Enregistrement RF large bande et archivage spectral pour le SIGINT forensique

Le SIGINT en temps réel répond à la question de ce qui se passe maintenant. Le SIGINT forensique répond à une question différente et souvent plus difficile : que s'est-il passé alors, et pouvez-vous le prouver ? Y répondre exige une capacité d'enregistrement large bande et d'archivage spectral – un système qui capture l'IQ brut en pleine fidélité, le stocke avec une provenance vérifiable, l'indexe afin qu'un analyste puisse retrouver un signal survenu il y a des semaines, et le relit à travers la même chaîne de traitement pour reproduire un résultat. Cet article parcourt l'architecture d'un tel système : le front-end d'enregistrement, le stockage des données IQ, l'index de métadonnées, la politique de rétention et le chemin de relecture qui transforme une archive en instrument forensique.

Pourquoi archiver l'IQ brut

La plupart des pipelines SIGINT opérationnels rejettent les échantillons bruts en quelques secondes. Ils canalisent la bande, détectent les signaux, les classifient et ne conservent que les produits dérivés – enregistrements de détection, contenu démodulé, points de géolocalisation. C'est la bonne conception pour une mission en temps réel, où la question porte toujours sur le présent et où le stockage est fini.

Le travail forensique brise cette hypothèse. Lorsqu'un nouvel émetteur d'intérêt apparaît, les analystes veulent regarder en arrière et demander : ce signal était-il présent la semaine dernière, et où ? Lorsqu'une détection est contestée, un analyste doit la reproduire à partir des échantillons originaux. Lorsqu'une forme d'onde inédite est découverte, le seul moyen de l'étudier est de relire la capture brute à travers un nouveau traitement qui n'existait pas lorsque le signal a été enregistré. Aucune de ces possibilités n'existe si le système n'a conservé que les produits dérivés. L'IQ brut est la vérité terrain – tout le reste en est une interprétation avec perte, et l'interprétation peut toujours être refaite si les échantillons survivent.

Le coût de cette vérité terrain est le volume de données, et il est sévère. Un seul canal de 100 MHz en échantillons complexes 16 bits produit environ 400 Mo chaque seconde – soit environ 1,44 To par heure. Un collecteur large bande à quatre canaux fonctionnant en continu peut dépasser 100 To par jour. L'architecture entière d'une archive spectrale est, en effet, un ensemble de stratégies visant à extraire de la valeur forensique de l'IQ brut sans payer pour tout conserver à jamais.

Le front-end d'enregistrement

Le front-end d'enregistrement se situe directement derrière le numériseur et a une seule tâche : déplacer les échantillons complexes du fil vers un stockage durable sans en perdre aucun. Aux débits large bande, c'est un problème de débit soutenu, pas un problème de calcul. Le modèle standard est un tampon circulaire sans verrou en mémoire hôte que le DMA du numériseur remplit et qu'un thread d'écriture vide, écrivant des fichiers de segments de taille fixe vers un niveau de stockage optimisé pour l'écriture (NVMe en grappe entrelacée, ou un système de fichiers parallèle pour des débits agrégés très élevés).

Deux propriétés doivent être conçues dès le départ. Premièrement, une synchronisation disciplinée. Chaque échantillon doit porter un horodatage précis et traçable dérivé d'un oscillateur asservi au GPS ou d'une référence PTP (IEEE 1588). La corrélation forensique entre collecteurs – et tout futur travail de géolocalisation – dépend d'horodatages précis à mieux qu'une microseconde et prouvablement traçables à une référence. Deuxièmement, l'intégrité au moment de l'écriture. Un hachage cryptographique (SHA-256 est typique) est calculé sur chaque segment à mesure qu'il est écrit et stocké dans les métadonnées du segment. Cela fixe l'intégrité de la capture au moment de l'enregistrement, ce qui est le fondement de toute revendication probatoire ultérieure.

Le front-end d'enregistrement écrit également un enregistrement de métadonnées auto-descriptif pour chaque capture. Le traitement IQ-vers-renseignement qui consomme ces enregistrements est la même chaîne de canalisation et de détection décrite dans notre présentation des pipelines de traitement du signal SDR – l'archive insère simplement une étape de stockage durable entre la collecte et le traitement afin que le pipeline puisse s'exécuter à nouveau plus tard contre les échantillons stockés.

Stockage des données IQ et format de fichier

Le choix du format de stockage détermine si un enregistrement est encore utilisable dans cinq ans. Le standard ouvert de facto est SigMF (Signal Metadata Format), qui associe un fichier de données IQ binaire à un fichier de métadonnées JSON. Les métadonnées décrivent le taux d'échantillonnage, la fréquence centrale, le type de données (par ex. entier complexe 16 bits ou flottant 32 bits), le matériel, l'heure de début de capture et une liste d'annotations marquant les régions d'intérêt au sein du fichier. Parce que le format est auto-descriptif et non propriétaire, un enregistrement SigMF reste interprétable sans le logiciel de collecte original.

Séparer les échantillons bruts des métadonnées dérivées

Une archive spectrale maintient deux magasins de données physiquement distincts. Le premier est le magasin d'IQ brut : de gros fichiers de segments écrits une seule fois en SigMF, coûteux à conserver, rarement consultés et uniquement par décalage d'octets. Le second est le magasin de métadonnées dérivées : de petits enregistrements structurés décrivant ce qui a été trouvé dans l'IQ – détections, caractéristiques, spectrogrammes, identifications d'émetteurs. Les analystes interrogent le magasin dérivé en permanence ; ils ne touchent au magasin brut que lorsqu'ils ont besoin de relire des échantillons réels.

Cette séparation oriente le choix technologique. L'IQ brut réside sur un stockage objet ou un système de fichiers parallèle optimisé pour le débit séquentiel. Les métadonnées dérivées résident dans une base de données accordée aux requêtes par plage temporelle et fréquentielle – souvent un magasin en colonnes comme Apache Parquet pour les tables de caractéristiques analytiques, précédé d'un index de séries temporelles ou de recherche pour la consultation interactive. Les deux sont joints par une clé : chaque enregistrement de métadonnées porte le chemin de son segment IQ source et le décalage d'octets de la plage d'échantillons qu'il décrit.

La profondeur de bits est un compromis délibéré entre fidélité et coût. Les échantillons complexes seize bits préservent environ 96 dB de plage dynamique, suffisamment pour capturer un signal faible situé sous un voisin fort dans la même bande – la situation où le détail forensique importe le plus. Passer à 8 bits divise par deux le volume de données mais écarte cette marge, donc l'enregistrement en haute profondeur de bits est réservé aux bandes de collecte où la plage dynamique co-canal est opérationnellement significative. La décision est consignée dans le champ de type de données SigMF afin qu'un analyste ultérieur sache exactement quelle fidélité l'archive détient.

Indexer l'archive

Une archive non indexée est un trou noir en écriture seule – les échantillons entrent et ne ressortent jamais, parce que personne ne peut les retrouver. L'indexation est ce qui transforme le stockage en archive. L'index est construit par une passe de détection et d'extraction de caractéristiques qui s'exécute à mesure que les segments arrivent, le même type de front-end de détection utilisé dans la surveillance du spectre pour les émetteurs non autorisés, réorienté pour écrire des enregistrements d'index durables plutôt que des alertes en direct.

Pour chaque signal détecté, la passe émet un enregistrement d'index contenant, au minimum : l'intervalle temporel, la fréquence centrale, la largeur de bande occupée, la puissance de crête et moyenne, une classe de modulation estimée, une identification d'émetteur lorsqu'elle est disponible, et – essentiel – le chemin du fichier IQ source et le décalage d'octets de la plage d'échantillons. Le décalage est ce qui rend la récupération peu coûteuse : la requête d'un analyste renvoie des enregistrements d'index, et chaque enregistrement pointe directement dans le magasin brut, de sorte que la relecture est un positionnement-et-lecture plutôt qu'un balayage.

Le magasin d'index doit prendre en charge les requêtes que les analystes exécutent réellement, qui sont massivement bornées en temps et en fréquence : « montre-moi tout entre 2,40 et 2,48 GHz à cette date avec une largeur de bande inférieure à 1 MHz et une puissance supérieure à ce seuil. » Un index composite sur (temps, fréquence, puissance) sur les enregistrements de détection sert efficacement ces requêtes. Les spectrogrammes – images temps-fréquence-puissance sous-échantillonnées – sont stockés comme produit tertiaire afin qu'un analyste puisse balayer visuellement une bande-jour entière sans décoder le moindre IQ brut.

La passe de détection doit être prudente plutôt qu'astucieuse. Sa tâche est de rendre chaque signal trouvable plus tard, pas d'atteindre une classification finale sur le champ, donc elle favorise le rappel : elle marque toute énergie qui franchit un seuil, même si l'estimation de modulation est incertaine. L'affinage – confirmer une classe de modulation, attribuer un émetteur, corréler entre collecteurs – se produit plus tard, à la demande, en relisant l'IQ brut indexé à travers une analyse plus lourde. Un index qui sous-détecte est irrécupérable, car les signaux manquants n'ont jamais été écrits comme enregistrements trouvables ; un index qui sur-détecte coûte simplement un peu de stockage de métadonnées supplémentaire.

Politique de rétention : la seule chose qui maintient l'archive abordable

Aucun budget réaliste ne conserve à jamais l'IQ brut en pleine fidélité d'un collecteur large bande. Une politique de rétention hiérarchisée est ce qui rend l'archive financièrement possible, et c'est un paramètre de mission délibéré et documenté plutôt qu'une réflexion après coup.

Niveau 0 – tampon brut glissant. Une courte fenêtre d'IQ brut en pleine fidélité (de quelques minutes à quelques heures) est toujours conservée sur le stockage le plus rapide. Son but est le retour en arrière : lorsqu'un nouveau signal d'intérêt apparaît, les analystes peuvent immédiatement remonter pour capturer les instants précédant son signalement, qui sont autrement perdus. Le tampon est écrasé en continu.

Niveau 1 – rétention brute déclenchée. Les captures signalées par un déclencheur – une correspondance à une liste de surveillance, un détecteur d'anomalie ou une tâche d'analyste explicite – sont promues hors du tampon glissant et conservées en IQ brut pendant des jours à des semaines. C'est le mécanisme d'archivage sélectif : le système ne conserve la pleine fidélité que là où les preuves suggèrent qu'elle sera nécessaire.

Niveau 2 – produits dérivés, à long terme. Les spectrogrammes, les métadonnées de détection et les caractéristiques extraites sont conservés indéfiniment. Ils occupent une fraction minime du volume de données brutes mais répondent à la plupart des questions forensiques à eux seuls. Un analyste peut établir qu'un signal était présent, à quelle fréquence, avec quelles caractéristiques, à partir du seul niveau 2 – et ne passer à une relecture brute de niveau 1 que lorsqu'une preuve au niveau de l'échantillon est requise.

La migration entre niveaux est automatisée. L'IQ brut vieillissant passe du NVMe chaud vers un stockage objet moins coûteux et est finalement supprimé selon la politique, tandis que ses métadonnées dérivées persistent. Les fenêtres de rétention, les définitions de déclencheurs et le calendrier de suppression sont tous de la configuration, pas du code, de sorte qu'un gestionnaire de collecte peut les régler par mission et par autorité de classification.

Relecture et défendabilité forensique

La récompense de toute l'architecture est la relecture : prendre une capture stockée et l'exécuter à travers le traitement comme si elle était en direct. Parce que l'archive a conservé à la fois l'IQ brut original et les paramètres exacts au moment de la capture, un analyste peut retraiter un signal avec des algorithmes plus récents ou différents, ou simplement reproduire un résultat antérieur pour le confirmer. La relecture se positionne au décalage d'octets de l'enregistrement d'index, vérifie le hachage stocké du segment pour confirmer que les échantillons sont inaltérés, et fait passer la plage à travers la chaîne de traitement.

La défendabilité forensique est la propriété qui rend une relecture crédible aux yeux de quelqu'un qui n'était pas présent à la collecte. Elle repose sur trois choses que l'architecture a déjà fournies : la provenance – chaque capture porte l'identité du collecteur, l'état d'étalonnage, la configuration d'antenne et des horodatages disciplinés fixés au moment de l'enregistrement ; l'intégrité – le hachage au moment de l'écriture prouve que les échantillons n'ont pas changé ; et la chaîne de possession – chaque accès, export et relecture est consigné dans un journal d'audit immuable. La reproductibilité en découle directement : parce que les échantillons bruts et les paramètres de traitement sont tous deux conservés, un analyste indépendant peut relire la capture et obtenir les mêmes détections et mesures, ce qui est l'essence d'une conclusion forensique défendable.

Ces mêmes exigences de provenance et de contrôle d'accès façonnent le système de collecte plus large ; la conception en couches qui les produit est traitée dans notre référence sur les plateformes de radio logicielle pour la défense.