Composable Post-Quantum Security for FADEC-Coupled Dual-Spool Turbofan Cyber-Physical Systems

ملخص تقني: الأمن القابل للتركيب لما بعد الحوسبة الكمية لأنظمة التحكم في المحركات التوربينية المروحية ثنائية المحور المرتبطة بنظام التحكم الرقمي الكامل في المحرك (FADEC)

بيان المشكلة
تتناول الورقة الفجوة الرياضية بين التشفير لما بعد الحوسبة الكمية (PQC) وأنظمة التحكم في الطيران الحرجة للسلامة، وتحديداً نظام التحكم الرقمي الكامل في المحرك (FAD_EC) المرتبط بالمحركات التوربينية المروحية ثنائية المحور. تتعامل الأدبيات الحالية عادةً مع الأمن التشفيري (مثل تغليف المفتاح القائم على الشبكات، والتشفير الموثق) والاستقرار من الناحية النظرية للتحكم (مثل هامش الاندفاع، وتسارع المحور، والامتثال الالتوائي) كمجالات مستقلة. هذا الفصل يفشل في مراعاة كيفية تفاعل عوامل محددة خاصة بتشفير ما بعد الحوسبة الكمية — مثل توسع النص المشفر، وطول سجل الإثبات، وقيود إنتروبيا تجديد المفاتيح — مع جدولة النقل عبر الحافلة (Bus) في الوقت الفعلي، وزمن انتقال الاتصال، واستقرار المنشأة الفيزيائية. يجادل المؤلفون بأنه في البنى التحتية الحرجة للسلامة، يمكن للنظام أن يكون موثقاً تشفيرياً ومع ذلك يفشل في أن يكون "آمناً بشكل قابل للتركيب" إذا أدى العبء التشفيري إلى انتهاك هوامش التوقيت أو الاستقرار.

المنهجية
يطور المؤلفون صياغة رياضية موحدة ضمن نموذج هجين عشوائي حيث يتطور تطور المنشأة، وزمن انتقال الاتصال، والتسريب، وجودة القناة المعادية، والحالة التشفيرية تحت مرشح (Filtration) مشترك. تتضمن المنههجية الجوهرية ما يلي:

1. نموذج النظام الموحد: يتم نمذجة النظام المستهدف كزوج مرتبط $S_\lambda$ يتكون من نموذج محرك عشوائي ($P_{eng}$)، ومتحكم FADEC، وحافلة طيران مجردة ($B_{bus}$)، وقناة اتصال مدركة للرادار ($C_{ch}$)، ومصدر وظيفة فيزيائية غير قابلة للاستنساخ (PUF)، وبدائل ما بعد الحوسبة الكمية (KEM، AEAD، وإثباتات المعرفة الصفرية).
2. نطاق المعلمات المقترنة: يعامل التحليل حالة النظام كمجموعة حاصل ضرب $\Theta_{tot} = \Theta_{pq} \times \Theta_{puf} \times \Theta_{aead} \times \Theta_{bus} \times \Theta_{radar} \times \Theta_{eng} \times \Theta_{filt}$. بدلاً من تحسين هذه الأجزاء بشكل مستقل، يقوم النموذج باعتمادها على مجموعة مسموح بها واحدة.
3. نموذج التهديد: الخصم هو كيان ذو زمن حدودي احتمالي قادر على مراقبة حركة المرور العامة، والحصول على تسريب جانبي محدود (يتم نمذجته عبر الإنتروبيا الدنيا السلسة وتباعد ريني)، وحقن أخطاء عابرة مجردة. يستبعد النموذج صراحةً التعليمات الإجرائية لمهاجمة الأجهزة الحقيقية.
4. المعالجة التحليلية الدفاعية: تستخدم الورقة أطر "التركيب الشامل" (Universal Composability - UC) لتعريف الوظائف المثالية لتجديد المفاتيح، والمصادقة، والنزاهة، ثم تثبت أن البروتوكول الحقيقي يحقق هذه الوหน้าที่ فقط عندما تتحقق محددات الاستقرار والجدولة المحددة.

المساهمات الرئيسية
تقدم الورقة "نظام مبرهنات مقترن" يوضح أن الهجرة إلى تشفير ما بعد الحوسبة الكمية في التحكم في الطيران لا يمكن تقييمها فقط من خلال أحجام المفاتيح أو الصعوبة التقاربية. المساهمات التقنية الرئيسية هي:

• تأثير الرادار ودوبلر على تجديد المفاتيح: يستنتج المؤلفون أن عدم اليقين في المقطع العرضي للرادار وتوهين دوبلر يقللان من سعة القناة المعادية ولكن في الوقت نفسه يزيدان من فقدان الإنتروبيا ($\Delta H_{ch}$). وهذا يؤدي إلى تضييق فترة تجديد المفتاح المسموح بها ($T_{key}$)، مما يفرض عمليات تجديد أكثر تكراراً في البيئات ذات عدم اليقين العالي.
• توسع النص المشفر والجدولة: تثبت الورقة أن توسع النص المشفر لما بعد الحوسبة الكمية (تحديداً $O(\lambda \log \lambda)$ لخوارزميات KEM القائمة على الشبكات) يزيد مباشرة من أوقات استجابة الحافلة ($R_i$). هذا التوسع يمكن أن يدفع إجمالي زمن الانتقال إلى ما وراء "نافذة التفعيل التشفيرية" ($W_{act}$)، مما يتسبب في رفض النظام للأوامر الصالحة للحفاظ على السلامة.
• التسريب الفيزيائي والإنتروبيا: يربط النموذج بين المعلمات الفيزيائية والإنتروبيا التشفيرية. وتحديداً، يظهر أن اضطرابات خلوص طرف الشفرة ($\delta_{tc}$) وبيانات اهتزاز العمود تعمل كقنوات تسريب، مما يقلل من الإنتروبيا الدنيا السلسة للمفاتيح المستمدة من الـ PUF ويستلزم عتبات إنذار أكثر تحفظاً.
• هوامش الاستقرار تحت تأثير زمن الانتقال: يضع المؤلفون حداً لـ "الاستقرار من المدخل إلى الحالة" (ISS) الناتج عن زمن الانتقال. ويظهرون أن التأخير الموثق إجمالاً ($\delta_{tot}$) يؤدي إلى تآكل معدل الاضمحلال الأسي للنظام مغلق الحلقة، مع انخفاض الهامش بشكل أكبر بسبب تشبع تدفق الوقود.
• الفصل بين المصادقة والتركيب: تُظهر نتيجة نظرية حرجة (المثال المضاد 1) أن النظام يمكن أن يمتلك مصادقة تشفيرية مثالية (صفر تزوير، صفر تسريب) ومع ذلك يفشل في أن يكون قابلاً للتركيب بأمان إذا تم تجاوز المواعيد النهائية في الوقت الفعلي بسبب حجم الحمولة التشفيرية.

النتائج
تستنتج الورقة عدة حدود وعداوات صورية:

• حد الأمن-الاستقرار: يتم وضع شرط كافٍ للإصدار القابل للتركيب حيث يتم تحديد ميزة التمييز بحد أقصى لمجموع الأخطاء التشفيرية ($\epsilon_{kem}, \epsilon_{aead}, \dots$) واحتمالية تفويت المواعيد النهائية ($\epsilon_{bus}$) وانتهاكات هامش الاستقرار ($\epsilon_{st}$).
• سياسة التجديد: يظهر أن فترة تجديد المفتاح هي دالة لمعدلات التسريب من القنوات الجانبية، والاهتزاز، وعدم يقين الرادار: $T_{key} \leq \frac{H^\epsilon_\infty(K_0) - \kappa_{min}}{\dot{\ell}_{side} + \dot{\ell}_{vib}|\delta_{tc}| + \dot{\ell}_{ch}}$.
• متباينة الجدولة: تثبت الورقة أنه لكي تكون المهمة قابلة للجدولة، يجب أن يكون إجمالي زمن الانتقال (استجابة الحافلة + التحقق + تأخير الانتشار) أقل من الحد الأدنى من موعد التحكم النهائي، وحدود تسارع المحور، وحدود تآكل هامش الاندفاع، ومتطلبات أخذ عينات الالتواء.
• تحليل الحساسية: يظهر التقييم الرمزي أن زيادة حجم النص المشفر ($L_{kem}$) يقلل بشكل رتيب من فائض التوقيت وهوامش الاستقرار، بينما يؤدي زيادة عدم يقين الرادار ($V_\Sigma$) إلى تسريع متطلبات تجديد المفاتيح.

الأهمية والادعاءات
تدعي الورقة بتواضع توفير غلاف ضمان رياضي بدلاً من متحكم جديد، أو حافلة، أو بدائية تشفيرية. تكمن أهميتها في:

1. تحديد الاقتران: إنها تحدد صراحةً كيف يتفاعل أمن ما بعد الحوسبة الكمية، والجدولة في الوقت الفعلي، واستقرار الحلقة المغلقة في التحكم في الطيران.
2. تحديد أنماط الفشل: تحدد الأنماط التي يمكن أن تستهلك فيها "الترقية التشفيرية المعقولة" (مثل النصوص المشفرة الأكبر لـ PQC) فائض التوقيت والاستقرار المطلوب للتحكم الآمن في الدفع.
3. النطاق الدفاعي: يؤكد المؤلفون أن النموذج هو أداة تحليلية دفاعية. فهو لا يوفر إرشادات تشغيلية للتدخل في المنصات الحقيقية، ولا يحل محل وثائق اعتماد المحرك. بدلاً من ذلك، فإنه يحدد اقترانات يمكن تدقيقها رياضياً والتي يمكن لعمليات الاعتماد تنفيذها وتحديها.

تخلص الورقة إلى أن الهجرة إلى ما بعد الحوسبة الكمية في التحكم في الطيران الحرج للسلامة تتطلب "غلاف أمن-استقرار-زمن انتقال" مرتبط بأسطح هجوم مرصودة صراحةً، بدلاً من مجرد استبدال الخوارزميات التشفيرية.