⚡ electrical engineering

A Conditional Timing Protection Level: Holdover-Limited Undetected Time Error Under GNSS Spoofing

यह शोध पत्र क्षेत्र मापों के माध्यम से यह प्रदर्शित करते हुए कि मानक मॉनिटर महत्वपूर्ण समय त्रुटियों को चिह्नित करने में विफल हो सकते हैं, GNSS टाइमिंग रिसीवर्स की अनडिटेक्टेड स्पूफिंग हमलों के प्रति गंभीर भेद्यता को संबोधित करता है, और फलस्वरूप एक सशर्त "टाइमिंग प्रोटेक्शन लेवल" (TPL) का प्रस्ताव करता है जो केवल स्व-संदर्भित क्लॉक मॉनिटरिंग पर निर्भर रहने के बजाय ऑसिलेटर कोस्टिंग और स्वतंत्र क्रॉस-सैटेलाइट निरंतरता जांच के आधार पर अनडिटेक्टेड टाइम एरर को सीमित करता है।

मूल लेखक: Chakshu Baweja

प्रकाशित 2026-06-24

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Chakshu Baweja

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ सरल भाषा और रोज़मर्रा के उदाहरणों का उपयोग करके शोध पत्र (paper) का स्पष्टीकरण दिया गया है।

बड़ी समस्या: "खामोश" घड़ी चुराने वाला चोर

कल्पना कीजिए कि आपके पास एक बहुत ही महंगी, उच्च-परिशुद्धता (high-precision) वाली कलाई घड़ी है जो एक वैश्विक उपग्रह नेटवर्क (जैसे GPS) से अपना समय लेती है। इस घड़ी का उपयोग बिजली ग्रिड या शेयर बाजार जैसे महत्वपूर्ण सिस्टम को चलाने के लिए किया जाता है।

शोध पत्र एक डरावनी खोज के साथ शुरू होता है: आपकी घड़ी आपको बिना बताए झूठ बोल सकती है।

एक हालिया वास्तविक दुनिया के परीक्षण (जिसे "JammerTest 2024" कहा जाता है) में, शोधकर्ताओं ने देखा कि एक उच्च-स्तरीय रिसीवर को "स्पूफ" (spoof) किया गया। इसका मतलब है कि एक हमलावर ने नकली उपग्रह संकेत प्रसारित किए जिन्होंने धीरे-धीरे रिसीवर की घड़ी को सही रास्ते से भटका दिया।

वास्तविकता: घड़ी वास्तव में 1,010,000 नैनोसेकंड (एक मिलीसेकंड से अधिक) पीछे चल रही थी।
झूठ: रिसीवर के अपने आंतरिक "हेल्थ चेक" ने उपयोगकर्ता को बताया, "चिंता न करें, मैं 51 नैनोसेकंड के भीतर सटीक हूँ।"

रिसीवर 20,000 के कारक (factor) से गलत था। यह एक कार के स्पीडोमीटर जैसा था जो "0 mph" दिखा रहा था जबकि कार वास्तव में 100 mph की रफ्तार से हाईवे पर दौड़ रही थी, और "चेक इंजन" लाइट अभी भी हरी थी।

हम रिसीवर पर भरोसा क्यों नहीं कर सकते?

लेखक बताते हैं कि मानक सुरक्षा जाँच (जिसे "RAIM" कहा जाता है) त्रुटियों को स्थिति (आप कहाँ हैं) को पकड़ने के लिए डिज़ाइन की गई हैं, न कि समय की त्रुटियों को, जब त्रुटि सभी उपग्रहों द्वारा साझा की जाती है।

उपमा (Analogy):
एक गायक दल (choir) की कल्पना करें जहाँ प्रत्येक गायक संगीत की एक शीट पकड़े हुए है। यदि एक गायक थोड़ा बेसुरा गाना शुरू करता है, तो कंडक्टर (रिवीवर) उस बेसुरेपन को सुन सकता है और उसे ठीक कर सकता है।
लेकिन, यदि कोई खलनायक चुपके से एक ही समय में हर एक गायक के लिए संगीत की शीट बदल देता है, तो पूरा समूह एक-दूसरे के साथ पूरी तरह से तालमेल में रहता है। कंडक्टर को कोई बेसुरापन सुनाई नहीं देता, इसलिए वे सोचते हैं कि सब कुछ ठीक है। इस बीच, पूरा गायक दल गलत गाना गा रहा होता है।

क्योंकि नकली संकेत "कोहेरेंट" (coherent) हैं (वे एक साथ चलते हैं), रिसीवर को कोई संघर्ष दिखाई नहीं देता और वह कभी अलार्म नहीं बजाता, भले ही समय और भी दूर भटकता जा रहा हो।

"असंभव" सत्य

यह शोध पत्र एक कठिन गणितीय तथ्य को सिद्ध करता है: यदि आप केवल अपने स्वयं के क्लॉक (घड़ी) पर निर्भर रहते हैं, तो आप इस प्रकार के हमले के लिए एक पूर्ण, सीमित सुरक्षा सीमा (safety limit) नहीं बना सकते।

उपमा:
कल्पना कीजिए कि आप यह मापने की कोशिश कर रहे हैं कि एक चोर आपके पैसे कितनी तेजी से चुरा रहा है, लेकिन आप केवल अपने बैंक खाते के बैलेंस को देख रहे हैं। यदि चोर हर साल $1 चुराता है, और आपके बैंक खाते में सामान्य खर्च के कारण दिन में$ 100 का उतार-चढ़ाव होता है, तो आप चोरी को कभी नहीं देख पाएंगे। चोर बस इतना धीरे चोरी कर सकता है कि चोरी आपके सामान्य जीवन के "शोर" (noise) के भीतर छिपी रहे।

लेखक दिखाते हैं कि यदि हमलावर पर्याप्त धीरे चलता है, तो वे अलार्म बजाए बिना घड़ी को हमेशा के लिए खराब कर सकते हैं। इसलिए, एक "गारंटीकृत" सुरक्षा सीमा जो हर समय काम करती है, बनाना असंभव है।

समाधान: एक "सशर्त" सुरक्षा जाल

चूंकि एक पूर्ण गारंटी असंभव है, लेखक एक कंडीशनल टाइमिंग प्रोटेक्शन लेवल (TPL) का प्रस्ताव करते हैं। यह एक ऐसी सुरक्षा सीमा है जो केवल तभी काम करती है जब आपके पास एक विशिष्ट प्रकार का बैकअप डिटेक्टर हो।

उपमा:
केवल गायक दल (रिसीवर की आंतरिक घड़ी) को सुनने के बजाय, आप एक दूसरा, स्वतंत्र पर्यवेक्षक नियुक्त करते हैं जो कमरे के बाहर खड़ा है।

डिटेक्टर (Detector): यह पर्यवेक्षक इस बात की परवाह नहीं करता कि गायक एक-दूसरे के साथ सुर में हैं या नहीं। वे संकेतों की तुलना एक पूरी तरह से अलग संदर्भ (जैसे मूल गाने की रिकॉर्डिंग) से करते हैं। यदि गायक मूल गाने से भटक जाते हैं, भले ही वे अभी भी एक-दूसरे के साथ सुर में हों, तो यह पर्यवेक्षक लाल झंडा (अलार्म) उठा देता है।
सुरक्षा जाल (TPL): एक बार जब पर्यवेक्षक झंडा उठा देता है, तो रिसीवर नकली संकेतों पर भरोसा करना बंद कर देता है और अपनी स्वयं की बैटरी से चलने वाली घड़ी (जिसे "होल्डओवर" कहा जाता है) पर स्विच कर जाता है।

TPL इस प्रश्न का उत्तर देता है: "यदि पर्यवेक्षक झंडा उठा देता है, तो रिसीवर द्वारा अपनी बैटरी वाली घड़ी पर स्विच करने में लगने वाले कुछ सेकंड के दौरान घड़ी कितनी भटक सकती है?"

उत्तर है: बहुत कम।

शोध पत्र गणना करता है कि यदि स्विच करने में 60 सेकंड लगते हैं, तो त्रुटि केवल लगभग 458 नैनोसेकंड होगी।
यह उस 1,000,000 नैनोसेकंड की त्रुटि से हजारों गुना बेहतर है जिसे रिसीवर बिना बैकअप डिटेक्टर के स्वीकार कर लेता।

यह कैसे काम करता है (साधारण अंग्रेजी में गणित):

इस सुरक्षा सीमा के दो भाग हैं:

"फ्लोर" (Floor): आपका बैकअप डिटेक्टर कितना संवेदनशील है? (परीक्षण में, यह लगभग 22 नैनोसेकंड के अंतर को पकड़ सकता था)।
"कोस्ट" (Coast): बैटरी पावर पर चलने के दौरान आपका आंतरिक क्लॉक (घड़ी) फिक्स होने से पहले कितना भटकता है? (यह क्लॉक के ऑसिलेटर की गुणवत्ता पर निर्भर करता है)।

कुल सुरक्षा सीमा बस है: डिटेक्टर की संवेदनशीलता + क्लॉक का ड्रिफ्ट (Drift)।

पकड़ (सीमाएँ)

लेखक बहुत ईमानदार हैं कि उनका समाधान क्या नहीं करता है:

यह कोई जादुई ढाल नहीं है: यह केवल तभी काम करता है जब बैकअप डिटेक्टर वास्तव में हमले को पकड़ ले। यदि हमलावर अविश्वसनीय रूप से परिष्कृत है और वास्तविक दुनिया के "शोर" की पूरी तरह से नकल करता है, तो डिटेक्टर इसे मिस कर सकता है।
यह एक प्रमाणित गारंटी नहीं है: विमानन सुरक्षा मानकों के विपरीत जो एक विशिष्ट जोखिम स्तर का वादा करते हैं (जैसे, "विफलता की 10 लाख में 1 संभावना"), यह वास्तविक डेटा पर आधारित एक इंजीनियरिंग गणना है। यह परीक्षण किए गए विशिष्ट उपकरणों के आधार पर एक "सर्वश्रेष्ठ अनुमान" है, न कि एक सार्वभौमिक नियम।
इसे वास्तविक डेटा की आवश्यकता है: प्रदान की गई सुरक्षा संख्याएं (जैसे, 458 नैनोसेकंड) परीक्षण में उपयोग किए गए विशिष्ट क्लॉक पर आधारित हैं। यदि आप एक सस्ता या अलग क्लॉक उपयोग करते हैं, तो संख्याएं बदल जाएंगी।

सारांश

शोध पत्र कहता है: "समय के मामले में अपने GPS रिसीवर की 'मैं ठीक हूँ' वाली लाइट पर भरोसा न करें। इसे चुपचाप ठगा जा सकता है। हालांकि, यदि आप एक स्मार्ट, स्वतंत्र चेकर जोड़ते जो संकेतों की आपस में तुलना करता है, तो आप नुकसान को एक बहुत छोटे, प्रबंधनीय स्तर तक सीमित कर सकते हैं, भले ही हमलावर बहुत धीमा और चालाक हो।"

शोधकर्ताओं ने अपना कोड और डेटा ओपन-सोर्स कर दिया है ताकि अन्य लोग इन नंबरों को सत्यापित कर सकें और बेहतर सिस्टम बना सकें।

तकनीकी सारांश: स्पूफिंग के तहत GNSS के लिए एक सशर्त टाइमिंग प्रोटेक्शन लेवल (Timing Protection Level)

समस्या विवरण
महत्वपूर्ण बुनियादी ढांचा सटीक समय (precise timing) के लिए ग्लोबल नेविगेशन सैटेलाइट सिस्टम (GNSS) पर तेजी से निर्भर हो रहा है। हालांकि, एक समन्वित, सुसंगत स्पूफिंग हमला (coordinated, coherent spoofing attack) टाइमिंग रिसीवर के लिए एक अनूठा खतरा प्रस्तुत करता है: यह सर्व की जा रही क्लॉक टाइम को धीरे-धीरे खींच सकता है (एक कॉमन-मोड रैंप/common-mode ramp), जबकि एक स्वच्छ स्थिति समाधान (position solution) बनाए रखता है और रिसीवर के आंतरिक अखंडता फ्लैग्स (integrity flags) को "ग्रीन" रखता है। पोजीशन-डोमेन त्रुटियों के विपरीत, जो रिसीवर ऑटोनॉमस इंटीग्रिटी मॉनिटरिंग (RAIM) द्वारा पता लगाने योग्य ज्यामितीय अवशेष (geometric residuals) बनाती हैं, एक सुसंगत टाइम-सिंक्रोनाइज़ेशन स्पूफर सभी उपग्रहों को सुसंगत रूप से संचालित करता है। यह रिसीवर को त्रुटि को पूरी तरह से अपने क्लॉक एस्टीमेट में समाहित करने की अनुमति देता है, जिससे कोई रेंज रेसिडुअल (range residual) शेष नहीं बचता। फलस्वरूप, एक रिसीवर उच्च टाइम सटीकता (जैसे 51 ns) रिपोर्ट कर सकता है जबकि वास्तव में वह कई गुना अधिक (जैसे ~1 ms) का टाइम एरर सर्व कर रहा होता है। यह शोध पत्र इस प्रकार के हमलों के तहत अनडिटेक्टेड टाइम एरर (undetected time error) पर एक मात्रात्मक सीमा (quantitative bound) के अभाव को संबोधित करता है।

कार्यप्रणाली (Methodology)
लेखक फील्ड डेटा विश्लेषण, सैद्धांतिक असंभवता प्रमाण (theoretical impossibility proofs), और एक सशर्त बाउंडिंग फ्रेमवर्क को संयोजित करने वाले तीन-आयामी दृष्टिकोण का उपयोग करते हैं:

फील्ड मेजरमेंट: JammerTest 2024 अभियान के एक सार्वजनिक डेटासेट का उपयोग करते हुए, लेखकों ने एक सर्वे-ग्रेड u-blox ZED-F9P रिसीवर के क्लॉक-सोल्यूशन प्रक्षेपवक्र (trajectory) का पुनर्निर्माण किया। उन्होंने कच्चे L1 स्यूडो-रेंज, एक स्थिर स्वच्छ डुअल-बैंड पोजीशन और ब्रॉडकास्ट एफिमेरिस (ephemeris) का उपयोग करके क्लॉक ऑफसेट के लिए समाधान निकाला, और परिणाम को हमले से पहले के सेगमेंट के होल्डओवर एक्सट्रपलेशन (holdover extrapolation) के विरुद्ध संदर्भित किया।
सैद्धांतिक विश्लेषण: शोध पत्र एक अनकंडीशनल बाउंड (unconditional bound) के संबंध में एक असंभवता परिणाम (impossibility result) स्थापित करता है। यह प्रदर्शित करता है कि एक ऐसे एडवरसरी (adversary) के विरुद्ध जो रैंप रेट चुनने के लिए स्वतंत्र है, एक स्व-संदर्भित क्लॉक-एडेड मॉनिटर (एक जो वर्तमान समाधान की तुलना एक अनुशासित संदर्भ से करता है) त्रुटि को बाउंड नहीं कर सकता है। एक पर्याप्त धीमा रैंप अनुशासित संदर्भ को "लॉक-स्टेप" में रखता है, जिससे किसी भी अलार्म को रोकने में विफल रहता है जबकि एकीकृत त्रुटि (integrated error) बिना किसी सीमा के बढ़ती जाती है।
कंडीशनल बाउंड कंस्ट्रक्शन: इस असंभवता को दूर करने के लिए, लेखक एक टाइमिंग प्रोटेक्शन लेवल (TPL) प्रस्तावित करते हैं। यह एक सशर्त बाउंड है जो एक स्वतंत्र, मॉडल-फ्री क्रॉस-सैटेलाइट कंसिस्टेंसी मॉनिटर द्वारा पता लगाने की स्थिति में लागू होता है। TPL को दो पदों के योग के रूप में परिभाषित किया गया है:
- डिटेक्टेबिलिटी फ्लोर (Detectability Floor): क्रॉस-सैटेलाइट मॉनिटर का स्टेटिक $k$ -sigma ऑफसेट फ्लोर (अधिकतम त्रुटि जिसे मॉनिटर फ्लैग करने में विफल रहता है)।
- होल्डओवर अनसर्टेन्टी (Holdover Uncertainty): मॉनिटरिंग लेटेंसी ( $\tau_{det}$ ) के दौरान ऑसिलेटर का कोस्ट अनसर्टेन्टी (फेज एरर वेरिएंस), जिसे ऑसिलेटर के पावर स्पेक्ट्रल डेंसिटीज (एलन डेविएशन से प्राप्त) के वैन लोन के मैट्रिक्स-एक्सपोनेंशियल इंटीग्रेशन का उपयोग करके गणना की गई है।

मुख्य योगदान

अनुभवजन्य अंतर का परिमाणीकरण (Empirical Gap Quantification): अध्ययन दस्तावेजीकरण करता है कि एक वास्तविक हमले में एक रिसीवर ने लगभग 1.01 ms का टाइम एरर सर्व किया जबकि दावा की गई सटीकता 51 ns थी। यह लगभग $2 \times 10^4$ का क्लेम-बनाम-रियलिटी गैप दर्शाता है, जो सिद्ध करता है कि सुसंगत स्पूफिंग के तहत मानक रिसीवर सेल्फ-असेसमेंट अपर्याप्त है।
असंभवता अवलोकन: शोध पत्र औपचारिक रूप से तर्क देता है कि एक एकल स्व-संदर्भित मॉनिटर के विरुद्ध अनकन्स्ट्रेंड-रेट रैंप के तहत अनडिटेक्टेड टाइम एरर के लिए कोई परिमित (finite) अनकंडीशनल बाउंड मौजूद नहीं है। यह एक कंडीशनल दृष्टिकोण को आवश्यक बनाता है।
टाइमिंग प्रोटेक्शन लेवल (TPL): लेखक एक कंडीशनल बाउंड को परिभाषित और कैलिब्रेट करते हैं। TPL एक "होल्डओवर बजट" है जो उस अधिकतम त्रुटि का प्रतिनिधित्व करता है जो एक मॉडल-फ्री मॉनिटर द्वारा अलार्म ट्रिगर होने के बाद लेकिन सिस्टम के रिकवर होने से पहले उत्पन्न हो सकती है।
- कैलिब्रेशन: रिकॉर्ड किए गए हमले पर, TPL को 1-सेकंड रिकवरी लेटेंसी पर 114 ns और 60-सेकंड लेटेंसी पर 458 ns (लॉन्ग-टाउ रेड नॉइज़ अनसर्टेन्टी के लिए 1205 ns तक स्वीप्ड बैंड के साथ) के रूप में गणना की गई थी।
- तुलना: ये मान उन 1.01 ms त्रुटियों से 2,200 से 8,800 गुना कम हैं जिन्हें रिसीवर ने चुपचाप स्वीकार कर लिया था।
मॉनिटर प्रदर्शन विश्लेषण: अध्ययन दो निगरानी रणनीतियों की तुलना करता है:
- क्लॉक-एडेड सीक्वेंशियल टेस्ट (CUSUM): रिकॉर्ड किए गए स्लो रैंप पर, इस टेस्ट ने अनिवार्य रूप से कोई सुरक्षा प्रदान नहीं की (1x का प्रोटेक्शन फैक्टर), केवल ~993 µs की त्रुटि जमा होने के बाद ही अलार्म दिया।
  मडल-फ्री क्रॉस-सैटेलाइट कंसिस्टेंसी:** इस मॉनिटर ने हमले को रैंप के दौरान (कैप्चर होने से मिनटों पहले) पहचान लिया, जिसमें उन विसंगतियों (inconsistencies) की पहचान की गई जिन्हें एक सुसंगत स्पूफर पूरी तरह से दबा नहीं सकता था।

परिणाम और महत्व
शोध पत्र निष्कर्ष निकालता है कि जबकि एक रिसीवर का आंतरिक इंटीग्रिटी फ्लैग एक सुरक्षा बाउंड नहीं है, एक कंडीशनल बाउंड प्राप्त किया जा सकता है। TPL एक पुनरुत्पादनीय (reproducible), क्लोज्ड-फॉर्म अनुमान प्रदान करता है, बशर्ते कि एक मॉडल-फ्री क्रॉस-सैटेलाइट मॉनिटर सक्रिय हो और ऑसिलेटर के होल्डओवर लक्षण ज्ञात हों।

लेखक अपने दावों की सीमाओं और सीमाओं के प्रति स्पष्ट हैं:

कंडीशनल प्रकृति: बाउंड सख्ती से इस बात पर निर्भर है कि मॉडल-फ्री मॉनिटर हमले का पता लगा ले। शोध पत्र एक इष्टतम सुसंगत एडवरसरी के विरुद्ध इस मॉनिटर की मिस-डिटेक्शन प्रोबेबिलिटी को स्पष्ट नहीं करता है।
कोई इंटीग्रिटी-रिस्क बजट नहीं: विमानन सुरक्षा स्तरों के विपरीत, TPL में प्रति घंटा प्रमाणित इंटीग्रिटी-रिस्क बजट (जैसे $10^{-7}$ /hr) नहीं होता है। यह एक प्रमाणित गारंटी के बजाय कैलिब्रेटेड प्रिमिटिव्स पर आधारित एक इंजीनियरिंग बाउंड है।
कैलिब्रेशन बनाम वैलिडेशन: बाउंड को एक एकल रिकॉर्ड किए गए हमले और एक विशिष्ट रिसीवर/ऑसिलेटर पर कैलिब्रेट किया गया है। इसे रिसीवर्स और हमलों की एक आबादी में ग्राउंड-ट्रुथ टाइम एरर्स के विरुद्ध फील्ड-वैलिडेट नहीं किया गया है।
लॉन्ग-कोस्ट अनसर्टेन्टी: लंबे डिटेक्शन लेटेंसी के लिए, बाउंड ऑसिलेटर के लॉन्ग-टाउ रेड-नॉइज़ फ्लोर द्वारा नियंत्रित होता है, जिसे सिंगल स्केलर के बजाय स्वीप्ड बैंड के रूप में रिपोर्ट किया गया है।

इस कार्य का महत्व एक असंभव अनकंडीशनल बाउंड खोजने के बजाय एक कठोर, कंडीशनल "होल्डओवर बजट" प्रदान करने की ओर शिफ्ट होने में निहित है, जो स्पूफिंग इवेंट के रिकवरी चरण के दौरान जोखिम को मात्रात्मक रूप से बताता है। Kshana सिम्युलेटर और कैलिब्रेशन उदाहरणों सहित इसका निर्माण, मॉनिटर डिटेक्टेबिलिटी और एम्पिरिकल कवरेज में आगे के अनुसंधान को सुगम बनाने के लिए ओपन-सोर्स है।