Wide-Area GNSS Spoofing and Jamming Detection Using AIS-Derived Spatiotemporal Integrity Monitoring

Die Studie stellt ein dreistufiges Framework vor, das durch Vorfilterung von AIS-Kommunikationsfehlern und anschließende kinematische sowie räumlich-zeitliche Analyse in der Lage ist, GNSS-Spoofing und -Jamming im maritimen Bereich zuverlässig zu erkennen und dabei die Fehlalarmrate um 98,6 % zu senken.

Das Wesentliche

Stellen Sie sich vor, Sie sind der Kapitän eines riesigen Schiffes und navigieren durch einen dichten Nebel. Ihre einzige Orientierungshilfe ist ein Funkgerät, das Ihnen sagt, wo Sie sind und wo andere Schiffe sind. Dieses System heißt AIS (Automatic Identification System). Es ist wie ein digitales Namensschild, das jedes Schiff automatisch sendet.

Aber was passiert, wenn jemand dieses Funkgerät manipuliert? Oder wenn das GPS-Signal gestört wird? Das ist das Problem, das diese Forscher aus Südkorea lösen wollten. Sie haben eine neue Methode entwickelt, um zu erkennen, ob jemand das GPS-System von Schiffen gestört (Jamming) oder gefälscht (Spoofing) hat.

Hier ist die Geschichte ihrer Lösung, einfach erklärt mit ein paar bildhaften Vergleichen:

1. Das Problem: Der "Lärm" im Funkverkehr

Stellen Sie sich vor, Sie versuchen, eine wichtige Nachricht in einem lauten Stadion zu hören. Das Problem ist nicht nur, dass jemand die Lautsprecher manipuliert (das wäre die echte Störung), sondern dass im Stadion auch viele andere Dinge schreien:

• Jemand ruft denselben Namen wie ein anderer (doppelte Namen).
• Jemand wiederholt eine Nachricht, die er vor 10 Minuten schon gesagt hat, aber mit einem neuen Datum (alte Nachrichten).
• Ein einzelnes Schiff hat ein kaputtes GPS und zeigt plötzlich an, es sei auf dem Mond, während alle anderen Schiffe normal fahren.

Frühere Methoden haben oft alles als "Gefahr" gemeldet. Das führte zu einer Flut von Fehlalarmen. Es war, als würde der Feuerwehrmann bei jedem Rauchgeruch aus dem Ofen ausrücken, statt nur bei einem echten Brand.

2. Die Lösung: Ein dreistufiger Filter

Die Forscher haben ein intelligentes System gebaut, das wie ein drei-stufiger Sieb funktioniert, um den echten "Brand" vom "Ofenrauch" zu trennen.

Stufe 1: Der "Kleber-Entferner" (Kommunikations-Check)

Zuerst schaut sich das System an, ob die Nachrichten selbst "kaputt" sind.

• Das Szenario: Wenn zwei Schiffe denselben Namen (MMSI) haben und plötzlich an zwei verschiedenen Orten gleichzeitig auftauchen, ist das physikalisch unmöglich. Das ist wie wenn zwei Personen denselben Personalausweis nutzen und gleichzeitig in Berlin und München gesehen werden.
• Die Lösung: Das System erkennt diese "doppelten Namen" oder "wiederholten alten Nachrichten" sofort und wirft sie weg. Es sagt: "Das ist kein GPS-Hack, das ist nur ein technischer Fehler im Funkgerät."

Stufe 2: Der "Körper-Check" (Bewegungs-Analyse)

Was übrig bleibt, sind Schiffe, die sich seltsam bewegen. Aber ist es ein kaputtes Schiff oder ein Hacker?

• Das Szenario: Ein Schiff macht plötzlich einen Sprung von 100 Metern in einer Sekunde. Das ist unmöglich für ein echtes Schiff.
• Die Lösung: Das System nutzt einen mathematischen "Körpertrainer" (einen Filter namens IMM), der berechnet: "Könnte ein Schiff das physikalisch machen?" Wenn ein Schiff sich wie ein Geisterfahrer verhält, aber nur dieses eine Schiff betroffen ist, markiert das System es als "kaputtes Schiff" (Sensor-Fehler) und nicht als "Hacker".

Stufe 3: Der "Menschenansammlung"-Detector (Muster-Erkennung)

Jetzt kommt der wichtigste Teil. Was passiert, wenn viele Schiffe gleichzeitig seltsam werden?

• Das Szenario: Plötzlich zeigen 11 Schiffe in einem Umkreis von 20 Kilometern alle gleichzeitig an, sie seien an einem falschen Ort (z. B. mitten im Meer, statt im Hafen). Oder alle 11 Schiffe verlieren plötzlich gleichzeitig ihr GPS-Signal.
• Die Lösung: Hier schlägt das System Alarm! Wenn nur ein Schiff verrückt spielt, ist es ein kaputtes Schiff. Wenn aber viele Schiffe im selben Gebiet zur selben Zeit verrückt spielen, ist das wie ein Sturm, der über den ganzen Wald geht. Das ist der Beweis für einen echten GPS-Hack oder eine GPS-Störung.

3. Das Ergebnis: Weniger Panik, mehr Sicherheit

Die Forscher haben dieses System mit fast 1 Milliarde Schiffsnachrichten aus den Küstengewässern Südkoreas getestet.

• Ohne ihr System: Es wären Tausende von Fehlalarmen entstanden. Man hätte gedacht, es gäbe überall Hacker.
• Mit ihrem System: Sie haben den "Lärm" herausgefiltert. Am Ende blieben nur 17 echte Fälschungen und 343 echte Störungen übrig.
• Der Gewinn: Sie haben die falschen Alarme um 98,6 % reduziert!

Zusammenfassung in einem Satz

Stellen Sie sich vor, Sie haben einen riesigen Raum voller Menschen, die alle ihre Position per Funk melden. Wenn einer stolpert, ist das sein Problem. Wenn aber plötzlich 50 Menschen gleichzeitig in die falsche Richtung laufen oder alle gleichzeitig verstummen, wissen Sie: Da ist jemand im Raum, der die Lichter ausmacht oder die Menschen manipuliert. Genau das macht dieses neue System – es unterscheidet zwischen dem stolpernden Einzelnen und dem manipulierenden Ganzen.

Dieses System ist ein großer Schritt, um die Schifffahrt sicherer zu machen, ohne dass man teure neue Sensoren an Bord installieren muss. Es nutzt einfach die Daten, die ohnehin schon da sind, und macht sie schlauer.

Technische Zusammenfassung

Hier ist eine detaillierte technische Zusammenfassung des Papers „Wide-Area GNSS Spoofing and Jamming Detection Using AIS-Derived Spatiotemporal Integrity Monitoring" auf Deutsch:

1. Problemstellung

Die Integrität von Positions-, Navigations- und Zeitinformationen (PNT) ist für die maritime Sicherheit entscheidend. Da die Positionsdaten des Automatic Identification System (AIS) fast ausschließlich auf unverschlüsselten GNSS-Signalen basieren, sind sie anfällig für Störungen wie Spoofing (gezielte Manipulation der Position) und Jamming (Störsignale, die den Empfang unterbrechen).

Ein zentrales Problem bei der Detektion solcher Störungen mittels AIS-Daten ist die hohe Rate an falschen Alarmen. AIS-Nachrichten enthalten häufig kommunikationsschichtbedingte Defekte, die Spoofing oder Jamming imitieren, aber keine echte GNSS-Störung darstellen. Dazu gehören:

• MMSI-Duplizierung: Verschiedene Schiffe nutzen dieselbe Identifikationsnummer (MMSI), was zu physikalisch unmöglichen Positionsprüngen führt.
• Zeitstempel-Verzögerungen: Retransmission alter Daten durch Pufferung oder Synchronisationsfehler erzeugt scheinbare Rückwärtsbewegungen oder verdoppelte Positionen.
• Schiffsinterne Sensorfehler: Einzelne Schiffe können aufgrund von GNSS-Empfängerproblemen oder Mehrwegeeffekten anomal verhalten, ohne dass eine regionale Störung vorliegt.

Bestehende Methoden analysieren oft nur einzelne Schiffsbahnen oder nutzen reine Daten-getriebene Ansätze, die diese Kommunikationsartefakte nicht von echten GNSS-Störungen unterscheiden können. Zudem wird Jamming (Ausfall von Positionsberichten) von vielen Algorithmen übersehen, da sie auf kinematischen Abweichungen basieren und nicht auf Berichtslücken.

2. Methodik

Die Autoren schlagen ein dreistufiges, hierarchisches Framework vor, das AIS-Daten verarbeitet, um echte GNSS-Störungen von Artefakten zu trennen. Der Prozess läuft wie folgt ab:

Stufe 1: Kommunikationsintegritäts-Diagnostik (Pre-Filtering)

Bevor eine Anomalieanalyse beginnt, werden Daten, die aus Kommunikationsfehlern stammen, explizit identifiziert und entfernt:

• MMSI-Duplizierung: Es wird geprüft, ob dieselbe MMSI in überlappenden Zeitfenstern an räumlich getrennten Orten (außerhalb physikalisch möglicher Schiffsbewegungen) auftritt. Wenn mehrere konsistente Untertracks für dieselbe MMSI gefunden werden, wird dies als Duplizierung klassifiziert und entfernt.
• Verzögerte Retransmission: Es wird nach identischen Navigations-Tupeln (Position, Geschwindigkeit, Kurs) gesucht, die mit verzögerten Zeitstempeln erneut gesendet werden. Diese werden als „Stale-Data" markiert und verworfen.

Stufe 2: Generierung von Anomalie-Indikatoren (Anomaly Cue Generation)

Die verbleibenden Daten werden analysiert, um Hinweise auf potenzielle Störungen zu extrahieren, ohne sie sofort zu klassifizieren:

• Kinematische Inkonsistenzen: Ein Interacting Multiple Model (IMM)-Filter (kombiniert aus Constant Velocity und Constant Turn Rate & Velocity Modellen) wird angewendet. Große Residuen zwischen der gemessenen AIS-Position und dem vorhergesagten physikalischen Zustand deuten auf kinematische Anomalien hin (z. B. durch Spoofing oder Sensorfehler).
• Übertragungsunterbrechungen (Jamming): Für jedes Schiff wird der Median der Meldeintervalle berechnet. Signifikante Lücken in der Berichterstattung (über einem Schwellenwert von 60 Sekunden oder dem 3-fachen des Median-Intervalls) werden als potenzielle Jamming-Indikatoren gespeichert.

Stufe 3: Räumlich-zeitliches Clustering und Kategorisierung

Alle verbleibenden Anomalie-Indikatoren werden mit dem ST-DBSCAN-Algorithmus (Spatiotemporal DBSCAN) analysiert. Dieser gruppiert Anomalien basierend auf räumlicher Nähe (10 km) und zeitlicher Kohärenz (30 min).

• Einzel-Schiff-Cluster: Anomalien, die nur ein Schiff betreffen, werden als Sensor-Integritätsartefakte (persistent oder transient) klassifiziert.
• Multi-Schiff-Cluster: Anomalien, die mehrere Schiffe (mindestens 5 verschiedene MMSIs, wobei >60% der Schiffe betroffen sind) innerhalb desselben räumlich-zeitlichen Fensters betreffen, werden als echte GNSS-Störungen interpretiert:
  • Koordinierte Bahnverzerrung: Klassifiziert als GNSS-Spoofing.
  • Synchronisierte Berichtslücken: Klassifiziert als GNSS-Jamming.

3. Wichtige Beiträge

1. Trennung von Kommunikations- und Sensorebene: Das Paper ist einer der ersten Ansätze, der Kommunikationsartefakte (MMSI-Duplizierung, Retransmission) explizit als eigene Kategorie identifiziert und vor der eigentlichen Störungsdetektion entfernt. Dies reduziert die False-Positive-Rate drastisch.
2. Einheitliche Detektion von Spoofing und Jamming: Im Gegensatz zu vielen früheren Arbeiten, die sich nur auf kinematische Abweichungen (Spoofing) konzentrieren, integriert das Framework auch die Analyse von Übertragungsunterbrechungen, um Jamming-Ereignisse zu erkennen.
3. Kohärenz-basierte Validierung: Durch die Anforderung an die räumlich-zeitliche Kohärenz über mehrere Schiffe hinweg wird sichergestellt, dass nur regionale Ereignisse als Störungen gewertet werden, was lokale Sensorfehler ausschließt.
4. Skalierbarkeit: Das System wurde mit fast 966 Millionen AIS-Nachrichten aus koreanischen Küstengewässern getestet, was die Machbarkeit bei großen Datenmengen demonstriert.

4. Ergebnisse

Das Framework wurde an einem Datensatz vom 1. November bis 30. Dezember 2024 getestet:

• Reduktion der Fehlalarme: Im Vergleich zu einer naiven Clustering-Methode ohne Vorfilterung reduzierte das System die False Alarms um 98,6 %.
• Detektierte Ereignisse:
  • 17 Spoofing-Cluster: Koordinierte Positionsverzerrungen bei mehreren Schiffen.
  • 343 Jamming-Cluster: Synchronisierte Berichtslücken bei mehreren Schiffen.
• Klassifizierungsgenauigkeit: Die meisten initialen Anomalien (über 99 %) wurden korrekt als Kommunikationsfehler oder einzelne Sensorprobleme identifiziert und verworfen.
• Fallstudien: Das Paper zeigt konkrete Beispiele, wie das System MMSI-Duplizierung (die sonst wie massive Spoofing-Ereignisse aussah) und einzelne Schiffssensorfehler erfolgreich von echten regionalen Störungen unterscheidet.

5. Bedeutung und Ausblick

Diese Forschung zeigt, dass AIS-Daten, wenn sie korrekt vorverarbeitet werden, eine kosteneffiziente und skalierbare Alternative zu dedizierten GNSS-Überwachungsinfrastrukturen darstellen können.

• Praktische Relevanz: Die Methode ermöglicht die Erkennung von Störungen in Gebieten, in denen keine speziellen Sensoren installiert sind, und hilft Behörden, die Integrität der maritimen Navigation zu überwachen.
• Herausforderungen: Die Validierung bleibt schwierig, da echte GNSS-Störungen oft nicht gemeldet werden. Zukünftige Arbeiten sollten auf Echtzeit-Monitoring, die Validierung in verschiedenen Regionen und die Integration zusätzlicher Sensordaten (z. B. ADS-B oder bodengestützte GNSS-Stationen) abzielen.

Zusammenfassend bietet das vorgestellte Framework einen robusten, interpretierbaren und datengetriebenen Ansatz, um die Lücke zwischen AIS-Datenqualität und der zuverlässigen Erkennung von GNSS-Bedrohungen zu schließen.