A Conditional Timing Protection Level: Holdover-Limited Undetected Time Error Under GNSS Spoofing

Resumen Técnico: Un Nivel de Protección de Tiempo Condicional para GNSS bajo Spoofing

Planteamiento del Problema
La infraestructura crítica depende cada vez más de los Sistemas Globales de Navegación por Satélite (GNSS) para una sincronización temporal precisa. Sin embargo, un ataque de spoofing coordinado y coherente presenta una amenaza única para los receptores de tiempo: puede desplazar lentamente la hora del reloj servida (una rampa de modo común) mientras mantiene una solución de posición limpia y mantiene las banderas de integridad internas del receptor en "verde". A diferencia de los errores en el dominio de la posición, que crean residuales geométricos detectables mediante el Monitoreo de Integridad de Navegación Autónoma del Receptor (RAIM), un spoofer de sincronización de tiempo coherente impulsa todos los satélites de forma coherente. Esto permite que el receptor absorba el error por completo en su estimación de reloj, sin dejar residuales de rango que lo limiten. En consecuencia, un receptor puede reportar una alta precisión de tiempo (p. ej., 51 ns) mientras sirve en realidad un error de tiempo órdenes de magnitud mayor (p. ej., ~1 ms). El artículo aborda la falta de un límite cuantitativo sobre el error de tiempo no detectado bajo tales ataques.

Metodología
Los autores emplean un enfoque de tres vertientes que combina el análisis de datos de campo, pruebas de imposibilidad teórica y un marco de limitación condicional:

1. Medición de Campo: Utilizando un conjunto de datos públicos de la campaña JammerTest 2024, los autores reconstruyeron la trayectoria de la solución del reloj de un receptor u-blox ZED-F9P de grado de topografía. Resolvieron el desfase del reloj utilizando pseudorangos L1 brutos, una posición de doble banda limpia y fija, y efemérides transmitidas, comparando el resultado contra una extrapolación de holdover del segmento previo al ataque.
2. Análisis Teórico: El artículo establece un resultado de imposibilidad respecto a los límites incondicionales. Demuestra que contra un adversario libre de elegir la tasa de rampa, un monitor asistido por reloj autorreferencial (uno que compara la solución actual con una referencia disciplinada) no puede limitar el error. Una rampa suficientemente lenta mantiene la referencia disciplinada "en sincronía" con el ataque, evitando cualquier alarma mientras el error integrado crece sin límite.
3. Construcción del Límite Condicional: Para superar la imposibilidad, los autores proponen un Nivel de Protección de Tiempo (TPL). Este es un límite condicional que se sostiene dado la detección por parte de un monitor de consistencia entre satélites independiente y libre de modelos. El TPL se define como la suma de dos términos:
   • Piso de Detectabilidad: El piso de desfase estático de $k$-sigma del monitor entre satélites (el error máximo que el monitor no logra señalar).
   • Incertidumbre de Holdover: La incertidumbre de la deriva del oscilador (varianza de error de fase) acumulada durante la latencia de detección ($\tau_{det}$), calculada mediante la integración de la matriz exponencial de van Loan de las densidades espectrales de potencia del oscilador (derivadas de la desviación de Allan medida).

Contribuciones Clave

1. Cuantificación de la Brecha Empírica: El estudio documenta un ataque real donde un receptor sirvió un error de tiempo de aproximadamente 1.01 ms mientras reportaba una precisión declarada de 51 ns. Esto representa una brecha entre la afirmación y la realidad de aproximadamente $2 \times 10^4$, demostando que la autoevaluación estándar del receptor es insuficiente para la integridad de tiempo bajo spoofing coherente.
2. Observación de Imposibilidad: El artículo argumenta formalmente que no existe un límite incondicional finito para el error de tiempo no detectado bajo un único monitor autorreferencial contra una rampa de tasa no restringida. Esto requiere un enfoque condicional.
3. El Nivel de Protección de Tiempo (TPL): Los autores definen y calibran un límite condicional. El TPL es un "presupuesto de holdover" que representa el error máximo que puede acumularse después de que un monitor libre de modelos dispare una alarma pero antes de que el sistema se recupere.
   • Calibración: En el ataque registrado, el TPL se calculó en 114 ns para una latencia de recuperación de 1 segundo y 458 ns para una latencia de 60 segundos (con una banda barrida hasta 1205 ns para contabilizar la incertidumbre de ruido rojo de largo tau).
   • Comparación: Estos valores son de 2,200 a 8,800 veces menores que el error de 1.01 ms que el receptor aceptó silenciosamente.
4. Análisis del Desempeño del Monitor: El estudio contrasta dos estrategias de monitoreo:
   • Prueba Secuencial Asistida por Reloj (CUSUM): En la rampa lenta registrada, esta prueba proporcionó esencialmente ninguna protección (factor de protección de 1x), alertando solo después de que ya se habían acumulado ~993 µs de error.
   • Consistencia entre Satélites Libre de Modelos: Este monitor detectó el ataque durante la rampa (minutos antes de la captura) al identificar inconsistencias diferenciales que un spoofer coherente no podía suprimir perfectamente.

Resultos y Significado
El artículo concluye que, si bien la bandera de integridad interna de un receptor no es un límite de seguridad, un límite condicional es alcanzable. El TPL proporciona un límite reproducible y de forma cerrada de la estimación del error de tiempo máximo, siempre que un monitor de consistencia entre satélites libre de modelos esté activo y se conozcan las características de holdover del oscilador.

Los autores son explícitos sobre las limitaciones y fronteras de sus afirmaciones:

• Naturaleza Condicional: El límite es estrictamente condicional a que el monitor libre de modelos detecte el ataque. El artículo no caracteriza la probabilidad de no detección de este monitor contra un adversario óptimamente coherente.
• Sin Presupuesto de Riesgo de Integridad: A diferencia de los niveles de protección de la aviación, el TPL no conlleva un presupuesto certificado de riesgo de integridad por hora (p. ej., $10^{-7}$/hr). Es un límite de ingeniería basado en primitivas calibradas, no una garantía certificada.
• Calibración vs. Validación: El límite se calibra en un único ataque registrado y en un receptor/oscilador específico. No ha sido validado en campo contra errores de tiempo de verdad fundamental en una población de receptores y ataques.
• Incertidumbre de Largo Coasting: Para latencias de detección largas, el límite está gobernado por el piso de ruido rojo de largo tau del oscilador, que se reporta como una banda barrida en lugar de un valor escalar único.

La importancia de este trabajo radica en el cambio de paradigma: de buscar un imposible límite incondicional a proporcionar un riguroso "presupuesto de holdover" condicional que cuantifica el riesgo durante la fase de recuperación de un evento de spoofing. La construcción, incluyendo el simulador Kshana y los ejemplos de calibración, es de código abierto para facilitar la reproducibilidad y la investigación adicional sobre la detectabilidad del monitor y la cobertura empírica.