Cyber-Resilience and Trust-Aware Command Authorization for Autonomous UAV Swarms in GPS-Denied Environments

تخيل سربًا من الطائرات المسيرة (الدرونز) يطير معًا دون استخدام نظام تحديد المواقع العالمي (GPS)، ملاحقًا محيطه عبر الاستشعار والتواصل فيما بينها. في هذه البيئة عالية المخاطر، يجب على طائرة مسيرة واحدة أن تقرر ما إذا كانت ستطيع أمرًا مرسلًا من مشغل بشري أو من طائرة مسيرة مجاورة. التحدي الجوههري لا يقتበصر فقط على التحقق من أن الرسالة جاءت من مصدر معروف، بل في تحديد ما إذا كان من الآمن اتباع تلك الرسالة في هذه اللحظة بالذات. قد يكون الأمر صحيحًا تمامًا من الناحية التقنية —موقعًا بمفتاح رقمي صحيح— ومع ذلك قد يكون خطيرًا إذا كانت مستشعرات الموقع الخاصة بالطائرة تفشل، أو إذا كانت بطاريتها منخفضة، أو إذا لم يعد الشخص الذي أرسل الأمر موثوقًا به. تعالج هذه الورقة الفجوة بين الأمن التشفيري والسلامة الفيزيائية، وتقترح نظامًا يعامل كل أمر وارد كخطر محتمل حتى يجتاز فحصًا صارمًا متعدد الطبقات. لقد بنى الباحثون إطار عمل يعمل كحارس بوابة، يضمن عدم تنفيذ الطائرة المسيرة لأي تعليمات عن بُعد ما لم يتوافق سياق طيرانها بالكامل، وحالتها الصحية، ومستوى الثقة في المرسل بشكل مثالي.

يركز العمل على أسراب الطائرات المسيرة ذاتية القيادة التي تعمل في بيئات محرومة من نظام تحديد المواقع العالمي (GPS)، حيث لا يتوفر نظام الملاحة عبر الأقمار الصناعية المعتاد. في هذه الظروف، تعتمد الطائرات المسيرة على التواصل بين النظراء والمستشعرات الموجودة على متنها للحفاظ على التشكيل وسلامة المهمة. يرى المؤلف أن نماذج الأمن التقليدية، التي غالبًا ما تتوقف عند التحقق من التوقيع الرقمي، غير كافية للآلات الفيزيائية. فالتوقيع يثبت من أرسل الرسالة، لكنه لا يثبت أن الرسالة آمنة للتنفيذ. ولحل هذه المشكلة، طور الباحثون "مشرفًا وقتيًّا" يعمل بمبدأ "الإغلاق عند الفشل" (fail-closed). هذا المشرف عبارة عن قطعة برمجية تراقب باستمرار الحالة الداخلية للطائرة والبيئة الخارجية المحيطة بها. إنه ينظر في تسعة عوامل متميزة، بما في ذلك جودة الاتصال اللاسلكي، والثقة في تقدير موقع الطائرة الخاص، ومستوى البطارية، ومدى موثوقية الجهة التي تصدر الأمر. وبناءً على هذه المدخلات، يخصص النظام للطائرة حالة أمنية واحدة من تسع حالات محددة، تتراوح من الثقة الكاملة إلى العزل الفوري.

يعمل النظام وفق مبدأ التسلسل الهرمي الصارم. فإذا اكتشفت الطائرة فشلاً حرجًا، مثل انخفاض البطارية تحت حد آمن أو فقدان مفاجئ للاتصال، فإنها تدخل فورًا في حالة تتجاهل فيها جميع الأوامر عن بُعد وتنفذ مناورة سلامة مبرمجة مسبقًا، مثل الهبوط أو العودة إلى المنزل. هذا القرار تلقائي ولا يمكن تجاوزه من قبل مشغل عن بُعد، حتى لو كان ذلك المشغل موثوقًا به. قام الباحثون بتنفيذ هذا المنطق في منصة برمجية بلغة ++C واختبروه ضد سيناريوهات مختلفة. ووجدوا أن النظام نجح في رفض الأوامر التي كانت صالحة تقنيًا ولكنها غير آمنة سياقيًا. فعلى سبيل المثال، إذا انخفضت الثقة في موقع الطائرة دون حد معين، فإن النظام سيرفض أمر الحفاظ على التشكيل، حتى لو جاء الأمر من قائد موثوق وكان حديثًا. وبالمثل، إذا اكتشف النظام علامات على هجوم إعادة الإرسال (replay attack) —حيث يتم إرسال أمر قديم وصالح مرة أخرى لإرباك الطائرة— فإنه ينتقل إلى حالة "الاشتباه" ويحظر التحكم عن بُعد.

تتمثل إحدى النتائج الرئيسية للدراسة في أن درجة واحدة مركبة لـ "الصحة" ليست كافية لاتخاذ هذه القرارات. فقد أظهر الباحثون أن الاعتماد على متوسط مرجح لعوامل مختلفة قد يكون خطيرًا. فعلى سبيل المثال، قد تمتلك طائرة مسيرة بطارية ممتازة وثقة عالية في المرسل، ومع ذلك قد يكون اتصالها اللاسلكي سيئًا للغاية. إذا نظر النظام فقط إلى متوسط الدرجات، فقد يسمح بمرور أمر رغم وجود رابط مكسور. بدلاً من ذلك، يستخدم هذا الإطار عتبات صلبة؛ فإذا انخفض الرابط اللاسلكي عن جودة معينة، أو إذا انخفضت درجة الثقة في المرسل عن رقم محدد، يفرض النظام قيودًا فورية على السلطة، بغض النظر عن مدى جودة الأرقام الأخرى. وهذا يضمن أن الفشل في مجال حيوي واحد لا يمكن حجبه بالنجاح في مجال آخر. كما يتتبع النظام "أدلة التلاعب"، حيث يجمع نقاطًا لأنواع مختلفة من الشذوذ مثل الرسائل المعاد إرسالها أو عدم تطابق التوقيت. وإذا تراكمت أدلة كافية، تنتقل الطائرة إلى حالة تعتمد فيها فقط على أنظمة السلامة المحلية الخاصة بها.

اختبر الباحثون إطارهم البرمجي باستخدام مستودع من اختبارات الوحدة ومحاكاة السيناريوهات. وقد أكدوا أن النظام رفض بنجًا الرسائل المتلاعب بها، والأوامر المعاد إرسالها، والتعليمات من مرسلين ذوي درجات ثقة منخفضة. كما قاموا بقياس الوقت الذي استغرقه البرنامج لإجراء هذه الفحوصات الأمنية. وأظهرت النتائج أن مسار المصادقة استغرق وسيطًا قدره 12.219 مللي ثانية، بمتوسط قدره 22.603 مللي ثانية. وبينما يعد هذا سريعًا بما يكفي للعديد من التطبيقات البرمجية، إلا أن المؤلف يشير بحذر إلى أن هذه الأرقام تأتي من محاكاة حاسوبية محلية ولا تمثل ضمانًا معتمدًا في الوقت الفعلي لأجهزة الطيران الفعلية. وتذكر الدراسة صراحةً أنها لا تتضمن اختبارات طيران فيزيائية، أو تجارب تشويش راديوي، أو براهين رياضية رسمية على كمال الكود. بدلاً من ذلك، فهي تقدم نموذجًا صريحًا رياضيًا ومبنيًا على البرمجيات لكيفية تحويل الأدلة الأمنية إلى سلطة تحكم فيزيائية.

يتضمن الإطار أيضًا استثناءً خاصًا لأوامر الطوارئ. فإذا تم تصنيف أمر ما على أنه هبوط اضطراري، فإن النظام يسمح له بتجاوز بعض فحوصات الثقة وحداثة البيانات المعتادة، بشرط أن يكون قد اجتاز عملية التحقق التشفيري الأولية. هذا الخيار التصميمي يعطي الأولوية للسلامة الفيزياسية الفورية على الالتزام الصارم بالبروتوكول، مدركًا أنه في حالات الأزمات، يكون الأمر الموثق للهبوط أكثر أهمة من الأمر بالانتظار لمزيد من التأكيد. ومع ذلك، فإن هذا الاستثناء مراقب بدقة؛ فهو يعمل فقط إذا جاءت الرسالة عبر القناة الآمنة والموثقة. ويؤكد الباحثون أن تجاوز الطوارئ هذا هو حدود ثقة متعمدة يجب إدارتها بعناقة.

في النهاية، يوضح هذا العمل أنه بالنسبة للآلات ذاتية القيادة، لا يقتصر الأمن على منع المخترقين فحًا، بل يتعلق بضمان معرفة الآلة متى تقول "لا". يخلق النظام المقترح سلسلة دفاع متعمق حيث يجب أن يمر الأمر عبر المصادقة، وفحوصات الحداثة، وتقييم الثقة، وقيود السلامة قبل أن يؤثر على محركات الطائرة. ومن خلال الفصل بين سؤال "من أرسل هذا" وسؤال "هل يجب أن نفعل هذا"، أنشأ الباحثون نموذجًا يمكن أن يجعل الأسراب ذاتية القيادة أكثر مرونة تجاه الهجمات السيبرانية والفشل الفيزيائي على حد سواء. وتخلص الدراسة إلى أنه بينما يعد المنطق البرمجي سليمًا ورفض الأوامر غير الآمنة حتميًا، فإن التحقق الكامل من هذا النهج يتطلب عملًا مستقبليًا يتضمن اختبارات الأجهزة وسيناريوهات الخصوم في العالم الحقيقي. وفي الوقت الحالي، يظل هذا العمل بمثابة مخطط برمجي واضح لكيفية حفاظ الأنظمة ذاتية القيادة على سلامتها عندما يصبح العالم من حولها غير مؤكد.