訪問者可以訪問DMZ中的服務，但不可能接觸到存放在內(nèi)網(wǎng)中的公司機密或私人信息等。 防火墻技術(shù)地鐵公司要求對數(shù)據(jù)存儲、傳輸?shù)陌踩缘男阅茌^高，如運營管理、檔案管理、財務管理、物資管理等可以通過分布式、集中式相集合的方法進行管理。在VLAN間需要通信的時候，可以利用VLAN間路由技術(shù)來實現(xiàn)。路由器具有在網(wǎng)絡中傳遞數(shù)據(jù)時選擇最佳路徑的能力。區(qū)網(wǎng)數(shù)據(jù)交換設備可以劃分為三個層次：訪問層、分布層、核心層。當網(wǎng)絡管理人員需要管理的交換機數(shù)量眾多時，可以使用VLAN中繼協(xié)議(Vlan Trunking Protocol，VTP)簡化管理，它只需在單獨一臺交換機上定義所有VLAN。高層交換技術(shù)的引入不但提高了區(qū)網(wǎng)數(shù)據(jù)交換的效率，更大大增強了區(qū)網(wǎng)數(shù)據(jù)交換服務質(zhì)量，滿足了不同類型網(wǎng)絡應用程序的需要。 AFC系統(tǒng)網(wǎng)絡技術(shù)需求分析在網(wǎng)絡的建設中，主干網(wǎng)選擇何種網(wǎng)絡技術(shù)對網(wǎng)絡建設的成功與否起著決定性的作用。所以我們在設計的時候必須要考慮到系統(tǒng)要有可擴展性和可升級性。為了支持數(shù)據(jù)、話音、視像多媒體的傳輸能力,在技術(shù)上要到滿足當前的需求水平。 網(wǎng)絡主干鏈路重要時可能會通過交通要道，多重障礙物。 具體為把主服務器放在地鐵公司，每個站臺放一個交換設備，每個站臺接入兩個信息點。因為接入層終端設備較多，所以將核心層節(jié)點設置和接入層一起。AFC應用系統(tǒng)軟件是其中最具有代表性的，它不僅要集成所有售檢票設備信息，還要對車票和現(xiàn)金等實物進行管理，涉及車站管理、收益管理和車票管理等各個環(huán)節(jié)，數(shù)據(jù)關(guān)系較為復雜，需求難以把握，開發(fā)具有一定難度，是實現(xiàn)AFC系統(tǒng)集成的關(guān)鍵環(huán)節(jié)。1993年3月1日，上海軌道交通首先在1號線啟用了AFC系統(tǒng)，從而實現(xiàn)了城市軌道交通在售票、檢票、計費、統(tǒng)計等方面的全過程自動化。根據(jù)AFC系統(tǒng)網(wǎng)絡各部分的結(jié)構(gòu)和設計等方面進行了詳細的分析和描述，并給出了具體的實施方案和設計。在這個高速發(fā)展的社會，信息網(wǎng)絡的建設也得到了質(zhì)的飛躍。然而地鐵與信息網(wǎng)絡的碰撞時不可避免的。本文最后分析了AFC系統(tǒng)安全管理中存在的問題，然后基于這些問題提出了一個具體的解決方案。城市軌道交通采用AFC系統(tǒng)技術(shù)的優(yōu)越性很快得到全面的體現(xiàn)，2000年，在2號線開通運營的同時，同步啟用了AFC系統(tǒng)，并與先前已經(jīng)啟用AFC系統(tǒng)的1號線實行聯(lián)網(wǎng)操作。 AFC系統(tǒng)網(wǎng)絡性能需求分析 結(jié)構(gòu)需求分析網(wǎng)絡采用接入層、核心層。因為接入用戶較多，且是內(nèi)部交換網(wǎng)絡，因此網(wǎng)絡節(jié)點設備交換機要采用高性能具備大型第1章 AFC系統(tǒng)網(wǎng)絡的需求分析交換能力的設備。主要的形式是以地鐵公司為中心的分散網(wǎng)絡。 網(wǎng)絡主干鏈路主要埋藏地底。要采用最先進的網(wǎng)絡技術(shù),以適應大量數(shù)據(jù)和多媒體信息的傳輸,既要滿足目前的業(yè)務需求,又要充分考慮未來的發(fā)展。因此我們在此設計中采用了樹形的拓撲結(jié)構(gòu)設計，此設計易擴展，不僅僅指設備端口的擴展,還指網(wǎng)絡結(jié)構(gòu)的易擴展性,即只有在網(wǎng)絡結(jié)構(gòu)設計合理的情況下,新的網(wǎng)絡節(jié)點才能方便地加入已有網(wǎng)絡網(wǎng)絡協(xié)議的易擴展。選擇適合AFC網(wǎng)絡需求特點的主流網(wǎng)絡技術(shù)，不但能保證網(wǎng)絡的高性能，還能保證網(wǎng)絡的先進性和擴展性，能夠在未來向更新技術(shù)平滑過渡，保護用戶的投資。現(xiàn)代交換網(wǎng)絡還引入了虛擬局域網(wǎng)(Virtual LAN，VLAN)的概念。然后通過VTP協(xié)議將VLAN定義傳播到本管理域中的所有交換機上。訪問層為所有的終端用戶提供一個接入點；分布層除了負責將訪問層交換機進行匯集外，還為整個交換網(wǎng)絡提供VLAN間的路由選擇功能；核心層將各分布層交換機互連起來進行穿越區(qū)網(wǎng)骨干的高速數(shù)據(jù)交換。除了可以完成主要的路由任務，利用訪問控制列表(Access Control List，ACL)，還可以用來完成以路由器為中心的流量控制和過濾功能。當網(wǎng)絡管理人員需要管理的交換機數(shù)量眾多時，可以使用VLAN中繼協(xié)議(Vlan Trunking Protocol，VTP)簡化管理，它只需在單獨一臺交換機上定義所有VLAN。防火墻作為網(wǎng)絡的第一道防線，應放置在外網(wǎng)和需要保護的AFC系統(tǒng)網(wǎng)絡之間。即使DMZ中服務器受到破壞，也不會對內(nèi)網(wǎng)中的機密信息造成影響。作為一個較為完整的AFC網(wǎng)絡實現(xiàn)，路由、交換與遠程訪問技術(shù)缺一不可。從而提供可增值可管理的業(yè)務，必須具備高性能、高安全性、高可靠性，高可管理、高可增值特性以及開放性、兼容性和可擴容性。CC及SC的城域網(wǎng)接入均采用雙路 100Mbps以太網(wǎng)方式,這樣充分實現(xiàn)了主干網(wǎng)絡的冗余性, 并且提高了網(wǎng)絡系統(tǒng)的可靠性。中央計算機系統(tǒng)的中心交換機、路由器、智能交換機等均具有易于升級和改造的特性。6. 網(wǎng)絡協(xié)議原則：符合相關(guān)國際標準, 采用TCP/ IP協(xié)議,支持最基本應用如SNM P、FT P、SNT P、DNS等,路由協(xié)議采用OSPF動態(tài)路由加快網(wǎng)絡收斂。地鐵AFC自動售檢票系統(tǒng)在整個地鐵業(yè)務系統(tǒng)中占有非常重要的地位，要求所采用的設備具有很好的可靠性、開放性、穩(wěn)定性。AFC系統(tǒng)網(wǎng)絡管理是一個不斷多元化的網(wǎng)絡應用系統(tǒng)設備組合，用以支持其日常運作和實現(xiàn)其長遠目標。整個圖主要分為兩個部分，分別是中央計算機系統(tǒng)（CC）和車站計算機系統(tǒng)(SC)。采用交換電纜或工作站的簡單方法可以很容易地確定網(wǎng)絡故障點。 (2) 監(jiān)視和控制所有車站設備的運行狀態(tài)。線路中央計算機系統(tǒng)與各車站計算機系統(tǒng)進行通信；可自動采集全線路自動售檢票系統(tǒng)的交易數(shù)據(jù)和設備運營狀態(tài)信息，進行財務和客流統(tǒng)計；線路中央計算機系統(tǒng)能向車站計算機系統(tǒng)下傳費率表、優(yōu)惠表、黑名單及其他參數(shù)和控制命令至各相關(guān)終端設備。用戶可以通過管理界面指定任意端口（包括普通端口和聚合端口）進行組環(huán)，以提供更快的恢復速度和更高的通信帶寬。以及最新崛起的千兆以太網(wǎng)等。千兆位以太網(wǎng)與其他速度相當?shù)母咚倬W(wǎng)絡技術(shù)相比，價格低，同時比10Mbps傳輸速度比快速以太網(wǎng)提高十倍，比以太網(wǎng)提高一百倍。米至1300nm3km。OTN是以波分復用技術(shù)為基礎、在光層組織網(wǎng)絡的傳送網(wǎng)，是下一代的骨干傳送網(wǎng)。由于結(jié)合了光域和電域處理的優(yōu)勢，OTN可以提供巨大的傳送容量、完全透明的端到端波長/子波長連接以及電信級的保護，是傳送寬帶大顆粒業(yè)務的最優(yōu)技術(shù)。表34 交換機的選型設備名稱核心層交換機接入層交換機型號WSC3560E24TDSWSC296048TTL廠商CISCOCISCO產(chǎn)品類型工業(yè)級交換機智能交換機傳輸速率10/100/1000 Mbps 10/100/Mbps傳輸模式全雙工全雙工/半雙工自適應端口數(shù)量24個50個交換方式存儲轉(zhuǎn)發(fā)存儲轉(zhuǎn)發(fā)背板帶寬720Gbps包轉(zhuǎn)發(fā)率387Mpps數(shù)量24n+1（n車站數(shù)） 路由器的選型對于CC網(wǎng)絡中的核心路由器而言, 采用Cisco7206VXR企業(yè)級路由器1臺, 它具備NPEG1網(wǎng)絡處理引擎模塊和6個WAN插槽。所有路由器均使用OSPF路由協(xié)議, 可以很方便地將來 E1通道的擴展。C 防火墻選型出于安全考慮，有效地防止外來的入侵，控制進出網(wǎng)絡的信息流向和信息包；提供使用和流量的日志和審計；隱藏內(nèi)部IP地址及網(wǎng)絡結(jié)構(gòu)的細節(jié)等，實現(xiàn)記錄攻擊，阻擋外部攻擊，包的透明轉(zhuǎn)發(fā)，過濾作用，在次方案中選擇CISCO ASA5550BUNK9防火墻，其參數(shù)見下表33所示。根據(jù)需要，我們將服務器分為2種類型，一種是常規(guī)運營所用的服務器見下表35所示，另一種是對整個AFC系統(tǒng)管理所需的服務器見下表36所示。然后具備上述這些特點的傳輸介質(zhì)目前只有光纜可滿足要求。 AFC系統(tǒng)網(wǎng)絡冗余設計由于AFC網(wǎng)絡規(guī)模巨大、涉及的很多，特別是骨干網(wǎng)絡出現(xiàn)任何的問題將導致很大的不良影響，因此對網(wǎng)絡的可靠性和可用性要求很高。ospf路由協(xié)議是一種典型的鏈路狀態(tài)（Linkstate）的路由協(xié)議，一般用于同一個路由域內(nèi)。MSTP（Multiple Spanning Tree Protocol，多生成樹協(xié)議）將環(huán)路網(wǎng)絡修剪成為一個無環(huán)的樹型網(wǎng)絡，避免報文在環(huán)路網(wǎng)絡中的增生和無限循環(huán)，同時還提供了數(shù)據(jù)轉(zhuǎn)發(fā)的多個冗余路徑，在數(shù)據(jù)轉(zhuǎn)發(fā)過程中實現(xiàn)VLAN 數(shù)據(jù)的負載均衡。但是也將造成IP地址資源的極大浪費。我們建議,IP地址規(guī)劃遵循如下原則來設計：1. 易管理性: 充分利用地址空間,在按一定邏輯規(guī)則分配 I P的基礎上最大限度地實現(xiàn)地址連續(xù)性,并兼顧今后網(wǎng)絡發(fā)展,便于業(yè)務管理。因此在方案中采取靜態(tài)vlan和動態(tài)vlan相結(jié)合。 IP地址與Vlan規(guī)劃的具體方案AFC網(wǎng)絡是企業(yè)內(nèi)部專網(wǎng), 可以使用保留的A類 IP地址(如 10. 0. 0. 0/8)作為專網(wǎng)的 IP地址。表31 IP地址的劃分地址用戶地址中央網(wǎng)絡車站網(wǎng)絡~1號車站網(wǎng)絡進口閘機~49出口閘機~99補票機~119自動售票機~159半自動售票機~199自動加值機. 200~219其他設備~253車站服務器表32 Vlan的劃分區(qū)域Vlan號中央系統(tǒng)Vlan11號車站Vlan22號車站Vlan3…………15號車站Vlan15第 4 章AFC系統(tǒng)網(wǎng)絡的實施 網(wǎng)絡接入層配置為了方便在配置vlan之前先配置vtp，vtp是用來管理和配置整個vlan交換網(wǎng)絡。portsecurity核心交換機之間采用聚合鏈路(Port TRUNKING)，該技術(shù)可使交換機之間連接最多四條負載均衡的冗余連接。增大鏈路帶寬，解決交換網(wǎng)絡中因帶寬引起的網(wǎng)絡瓶頸問題。vlanSwitchB(confifvl100vrid100)prioritygi0/1vlanSwitchB(conf)protocolSwitchB(confmstp)msti2bridgeprioritySwitchC(confifvl100)vrrpgroup200105 //設置優(yōu)先級為105SwitchC(confifvl200vrid200)gi0/1spanningtree1vlan4096[運行]telnet PIX passwd:輸入密碼：cisco（NAT）和端口轉(zhuǎn)換(PAT)PIX（config）global （outside）1 netmask PIX(config)nat (inside) 1 則某些情況下，外部地址是很有限的，有些主機必須單獨占用一個IP地址，必須解決的是公用一個外部IP(),則必須多配置一條命令，這種稱為（PAT），這樣就能解決更多用戶同時共享一個IP,有點像代理服務器一樣的功能。PIX(config)static (inside,outside) tcp telnet telnet netmask 0 0! FTP， Server。它可以為家庭辦公用戶和出差在外的員工提供移動接入服務。AFC(config)crypto dynamicmap vpnmap 10 //創(chuàng)建動態(tài)的Crypto map 名為vpnmapAFC(configcryptom)set transformset hnrpc //使用動態(tài)傳輸集AFC(configcryptom)set securityassociation idletime 60 //設置安全空閑時間為60秒 map：AFC(config)crypto map CMAP client authentication list vpn_a //指定使用aaa authentication login 命令來驗證用戶AFC(config)crypto map CMAP isakmp authentication list vpnn //指定使用aaa authorization network 命令來找到遠程訪問組的配置IRouter(config)crypto map CMAP client configuration address respond //指定服務器由Remoto發(fā)起IKE模式配置AFC(config)crypto map CMAP 10 ipsecisakmp dynamic vpnmap //在靜態(tài)的Cryto map“ CMAP”中引用動態(tài)的Crypto map“vp