工信部智能运维及大数据应用服务平台项目——深铠威单向光闸来助力

方案设计依据标准

1、 网络安全等级保护标准（等保 2.0）

GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》

GB/T 22240-2019《信息安全技术 网络安全等级保护定级指南》

GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》

2. 城市轨道交通专用标准

GB/T 46739-2025《城市轨道交通网络信息系统安全基本要求》（2026年4月1日实施）：我国首部城轨专用网络安全国标，明确物联网系统安全要求，提出专用智能设备遵循最小够用、确保安全原则。

GB/T 20279-2024《网络安全技术 网络和终端隔离产品技术规范》：规范网闸、光闸等隔离设备技术要求，适用于生产网与数据平台边界隔离。

3. 城市轨道交通行业标准

DB31/T 1499-2024《城市轨道交通网络安全通用技术规范》：规定生产网区、管理网区、互联网区三网隔离要求，IOT 系统应部署在生产辅助网域，与外部网络采用网闸隔离。

T/CAMET 11001 系列《智慧城市轨道交通 信息技术架构及网络安全规范》：明确生产网与数据平台互联的技术架构与安全边界。

网络拓扑设计及说明

在地铁生产网与云平台之间部署深铠威单向光闸，采用用物理层绝对单向隔离，守住行车与设备安全底线，同时实现数据安全摆渡，完美平衡“生产网绝对安全”和“运维平台要数据”两大刚需。

深铠威单向光闸硬件采用“双主机 + 光单向传输”硬件架构，物理上实现数据单向导入。 物理单向：采用 SFP 光模块实现单向的传输。（外网的光模块的发光端连接光纤的发送端；内网的光模块的收光端连接光纤的接收端） 从物理上确保数据的单向传输。

软件：基于应用代理的报文处理方式，并裁剪了 TCP/IP 等公共网络协议栈 ，采用私有协议进行数据传输。

方案价值

（一）彻底阻断反向入侵，保障行车安全

光闸基于光单向导通，无电信号回传通道，从物理上杜绝：

• 运维平台的病毒、木马、勒索软件进入生产网

• 外部攻击、误操作、恶意指令反向控制 PLC、信号、IoT、综合监控等核心设备真正做到生产网 “只出数据、不进指令”，不影响行车与设备安全。

• 免疫横向渗透，保护工控 “脆弱体”地铁生产网多为老旧工控、IoT设备，漏洞难修复、不能停机打补丁。光闸把生产网与运维网完全隔离，即使运维平台被攻破，攻击者也无法触达生产核心。

（二）合规与标准价值

满足城轨 / 等保 / 工控强合规要求直接对标：

• 满足等保 2.0 三级（关键信息基础设施强制要求）

• 满足 GB/T 46739 城市轨道交通信息安全国标

• 满足IEC 62443工业控制系统安全要求光闸是强隔离的首选设备，比防火墙、 逻辑隔离更易通过测评与监管检查。 

（三）业务与运维价值

支持 IoT 海量数据单向摆渡

生产网传感器、设备状态、能耗、故障等 IoT 数据可安全、单向推送到运维平台，用于：

• 设备监控、故障预警、能耗分析

• 运维调度、统计分析、大屏展示不占用生产实时带宽、不干扰控制业务。

实现 “安全 + 可用” 的最优边界解决地铁典型矛盾：

• 生产网：高实时、高可靠、禁扰动

• 运维平台：要数据、要分析、要管理光闸做到：数据可流出、控制不可入、业务不中断。