How Stable Is a PNT Resilience Score? Decision-Instability of Single-Number Resilience Ratings under Framework-Aligned Weighting

기술 요약: 단일 수치 PNT 회복력 등급의 결정 불안정성

문제 정의
현재의 위치, 항법 및 시각(PNT) 회복력 프레임워크—특히 DHS의 회복력 있는 PNT 준수 프레임워크(RPCF) v2.0, RDRR(Resist-Detect-Respond-Recover) 모델, 그리고 Yang의 기준—는 개념적으로는 회복력을 정의하지만, 정량적인 측정 엔진은 결여되어 있다. 이들은 자기 선언(self-attestation), 체크리스트 또는 정성적인 성숙도 단계(0–4)에 의존한다. 이는 시스템 소유자가 준수를 선언하더라도, 그 결과로 도출된 단일 수치 점수나 성숙도 단계가 재현 가능하지 않으며 증거에 기반하지 않는다는 문제를 야기한다. 본 논문은 다차원적이고 물리적 상충 관계(예: 정밀도 대 강건성)가 존재하는 현실을 단일 합성 점수나 단계로 축소하는 과정에서 발생하는 특정 위험을 식별하며, 이러한 축소가 임의적인 가중치 선택에 민감하고, 측정된 행동이 아닌 선언에 의해 조작될 수 있음을 지적한다.

방법론
저자들은 RPCF v2.0, RDRR, 그리고 Yang의 기준에 부합하는 개방형 결정론적 점수 엔진을 구축하여 "누락된 측정 계층"을 생성하였다.

• 아키텍처 패널: 단일 대역 GNSS 및 다중 대역 GNSS부터 GNSS-관성 하이브리드, 스푸핑 방어 변형 모델, 그리고 (기저의 역량 없이 7가지 RPCF 기법을 모두 선언한) "페이퍼 타이거(paper-tiger)" 단일 대역 수신기, 그리고 진정으로 다양한 아키텍처(GNSS, 관성, 클락, eLoran)에 이르는 7개의 뚜렷한 PNT 아키텍처를 모델링하였다.
• 위협 앙상블: 5가지 위협 시나리오(정상, 광대역 재밍, 스푸핑, 미코닝, 그리고 복합 공격)를 시뮬레이션하였다.
• 점수 산정 메커니즘:
  • 하위 점수: 각 아키텍처는 행동 요약(홀드오버, 가용성, 탐지 AUC, 무결성, 경계 저하 플래그)으로 축소된다. 이는 7가지 RPCF 카테고리에 대한 하위 점수를 유도한다. 특히, 절차적 카테고리(Obfuscate, Limit, Isolate)는 선언된 존재 여부에 의해 결정되는 반면, 기능적 카테고리(Verify, Diversify, Mitigate, Recover)는 측정된 시뮬레이션 결과에 의해 결정된다.
  • 합성 점수: 7가지 RPCF 하위 점수의 가중 평균이다.
  • 성숙도 단계: RPCF의 정성적 정의와 구별되는, 운영화된 "최약체 연결(weakest-link)" 사다리(최소 하위 점수)와 경계 저하 게이트(bounded-degradation gate)를 사용한다.
• 안정성 분석: 연구는 대칭 디리클레 분포(집중도 $\alpha$를 1에서 20까지 변화)로부터 차원 가중치를 샘플링하여, 최상위 순위 아키텍처와 할당된 성숙도 단계의 안정성을 평가하였다. 지표로는 Top-1 변동률(flip rates), 순위 일치에 대한 Kendall's tau, 그리고 순위 범위가 포함되었다. 강건성은 모든 행동 동인(driver)에 대한 $\pm 20\%$ 섭동(perturbation)을 통해 테스트되었다.

주요 기여

1. 측정 엔진: 시뮬레이션된 PNT 행동을 추적 가능한 차원별 하위 점수(검증됨 vs 모델링됨의 출처 포함)로 매핑하는 개방형 결정론적 엔진.
2. 안정성 정량화: PNT 도메인에 복합 지표 민감도 분석을 적용하여, 단일 수치 PNT 회복력 등급의 결정 불안정성을 엄격하게 정량화함.
3. 보고 프로토콜: 단일 점수 대신 차원별 하위 점수, 순위 범위, 그리고 시나리오별 단계를 보고할 것을 제안함.

결과
본 연구는 회복력 등급의 안정성과 관련하여 세 가지 주요 결과를 도출하였다:

• 가중치 불안정성 (H1a): 단일 합성 승자의 안정성은 가중치 사전 확률(prior)에 크게 의존한다.
  • 능동적 거부(active denial)(재밍, 스푸핑) 상황에서는 진정으로 다양한 아키텍처가 가중치와 상관없이 압도적 우위를 점한다(약 99%의 추출에서 안정적).
  • 정상 조건(거부 없음) 하에서는, 재가중치(re-weighting)만으로도 승자가 22%의 추출에서 뒤바뀐다. 이 영역에서는 체크리스트를 준수하는 "페이퍼 타이거" 수신기가 강건한 시스템과 경쟁하며, 승자는 전적으로 어떤 차원에 가중치를 두느냐에 따라 결정된다.
  • 불안정성은 순위의 "경합 중인 중간 영역(contested middle)"에 집중되어 있으며, 최상위 및 최하위 아키텍처는 상대적으로 안정적이다.
• 단계의 위협 의존성 (H1b): 단일 성숙도 단계는 아키텍처의 속성이 아니라 가정된 위협의 속성이다.
  • "최약체 연결" 방식으로 운영했을 때, 동일한 다양한 아키텍처가 재밍/스푸핑 하에서는 Level 3, 미코닝 하에서는 Level 2, 그리고 정상 조건(회복이 입증되지 않는 경우) 하에서는 Level 0으로 평가되었다.
  • 이 불안정성은 **가중치 변화에 불변(invariant)**한다. 이는 최소-카테고리 규칙이 집계 방법이 아닌 위협 시나리오에 의해 결정되기 때문이다.
• 선언 대 측정 (H2): 자기 선언은 조작될 수 있다.
  • 7가지 RPCF 기법을 모두 선언한 "페이퍼 타이거" 수신기는 정상 조건에서 0.69를 기록하여, 진정으로 회복력 있는 GNSS-관성 시스템(0.34)보다 높은 점수를 받았다.
  • 그러나 거부 시나리오에서 페이퍼 타이거는 완전히 실패(Level 0, 경계 없는 저하)한 반면, 다양한 시스템은 높은 회복력을 유지했다. 이는 선언된 기법에 보상을 주는 합성 점수가 실제 측정된 회복력의 완전한 결여를 은폐할 수 있음을 보여준다.
• 외견상 vs 실질적 중복성 (H3): 공통 모드 장애(common-mode failure) 발생 시 외견상 중복성은 환상에 불과하다.
  • 4개의 독립적인 소스로 구성된 쿼드(quad)-GNSS 어레이는 단일 GNSS 공통 모드 장애 도메인에 할당되었을 때 실질적 다양성 1.0으로 붕괴되었다.
  • 반면, 진정으로 다양한 아키텍처는 3.9의 실질적 다양성을 유지했다. 점수 엔진은 실패 도메인을 기준으로 원천 개수와 실질적 다양성을 성공적으로 분리해냈다.

의의 및 주장
본 논문은 단일 수치 PNT 회복력 점수는 한 아키텍처가 명확히 우세한 경우(이 경우 지표가 불필요한 상황)에는 안전하지만, 의사 결정자가 실제로 가이드가 필요한 경합 상황에서는 불안정하고 오도될 수 있는 "유령(phantom)" 지표라고 주장한다.

저자들의 주장은 다음과 같다:

1. 단일 수치는 불충분하다: 단일 수치는 중요한 트레이드오프, 위협 의존성, 그리고 선언된 태세와 측정된 행동 사이의 간극을 은폐한다.
2. 보고 규율이 필요하다: 이해관계자는 출처(검증됨 vs 모델링됨)가 명시된 차원별 하위 점수, 방어 가능한 가중치에 따른 순위 범위, 그리고 위협 시나리오별 성숙도 단계를 보고해야 한다.
3. 인증보다 정직함: 제안된 엔진은 "시뮬레이션 기반 자기 평가"이지 인증이 아니다. 그 가치는 투명성(오픈 소스, 오라클 검증, 버전 관리)에 있으며, 권위를 주장하기보다 회의적인 구매자와 보험사를 위해 "불확실성에 대한 정직한 설명"을 제공하는 데 있다.

결론은 $\pm 20\%$의 모델 동인 섭동 하에서도 유효하지만, 저자들은 기능적 형태와 특정 결정 임계값(예: 탐지 AUC 컷오프)에 대한 강건성은 여전히 미해결 과제로 남아 있다고 언급한다. 이 작업은 기존의 RPCF v2.0이나 IEEE P1952를 대체하는 것이 아니라, 이를 지원하는 측정 계층을 제공하는 것이다.