A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

기술 요약: 전동화 지상 플랫폼 전력 아키텍처의 침묵 감시 작전을 위한 임무 중심 사이버 복원력 벤치마크

문제 정의
군용 지상 플랫폼의 전동화는 특히 엔진이 정지하고 배터리 저장 에너지만으로 임무 부하를 유지해야 하는 "침묵 감시 (silent-watch)" 작전 중 임무 계획자에게 새로운 위협 표면을 도입합니다. 이 모드에서 감시 제어기는 충전 상태 (SOC) 의 인식된 상태에 따라 중요 부하 (예: 센서, 통신) 와 제거 가능 부하 (예: 기후 제어) 간에 조정 역할을 수행합니다. 만약 적대자가 SOC 스푸핑을 통해 감시자의 상태 인식을 침해할 경우, 물리적 하드웨어가 무사하더라도 플랫폼의 지속 시간과 중요 부하 서비스가 상실될 수 있습니다. 민간 차량 및 전력 시스템에서 이러한 공격의 기술적 타당성은 기존 연구를 통해 입증되었으나, 침입 탐지 지표가 아닌 임무 목표 (지속 시간 및 중요 부하 연속성 등) 에 대한 직접적 결과에 기반하여 이러한 사이버 - 물리 공격을 평가하는 소형 벤치마크는 부재합니다.

방법론
저자들은 침묵 감시 시나리오에서 사이버 복원력을 평가하도록 설계된 축소 차수 아키텍처 수준 벤치마크를 제안합니다. 시스템은 배터리, 선택적 보조 전원 (침묵 감시 시 영으로 유지됨), 그리고 분해된 부하를 갖춘 DC 버스 중심의 전원 - 저장 - 부하 - 제어 시스템으로 모델링됩니다.

• 위협 모델: 주요 위협은 감시자가 수신하는 SOC 측정치 ($s_m$) 에 대한 양의 편향 주입입니다. 이로 인해 감시자는 사용 가능한 에너지를 과대평가하여 비중요 부하의 보호적 제거를 지연시킵니다. 두 가지 공격 창 변형이 테스트됩니다: 단일 연속 창 및 다중 창 변형.
• 방어 모델: 방어 계층은 측정된 배터리 전력 균형에서 유도된 독립적으로 전파된 추정치 ($\hat{s}$) 와 편향된 측정치 ($s_m$) 를 비교하는 잔차 기반 탐지기를 사용합니다. 잔차가 확인 창 동안 임계값을 초과하면, 백업 제어기가 나머지 제거 가능 부하의 공격적 제거를 트리거합니다.
• 평가 프레임워크: 벤치마크는 세 가지 기준 사례를 비교합니다:
  1. 정상 (Nominal): 공격 없음, 방어 없음.
  2. 공격 (Attacked): 공격 활성화, 방어 없음.
  3. 방어 (Defended): 공격 활성화, 잔차 탐지 및 백업 제거 적용.
• 지표: 네 가지 임무 관련 지표가 기록됩니다: 침묵 감시 지속 시간 (임무 중단까지의 시간), 제공된 중요 부하 비율, 위험 전압 지속 시간 (안전 전압 대역 미만으로 머문 시간), 탐지까지의 시간.
• 구현: 벤치마크는 MATLAB 기준 모델과 Simulink 모델 모두에 구현됩니다. 회귀 하네스는 OPAL-RT 및 EXataCPS 를 통한 향후 하드웨어 - 인 - 루프 (HIL) 테스트를 위한 소프트웨어 검증 기반을 보장하기 위해 다섯 가지 시나리오에서 두 모델 간의 동일성을 검증합니다.

주요 기여

1. 임무 중심 벤치마크 정립: 본 논문은 공격을 탐지기 응답이나 제어 오류만으로 평가하는 것이 아니라, SOC 스푸핑을 임무 결과 (지속 시간, 중요 부하 서비스) 와 직접 연결하는 벤치마크를 정립합니다.
2. 은밀성 대 영향력 포락선 특성화: 본 연구는 SOC 편향 스윕 하에서 세 가지 영역 구조를 특성화합니다:
   • 은밀 영역: 작은 편향은 탐지기의 잡음 바닥 아래에 머물며 임무 영향은 무시할 수준입니다.
   • 지연 영역: 중간 편향은 탐지를 유발하지만, 편향 크기, 제거 전력, 평균 배터리 소모를 포함하는 유도된 폐쇄형 표현식으로 제한된 지속 시간 부족을 초래합니다.
   • 완전 맹시 영역: 큰 편향 (경고 SOC 임계값과 중요 SOC 임계값 간의 차이를 초과) 은 SOC 기반 가드를 완전히 무력화시킵니다.
3. 백업 깊이 설계 제약: 본 논문은 방어 가치가 백업 조치의 깊이에 의존함을 규명합니다. 이는 축소된 백업 제거 비율이 특정 임계값 (보고된 구성에서 약 0.4) 을 초과할 때까지 "방어" 사례가 "공격" 사례보다 더 나쁜 성능 (더 많은 위험 전압 노출 누적) 을 보일 수 있음을 보여줍니다.

결과

• 주요 비교: 큰 편향 공격 ($b_a = 0.50$) 하에서 "공격" 사례는 "정상" 사례 대비 지속 시간을 약 5 분 감소시키고 위험 전압 노출을 두 배 이상 증가시켰습니다. 5 초 탐지 지연을 활용한 "방어" 사례는 위험 전압 노출을 완전히 제거하고 중요 부하 서비스를 1 로 복원하여 정상 사례보다 지속 시간을 연장했습니다.
• 영역 분석: 지연 영역에 대한 폐쇄형 지속 시간 경계는 1 분 미만의 편차로 시뮬레이션 결과를 정확하게 예측했습니다. 완전 맹시 영역으로의 전환은 편향이 SOC 경고 임계값과 중요 임계값 간의 마진을 초과할 때 발생합니다.
• 방어 민감도: 민감도 분석에 따르면, 백업 제거 비율이 너무 낮을 경우 (예: 0.2), 방어가 버스 전압을 위험 대역 밖으로 끌어올리지 못해 무방어 사례의 516 초 대비 810 초의 위험 노출을 초래합니다. 방어가 무방어 사례보다 우위를 점하려면 0.4 초과의 제거 비율이 필요하며, 테스트된 편향 크기에 대해 위험 노출을 제거하려면 0.6 이 필요합니다.
• 소프트웨어 검증: MATLAB 및 Simulink 구현은 임무 지표에서 정확히 일치하며 궤적 차이는 보고된 정밀도에서 0 으로 나타나, 향후 HIL 배포를 위한 모델의 유효성을 입증했습니다.

의의 및 주장
본 논문은 공격과 방어를 공통의 임무 지향적 기반으로 비교할 수 있게 하는 벤치마크를 제공함으로써 사이버 - 물리 보안 연구의 공백을 메운다고 주장합니다. 저자들은 침묵 감시 작전의 경우, 단순히 침입이 탐지되었는지가 아니라 플랫폼이 할당된 임무를 완수할 수 있는지가 핵심 질문임을 역설합니다.

저자들은 결과를 특정 차량 플랫폼에 대한 절대적 예측이 아닌, 고정된 축소 차수 모델에 대한 지속 시간 및 서비스 지표의 변화로 겸손하게 제시합니다. 주요 의의는 다음을 입증하는 데 있습니다:

1. SOC 스푸핑은 구조화되고 분석적으로 근사화된 공격 포락선을 생성합니다.
2. 탐지만으로는 부족하며, 백업 조치의 깊이는 중요한 아키텍처 설계 변수입니다.
3. 조정된 다중 채널 적대자에 대한 침묵 감시 감시 루프의 향후 고충실도 HIL 테스트를 지원할 소프트웨어 검증 기반이 존재합니다.