Secure Coordination for Vertiport Sequencing in Advanced Air Mobility

Résumé technique : Coordination sécurisée pour le séquençage des vertiports dans la mobilité aérienne avancée

Énoncé du problème
Les opérations de mobilité aérienne avancée (MAA) à proximité des vertiports nécessitent des mécanismes de coordination fiables pour gérer un trafic dense dans des conditions de capacité d'atterrissage limitée et d'incertitude sur les temps d'arrivée. La coordination actuelle repose largement sur des données auto-déclarées, telles que l'identification à distance (Remote-ID), qui fournissent l'identité et la position du véhicule. Cependant, cette dépendance crée une vulnérabilité : des véhicules à intérêt personnel peuvent stratégiquement fausser leur temps d'arrivée estimé (ETA) pour obtenir des créneaux d'atterrissage favorables, tandis que des acteurs malveillants peuvent falsifier des données pour perturber le séquençage ou provoquer une congestion.

Bien que la comparaison des données auto-déclarées avec une surveillance externe (par exemple, radar ou suivi optique) offre une défense, les estimations de surveillance sont intrinsèquement incertaines en raison du bruit de mesure et des erreurs d'estimation. Par conséquent, les rapports falsifiés qui restent cohérents avec la région d'incertitude de la surveillance ne peuvent pas être immédiatement rejetés. Cela crée un problème de coordination stratégique où le coordinateur doit attribuer des horaires d'arrivée réalisables en termes de séparation, malgré la possibilité de rapports faux indétectables, mais potentiellement nuisibles.

Méthodologie
L'article propose un cadre pour un séquençage sécurisé des vertiports qui distingue deux sources distinctes de fausses informations et formule des règles de séquençage robustes pour les contrer.

1. Modèle du système :

   • Le système implique $N$ véhicules approchant d'un vertiport partagé.
   • Chaque véhicule $i$ possède un vrai ETA ($\tau_i$) et déclare un ETA ($\hat{\tau}_i = \tau_i + \delta_i$), où $\delta_i$ est l'écart de déclaration.
   • Un coordinateur utilise un système de surveillance actif pour déduire une estimation indépendante de l'ETA. En raison de l'incertitude de détection, les écarts $\delta_i$ sont contraints à un ensemble cohérent avec l'incertitude $\mathcal{U}_i$ (par exemple, un intervalle $[-\varepsilon_i, \varepsilon_i]$). Les rapports en dehors de cet ensemble sont rejetés ; ceux à l'intérieur sont traités comme potentiellement faux mais indistinguables des rapports véridiques.
   • L'objectif est de minimiser le coût de séquençage au niveau du système, défini comme la somme des carrés des ajustements entre les horaires d'arrivée attribués ($a_i$) et les vrais ETAs ($\tau_i$), sous réserve de contraintes de séparation temporelle minimale ($s_{min}$).

2. Formulations robustes :
   L'article modélise l'interaction entre le coordinateur et les entités déclarantes en utilisant deux approches d'optimisation robuste :

   • Fausse déclaration à intérêt personnel (Écart stratégique) : Modélisée comme un jeu de Stackelberg. Les véhicules à intérêt personnel observent le paramètre de robustification du coordinateur ($\theta$) et sélectionnent un écart $\delta_i \in \mathcal{U}_i$ pour minimiser leur propre coût d'ajustement d'horaire. Le coordinateur anticipe ce comportement de meilleure réponse et sélectionne $\theta$ pour minimiser le coût du système résultant.
   • Falsification malveillante (Perturbation adverse) : Modélisée comme un problème min-max. Un attaquant externe injecte de faux rapports pour un sous-ensemble de véhicules ($\mathcal{M}$) afin de maximiser le coût de séquençage au niveau du système (par exemple, provoquant une congestion ou des retards). Le coordinateur sélectionne $\theta$ pour minimiser le pire cas du coût du système induit par ces écarts adverses.

3. Règle de séquençage :
   Le coordinateur emploie une règle de séquençage paramétrée $S_\theta$ qui mappe les horaires d'arrivée déclarés à un horaire attribué. Le paramètre $\theta$ représente des mesures de robustification, telles que des seuils de confiance ou des règles de réduction de l'incertitude, conçues pour rendre le résultat du séquençage moins sensible aux rapports au sein de l'ensemble d'incertitude.

Contributions clés et résultats prévus
En tant que résumé étendu, cet article établit principalement le cadre théorique et expose les études numériques prévues plutôt que de présenter des résultats expérimentaux finalisés. Ses contributions incluent :

• Distinction formelle des modèles de menace : L'article différencie explicitement la fausse déclaration stratégique (visant un gain individuel) de la falsification malveillante (visant une dégradation du système), proposant des formulations robustes distinctes pour chacune.
• Conception robuste sous incertitude de détection : Il formule le séquençage des vertiports comme un problème de conception robuste sur des ensembles d'incertitude cohérents avec la surveillance, reconnaissant qu'une détection parfaite est impossible en raison du bruit des capteurs.
• Stratégie d'évaluation prévue : Les auteurs proposent une étude numérique complète pour évaluer les règles proposées. L'étude prévoit de comparer :
  • Séquençage de base : Utilisation directe des temps déclarés.
  • Séquençage robuste à intérêt personnel : Optimisé contre les écarts stratégiques.
  • Séquençage robuste malveillant : Optimisé contre les perturbations adverses.
• Métriques d'évaluation : Les expériences prévues visent à quantifier :
  • La perte d'efficacité de la robustesse (comparaison des performances robuste et de base sous déclaration véridique).
  • Le bénéfice de sécurité de la robustesse (comparaison des performances sous fausse déclaration avec et sans règles robustes).
  • La sensibilité à la densité du trafic, aux exigences de séparation, au bruit de surveillance et à la taille de l'ensemble potentiellement non fiable des véhicules ($\mathcal{M}$).

Importance
L'article soutient que, à mesure que la densité du trafic MAA augmente et que les marges de séquençage se resserrent, l'impact opérationnel des fausses informations deviendra plus prononcé que dans la gestion du trafic aérien conventionnelle. En intégrant les données de surveillance avec les informations auto-déclarées par le biais de l'optimisation robuste, le cadre proposé vise à préserver la fiabilité des mécanismes de séquençage. Il cherche à protéger contre la « tragédie des communs » (où des véhicules individuels manipulent le système) et contre les attaques adverses actives, garantissant que les opérations des vertiports restent sûres et efficaces même lorsque les capacités de détection sont imparfaites.

Les auteurs notent que les travaux futurs étendront ce cadre pour inclure l'allocation des ressources de surveillance, où le coordinateur alloue dynamiquement des ressources de détection (par exemple, résolution ou puissance) pour réduire l'incertitude pour des véhicules spécifiques, renforçant ainsi les décisions de séquençage contre les sources probables de fausses informations.