A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

技術概要：電気化地上プラットフォーム電力アーキテクチャのサイレントウォッチ運用に向けたミッション中心のサイバー耐性ベンチマーク

問題定義
軍事用地上プラットフォームの電気化は、特にエンジンが停止し、ミッション負荷が蓄電池に蓄えられたエネルギーのみに依存して維持される「サイレントウォッチ」運用において、作戦立案者にとって新たな脅威領域をもたらす。このモードでは、監督コントローラが、感知される充電状態（SOC）に基づき、センサーや通信などの重要負荷と、気候制御などの Shed 可能負荷との間で仲裁を行う。もし敵対者が、特に SOC スプーフィングを通じて監督者の状態認識を侵害した場合、物理的なハードウェアが無傷であっても、プラットフォームは持続性や重要負荷のサービス機能を喪失する可能性がある。民間車両や電力システムにおける such 攻撃の技術的妥当性は先行研究で確立されているが、侵入検知指標のみならず、持続性や重要負荷の継続性といったミッション目標への直接的な影響に基づいて、これらのサイバー・フィジカル攻撃を評価するコンパクトなベンチマークは欠如している。

手法
著者らは、サイレントウォッチシナリオにおけるサイバー耐性を評価するために設計された、低次・アーキテクチャレベルのベンチマークを提案する。本システムは、バッテリー、オプションの補助電源（サイレントウォッチではゼロに保持）、および分解された負荷を有する、DC バス中心の電源・蓄電・負荷・制御システムとしてモデル化される。

• 脅威モデル: 主要な脅威は、監督者が受信する SOC 測定値（$s_m$）への正のバイアス注入である。これにより、監督者は利用可能なエネルギーを過大評価し、非重要負荷の保護的な Shedding を遅延させる。2 つの攻撃ウィンドウバリエーションがテストされる：単一の連続ウィンドウと、マルチウィンドウバリエーション。
• 防御モデル: 防御層は、バイアスのかかった測定値（$s_m$）を、測定されたバッテリー電力バランスから導出された独立して伝播された推定値（$\hat{s}$）と比較する、残差ベースの検出器を採用する。もし残差が確認ウィンドウにわたって閾値を超えた場合、フォールバックコントローラが残りの Shed 可能負荷の積極的な Shedding をトリガーする。
• 評価フレームワーク: 本ベンチマークは、3 つの参照ケースを比較する：
  1. ノーマル: 攻撃なし、防御なし。
  2. 攻撃済み: 攻撃アクティブ、防御なし。
  3. 防御済み: 攻撃アクティブ、残差検出およびフォールバック Shedding あり。
• 指標: 4 つのミッション指向指標が記録される：サイレントウォッチ持続時間（ミッション中止までの時間）、供給された重要負荷の比率、不安全電圧持続時間（安全電圧帯未満で経過した時間）、および検出までの時間。
• 実装: 本ベンチマークは、MATLAB 参照モデルと Simulink モデルの両方で実装される。回帰ハarnessは、OPAL-RT および EXataCPS を用いた将来のハードウェア・イン・ザ・ループ（HIL）テストのためのソフトウェア検証基盤を確保するため、5 つのシナリオにおいて両者の同等性を検証する。

主要な貢献

1. ミッション中心のベンチマーク定式化: 本論文は、SOC スプーフィングを、検出器の応答や制御誤差のみを通じて評価するのではなく、持続性や重要負荷のサービスといったミッション成果に直接結びつけるベンチマークを定式化する。
2. ステルス対影響エンベロープの特性評価: 本研究は、SOC バイアス掃引下における 3 つの領域構造を特性化する：
   • ステルス領域: 小さなバイアスは検出器のノイズフロア以下に留まり、ミッションへの影響は無視できる。
   • 遅延領域: 中間的なバイアスは検出をトリガーするが、バイアス量、Shed 電力、および平均バッテリー引き出し量を含む導出された閉形式式によって制限される持続性の不足を引き起こす。
   • 完全盲目領域: 大きなバイアス（警告 SOC 閾値と重要 SOC 閾値の差を超える）は、SOC 駆動のガードを完全に無効化する。
3. フォールバック深さの設計制約: 本論文は、防御の価値がフォールバック動作の深さに依存することを特定する。それは、縮小されたフォールバック Shed 割合が、「防御済み」ケースが「攻撃済み」ケースよりも悪い結果（より多くの不安全電圧曝露の蓄積）をもたらすことを示しており、Shed 割合が特定の閾値（報告された構成では約 0.4）を超えない限り、その状態は続く。

結果

• 主要な比較: 大きなバイアス攻撃（$b_a = 0.50$）の下では、「攻撃済み」ケースは「ノーマル」ケースと比較して持続時間を約 5 分減少させ、不安全電圧曝露を 2 倍以上に増加させた。「防御済み」ケースは、5 秒の検出遅延を利用し、不安全電圧曝露を完全に排除するとともに、重要負荷のサービスを 1 に回復させることで、ノーマルケースを超えて持続時間を延長した。
• 領域分析: 遅延領域に対する閉形式の持続時間境界は、1 分未満の偏差でシミュレーション結果を正確に予測した。完全盲目領域への遷移は、バイアスが SOC 警告閾値と重要閾値の間のマージンを超えたときに発生する。
• 防御感度: 感度分析により、フォールバック Shed 割合が低すぎる場合（例：0.2）、防御はバス電圧を不安全帯から引き上げることができず、無防備ケースの 516 秒と比較して 810 秒の不安全曝露をもたらすことが明らかになった。防御が無防備ケースを上回るためには 0.4 超の Shed 割合が必要であり、テストされたバイアス量に対して不安全曝露を排除するためには 0.6 が必要である。
• ソフトウェア検証: MATLAB および Simulink の実装は、ミッション指標において完全な同等性を示し、軌道の差は報告された精度でゼロであった。これにより、将来の HIL 展開のためのモデルが検証された。

意義と主張
本論文は、攻撃と防御を共通のミッション指向基盤上で比較することを可能にするベンチマークを提供することで、サイバー・フィジカルセキュリティ研究におけるギャップを埋めると主張する。サイレントウォッチ運用においては、侵入が検知されたかどうかだけでなく、プラットフォームが割り当てられた任務を完了できるかどうかこそが重要な問いであると論じている。

著者らは、結果を特定の車両プラットフォームに対する絶対的な予測ではなく、固定された低次モデルに対する持続性およびサービス指標の変化として謙虚に位置づけている。主な意義は、以下の点を示すことにある：

1. SOC スプーフィングは、構造化され、解析的に近似された攻撃エンベロープを創出する。
2. 検出だけでは不十分であり、フォールバック動作の深さは重要なアーキテクチャ設計変数である。
3. 協調型マルチチャネル敵対者に対するサイレントウォッチ監督ループの将来の高忠実度 HIL テストを支援する、ソフトウェア検証済みのベースラインが存在する。