A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

Sintesi Tecnica: Un Benchmark Centrato sulla Missione per la Resilienza Informatica nell'Operazione in Modalità "Silent-Watch" delle Architetture Energetiche delle Piattaforme Terrestri Elettrificate

Dichiarazione del Problema
L'elettrificazione delle piattaforme militari terrestri introduce una nuova superficie di minaccia per i pianificatori di missione, in particolare durante le operazioni "silent-watch" in cui il motore è spento e i carichi di missione devono essere sostenuti esclusivamente dall'energia immagazzinata nelle batterie. In questa modalità, un controllore di supervisione arbitra tra i carichi critici (ad esempio, sensori, comunicazioni) e i carichi eliminabili (ad esempio, climatizzazione) in base allo stato di carica (SOC) percepito. Se un avversario compromette la percezione dello stato da parte del supervisore, specificamente attraverso lo spoofing del SOC, la piattaforma potrebbe perdere la durata operativa e il servizio ai carichi critici anche se l'hardware fisico rimane intatto. Sebbene ricerche precedenti abbiano stabilito la plausibilità tecnica di tali attacchi nei veicoli civili e nei sistemi energetici, manca un benchmark compatto che valuti questi attacchi cyber-fisici in base alle loro conseguenze dirette sugli obiettivi di missione (come la durata operativa e la continuità del servizio ai carichi critici) piuttosto che esclusivamente sulle metriche di rilevamento delle intrusioni.

Metodologia
Gli autori propongono un benchmark a livello architetturale di ordine ridotto, progettato per valutare la resilienza informatica negli scenari silent-watch. Il sistema è modellato come un sistema fonte-immagazzinamento-carico-controllo centrato su un bus in corrente continua (DC), con una batteria, una fonte ausiliaria opzionale (mantenuta a zero per il silent-watch) e carichi decomposti.

• Modello di Minaccia: La minaccia principale è l'iniezione di un bias positivo nella misurazione del SOC ($s_m$) ricevuta dal supervisore. Ciò induce il supervisore a sovrastimare l'energia disponibile, ritardando l'eliminazione protettiva dei carichi non critici. Vengono testate due varianti della finestra di attacco: una finestra continua singola e una variante a finestre multiple.
• Modello di Difesa: Il livello di difesa impiega un rilevatore basato sul residuo che confronta la misurazione distorta ($s_m$) con una stima propagata indipendentemente ($\hat{s}$) derivata dal bilancio di potenza misurato della batteria. Se il residuo supera una soglia per una finestra di conferma, un controllore di fallback attiva un'eliminazione aggressiva del carico eliminabile rimanente.
• Quadro di Valutazione: Il benchmark confronta tre casi di riferimento:
  1. Nominal: Nessun attacco, nessuna difesa.
  2. Attaccato: Attacco attivo, nessuna difesa.
  3. Difeso: Attacco attivo, con rilevamento del residuo ed eliminazione di fallback.
• Metriche: Vengono registrate quattro metriche orientate alla missione: durata del silent-watch (tempo fino all'aborto della missione), rapporto di carico critico servito, durata a tensione non sicura (tempo trascorso al di sotto delle fasce di tensione sicure) e tempo di rilevamento.
• Implementazione: Il benchmark è implementato sia in un modello di riferimento MATLAB sia in un modello Simulink. Un harness di regressione verifica la parità tra i due su cinque scenari per garantire una base verificata via software per futuri test Hardware-in-the-Loop (HIL) con OPAL-RT ed EXataCPS.

Contributi Chiave

1. Formulazione di un Benchmark Centrato sulla Missione: Il documento formula un benchmark che collega lo spoofing del SOC direttamente ai risultati della missione (durata operativa, servizio ai carichi critici) invece di valutare gli attacchi esclusivamente attraverso la risposta del rilevatore o l'errore di controllo.
2. Caratterizzazione dell'Inviluppo Stealth-verso-Impatto: Lo studio caratterizza una struttura a tre regimi sotto le variazioni di bias del SOC:
   • Regime Stealth: Bias piccoli rimangono al di sotto del livello di rumore del rilevatore con impatto trascurabile sulla missione.
   • Regime Ritardo: Bias intermedi attivano il rilevamento ma causano un deficit di durata limitato da un'espressione in forma chiusa derivata, che coinvolge l'entità del bias, la potenza eliminata e la media di assorbimento della batteria.
   • Regime Full-Blind: Bias elevati (che superano la differenza tra le soglie di SOC di avviso e critica) disabilitano completamente la protezione guidata dal SOC.
3. Vincolo di Progettazione sulla Profondità del Fallback: Il documento identifica che il valore della difesa è condizionato dalla profondità dell'azione di fallback. Dimostra che una frazione di eliminazione di fallback sottodimensionata può risultare in un caso "Difeso" che performa peggio del caso "Attaccato" (accumulando maggiore esposizione a tensioni non sicure) finché la frazione eliminata non supera una soglia specifica (circa 0,4 nella configurazione riportata).

Risultati

• Confronto Principale: Sotto un attacco con bias elevato ($b_a = 0,50$), il caso "Attaccato" ha ridotto la durata operativa di circa 5 minuti e ha più che raddoppiato l'esposizione a tensioni non sicure rispetto al caso "Nominal". Il caso "Difeso", utilizzando una latenza di rilevamento di 5 secondi, ha eliminato completamente l'esposizione a tensioni non sicure e ha esteso la durata operativa oltre il caso Nominal ripristinando il servizio ai carichi critici all'unità.
• Analisi dei Regimi: Il limite di durata in forma chiusa per il regime di ritardo ha previsto accuratamente i risultati della simulazione con deviazioni inferiori a un minuto. La transizione al regime full-blind si verifica quando il bias supera il margine tra le soglie di SOC di avviso e critica.
• Sensibilità della Difesa: L'analisi di sensibilità ha rivelato che se la frazione di eliminazione di fallback è troppo bassa (ad esempio, 0,2), la difesa non riesce a portare la tensione del bus fuori dalla fascia non sicura, portando a 810 secondi di esposizione non sicura rispetto ai 516 secondi del caso non difeso. È necessaria una frazione di eliminazione superiore a 0,4 affinché la difesa superi il caso non difeso, e 0,6 è richiesto per eliminare l'esposizione non sicura per l'entità del bias testato.
• Verifica Software: Le implementazioni MATLAB e Simulink hanno mostrato una parità esatta nelle metriche di missione e differenze di traiettoria pari a zero fino alla precisione riportata, validando il modello per il futuro dispiegamento HIL.

Significato e Affermazioni
Il documento afferma di colmare una lacuna nella ricerca sulla sicurezza cyber-fisica fornendo un benchmark che consente ai pianificatori di missione e agli sviluppatori di difese di confrontare attacchi e difese su una base comune orientata alla missione. Sostiene che per le operazioni silent-watch, la domanda critica non è meramente se un'intrusione venga rilevata, ma se la piattaforma possa ancora completare il compito assegnato.

Gli autori inquadrano modestamente i risultati come variazioni nelle metriche di durata operativa e servizio rispetto a un modello fisso di ordine ridotto, piuttosto che come previsioni assolute per una specifica piattaforma veicolare. Il significato principale risiede nel dimostrare che:

1. Lo spoofing del SOC crea un inviluppo di attacco strutturato e approssimabile analiticamente.
2. Il rilevamento da solo è insufficiente; la profondità dell'azione di fallback è una variabile di progettazione architetturale critica.
3. Esiste una base verificata via software per supportare futuri test HIL ad alta fedeltà dei loop di supervisione silent-watch contro avversari multi-canale coordinati.