A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

Résumé technique : Un référentiel de résilience cybernétique centré sur la mission pour l'opération de veille silencieuse des architectures de puissance des plateformes terrestres électrifiées

Énoncé du problème
L'électrification des plateformes terrestres militaires introduit une nouvelle surface de menace pour les planificateurs de mission, en particulier lors des opérations de « veille silencieuse » où le moteur est à l'arrêt et où les charges de mission doivent être soutenues exclusivement par l'énergie stockée dans les batteries. Dans ce mode, un contrôleur superviseur arbitre entre les charges critiques (par exemple, capteurs, communications) et les charges délestables (par exemple, climatisation) en fonction de l'état de charge (SOC) perçu. Si un adversaire compromet la perception du superviseur de l'état — spécifiquement par une falsification du SOC — la plateforme peut perdre son autonomie et la prestation de services aux charges critiques, même si le matériel physique reste intact. Bien que des recherches antérieures aient établi la plausibilité technique de telles attaques dans les véhicules civils et les systèmes d'alimentation, il manque un référentiel compact évaluant ces cyber-attaques physiques en fonction de leurs conséquences directes sur les objectifs de mission (tels que l'autonomie et la continuité des charges critiques) plutôt que sur la seule base des métriques de détection d'intrusion.

Méthodologie
Les auteurs proposent un référentiel réduit au niveau de l'architecture, conçu pour évaluer la résilience cybernétique dans les scénarios de veille silencieuse. Le système est modélisé comme un système source-stockage-charge-commande centré sur un bus DC, comprenant une batterie, une source auxiliaire optionnelle (maintenue à zéro pour la veille silencieuse) et des charges décomposées.

• Modèle de menace : La menace principale est l'injection d'un biais positif dans la mesure du SOC ($s_m$) reçue par le superviseur. Cela amène le superviseur à surestimer l'énergie disponible, retardant le délestage protecteur des charges non critiques. Deux variantes de fenêtre d'attaque sont testées : une fenêtre continue unique et une variante multi-fenêtres.
• Modèle de défense : La couche de défense utilise un détecteur basé sur le résidu qui compare la mesure biaisée ($s_m$) à une estimation propagée indépendamment ($\hat{s}$) dérivée de la mesure de l'équilibre de puissance de la batterie. Si le résidu dépasse un seuil pendant une fenêtre de confirmation, un contrôleur de repli déclenche un délestage agressif de la charge délestable restante.
• Cadre d'évaluation : Le référentiel compare trois cas de référence :
  1. Nominal : Aucune attaque, aucune défense.
  2. Attaqué : Attaque active, aucune défense.
  3. Défendu : Attaque active, avec détection par résidu et délestage de repli.
• Métriques : Quatre métriques orientées mission sont enregistrées : l'autonomie en veille silencieuse (temps jusqu'à l'abandon de mission), le ratio de charges critiques servies, la durée de tension dangereuse (temps passé en dessous des bandes de tension sûres) et le temps de détection.
• Implémentation : Le référentiel est implémenté à la fois dans un modèle de référence MATLAB et dans un modèle Simulink. Un cadre de régression vérifie la parité entre les deux sur cinq scénarios pour assurer une base vérifiée par logiciel pour les futurs tests Hardware-in-the-Loop (HIL) avec OPAL-RT et EXataCPS.

Contributions clés

1. Formulation d'un référentiel centré sur la mission : L'article formule un référentiel qui relie directement la falsification du SOC aux résultats de la mission (autonomie, prestation de services aux charges critiques) plutôt qu'à l'évaluation des attaques uniquement par la réponse du détecteur ou l'erreur de commande.
2. Caractérisation de l'enveloppe discrétion-impact : L'étude caractérise une structure à trois régimes sous des balayages de biais de SOC :
   • Régime de discrétion : De petits biais restent en dessous du plancher de bruit du détecteur avec un impact de mission négligeable.
   • Régime de retard : Des biais intermédiaires déclenchent la détection mais causent un déficit d'autonomie borné par une expression analytique fermée dérivée, impliquant l'amplitude du biais, la puissance délestée et la consommation moyenne de la batterie.
   • Régime d'aveuglement total : De grands biais (dépassant la différence entre les seuils d'alerte et critiques du SOC) désactivent entièrement la protection pilotée par le SOC.
3. Contrainte de conception de la profondeur de repli : L'article identifie que la valeur de la défense dépend de la profondeur de l'action de repli. Il démontre qu'une fraction de délestage de repli sous-dimensionnée peut entraîner un cas « Défendu » qui performe moins bien que le cas « Attaqué » (accumulant une exposition plus longue à la tension dangereuse) jusqu'à ce que la fraction délestée dépasse un seuil spécifique (environ 0,4 dans la configuration rapportée).

Résultats

• Comparaison principale : Sous une attaque à fort biais ($b_a = 0,50$), le cas « Attaqué » a réduit l'autonomie d'environ 5 minutes et a plus que doublé l'exposition à la tension dangereuse par rapport au cas « Nominal ». Le cas « Défendu », utilisant une latence de détection de 5 secondes, a éliminé totalement l'exposition à la tension dangereuse et prolongé l'autonomie au-delà du cas Nominal en restaurant le service des charges critiques à l'unité.
• Analyse des régimes : La borne analytique fermée de l'autonomie pour le régime de retard a prédit avec précision les résultats de simulation avec des écarts inférieurs à une minute. La transition vers le régime d'aveuglement total se produit lorsque le biais dépasse la marge entre les seuils d'alerte et critiques du SOC.
• Sensibilité de la défense : L'analyse de sensibilité a révélé que si la fraction de délestage de repli est trop faible (par exemple 0,2), la défense ne parvient pas à remonter la tension du bus hors de la bande dangereuse, entraînant 810 secondes d'exposition dangereuse contre 516 secondes dans le cas non défendu. Une fraction délestée supérieure à 0,4 est requise pour que la défense surpasse le cas non défendu, et 0,6 est nécessaire pour éliminer l'exposition dangereuse pour l'amplitude de biais testée.
• Vérification logicielle : Les implémentations MATLAB et Simulink ont montré une parité exacte dans les métriques de mission et des différences de trajectoire de zéro à la précision rapportée, validant le modèle pour un futur déploiement HIL.

Signification et revendications
L'article prétend combler une lacune dans la recherche sur la sécurité cyber-physique en fournissant un référentiel permettant aux planificateurs de mission et aux développeurs de défense de comparer les attaques et les défenses sur une base commune orientée mission. Il soutient que pour les opérations de veille silencieuse, la question critique n'est pas seulement de savoir si une intrusion est détectée, mais si la plateforme peut toujours accomplir sa tâche assignée.

Les auteurs présentent modestement les résultats comme des changements dans les métriques d'autonomie et de service par rapport à un modèle fixe et réduit, plutôt que comme des prédictions absolues pour une plateforme de véhicule spécifique. La signification principale réside dans la démonstration que :

1. La falsification du SOC crée une enveloppe d'attaque structurée et approximable analytiquement.
2. La détection seule est insuffisante ; la profondeur de l'action de repli est une variable de conception architecturale critique.
3. Une base de référence vérifiée par logiciel existe pour soutenir les futurs tests HIL haute fidélité des boucles de supervision de veille silencieuse contre des adversaires coordonnés multi-canaux.