Слепое пятно в надежности радаров: когда сигналы лгут.
Системы распознавания объектов в автомобилях и промышленные автономные транспортные средства в значительной степени опираются на миллиметровые (ммВ) радары для работы в условиях, когда системы машинного зрения дают сбой — густой туман, проливной дождь и низкоконтрастные заводские полы. Однако в течение многих лет системные архитекторы рассматривали облака точек радара как изначально достоверные физические данные. Это предположение рушится. По мере развития недорогих программно-определяемых радиостанций (SDR) и коммерческих генераторов радиочастотного сигнала, активная радиочастотная инжекция и генерация фантомных целей перешли из академических конференций по безопасности непосредственно в сферу рисков для безопасности на полевом уровне. Внедрение надежной проверки радиолокационного сигнала на предмет подделки больше не является экзотическим требованием обороны; это стало важнейшей базовой мерой для любой системы, использующей радар для планирования критически важных траекторий и экстренного торможения.
Основная уязвимость заключается в предсказуемости. Большинство коммерческих радаров с частотной модуляцией непрерывного излучения (FMCW) излучают равномерные импульсы с предсказуемыми наклонами, интервалами и полосами пропускания. Противнику или несинхронизированному вторичному излучателю не нужно взламывать ключ шифрования, чтобы нарушить работу этих систем; им достаточно захватить последовательность импульсов, применить небольшую задержку или доплеровское смещение частоты и ретранслировать её. Процессор радара принимает отраженный сигнал, вычисляет дальность и скорость с помощью стандартных быстрых преобразований Фурье (БПФ) и генерирует ложные препятствия — или, что ещё хуже, маскирует реальные препятствия. Для решения этой проблемы требуется многоуровневая защита, охватывающая физику волновых форм, эвристические методы цифровой обработки сигналов и целостность данных на уровне шины.
Уровень 1: Гибкость обработки сигналов и проверка физического уровня.
Первая линия защиты должна осуществляться на радиочастотном тракте, прежде чем необработанные сигналы промежуточной частоты (ПЧ) будут преобразованы в целевые сигналы. Фиксированная частота импульсов делает датчик открытой целью. Переход к случайным интервалам повторения импульсов (PRI) и динамической модуляции импульсов нарушает предсказуемое временное окно, на которое полагаются злоумышленники для внедрения когерентных сигналов.
Когда приемопередатчик радара постоянно изменяет наклон частотной характеристики, начальную частоту или интервал между импульсами на основе псевдослучайной последовательности, известной только локальному контроллеру радара, повторно передаваемые поддельные сигналы приходят несинхронизированно. Для процессора радара несинхронизированная повторная передача проявляется как некоррелированный фоновый шум, а не как сфокусированный пик энергии на карте дальности-доплера. Кроме того, двухполяризационные антенны могут перекрестно проверять возвращающиеся поляризационные сигнатуры. Искусственно созданные поддельные сигналы редко точно воспроизводят поведение деполяризации реальных препятствий, таких как штампованный листовой металл или мокрый асфальт.
Уровень 2: Алгоритмическая проверка и аутентификация радиолокационных данных
Непредсказуемость формы сигнала помогает, но не полностью исключает сложные электронные атаки, такие как синхронизированные цифровые системы радиочастотной памяти (DRFM). Поэтому встроенное программное обеспечение базовой полосы должно включать эвристические проверки в реальном времени перед упаковкой облаков точек для передачи по сети транспортного средства или машины. Именно здесь аутентификация радиолокационных данных связывает физическую динамику с характеристиками сигнала.
Физически корректная мишень демонстрирует согласованность в нескольких физических областях:
- Угол прихода (AoA) против доплеровского смещения : ложный объект, введенный через один стационарный излучатель, не может убедительно имитировать различные пространственные направления для нескольких объектов, одновременно изменяя их доплеровские скорости. Эвристические фильтры должны отмечать обнаружения, где разница фаз AoA не соответствует ожидаемой физике траектории.
- Профили уровня принимаемого сигнала (RSS) : Поддельные сигналы часто демонстрируют плоские профили с неестественно высокой амплитудой в широком диапазоне углов. Для легитимных целей действует уравнение дальности радара, где возвращаемая мощность предсказуемо падает с расстоянием. Аномальные всплески амплитуды, которые обходят кривые потерь на трассе распространения в свободном пространстве, должны немедленно активировать обнаружение подделки данных.
- Микродоплеровские сигнатуры: Сложные объекты, такие как идущие пешеходы или вращающиеся механизмы, создают уникальные микродоплеровские боковые полосы. Хотя это и требует значительных вычислительных ресурсов, целевая классификация микродоплеровских сигналов при неожиданном обнаружении статических объектов или объектов на высокой скорости служит эффективным дополнительным этапом проверки.
Уровень 3: Защита шины данных и целостности бэкэнда.
Проверка работоспособности радиочастотного интерфейса — это уже половина дела; полученные телеметрические данные должны пройти через центральный контроллер домена. В более старых конструкциях автомобилей необработанные радиолокационные данные или списки объектов передавались по незащищенным шинам CAN или низкоскоростным шинам Ethernet. Как только злоумышленник взламывает периферийный ЭБУ, внедрение сфабрикованных радиолокационных кадров в шину полностью обходит средства защиты интерфейса.
Современные системные архитектуры требуют безопасной передачи данных с датчиков с использованием аутентифицированных протоколов, таких как CAN-FD с защищенной бортовой связью (SecOC) или магистралей Ethernet, защищенных MACsec. Связывая каждый кадр радара с криптографическим кодом аутентификации сообщения (MAC), сгенерированным бортовым аппаратным модулем безопасности (HSM), центральный процессор проверяет, действительно ли список объектов поступил от радиолокационного блока и не был перехвачен или изменен в полете.
Наряду с обеспечением безопасности автобуса, на уровне обработки данных должен осуществляться непрерывный мониторинг целостности радиолокационного сигнала. Если высокоточная радиолокационная цель появляется внутри свободной полосы движения, но передние камеры и ультразвуковые датчики регистрируют открытую местность, система распознавания не должна просто усреднять входные данные. Вместо этого система должна перекрестно оценивать показатели достоверности датчиков, проверять, не зафиксировал ли радиолокационный блок какие-либо помехи, и безопасно снижать рабочую скорость, а не резко и опасно тормозить.
Практические инженерные компромиссы: задержка против защиты
Интеграция механизмов защиты от подделки никогда не обходится бесплатно, и системные инженеры должны находить баланс между защитой и реальными затратами на производительность. Введение сложных криптографических рукопожатий при каждом импульсе технически нецелесообразно из-за ограничений по времени в микросекундах. Аналогично, глубокая оценка микродоплеровского сдвига на сотнях кластеров точек может перегрузить встроенные ядра DSP и превысить типичное время цикла в 50 мс.
Практическим компромиссом, используемым в современных промышленных системах, является многоуровневая проверка: непрерывное применение легковесной рандомизации частотной модуляции на физическом уровне ко всем сканированиям, проведение статистических проверок на аномалии для 10% наиболее рискованных целей (тех, которые находятся непосредственно на пути движения транспортного средства) и добавление аппаратно-ускоренных криптографических тегов только к сводным данным объектов, а не к необработанным потокам базовой полосы частот. Это позволяет поддерживать предсказуемую задержку в базовой полосе частот, одновременно предотвращая попытки массовой инжекции радиочастотного сигнала.
Часто задаваемые вопросы
В чём разница между подавлением радиолокационных сигналов и подменой радиолокационных сигналов?
Подавление сигнала приводит к тому, что радиолокационный приемник оказывается забит мощным радиочастотным шумом, ослепляя датчик и повышая уровень шума, так что реальные цели не могут быть обнаружены. Радар понимает, что он находится под воздействием помех, потому что приемник перегружается. Подмена сигнала гораздо опаснее: она предполагает внедрение структурированных, обманчивых сигналов, призванных заставить радар поверить в присутствие несуществующей цели (или в то, что реальная цель находится в другом месте), не обязательно вызывая при этом сбой, связанный с высоким уровнем шума.
Может ли объединение данных с нескольких датчиков заменить проверки на защиту от подделки на уровне радара?
Объединение данных с датчиков помогает выявлять несоответствия, но полагаться исключительно на последующее объединение данных опасно. Если поддельный радарный объект заставляет срабатывать критически важную систему безопасности (например, автономное аварийное торможение) до того, как конвейер объединения данных сможет разрешить конфликты с оптическими камерами — особенно в плохую погоду, когда качество камер ухудшается, — атака с подменой данных будет успешной. Проверка должна проводиться как можно ближе к физической антенной решетке.
Ухудшает ли рандомизация частотной модуляции FMCW разрешение радиолокационных измерений?
При недостаточном контроле это может привести к появлению небольшого фазового шума или увеличению уровня боковых лепестков на карте дальности-доплера. Однако в современных радиолокационных системах используются цифровые фазовые автоподстройки частоты (ФАПЧ), способные переключать параметры нарастания с наносекундной точностью, что минимизирует компромиссы в разрешении по скорости или дальности при соответствующей настройке алгоритмов согласованной фильтрации.
Дальнейшие шаги для системных архитекторов
Оценка существующих радиолокационных систем начинается с анализа проникновения радиочастотного излучения и уязвимостей. Инженерные группы должны пересмотреть свои текущие планы развития радиолокационных систем, чтобы убедиться, поддерживают ли будущие приемопередатчики псевдослучайную последовательность чирп-сигналов, ускорение HSM на кристалле и диагностику качества сигнала на аппаратном уровне. Разработка критически важных для безопасности систем автоматизации требует рассматривать радиочастотные сигналы не как гарантированную физическую истину, а как непроверенные сетевые входные данные, требующие непрерывной проверки от антенны до исполнительного механизма.