A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

Technische Zusammenfassung: Ein missionszentrischer Benchmark für Cyber-Resilienz im Silent-Watch-Betrieb elektrifizierter Bodenplattform-Leistungsarchitekturen

Problemstellung
Die Elektrifizierung militärischer Bodenplattformen führt für Missionsplaner zu einer neuen Angriffsfläche, insbesondere während „Silent-Watch"-Operationen, bei denen der Motor abgeschaltet ist und Missionslasten ausschließlich durch gespeicherte Batterienergie aufrechterhalten werden müssen. In diesem Modus arbitriert ein übergeordneter Regler zwischen kritischen Lasten (z. B. Sensoren, Kommunikation) und abwerfbaren Lasten (z. B. Klimatisierung) basierend auf dem wahrgenommenen Ladezustand (SOC). Wenn ein Angreifer die Wahrnehmung des Reglers bezüglich des Zustands kompromittiert – spezifisch durch SOC-Spoofing – kann die Plattform ihre Ausdauer und die Versorgung kritischer Lasten verlieren, selbst wenn die physische Hardware intakt bleibt. Während frühere Forschungen die technische Plausibilität solcher Angriffe bei zivilen Fahrzeugen und Stromnetzen etabliert haben, fehlt ein kompakter Benchmark, der diese cyber-physischen Angriffe anhand ihrer direkten Konsequenzen für Missionsziele (wie Ausdauer und Kontinuität kritischer Lasten) bewertet und nicht ausschließlich anhand von Intrusion-Detection-Metriken.

Methodik
Die Autoren schlagen einen reduzierten, architekturebenen Benchmark vor, der darauf ausgelegt ist, die Cyber-Resilienz in Silent-Watch-Szenarien zu bewerten. Das System wird als DC-Bus-zentriertes Quelle-Speicher-Last-Steuerungssystem modelliert, bestehend aus einer Batterie, einer optionalen Hilfsquelle (für Silent Watch auf Null gehalten) und aufgeteilten Lasten.

• Bedrohungsmodell: Die primäre Bedrohung ist die Injektion eines positiven Bias in die vom Regler empfangene SOC-Messung ($s_m$). Dies veranlasst den Regler, die verfügbare Energie zu überschätzen, was das schützende Abwerfen nicht-kritischer Lasten verzögert. Zwei Varianten von Angriffsfenstern werden getestet: ein einzelnes kontinuierliches Fenster und eine Variante mit mehreren Fenstern.
• Verteidigungsmodell: Die Verteidigungsschicht verwendet einen residualbasierten Detektor, der die verzerrte Messung ($s_m$) mit einer unabhängig propagierten Schätzung ($\hat{s}$) vergleicht, die aus der gemessenen Batterieleistungsbilanz abgeleitet wird. Wenn das Residuum während eines Bestätigungsfensters einen Schwellenwert überschreitet, löst ein Fallback-Regler ein aggressives Abwerfen der verbleibenden abwerfbaren Last aus.
• Bewertungsrahmen: Der Benchmark vergleicht drei Referenzfälle:
  1. Nominal: Kein Angriff, keine Verteidigung.
  2. Angegriffen: Angriff aktiv, keine Verteidigung.
  3. Verteidigt: Angriff aktiv, mit residualbasierter Erkennung und Fallback-Abschaltung.
• Metriken: Vier missionsbezogene Metriken werden erfasst: Silent-Watch-Ausdauer (Zeit bis zum Missionsabbruch), Verhältnis der bedienten kritischen Lasten, Dauer unsicherer Spannung (Zeit unterhalb sicherer Spannungsbänder) und Zeit bis zur Erkennung.
• Implementierung: Der Benchmark wird sowohl in einem MATLAB-Referenzmodell als auch in einem Simulink-Modell implementiert. Ein Regressions-Harness überprüft die Parität zwischen beiden über fünf Szenarien hinweg, um eine softwareverifizierte Basis für zukünftige Hardware-in-the-Loop (HIL)-Tests mit OPAL-RT und EXataCPS sicherzustellen.

Hauptbeiträge

1. Missionszentrische Benchmark-Formulierung: Das Papier formuliert einen Benchmark, der SOC-Spoofing direkt mit Missionsergebnissen (Ausdauer, Versorgung kritischer Lasten) verknüpft, anstatt Angriffe ausschließlich über die Detektorantwort oder Steuerungsfehler zu bewerten.
2. Charakterisierung des Stealth-versus-Impact-Umfelds: Die Studie charakterisiert eine Dreiregime-Struktur unter SOC-Bias-Scans:
   • Stealth-Regime: Kleine Biases bleiben unterhalb des Rauschbodens des Detektors mit vernachlässigbarem Missionsimpact.
   • Verzögerungs-Regime: Mittlere Biases lösen eine Erkennung aus, verursachen jedoch ein Ausdauerdefizit, das durch einen abgeleiteten geschlossenen Ausdruck begrenzt ist, der Bias-Magnitude, abgeworfene Leistung und durchschnittlichen Batterieverbrauch umfasst.
   • Vollblind-Regime: Große Biases (die die Differenz zwischen Warn- und kritischen SOC-Schwellenwerten überschreiten) deaktivieren die SOC-gesteuerte Sicherung vollständig.
3. Designbeschränkung für Fallback-Tiefe: Das Papier identifiziert, dass der Wert der Verteidigung von der Tiefe der Fallback-Aktion abhängt. Es wird gezeigt, dass ein zu klein dimensionierter Anteil des abgeworfenen Fallbacks zu einem „Verteidigten"-Fall führen kann, der schlechter abschneidet als der „Angegriffene"-Fall (mehr Exposition gegenüber unsicheren Spannungen ansammelnd), bis der abgeworfene Anteil einen spezifischen Schwellenwert überschreitet (in der berichteten Konfiguration etwa 0,4).

Ergebnisse

• Hauptvergleich: Unter einem großen Bias-Angriff ($b_a = 0,50$) reduzierte der „Angegriffene"-Fall die Ausdauer um ca. 5 Minuten und verdoppelte die Exposition gegenüber unsicheren Spannungen im Vergleich zum „Nominal"-Fall mehr als. Der „Verteidigte"-Fall eliminierte unter Verwendung einer 5-Sekunden-Erkennungsverzögerung die Exposition gegenüber unsicheren Spannungen vollständig und verlängerte die Ausdauer über den Nominal-Fall hinaus, indem er die Versorgung kritischer Lasten auf Eins wiederherstellte.
• Regime-Analyse: Die geschlossene Ausdauergrenze für das Verzögerungs-Regime sagte die Simulationsergebnisse mit Abweichungen unter einer Minute genau voraus. Der Übergang zum Vollblind-Regime erfolgt, wenn der Bias die Spanne zwischen den SOC-Warn- und kritischen Schwellenwerten überschreitet.
• Verteidigungssensitivität: Die Sensitivitätsanalyse ergab, dass, wenn der Anteil des abgeworfenen Fallbacks zu niedrig ist (z. B. 0,2), die Verteidigung die Busspannung nicht aus dem unsicheren Band heraushebt, was zu 810 Sekunden unsicherer Exposition führt, verglichen mit 516 Sekunden im ungeschützten Fall. Ein abgeworfener Anteil über 0,4 ist erforderlich, damit die Verteidigung den ungeschützten Fall übertrifft, und 0,6 ist erforderlich, um die unsichere Exposition für die getestete Bias-Magnitude zu eliminieren.
• Software-Verifikation: Die MATLAB- und Simulink-Implementierungen zeigten eine exakte Parität in den Missionsmetriken und Trajektorienunterschieden von Null bis zur berichteten Genauigkeit, was das Modell für den zukünftigen HIL-Einsatz validiert.

Bedeutung und Behauptungen
Das Papier behauptet, eine Lücke in der cyber-physischen Sicherheitsforschung zu schließen, indem es einen Benchmark bereitstellt, der es Missionsplanern und Verteidigungsentwicklern ermöglicht, Angriffe und Verteidigungen auf einer gemeinsamen, missionsbezogenen Basis zu vergleichen. Es argumentiert, dass für Silent-Watch-Operationen die kritische Frage nicht allein darin besteht, ob ein Eindringen erkannt wird, sondern ob die Plattform ihre zugewiesene Aufgabe noch abschließen kann.

Die Autoren rahmen die Ergebnisse bescheiden als Änderungen der Ausdauer- und Dienstmetriken relativ zu einem festen, reduzierten Modell ein, anstatt als absolute Vorhersagen für eine spezifische Fahrzeugplattform. Die primäre Bedeutung liegt im Nachweis, dass:

1. SOC-Spoofing einen strukturierten, analytisch angenäherten Angriffsraum erzeugt.
2. Eine reine Erkennung unzureichend ist; die Tiefe der Fallback-Aktion ist eine kritische architektonische Designvariable.
3. Eine softwareverifizierte Basis existiert, um zukünftige hochpräzise HIL-Tests von Silent-Watch-Überwachungsloops gegen koordinierte Mehrkanal-Angreifer zu unterstützen.