0.   引言

矿井人员定位系统作为煤矿井下安全避险“六大系统”^[1]之一，目前已在全国各大煤矿安装普及，提高了煤矿安全保障能力。在提供定位服务的基础上，人员定位系统可逐步增加考勤、调度、门禁等功能。在扩展这类应用时，需要对系统配套的标志卡、矿灯等无线终端设备进行固件升级。由于无线终端设备具有基数大、分布广、难拆卸等特点，需要研究一种可靠、高效的方法满足固件升级需求^[2-4]。

传统的固件升级主要采用在线系统编程（In-System Programming，ISP）方式。该方式不需要编程器就可以进行单片机实验和开发，便于调试，但仍然需要外部电路辅助实现，而标志卡为本质安全设计，不具备易拆卸或引脚外露的条件，因此维护成本极高。目前，针对井下人员定位应用场景，较为高效的固件升级方式是基于标志卡本身通信技术的无线应用内编程（In Application Programming，IAP）方式。采用该方式时，维护人员先将升级程序存入定制的升级设备，再在灯房、下井口等人员集中处启动升级功能，循环广播发送升级数据，升级设备覆盖范围内的标志卡会被触发进入长接收状态，直到升级完成。这种方式通过合理嵌入式软件架构，采用无线传输方式解决ISP方式需要拆卸的问题，可实现标志卡批量无线升级。然而在实际应用场景中，IAP方式仍然存在以下缺点： 升级期间标志卡无法正常使用，影响井下人员正常生产作业； 信号只能覆盖一个特定范围，而下井人员在时间和空间上都不集中，实际并发数和升级效率有待提高； 采用广播方式循环发送升级信息，意味着传输过程中空中消息公开，存在被扫频侦听窃取的风险，安全性不高^[5-7]。

针对上述问题，提出了一种井下人员精确定位系统无线终端同步升级方法。采用点对点通信、断点续传的方式，应用混合高级加密标准（Advanced Encryption Standard，AES）加密传输和MD5完整性校验保证安全性，采用动态时隙分配机制，在定位系统信号覆盖范围内，实现无线终端设备在正常使用过程中的固件升级^[8-9]。

1.   井下人员精确定位系统架构

井下人员精确定位系统主要包括上位机、读卡器和标志卡3个部分，如图1所示。上位机通过以太网接入井下环网交换机，与读卡器通信，读卡器与标志卡之间采用超宽带（Ultra Wide Band，UWB）通信方式进行数据交互^[10-12]。

图  1  井下人员精确定位系统架构

Figure  1.  Structure of underground personnel precise positioning system

下载: 全尺寸图片 幻灯片

2.   无线终端同步升级方法流程

一次完整的无线终端同步升级分为启动、传输、完成3个阶段，上位机、读卡器与标志卡在不同阶段的交互协作流程如图2所示。

升级启动阶段：维护人员远程加载升级文件至定位系统上位机；上位机对升级文件进行处理转换后生成控制传输文件，并通过网络下发给读卡器；读卡器收到文件后保存在本地并启动升级过程；标志卡进入读卡器覆盖范围后被触发进入扩展升级模式，在周期性定位中主动定向请求升级数据。

升级传输阶段：标志卡定位时，在扩展字节中附带具体请求数据帧号；读卡器以点对点通信方式向指定标志卡发送对应的数据帧；上位机定期巡检读卡器，收集标志卡升级日志信息。

升级完成阶段：维护人员通过操作上位机结束升级过程，结合读卡器日志，生成本次升级日志；读卡器收到上位机结束升级命令后，停止触发新的标志卡进入扩展升级模式；标志卡在数据包传输完成并校验通过后进行固件切换。

图  2  无线终端同步升级流程

Figure  2.  Wireless terminal synchronization upgrade process

下载: 全尺寸图片 幻灯片

3.   安全性设计

3.1   AES混合加密传输

当前无线终端升级方法主要采用广播方式循环传输升级数据，升级数据在空域中为公开状态，通过扫频接收等技术手段很容易获取完整的升级文件包，并进行逆向破解和复制。对于厂家，存在核心技术泄密风险；对于矿方，存在安全生产方面的隐患。

为了提升空中数据传输的安全性，针对读卡器与标志卡之间的数据传输方式，采用AES加密器进行针对性加密。标志卡在首次接入读卡器时，会上传自己的ID与私钥，读卡器校验后将ID和私钥绑定并存入升级链表，结合读卡器私钥形成一个混合密钥回复标志卡。读卡器收到某一标志卡的升级数据帧请求时，先去升级链表中找到对应标志卡的私钥，然后将帧明文数据用对应混合密钥进行加密后发送；标志卡收到回复帧数据后用对应密钥进行解密存储，然后按这种传输方式依次请求指定数据，直至所有数据接收完成^[13-14]。

应用这种加密方式的安全性体现在3个方面： ① 采用AES−128算法加密空中传输的升级数据，在确保安全性的同时兼顾运算效率。 ② 基于标志卡主动请求的机制，在多标志卡情况下，接收端如果没有密钥，将无法确认空中数据包的目标及数据包序号。③ 读卡器基于标志卡唯一私钥进行针对性混合加密，保证不同标志卡和读卡器之间升级数据包的差异性，第三方即使捕获到数据包也无法破解。

3.2   MD5完整性校验

基于UWB技术的特性，无法完全避免空中数据干扰。为了提高数据无线传输的可靠性，确保标志卡无线升级后运行正常，在标志卡完成接收即将切换时引入信息摘要算法MD5 ^[15-17]。标志卡完成升级数据接收后，向读卡器请求本次升级文件的MD5码，然后与本地文件的MD5码进行比对，如果一致则可确认传输无误，标志卡可切换到新的程序，否则重新接收升级数据。

4.   高并发技术实现

4.1   多节点同步升级

为了提高系统升级并发量，摆脱广播方式只能覆盖一定范围区域的限制，利用矿井全覆盖的UWB无线通信网络扩展并兼容无线升级协议。当需要进行无线升级时，上位机将升级固件在井下环网内发布，环网内所有读卡器通过网络下载后保存在本地，由上位机综合调度，井下所有读卡器作为升级节点触发覆盖范围内标志卡进行扩展升级，实现井下所有标志卡分布式多节点同步升级。

4.2   断点续传

基于标志卡的移动特性，以及混合AES加密设计下不同读卡器节点的空中数据不一致的情况，井下标志卡同步升级需要解决运动状态下多节点之间数据切换的问题。

标志卡逻辑处理流程如图3所示。标志卡采用主动请求方式，多节点之间通过握手切换，升级数据采用断点续传方式。标志卡触发进入升级模式后，在Flash中开辟一个升级数据记录表，按照表中的记录顺序依次请求节点对应的升级数据。当移动中标志卡需要切换接入陌生节点时，采用握手验证的交互方式记录节点密钥，并从升级数据记录表的断点处继续接收，直至升级数据接收完成并通过MD5完整性校验。

图  3  标志卡逻辑处理流程

Figure  3.  Logic processing flow of identification card

下载: 全尺寸图片 幻灯片

4.3   动态时隙分配机制

基于随机竞争的纯ALOHA算法信道利用率较低，基本只在RFID，ZigBee等井下区域人员定位系统中应用^[18-19]。基于UWB的人员精确定位系统由于通信模式相对复杂且单次定位周期较长，更容易发生空中碰撞导致测距失败，普遍应用的算法为时隙ALOHA。该算法是将时间分成若干个相同的时间片，所有标志卡在分配的时间片内进行定位及数据交互，避免发送数据的随意性，提高信道的利用率和吞吐量^[20-21]。

标志卡通过扩展字节实现升级传输，而定位字节扩展会导致定位时间延长，在采用时隙ALOHA算法的系统中，意味着单个标志卡的分配时隙需要拉长，如果时隙数不变，则系统响应效率会下降。为了保证人员精确定位系统的容量及响应效率，提出了一种应用于无线升级过程中的动态时隙分配机制。在该机制下，读卡器存在2种时隙，分别用于正常定位和无线升级，并可根据读卡器覆盖范围内标志卡数量自适应切换负载模式，动态调整2种时隙的数量分配。

动态时隙分配机制如图4所示，T为时隙分配周期，S₁为正常定位时间片，S₂为扩展升级时间片，N₁为S₁时隙最大容量，N₂为S₂时隙最大容量，x为忙碌状态S₁时隙数量，y为忙碌状态S₂时隙数量。在实际应用中，假设读卡器的实际负载数量为n，当n＜N₂时，空中消息空闲，给所有标志卡分配S₂时隙；当N₁< n＜N₂时，空中消息忙碌，S₂时隙数y =（n−N₁）S₁/ (S₂−S₁)，x = n−y；当n＞N₁时，系统满载，不再分配S₂时隙，当前读卡器覆盖范围内的标志卡无线升级将停止，等待空闲时再进行升级。

图  4  动态时隙分配机制

Figure  4.  Dynamic slot allocation mechanism

下载: 全尺寸图片 幻灯片

5.   测试分析

选取长60 m、宽20 m的长方形模拟巷道进行测试，如图5所示。在模拟巷道内部搭建基于UWB的人员精确定位系统，测试设备为1台上位机、4台读卡器和若干张标志卡。

图  5  无线终端同步升级测试环境

Figure  5.  Test environment of wireless terminal synchronization upgrade

下载: 全尺寸图片 幻灯片

标志卡定位周期为2 s，升级程序大小为36 Kibit，单次定位传输数据量为64 B，理论最快完成时间为36×1 024×2/(8×64)=144 s。测试时人员携带标志卡以1.5 m/s的速度绕圈，针对空闲、忙碌、满载3种负载情况，分别投入40，100，200张标志卡进行升级测试。在进行标志卡固件无线升级的同时，验证人员定位相关功能，最后从上位机中调取升级记录日志，整理得到测试结果，如图6所示。

图  6  无线终端同步升级测试结果

Figure  6.  Test result of wireless terminal synchronization upgrade

下载: 全尺寸图片 幻灯片

从图6可看出，无线终端同步升级方法整体可靠，在空闲和忙碌2种状态下，标志卡升级成功率都为100%。不同状态主要影响标志卡升级的时间期望，在满载状态下，为了保证井下人员精确定位系统功能，读卡器不会分配升级时隙，符合动态时隙分配机制设计预期。

6.   结论

1） 提出了一种井下人员精确定位系统无线终端同步升级方法，详细论述了实现思路及关键技术。关键技术包括安全性设计和高并发技术实现2个方面。安全性设计通过AES加密器和MD5算法实现，高并发技术通过矿井全覆盖的UWB无线通信网络、断点续传方式、动态时隙分配机制实现。

2） 测试结果表明，该方法可以在井下人员精确定位系统内兼容运行，在不影响系统性能指标的情况下，实现所有无线终端定位标志卡嵌入式固件的无线升级，升级成功率为100%。

3） 该方法排除了基于广播方式的无线IAP升级方法的安全隐患，为数量大、分布广、工作时间不固定的标志卡提供了一种高效、可靠、安全的固件升级方法。需要说明的是，该方法本身并不依赖特定系统或通信技术，可以研究移植扩展至其他系统，如煤矿安全监测监控系统、矿用广播系统等。该方法的高安全、全覆盖、强校验设计可满足煤矿井下无线终端的定制化需求，为全矿井无线终端产品的固件无线升级提供参考。