T/CIITA 201.4-2021 城市轨道交通 自动售检票系统 第4部分：网络安全规范

ICS03.100.30

CCSL70

T/CIITA201.4—2021

团体标准

T/CIITA201.4-2021

城市轨道交通自动售检票系统

第4部分：网络安全规范

Urbanrailtransit─automaticfarecollectionsystem─

part4:Informationsecurityspecifications

2021-11-09发布2021-12-08实施

目

1

中国信息产业商会发布

次

前言.............................................................................4

引言.............................................................................5

1范围.................................................................................6

2规范性引用文件.......................................................................6

3术语和定义...........................................................................6

4缩略语...............................................................................9

5一般规定............................................................................11

6系统网络架构........................................................................12

6.1AFC系统网络架构................................................................12

6.2AFC云平台系统架构..............................................................13

7网络安全技术要求....................................................................14

7.1清分中心线网络安全保护要求......................................................14

7.2多线路中心/单线路中心系统信息安全保护要求.......................................22

7.3车站系统信息安全保护要求........................................................29

7.4互联网票务系统网络安全保护要求..................................................35

7.5AFC云平台网络安全保护要求......................................................43

8网络安全等级保护管理要求............................................................51

8.1安全管理制度....................................................................51

8.2安全管理人员....................................................................52

8.3安全建设管理....................................................................52

8.4安全运维管理....................................................................53

9网络安全运营管理....................................................................54

9.1规划阶段........................................................................54

9.2建设阶段........................................................................55

9.3运营阶段........................................................................55

10网络安全测评.......................................................................57

T/CIITA201.4—2021

10.1安全物理环境...................................................................58

10.2安全通信网络...................................................................59

10.3安全区域边界...................................................................59

10.4安全计算环境...................................................................60

10.5安全管理中心...................................................................61

10.6安全管理制度...................................................................62

10.7安全管理机构...................................................................63

10.8安全建设管理...................................................................64

10.9安全运维管理...................................................................65

参考文献........................................................................67

3

前言

本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。

T/CIITA201《城市轨道交通自动售检票系统》由六个部分组成，本文件是第4部分。T/CIITA201

已经发布如下部分：

——第1部分：系统架构、业务规则及软件要求；

——第2部分：终端设备；

——第3部分：系统测试与检测；

——第4部分：网络安全规范；

——第5部分：互联互通要求；

——第6部分：安装施工规程。

本文件由中国信息产业商会团体标准委员会提出并归口。

本文件起草单位：北京中软万维网络技术有限公司、上海中软华腾软件系统有限公司、南京熊猫

信息产业有限公司、上海华虹计通智能系统股份有限公司、方正国际软件（北京）有限公司、普天轨

道交通技术（上海）有限公司、北京地铁科技发展有限公司、深圳地铁建设集团有限公司、深信服科

技股份有限公司、长春光华科技发展有限公司、青岛博宁福田智能交通科技发展有限公司、上海中铁

通信信号测试有限公司、广州地铁设计研究院股份有限公司、北京东土科技股份有限公司、深圳市三

旺通信股份有限公司、广州广电运通智能科技有限公司、北京天地和兴科技有限公司、北京尊冠科技

有限公司、天津南大通用数据技术股份有限公司、苏州雷格特智能设备股份有限公司。

本文件主要起草人：杨巍、胡佳乐、唐晓闯、闫学文、黄亮喨、杨波、马涛、许翔、戴华、闫雷

雷、钱鸣、赵玉军、张然、胡冰、陈鑫、王健、马怀清、吴博、李白、岳峰、余从海、冯秀波、陈鑫、

张森、李沁龙、李铁根、邓顺义、陈波洲、高炜丽、金光宇、田雄军、马岚、金尚柏、陈峤、李道全、

徐健洲、林杨。

本文件为T/CIITA201.4的第一次修订。

T/CIITA201.4—2021

引言

新技术、新产品和业务需求的快速发展，为城市轨道交通自动售检票系统不断提出新的要求。为

规范城市轨道交通自动售检票系统的新建、扩建、改建工作，特制定本文件。其深度和颗粒度高于国

标《地铁设计规范》（GB50157-2013）、《城市轨道交通自动售检票系统技术条件》（GB/T20907-2007）

的内容及要求，对新技术、新产品及业务需求的发展做了必要的补充和要求。目标是根据不同城市的

实际情况，在实现AFC基本功能和性能要求的基础上，为智慧交通和智慧城市建设需要，制定保障运营

业务需求和发展所需的技术条件和要求。补充的新兴技术应用内容，着力在产品化标准化方面做重点

表述，以期促进AFC产品化、标准化进程。本文件拟由6部分构成。本分册是第4部分。

——第4部分：网络安全规范。目的在于根据国家网络安全等级保护原则结合AFC系统构成及运营

管理要求，对AFC系统各部分的系统建设、运营管理做出网络安全规范性要求。

5

城市轨道交通自动售检票系统

第4部分：网络安全规范

1范围

本文件规定了城市轨道交通自动售检票系统网络安全架构、网络安全等级保护技术要求、网络安

全等级保护管理要求、网络安全运营管理、网络安全测评功能要求和性能要求。

本文件适用于指导城市轨道交通自动售检票系统的新线建设、既有线路扩建、改建和运营。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/T22239-2019信息安全技术网络安全等级保护基本要求

GB/T22240信息安全技术信息系统安全等级保护定级指南；

GB/T32399-2015信息技术云计算参考架构

GB/T35273信息安全技术个人信息安全规范

3术语和定义

3.1

自动售检票系统automaticfarecollection

基于计算机、通信、网络、自动控制等技术，实现轨道交通售票、检票、计费、收费、统计、清

分、管理等全过程的自动化系统。自动售检票系统，以下简称系统或简称AFC。

[来源：GB/T50381-2018]

3.2

AFC云平台automaticfarecollectioncloudplatform

为AFC软件提供云计算资源的平台。

3.3

自动售检票清分中心系统AFCcentralclearingsystem

T/CIITA201.4—2021

用于发行和管理城市轨道交通车票，对线网内不同线路的票、款进行结算和清算，并具有与城市

轨道交通线网内乘用消费的其他付费卡进行清算功能的系统。

[来源：GB/T50381-2018有修改]

3.4

城市互联清分中心系统urbaninterconnectionAFCcentralclearingsystem

用于城市间轨道交通线网融合互联互通后，对不同票、款进行结算和清算的系统。

3.5

互联网票务系统InternetTicketingPlatform

城市轨道交通企业在互联网票务使用、运营过程中提供各种管理功能的信息系统。

3.6

多线路中心系统multiplelinecentralsystem

用于管理和控制城市轨道交通多条线路自动售检票系统的计算机系统。

3.7

线路计算机系统linecomputersystem

用于监控和管理城市轨道交通单线路自动售检票系统的计算机系统。

[来源：GB/T50381-2018有修改]

3.8

车站计算机系统stationcomputersystem

用于车站级票务管理、运行管理和客流统计的计算机系统。

[来源：GB/T50381-2018]

3.9

车站终端设备stationlevelequipment

安装在城市轨道交通线路各车站，进行车票发售、进站检票、出站检票、充值、验票分析等交易

处理的设备。

[来源：GB/T50381-2018有修改]

3.10

乘车凭证ridingpass

乘客乘坐轨道交通的凭证载体。

3.11

云计算cloudcomputing

一种通过网络将可伸缩、弹性的共享物理和虚拟资源池以按需自服务的方式供应和管理的模式。

[来源：GB/T32400-2015]

3.12

云服务cloudservice

通过云计算已定义的接口提供的一种或多种能力。

[来源：GB/T32400-2015]

3.13

微服务microservice

一种云原生架构方法，其中单个应用程序由许多松散耦合且可独立部署的较小组件或服务组成。

3.14

容器化containerization

以统一的方式打包应用程序以及依赖包到一个可移植的容器中。

7

3.15

敏捷开发agiledevelopment

以用户的需求进化为核心，采用迭代、循序渐进的方法进行软件开发。

3.16

银联ODA清算中心系统unionpayodacentralclearingsystem

负责银联IC卡联机ODA交易的收单、支付、清算业务的系统。

3.17

自动检票机automaticgatemachine

对车票进行自动检验和处理，放行或阻挡乘客出入付费区的设备。自动检票机分进站检票机、出

站检票机和双向检票机三种类型。

[来源：GB/T50381-2018有修改]

3.18

多功能自助票务终端multifunctionselfserviceticketingterminal

具备票务自助处理、票务查询、信息咨询服务、开具电子发票功能，用于部分替代车站票务客服

人员工作。

3.19

读写器ticketreader-writer

安装在自动售票机、自动补票机、半自动售票机、自动检票机、边门闸机、移动检票机、自动查

询机、便携式检验票机、多功能自助票务终端、智慧客服等设备中，用于对车票的发售、检票、充值、

验票分析作读写处理的设备。

3.20

黑名单blacklist

根据管理要求对挂失车票和异常车票进行特殊控制的数据列表。

[来源：GB/T50381-2018]

3.21

互联网票务internetticketing

基于各种新型的媒体（二维码、NFC虚拟卡、生物特征等），利用互联网实现的虚拟化、数字票种

（或乘车凭证）。

3.22

互联网票务系统internetticketingsystem

城市轨道交通企业在互联网票务使用、运营过程中提供各种管理功能的信息系统。

3.23

生物特征识别biometricrecognition

基于个人的行为特征和生物学特征，对该个体进行的自动识别。

[来源：GB/T26238-2010]

3.24

密钥key

一种用于控制密码变换操作（如加密、解密、密码校验函数计算、签名产生或签名验证）的符号

序列。

[来源：GB/T17901.1-2020]

3.25

安全存取模块securityaccessmodule

一种能够提供必要的安全机制，以防外界对终端所储存或处理的安全数据进行非法攻击的硬件加

密模块，简称SAM。

T/CIITA201.4—2021

[来源：GB/T50381-2018]

3.26

初始化initialization

在车票投入运行前，为保证其在本系统内正常使用，需对其进行初始格式、发行及应用信息写入

的过程。

[来源：GB/T50381-2018]

3.27

进站entry

从非付费区到付费区通过的行为。

[来源：GB/T50381-2018]

3.28

出站exit

从付费区到非付费区通过的行为。

[来源：GB/T50381-2018]

3.29

单程票singlejourneyticket

在限定时间内一次性使用的车票。

[来源：GB/T50381-2018]

3.30

储值票storagevalueticket

具有储值功能，可重复充值使用的车票。

[来源：GB/T50381-2018]

4缩略语

下列缩略语适用于本文件。

ACC:自动售检票的清分中心(AFCClearingCenter)

ACL：访问控制列表（AccessControlList）

AD：活动目录（ActiveDirectory）

AFC：自动售检票系统(AutomaticFareCollection)

AP：无线访问接入点（WirelessAccessPoint）

API：应用程序编程接口（ApplicationProgrammingInteface）

APP：手机的应用软件（Application）

APT：高级持续性威胁（AdvancedPersistentThreat）

9

ARP：地址解析协议（AddressResolutionProtocol）

AV：防病毒（AntiVirus）

CA：数字证书认证中心（CertificateAuthority）

CPU：中央处理器（CentralProcessingUnit）

DDoS：分布式拒绝服务(DistributedDenialofService)

DF：设备错误（DeviceFault）

DNS：域名系统（DomainNameSystem）

EC：纠删码（ErasureCoding）

FTP：文件传输协议（FileTransferProtocol）

GRE：通用路由封装（GenericRoutingEncapsulation）

HA：高可用性（HighAvailability）

IO：输入/输出（Input/Output）

IP：互联网协议（InternetProtocol）

IPS：入侵防御系统(IntrusionPreventionSystem)

IT：信息技术（InformationTechnology）

LTE：长期演进（LongTermEvolution）

MAC：媒体访问控制（MediaAccessControl）

NAS：网络附属存储（NetworkAttachedStorage）

ODBC：开放数据库连接（OpenDataBaseConnectivity）

0day：已经被发现而官方还没有相关补丁的漏洞

PXE：预启动执行环境(PrebooteXecutionEnvironment)

RTP：实时传输协议（Real-timeTransportProtocol）

T/CIITA201.4—2021

SaaS：软件即服务（SoftwareasaService）

IaaS：基础设施即服务（InfrastructureasaService）

PaaS：平台即服务（PlatformasaService）

SDN：软件定义网络（SoftwareDefinedNetwork）

SQL：结构化查询语言（StructuredQueryLanguage）

SSD：固态盘（SolidStateDrives）

SSL：安全套接字协议（SecureSocketsLayer）

TB：太字节（TeraByte）

UE：用户设备（UserEquipment）

USB：通用串行总线（UniversalSerialBus）

VDC：虚拟数据中心（VirtualDataCenter）

VLAN：虚拟局域网（VirtualLocalAreaNetwork）

VM：虚拟机（VirtualMachine）

VPC：虚拟专有云（VirtualPrivateCloud）

VPN：虚拟专用网（VirtualPrivateNetwork）

PPI：像素每英寸（PixelPerInch）

5一般规定

基本原则：

城市轨道交通自动售检票系统兼容创新系统设计的原则包括：

11

a)系统设计需要满足“数据自主、技术自主、风险可控”的基本原则。必须不断完善自主可控产

业体系，积极推进国产基础软硬件的集成适配和解决方案研发，联合产业内合作伙伴打造安全

可控产业生态体系；

b)应按自动售检票系统的安全需求，构建保证信息系统可用性、完整性和保密性的平台和安全保

证体系，确保自动售检票系统的业务安全；

c)遵循“系统自保、平台统保、边界防护、等保达标、安全确保”的策略，以网络安全等级保护

为基础，分级分类建立安全保护措施；

d)应采用带外管理技术构建安全管理域，支持对自动售检票系统的安全集中管控；

e)应实现自动售检票系统的安全态势感知，可对车站、多线路中心/单线路中心系统、清分清算中

心系统设备进行持续监控；

f)自动售检票系统安全审计日志留存期不少于六个月；

g)应部署时钟同步服务系统，开启时钟同步服务；

h)自动售检票系统设备使用应优先选择国产自主产品，使用前应通过第三方检测机构的安全性检

测。

6系统网络架构

6.1AFC系统网络架构

城市轨道交通AFC系统架构应包含五层，第第一层为线网中心（清分中心）系统（ACC）和互联网

票务系统（ITS），第二层为多线路中心/单线路中心系统（MLC/LC），第三层为车站系统（SC），第

四层为终端设备（SLE），第五层为乘车凭证。AFC系统架构示意见图1。

T/CIITA201.4—2021

城市公共交通清线网中心（清分

第一层互联网票务系统

算系统中心）系统

第二层多线路中心系统单线路中心系统单线路中心系统

第三层车站系统1~N车站系统1~N车站系统1~N车站系统1~N

第四层车站终端设备车站终端设备车站终端设备车站终端设备

第五层乘车凭证

图1AFC系统架构示意图

自动售检票系统分为车票、终端、车站系统、多线路中心/单线路中心系统、清分中心5层架构。

基于传统的5层架构，应按车站、多线路中心/单线路中心系统、清分清算中心构建安全域，建立纵向

防护机制。互联网售票平台应与各个子系统进行物理隔离，独立构建安全域。线网中心系统（清分中

心系统）和互联网平台应按照等保三级要求建设；多多线路中心/单线路中心系统（单多线路中心/单

线路中心系统）系统宜按照等保三级要求建设；车站系统宜按照等保二级要求建设。

6.2AFC云平台系统架构

当轨道交通AFC系统需新建或迁移至云计算平台时，宜将第一层、第二层系统部署在云计算平台，

车站系统可在云计算平台部署，也可保留在车站本地部署。AFC系统云部署架构分为两类：1、第一、

二层部署于AFC云平台；2、第一、二、三层部署于AFC云平台。AFC系统云部署架构示意如图2。

13

AFC云平台AFC云平台

线网中心（清分线网中心（清分

第一层互联网票务系统第一层互联网票务系统

中心）系统中心）系统

第二层多线路中心系统单线路中心系统单线路中心系统第二层多线路中心系统单线路中心系统单线路中心系统

第三层车站系统1~N车站系统1~N车站系统1~N车站系统1~N第三层车站系统1~N车站系统1~N车站系统1~N车站系统1~N

第四层车站终端设备车站终端设备车站终端设备车站终端设备第四层车站终端设备车站终端设备车站终端设备车站终端设备

第五层乘车凭证第五层乘车凭证

图2AFC系统云部署架构示意图

当轨道交通AFC系统需新建或迁移至云计算平台时，则整体AFC系统建设统一的安全防护体系，并

且设计中心云化部分与车站非云化部分的网络安全边界，整体网络安全管理需在云上部署。建设中心

云化部分按照等保三级进行网络安全建设，车站非云化部分按照等保二级进行建设。可将要求包括：

a)采用云平台的自动售检票系统，车站级的自动售票机、自动检票机、半自动售票机及车票编码

分拣等设备应独立部署；

b)应为互联网售检票系统设置独立的安全域，与车站系统、清分清算系统进行数据交互时应通过

物理隔离设备进行数据传输；

c)云平台是云计算基础设施及其上的服务软件的集合。自动售检票系统可以采用云平台；

d)云平台主要由服务器、磁盘阵列、交换机、防火墙等硬件及配套的软件及服务组成；

e)云平台的边界主要包括内部的防火墙、交换机、服务器及互联的传输等硬界面及平台内部虚机

之间、容器之间、业务或服务之间的软界面和外部的业务安全、访问安全、服务安全、授权

安全、系统安全等服务面；

f)云平台宜采用双活、主备等灾备机制宜增加相应的接口扩展及必要的切换过程的安全机制和安

全界面。同时宜根据相关标准辅以物理安全等必要的安全边界。

7网络安全技术要求

7.1清分中心线网络安全保护要求

7.1.1清分中心网络安全等级保护要求

T/CIITA201.4—2021

总则

清分中心的网络安全建设符合GB/T22239—2019第三级系统的要求及结合AFC系统的特点

安全物理环境

.1物理位置的选择

清分中心机房场地应远离产生粉尘、油烟、有害气体以及生产或贮存危险品的场所。

.2物理访问控制

外部人员访问清分中心主机房前应发起申请，经过审批后由机房管理人员全程陪同并保留相关审

批、访问记录。

.3防盗窃和防破坏

应在必要情况下对主机房出入人员携带的物品进行检查。

.4防静电

辅助区内的工作台面可采用导静电或静电耗散材料。

.5温湿度控制

应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。冷通道或机柜

进风区域的温度应不高于27℃，相对湿度不大于60%。在停机时，主机房环境温度应不高于45℃，相对

湿度应不高于80%。

.6电磁防护

电磁防护要求如下：

a)可采用屏蔽布线系统、光缆布线系统或建筑屏蔽等技术手段实现，当采用屏蔽布线系统时，应

保证链路全程屏蔽以及屏蔽层可靠接地；

b)可对清分中心机房中关键设施实施电磁屏蔽。

安全通信网络

15

.1网络架构

网络架构要求包括：

a)应保证网络设备的业务处理能力满足业务高峰期的需要，应保证关键网络设备（如核心交换机、

清分中心与多线路中心/单线路中心系统，互联网票务系统之间的路由器）等资源使用率不

超过60%；

b)应保证网络各个部分的带宽满足业务高峰期需要，应保证清分中心与多线路中心/单线路中心

系统之间、清分中心与互联网票务系统之间链路带宽使用率不超过70%；

c)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址，至少应划分不

同的区域并为每个区域划分独立的VLAN；

d)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔

离手段；

e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。应保证清分

中心与多线路中心/单线路中心系统之间、清分中心与互联网票务系统之间网络设备冗余部

署。

.2通信传输

通信传输要求包括：

a)应对清分中心与多线路中心/单线路中心系统之间通信在网络层传输过程中进行完整性保护；

b)应对清分中心与多线路中心/单线路中心系统、互联网票务系统之间通信在网络层传输过程中

采用密码技术保证数据的保密性。

安全区域边界

.1边界防护

边界防护要求包括：

T/CIITA201.4—2021

a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信，应对清分中心与多线

路中心/单线路中心系统、清分中心与互联网票务系统之间交互仅通过通信前置机，同时应

对上述边界设备接口状态进行检测；

b)应能够对非授权设备私自联到内部网络的行为进行检查或限制，应关闭网络设备、安全设备、

计算设备的闲置端口，同时应采用如802.1x等方式对接入设备进行认证；

c)应能够对内部用户非授权联到外部网络的行为进行检查或限制，应限制计算设备利用多余网

卡、USB网卡访问外部网络；

d)清分中心不应设置无线网络。

.2入侵防范

入侵防范要求包括：

a)应在清分中心与多线路中心/单线路中心系统、清分中心与互联网票务系统边界处部署能够检

测、防止或限制从外部发起的网络攻击行为的设备，并对攻击源进行限制；

b)应在清分中心内部署具有能够检测、防止或限制从内部发起网络攻击行为的设备，并对攻击源

进行限制；

c)应在清分中心安全运维区域部署抗APT系统、安全态势感知等基于流量或设备日志对网络行为

进行分析的设备，实现对网络攻击特别是新型网络攻击行为的分析。

.3恶意代码和垃圾邮件防范

恶意代码和垃圾邮件防范要求包括：

应在关键网络节点处部署基于流量进行分析恶意代码行为并限制的设备，并维护恶意代码防

护机制的升级和更新。

安全计算环境

.1身份鉴别

身份鉴别要求包括：

17

a)计算设备应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂

度要求并定期更换，相关安全策略不应低于以下要求:

1)用户口令长度不少于8位，应包含字母、数字、特殊符号混合排列；

2)用户口令更换周期不大于180天；

3)用户首次登录计算设备时应强制修改默认口令。

b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动

退出等相关措施，相关安全策略不应低于以下要求：

1)非法登录次数应不超过5次；

2)超过非法登录次数后应采取锁定账户或IP的措施，锁定时间应不少于5min；

3)登录连接超时时间应不超过30min，超过后应采取强制注销等措施；

c)应用系统或未提供多种鉴别技术的计算设备应仅通过开启两种或两种以上组合的鉴别技术的

运维审计系统进行各类操作。

.2访问控制

访问控制要求包括：

应定期检查账户及权限的分配情况，并及时删除或停用多余的、过期的账户。

.3入侵防范

入侵防范要求包括：

a)操作系统、网络设备、安全设备应遵循最小安装的原则，仅安装需要的组件和应用程序；

b)操作系统、网络设备、安全设备应关闭不需要的系统服务、默认共享和高危端口；

c)操作系统、网络设备、安全设备应通过设定终端接入方式或网络地址范围对通过网络进行管理

的管理终端进行限制；

d)业务应用系统应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容

符合系统设定要求；

T/CIITA201.4—2021

e)应定期对清分中心内计算设备进行检查，能发现可能存在的已知漏洞，并在经过充分测试评估

后，及时修补漏洞；

f)操作系统、网络设备、安全设备应能够检测到对重要节点进行入侵的行为，并在发生严重入侵

事件时提供报警；

g)清分中心中应部署时钟服务器，同时对NTP协议启用验证功能。

.4恶意代码防范

操作系统应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒

行为，并将其有效阻断。同时应每月更新恶意代码库。

.5数据完整性

数据完