羊城通充值系统联机化改造创新工作报告

发布时间: 2007年9月8日
羊城通充值系统联机化改造创新工作报告
一、背景
（一）城市一卡通应用系统
城市一卡通应用系统是以非接触IC卡为载体的，为广大用户提供电子消费的信息平台。城市一卡通应用系统主要分为几大子系统：密钥子系统，发卡子系统，消费子系统，充值子系统和中央清算子系统。
密钥子系统使用的是建设事业IC卡密钥管理系统，建设事业IC卡密钥管理体系直接关系到整个系统的安全控制，通过密钥本身的安全机制和标准加密算法，来保证系统的安全性能。建设事业IC卡密钥管理系统一般包括三部分功能：密钥生成、密钥发行、密钥更新。建设事业IC卡密钥体系是贯穿整个城市一卡通工程各个环节的重要的保护机制。
发卡子系统功能就是发行用户卡和管理卡。
消费子系统主要功能就是IC卡的消费，数据采集，为脱机消费，消费终端安装在各使用IC场所。
充值子系统主要功能就是对IC卡加值，一般为联机认证脱机充值，充值终端安装在银行、商业大厅和各提供的IC卡加值的场所。联机认证脱机充值就是充值终端在开机后必须与后台进行一次身份认证，经过身份认证后便可进行充值。充值数据是批量上送至后台系统。
清算子系统重要功能就是对交易数据进行检查清算，生成对帐报表，下发黑名单。
（二） 一卡通系统应用国内外现状
近年来，伴随金卡工程的启动和发展，IC卡的广泛应用已成为我国信息化建设一大热点。而在国内外许多大中城市，以智能卡为基本工具的城市一卡通工程也正在蓬勃发展之中。
城市一卡通系统已成为城市信息化建设的一个重要的项目，城市一卡的应用的已深入民心，并得到用户的认同。
国内外城市一卡通的应用主要集中在人口稠密、公交发达的大型城市，比较典型的有香港的八达通系统、上海的东方交通卡和广州的羊城通等，应用相当广泛。
目前，在国内的城市一卡通应用系统中，主要大中型城市如北京、上海和广州等的系统均依托建设部相关行业技术标准建设，部分中小型城市使用的是集成商自定义的技术标准建设，但在充值系统部分的应用上，所有IC 卡充值系统都采用了脱机交易的模式进行服务。
二、项目提出
在城市一卡通应用中，对用户卡的充值（加值）一直是一个非常重要的部分，是一卡通应用的资金流动起点和用户卡片正常使用的先决条件。
目前在国内其它城市应用系统仍采用脱机充值交易系统，脱机充值交易系统具有方便快捷，通信成本低等优点，但也交易数据不能实时可控，对帐结算流程繁杂，存在一定的安全风险，亦无法适应对系统开通新的一卡通增值业务的需求。
随着羊城通应用系统的快速发展，系统需要更多服务终端去提供充值服务，繁杂的对帐流程大大影响了公司的运作速度，增加了公司的成本支出。现在，羊城通系统的持卡人已超过了450万，对增值业务需求越来强烈，但是传统的脱机充值交易系统无法适应一卡通增值业务快速开通的问题，在一定程度上阻碍了羊城通应用的发展。
如何在不改变原系统结构、规范的前提下，对系统进行改造升级而达到提供系统安全性、可操作性和兼容性一直是羊城通公司在发展过程中思考的问题。
经过深入的分析和研究，羊城通在行业内率先提出参考金融行业业务联机交易的模式，结合现有一卡通系统的应用特点，在兼容现有的密钥安全体系的基础上，采用联机交易的方式打造新一代充值业务平台。
三、项目目标
本项目针对实施城市一卡通系统运营过程的实际情况，对一卡通充值系统进行联机改造，以进一步加强系统安全，增加开展增值业务方便性以及解决财务对帐结算繁杂等问题。
城市一卡通联机充值系统改造项目（下称“联机充值系统”）专门针对如何加强系统安全、方便增值业务以及财务对帐结算等需求进行研发、升级和行业内应用推广而开展，具有良好的应用前景。
四、联机充值技术基础
（一）应用的重要条件
要实现联机充值机应用，需要满足下列条件：
①充值点必须具备实时连接后台的条件：可以采用每次充值就上一次网，也可以通过包月付费，使用普通MODEM、GPRS、CDMA无线网络、ADSL等连接专用网络或互联网，实现实时与后台相连，通信技术上实现无大难度。
②由于需要把充值密码等敏感信息在通讯线路上进行传输，因此，必须要有安全可靠的身份认证及信息加密能力，要有完整的解决方案，而且速度快捷。
③网点操作中应具有操作人员身份（认证）卡或电子钥匙，在使用时通过简单插入卡片、输入口令就可激活，而离开时只需拔出卡片就可关闭功能。
④充值操作的信息具有突发性、短小性的特点，因此要求充值系统服务器应具有瞬间处理，响应快速的特点。否则将会延误过程，造成服务质量下降。
（二）关于公开密钥体系的简单说明
为解决网上信息应用的安全问题，世界各国对其进行了多年的研究，形成了一套完整的安全解决方案，即目前被广泛采用的PKI体系结构，参考这套做法，结合城市一卡通的具体情况，联机充值系统也完全可以采用PKI的某些做法，形成符合实际需要的充值系统。
所谓PKI系统，就是利用公开密钥算法，为用户提供公钥加密和数字签名服务的系统。而公开密钥算法主要的特点就是加密和解密使用不同的密钥，每个使用者都保存着一对密钥：公开密钥PK（公钥）和秘密密钥SK（私钥），因此这种体制又称为双钥体系或非对称密钥体系。与传统的加密方法相比，传统的加密方法是加密方和解密方使用的是相同的密钥，因此这种方法又称为对称性密钥体系。
在公开密钥体系中，公钥PK是公开的，通常用于加密信息或签名的认证，而秘钥SK是用户自己保管的，通常用作解密信息和对信息进行签字；一般情况下加密算法和解密算法都是公开的，在公钥与私钥之间有如下的性质：
虽然公钥和私钥成对出现，但利用公钥是不能推出私钥的；
使用公钥加密后得到的密文，用公钥是不能解密的；
使用公钥加密后得到的密文只能用私钥才能解开。
使用私钥加密得到的密文只能用对应的公钥才能解开。
利用公开密钥体系的这些特点，我们除了可以在信息的通讯中进行加解密外，也可以实现身份的认证和数字签名功能。事实上，在公开密钥体系中，当我们用私钥对信息加密后，由于只能采用对应的公钥才能解出正确的原文，因此当需要证实某些信息是某个人发送者所发出时，可以让该发送者（被认证方）用私钥对信息进行加密，接收者（认证方）通过采用发送者（被认证方）所公开的公钥进行解密，然后与原文比对，如果相同，可以证实该信息确实是发送者（被认证方）所发出的。
在上述的过程中，发送者（被认证方）对信息的加密通常称为签名，而接收者（认证方）对加密信息的解密和核对通常称之为认证。
实际工作中，由于需要验证的信息较多，一般不可能每次都对所有的信息都进行加密或签名，事实上通常采用某种变换——从所有需要签名的信息中提取一种确定格式的、符号性的摘要，称为“报文摘要”，或更形象的说法是一种数字特征指纹，然后对它进行签名和认证。可以说，真正的数字签名是信息发送者用其私钥对从所需要传递的信息中提取出的特征数据（数字指纹）进行加密操作，以保证发信人对所发布的消息的确认，同时也确保信息在传递过程中未被篡改（即完整性），当接收者收到密文后，就可以用发送者所公开密钥对数字签名进行解密与认证，。
公开密钥体系在身份确认、不可抵赖、数据完整等方面的应用较之传统的对称性密钥体系有很大的优势，但是由于它的数学理论是基于大数的计算，运算量远大于后者超过几百倍、几千倍甚至上万倍，这使得它对信息的加解密要耗费更多的时间，所以在实际应用中，我们往往把两者结合起来，让它们发挥各自的优势，来解决我们的不同的需要。一般情况下，我们会采用公开密钥算法实现身份的识别和签名，而使用对称性密钥算法对大块信息进行加密。
对于联机充值系统，现在我们可以采用公开密钥体系，通过给各充值网点分配不同的公钥和私钥，通过“数字签名”的功能，可以有效地把身份的可识别性、数据的保密性、数据的完整性、数据的不可否认性、数据的授权等结合一起，通过PKI的技术手段，把信息和充值网点绑定在一起。
（三）加密算法
在实际应用中，有如下两种密钥算法可选：
* 作为身份认证的公钥算法——RSA加密算法是首选
在公钥算法方面，目前国际上流行的是RSA加密算法，这也是我国目前应用的主流，有很多的成功应用的案例，配套的产品较多（如加密机等），实现起来比较方便，从应用的成熟性与产品的配套性来看， RSA加密算法是首选的加密算法。
* 作为信息加密的对称性密钥算法——3DES算法是首选
在信息的加密方面，采用对称性密钥算法在安全强度、速度等方面更具优秀。而且对称性密钥算法的应用已有很悠久的历史，理论研究方面也较深入。目前流行的对称性密钥加密算法有很多种，著名的有3DES、AES、IDEA等。建议在本系统中使用3DES算法。
五、联机充值系统体系
（一）系统体系
联机充值系统立足现有成熟体系，采用业内先进的数据处理及安全体系设计开发，后台系统拟采用的系统结构包括发卡子系统、交易子系统、安全子系统、数据处理子系统、数据交换子系统、管理终端子系统、结算报表子系统等多个部分，为城市一卡通应用其它前台业务系统提供一致的、设备无关的数据服务接口；前台充值业务模块仍保持与现有一卡通应用体系的兼容，支持由系统内各营运商及其集成商根据相关应用技术规范的要求，在现有设备、系统的基础上进行简单应用改造或重新集成开发。
联机充值系统将依托现有的羊城通密钥体系，引入联机交易和PKI安全体系的概念，并依据羊城通服务的特点和需求设计符合要求的联机应用协议以及后台数据处理模式，将其应用到羊城通联机充值系统中，形成终端身份识别、交易处理和数据传输安全的充值体系。
（二）系统结构图
联机充值系统的结构图如下：
中心数据库：包含着充值操作人员身份认证卡（PK卡）卡号、公钥、各项操作人员身份卡的信息等，而卡的私钥存放在卡内。
后台服务系统包括：发卡子系统、交易子系统、安全子系统、数据处理子系统、数据交换子系统、管理终端子系统、结算报表子系统。交易子系统直接为充值终端提供服务。
充值终端：主要完成羊城通卡的加值功能。
终端管理卡：终端充值时的身份认证卡，由管理中心统一发放，存放着的私钥和其它加密信息和密钥，管理终端子系统能够对终端管理卡进行实时的控制。
（三）系统改造
现羊城通系统是一个正在运作的，关系到450万个持卡人利益的系统，本次的充值系统的扩展工作仅涉及充值子系统的部分。为了不对正在运作的羊城通系统造成影响，系统改造应沿用原有流程、技术规范和管理方式，经改造后的充值子系统应按原来的方式向中心数据库提供或使用信息。联机充值系统将采用迭代并分模块、并行研发的方式进行系统升级改造，在保持业务一致性的基础上逐步推动羊城通充值业务向联机系统平稳迁移，最终实现所有羊城通系统充值的联机化。
后台服务系统是本次系统改造项目中必须开发的系统。
新充值终端依据联机充值系统制定的规范进行设计，原有充值终端依据联机充值系统规范进行升级改造。
1． 发卡子系统
主要功能：发行各密钥母卡和终端管理卡。
2． 交易子系统
主要功能：为充值请求提供服务，包括接受、处理充值终端请求，记录充值记录等功能。
交易子系统要7天24小时为联机充值系统提供交易服务，系统的稳定性要求极高，处理速度要求也高，否则将有可能造成终端充值等待时间较长的问题。
3． 数据处理子系统
主要功能：处理原始充值数据及羊城通清算系统返回的清算结果。
4． 数据交换子系统
主要功能：完成与羊城通清算系统之间进行数据交换功能。
5． 管理终端子系统
主要功能：密钥管理功能，充值终端信息管理功能，安全认证管理功能，充值信息管理功能。
密钥管理功能：由于引入了RSA加密算法，系统增加了新的应用密钥，为了更好地管理这些密钥，需要有配套的密钥管理系统功能，它包括密钥的生成，传输，销毁，更换等。
充值终端管理功能：由于引入了终端管理卡，系统在原有的充值点信息管理的基础上，应加入对终端管理卡的管理，包括从卡片的生成、领用、归还、销毁等方面的追踪管理功能。
安全认证管理功能：按照联机充值系统的流程，实现对各充值站点的认证，密钥计算，信息加解密操作。
充值信息管理功能：实现对充值信息的管理、加工、入库等操作。
6． 结算报表子系统
主要功能：按照公司财务对帐结算的要求生成各类结算报表。
六、社会经济效益分析
从对羊城通应用推广的角度来说，联机充值系统的实施将确保满足羊城通系统在未来一段时期的业务发展及客户需求，在提升交易安全性的同时极大的简化充值终端设备的开发和充值服务的操作流程，有效扩大充值系统的服务覆盖范围，降低一卡通系统营运成本，促成了羊城通后台系统与羊城通用户直接的端对端的交互，对羊城通新业务的开展和羊城通系统应用在珠三角城市圈区域的推广具有很大的推动和示范作用。
从行业范围来说，由于其与现有城市一卡通系统的高度兼容性，将可望进一步向兄弟城市推广应用，与同业分享羊城通系统运营中的成功实践，提升城市一卡通系统在全国的总体应用水平，促进社会信息化整体水平的提高，具有良好的社会和经济效益。
（1）经济效益
* 简化充值交易数据对帐流程，对帐依据清晰明确，提高工作效率，降低运营成本，增加公司收入。原有脱机模式充值，交易数据的流向为自下而上，与运营商的对帐必须等到交易数据上传至羊城通公司，经清算后进行对帐和报表的输出，结算周期长，受运营商生产环境影响大。在联机模式下充值，交易数据的流向为自上而下，交易数据首先在羊城通后台生成，羊城通在整个交易过程中处于主动地位。脱机模式下充值，每增加一个充值运营商，羊城通必须根据运营商的实际情况重新制订结算规则和流程，手段烦琐，重复劳动多，开通周期长，效率低下。在联机模式下充值，羊城通的结算规则是统一的、标准的，运营商终端系统能够快速有效的投入运行。
* 实现了羊城通系统直接与羊城通卡用户的交互，为羊城通系统的增值应用服务提供了平台，解决开展增值业务存在的障碍，简化了开展增值业务的流程，缩短了开展增值业务的开发周期。在所有交易脱机的情况下，羊城通系统缺乏与最终用户直接、实时的沟通方式，广大的羊城通用户资源难以有效利用，联机充值系统促成了羊城通系统与用户之间直接的、端对端的沟通，同时通过PKI体系解决了终端身份识别的难题，在羊城通充值终端上叠加各种增值业务成为可能。
* 联机充值系统为羊城通客户服务平台提供实时有效通道，提高羊城通客户服务水平。通过联机充值系统后台保存的充值日志记录和其它原始交易数据，能够知晓羊城通卡充值前后的数据变化情况，及时有效的解决充值过程中出现的各种问题，提高客户对羊城通服务的满意度。
* 增强了系统的可管理性，提高了公司的管理水平。在脱机交易的条件下，缺乏及时有效对系统各终端的运行情况监控的手段，联机充值条件下，能够对充值终端的运行情况进行及时有效的监控，对充值终端出现的各类故障能够及时定位、提早发现和提早排除，降低了终端的运维成本。
* 联机充值系统的投入使用到逐步覆盖，预计2006年羊城通系统的结算金额和交易服务费可增加250万，由联机充值系统拓展而带来的增值业务收入可达150万元。将来随着增值业务及系统规模的不断扩大，经济效益将越来越明显。
（2） 社会效益
* 加强广州城市一卡通系统在行业内的影响。
* 提高广州城市一卡通系统的管理水平。
* 为兄弟城市提供有价值的参考。
* 促进国家城市一卡通项目应用的发展。
七、结论
联机充值系统改造的成功实施，不仅能够确保满足羊城通系统在未来一段时期的业务发展及客户需求，简化充值服务的开发流程，有效扩大充值系统的服务覆盖范围，降低一卡通系统营运成本，更能够为其它城市的一卡通应用系统提供有价值的参照，提升城市一卡通系统在全国的总体应用水平，促进社会信息化整体水平的提高。
（羊城通团支部）