A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

Resumen Técnico: Un Punto de Referencia de Resiliencia Cibernética Centrado en la Misión para la Operación de Vigilancia Silenciosa de Arquitecturas de Potencia de Plataformas Terrestres Electrificadas

Declaración del Problema
La electrificación de las plataformas terrestres militares introduce una nueva superficie de amenaza para los planificadores de misiones, particularmente durante las operaciones de "vigilancia silenciosa" donde el motor está apagado y las cargas de la misión deben sostenerse únicamente con la energía almacenada en las baterías. En este modo, un controlador supervisor arbitra entre las cargas críticas (por ejemplo, sensores, comunicaciones) y las cargas desechables (por ejemplo, control climático) basándose en el estado de carga (SOC) percibido. Si un adversario compromete la percepción del supervisor del estado, específicamente mediante la suplantación del SOC, la plataforma puede perder la autonomía y el servicio de cargas críticas incluso si el hardware físico permanece intacto. Aunque investigaciones anteriores han establecido la viabilidad técnica de tales ataques en vehículos civiles y sistemas de energía, existe una falta de un punto de referencia compacto que evalúe estos ataques ciberfísicos basándose en sus consecuencias directas para los objetivos de la misión (como la autonomía y la continuidad de las cargas críticas) en lugar de únicamente en métricas de detección de intrusos.

Metodología
Los autores proponen un punto de referencia a nivel de arquitectura de orden reducido diseñado para evaluar la resiliencia cibernética en escenarios de vigilancia silenciosa. El sistema se modela como un sistema de fuente-almacenamiento-carga-control centrado en un bus de corriente continua (DC) con una batería, una fuente auxiliar opcional (mantenida en cero para la vigilancia silenciosa) y cargas descompuestas.

• Modelo de Amenaza: La amenaza principal es la inyección de un sesgo positivo en la medición del SOC ($s_m$) recibida por el supervisor. Esto hace que el supervisor sobreestime la energía disponible, retrasando el descarte protector de las cargas no críticas. Se prueban dos variantes de ventana de ataque: una ventana continua única y una variante de múltiples ventanas.
• Modelo de Defensa: La capa de defensa emplea un detector basado en residuos que compara la medición sesgada ($s_m$) contra una estimación propagada independientemente ($\hat{s}$) derivada del balance de potencia medido de la batería. Si el residuo supera un umbral durante una ventana de confirmación, un controlador de respaldo activa un descarte agresivo de la carga desechable restante.
• Marco de Evaluación: El punto de referencia compara tres casos de referencia:
  1. Nominal: Sin ataque, sin defensa.
  2. Atacado: Ataque activo, sin defensa.
  3. Defendido: Ataque activo, con detección de residuos y descarte de respaldo.
• Métricas: Se registran cuatro métricas orientadas a la misión: autonomía de vigilancia silenciosa (tiempo hasta la abortación de la misión), ratio de carga crítica servida, duración de voltaje inseguro (tiempo transcurrido por debajo de los rangos de voltaje seguro) y tiempo hasta la detección.
• Implementación: El punto de referencia se implementa tanto en un modelo de referencia de MATLAB como en un modelo de Simulink. Un arnés de regresión verifica la paridad entre ambos en cinco escenarios para asegurar una base verificada por software para futuras pruebas de Hardware en el Bucle (HIL) con OPAL-RT y EXataCPS.

Contribuciones Clave

1. Formulación de un Punto de Referencia Centrado en la Misión: El artículo formula un punto de referencia que vincula la suplantación del SOC directamente con los resultados de la misión (autonomía, servicio de cargas críticas) en lugar de evaluar los ataques únicamente a través de la respuesta del detector o el error de control.
2. Caracterización del Envolvente de Sigilo versus Impacto: El estudio caracteriza una estructura de tres regímenes bajo barridos de sesgo de SOC:
   • Régimen de Sigilo: Sesgos pequeños permanecen por debajo del nivel de ruido del detector con un impacto de misión negligible.
   • Régimen de Retraso: Sesgos intermedios activan la detección pero causan un déficit de autonomía acotado por una expresión de forma cerrada derivada que involucra la magnitud del sesgo, la potencia descartada y el consumo promedio de la batería.
   • Régimen de Ceguera Total: Sesgos grandes (que exceden la diferencia entre los umbrales de SOC de advertencia y crítico) desactivan por completo la protección impulsada por el SOC.
3. Restricción de Diseño de la Profundidad de Respaldo: El artículo identifica que el valor de la defensa depende de la profundidad de la acción de respaldo. Demuestra que una fracción de descarte de respaldo subdimensionada puede resultar en un caso "Defendido" que funciona peor que el caso "Atacado" (acumulando más exposición a voltaje inseguro) hasta que la fracción descartada supera un umbral específico (aproximadamente 0.4 en la configuración reportada).

Resultados

• Comparación Principal: Bajo un ataque de sesgo grande ($b_a = 0.50$), el caso "Atacado" redujo la autonomía en aproximadamente 5 minutos y más que duplicó la exposición a voltaje inseguro en comparación con el caso "Nominal". El caso "Defendido", utilizando una latencia de detección de 5 segundos, eliminó por completo la exposición a voltaje inseguro y extendió la autonomía más allá del caso Nominal al restaurar el servicio de cargas críticas a la unidad.
• Análisis de Regímenes: El límite de autonomía de forma cerrada para el régimen de retraso predijo con precisión los resultados de la simulación con desviaciones inferiores a un minuto. La transición al régimen de ceguera total ocurre cuando el sesgo excede el margen entre los umbrales de SOC de advertencia y crítico.
• Sensibilidad de la Defensa: El análisis de sensibilidad reveló que si la fracción de descarte de respaldo es demasiado baja (por ejemplo, 0.2), la defensa falla en elevar el voltaje del bus fuera de la banda insegura, lo que lleva a 810 segundos de exposición insegura en comparación con 516 segundos en el caso indefenso. Se requiere una fracción descartada superior a 0.4 para que la defensa supere al caso indefenso, y 0.6 es necesario para eliminar la exposición insegura para la magnitud de sesgo probada.
• Verificación de Software: Las implementaciones de MATLAB y Simulink mostraron una paridad exacta en las métricas de misión y diferencias de trayectoria de cero a la precisión reportada, validando el modelo para un futuro despliegue HIL.

Significado y Afirmaciones
El artículo afirma llenar una brecha en la investigación de seguridad ciberfísica al proporcionar un punto de referencia que permite a los planificadores de misiones y desarrolladores de defensa comparar ataques y defensas sobre una base común orientada a la misión. Argumenta que para las operaciones de vigilancia silenciosa, la pregunta crítica no es meramente si se detecta una intrusión, sino si la plataforma puede aún completar su tarea asignada.

Los autores enmarcan modestamente los resultados como cambios en las métricas de autonomía y servicio en relación con un modelo fijo de orden reducido, en lugar de predicciones absolutas para una plataforma de vehículo específica. El significado principal radica en demostrar que:

1. La suplantación del SOC crea un envolvente de ataque estructurado y aproximado analíticamente.
2. La detección por sí sola es insuficiente; la profundidad de la acción de respaldo es una variable de diseño arquitectónico crítica.
3. Existe una base verificada por software para apoyar futuras pruebas HIL de alta fidelidad de bucles de supervisión de vigilancia silenciosa contra adversarios coordinados de múltiples canales.