Breitband-HF-Aufzeichnung und Spektrumarchivierung für forensisches SIGINT

Echtzeit-SIGINT beantwortet die Frage, was gerade geschieht. Forensisches SIGINT beantwortet eine andere und oft schwierigere Frage: Was geschah damals, und können Sie es beweisen? Diese Antwort erfordert eine Fähigkeit zur Breitbandaufzeichnung und Spektrumarchivierung — ein System, das rohes IQ in voller Treue erfasst, es mit überprüfbarer Provenienz speichert, es so indiziert, dass ein Analyst ein vor Wochen aufgetretenes Signal finden kann, und es durch dieselbe Verarbeitungskette wiedergibt, um ein Ergebnis zu reproduzieren. Dieser Artikel führt durch die Architektur eines solchen Systems: das Aufzeichnungs-Frontend, die IQ-Datenspeicherung, den Metadatenindex, die Aufbewahrungsrichtlinie und den Wiedergabepfad, der ein Archiv in ein forensisches Instrument verwandelt.

Warum überhaupt rohes IQ archivieren

Die meisten operativen SIGINT-Pipelines verwerfen Rohabtastwerte innerhalb von Sekunden. Sie kanalisieren das Band, erkennen Signale, klassifizieren sie und behalten nur die abgeleiteten Produkte — Erkennungsdatensätze, demodulierte Inhalte, Geolokalisierungs-Fixe. Das ist das richtige Design für eine Echtzeit-Mission, in der die Frage stets die Gegenwart betrifft und der Speicher endlich ist.

Forensische Arbeit bricht diese Annahme. Wenn ein neuer interessierender Emitter auftaucht, wollen Analysten zurückblicken und fragen: War dieses Signal letzte Woche vorhanden, und wo? Wird eine Erkennung angefochten, muss ein Analyst sie aus den Originalabtastwerten reproduzieren. Wird eine neuartige Wellenform entdeckt, ist die einzige Möglichkeit, sie zu untersuchen, die rohe Aufnahme durch neue Verarbeitung wiederzugeben, die es zum Zeitpunkt der Aufzeichnung des Signals noch nicht gab. Nichts davon ist möglich, wenn das System nur abgeleitete Produkte behielt. Rohes IQ ist die Grundwahrheit — alles andere ist eine verlustbehaftete Interpretation davon, und die Interpretation lässt sich stets neu durchführen, wenn die Abtastwerte erhalten bleiben.

Der Preis dieser Grundwahrheit ist das Datenvolumen, und er ist erheblich. Ein einzelner 100-MHz-Kanal mit 16-Bit-Komplexabtastwerten erzeugt rund 400 MB pro Sekunde — etwa 1,44 TB pro Stunde. Ein Vierkanal-Breitbandkollektor im Dauerbetrieb kann 100 TB pro Tag überschreiten. Die gesamte Architektur eines Spektrumarchivs ist im Grunde ein Satz von Strategien, um forensischen Wert aus rohem IQ zu gewinnen, ohne dafür zu bezahlen, alles für immer zu behalten.

Das Aufzeichnungs-Frontend

Das Aufzeichnungs-Frontend sitzt direkt hinter dem Digitalisierer und hat eine Aufgabe: komplexe Abtastwerte von der Leitung auf dauerhaften Speicher zu bewegen, ohne welche zu verlieren. Bei Breitbandraten ist dies ein Problem anhaltenden Durchsatzes, kein Rechenproblem. Das Standardmuster ist ein sperrfreier Ringpuffer im Hostspeicher, den das DMA des Digitalisierers füllt und ein Schreib-Thread leert, indem er Segmentdateien fester Größe auf eine schreiboptimierte Speicherschicht schreibt (NVMe in einem gestripten Array oder ein paralleles Dateisystem für sehr hohe Gesamtraten).

Zwei Eigenschaften müssen von Anfang an eingeplant sein. Erstens, diszipliniertes Timing. Jeder Abtastwert muss einen genauen, rückverfolgbaren Zeitstempel tragen, abgeleitet von einem GPS-disziplinierten Oszillator oder einer PTP-Referenz (IEEE 1588). Forensische Korrelation über Kollektoren hinweg — und jede künftige Geolokalisierungsarbeit — hängt von Zeitstempeln ab, die besser als eine Mikrosekunde genau und nachweislich auf eine Referenz rückverfolgbar sind. Zweitens, Integrität zur Schreibzeit. Ein kryptografischer Hash (typisch ist SHA-256) wird beim Schreiben über jedes Segment berechnet und in den Metadaten des Segments gespeichert. Dies fixiert die Integrität der Erfassung im Moment der Aufzeichnung, was die Grundlage jeder späteren Beweisbehauptung ist.

Das Aufzeichnungs-Frontend schreibt zudem einen selbstbeschreibenden Metadatensatz für jede Erfassung. Die Verarbeitung von IQ zu Aufklärungsergebnissen, die diese Aufnahmen konsumiert, ist dieselbe Kanalisierungs- und Erkennungskette, die in unserer Betrachtung der SDR-Signalverarbeitungs-Pipelines beschrieben wird — das Archiv fügt lediglich eine dauerhafte Speicherstufe zwischen Erfassung und Verarbeitung ein, damit die Pipeline später erneut über gespeicherte Abtastwerte laufen kann.

IQ-Datenspeicherung und Dateiformat

Die Wahl des Speicherformats entscheidet, ob eine Aufnahme in fünf Jahren noch verwendbar ist. Der De-facto-offene Standard ist SigMF (Signal Metadata Format), das eine binäre IQ-Datendatei mit einer JSON-Metadatendatei koppelt. Die Metadaten beschreiben Abtastrate, Mittenfrequenz, Datentyp (z. B. komplexe 16-Bit-Ganzzahl oder 32-Bit-Gleitkomma), Hardware, Erfassungsstartzeit und eine Liste von Annotationen, die interessierende Regionen innerhalb der Datei markieren. Da das Format selbstbeschreibend und nicht proprietär ist, bleibt eine SigMF-Aufnahme ohne die ursprüngliche Erfassungssoftware interpretierbar.

Trennung von Rohabtastwerten und abgeleiteten Metadaten

Ein Spektrumarchiv unterhält zwei physisch getrennte Datenspeicher. Der erste ist der Rohspeicher für IQ: große, einmal beschriebene Segmentdateien in SigMF, teuer im Erhalt, selten und nur per Byte-Offset zugegriffen. Der zweite ist der Speicher für abgeleitete Metadaten: kleine strukturierte Datensätze, die beschreiben, was im IQ gefunden wurde — Erkennungen, Merkmale, Spektrogramme, Emitter-Identifikationen. Analysten fragen den abgeleiteten Speicher ständig ab; sie berühren den Rohspeicher nur, wenn sie tatsächliche Abtastwerte wiedergeben müssen.

Diese Trennung treibt die Technologiewahl. Rohes IQ lebt auf Objektspeicher oder einem parallelen Dateisystem, optimiert für sequenziellen Durchsatz. Abgeleitete Metadaten leben in einer Datenbank, abgestimmt auf Zeit- und Frequenzbereichsabfragen — häufig ein spaltenorientierter Speicher wie Apache Parquet für die analytischen Merkmalstabellen, dem ein Zeitreihen- oder Suchindex für interaktives Nachschlagen vorgelagert ist. Die beiden sind durch einen Schlüssel verbunden: Jeder Metadatensatz trägt den Pfad seines Quell-IQ-Segments und den Byte-Offset des von ihm beschriebenen Abtastwertbereichs.

Die Bittiefe ist ein bewusster Kompromiss zwischen Treue und Kosten. Sechzehn-Bit-Komplexabtastwerte bewahren rund 96 dB Dynamikumfang, genug, um ein schwaches Signal unter einem starken Nachbarn im selben Band zu erfassen — die Situation, in der forensisches Detail am meisten zählt. Der Wechsel auf 8 Bit halbiert das Datenvolumen, verwirft aber diesen Spielraum, daher ist Aufzeichnung mit hoher Bittiefe Erfassungsbändern vorbehalten, in denen der Gleichkanal-Dynamikumfang operativ bedeutsam ist. Die Entscheidung wird im SigMF-Datentypfeld festgehalten, damit ein späterer Analyst genau weiß, welche Treue das Archiv hält.

Indizierung des Archivs

Ein unindiziertes Archiv ist ein nur beschreibbares schwarzes Loch — Abtastwerte gehen hinein und kommen nie wieder heraus, weil niemand sie finden kann. Indizierung ist das, was Speicher in ein Archiv verwandelt. Der Index wird durch einen Erkennungs- und Merkmalsextraktionsdurchlauf erstellt, der läuft, während Segmente eintreffen — dieselbe Art Erkennungs-Frontend, die im Spektrum-Monitoring auf unbefugte Emitter verwendet wird, umfunktioniert, um dauerhafte Indexdatensätze statt Live-Alarme zu schreiben.

Für jedes erkannte Signal gibt der Durchlauf einen Indexdatensatz aus, der mindestens enthält: das Zeitintervall, die Mittenfrequenz, die belegte Bandbreite, Spitzen- und Durchschnittsleistung, eine geschätzte Modulationsklasse, eine Emitter-Identifikation, wo verfügbar, und — entscheidend — den Pfad der Quell-IQ-Datei und den Byte-Offset des Abtastwertbereichs. Der Offset macht den Abruf günstig: Die Abfrage eines Analysten liefert Indexdatensätze zurück, und jeder Datensatz verweist direkt in den Rohspeicher, sodass Wiedergabe ein Springen-und-Lesen statt eines Scans ist.

Der Indexspeicher muss die Abfragen unterstützen, die Analysten tatsächlich ausführen, und diese sind überwiegend in Zeit und Frequenz begrenzt: „Zeig mir alles zwischen 2,40 und 2,48 GHz an diesem Tag mit Bandbreite unter 1 MHz und Leistung über diesem Schwellenwert.“ Ein zusammengesetzter Index über (Zeit, Frequenz, Leistung) auf den Erkennungsdatensätzen bedient diese effizient. Spektrogramme — heruntergesampelte Zeit-Frequenz-Leistungsbilder — werden als tertiäres Produkt gespeichert, damit ein Analyst einen ganzen Bandtag visuell durchscannen kann, ohne irgendein rohes IQ zu dekodieren.

Der Erkennungsdurchlauf sollte konservativ statt clever sein. Seine Aufgabe ist, jedes Signal später auffindbar zu machen, nicht eine endgültige Klassifizierung an Ort und Stelle zu erreichen, daher bevorzugt er Trefferquote: Er markiert jede Energie, die einen Schwellenwert überschreitet, selbst wenn die Modulationsschätzung unsicher ist. Verfeinerung — Bestätigung einer Modulationsklasse, Zuordnung eines Emitters, Korrelation über Kollektoren — geschieht später, bei Bedarf, durch Wiedergabe des indizierten rohen IQ über schwerere Analyse. Ein Index, der unterdetektiert, ist nicht wiederherstellbar, weil die fehlenden Signale nie als auffindbare Datensätze geschrieben wurden; ein Index, der überdetektiert, kostet nur ein wenig zusätzlichen Metadatenspeicher.

Aufbewahrungsrichtlinie: das Einzige, was das Archiv bezahlbar hält

Kein realistisches Budget behält rohes IQ in voller Treue von einem Breitbandkollektor für immer. Eine gestufte Aufbewahrungsrichtlinie ist das, was das Archiv finanziell möglich macht, und sie ist ein bewusster, dokumentierter Missionsparameter, kein nachträglicher Einfall.

Stufe 0 — gleitender Rohpuffer. Ein kurzes Fenster rohen IQ in voller Treue (Minuten bis wenige Stunden) wird stets auf dem schnellsten Speicher gehalten. Sein Zweck ist der Rückblick: Wenn ein neues interessierendes Signal auftaucht, können Analysten sofort zurückgreifen, um die Momente vor seiner Markierung zu erfassen, die sonst verloren sind. Der Puffer wird kontinuierlich überschrieben.

Stufe 1 — ausgelöste Rohaufbewahrung. Durch einen Auslöser markierte Erfassungen — ein Beobachtungslisten-Treffer, ein Anomaliedetektor oder ein expliziter Analystenauftrag — werden aus dem gleitenden Puffer befördert und für Tage bis Wochen als rohes IQ behalten. Dies ist der selektive Archivierungsmechanismus: Das System behält volle Treue nur dort, wo Beweise nahelegen, dass sie gebraucht wird.

Stufe 2 — abgeleitete Produkte, langfristig. Spektrogramme, Erkennungsmetadaten und extrahierte Merkmale werden unbefristet behalten. Sie belegen einen winzigen Bruchteil des Rohdatenvolumens, beantworten aber die meisten forensischen Fragen für sich allein. Ein Analyst kann allein aus Stufe 2 feststellen, dass ein Signal vorhanden war, auf welcher Frequenz, mit welchen Eigenschaften — und eskaliert nur dann zu einer Roh-Wiedergabe aus Stufe 1, wenn ein Beweis auf Abtastwert-Ebene erforderlich ist.

Die Migration zwischen den Stufen ist automatisiert. Alterndes rohes IQ wandert vom heißen NVMe in günstigeren Objektspeicher und wird schließlich gemäß Richtlinie gelöscht, während seine abgeleiteten Metadaten bestehen bleiben. Die Aufbewahrungsfenster, die Auslöserdefinitionen und der Löschplan sind allesamt Konfiguration, kein Code, sodass ein Erfassungsmanager sie pro Mission und pro Klassifizierungsbehörde abstimmen kann.

Wiedergabe und forensische Belastbarkeit

Der Lohn der gesamten Architektur ist die Wiedergabe: eine gespeicherte Erfassung zu nehmen und sie durch die Verarbeitung laufen zu lassen, als wäre sie live. Weil das Archiv sowohl das originale rohe IQ als auch die genauen Erfassungszeit-Parameter behalten hat, kann ein Analyst ein Signal mit neueren oder anderen Algorithmen neu verarbeiten oder einfach ein früheres Ergebnis reproduzieren, um es zu bestätigen. Die Wiedergabe springt zum Byte-Offset aus dem Indexdatensatz, verifiziert den gespeicherten Hash des Segments, um zu bestätigen, dass die Abtastwerte unverändert sind, und speist den Bereich durch die Verarbeitungskette.

Forensische Belastbarkeit ist die Eigenschaft, die eine Wiedergabe für jemanden glaubwürdig macht, der bei der Erfassung nicht anwesend war. Sie beruht auf drei Dingen, die die Architektur bereits geliefert hat: Provenienz — jede Erfassung trägt Kollektoridentität, Kalibrierzustand, Antennenkonfiguration und disziplinierte Zeitstempel, fixiert zur Aufzeichnungszeit; Integrität — der Schreibzeit-Hash beweist, dass sich die Abtastwerte nicht geändert haben; und Beweiskette — jeder Zugriff, Export und jede Wiedergabe wird in ein unveränderliches Audit-Protokoll geschrieben. Reproduzierbarkeit folgt direkt: Weil sowohl die Rohabtastwerte als auch die Verarbeitungsparameter erhalten bleiben, kann ein unabhängiger Analyst die Erfassung wiedergeben und dieselben Erkennungen und Messungen erhalten, was das Wesen eines belastbaren forensischen Befunds ist.

Dieselben Anforderungen an Provenienz und Zugriffskontrolle prägen das umfassendere Erfassungssystem; das geschichtete Design, das sie hervorbringt, wird in unserer Referenz zu Software-Defined-Radio-Plattformen für die Verteidigung behandelt.