A Mission-Centric Cyber-Resilience Benchmark for Silent-Watch Operation of Electrified Ground-Platform Power Architectures

Resumo Técnico: Um Benchmark Centrado na Missão para Resiliência Cibernética em Operações de Vigilância Silenciosa de Arquiteturas de Energia de Plataformas Terrestres Eletrificadas

Declaração do Problema
A eletrificação de plataformas terrestres militares introduz uma nova superfície de ameaça para os planejadores de missão, particularmente durante operações de "vigilância silenciosa", onde o motor está desligado e as cargas da missão devem ser sustentadas exclusivamente pela energia armazenada na bateria. Neste modo, um controlador supervisor arbitra entre cargas críticas (por exemplo, sensores, comunicações) e cargas descartáveis (por exemplo, controle climático) com base no estado de carga (SOC) percebido. Se um adversário comprometer a percepção do supervisor sobre o estado — especificamente através de falsificação de SOC — a plataforma pode perder a autonomia e o serviço de cargas críticas, mesmo que o hardware físico permaneça intacto. Embora pesquisas anteriores tenham estabelecido a plausibilidade técnica de tais ataques em veículos civis e sistemas de energia, há uma falta de um benchmark compacto que avalie esses ataques ciber-físicos com base em suas consequências diretas para os objetivos da missão (como autonomia e continuidade de cargas críticas) e não apenas em métricas de detecção de intrusão.

Metodologia
Os autores propõem um benchmark de ordem reduzida, em nível de arquitetura, projetado para avaliar a resiliência cibernética em cenários de vigilância silenciosa. O sistema é modelado como um sistema fonte-armazenamento-carga-controle centrado em um barramento DC, com uma bateria, uma fonte auxiliar opcional (mantida em zero para vigilância silenciosa) e cargas decompostas.

• Modelo de Ameaça: A principal ameaça é a injeção de viés positivo na medição de SOC ($s_m$) recebida pelo supervisor. Isso faz com que o supervisor superestime a energia disponível, atrasando o descarte protetor de cargas não críticas. Duas variantes de janela de ataque são testadas: uma janela contínua única e uma variante de múltiplas janelas.
• Modelo de Defesa: A camada de defesa emprega um detector baseado em resíduo que compara a medição enviesada ($s_m$) contra uma estimativa propagada independentemente ($\hat{s}$) derivada do balanço de potência da bateria medido. Se o resíduo exceder um limiar por uma janela de confirmação, um controlador de fallback aciona um descarte agressivo da carga descartável restante.
• Estrutura de Avaliação: O benchmark compara três casos de referência:
  1. Nominal: Sem ataque, sem defesa.
  2. Atacado: Ataque ativo, sem defesa.
  3. Defendido: Ataque ativo, com detecção por resíduo e descarte de fallback.
• Métricas: Quatro métricas voltadas para a missão são registradas: Autonomia em vigilância silenciosa (tempo até o abortamento da missão), razão de carga crítica atendida, duração de tensão insegura (tempo gasto abaixo das faixas de tensão segura) e tempo até a detecção.
• Implementação: O benchmark é implementado tanto em um modelo de referência MATLAB quanto em um modelo Simulink. Um conjunto de testes de regressão verifica a paridade entre os dois em cinco cenários para garantir uma base verificada por software para futuros testes Hardware-in-the-Loop (HIL) com OPAL-RT e EXataCPS.

Principais Contribuições

1. Formulação de Benchmark Centrado na Missão: O artigo formula um benchmark que vincula a falsificação de SOC diretamente aos resultados da missão (autonomia, serviço de cargas críticas) em vez de avaliar ataques apenas através da resposta do detector ou erro de controle.
2. Caracterização do Envelope de Furtividade versus Impacto: O estudo caracteriza uma estrutura de três regimes sob varreduras de viés de SOC:
   • Regime de Furtividade: Vieses pequenos permanecem abaixo do piso de ruído do detector com impacto de missão negligenciável.
   • Regime de Atraso: Vieses intermediários acionam a detecção, mas causam um déficit de autonomia limitado por uma expressão de forma fechada derivada que envolve a magnitude do viés, a potência descartada e a média de consumo da bateria.
   • Regime de Cegueira Total: Vieses grandes (excedendo a diferença entre os limiares de SOC de alerta e crítico) desativam completamente a proteção acionada pelo SOC.
3. Restrição de Design da Profundidade do Fallback: O artigo identifica que o valor da defesa é contingente à profundidade da ação de fallback. Ele demonstra que uma fração de descarte de fallback subdimensionada pode resultar em um caso "Defendido" que performa pior do que o caso "Atacado" (acumulando mais exposição a tensão insegura) até que a fração descartada exceda um limiar específico (aproximadamente 0,4 na configuração relatada).

Resultados

• Comparação Principal: Sob um ataque de viés grande ($b_a = 0,50$), o caso "Atacado" reduziu a autonomia em ~5 minutos e mais do que duplicou a exposição a tensão insegura em comparação com o caso "Nominal". O caso "Defendido", utilizando uma latência de detecção de 5 segundos, eliminou totalmente a exposição a tensão insegura e estendeu a autonomia além do caso Nominal, restaurando o serviço de cargas críticas para a unidade.
• Análise de Regime: O limite de autonomia de forma fechada para o regime de atraso previu com precisão os resultados da simulação, com desvios inferiores a um minuto. A transição para o regime de cegueira total ocorre quando o viés excede a margem entre os limiares de SOC de alerta e crítico.
• Sensibilidade da Defesa: A análise de sensibilidade revelou que, se a fração de descarte de fallback for muito baixa (por exemplo, 0,2), a defesa falha em elevar a tensão do barramento para fora da faixa insegura, levando a 810 segundos de exposição insegura em comparação com 516 segundos no caso sem defesa. É necessária uma fração descartada acima de 0,4 para que a defesa supere o caso sem defesa, e 0,6 é necessária para eliminar a exposição insegura para a magnitude de viés testada.
• Verificação de Software: As implementações MATLAB e Simulink mostraram paridade exata nas métricas de missão e diferenças de trajetória de zero até a precisão relatada, validando o modelo para futura implantação HIL.

Significância e Alegações
O artigo afirma preencher uma lacuna na pesquisa de segurança ciber-física ao fornecer um benchmark que permite aos planejadores de missão e desenvolvedores de defesa comparar ataques e defesas em uma base comum voltada para a missão. Ele argumenta que, para operações de vigilância silenciosa, a questão crítica não é meramente se uma intrusão é detectada, mas se a plataforma ainda pode completar sua tarefa atribuída.

Os autores enquadram modestamente os resultados como mudanças nas métricas de autonomia e serviço relativas a um modelo fixo de ordem reduzida, em vez de previsões absolutas para uma plataforma de veículo específica. A principal significância reside em demonstrar que:

1. A falsificação de SOC cria um envelope de ataque estruturado e aproximado analiticamente.
2. A detecção por si só é insuficiente; a profundidade da ação de fallback é uma variável de design arquitetural crítica.
3. Existe uma base verificada por software para apoiar futuros testes HIL de alta fidelidade de loops supervisores de vigilância silenciosa contra adversários coordenados de múltiplos canais.