Resilience Through Escalation: A Graph-Based PACE Architecture for Satellite Threat Response

1. Problématique

Les systèmes satellitaires modernes opèrent dans un environnement de plus en plus hostile, caractérisé par des menaces dynamiques et multi-vectorielles telles que le brouillage (jamming), les cyberattaques, le spoofing de signaux et les perturbations électromagnétiques (EMP).

• Limites des approches actuelles : Les stratégies de redondance traditionnelles (ex: N+1, Redondance Modulaire Triple - TMR) sont principalement statiques. Elles sont efficaces contre les pannes aléatoires mais échouent face à des attaques coordonnées ou adaptatives, car elles peuvent subir des défaillances en mode commun (common mode failures) où toutes les unités redondantes sont compromises simultanément.
• Manque d'intégration décisionnelle : Les modèles de menaces existants (comme les matrices de risque de la NASA, CVSS, DREAD) sont souvent utilisés isolément pour l'évaluation des risques, mais ne sont pas intégrés aux systèmes de prise de décision embarqués en temps réel pour gérer la continuité de mission.

2. Méthodologie

Les auteurs proposent un cadre de résilience « par conception » (resilience-by-design) adapté aux systèmes spatiaux, basé sur la méthodologie PACE (Primary, Alternate, Contingency, Emergency), initialement développée pour les opérations militaires.

• Modélisation par Graphes : Le système est formalisé comme un graphe orienté multi-couches $G = (S, T)$.
  • États (S) : Représentent les niveaux de résilience : Primaire (nominal), Alternatif (dégradé mais fonctionnel), Contingence (survie sous stress) et Urgence (signal de détresse ou fonctionnement minimal).
  • Transitions (T) : Les transitions entre états sont pondérées par une probabilité $p$ (liée à la sévérité de la menace) et un coût $c$ (énergie, temps de reconfiguration, perte d'utilité).
• Intégration des Menaces : Les probabilités de transition sont dynamiquement ajustées en fonction de scores de menace normalisés (dérivés de CVSS ou des matrices de risque NASA).
• Trois Variantes de PACE Implémentées :
  1. Statique : Utilise des poids de transition fixes (équivalent aux redondances classiques).
  2. Adaptative : Ajuste les probabilités et les coûts en temps réel en fonction de l'intensité du brouillage ($J_t$) et de la concurrence de récupération.
  3. $\epsilon$-Greedy (Optimisée par récompense) : Inspirée des Processus de Décision Markoviens (MDP). À chaque étape, le système choisit une transition soit aléatoirement (exploration, probabilité $\epsilon$), soit celle maximisant la récompense immédiate (utilité du nouvel état moins le coût de transition, probabilité $1-\epsilon$).
• Indice d'Évaluation : Introduction de l'Indice d'Efficacité de Redondance Dynamique (DREI), qui quantifie le compromis entre l'utilité de la mission et le coût accumulé des transitions de basculement.

3. Contributions Clés

• Adaptation du PACE : Transposition du cadre de planification militaire PACE vers les opérations satellitaires en orbite contestée.
• Modèle de Décision Piloté par la Menace : Conception d'un mécanisme de sélection de couches de repli (fallback) optimisant l'utilité de la mission et le coût opérationnel.
• Formalisation des Transitions Dynamiques : Utilisation d'un mécanisme $\epsilon$-greedy pour permettre des stratégies d'escalade et de récupération traçables et adaptatives.
• Validation par Simulation : Évaluation du modèle via des simulations de Monte Carlo (5000 essais) dans un scénario de brouillage, intégrant la probabilité de menace, le coût opérationnel et l'utilité.
• Nouvelle Métrique : Définition du DREI pour mesurer objectivement l'efficacité des stratégies de redondance dynamique.

4. Résultats

Les simulations comparant les trois variantes (Statique, Adaptative, $\epsilon$-greedy) sur un horizon de 12 pas de temps montrent des résultats significatifs :

• Performance Globale (DREI) :
  • Le modèle Statique a obtenu un DREI de 0,02, avec une utilité finale de 0,73 et un coût élevé (34,45).
  • Le modèle Adaptatif a montré une amélioration modeste (DREI de 0,04, utilité 1,04).
  • Le modèle $\epsilon$-greedy a largement surpassé les autres, atteignant un DREI de 0,09, une utilité finale de 2,08 et le coût le plus faible (23,35).
• Résilience et États Finaux :
  • Le modèle statique a conduit à 24,2 % d'échecs complets et 52,4 % d'états dégradés.
  • Le modèle $\epsilon$-greedy a réduit les échecs à 9,3 % et a maintenu 82,0 % des systèmes en état nominal, même après un événement de crise simulé.
• Stabilité : La distribution des coûts pour le modèle $\epsilon$-greedy est beaucoup plus compacte et faible que celle du modèle statique (qui présente une forte variance), indiquant une robustesse supérieure face aux conditions initiales et au timing de la crise.

5. Signification et Implications

• Au-delà de la redondance statique : L'étude démontre que la résilience ne peut être assurée par la simple duplication de composants. L'intégration de mécanismes d'adaptation en temps réel est cruciale face aux menaces coordonnées.
• Efficacité des mécanismes légers : Les stratégies de décision légères, comme les politiques $\epsilon$-greedy, offrent des gains de résilience substantiels sans nécessiter la complexité computationnelle d'un apprentissage par renforcement complet (Deep RL).
• Dégradation Gracieuse : La conception d'une architecture à plusieurs couches permet une dégradation contrôlée des fonctions, préservant la continuité de mission et évitant les défaillances catastrophiques.
• Perspectives Futures : Bien que les résultats soient prometteurs sur un scénario de brouillage, les auteurs prévoient d'étendre la validation aux cyberattaques, aux événements EMP et à des horizons temporels plus longs pour couvrir des crises multiples.

En conclusion, cette recherche propose un changement de paradigme pour la conception des satellites, passant d'une redondance passive à une résilience active et décisionnelle, capable de s'adapter dynamiquement aux environnements spatiaux contestés.