本发明涉及铁路综合信息网(是铁路部门内部工作网络，一种封闭式网络，无法从互联网进行访问，简称铁路内网)安全平台数据穿透领域，尤其涉及一种app软件穿透铁路内网的系统。
背景技术：
目前，铁路电务系统信息化发展迅速，使用app软件进行移动化作业管理需求迫切。现阶段的信息系统的数据仅流通于铁路内网，app软件无法通过互联网访问，铁路电务系统无法进行移动化办公作业。现有的内外网数据交互模式数据传输缓慢，数据交互信息量小，仅应用于车载设备与地面内网通信，无法满足app软件对大量信息数据高速交互的需求。
现有的内网和外网(一般指互联网，通常internet泛指互联网，而internet则特指因特网，这种将计算机网络互相联接在一起的方法可称作“网络互联”，在这基础上发展出覆盖全世界的全球性互联网络称互联网，即是互相连接一起的网络结构)的传输技术及其不足如下：
a)传输层穿透内网：通过网络协议的传输层进行内外网数据互通是传统的穿透方法，目前在轨道交通和国铁各类线路均广泛使用。由于在网络构架的较低层，一般仅用于车载设备与地面通信，例如lkj(全称列车运行监控装置，是我国铁路运营和工程技术人员自主研发的列车速度控制系统，具有防止列车冒进信号、运行超速和辅助司机提高操纵能力等功能，是我国铁路列车运行控制体系的重要组成部分)系统和tsc主机。机车上的无线设备与地面服务器通过商定好的协议，按照协议组包通过互联网向铁路安全平台进行发送，由铁路安全平台判断后再传输到内网队列，再经由内网程序进行处理后，将获取的数据在生产和管理中进行使用。传输层穿透内网的缺点是：不同的数据包需要不同的车地通信协议，传输数据量小，性能效率低，队列发生堵塞的概率高。通信协议简单，存在从公网区段向内网发起攻击、渗透的可能，通过伪造数据对系统进行攻击。为了实现更高效安全的数据交互，需要其他方法进行补充。
b)外网数据库方法：为了将内网信息提供给移动设备和外部网络进行使用，铁路部门在外网架设外网数据库，通过定时同步的方法，让内外网数据保持一致。在外部网络需要使用的情况下，通过访问部署在外部网络的数据库获取相关数据，进而给外部应用进行使用。该方法的缺点是：即时性差，成本较高，最重要的是安全性非常差。外网数据库使得铁路的相关数据暴露在外部网络中，存在数据被盗取，丢失和篡改的风险。为了实现更为安全可控的数据交互，需要其他方法进行补充。
总的来说，现有的传输层穿透内网的方法传输数据量小、性能效率低，铁路安全平台发生堵塞的概率高，无法满足app软件对大量数据高速交互的需求。现有的传输层穿透内网的方法通信协议简单，存在从公网区段向内网发起攻击、渗透的可能，外部可以通过伪造协议数据对内网系统进行攻击，信息系统存在被攻击的风险。现有的外网数据库方法虽然可以被app软件使用，但是让铁路的相关数据暴露在外部网络中，存在数据被盗取、丢失和篡改的风险，无法满足安全性要求，同时其即时性较差，无法真正实现移动作业管理。现有的数据穿透方法也无法被铁路部门进行管理，存在不可控、不可管理的风险。因此，一种新型的、高效的、可控的app软件穿透铁路内网的穿透技术亟需研究。
技术实现要素：
以下给出一个或多个方面的简要概述以提供对这些方面的基本理解。此概述不是所有构想到的方面的详尽综览，并且既非旨在指认出所有方面的关键性或决定性要素亦非试图界定任何或所有方面的范围。其唯一的目的是要以简化形式给出一个或多个方面的一些概念以为稍后给出的更加详细的描述之序。
本发明的目的在于解决上述问题，提供了一种app软件穿透铁路内网的系统和方法，使app软件与铁路内网信息系统能够数据互通。
本发明的技术方案为：本发明揭示了一种app软件穿透铁路内网的系统，包括外网app软件、外网通信服务器、内网应用服务器、铁路安全平台，其中铁路安全平台分别和外网通信服务器、内网应用服务器之间建立通讯连接，外网通信服务器和外网app软件建立通讯连接，铁路安全平台使用http代理的方式实现内网与外网的数据交互，使用基于用户名/口令的正向代理实现从内网访问外网，使用基于数字证书的反向代理实现从外网访问内网。
根据本发明的app软件穿透铁路内网的系统的一实施例，系统包括从内网访问外网的第一程序，运行第一程序实现信息由内网至外网的传输方法，包括：
铁路内网中的服务或应用通过内网应用服务器向外网中的app软件发送数据；
发送的数据通过内网发送至铁路安全平台，铁路安全平台调用白名单对进行消息接收的app软件进行判断，是否处于白名单中，若处于白名单中则建立相应的代理用户，若不处于白名单中则丢弃数据同时返回错误消息至内网应用服务器；
铁路安全平台使用正向http代理的方式访问外网通信服务器；
外网通信服务器收到数据后通过互联网将数据发送至app软件。
根据本发明的app软件穿透铁路内网的系统的一实施例，系统包括从外网访问内网的第二程序，运行第二程序实现信息由外网至内网的传输方法，包括：
app软件向内网应用服务器发起数据请求后，数据先发往外网通信服务器；
外网通信服务器收到数据请求后判断请求是否合格，如果请求不合格则丢弃数据，若请求合格则调用ssl证书向铁路安全平台发起认证；
铁路安全平台判断ssl证书是否合格，如果合格则铁路内网中的应用发布授权cookie，外网中的app软件通过授权cookie将数据请求发往内网应用服务器；
内网应用服务器基于http协议收到数据请求后对请求进行处理，同时将处理结果或数据返回至app软件。
根据本发明的app软件穿透铁路内网的系统的一实施例，铁路安全平台提供三种数据通道方式，包括8000数据通道、8092数据通道和映射方式通道，其中通信协议为http协议。
根据本发明的app软件穿透铁路内网的系统的一实施例，8000数据通道和8092数据通道的数据方式需要在外部应用服务器部署ssl证书，在由数据请求进入外网应用时发起认证，而映射方式通道的映射方式为每个用户颁布数字证书，直接在外网app软件发起认证。
本发明还揭示了一种app软件穿透铁路内网的方法，方法在包括外网app软件、外网通信服务器、内网应用服务器、铁路安全平台的系统上实施，铁路安全平台分别和外网通信服务器、内网应用服务器之间建立通讯连接，外网通信服务器和外网app软件建立通讯连接，所述方法包括信息由内网至外网的传输以及信息由外网至内网的传输，其中：
信息由内网至外网的传输包括：
铁路内网中的服务或应用通过内网应用服务器向外网中的app软件发送数据；
发送的数据通过内网发送至铁路安全平台，铁路安全平台调用白名单对进行消息接收的app软件进行判断，是否处于白名单中，若处于白名单中则建立相应的代理用户，若不处于白名单中则丢弃数据同时返回错误消息至内网应用服务器；
铁路安全平台使用正向http代理的方式访问外网通信服务器；
外网通信服务器收到数据后通过互联网将数据发送至app软件信息由外网至内网的传输包括：
app软件向内网应用服务器发起数据请求后，数据先发往外网通信服务器；
外网通信服务器收到数据请求后判断请求是否合格，如果请求不合格则丢弃数据，若请求合格则调用ssl证书向铁路安全平台发起认证；
铁路安全平台判断ssl证书是否合格，如果合格则铁路内网中的应用发布授权cookie，外网中的app软件通过授权cookie将数据请求发往内网应用服务器；
内网应用服务器基于http协议收到数据请求后对请求进行处理，同时将处理结果或数据返回至app软件。
根据本发明的app软件穿透铁路内网的方法的一实施例，铁路安全平台提供三种数据通道方式，包括8000数据通道、8092数据通道和映射方式通道，其中通信协议为http协议。
根据本发明的app软件穿透铁路内网的方法的一实施例，8000数据通道和8092数据通道的数据方式需要在外部应用服务器部署ssl证书，在由数据请求进入外网应用时发起认证，而映射方式通道的映射方式为每个用户颁布数字证书，直接在外网app软件发起认证。
本发明对比现有技术有如下的有益效果：本发明主要通过http代理和ssl证书认证(ssl证书就是遵守ssl协议，由受信任的数字证书颁发机构ca，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。ssl证书通过在客户端浏览器和web服务器之间建立一条ssl安全通道)，采用三层架构技术来穿透铁路内网安全平台，在铁路安全平台的管理和控制下达到内外网数据信息互通的效果，使铁路电务系统能够进行移动化作业管理，革新管理方法，提高作业效率。
本发明的创新在于：
(1)首次实现了app软件在铁路电务系统的内网穿透，使铁路电务系统能够进行移动化作业管理，革新了管理方法，提高了作业效率。
(2)本发明的系统和方法的应用开发过程便捷简洁，采用了http协议通信，使用三层架构。http协议是超文本传输协议的简称，目前互联网应用层应用最广泛的协议，由于http协议的特性，数据通信时，只需要传递方法和路径，开发便捷。而三层架构“高内聚低耦合”的特性保证了应用开发的标准化和高效化。
(3)本发明的系统和方法的通信高效迅速，采用http协议传输，http允许传输任意类型的数据对象，传输高效。http无连接的特性是限制每次连接只处理一个请求，服务器处理完客户的请求，并收到客户的应答后，即断开连接采用这种方法可以节省传输时间。
(4)本发明的系统和方法的安全性高，采用ssl认证方式和铁路安全平台管理方式，ssl证书通过在客户端浏览器和web服务器之间建立一条ssl安全通道，对传送的数据进行加密和隐藏，确保数据在传送中不被改变，即数据的完整性，实现数据信息在客户端和服务器之间的加密传输，可以防止数据信息的泄露。
(5)本发明的系统和方法的可控性高，由于铁路综合信息网的安全平台(mtup平台)具有ssl证书的管理功能，便于铁路信息职能部门管理相关证书应用，可控性非常高。
附图说明
在结合以下附图阅读本公开的实施例的详细描述之后，能够更好地理解本发明的上述特征和优点。在附图中，各组件不一定是按比例绘制，并且具有类似的相关特性或特征的组件可能具有相同或相近的附图标记。
图1示出了本发明的app软件穿透铁路内网的系统的实施例的系统架构图。
图2示出了本发明的从内网访问外网的方法的流程图。
图3示出了本发明的从外网获取内网数据的流程图。
图4示出了本发明的8092通道数据方式互通示意图。
图5示出了本发明的系统中的映射方式示意图。
具体实施方式
以下结合附图和具体实施例对本发明作详细描述。注意，以下结合附图和具体实施例描述的诸方面仅是示例性的，而不应被理解为对本发明的保护范围进行任何限制。
图1示出了本发明的app软件穿透铁路内网的系统的实施例的架构。如图1所示，本实施例的系统硬件包括：外网app软件1、外网通信服务器2、内网应用服务器3、铁路安全平台4(mtup安全平台)。铁路安全平台4分别和外网通信服务器2、内网应用服务器3之间建立通讯连接，外网通信服务器2和外网app软件1建立通讯连接。
本发明的系统采用三层架构(3-tierarchitecture)实现，通常意义上的三层架构就是将整个业务应用划分为：界面层(userinterfacelayer)、业务逻辑层(businesslogiclayer)、数据访问层(dataaccesslayer)。区分层次的目的即为了“高内聚低耦合”的思想，在软件体系架构设计中，分层式结构是最常见、也是最重要的一种结构。铁路安全平台4使用http代理的方式实现内网与外网的数据交互，使用基于用户名/口令的正向代理实现从内网访问外网，使用基于数字证书的反向代理实现从外网访问内网。
系统软件包括实现从内网访问外网的第一程序和实现从外网访问内网的第二程序。
运行第一程序实现信息由内网至外网的传输方法的实施步骤如图2所示。
步骤11：铁路内网中的服务或应用通过内网应用服务器向外网中的app软件发送数据。
这里的app软件可以是移动设备端app程序或者手持作业终端中的app程序。数据交互发起端服务器位于内网，目前服务器位于外网(即外部服务网或互联网)。
步骤s12：发送的数据通过内网发送至铁路安全平台，铁路安全平台调用白名单对进行消息接收的app软件进行判断，是否处于白名单中。
若处于白名单中则继续执行步骤s13，若不处于白名单中则执行步骤s16。
步骤s13：建立相应的代理用户。
步骤s14：铁路安全平台使用正向http代理的方式访问外网通信服务器。
步骤s15：外网通信服务器收到数据后通过互联网将数据发送至app软件。
步骤s16：丢弃数据同时返回错误消息至内网应用服务器。
运行第二程序实现信息由外网至内网的传输方法的实施步骤如图3所示。
步骤s21：app软件向内网应用服务器发起数据请求后，数据先发往外网通信服务器。
步骤s22：外网通信服务器收到数据请求后判断请求是否合格，如果请求不合格则丢弃数据并返回错误消息至app软件，若请求合格则继续执行步骤s23。
步骤s23：调用ssl证书向铁路安全平台发起认证，铁路安全平台判断ssl证书是否合格，如果合格则执行步骤s24，如果不合格则返回错误消息至app软件。
步骤s24：铁路内网中的应用发布授权cookie，外网中的app软件通过授权cookie将数据请求发往内网应用服务器。
步骤s25：内网应用服务器基于http协议收到数据请求后对请求进行处理。如果处理成功则返回处理结果至app软件，如果处理不成功则返回错误消息至app软件。
铁路安全平台提供三种数据通道方式，包括8000数据通道、8092数据通道和映射方式通道，其中通信协议为http协议。
如图4所示，对于8092数据通道，需要在外部服务网部署应用服务器，对应用系统进行数字证书方式的认证，应用系统通过调用安全平台sdk进行认证，通过授权后可通过安全平台交换数据，支持http/https协议，支持webservice方式，数据传输效率较高，同时具有较高的稳定性。
对于安全代理8000数据通道，需要在外部服务网部署应用服务器，对应用系统进行数字证书方式的认证，应用系统通过调用安全平台sdk进行认证，通过授权后可通过安全平台交换数据，支持http/https协议，支持webservice方式，数据传输效率较高，但是该通道稳定性较差。
如图5所示，对于映射方式通道，映射方式在外部服务网没有部署应用服务器，通过安全平台的前置代理访问，用户从互联网进行访问，采用https协议，对个人用户进行数字证书方式的认证，通过授权后可访问映射的内网应用。映射的应用系统需遵守开发规范。
映射方式与数据方式不同的是，8000数据通道和8092数据通道的数据方式需要在外部应用服务器部署ssl证书，在由数据请求进入外网应用时发起认证，而映射方式通道的映射方式为每个用户颁布数字证书，直接在外网app软件发起认证。
此外，本发明还揭示了app软件穿透铁路内网的方法，方法是在前述的系统架构上实现的，方法包括如图2所示的信息由内网至外网的传输过程以及如图3所示的信息由外网至内网的传输过程。传输过程如上述对图2和图3的附图中的步骤的描述相同，在此不再赘述。而系统架构中的铁路安全平台也如前述实施例，提供三种数据通道方式，包括8000数据通道、8092数据通道和映射方式通道，其中通信协议为http协议。8000数据通道和8092数据通道的数据方式需要在外部应用服务器部署ssl证书，在由数据请求进入外网应用时发起认证，而映射方式通道的映射方式为每个用户颁布数字证书，直接在外网app软件发起认证。
尽管为使解释简单化将上述方法图示并描述为一系列动作，但是应理解并领会，这些方法不受动作的次序所限，因为根据一个或多个实施例，一些动作可按不同次序发生和/或与来自本文中图示和描述或本文中未图示和描述但本领域技术人员可以理解的其他动作并发地发生。
本领域技术人员将进一步领会，结合本文中所公开的实施例来描述的各种解说性逻辑板块、模块、电路、和算法步骤可实现为电子硬件、计算机软件、或这两者的组合。为清楚地解说硬件与软件的这一可互换性，各种解说性组件、框、模块、电路、和步骤在上面是以其功能性的形式作一般化描述的。此类功能性是被实现为硬件还是软件取决于具体应用和施加于整体系统的设计约束。技术人员对于每种特定应用可用不同的方式来实现所描述的功能性，但这样的实现决策不应被解读成导致脱离了本发明的范围。
结合本文所公开的实施例描述的各种解说性逻辑板块、模块、和电路可用通用处理器、数字信号处理器(dsp)、专用集成电路(asic)、现场可编程门阵列(fpga)或其它可编程逻辑器件、分立的门或晶体管逻辑、分立的硬件组件、或其设计成执行本文所描述功能的任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，该处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可以被实现为计算设备的组合，例如dsp与微处理器的组合、多个微处理器、与dsp核心协作的一个或多个微处理器、或任何其他此类配置。
结合本文中公开的实施例描述的方法或算法的步骤可直接在硬件中、在由处理器执行的软件模块中、或在这两者的组合中体现。软件模块可驻留在ram存储器、闪存、rom存储器、eprom存储器、eeprom存储器、寄存器、硬盘、可移动盘、cd-rom、或本领域中所知的任何其他形式的存储介质中。示例性存储介质耦合到处理器以使得该处理器能从/向该存储介质读取和写入信息。在替换方案中，存储介质可以被整合到处理器。处理器和存储介质可驻留在asic中。asic可驻留在用户终端中。在替换方案中，处理器和存储介质可作为分立组件驻留在用户终端中。
在一个或多个示例性实施例中，所描述的功能可在硬件、软件、固件或其任何组合中实现。如果在软件中实现为计算机程序产品，则各功能可以作为一条或更多条指令或代码存储在计算机可读介质上或藉其进行传送。计算机可读介质包括计算机存储介质和通信介质两者，其包括促成计算机程序从一地向另一地转移的任何介质。存储介质可以是能被计算机访问的任何可用介质。作为示例而非限定，这样的计算机可读介质可包括ram、rom、eeprom、cd-rom或其它光盘存储、磁盘存储或其它磁存储设备、或能被用来携带或存储指令或数据结构形式的合意程序代码且能被计算机访问的任何其它介质。任何连接也被正当地称为计算机可读介质。例如，如果软件是使用同轴电缆、光纤电缆、双绞线、数字订户线(dsl)、或诸如红外、无线电、以及微波之类的无线技术从web网站、服务器、或其它远程源传送而来，则该同轴电缆、光纤电缆、双绞线、dsl、或诸如红外、无线电、以及微波之类的无线技术就被包括在介质的定义之中。如本文中所使用的盘(disk)和碟(disc)包括压缩碟(cd)、激光碟、光碟、数字多用碟(dvd)、软盘和蓝光碟，其中盘(disk)往往以磁的方式再现数据，而碟(disc)用激光以光学方式再现数据。上述的组合也应被包括在计算机可读介质的范围内。
提供对本公开的先前描述是为使得本领域任何技术人员皆能够制作或使用本公开。对本公开的各种修改对本领域技术人员来说都将是显而易见的，且本文中所定义的普适原理可被应用到其他变体而不会脱离本公开的精神或范围。由此，本公开并非旨在被限定于本文中所描述的示例和设计，而是应被授予与本文中所公开的原理和新颖性特征相一致的最广范围。