Regulace podle NIS2: Vlaky v Česku zastavil výpadek komunikačního systému zaostávajícího o tři generace

25. 3. 2025

Doba čtení: 5 minut

Zabezpečovače ETCS komunikují přes GSM-R, který trpí všemi neduhy mobilních sítí 2. generace. Modernější 5G verze FRMCS se má stát standardem do roku 2030.

Doprava na železnici prochází zásadní digitální transformací, která ale obnáší nové bezpečnostní výzvy. Že jim není jednoduché pokaždé čelit, se mohli nedávno přesvědčit cestující po celé zemi několik hodin marně vyhlížející svůj spoj.

Výpadek komunikační sítě GSM-R a na něj navázaného evropského vlakového zabezpečovacího systému ETCS postihl celkem 238 vlaků. Ty mohly na klíčových koridorech jezdit maximálně stokilometrovou rychlostí, namísto standardně povolené maximálky 160 km/h. A mnohahodinová zpoždění se na sebe nabalovala.

Ministerstvo dopravy zdůraznilo, že v tomto případě nešlo o kybernetický útok, ale o problém s databázemi na serverech, co se starají o registraci vlaku v systému ETCS. Servery běží ve dvou oddělených datacentrech, v Praze a v Přerově. Než se podařilo příčinu odhalit, uběhla hodina a kompletní překlopení provozu ETCS na Moravu zabralo dalších 5 hodin. Přestože bezpečnost nebyla při výpadku přímo ohrožena, nutnost přepnout provoz na původní návěstidla v rámci národního zabezpečovače odhalila kritickou závislost na jediném komunikačním kanálu.

Symbióza ETCS a komunikačního systému

ETCS spoléhá na integraci s komunikační platformou GSM-R zajišťující spojení mezi vlaky a řídicími centry. GSM-R pracuje ve vyhrazených kmitočtových pásmech 876–880 MHz pro uplink a 921–925 MHz pro downlink, se šířkou kanálu 200 kHz a funguje na principu mobilní sítě 2. generace. Tím pádem zdědil všechny neduhy spojené se zastaralým GSM standardem. Zejména trpí nedostatečným šifrováním, ale i dalšími zranitelnostmi.

Jednou z nich je pouze jednosměrná autentizace (zařízení k síti, nikoliv naopak). To umožňuje útočníkovi předstírat, že je základnovou stanicí. Tento typ útoku byl úspěšně demonstrován už na Asijsko-pacifické konference o komunikacích v roce 2016. Stačila k tomu jednoduchá vývojová deska s rádiovým modulem USRP B200 a open-source penetrační nástroje.

Druhým typem útoku je využití slabin algoritmu MAC protokolu EuroRadio používaného k zabezpečení komunikace zařízení v síti. Jak bylo předvedeno rovněž v roce 2016, tento protokol umožňuje nezjistitelné mazání zpráv a falšování nouzových hlášení.

Bez signálu vlak preventivně zastaví

Záškodníci se však u GSM-R vůbec nemusejí zdržovat ovlivňováním obsahu komunikace, když jim k narušení provozu stačí spustit dostatečně silný zdroj rušícího signálu. Platí totiž pravidlo, že vlak automaticky zastaví, pokud mobilní terminál GSM-R ve vlaku zjistí ztrátu spojení se zbytkem systému. To zajišťuje, aby souprava nepokračovala v jízdě po trati s nesprávnými parametry provozu. Aby se minimalizovalo riziko odepření služby kvůli poruchám základnových stanic, je na tuto eventualitu pamatováno už při plánování a výstavbě sítě GSM-R. Vysílače jsou od sebe rozesety ve vzdálenosti 7 až 15 kilometrů, zaručující redundanci pokrytí. A za stejným účelem jsou na kanálu pro uplink implementovány algoritmy pro řízení vysílacího výkonu.

Přesto tato síť vůči úmyslnému elektromagnetickému rušení signálu (jamming) není odolná. Praktické zkoušky ukázaly, že na překročení povolené míry zhoršení komunikace podle norem postačí výkon rušícího signálu k užitečnému v poměru −6 dB a při hodnotě −2 dB dochází k úplné ztrátě spojení.

Jak funguje FRMCS:

Další 4 fotografie

Přes všechny tyto nevýhody je systém GSM-R v Evropě nasazen na více než 130 tisících kilometrech tratí. Používá ho 90 tisíc aktivovaných palubních radiostanic. Do budoucna ho má nahradit přechod na mobilní síť 5. generace, pro níž se užívá zkratka FRMCS. Tím se přeskočí dvě technologické epochy. Příprava na to ale ještě nějakou dobu potrvá. Spuštění se nepředpokládá dříve než v příštím roce.

Vztah mezi komunikačním systémem GSM-R a zabezpečovacím systémem ETCS je symbiotický. Vzájemně tvoří provázanou architekturu, v níž selhání jednoho prvku paralyzuje celý systém. Výpadek ETCS z poloviny března toho je důkazem. Hlavním úkolem systému je zajištění bezpečnosti vlakové dopravy a aktivní zásah do řízení vlaku v případě selhání nebo omylu strojvedoucího. Skládá se z traťové a vozidlové části, které si vzájemně vyměňují informace.

Balíza jako maják položený na kolejích

Používají k tomu systém balíz. To jsou bezkontaktní zařízení položená mezi kolejnicemi železniční tratě a obsahující předem naprogramované informace. Pokud nad balízou přejede souprava, dojde k zaslání datagramu podobným způsobem, jako se to děje při odbavování lyžařů v zimních střediscích. Čtečka u turniketů tam také vybudí čip ve skipasu a anténa zachytí odeslaná data. Balízy tímto způsobem posílají informace mimo jiné o poloze vlaku.

V Evropě se používají dva druhy těchto zařízení – balíza pevná a přepínatelná. Druhá zmíněná umožňuje měnit kód, který vysílá, a informovat například o stavu návěstidla před soupravou a následujícím traťovém úseku. To dává prostor pro průběžné sledování nejvyšší dovolené rychlosti vlaku.

V Česku je v ostrém provozu v největší míře nasazován ETCS s aplikační úrovní L2, tedy pevnými balízami, které slouží jako referenční bod. Správa železnic přešla na výhradní provoz se zabezpečovačem ETCS letos v lednu a postupně ho zavádí na 600 kilometrech koridorových tratí.

Stejně jako GSM-R i ETCS sám o sobě trpí několika zranitelnostmi. Například je to nedostatečná ochrana nouzových zpráv. To umožňuje zasílat podvržené nouzové notifikace vedoucí k neplánovanému nouzovému brždění. Zdokumentovaná je i zranitelnost v podobě odvození šifrovacího klíče z kolizí v autentizačních kódech zpráv a s tím související slabý generátor pseudonáhodných čísel pro navázání spojení. A konečně ke zvýšení zátěže systému může vést replay útok neboli možnost opakování už dříve zaslaných zpráv.

Evropská unie na tato zjištění zareagovala. Všechny členské státy, s výjimkou Nizozemska, výslovně identifikovaly sektor železniční dopravy jako základní (esenciální), takže se na něj vztahují přísnější pravidla regulace podle směrnice NIS2. Posoudit rizika a důsledky útoků na železniční infrastrukturu pak dostal za úkol výzkumný projekt SECRET (SECurity of the Railway network against Electromagnetic ATtacks). A testují se i pokročilé technologie. AI modely jsou schopné detekovat drtivou většinu útoků v prvních 5 sekundách. V železničním kontextu by tato technologie umožňovala z dat poskytovaných ETCS v reálném čase analyzovat dopředu možné problémy.

Seriál: Regulace podle NIS2

Regulace podle NIS2: Portál NÚKIB má sice nový vzhled, ale původní nedostatky
Regulace podle NIS2: Vlaky v Česku zastavil výpadek komunikačního systému zaostávajícího o tři generace
Regulace podle NIS2: vnitro znovu narazilo, nepohodlné dodavatele samo zakazovat nebude

Přečtěte si všechny díly seriálu Regulace podle NIS2 nebo sledujte jeho RSS

Neutrální ikona do widgetu na odběr článků ze seriálů

Zajímá vás toto téma? Chcete se o něm dozvědět víc?

Objednejte si upozornění na nově vydané články do vašeho mailu. Žádný článek vám tak neuteče.

Vstoupit do diskuse (4 názory)

Martin Drtina

Redaktor serveru Lupa.cz se zaměřením na telekomunikace, média, IT a právo. Dříve šéfredaktor Právního rádce a mluvčí Českého telekomunikačního úřadu.

Témata:

Na to, kolik peněz se do ETCS investovalo a kolik humbuku kolem toho bylo mi přijde, že to moc domyšlené není. Ale tak je to prostě věc, která vznikala historicky. Nakonec vlaky pořád do nějaké míry řídí lidi přímo v tom vlaku jedoucí (strojvedoucí), takže těch historických přístupů je tam víc.

Adam Kalisz

'; document.getElementById('preroll-iframe').onload = function () { setupIframe(); } prerollContainer = document.getElementsByClassName('preroll-container-iframe')[0]; } function setupIframe() { prerollDocument = document.getElementById('preroll-iframe').contentWindow.document; let el = prerollDocument.createElement('style'); prerollDocument.head.appendChild(el); el.innerText = "#adContainer>div:nth-of-type(1),#adContainer>div:nth-of-type(1) > iframe { width: 99% !important;height: 99% !important;max-width: 100%;}#videoContent,body{ width:100vw;height:100vh}body{ font-family:'Helvetica Neue',Arial,sans-serif}#videoContent{ overflow:hidden;background:#000}#adMuteBtn{ width:35px;height:35px;border:0;background:0 0;display:none;position:absolute;fill:rgba(230,230,230,1);bottom:20px;right:25px}"; videoContent = prerollDocument.getElementById('contentElement'); videoContent.style.display = 'none'; videoContent.volume = 1; videoContent.muted = false; const playPromise = videoContent.play(); if (playPromise !== undefined) { playPromise.then(function () { console.log('PREROLL sound allowed'); // setUpIMA(true); videoContent.volume = 1; videoContent.muted = false; setUpIMA(); }).catch(function () { console.log('PREROLL sound forbidden'); videoContent.volume = 0; videoContent.muted = true; setUpIMA(); }); } } function setupDimensions() { prerollWidth = Math.min(iinfoPrerollPosition.offsetWidth, 480); prerollHeight = Math.min(iinfoPrerollPosition.offsetHeight, 320); } function setUpIMA() { google.ima.settings.setDisableCustomPlaybackForIOS10Plus(true); google.ima.settings.setLocale('cs'); google.ima.settings.setNumRedirects(10); // Create the ad display container. createAdDisplayContainer(); // Create ads loader. adsLoader = new google.ima.AdsLoader(adDisplayContainer); // Listen and respond to ads loaded and error events. adsLoader.addEventListener( google.ima.AdsManagerLoadedEvent.Type.ADS_MANAGER_LOADED, onAdsManagerLoaded, false); adsLoader.addEventListener( google.ima.AdErrorEvent.Type.AD_ERROR, onAdError, false); // An event listener to tell the SDK that our content video // is completed so the SDK can play any post-roll ads. const contentEndedListener = function () { adsLoader.contentComplete(); }; videoContent.onended = contentEndedListener; // Request video ads. const adsRequest = new google.ima.AdsRequest(); adsRequest.adTagUrl = iinfoVastUrls[iinfoVastUrlIndex]; console.log('Preroll advert: ' + iinfoVastUrls[iinfoVastUrlIndex]); videoContent.muted = false; videoContent.volume = 1; // Specify the linear and nonlinear slot sizes. This helps the SDK to // select the correct creative if multiple are returned. // adsRequest.linearAdSlotWidth = prerollWidth; // adsRequest.linearAdSlotHeight = prerollHeight; adsRequest.nonLinearAdSlotWidth = 0; adsRequest.nonLinearAdSlotHeight = 0; adsLoader.requestAds(adsRequest); } function createAdDisplayContainer() { // We assume the adContainer is the DOM id of the element that will house // the ads. prerollDocument.getElementById('videoContent').style.display = 'none'; adDisplayContainer = new google.ima.AdDisplayContainer( prerollDocument.getElementById('adContainer'), videoContent); } function unmutePrerollAdvert() { adVolume = !adVolume; if (adVolume) { adsManager.setVolume(0.3); prerollDocument.getElementById('adMuteBtn').innerHTML = ''; } else { adsManager.setVolume(0); prerollDocument.getElementById('adMuteBtn').innerHTML = ''; } } function onAdsManagerLoaded(adsManagerLoadedEvent) { // Get the ads manager. const adsRenderingSettings = new google.ima.AdsRenderingSettings(); adsRenderingSettings.restoreCustomPlaybackStateOnAdBreakComplete = true; adsRenderingSettings.loadVideoTimeout = 12000; // videoContent should be set to the content video element. adsManager = adsManagerLoadedEvent.getAdsManager(videoContent, adsRenderingSettings); // Add listeners to the required events. adsManager.addEventListener(google.ima.AdErrorEvent.Type.AD_ERROR, onAdError); adsManager.addEventListener( google.ima.AdEvent.Type.CONTENT_PAUSE_REQUESTED, onContentPauseRequested); adsManager.addEventListener( google.ima.AdEvent.Type.CONTENT_RESUME_REQUESTED, onContentResumeRequested); adsManager.addEventListener( google.ima.AdEvent.Type.ALL_ADS_COMPLETED, onAdEvent); // Listen to any additional events, if necessary. adsManager.addEventListener(google.ima.AdEvent.Type.LOADED, onAdEvent); adsManager.addEventListener(google.ima.AdEvent.Type.STARTED, onAdEvent); adsManager.addEventListener(google.ima.AdEvent.Type.COMPLETE, onAdEvent); playAds(); } function playAds() { // Initialize the container. Must be done through a user action on mobile // devices. videoContent.load(); adDisplayContainer.initialize(); // setupDimensions(); try { // Initialize the ads manager. Ad rules playlist will start at this time. adsManager.init(1920, 1080, google.ima.ViewMode.NORMAL); // Call play to start showing the ad. Single video and overlay ads will // start at this time; the call will be ignored for ad rules. adsManager.start(); // window.addEventListener('resize', function (event) { // if (adsManager) { // setupDimensions(); // adsManager.resize(prerollWidth, prerollHeight, google.ima.ViewMode.NORMAL); // } // }); } catch (adError) { // An error may be thrown if there was a problem with the VAST response. // videoContent.play(); } } function onAdEvent(adEvent) { const ad = adEvent.getAd(); console.log('Preroll event: ' + adEvent.type); switch (adEvent.type) { case google.ima.AdEvent.Type.LOADED: if (!ad.isLinear()) { videoContent.play(); } prerollDocument.getElementById('adContainer').style.width = '100%'; prerollDocument.getElementById('adContainer').style.maxWidth = '640px'; prerollDocument.getElementById('adContainer').style.height = '360px'; break; case google.ima.AdEvent.Type.STARTED: window.addEventListener('scroll', onActiveView); if (ad.isLinear()) { intervalTimer = setInterval( function () { // Example: const remainingTime = adsManager.getRemainingTime(); // adsManager.pause(); }, 300); // every 300ms } prerollDocument.getElementById('adMuteBtn').style.display = 'block'; break; case google.ima.AdEvent.Type.ALL_ADS_COMPLETED: if (ad.isLinear()) { clearInterval(intervalTimer); } if (prerollLastError === 303) { playYtVideo(); } break; case google.ima.AdEvent.Type.COMPLETE: if (ad.isLinear()) { clearInterval(intervalTimer); } playYtVideo(); break; } } function onAdError(adErrorEvent) { console.log(adErrorEvent.getError()); prerollLastError = adErrorEvent.getError().getErrorCode(); if (!loadNext()) { playYtVideo(); } } function loadNext() { iinfoVastUrlIndex++; if (iinfoVastUrlIndex < iinfoVastUrls.length) { iinfoPrerollPosition.remove(); playPrerollAd(); } else { return false; } adVolume = 1; return true; } function onContentPauseRequested() { videoContent.pause(); } function onContentResumeRequested() { videoContent.play(); } function onActiveView() { if (prerollContainer) { const containerOffset = prerollContainer.getBoundingClientRect(); const windowHeight = window.innerHeight; if (containerOffset.top < windowHeight/1 && containerOffset.bottom > 0.0) { if (prerollPaused) { adsManager.resume(); prerollPaused = false; } return true; } else { if (!prerollPaused) { adsManager.pause(); prerollPaused = true; } } } return false; } function playYtVideo() { iinfoPrerollPosition.remove(); youtubeIframe.style.display = 'block'; youtubeIframe.src += '&autoplay=1&mute=1'; } }

Sdílet

Symbióza ETCS a komunikačního systému

Bez signálu vlak preventivně zastaví

Balíza jako maják položený na kolejích

České železnice čeká rychlá internetová revoluce a bourání monopolů. Je to i šance pro Evropu

Regulace podle NIS2: Portál NÚKIB má sice nový vzhled, ale původní nedostatky