Breedband RF-opname en spectrumarchivering voor forensische SIGINT

Realtime SIGINT beantwoordt de vraag wat er nu gebeurt. Forensische SIGINT beantwoordt een andere en vaak moeilijkere vraag: wat gebeurde er toen, en kun je het bewijzen? Dat beantwoorden vereist een breedband opname- en spectrumarchiveringscapaciteit – een systeem dat ruwe IQ in volledige getrouwheid vastlegt, het met verifieerbare herkomst opslaat, het indexeert zodat een analist een signaal kan vinden dat weken geleden plaatsvond, en het door dezelfde verwerkingsketen afspeelt om een resultaat te reproduceren. Dit artikel loopt door de architectuur van zo'n systeem: de opname-frontend, de IQ-dataopslag, de metadata-index, het bewaarbeleid en het afspeelpad dat een archief tot een forensisch instrument maakt.

Waarom ruwe IQ überhaupt archiveren

De meeste operationele SIGINT-pijplijnen gooien ruwe samples binnen seconden weg. Ze kanaliseren de band, detecteren signalen, classificeren ze en bewaren alleen de afgeleide producten – detectierecords, gedemoduleerde inhoud, geolocatiebepalingen. Dat is het juiste ontwerp voor een realtime missie, waar de vraag altijd over het heden gaat en de opslag eindig is.

Forensisch werk doorbreekt die aanname. Wanneer een nieuwe zender van belang verschijnt, willen analisten terugkijken en vragen: was dit signaal vorige week aanwezig, en waar? Wanneer een detectie wordt betwist, moet een analist deze vanuit de originele samples reproduceren. Wanneer een nieuwe golfvorm wordt ontdekt, is de enige manier om deze te bestuderen het afspelen van de ruwe capture door nieuwe verwerking die niet bestond toen het signaal werd opgenomen. Geen van deze is mogelijk als het systeem alleen afgeleide producten heeft bewaard. Ruwe IQ is de grondwaarheid – al het andere is een verliesgevende interpretatie ervan, en de interpretatie kan altijd worden overgedaan als de samples blijven bestaan.

De prijs van die grondwaarheid is datavolume, en die is fors. Eén kanaal van 100 MHz in 16-bits complexe samples produceert ruwweg 400 MB per seconde – ongeveer 1,44 TB per uur. Een vierkanaals breedband collector die continu draait kan 100 TB per dag overschrijden. De gehele architectuur van een spectrumarchief is in feite een verzameling strategieën om forensische waarde uit ruwe IQ te halen zonder te betalen om alles voor altijd te bewaren.

De opname-frontend

De opname-frontend zit direct achter de digitizer en heeft één taak: complexe samples van de draad af en naar duurzame opslag verplaatsen zonder er ook maar één te laten vallen. Bij breedbandsnelheden is dit een probleem van aanhoudende doorvoer, geen rekenprobleem. Het standaardpatroon is een lock-free ringbuffer in hostgeheugen die de DMA van de digitizer vult en een schrijfthread leegt, waarbij segmentbestanden van vaste grootte worden geschreven naar een schrijf-geoptimaliseerde opslaglaag (NVMe in een striped array, of een parallel bestandssysteem voor zeer hoge geaggregeerde snelheden).

Twee eigenschappen moeten vanaf het begin worden ingebouwd. Ten eerste, gedisciplineerde timing. Elke sample moet een nauwkeurige, traceerbare tijdstempel dragen die is afgeleid van een GPS-gedisciplineerde oscillator of een PTP (IEEE 1588)-referentie. Forensische correlatie tussen collectors – en elk toekomstig geolocatiewerk – hangt af van tijdstempels die nauwkeurig zijn tot beter dan een microseconde en aantoonbaar traceerbaar naar een referentie. Ten tweede, integriteit bij het schrijven. Een cryptografische hash (SHA-256 is typisch) wordt berekend over elk segment terwijl het wordt geschreven en opgeslagen in de metadata van het segment. Dit legt de integriteit van de capture vast op het moment van opname, wat het fundament is van elke latere bewijsclaim.

De opname-frontend schrijft ook een zelfbeschrijvend metadatarecord voor elke capture. De IQ-naar-inlichtingen-verwerking die deze opnames consumeert is dezelfde kanalisatie-en-detectieketen die wordt beschreven in onze uiteenzetting over SDR-signaalverwerkingspijplijnen – het archief voegt simpelweg een duurzame opslagfase in tussen verzameling en verwerking zodat de pijplijn later opnieuw kan draaien tegen opgeslagen samples.

IQ-dataopslag en bestandsformaat

De keuze van het opslagformaat bepaalt of een opname over vijf jaar nog bruikbaar is. De de facto open standaard is SigMF (Signal Metadata Format), die een binair IQ-databestand koppelt aan een JSON-metadatabestand. De metadata beschrijven de samplesnelheid, middenfrequentie, datatype (bijv. complex 16-bits geheel getal of 32-bits float), hardware, capture-starttijd en een lijst van annotaties die regio's van belang binnen het bestand markeren. Omdat het formaat zelfbeschrijvend en niet-propriëtair is, blijft een SigMF-opname interpreteerbaar zonder de originele verzamelsoftware.

Ruwe samples scheiden van afgeleide metadata

Een spectrumarchief onderhoudt twee fysiek gescheiden dataopslagplaatsen. De eerste is de ruwe IQ-opslag: grote, eenmaal-geschreven segmentbestanden in SigMF, duur om te bewaren, zelden benaderd en alleen per byte-offset. De tweede is de afgeleide-metadata-opslag: kleine gestructureerde records die beschrijven wat er in de IQ werd gevonden – detecties, kenmerken, spectrogrammen, zenderidentificaties. Analisten bevragen de afgeleide opslag voortdurend; ze raken de ruwe opslag alleen aan wanneer ze daadwerkelijke samples moeten afspelen.

Deze scheiding stuurt de technologiekeuze. Ruwe IQ leeft op objectopslag of een parallel bestandssysteem geoptimaliseerd voor sequentiële doorvoer. Afgeleide metadata leven in een database afgestemd op tijd- en frequentiebereik-query's – vaak een kolomgerichte opslag zoals Apache Parquet voor de analytische kenmerktabellen, voorafgegaan door een tijdreeks- of zoekindex voor interactief opzoeken. De twee worden samengevoegd door een sleutel: elk metadatarecord draagt het pad van zijn bron-IQ-segment en de byte-offset van het sample-bereik dat het beschrijft.

Bitdiepte is een bewuste afweging tussen getrouwheid en kosten. Zestien-bits complexe samples behouden ruwweg 96 dB dynamisch bereik, genoeg om een zwak signaal vast te leggen dat onder een sterke buur in dezelfde band zit – de situatie waarin forensisch detail het meest telt. Terugvallen naar 8-bits halveert het datavolume maar gooit die marge weg, dus opname met hoge bitdiepte is voorbehouden aan verzamelbanden waar het cokanaal dynamisch bereik operationeel significant is. De beslissing wordt vastgelegd in het SigMF-datatypeveld zodat een latere analist precies weet welke getrouwheid het archief bevat.

Het archief indexeren

Een ongeïndexeerd archief is een write-only zwart gat – samples gaan erin en komen er nooit meer uit, omdat niemand ze kan vinden. Indexering is wat opslag in een archief verandert. De index wordt gebouwd door een detectie-en-kenmerkextractiepas die draait terwijl segmenten binnenkomen, hetzelfde soort detectie-frontend dat wordt gebruikt bij spectrummonitoring voor ongeautoriseerde zenders, hergebruikt om duurzame indexrecords te schrijven in plaats van live waarschuwingen.

Voor elk gedetecteerd signaal genereert de pas één indexrecord dat ten minste bevat: het tijdsinterval, de middenfrequentie, de bezette bandbreedte, het piek- en gemiddelde vermogen, een geschatte modulatieklasse, een zenderidentificatie waar beschikbaar, en – cruciaal – het bron-IQ-bestandspad en de byte-offset van het sample-bereik. De offset is wat ophaling goedkoop maakt: de query van een analist retourneert indexrecords, en elk record wijst rechtstreeks in de ruwe opslag, zodat afspelen een spring-en-lees is in plaats van een scan.

De indexopslag moet de query's ondersteunen die analisten daadwerkelijk uitvoeren, die overweldigend begrensd zijn in tijd en frequentie: "toon me alles tussen 2,40 en 2,48 GHz op deze datum met een bandbreedte onder 1 MHz en een vermogen boven deze drempel." Een samengestelde index op (tijd, frequentie, vermogen) over de detectierecords bedient deze efficiënt. Spectrogrammen – gedownsamplede tijd-frequentie-vermogensbeelden – worden opgeslagen als tertiair product zodat een analist een hele band-dag visueel kan scannen zonder enige ruwe IQ te decoderen.

De detectiepas moet eerder voorzichtig dan slim zijn. Zijn taak is om elk signaal later vindbaar te maken, niet om ter plekke tot een eindclassificatie te komen, dus geeft hij voorrang aan recall: hij markeert elke energie die een drempel overschrijdt, zelfs als de modulatieschatting onzeker is. Verfijning – het bevestigen van een modulatieklasse, het toeschrijven van een zender, correleren tussen collectors – gebeurt later, op aanvraag, door de geïndexeerde ruwe IQ door zwaardere analyse af te spelen. Een index die onderdetecteert is onherstelbaar, omdat de ontbrekende signalen nooit als vindbare records zijn geschreven; een index die overdetecteert kost slechts wat extra metadataopslag.

Bewaarbeleid: het enige dat het archief betaalbaar houdt

Geen enkel realistisch budget bewaart full-fidelity ruwe IQ van een breedband collector voor altijd. Een gelaagd bewaarbeleid is wat het archief financieel mogelijk maakt, en het is een bewuste, gedocumenteerde missieparameter in plaats van een bijzaak.

Tier 0 – schuivende ruwe buffer. Een kort venster van full-fidelity ruwe IQ (minuten tot enkele uren) wordt altijd op de snelste opslag bewaard. Het doel is terugkijken: wanneer een nieuw signaal van belang verschijnt, kunnen analisten onmiddellijk teruggrijpen om de momenten vóór de markering vast te leggen, die anders verloren gaan. De buffer wordt continu overschreven.

Tier 1 – getriggerde ruwe bewaring. Captures die door een trigger worden gemarkeerd – een watchlist-match, een anomaliedetector of expliciete analist-taakstelling – worden uit de schuivende buffer gepromoot en als ruwe IQ bewaard gedurende dagen tot weken. Dit is het selectieve archiveringsmechanisme: het systeem behoudt volledige getrouwheid alleen waar bewijs suggereert dat het nodig zal zijn.

Tier 2 – afgeleide producten, langdurig. Spectrogrammen, detectiemetadata en geëxtraheerde kenmerken worden voor onbepaalde tijd bewaard. Ze beslaan een fractie van het ruwe datavolume maar beantwoorden de meeste forensische vragen op zichzelf. Een analist kan vaststellen dat een signaal aanwezig was, op welke frequentie, met welke kenmerken, alleen vanuit Tier 2 – en pas escaleren naar een Tier 1 ruwe afspeling wanneer bewijs op sample-niveau vereist is.

Migratie tussen tiers is geautomatiseerd. Verouderende ruwe IQ verplaatst van hete NVMe naar goedkopere objectopslag en wordt uiteindelijk verwijderd conform beleid, terwijl de afgeleide metadata blijven bestaan. De bewaarvensters, de triggerdefinities en het verwijderschema zijn allemaal configuratie, geen code, zodat een verzamelingsbeheerder ze per missie en per classificatie-autoriteit kan afstemmen.

Afspelen en forensische verdedigbaarheid

De beloning van de hele architectuur is afspelen: een opgeslagen capture nemen en deze door verwerking laten lopen alsof het live was. Omdat het archief zowel de originele ruwe IQ als de exacte capture-tijdparameters heeft bewaard, kan een analist een signaal opnieuw verwerken met nieuwere of andere algoritmen, of simpelweg een eerder resultaat reproduceren om het te bevestigen. Afspelen springt naar de byte-offset uit het indexrecord, verifieert de opgeslagen hash van het segment om te bevestigen dat de samples ongewijzigd zijn, en voert het bereik door de verwerkingsketen.

Forensische verdedigbaarheid is de eigenschap die een afspeling geloofwaardig maakt voor iemand die niet bij de verzameling aanwezig was. Ze berust op drie dingen die de architectuur al heeft geleverd: herkomst – elke capture draagt collector-identiteit, kalibratiestatus, antenneconfiguratie en gedisciplineerde tijdstempels die bij de opname zijn vastgelegd; integriteit – de hash bij het schrijven bewijst dat de samples niet zijn gewijzigd; en bewaarketen – elke toegang, export en afspeling wordt vastgelegd in een onveranderlijk auditlog. Reproduceerbaarheid volgt direct: omdat zowel de ruwe samples als de verwerkingsparameters worden bewaard, kan een onafhankelijke analist de capture afspelen en dezelfde detecties en metingen verkrijgen, wat de essentie is van een verdedigbare forensische bevinding.

Diezelfde herkomst- en toegangscontrole-eisen vormen het bredere verzamelsysteem; het gelaagde ontwerp dat ze produceert wordt behandeld in onze referentie over software-defined radioplatforms voor defensie.