A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

Technische Samenvatting: Een missiegericht benchmark voor cyber-resilience bij stil-waakbedrijf van elektrificatie-architecturen voor grondplatforms

Probleemstelling
De elektrificatie van militaire grondplatforms introduceert een nieuw bedreigingsoppervlak voor missieplanners, met name tijdens "stil-waak" (silent-watch) operaties waarbij de motor uitstaat en missielasten uitsluitend moeten worden onderhouden door opgeslagen batterij-energie. In deze modus arbitreert een supervisory controller tussen kritieke lasten (bijv. sensoren, communicatie) en afschakelbare lasten (bijv. klimaatbeheersing) op basis van de waargenomen staat van lading (SOC). Als een tegenstander de perceptie van de supervisor van de staat compromitteert – specifiek door SOC-spoofing – kan het platform zijn uithoudingsvermogen en de dienstverlening aan kritieke lasten verliezen, zelfs als de fysieke hardware intact blijft. Hoewel eerdere onderzoek de technische plausibiliteit van dergelijke aanvallen in civiele voertuigen en energiesystemen heeft vastgesteld, ontbreekt er een compacte benchmark die deze cyber-fysieke aanvallen evalueert op basis van hun directe gevolgen voor missiedoelen (zoals uithoudingsvermogen en continuïteit van kritieke lasten) in plaats van uitsluitend op detectie-metrics van intrusies.

Methodologie
De auteurs stellen een gereduceerde orde-benchmark op architectuurniveau voor, ontworpen om cyber-resilience in stil-waakscenario's te evalueren. Het systeem wordt gemodelleerd als een DC-bus-gecentreerd bron-opslag-last-besturingssysteem met een batterij, een optionele hulpbron (gehouden op nul voor stil-waak) en ontlede lasten.

• Bedreigingsmodel: De primaire bedreiging is injectie van een positieve bias in de SOC-meting ($s_m$) die door de supervisor wordt ontvangen. Dit zorgt ervoor dat de supervisor de beschikbare energie overschat, waardoor de beschermende afschakeling van niet-kritieke lasten wordt uitgesteld. Twee varianten van aanvalsfensters worden getest: een enkel continu venster en een variant met meerdere vensters.
• Verdedigingsmodel: De verdedigingslaag maakt gebruik van een op residualen gebaseerde detector die de bevooroordeelde meting ($s_m$) vergelijkt met een onafhankelijk gepropageerde schatting ($\hat{s}$) die is afgeleid uit de gemeten batterijvermogensbalans. Als het residual een drempelwaarde overschrijdt gedurende een bevestigingsvenster, activeert een fallback-controller een agressieve afschakeling van de resterende afschakelbare last.
• Evaluatiekader: De benchmark vergelijkt drie referentiecases:
  1. Nominaal: Geen aanval, geen verdediging.
  2. Aangevallen: Aanval actief, geen verdediging.
  3. Geverdeed: Aanval actief, met residual-detectie en fallback-afschakeling.
• Metrics: Vier missiegerichte metrics worden vastgelegd: Stil-waak uithoudingsvermogen (tijd tot missie-afbreking), ratio van bediende kritieke lasten, duur van onveilige spanning (tijd doorgebracht onder veilige spanningsbanden) en tijd tot detectie.
• Implementatie: De benchmark is geïmplementeerd in zowel een MATLAB-referentiemodel als een Simulink-model. Een regressie-harness verifieert de pariteit tussen de twee over vijf scenario's om een software-verifieerde basis te waarborgen voor toekomstige Hardware-in-the-Loop (HIL)-tests met OPAL-RT en EXataCPS.

Belangrijkste Bijdragen

1. Missiegericht Benchmark Formulier: Het artikel formuleert een benchmark die SOC-spoofing direct koppelt aan missieresultaten (uithoudingsvermogen, dienstverlening aan kritieke lasten) in plaats van aanvallen uitsluitend te evalueren via detectorrespons of besturingsfout.
2. Karakterisering van het Stelsel van Stille versus Impact: De studie karakteriseert een driedelige structuur onder SOC-bias-sweeps:
   • Stille Regime: Kleine biases blijven onder de ruisvloer van de detector met verwaarloosbare missie-impact.
   • Vertraging Regime: Intermediaire biases triggeren detectie maar veroorzaken een tekort aan uithoudingsvermogen dat wordt begrensd door een afgeleide gesloten-vorm expressie die bias-magnitude, afgeschakeld vermogen en gemiddelde batterijafname omvat.
   • Volledig Blind Regime: Grote biases (die de verschillen tussen waarschuwings- en kritieke SOC-drempels overschrijden) schakelen de SOC-gestuurde beveiliging volledig uit.
3. Ontwerpbeperking voor Fallback-Diepte: Het artikel identificeert dat de waarde van verdediging afhankelijk is van de diepte van de fallback-actie. Het toont aan dat een te kleine fallback-afschakelfractie kan leiden tot een "Geverdeed" case die slechter presteert dan de "Aangevallen" case (met meer blootstelling aan onveilige spanning) totdat de afgeschakelde fractie een specifieke drempel overschrijdt (ongeveer 0,4 in de gerapporteerde configuratie).

Resultaten

• Hoofdvergelijking: Onder een grote bias-aanval ($b_a = 0,50$) verminderde de "Aangevallen" case het uithoudingsvermogen met ongeveer 5 minuten en verdubbelde de blootstelling aan onveilige spanning meer dan in vergelijking met de "Nominale" case. De "Geverdeed" case, gebruikmakend van een detectielatentie van 5 seconden, elimineerde de blootstelling aan onveilige spanning volledig en verlengde het uithoudingsvermogen boven de nominale case door de dienstverlening aan kritieke lasten te herstellen naar eenheid.
• Regime-analyse: De gesloten-vorm grens voor uithoudingsvermogen voor het vertraging-regime voorspelde simulatieresultaten nauwkeurig met afwijkingen onder de één minuut. De overgang naar het volledig blind regime treedt op wanneer de bias de marge tussen de SOC-waarschuwings- en kritieke drempels overschrijdt.
• Verdedigingsgevoeligheid: Gevoeligheidsanalyse toonde aan dat als de fallback-afschakelfractie te laag is (bijv. 0,2), de verdediging de busspanning niet uit de onveilige band kan tillen, wat leidt tot 810 seconden onveilige blootstelling in vergelijking met 516 seconden in de onverdedigde case. Een afgeschakelde fractie boven de 0,4 is vereist opdat de verdediging beter presteert dan de onverdedigde case, en 0,6 is vereist om onveilige blootstelling te elimineren voor de geteste bias-magnitude.
• Software-verificatie: De MATLAB- en Simulink-implementaties toonden exacte pariteit in missiemetrics en trajectverschillen van nul tot de gerapporteerde precisie, waarmee het model wordt gevalideerd voor toekomstige HIL-deployments.

Betekenis en Claims
Het artikel claimt een gat in het onderzoek naar cyber-fysieke beveiliging op te vullen door een benchmark te bieden die het missieplanners en ontwikkelaars van verdedigingssystemen mogelijk maakt aanvallen en verdedigingen te vergelijken op een gemeenschappelijke, missiegerichte basis. Het betoogt dat voor stil-waakoperaties de kritieke vraag niet louter is of een intrusie wordt gedetecteerd, maar of het platform zijn toegewezen taak nog kan voltooien.

De auteurs presenteren de resultaten bescheiden als veranderingen in uithoudingsvermogen en service-metrics ten opzichte van een vast, gereduceerd orde-model, in plaats van absolute voorspellingen voor een specifiek voertuigplatform. De primaire betekenis ligt in het aantonen dat:

1. SOC-spoofing een gestructureerd, analytisch benaderbaar aanvalsvenster creëert.
2. Detectie alleen onvoldoende is; de diepte van de fallback-actie is een kritieke architecturale ontwerpparameter.
3. Een software-verifieerde baseline bestaat om toekomstige high-fidelity HIL-tests van stil-waak supervisory loops tegen gecoördineerde multi-kanaals tegenstanders te ondersteunen.