自信息產(chǎn)業(yè)部公布我國數(shù)字集群系統(tǒng)標準以來，數(shù)字集群通信系統(tǒng)網(wǎng)絡的規(guī)劃與實施已引起多方面的關注與探討。我國模擬集群通信系統(tǒng)的使用和歐美等國相比并不晚，但是使用情況和用戶數(shù)量不理想。主要問題有多種制式、信令不一、互不相通；頻譜效率低、系統(tǒng)容量??；功能單一、只有語音調度；干擾大、盲區(qū)多。為了克服模擬集群投資分散，各自管理，系統(tǒng)規(guī)模小，用戶發(fā)展規(guī)模有限等弊端，提出了數(shù)字集群“共網(wǎng)”概念，它充分發(fā)揮數(shù)字集群系統(tǒng)的高質量語音；頻譜利用率高；系統(tǒng)容量大；以及無線分組數(shù)據(jù)傳輸及應用等優(yōu)勢。為了滿足網(wǎng)內各專網(wǎng)用戶相對獨立的操作和應用需求，數(shù)字集群網(wǎng)絡本身還應該提供用戶虛擬專網(wǎng)（VPN）功能，以實現(xiàn)多個專網(wǎng)用戶既共享數(shù)字集群網(wǎng)絡平臺又具備與專網(wǎng)一致的獨立性和特殊性。本文對TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的基本概念、功能、網(wǎng)絡結構、實現(xiàn)方式、關鍵技術以及應用進行論述，以供參考。

　　一、TETRA數(shù)字集群系統(tǒng)的虛擬專網(wǎng)概述

　　TETRA數(shù)字集群系統(tǒng)不僅具有普通調度功能，還具有虛擬專用網(wǎng)功能；系統(tǒng)為群體用戶提供專用調度臺，利用與其它群體共享的網(wǎng)絡基礎設施組成虛擬專網(wǎng)，向用戶提供一般專用網(wǎng)絡所具有的功能，各虛擬專網(wǎng)之間在工作上相互獨立，各虛擬專網(wǎng)可單獨調節(jié)運行參數(shù)，也可各自根據(jù)需要選擇功能。
　　TETRA數(shù)字集群系統(tǒng)的虛擬專用網(wǎng)(VPN)在構成上與實在的TETRA數(shù)字集群網(wǎng)絡不同，它是建立在實際TETRA數(shù)字集群網(wǎng)絡基礎上的一種功能性網(wǎng)絡；但對用戶來說，在功能上則相當于實在的專用網(wǎng)絡，能向用戶提供傳統(tǒng)專業(yè)網(wǎng)的功能。TETRA數(shù)字集群系統(tǒng)能為不同集體用戶提供各項所需的優(yōu)良服務，使公眾網(wǎng)的公共性和專業(yè)網(wǎng)的獨立性比較好地得到協(xié)調解決，使每個原擬單獨建網(wǎng)的部門都從該集群系統(tǒng)的虛擬專用網(wǎng)中感到一樣方便，一樣安全可靠。

　　TETRA數(shù)字集群系統(tǒng)的虛擬專網(wǎng)在結構上和功能上與公眾網(wǎng)的虛擬專網(wǎng)是不同的。虛擬專網(wǎng)是指在公眾網(wǎng)絡上建立專用網(wǎng)絡的技術。之所以稱為虛擬網(wǎng)主要是因為整個VPN網(wǎng)絡的任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是架構在公眾網(wǎng)絡服務商所提供的網(wǎng)絡平臺（如INTERNET，ATM，F(xiàn)RAME RELAY等）之上的邏輯網(wǎng)絡，用戶數(shù)據(jù)在邏輯鏈路中傳輸。目前以點對點隧道協(xié)議（PPTP）、第2層隧道協(xié)議（L2TP）、第2層前轉協(xié)議（L2P）和IP安全協(xié)議（IPSec）。

　　如果不建立TETERA數(shù)字集群虛擬專網(wǎng)，不但是對資金和頻率資源的極大浪費，而且還會由于投入產(chǎn)出比例失調，而直接影響到以后對系統(tǒng)的維護，進一步擴容，功能的改進，乃至最后產(chǎn)品得不到更新?lián)Q代，通信質量下降，使得設備逐漸被擱置。

　　二、TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的功能

　　TETRA數(shù)字集群系統(tǒng)利用虛擬專網(wǎng)的概念，可以使一個物理網(wǎng)絡為互不相關的多個組織機構服務。也就是說，功能要求和系統(tǒng)概念相距甚遠的多個組織機構可以共用一個網(wǎng)絡平臺。各個組織機構無須自行購置基站、交換機和傳輸設備，只須配置相應調度臺和移動臺，即可建立自己的虛擬專用網(wǎng)，并在自己的虛擬專網(wǎng)中獨立工作，如同在傳統(tǒng)的專業(yè)網(wǎng)中工作一樣。主要功能如下：

　　1、獨立的編號方案與管理

　　TETRA數(shù)字集群系統(tǒng)的編號方案應該完全符合TETRA標準，對于每個虛擬專網(wǎng)應該是非常靈活，方便的，沒有任何的限制。根據(jù)TETRA標準定義，有兩類TETRA用戶身份碼與虛擬專網(wǎng)有關；一類為TETRA用戶身份碼（TSI），另一類為TETRA管理身份碼（TMI）。每個移動臺應至少包含一族TSI。每族應包括一個單獨的TETRA用戶身份碼（ITSI），也可以有一個TETRA用戶別名身份碼（ATSI）和若干個TETRA用戶群身份碼（GTSI）。單獨TETRA用戶識別碼（ITSI）是TETRA網(wǎng)絡中唯一地識別一個移動用戶的號碼，共48bit/s，前24bit/s是國家和網(wǎng)絡代碼。國家代碼MCC是10bit/s，MNC是14bit/s。后24bit/s用來定義TETRA網(wǎng)絡的用戶地址。ATSI和GTSI既可以被預先分配(類似ITSI)，也可以象常規(guī)操作那樣采用標準TETRA過程，由網(wǎng)絡動態(tài)分配。TETRA管理身份碼（TMI）為非傳遞的網(wǎng)絡（第3層）身份碼。在使用TMI之前，給TMI分配一個終端，不能動態(tài)地交換TMI，用戶也不能在終端之間傳遞TMI。網(wǎng)絡運營者分配TMI，在發(fā)送給用戶之前，應在終端中安裝TMI。TMI只能作為采用一套專用管理消息的內部網(wǎng)絡管理功能的地址。一般網(wǎng)絡用戶不能接入這些管理消息和TMI地址空間。編號結構如表1。

　　我國的MCC為“086”，MNC由國家指配，現(xiàn)討論TETRA數(shù)字集群系統(tǒng)中每個虛擬專網(wǎng)的ISSI和GSSI的編號方案。假設我國數(shù)字集群網(wǎng)絡統(tǒng)一編號如表2。

　　其中：N1N2N3N4為TETRA集群業(yè)務接入號（全國統(tǒng)一）；H1H2為地區(qū)識別號（主管部門統(tǒng)一規(guī)定）；S1S2S3S4S5S6為移動用戶號（各運營商自行分配）。

　　例如：TETRA集群業(yè)務接入號N1N2N3N4為1500；北京地區(qū)識別號H1H2為01和02；天津地區(qū)識別號H1H2為03等；移動用戶號碼S1S2S3S4S5S6中S1S2配為虛擬專網(wǎng)號（假設00-03為鐵路，04-05為公安，06為公交等等），S3S4S5S6為用戶號。號碼為150001050200代表北京市公安的用戶。

　　采用TETRA編號方案，還可以方便地進行群呼。在同一個虛擬專網(wǎng)中移動用戶呼叫只需要撥最后4位號碼即可，而每個通話組還可以減少撥號碼，因此，呼叫起來非常方便。實際編號方式可結合實際情況與最終用戶探討后，進行完整的規(guī)劃。

　　同時用戶還可以選擇同時采用用戶功能號碼(FSSN)的編號方案。該方案可以根據(jù)用戶的實際情況，例如在鐵路系統(tǒng)，我們可根據(jù)車輛的車次號碼為車載臺編號，這樣其它無線用戶就可以根據(jù)車次號碼來呼叫該用戶。而且由于一輛車一般有多個司機來開，因此我們還可以將FSSN號碼同時賦予多個同屬于一輛車的終端，這樣不管誰在工作，其它用戶都可以根據(jù)FSSN號碼來與該車進行通信。這種編號方案非常適用于例如鐵路，公交，巡邏警察，地鐵等單位。

　　2、用戶漫游范圍的限定與管理

　　用戶組織根據(jù)各自的特定需要使用由共用網(wǎng)提供的相應服務，主要包括通話組中的成員可以得到不同的呼叫權利；調度員可以有不同的管理和權利；通話組內的通信和傳統(tǒng)的PMR（專用移動無線電臺）系統(tǒng)一樣，包括組呼、選呼、回叫請求、動態(tài)重組以及與外部系統(tǒng)的呼叫等；

　　通話組由若干屬性參數(shù)規(guī)定，其中包括通話組服務區(qū)域。通話組服務區(qū)域可以是整個網(wǎng)絡，或者是網(wǎng)絡的一部分。如果是后者，根據(jù)用戶要求來定義通話組服務區(qū)域。

　　3、獨立的調度指揮與集中的調度指揮結合

　　可以通過本虛擬專網(wǎng)的調度臺對本虛擬專網(wǎng)的用戶進行工作調度及用戶管理，用戶具有高度的通信保密性以及對本單位內部用戶的高度控制性，網(wǎng)內虛擬專網(wǎng)間的通信不會相互干擾。

　　不同的虛擬專網(wǎng)在一種可控方式下相互通信。多個虛擬專網(wǎng)可以有公共的通話組。部分調度員可以有權管理多個不同虛擬專網(wǎng)中的用戶，并且與之通信。例如，創(chuàng)建一個包含來自不同虛擬專網(wǎng)的多個用戶的臨時通話組。在突發(fā)事件中可以作出更加有效的反應。

　　4、獨立的和集中的分組數(shù)據(jù)傳輸

　　在每個虛擬專網(wǎng)中，無線用戶和調度員可以發(fā)送和接收短數(shù)據(jù)和狀態(tài)信息以及IP數(shù)據(jù)。信息可通過無線終端、調度臺或另外的數(shù)據(jù)終端發(fā)送給其它用戶。這些數(shù)據(jù)主要應用于自動車輛定位、員工管理、遙控遙測、數(shù)據(jù)庫查詢、E－MAIL等。當有突發(fā)事件發(fā)生時，可以將不同的虛擬專網(wǎng)中的數(shù)據(jù)信息集中管理。

　　三、TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的組網(wǎng)方法

　　1、TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的結構

　　一個好的虛擬專網(wǎng)結構，不但可以提高對頻率的使用效率，節(jié)省投資，還可以幫助運營商非常方便地管理和運營網(wǎng)絡，為用戶提供良好的服務。虛擬專網(wǎng)是建立在TETRA數(shù)字集群通信系統(tǒng)網(wǎng)絡結構的基礎上，對于基站較少的本地網(wǎng)絡，可以由一臺交換控制設備進行集中交換的網(wǎng)絡結構。對于基站數(shù)量較多、覆蓋范圍較廣、業(yè)務量較大的區(qū)域網(wǎng)絡，也可以采用多臺交換控制設備進行分散控制的網(wǎng)絡結構。各交換設備之間的連接應能靈活設置，例如可采用樹型、星型、網(wǎng)型或環(huán)型連接。圖1示出多交換中心網(wǎng)絡結構。

　　虛擬專網(wǎng)功能存在于呼叫處理和網(wǎng)絡管理軟件中，但主要接口是通過網(wǎng)絡管理服務實現(xiàn)的，呼叫處理是通過調度臺實現(xiàn)的。虛擬專網(wǎng)在本質上是網(wǎng)絡用戶分類管理的實例，在用戶分類中，所創(chuàng)建的單個用戶的屬性被限制在相應組織類別中。

　　根據(jù)TETRA數(shù)字集群系統(tǒng)的TSI和TMI，可將虛擬專網(wǎng)的技術管理和通信調度管理分開的。運營商只需對網(wǎng)絡運行狀況進行維護，處理系統(tǒng)的故障及告警，為網(wǎng)絡用戶提供服務，但運營商并不能對網(wǎng)絡中的單位用戶進行監(jiān)聽或控制。而網(wǎng)內的虛擬專網(wǎng)用戶可通過本虛擬專網(wǎng)的調度臺，對本虛擬專網(wǎng)的用戶進行工作調度及用戶管理，用戶具有高度的通信保密性以及對本單位內部用戶的高度控制性。但網(wǎng)內虛擬專網(wǎng)間的通信不會互相干擾。這一原則是虛擬專網(wǎng)功能得以實現(xiàn)的基礎，只有使網(wǎng)絡維護和通信調度完全分開，才能實現(xiàn)真正的虛擬專網(wǎng)功能。如圖2所示。

　　TETRA網(wǎng)絡可以供多個不同的虛擬專網(wǎng)共享，并且每個虛擬專網(wǎng)就象處于為其專門建立的網(wǎng)絡中一樣，提供方便而可靠的用戶組織管理。每個虛擬專網(wǎng)都有各自的調度系統(tǒng)，可以根據(jù)各自的通信需求對其用戶和調度臺進行分組。每個組織可以有許多個由若干個調度臺和上百個無線用戶組成的通話組。其中的無線用戶、通話組和呼叫權限都可以獨立設置，無線用戶可以屬于多個通話組，通話組可以包含若干個調度臺，該用戶組織能全面地控制自己的內部通信。此項功能可為用戶提供經(jīng)濟的解決方案，同時減少網(wǎng)絡的運行和管理費用。

　　同時網(wǎng)絡中的每個虛擬專網(wǎng)，都可以將本單位的用戶交換機PABX、企業(yè)內部網(wǎng)intranet、單位內部數(shù)據(jù)庫、以及各種數(shù)據(jù)應用等連接到系統(tǒng)中，并且對于每個虛擬專網(wǎng)而言，使用起來如同自己建網(wǎng)一樣，具有高度的保密性，操作起來方便、快捷。

　　在一個虛擬專網(wǎng)內部，可以有一個或多個調度臺，我們一般將其設定為只具有管理和指揮調度本虛擬專網(wǎng)的權限。同時這些調度臺在虛擬專網(wǎng)內可以具有相同的權限，如都可以對全網(wǎng)進行指揮調度和管理，也可以是分層結構的，具有不同的權限，指揮調度不同的部門。正如上面所介紹到的，我們可對虛擬專網(wǎng)內的每個調度員定義其通信和管理的范圍和權限，而且調度臺還具有兩種軟件包，一種是通信和管理軟件包，另一種是通信軟件包，只能進行調度通信，不能進行管理操作。

　　調度員對于通話組和用戶的管理權限，可以從已被定義好的組織塊來獲得。根據(jù)已被定義好的組織機構的權限，來確定組織機構中的無線用戶和調度臺的選呼權限和調度臺的組呼權限，而無線用戶必須是某個通話組的成員。

　　同時，TETRA系統(tǒng)可以允許在某些緊急狀況下，通過被授權的調度臺，將網(wǎng)內不同虛擬專網(wǎng)的用戶進行動態(tài)重組，共同處理某個突發(fā)事件，實現(xiàn)不同部門間的協(xié)同工作。

　　2．TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的組網(wǎng)方法

　　TETRA數(shù)字集群系統(tǒng)內不同部門可以組成若干個組織機構，也就是虛擬專網(wǎng)，并且還能將虛擬專網(wǎng)進一步根據(jù)用戶單位內部的部門結構，分為更小的團體，稱為組織塊。TETRA數(shù)字集群系統(tǒng)可分多層組織塊結構，而虛擬專網(wǎng)的數(shù)量沒有任何限定，可以是幾十甚至上百個。

　　首先，運營商需要通過一個具有最高權限的網(wǎng)絡管理終端，對整個網(wǎng)絡的組織機構進行定義，即對網(wǎng)絡中的所有虛擬專網(wǎng)進行定義（如公安、鐵路、公交等）。運營商的網(wǎng)絡管理員只需對每個虛擬專網(wǎng)的身份碼和名稱加以定義，即可這樣就相當于在系統(tǒng)中建立了若干個虛擬的網(wǎng)絡，隨后要創(chuàng)建的所有虛擬專網(wǎng)管理員、通話組、無線用戶都必須要對其所屬的虛擬專網(wǎng)進行定義，這就相當于在系統(tǒng)中的每個成員身上打上了一個身份烙印，系統(tǒng)將會根據(jù)每個成員身上的這些身份標記，來處理以后這些成員的各種操作。

　　然后，運營商的系統(tǒng)管理員還要對每個虛擬專網(wǎng)中的最高級別的調度員進行定義。除了定義他們的用戶名、密碼以外(密碼以后可以自己修改)，最重要的就是要定義該虛擬專網(wǎng)調度員所屬的虛擬專網(wǎng)，以及他們在本虛擬專網(wǎng)中的通信和管理權限。用戶權限和編碼與組織機構有關，通信權限的主要包括：

　　個呼發(fā)起的范圍（全網(wǎng)、某些虛擬專網(wǎng)、本虛擬專網(wǎng)內），以及是否只能發(fā)起個呼，或只能接收個呼，或既能發(fā)起又能接收各呼。

　　狀態(tài)信息和短數(shù)據(jù)信息發(fā)起的范圍（全網(wǎng)、某些虛擬專網(wǎng)、本虛擬專網(wǎng)內），以及是否只能發(fā)起個呼，或只能接收個呼，或既能發(fā)起又能接收個呼。

　　呼叫PSTN/的權限。

　　管理權限的主要包括：

　　對無線用戶的管理范圍（全網(wǎng)、某些虛擬專網(wǎng)、本虛擬專網(wǎng)內），以及對無線用戶的管理權限是否可以創(chuàng)建，修改，刪除無線用戶，是否可以改變通話組成員等。

　　對本虛擬專網(wǎng)內較低級別的其它調度員的管理范圍和權限進行定義。

　　對通話組管理范圍和權限進行定義。

　　對組織塊管理范圍和權限進行定義。

　　對短用戶號碼的管理范圍。即該調度員可以創(chuàng)建無線用戶和通話組的號碼范圍。

　　對所連接的外部系統(tǒng)的管理。包括對本虛擬專網(wǎng)所屬的PSTN/PABX、itranet、數(shù)據(jù)庫等的管理。

　　最后，對于每個虛擬專網(wǎng)內部的子組織塊、調度臺、無線用戶、通話組等的創(chuàng)建工作，可以由運營商的管理員來進行，也可以有由剛定義完畢的每個虛擬專網(wǎng)中具有最高級別的調度員來進行。在定義所有這些網(wǎng)絡中的成員時，必須指明該成員是屬于哪一個組織塊或子組織塊的。這樣就把網(wǎng)內的所有用戶進行了歸屬定義，將整個虛擬專網(wǎng)完整地建立起來，便于以后對用戶進行管理、編號及呼叫等等。

　　整個網(wǎng)絡的虛擬專網(wǎng)建成以后，可以對每個虛擬專網(wǎng)分配用戶號段。該號段的分配是任意的，沒有任何限制，可以是連續(xù)的，也可以是間斷的。但為了便于管理，一般都是一個連續(xù)號段。虛擬專網(wǎng)中所授權的調度員可以在其可以管理的用戶號段范圍內創(chuàng)建，刪除和修改無線終端和用戶組。該調度員操作完成以后，可直接將所修改的數(shù)據(jù)存入系統(tǒng)數(shù)據(jù)庫，而不必通過運營商來進行。當然運營商的系統(tǒng)管理員可以通過系統(tǒng)的管理終端來查看整個系統(tǒng)的狀況，包括虛擬專網(wǎng)和用戶號碼的使用狀況。但運營商無法監(jiān)聽和干擾各虛擬專網(wǎng)的通信。

　　四、TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的關鍵技術

　　用戶單位最關心的問題之一就是，如果加入共網(wǎng)集群，能不能使用起來就象自己建網(wǎng)一樣，方便，快捷，通信保密可靠，共網(wǎng)內部不同部門間通信，不會產(chǎn)生干擾和失密等等。

　　為支持網(wǎng)絡安全運行，除ITSI外還可以分配一個ATSI。每個ITSI只能有一個ATSI，并且只有網(wǎng)絡運營者知道這個ITSI—ATSI對。ATSI不能從ITSI信息中推出，且其它用戶只能通過ITSI來識別給定的用戶。因為其它用戶不知道ATSI，所以網(wǎng)絡運營者可以利用公共ITSI操作基礎設施路由表不通知其它任何用戶而頻繁改變ATSI值。

　　當各種組織共享相同的無線平臺時，就產(chǎn)生了虛擬用戶群體之間的私密性問題，即在使用相同系統(tǒng)時如何維護通信機密的問題。由于TETRA系統(tǒng)是數(shù)字系統(tǒng)，因此能夠很容易地通過加密機制滿足對私密通信的需求。TETRA系統(tǒng)可以支持兩層加密：空中接口加密和端對端加密?？罩薪涌诩用苁侵赣脩艚K端和基站之間的業(yè)務信道和控制信道經(jīng)過加密的；端對端加密是對業(yè)務信道在空中接口加密的基礎上進行的雙重加密；所提議的系統(tǒng)能夠完全支持此機制，但是需要開發(fā)特殊的加密算法，特殊的加密算法對特定用戶是非常重要的，運營商可以設計和開發(fā)加密算法。

　　對于空中接口加密而言，在正常操作下，可維護屬于不同組織的用戶之間的個人呼和組呼的機密。對于不同類型的呼叫，在TETRA系統(tǒng)可提供不同類型的密鑰。在這些密鑰中，VPN之間維護私密通信機制所需的密鑰有兩種：導出密鑰或衍生密鑰（DCK）；組密鑰（GCK）。

　　DCK是用來加密所有從用戶發(fā)送到無線基礎設施的信令和業(yè)務信道，和從無線基礎設施發(fā)送到用戶的個人呼叫尋址的信令和業(yè)務信道；DCK密鑰是在用戶的鑒權過程中獲得的，它是通過相應的算法和存儲在終端中的個人密鑰導出的。因此網(wǎng)絡中的每個用戶在進行個人呼的時候使用不同的DCK，因此可確保統(tǒng)一組織內外通話的私密性。GCK可以與單個組地址相關聯(lián)來加密從無線基礎設施到用戶的組尋址信令和業(yè)務信道。GCK是基礎設施所知道的并分配到用戶。因此，為維護不同的組織之間的私密通信，GCK的不同子集被分配到屬于不同VPN的用戶。

　　在緊急情況或其它特殊情況下，可能發(fā)生一些特例，不同組織在某一領域合作，因此他們不得不建立VPN之間的通信。為此目的，必須為這種特殊的操作模式提供另外的GCK子集。在這種情況下，一個超級操作員需要介入，來修改密鑰管理的“正?！蓖緩?，這項工作可以交給網(wǎng)絡運營者或負責協(xié)調網(wǎng)絡中所有組織運行的高級組織部門。這個操作員必須識別VPN之間的通信和空中分配適當?shù)腉CK到所有的組織或用戶，這些組織或用戶需要進行聯(lián)合的操作。

　　五、TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的應用

　　TETRA數(shù)字集群系統(tǒng)虛擬專網(wǎng)的主要用戶群體為運輸業(yè)（包括出租車、公交車、運輸公司、公路、鐵路、航運交通等）、大型企事業(yè)、政府部門、水電氣等市政管理、機場、大型車站、消防、水利、建筑、金融和旅游等部門、大型活動組織機構、以及警察、武警法院和檢察院等公共安全類用戶。

　　社會是一個有機的整體，許多社會活動需要各部門的協(xié)同工作，市場經(jīng)濟更需社會的分工合作。TETRA系統(tǒng)允許不同的虛擬專網(wǎng)在一種可控方式下相互通信。多個用戶組可以有公共的通話組。部分調度員可以有權管理多個不同用戶組織中的用戶，并且與之通信。比如，創(chuàng)建一個包含來自不同組織的多個用戶的臨時通話組。便于在一個城市的市政府、體委、公安、武警、消防、醫(yī)院、交通、新聞和旅游、賓館等單位各自組成虛擬專用網(wǎng)，并可多個單位組成共同的通話組以實施聯(lián)合指揮。