Yksityiset 5G-verkot ovat siirtyneet kaupallis-yritysmaailman kuriositeetista vakavasti otettavaksi vaihtoehdoksi puolustusyhteyksiin. Yksityinen 5G-verkko antaa sotilasorganisaatiolle erillisen, suuren kapasiteetin matkapuhelinverkon, jonka se omistaa ja jota se hallitsee päästä päähän — radiot, ytimen, spektrin ja tilaajatietokannan. Tämä artikkeli selittää, kuinka suunnitella ja suojata yksityinen 5G sotilaskohteille: ydinarkkitehtuuri, verkon viipalointi tehtävien eriyttämiseen, spektrin ja radion suunnittelu, 5G:n tietoturvamalli, reunalaskennan integraatio ja eristetty toiminta.
Olennainen käyttöönottomalli ei ole valtakunnallinen mobiilikattavuus. Se on rajattu, suuren tiheyden yhteys kohteen sisällä — etutukikohdan, sataman, lentokentän, logistiikkasolmun, harjoitusalueen — jossa suuri määrä antureita, ajoneuvoja, käsilaitteita ja IoT-laitteita tarvitsee luotettavia, matalan viiveen, suuren kaistanleveyden linkkejä, joita kaupalliset operaattorit eivät voi tarjota turvallisesti. Yksityinen 5G täyttää tämän aukon kiinteänä tai puolikiinteänä infrastruktuurikerroksena, joka integroituu kohteen zero-trust-arkkitehtuuriin ja reunapilveen.
Miksi yksityinen 5G puolustukselle
Perustelu yksityiselle 5G:lle puolustuksessa nojaa hallintaan ja determinismiin. Kaupallisen operaattorin verkko on jaettua infrastruktuuria: sen kapasiteetista kilpailevat siviilitilaajat, sen kattavuus on optimoitu väestötiheyden eikä tehtävämaantieteen mukaan, ja sen ydintä operoi kolmas osapuoli, jonka prioriteetit, lailliset kuunteluvelvoitteet ja kestävyys ovat sotilaallisen hallinnan ulkopuolella. Kriisitilanteessa kaupalliset verkot voivat olla ruuhkautuneita, häirittyjä, heikentyneitä tai yksinkertaisesti sammutettuja. Yksityinen verkko poistaa tämän riippuvuuden kokonaan.
Erillisen spektrin hallinta tarkoittaa, että organisaatio tietää tarkalleen, mitä sen kaistalla lähetetään, ja voi hallita häiriöitä, ristiriitojen poistoa ja päästöjenhallintaa omilla ehdoillaan. Deterministinen viive on toinen ajuri: erittäin luotettavat matalan viiveen konfiguraatiot tarjoavat alle 10 millisekunnin edestakaiset matkat, mikä on tärkeää C2-signaloinnille, alustojen etäohjaukselle ja sensori-ampuja-silmukoille, joissa värinä ja häntäviive ovat hyväksymättömiä.
Taktiseen radioon verrattuna yksityinen 5G tarjoaa huomattavasti suuremman kaistanleveyden ja laitetiheyden — satoja teräväpiirto-ISR-syötteitä ja tuhansia IoT-antureita yhdessä verkossa — mutta se on kiinteää infrastruktuuria, ei liikkumisaaltomuotoa. Wi-Fi:hin verrattuna 5G tarjoaa operaattoritasoisen liikkuvuuden, aikataulutetun (ei kilpaillun) radiorajapintapääsyn, natiivin QoS:n, SIM-pohjaisen todennuksen ja kattavuusjäljen, johon Wi-Fi ei pysty. Kiinteälle kohteelle, joka tarvitsee sekä kapasiteettia että varmistettua pääsyä, yksityinen 5G on oikea työkalu.
5G-ydinarkkitehtuuri sotilaskäyttöönottoon
Ensimmäinen arkkitehtuuripäätös on itsenäinen (SA) vastaan ei-itsenäinen (NSA). NSA käyttää uudelleen 4G LTE -ydintä (EPC) ja ankkuroi 5G-radion olemassa olevaan LTE-ohjaustasoon — nopea ottaa käyttöön, mutta se perii LTE:n tietoturvarajoitukset eikä voi tarjota täyttä 5G-ominaisuusvalikoimaa. SA käyttää natiivia 5G-ydintä (5GC) palvelupohjaisella arkkitehtuurilla. Puolustukselle SA on oikea tavoite: vain SA tukee verkon viipalointia, URLLC:tä, parannettua 5G-todennusmallia ja tilaajaidentiteetin piilottamista. NSA on parhaimmillaan siirtymävaihe.
5GC erottaa ohjaustason käyttäjätasosta (CUPS — Control and User Plane Separation). Ohjaustasotoiminnot (AMF pääsylle ja liikkuvuudelle, SMF istunnoille, AUSF todennukselle, UDM tilaajatiedoille, NRF palvelujen löytämiseen) päättävät käytännön; käyttäjätasotoiminto (UPF) välittää varsinaisen liikenteen. Tämä erottelu antaa operaattorin sijoittaa UPF:n lähelle paikkaa, jossa liikenne kulutetaan — reunalle, radioiden viereen — pitäen samalla ohjaustoiminnot keskitettyinä, mikä on juuri sitä, mitä matalan viiveen reunakäsittely vaatii.
Puolustuksen yksityisen 5G-ytimen tulisi olla kontitettu ja toimia paikallisesti. Avoimen lähdekoodin 5G-ydinprojektit kuten Open5GS ja Magma osoittavat, että täysi 5GC voi toimia kontteina Kubernetes-klusterissa kohteen datakeskuksessa tai vahvistetussa reunapalvelimessa kentällä. Paikallinen isännöinti pitää koko ytimen — ja jokaisen tavun tilaaja- ja liikennedataa — infrastruktuurissa, jota organisaatio fyysisesti hallitsee, mikä on perustavanlaatuinen vaatimus luokitelluille käyttöönotoille.
Verkon viipalointi tehtävien eriyttämiseen
Verkon viipalointi jakaa yhden fyysisen 5G-verkon useaan loogiseen verkkoon, joista kullakin on itsenäinen suorituskyky ja eristys. 5G-standardi määrittelee kolme viipalepalvelutyyppiä. Parannettu mobiililaajakaista (eMBB) maksimoi läpäisyn suuren kaistanleveyden liikenteelle. Erittäin luotettava matalan viiveen viestintä (URLLC) takaa matalan viiveen ja korkean luotettavuuden aikakriittiselle ohjaukselle. Massiivinen koneviestintä (mMTC) tukee erittäin suurta määrää matalan tiedonsiirtonopeuden laitteita. Nämä kuvautuvat siististi puolustusliikenneluokkiin.
Sotilaskohteessa viipalointi eristää liikenteen tehtävän ja arkaluonteisuuden mukaan. ISR-video kulkee erillisellä eMBB-viipaleella, joka on mitoitettu jatkuvalle suurelle läpäisylle. C2-signalointi kulkee URLLC-viipaleella taatulla viivebudjetilla, jotta komentoliikenne ei koskaan näänny massavideon takia. Logistiikan ja tukikohdan infrastruktuurin IoT — ympäristöanturit, omaisuuden seuraimet, kulunvalvonta — kulkee mMTC-viipaleella, joka on viritetty laitetiheydelle eikä laitekohtaiselle kaistanleveydelle.
Jokaisella viipaleella on oma QoS-profiilinsa ja, ratkaisevasti, oma tietoturvarajansa. Viipalekohtainen salaus ja eristys tarkoittavat, että yhden viipaleen vaarantuminen tai kyllästyminen ei vuoda muihin: ylikuormitettu ISR-viipale ei voi viivyttää C2-liikennettä, eikä mMTC-viipaleen vaarantuneella IoT-laitteella ole reittiä C2-viipaleeseen. Viipale-eristys toteutetaan sekä RAN-aikatauluttajassa että ytimessä, ja viipaleenvalintakäytäntö on sidottu tilaajan tunnistetietoihin, joten laite päästetään vain niihin viipaleisiin, jotka sen tehtävärooli sallii.
Spektri- ja RAN-näkökohdat
Spektri on rajoittava rajoite. Yhdysvalloissa Citizens Broadband Radio Service (CBRS) 3,5 GHz:llä tarjoaa jaetun pääsyn, jota Spectrum Access System hallitsee, ja sitä käytetään laajasti yksityisverkoissa. Maailmanlaajuisesti 5G:n n78-kaista (3,3–3,8 GHz) on hallitseva keskikaista, joka tasapainottaa kattavuutta ja kapasiteettia, ja useat maat lisensoivat erillisen paikallisen yksityisverkkospektrin sen sisällä — Saksan paikallinen lisensointijärjestelmä 3,7–3,8 GHz:llä on tunnettu esimerkki. Jokaisen käyttöönoton on koordinoitava kansallisen spektriviranomaisen kanssa ja poistettava ristiriidat olemassa olevien sotilas- ja siviilikäyttäjien kanssa.
Radioliityntäverkko suunnitellaan kattavuusalueen ja vaativimman viipaleen ympärille. gNodeB-sijoittelua ohjaa RF-etenemismallinnus, joka ottaa huomioon rakennukset, maaston ja linkkibudjetin, jota tarvitaan URLLC-viive- ja luotettavuustavoitteen saavuttamiseen solun reunalla. Sisätilat ja tiheät alueet suosivat pieniä soluja; laajat avoimet alueet suosivat makrosoluja. Keskikaista tarjoaa käytännöllisen kompromissin matalan kaistan kantaman ja millimetriaaltojen kapasiteetin välillä.
Kenttä- ja retkikäyttöön radioinfrastruktuurin on oltava siirrettävää. Pyörillä liikkuvat solut ja kontitetut tukiasemat antavat kohteen pystyttää kattavuuden nopeasti uuteen paikkaan. Yksityinen 5G-tukiasema on myös RF-lähetin, jolla on havaittava sähkömagneettinen allekirjoitus, joten RAN-suunnittelu ei koske vain kattavuutta — sen on sovittava kohteen päästöjenhallinta-asentoon (EMCON), kyvyllä vähentää tehoa, muotoilla kattavuutta tai sammuttaa lähettimet, kun uhkaympäristö sitä vaatii.
Tietoturva-arkkitehtuuri
5G:n tietoturvamalli on merkittävä parannus aiempiin sukupolviin verrattuna, ja yksityinen käyttöönotto antaa operaattorin omistaa sen kaiken. Pysyvää tilaajaidentiteettiä (SUPI — Subscription Permanent Identifier) ei koskaan lähetetä selväkielisenä radiotiellä. Sen sijaan laite salaa sen SUCI:ksi (Subscription Concealed Identifier) kotiverkon julkisella avaimella, torjuen IMSI-catcher-seurantahyökkäykset, jotka vaivasivat 2G:tä/3G:tä/4G:tä.
Molemminpuolinen todennus käyttää 5G-AKA:ta (Authentication and Key Agreement): laite ja verkko todentavat toisensa, ja tuloksena oleva avainhierarkia suojaa signalointia ja käyttäjäliikennettä. Tunnistetiedot elävät SIM- tai eSIM-kortilla ja ytimen Unified Data Management (UDM) - ja todennustoiminnoissa (AUSF). Yksityisessä verkossa operaattori ajaa koko avainten toimitusketjua — luoden tilaaja-avaimet, toimittaen SIM- ja eSIM-kortit ja operoiden UDM:ää — joten kaupallisen operaattorin avaintenhallintaan ei ole luottamusriippuvuutta.
5G-todennus on ensimmäinen tekijä, ei koko tarina. Sen tulisi integroitua kohteen zero-trust-arkkitehtuuriin, jossa 5G-AKA-laitetodennusta täydentävät sovellustason identiteetti, laitteen tila ja jatkuva valtuutus. Jos verkon on koskaan yhdistyttävä toiseen 5G-verkkoon, Security Edge Protection Proxy (SEPP) suojaa verkkojen välistä signalointia verkkovierailurajalla; täysin eristetylle kohteelle SEPP-verkkovierailureittiä ei paljasteta lainkaan.
Reunalaskennan integraatio (MEC)
Monipääsyn reunalaskenta (MEC) on paikka, jossa yksityinen 5G ansaitsee paikkansa puolustukselle. MEC sijoittaa laskennan — palvelimet, GPU:t, kiihdyttimet — verkon reunalle, RAN:n kanssa samaan paikkaan, joten sovellukset toimivat radioiden vieressä eikä kaukaisessa datakeskuksessa. Koska CUPS antaa UPF:n istua reunalla, viipaleen liikenne voidaan ohjata suoraan paikalliseen MEC-sovellukseen ilman, että se koskaan kulkee runkoyhteyden kautta.
Arvokkain työkuorma on tekoälyn päättely reunalla. Drooneilta ja maa-antureilta tuleva ISR-video voidaan käsitellä siellä, mihin se saapuu — kohteiden tunnistus, seuranta ja luokittelu reunan GPU:illa gNodeB:n kanssa samassa paikassa — joten vain tunnistukset ja hälytykset, ei raakoja monen gigabitin syötteitä, on siirrettävä eteenpäin. Tämä kutistaa aikajanan sensorista päätökseen ja poistaa riippuvuuden pilviyhteydestä aikakriittiselle analytiikalle.
Viive-etu on ratkaiseva sensori-ampuja-sovelluksille. Edestakainen matka-aika kaukaiseen pilveen voi olla kymmeniä tai satoja millisekunteja; radion kanssa samassa paikassa oleva reunan MEC-solmu pitää koko sensori-käsittely-päätös-silmukan yksinumeroisissa millisekunneissa URLLC-viipaleella. Päättelyn, esikäsittelyn ja fuusion isännöinti 5G-reunalla on se, mikä muuttaa yksityisen 5G-verkon kuljetusputkesta taktiseksi laskentakudokseksi. Tämä malli linjautuu suoraan taktisen reunapilven kanssa yhteydettömiin operaatioihin.
Eristetty ja yhteydetön toiminta
Itsenäinen 5G-ydin ei tarvitse internetiä toimiakseen. Jokainen tarvittava verkkotoiminto — AMF, SMF, UPF, UDM, AUSF, NRF — voi toimia paikallisessa infrastruktuurissa, ja tilaajan todennus ratkeaa kokonaan paikallista UDM-tietokantaa vasten. Laitteet todentautuvat, liittyvät ja vaihtavat liikennettä ilman ulkoista riippuvuutta. Juuri tämä tekee yksityisestä 5G:stä toteuttamiskelpoisen luokitelluille suojavyöhykkeille ja yhteydettömille etukäyttöönotoille, joissa internetpääsy on saavuttamattomissa tai kielletty.
Eristetty toiminta asettaa kuitenkin kuria. Tilaajatietokanta ja paikallinen varmenneviranomainen on ylläpidettävä paikan päällä. Ytimen ja RAN:n ohjelmistopäivitykset on käsiteltävä hallitulla offline-prosessilla eikä vedettävä toimittajan pilvestä. Ajan synkronointi on usein unohdettu vaatimus: 5G riippuu tarkasta ajoituksesta, normaalisti paikallisesta GPS-tahdistetusta oskillaattorista tai atomikellosta eikä internetin NTP:stä, ja tämän aikalähteen on itse oltava kestävä GPS-estoa vastaan.
Kestävyys ja vikasietoisuus täydentävät suunnittelun. Ydinverkkotoimintojen tulisi toimia redundanssilla, jotta yhden solmun menetys ei kaada verkkoa, ja arkkitehtuurin tulisi heikentyä siististi — viipaleen tai MEC-solmun vikaantumisen ei pitäisi kaataa todennusta tai C2-yhteyttä. Koko ajan käyttöönoton on kunnioitettava EMCON:ia: kyky kuristaa, muotoilla tai vaientaa päästöt on osa sellaisen verkon operointia, jonka omat radiot ovat havaittava allekirjoitus.
Keskeinen oivallus: Yleisin väärinkäsitys yksityisestä 5G:stä puolustuksessa on, että se korvaa taktisen radion. Ei korvaa. Yksityinen 5G tarjoaa suuren kaistanleveyden, matalan viiveen yhteyden rajatulla kattavuusalueella — etutukikohta, satama, lentokenttä, harjoitusalue. Se on kiinteä tai puolikiinteä infrastruktuurikerros, ei liikkumisviestintäjärjestelmä. Oikea arkkitehtuuri kohtelee yksityistä 5G:tä suuren kapasiteetin selkärankana kohteiden sisällä ja taktista radiota (MANET) liikkuvana laajennuksena 5G-kattavuuden ulkopuolella, saumattomalla datan luovutuksella kahden alueen välillä rajalla.