Design of the Train Control for Land-Based Railway Cyber Range

Updated 5,494 0
English 简体中文 繁体中文 ภาษาไทย Tiếng Việt
Summary

A land-based railway cyber range implements a simplified train control system for cybersecurity training and simulation. It features ten autonomous trains, each equipped with onboard PLCs and RTUs, capable of self-navigation, station docking, and interaction with trackside signaling. The system integrates four subsystems for power, autopilot, driving control, and operational reporting, communicating over a modular network architecture with distinct subnets and protocols like Modbus-TCP and Siemens S7Comm. Collision avoidance is managed by a dual-layered system combining radar-driven PLC logic and manual override capabilities. Multiple user interfaces, including a driver console and a central HQ monitoring HMI, facilitate control and observation for both normal operations and cyber exercises.

title24.png

在现代铁路系统中，列车控制涉及自动化、信号和通信技术的复杂集成。本文介绍了一个简化的列车控制系统的设计，该系统在我为网络安全演习、培训和模拟而开发的陆基铁路网络靶场中实现。

s_013.png

# Author:      Yuancheng Liu
# Created:     2025/06/29
# Version:     v_0.0.2
# Copyright:   Copyright (c) 2025 Liu Yuancheng

简介

模拟列车系统的目标是提供一个功能性的、交互式的子系统模型，该模型模拟十列在三条独立轨道上运行的自主750V-DC列车。每列列车都配备了一个车载可编程逻辑控制器 (PLC) 和远程终端单元 (RTU)，使其能够自主地与轨道旁的信号系统交互。这些列车能够导航交叉口和岔道、停靠在车站以及自动出发，从而模拟真实世界运营的关键行为。为了支持网络物理攻击和防御场景，该模拟还包括真实的控制逻辑、通信协议和监控界面。

本文分为四个主要部分：

  • 列车模拟系统概述 – 描述网络靶场内列车模拟的概述和架构。

  • 模拟列车系统设计 – 详细介绍列车的自动控制电路设计、PLC/RTU控制顺序、列车碰撞安全控制工作流程以及信号交互逻辑。

  • 网络和通信配置 – 解释模拟列车如何通过车载内部网络以及铁路SCADA网络与信号系统和总部控制中心通信。

  • 列车控制界面 – 介绍用户界面，包括车载驾驶员控制台和总部控制中心列车监控HMI系统。

该设计还可以作为网络靶场演习的基础组件，使红队和蓝队能够探索铁路控制环境中的漏洞和防御机制。

Important: The actual train control systems are highly sophisticated and governed by strict safety standards, the implementation described in this article offers a simplified conceptual model tailored for educational and training purposes in a controlled cyber range environment.

列车模拟系统概述

列车模拟系统是陆基铁路网络靶场的核心组件之一。它代表了列车在简化和受控环境中的物理世界运行，专为网络安全培训和系统行为分析而设计。在此模拟中，十列自主列车被可视化为 5 到 7 个矩形的序列（基于用户配置的列车长度），以每秒 0 到 20 像素的速度（近似视觉模拟速度）沿着三条轨道移动。这些列车在物理世界模拟器屏幕截图中突出显示，如下所示：

s_0314.png

Figure-01: Trains in physical world simulator, version v_0.0.2 (2025)

每列列车都是一个独立的单元，可以与其环境（包括轨道信号、电力系统和传感器）进行交互，同时通过以下两个主要界面进行监控和控制，如下所示：

s_025.png

Figure-02: Trains control interface, version v_0.0.2 (2025)

  • 车载驾驶员控制台（本地列车驾驶员监控和手动控制HMI）

  • 总部列车监控HMI（总部控制中心的中央监控界面）

每列模拟列车的关键特性

每列列车都将与物理世界模拟器中的其他组件交互，具有以下关键特性：

  • 第三轨轨道电源交互：每列列车都依赖于模拟第三轨轨道电源系统提供的电源。如果第三轨轨道电源丢失，列车将转换为无动力、静止状态。

  • 传感器和信号响应：列车将与轨道上的列车检测传感器交互，当列车通过传感器位置时，它将触发传感器。列车能够检测轨道信号并对其做出反应。如果前方信号指示“阻塞”状态，列车将自动降低速度并在信号前停止。

  • 动态参数生成：每列列车都会持续生成遥测数据，包括：速度（公里/小时）、电机输入电流（A）、电机电压（V）、电机RPM、在区块区域中的位置、油门和制动状态。

  • 内部控制网络：每列列车都托管一个车载OT控制网络，集成了一个PLC来控制列车，它还具有一个RTU来远程连接到铁路SCADA网络。这允许本地（驾驶员）和远程（总部）控制。

模拟列车的运行状态

如下图所示，每列列车根据其电源状态、控制输入和环境条件，经历四种运行场景：

s_0418.png

Figure-03: Trains four operational scenarios, version v_0.0.2 (2025)

运行场景 视觉指示器 场景描述
场景 1 🔴 红色 + 灰色闪烁 电源关闭：列车未通电。速度 = 0 公里/小时，电流 = 0A。当第三轨电源丢失或驾驶员关闭列车电源输入断路器时发生。
场景 2 🟠 橙色 低速/制动状态：列车已通电，但移动缓慢或停止（0–20 公里/小时）。电流消耗在 10–20A 之间。通常在车站停靠或在红色信号前制动期间看到。
场景 3 🟢 绿色 运行状态：列车完全运行并处于运输状态，以 56–90 公里/小时的速度移动。电流消耗很高（140–180A），制动器已关闭，油门已激活。
场景 4 🔴 红色 + ⚠️ 警报图标 紧急/故障状态：由故障、系统错误或事故模拟触发。电源被切断，列车立即停止（0 公里/小时，0A），并发出警报状态。

这些运行状态有助于复制对故障、信号变化或网络引起的干扰的真实行为，从而为评估铁路系统中的安全机制和网络安全弹性提供了一个全面的平台。

模拟列车系统设计

陆基铁路网络靶场中的模拟列车被构建为一个模块化系统，包含四个相互连接的子系统。每个子系统都映射到物理世界的行为，并实现虚拟环境和控制逻辑之间的网络物理交互。这四个列车子系统包括：

  • 列车电源控制子系统

  • 列车自动驾驶控制子系统

  • 列车驾驶控制子系统

  • 列车运行信息报告子系统

该设计不仅支持自主运行，还支持手动控制、监控以及与铁路SCADA网络的通信。整体系统结构如下图所示：

s_0517.png

Figure-04: System Design of the Simulated Train System, version v_0.0.2 (2025)

1. 列车电源控制子系统

该子系统模拟了城市轨道系统中使用的第三轨电气化轨道基础设施（如图顶部所示）。每个轨道区块通过第三轨段向列车提供750V DC，由第三轨侧PLC和总部控制。列车要接收电力，必须满足两个条件：

  • 第三轨道区块输入断路器（轨道侧）必须打开

  • 列车的车载电源断路器也必须打开

这些双断路器安全控制反映了真实世界的冗余，并支持紧急断电功能。

关键组件：

  • 铁路第三轨电源（750V DC）：模拟第三轨轨道，提供牵引直流电源。

  • 第三轨道区块电源控制断路器：由SCADA集成的PLC控制，这些断路器将电力从轨道供应到列车-第三轨道电源连接链路。

  • 列车-第三轨道电源：列车和第三轨电气化轨道之间的连接，用于将电力传输到列车。

  • 列车输入电源控制断路器：列车上的本地断路器，由紧急停止按钮或驾驶员控制台操作。

  • 第三轨道区块电源控制PLC：通过总部列车运行HMI的Modbus-TCP控制。

关于第三轨道供电的技术细节，请参考此链接：https://www.railway-technology.com/features/overhead-lines-vs-third-rail-how-does-rail-electrification-work/?cf-view&cf-closed。

2. 列车自动驾驶控制子系统

该子系统支持诸如制动、加速以及响应轨道信号等自动操作。列车上的两个主要传感器指导此行为：

  • 位于列车前部的轨道信号状态接收器检测即将到来的轨道信号（例如，轨道区段停止或清除）。

  • 前置雷达监控前方安全距离，以防止碰撞。

这些传感器输入由列车上的车载PLC处理，该PLC使用梯形图逻辑来自动控制电机和制动行为。

主要组件：

  • 列车前部信号状态接收器：检测前方最近的信号并将状态传输到PLC。

  • 列车前置雷达：扫描列车前方的区域，以检查安全距离范围内是否存在障碍物或其他列车。

  • 列车驾驶控制PLC：连接到列车电机和制动器，执行逻辑以根据传感器输入进行制动或加速。

典型行为包括：

  • 信号红色/阻塞 → 制动激活，电机关闭

  • 信号绿色/清除 → 制动释放，电机开启

  • 雷达检测到附近列车 → 激活制动以避免碰撞

3. 列车驾驶控制子系统

该子系统模拟运动、制动和性能监控的物理机制。它包括模拟的执行器（电机和空气制动器）和传感器（速度、电流、电压、压力），它们协同工作以表示列车的动态状态。

可以通过车载驾驶员控制台进行手动超控，允许操作员关闭自动驾驶仪并使用油门、制动器和其他控件来控制。

主要组件：

  • 列车驾驶直流电机和空气制动器：执行列车物理运动和制动。

  • 列车速度和电机RPM表：监控实时速度和电机RPM性能。

  • 电流和电压表：测量来自第三轨道的功率（电流和电压）输入。

  • 空气制动压力表：测量空气制动压力（PSI）以进行制动控制。

  • 列车驾驶控制PLC：管理执行器和安全输入的核心逻辑控制器。

  • 车载RTU：收集传感器数据并将其报告给控制台和SCADA系统。

  • 列车驾驶员控制台（HMI）：用于手动列车操作的界面，包括油门/制动控制、车门操作和状态监控。

4. 列车运行信息报告子系统

为了保持集中的态势监控，每列列车通过无线SCADA链路实时向总部控制中心报告其运行状态。这模拟了5G或无线电通信网络，并使用Siemens-S7Comm/IEC104协议将数据从列车的RTU传输到总部列车监控HMI。

主要组件：

  • 车载RTU：收集传感器数据并通过通信链路发送。

  • 车载天线：模拟的无线电天线，将列车连接到铁路SCADA网络。

  • 铁路列车通信天线：网络端点，接收列车遥测数据并集成到铁路SCADA网络中。

  • 总部列车监控HMI：总部控制中心内的中央仪表板HMI，显示所有列车状态、警报和状态，用于监督控制。

此报告循环确保总部可以监控lvl3 OT网络中所有列车的速度、功率状态、制动压力、信号合规性和紧急情况。

网络和通信配置

模拟的铁路列车控制系统建立在模块化通信架构之上，该架构由三个主要的网络子网和五个功能性通信总线组成。这种网络化环境支持跨多个组件（包括模拟的PLC、RTU、驾驶员控制台和总部监控HMI）的控制和监控。

为了模拟真实的工业OT行为，同时支持网络安全培训，该模拟将功能划分为隔离的逻辑区域，同时还将网络的选择性部分暴露给红/蓝队交互。

系统中的数据流遵循以下顺序：

物理世界模拟器 → PLC/RTU模拟 → HMI界面（驾驶员控制台/总部列车监控HMI）

下图说明了完整的通信结构和组件关系：

s_0618.png

Figure-05: Train control system network diagram, version v_0.0.2 (2025)

分布式网络能够精确地建模铁路控制和通信行为，同时允许网络防御者（蓝队）和攻击者（红队）在安全、受控的模拟环境中训练和测试他们的技能。

三个网络子网

网络拓扑由以下三个子网组成：

电气信号模拟子网

  • 功能：模拟物理世界组件（电机、传感器、断路器）和所有lvl1 OT控制器设备之间的信号交换。

  • 设备和通信总线：铁路物理世界模拟器、第三轨道供电控制PLC（PLC-06、PLC-07）、车载操作PLC（PLC-11、PLC-12）、车载RTU（RTU00–RTU09）、电气信号通信总线。

  • IP范围：10.0.10.X

车载本地SCADA网络

  • 功能：提供列车1级OT控制器和2级列车驾驶员控制台之间的内部通信。

  • 设备和通信总线：车载PLC（PLC-11、PLC-12）、车载RTU（RTU00–RTU09）、列车驾驶员控制台HMI、车载PLC通信总线、车载RTU通信总线

  • IP范围：192.168.101.0/24, 192.168.102.0/24

铁路SCADA网络

  • 功能：列车外部的外部SCADA网络，包括第三轨道控制PLC和总部用于监控和控制的列车信息报告RTU。

  • 设备和通信总线：第三轨道供电PLC（PLC-06、PLC-07）、车载RTU（RTU00–RTU09）、总部列车监控HMI、铁路第三轨道PLC通信总线、铁路SCADA S7Comm RTU通信总线。

  • IP范围：192.168.100.0/24, 192.168.10.X

五个通信数据总线

电气信号通信总线

  • 功能：高频消息交换模拟物理设备和OT控制器之间交换的电线连接电气信号（例如，电源线圈激活、雷达输入）。

  • 协议：UDP（基于文本的信号交换）

  • 访问策略：在绿队网络中隔离，蓝队或红队无法访问

车载PLC通信总线

  • 功能：促进列车驾驶员控制台和车载PLC之间用于油门、制动、车门和自动驾驶控制的电线连接数据交换。

  • 协议：Modbus-TCP

  • 访问策略：在蓝队网络中隔离，红队无法访问

车载RTU通信总线

  • 功能：允许列车驾驶员控制台从RTU收集实时传感器和仪表数据。

  • 协议：Siemens S7Comm

  • 访问策略：在蓝队网络中隔离，红队无法访问

铁路第三轨道PLC通信总线

  • 功能：将总部列车监控HMI连接到第三轨道供电控制PLC，以监控和切换块电源状态。

  • 协议：Modbus-TCP

  • 访问策略：蓝队和红队均可访问，SCADA网络攻击模拟的目标

铁路SCADA S7Comm RTU通信总线

  • 功能：使车载RTU能够以无线方式向总部列车监控HMI报告运行状态。

  • 协议：Siemens S7Comm（无线）

  • 访问策略：蓝队和红队均可访问，通信欺骗或拦截的目标

列车防撞控制逻辑

在陆基铁路网络靶场模拟中，列车安全通过集成自动化和手动控制的双层防撞系统来确保。简化的梯形逻辑及其硬件连接如下图所示：

s_1010.png

Figure-06: Trains Collision Avoidance Control Logic diagram, version v_0.0.2 (2025)

自动防撞子系统

每辆模拟列车都配备了一个前置雷达，负责检测预定义安全距离内的任何障碍物或其他列车（例如，图中显示的前置雷达检测区域内）。当在此区域中检测到另一列火车或物体时，雷达会向车载 PLC 输入触点发送信号以设置保持寄存器。

  • PLC 逻辑通过梯形图处理此输入，梯形图评估存储在 Holding Register HR0 中的雷达信号。

  • 如果设置了保持寄存器，则梯形逻辑将停用 Coil00（油门）并激活 coil01（制动）控制，使列车受控停止。

这种自动机制通过实时响应（无需人工干预）来防止追尾或正面碰撞。为了补充自动化逻辑，列车操作员还可以通过 Train Driver Console 进行手动override。

PLC 梯形逻辑实现

主要功能要素：

  • HR0 (Radar Sensor Input)：存储来自前置检测雷达的二进制信号。触发自动制动逻辑。

  • HR1 (Speed Sensor Input)：捕获当前列车速度数据，并与 HMI 共享以进行监控和诊断。

  • Coil00：控制列车油门系统，如果设置了 HR0，则关闭；否则，根据列车驾驶员控制台自动驾驶仪配置进行设置。

  • Coil01：控制主制动系统。如果设置了 HR0，则打开；否则，根据列车驾驶员控制台自动驾驶仪配置进行设置。

  • Driver Console Control Panel：提供所有列车参数的可视化，并允许手动输入以在需要时override自动化逻辑。

这种分层防撞系统可确保列车模拟在正常运行和网络攻击模拟下的可靠性和安全性。通过结合传感器驱动的 PLC 逻辑和操作员控制的紧急系统，网络靶场支持各种培训场景，包括故障注入、信号欺骗和手动override响应演练。

列车控制用户界面

在陆基铁路网络靶场系统中，实现了三个不同的控制用户界面，以模拟在正常和网络安全演习条件下对列车运行的管理。每个界面服务于不同的目的和用户角色——从物理模拟控制到运营管理和高级监控。

模拟物理控制界面

模拟物理界面模仿真实列车上的真实控制按钮，例如紧急停止按钮、断路器和重置控制。这些控件在 Physical World Simulator 的左侧面板上实现，如下图所示：

s_0717.png

Figure-07: Simulated Physical Control Interface, version v_0.0.2 (2025)

功能：

  • 绿色按钮：打开车载电源输入断路器，模拟激活列车的主电源开关。

  • 红色紧急按钮：立即关闭列车的输入电源断路器，模拟紧急关闭。

  • 蓝色“Reset”按钮：将所选列车重置为其初始状态，清除其传感器和内部状态寄存器。

此界面通常由模拟操作员、绿队指导员使用，以模拟演习期间的故障情况、紧急停止或重新初始化。

列车驾驶员控制台界面

Train Driver Console 是列车操作员的主要 HMI，允许直接手动控制和监控单个列车的状态和性能。它由在模拟演习期间充当列车驾驶员的蓝队成员使用。

s_0815.png

Figure-08: Train Driver Control Console Interface, version v_0.0.2 (2025)

主要特点：

  • PLC Status Panel：显示车载列车 PLC 的连接状态、输入/输出线圈值和寄存器数据。

  • Driving Indicators：列车速度 (km/h) 表、空气制动压力 (psi) 表、油门和制动百分比指示器。

  • Manual Controls：油门和制动手柄手动控制滑块、手动模式选择器、方向控制（前进/后退）、速度限制设置、车站停留时间控制、车门控制按钮。

  • Operational State Monitors：电源输入电压和电流、列车状态警报（例如，过电流、制动故障、紧急情况）

  • Power Controls：车载电源输入断路器控制和电源重置按钮。

此 HMI 模拟典型的驾驶员体验，同时支持手动override和诊断。

铁路列车控制 HMI（总部监控界面）

Railway Train Control HMI 是总部操作员用来监控和管理整个网络中所有列车状态的监控界面。它提供对遥测、控制系统、安全信号和 RTU 反馈的集中视图，使其对于模拟和红/蓝队网络操作至关重要。带有详细功能说明的 UI 如下所示：

s_0911.png

Figure-09: Railway Train Control HMI (HQ Monitoring Interface), version v_0.0.2 (2025)

主要组件：

  • Train Information Panels (10+2)：列车 ID、当前和平均速度、第三轨电源输入：电压、电流和电源状态、每列列车的远程电源控制开关。

  • RTU Radar State Indicators：来自前置列车雷达的实时馈送，用于检测障碍物是否存在。

  • RTU Information Panel：显示实时 RTU 传感器输入数据。

  • PLC Control Panels：来自铁路电源控制 PLC 的 Modbus/S7Comm 线圈和寄存器状态的实时视图。

  • Auto-Avoidance Backdoor Switch：切换自动列车防撞逻辑。

此 HMI 既充当运营仪表板，又充当网络培训界面，提供对控制完整性和异常响应能力的可见性。

如果您想了解更多关于陆基铁路系统网络靶场的信息，以下是一些相关文章：

铁路系统演示视频：https://youtu.be/WnJh1T3XZns?si=IlVXDRiWxJ1Rwe-K

铁路系统上的网络攻击案例研究：

铁路系统技术介绍文档：

Thanks for spending time to check the article detail, if you have any question and suggestion or find any program bug, please feel free to message me. Many thanks if you can give some comments and share any of the improvement advice so we can make our work better ~

上次编辑者：LiuYuancheng ([email protected])，于 2025 年 4 月 7 日。如果您有任何问题，请给我留言。

  RELATED

No related programming articles found. Browse all programming tutorials and articles.

  COMMENTS

0

No comment for this article.