Oprogramowanie dowodzenia i kierowania dla działań nawodnych

Walka nawodna to jedno z najbardziej nasyconych informacjami środowisk, jakim system C2 musi zarządzać. W Centrum Informacji Bojowej (CIC) nowoczesnej fregaty lub niszczyciela dziesiątki tropów — kontakty nawodne, zagrożenia powietrzne, sygnatury podwodne, jednostki przyjazne, śmigłowce i pojazdy bezzałogowe — są nieprzerwanie aktualizowane z organicznych sensorów i łączy danych, każdy wymagający klasyfikacji, priorytetyzacji i natychmiastowego sprawdzenia wobec aktywnych stref uzbrojenia. Oprogramowanie zarządzające tym procesem to nie tylko aplikacja mapowa z kanałami sensorów: to wielowarstwowa architektura silników fuzji, stosów protokołów łączy danych, modułów koordynacji uzbrojenia i kryptograficznie oddzielonych sieci, działających na sprzęcie, który musi przetrwać długie misje morskie bez okna aktualizacji. Niniejszy artykuł to techniczne omówienie architektury morskiego oprogramowania C2 dla działań nawodnych — obejmuje obraz taktyczny, integrację łączy danych, zarządzanie strefami WEZ, morski C2 ZOP, koordynację z lotnictwem patrolowym oraz ograniczenia cyberbezpieczeństwa narzucane przez środowisko okrętowe. Szersze spojrzenie na architekturę wojskowego C2 zawiera nasz kompletny przewodnik po wojskowych systemach C2.

Zakres morskiego C2: od automatyzacji CIC do C2 floty

Morskie dowodzenie i kierowanie to nie jeden system, lecz stos trzech odrębnych warstw funkcjonalnych, z różnymi wymaganiami dotyczącymi opóźnień, wolumenów danych i ról operatorów. Mylenie ich na etapie projektowania architektury skutkuje rozwiązaniem, które nie spełnia żadnej z nich w wystarczającym stopniu.

Warstwa automatyzacji CIC na poziomie okrętu jest najszybsza i najbardziej operacyjnie bezpośrednia. Łączy organiczne sensory — radar okrętowy, odbiorniki ESM, sonar, systemy elektrooptyczne — z danymi z łączy w jedną bazę tropów, zarządza systemami uzbrojenia i zapewnia oficerowi wachtowemu oraz dowódcy okrętu konsole wyświetlania niezbędne do prowadzenia walki w czasie rzeczywistym. Częstotliwości aktualizacji mierzone są tu w sekundach; czas od wykrycia przez sensor do wyświetlenia u operatora musi wynosić poniżej trzech sekund, aby obraz taktyczny był użyteczny do działania. Warstwa ta działa wewnątrz Centrum Informacji Bojowej w sklasyfikowanej, fizycznie wyizolowanej sieci i musi pozostawać sprawna niezależnie od stanu łączy komunikacyjnych z wyższymi szczeblami.

Warstwa C2 grupy zadaniowej koordynuje wiele okrętów. Nawodna grupa działań lub uderzeniowa grupa lotniskowcowa działa jako zintegrowana jednostka, dzieląc wspólny obraz taktyczny między wszystkimi kadłubami, koordynując strefy uzbrojenia tak, by trajektoria pocisku jednego okrętu nie nakładała się na tor lotu śmigłowca ZOP innego, i dekonfliktując ogień w całej grupie. Oprogramowanie na tej warstwie agreguje obrazy tropów poszczególnych okrętów przez łącza danych, usuwa duplikaty w przypadku gdy ten sam kontakt pojawia się na sensorach kilku okrętów, i dystrybuuje zsynchronizowane aktualizacje WEZ z powrotem do każdego kadłuba. Częstotliwości aktualizacji mierzone są tu w dziesiątkach sekund; obraz grupy zadaniowej jest nieco mniej szczegółowy niż organiczny obraz pojedynczego okrętu, lecz obejmuje znacznie większy obszar geograficzny.

Warstwa dowodzenia flotą zajmuje się planowaniem operacyjnym i dystrybucją tropów strategicznych. Otrzymuje zagregowane streszczenia od grup zadaniowych, wydaje rozkazy manewrowe i zasady użycia ognia, oraz utrzymuje obraz na poziomie operacyjnym potrzebny do planowania kampanii. Warstwa ta działa na łączach dalekiego zasięgu, toleruje większe opóźnienia i jest typowo rozmieszczona na lądzie lub na dedykowanym okręcie dowodzenia, a nie na każdej jednostce bojowej. Wielodomenowa architektura C2 rządząca nowoczesnymi operacjami połączonymi zwykle łączy warstwę dowodzenia flotą ze wspólnym operacyjnym obrazem sytuacji, udostępniając obraz morski elementom dowodzenia lądowego i lotniczego.

Te trzy warstwy muszą być zaprojektowane z czystymi interfejsami między nimi. Warstwa automatyzacji CIC, która udostępnia swój wewnętrzny magistralę komunikatów fuzji sensorów warstwie grupy zadaniowej, będzie słabo skalowalna; C2 grupy zadaniowej odpytujący poszczególne systemy CIC o surowe dane sensorów przeciąży ich zdolności przetwarzania. Właściwą granicą jest ustandaryzowany interfejs eksportu tropów: CIC publikuje swoją autorytarną listę tropów według ustalonego harmonogramu w standardowym formacie wiadomości, a C2 grupy zadaniowej subskrybuje te eksporty bez ingerowania w wewnętrzne struktury CIC.

Kompilacja obrazu taktycznego w operacjach morskich

Obraz taktyczny w morskim CIC to wielodomenowa baza tropów po fuzji danych. Zawiera kontakty nawodne, tropy podwodne, tropy powietrzne oraz pozycje przyjaznych jednostek w jednym układzie współrzędnych, każdy z klasyfikacją, statusem zaangażowania, oceną jakości tropu i listą źródeł. Utrzymywanie tego obrazu z dokładnością przy przepływach danych generowanych przez nowoczesne sensory stanowi podstawowe wyzwanie inżynieryjne oprogramowania CIC.

Zarządzanie tropami nawodnymi zaczyna się od surowych powrotów radarowych z radaru przeszukiwania nawodnego okrętu oraz wszelkich dodatkowych sensorów nadzoru nawodnego. Radar dostarcza odległości i namiaru do każdego wykrytego kontaktu; oprogramowanie CIC przekształca te dane na współrzędne geograficzne, stosuje filtrowanie zakłóceń w celu usunięcia ech morskich i lądowych powrotów, i inicjuje trop dla każdego trwałego kontaktu. Tropy są aktualizowane przy każdym skanowaniu radaru — typowo co dwie do sześciu sekund — za pomocą filtru Kalmana szacującego pozycję, kurs i prędkość z sekwencji pomiarów pozycyjnych. Gdy napływa wkład z łącza danych dla kontaktu, który radar już śledzi, silnik fuzji koreluje raport z łącza z organicznym tropem i łączy je w jeden autorytarny trop, który ma teraz potwierdzenie z sensora organicznego oraz wszelkie informacje tożsamościowe niesione przez łącze danych.

Ocena jakości tropu jest procesem ciągłym. Każdy trop jest utrzymywany w jednym z kilku stanów jakości — pewny, prawdopodobny lub tymczasowy — w oparciu o liczbę przyczyniających się sensorów, spójność raportów z różnych źródeł oraz czas od ostatniej obserwacji potwierdzającej. Trop pewny został potwierdzony przez dwa lub więcej niezależnych źródeł i był aktualizowany w krótkim oknie tolerancji. Trop tymczasowy pochodzi tylko z jednego źródła lub nie był ostatnio aktualizowany i jest wyświetlany operatorom z obniżoną pewnością. Gdy trop nie był aktualizowany przez konfigurowalny czas wygaśnięcia, jest usuwany z obrazu taktycznego zamiast utrzymywania go bezterminowo — nieaktualne tropy w CIC są bardziej niebezpieczne niż brak tropu, ponieważ zajmują uwagę operatora i mogą generować błędne rekomendacje zaangażowania.

Klasyfikacja kontaktu to przypisanie standardowej kategorii wrogi/nieznany/neutralny/przyjazny (HUNF) do każdego tropu. Klasyfikacja opiera się na danych ESM (identyfikacja emiterów radarowych i komunikacyjnych kontaktu w porównaniu ze znana biblioteką emiterów), identyfikacji wizualnej z optycznego lub podczerwienionego systemu sensorowego okrętu, korelacji AIS dla kontaktów nawodnych i odpowiedzi IFF dla kontaktów powietrznych. Klasyfikacja nigdy nie jest w pełni automatyczna — to rekomendacja przedstawiana oficerowi wachtowemu, który dokonuje ostatecznej kwalifikacji — ale oprogramowanie dostarcza bazę dowodów pozwalającą doświadczonemu oficerowi sklasyfikować kontakt w sekundach, a nie minutach.

Integracja łączy danych w środowisku morskim

Morskie oprogramowanie C2 działa w warstwowym środowisku łączy danych, które narastało przez dziesięciolecia rozwoju sił morskich. Każde łącze niesie inne informacje, działa na innych pasmach częstotliwości i ma inne charakterystyki zasięgu i niezawodności. Oprogramowanie CIC musi utrzymywać złożony obraz tropów skompilowany ze wszystkich aktywnych łączy i organicznych sensorów, prezentując operatorowi jedną deduplikowaną listę tropów niezależnie od tego, ile źródeł do niej przyczyniło się.

Link 16, przenoszony przez Multifunkcyjne Terminale Dystrybucji Informacji Małej Pojemności (MIDS-LVT), jest podstawowym taktycznym łączem danych dla nowoczesnych okrętów nawodnych. Dystrybuuje wspólny obraz taktyczny przez komunikaty serii J: tropy nawodne, podwodne i powietrzne (J3.x), precyzyjną lokalizację i identyfikację uczestników (J2.x), koordynację uzbrojenia (J7.x i J9.x) oraz zarządzanie siecią (J0.x). Link 16 jest siecią z wielokrotnym dostępem z podziałem czasu z przydzielonymi szczelinami czasowymi, co oznacza, że każdy uczestnik musi być zsynchronizowany czasowo i mieć przydzieloną alokację szczeliny przed uruchomieniem sieci — krok konfiguracyjny, który musi zostać wykonany w trakcie procesu rozkazu operacyjnego przed wyruszeniem grupy zadaniowej. Szczegółowe omówienie zestawu komunikatów Link 16 i architektury integracji zawiera nasz artykuł o integracji taktycznego łącza danych Link 16.

Link 22 rozszerza obraz taktycznych łączy danych na zasięg pozahoryzontalny, używając pasm częstotliwości HF i innego protokołu komunikatów (NILE). Podczas gdy Link 16 jest w głównej mierze zależny od bezpośredniej widoczności lub przekazu satelitarnego dla długich zasięgów, Link 22 propaguje za horyzont drogą jonosferyczną HF, zapewniając grupie zadaniowej dane o kontaktach pozahoryzontalnych bez konieczności angażowania okrętu-przekaźnika lub przepustowości satelitarnej. Oprogramowanie CIC utrzymuje oddzielne wkłady tropów z Łącza 16 i Łącza 22 przed ich scaleniem w obraz zbiorczy, ponieważ oba łącza mogą nieść ten sam kontakt z różnymi numerami tropów przypisanymi przez różne jednostki.

Link 11 (TADIL-A) pozostaje zainstalowany na starszych fregatach i okrętach patrolowych, które nie przeszły jeszcze na Link 16. Link 11 działa w trybie odpytywania sekwencyjnego, w którym stacja kontrolna sieci odpytuje każdego uczestnika po kolei — znacznie wolniejszy cykl aktualizacji niż ciągłe nadawanie Łącza 16. W mieszanej grupie zadaniowej jednostka z Łączem 16 zwykle pełni funkcję przekaźnika, wprowadzając tropy Łącza 11 do obrazu Łącza 16 dla jednostek niemogących bezpośrednio odbierać Łącza 11. Oprogramowanie CIC okrętu-przekaźnika musi stosować rozwiązywanie duplikatów, gdy kontakt pojawia się na obu łączach z różnymi numerami tropów.

Logika zarządzania tropami zbiorczymi leżąca u podstaw całej integracji łączy danych stosuje tę samą zasadę co fuzja sensorów: jeden kanoniczny trop na każdy rzeczywisty kontakt, niezależnie od tego, ile łączy go raportuje. Silnik asocjacji przewiduje każdy istniejący trop do znacznika czasu napływającego raportu z łącza, bramkuje raport względem przewidywanej pozycji używając zadeklarowanej dokładności pozycyjnej łącza, i dokonuje asocjacji, jeśli raport mieści się w bramce. Kanoniczny trop absorbuje następnie raport z łącza, aktualizując oszacowanie pozycji i dodając łącze jako źródło przyczyniające. Przychodzący trop z łącza, który nie asocjuje z żadnym istniejącym tropem, inicjuje nowy trop oznaczony jako tylko z łącza danych, dopóki sensor organiczny lub drugie łącze go nie potwierdzi.

Zarządzanie strefami uzbrojenia (WEZ)

Zarządzanie strefami uzbrojenia to proces, przez który grupa zadaniowa ustanawia, dystrybuuje i egzekwuje obszary geograficzne, w których każdy system uzbrojenia lub jednostka jest upoważniona do prowadzenia ognia. Bez skoordynowanego zarządzania WEZ pocisk wystrzelony przez jeden okręt mógłby wlecieć w przestrzeń zaangażowania innego okrętu, albo śmigłowiec wykonujący niski wzorzec ZOP mógłby znaleźć się wewnątrz zasięgu przeciwlotniczego systemu rakietowego. W wielookrętowej grupie zadaniowej prowadzącej jednoczesne operacje nawodne, obrony powietrznej i ZOP konflikty WEZ nie są przypadkami brzegowymi — to rutynowy problem koordynacyjny, który oprogramowanie musi rozwiązywać nieprzerwanie.

Definicje WEZ w bazie danych C2 to obiekty geometryczne: wielokątne lub okrągłe granice, typ strefy, organ desygnujący, okres ważności i flaga nadawania. Typy stref obejmują:

• Uzbrojenie swobodne — wszystkie zidentyfikowane wrogie kontakty w strefie mogą być zwalczane bez dalszego upoważnienia od desygnującego dowódcy.
• Uzbrojenie ograniczone — mogą być zwalczane tylko kontakty jednoznacznie zidentyfikowane jako wrogie; kontakty nieznane nie mogą być zwalczane bez dodatkowego upoważnienia.
• Uzbrojenie bezpieczne — żadne zaangażowanie nie jest autoryzowane w strefie niezależnie od klasyfikacji tropu; używane do ochrony śmigłowców, samolotów patrolowych i UUV operujących na określonym obszarze.

Oprogramowanie C2 stale ocenia geograficzną pozycję każdego tropu względem wszystkich aktywnych stref. Gdy trop przekracza granicę strefy, system aktualizuje ograniczenia zaangażowania dla tego tropu, alarmuje oficera ds. uzbrojenia i, jeśli trop jest pod aktywną oceną TEWA, przelicza rekomendację zaangażowania. To sprawdzanie pozycji względem stref musi działać w czasie rzeczywistym — kontakt poruszający się z prędkością trzydziestu węzłów przebywa niemal szesnaście metrów na sekundę, a granica strefy nie jest pasmem tolerancji.

Nadawanie stref w całej grupie zadaniowej używa komunikatów tropów i zarządzania Link 16 do dystrybucji aktualnych definicji WEZ do każdego okrętu w grupie. Okręty odbierające scalają przychodzące definicje stref z własną bazą WEZ przy użyciu tej samej logiki korelacji co dla tropów — strefa otrzymana od dowódcy grupy zadaniowej zastępuje wszelkie lokalnie zdefiniowane strefy pokrywające ten sam obszar. Zapewnia to, że logika zaangażowania każdego okrętu działa według tych samych zasad, nawet gdy komunikacja jest przerywana.

Wykrywanie konfliktów między strefami to odrębna funkcja. Strefa uzbrojenia swobodnego nakładająca się na strefę uzbrojenia bezpiecznego obejmującą obszar operacji śmigłowca to błąd planowania mogący mieć fatalne skutki; oprogramowanie C2 powinno wykrywać i alarmować o tym konflikcie przed jego nadaniem, a nie po tym jak śmigłowiec wleci w obszar uważany przez niego za bezpieczny. Wykrywanie konfliktów ocenia wszystkie pary stref pod kątem nakładania się przestrzennego i wyróżnia przypadki, gdy kombinacja typów stref dawałaby sprzeczne zasady zaangażowania dla tego samego kontaktu.

C2 działań zwalczania okrętów podwodnych (ZOP/ASW)

C2 ZOP jest architektonicznie odrębny od C2 walki nawodnej, ale dzieli tę samą bazę tropów i musi być dekonfliktowany z obrazami nawodnym i powietrznym. Moduł ZOP zarządza inną klasą sensorów — sonobojami, sonarem kadłubowym, sonarem holowanym — i działa na skalach czasowych i geograficznych odmiennych od śledzenia kontaktów nawodnych.

Zarządzanie polem sonobojów stanowi operacyjną podstawę lotniczego ZOP. Oprogramowanie CIC utrzymuje bazę danych każdego wyrzuconego sonoboją: jego pozycja geograficzna (znana w chwili zrzutu i dryfująca z prądem), typ (pasywny LOFAR, aktywny DIFAR, tylko zasięg), pozostały czas baterii i aktualny stan wykrycia. Gdy sonobój generuje linię namiaru akustycznego, oprogramowanie CIC koreluje ten namiar z istniejącymi tropami podwodnymi i aktualizuje je, albo inicjuje nowy trop tymczasowy. Linie namiaru z wielu bojów w polu są triangulowane w celu wyznaczenia oceny pozycji kontaktu.

Zarządzanie tropami akustycznymi jest znacznie trudniejsze niż zarządzanie tropami nawodnymi. Wykrycia akustyczne są niejednoznaczne pod względem zasięgu i namiaru, a głębokość tropu — która może wahać się od głębokości peryskopowej do kilkuset metrów — wpływa zarówno na jego wykrywalność, jak i geometrię zagrożenia. Menedżer tropów ZOP utrzymuje tropy podwodne z większymi elipsami niepewności pozycji niż tropy nawodne, a model ruchu filtru Kalmana musi uwzględniać pełne trójwymiarowe możliwości manewrowe okrętu podwodnego, a nie zasadniczo dwuwymiarowy ruch kontaktu nawodnego.

Skoordynowany tryb prześladowania wiąże zarządzanie sensorami z obrazem koordynacji uzbrojenia. Gdy kontakt podwodny jest sklasyfikowany jako wrogi i prześladowanie jest autoryzowane, moduł ZOP oblicza optymalny wzorzec przeszukiwania dla współpracujących śmigłowców, generuje zadania repozycjonowania bojów celem zawężenia oceny pozycji, i utrzymuje dziennik prześladowania rejestrujący każde wykrycie i działanie platformy. Gdy kontakt jest wystarczająco zlokalizowany, moduł przedstawia oficerowi ds. uzbrojenia rozwiązanie torpedowe do autoryzacji, z geometrią zaangażowania wyświetloną na tym samym obrazie taktycznym co tropy nawodne i powietrzne — tak by dowódca okrętu mógł jednocześnie ocenić zagrożenie podwodne i sytuację nawodną i powietrzną przed autoryzacją zaangażowania.

Koordynacja morskiego lotnictwa patrolowego i UUV

Nowoczesne nawodne jednostki bojowe operują z organicznymi śmigłowcami i coraz częściej z samolotami morskiego patrolowania stałopłatowego przydzielonymi do grupy zadaniowej. CIC musi koordynować zadaniowanie sensorów, wymianę obrazu i zarządzanie przestrzenią powietrzną dla wszystkich tych platform jednocześnie.

Koordynacja morskiego lotnictwa patrolowego skupia się na dwukierunkowym obrazie łącza danych. Samolot P-8 Poseidon, na przykład, uczestniczy w sieci Link 16 grupy zadaniowej, wnosząc własne tropy z radaru i sensorów jako komunikaty serii J, które scalają się ze zbiorczym obrazem CIC. CIC odsyła z kolei grupowy obraz nawodny do samolotu, tak by załoga mogła widzieć sytuację taktyczną podczas podejść na małej wysokości. Koordynacja głosowa — na wyznaczonych częstotliwościach UHF lub HF — obsługuje tryb prześladowania wymagający dialogu w czasie rzeczywistym: żądania repozycjonowania bojów, aktualizacje klasyfikacji kontaktu i koordynację uwolnienia uzbrojenia przy autoryzowaniu zaangażowania torpedowego.

Moduł C2 ZOP generuje formalne cyfrowe zadaniowanie dla samolotu MPA: wzorzec przeszukiwania bariery określony punktami trasy geograficznej, typy bojów do wyrzucenia na każdej pozycji, okresy pasywnego nasłuchu między cyklami aktywnej emisji oraz format raportowania wykryć akustycznych. Zadaniowanie to jest przesyłane jako ustrukturyzowany komunikat cyfrowy, a nie tekst swobodny głosem, tak by CIC mógł śledzić, które instrukcje zostały potwierdzone, kiedy każdy bój został wyrzucony i ile czasu pozostało do wyczerpania baterii każdego z nich.

Koordynacja śmigłowców z CIC przebiega według tego samego wzorca, ale przy mniejszych opóźnieniach, ponieważ organiczny śmigłowiec jest w ciągłym kontakcie głosowym UHF, a krótsze odległości umożliwiają szybsze aktualizacje łącza danych. CIC śledzi śmigłowiec jako przyjazny kontakt powietrzny, utrzymuje wokół niego strefę uzbrojenia bezpiecznego i otrzymuje dane sonoboją jako ciągły strumień zamiast raportowania okresowego. Zarządzanie strefą uzbrojenia bezpiecznego dla śmigłowca to jedna z najważniejszych operacyjnie funkcji WEZ — system rakiet ziemia-powietrze, który nie wie, że własny śmigłowiec okrętu znajduje się w jego zasięgu zaangażowania, stanowi zagrożenie bratobójstwem.

Bezzałogowe pojazdy podwodne (UUV) wprowadzają model koordynacji oparty na telemetrii, który oprogramowanie CIC musi obsługiwać jako odrębny interfejs. Zadaniowanie misji jest przesyłane do UUV jako plik misji zaplanowanej z wyprzedzeniem — sekwencja punktów trasy, tryby operacyjne sensorów i wyzwalacze raportowania — a UUV wykonuje misję autonomicznie. CIC odbiera raporty pozycji i sensorów jako komunikaty telemetryczne w skonfigurowanych interwałach, wypełniając pozycję UUV na wyświetlaczu taktycznym i scalając jego wykrycia akustyczne z obrazem tropów ZOP. Retaskowanie w czasie rzeczywistym jest możliwe, ale ograniczone przepustowością; oprogramowanie CIC musi zarządzać harmonogramem komunikacji, aby zbilansować monitorowanie UUV z przepustowością łącza danych potrzebną dla reszty obrazu taktycznego.

Cyberbezpieczeństwo okrętowych systemów C2

Cyberbezpieczeństwo okrętowego C2 jest kształtowane przez ograniczenia, które nie mają zastosowania do równoważnych systemów lądowych: fizyczna izolacja na morzu, ekstremalnie wysokie wymagania ciągłości operacyjnej, kontrole emisji TEMPEST i procesy aktualizacji oprogramowania uwzględniające wielomiesięczne misje bez niezawodnej łączności z infrastrukturą aktualizacji.

Segmentacja sieci na nowoczesnym okręcie wojennym jest egzekwowana przez fizyczne separację, a nie wyłącznie przez reguły zapory sieciowej. Fregata typowo obsługuje cztery odrębne segmenty sieci: segment ściśle tajny/z wydzieloną ochroną informacji (TS/SCI) dla najbardziej wrażliwych kanałów wywiadowczych i komunikacji; segment tajny przenoszący obraz taktyczny, dane koordynacji uzbrojenia i ruch Łącza 16; segment jawny dla ruchu administracyjnego, logistycznego i socjalnego załogi; oraz sieć zarządzania platformą dla sterowania napędem, zwalczania uszkodzeń i monitorowania systemów okrętowych. Fizyczna separacja oznacza, że każdy segment działa na oddzielnym okablowaniu, oddzielnej infrastrukturze przełączania i oddzielnych stacjach roboczych — użytkownik przy konsoli administracyjnej nie może dotrzeć do sieci CIC, przechodząc przez źle skonfigurowaną zaporę, ponieważ między nimi nie ma zapory; nie ma w ogóle żadnej ścieżki.

Przepływy danych między domenami są zarządzane przez zatwierdzone diody danych i strażniki między domenami w precyzyjnych punktach, gdzie informacje muszą przechodzić między poziomami klauzul. Dioda danych to jednostronny link optyczny — dane mogą płynąć tylko w jednym kierunku z konstruktywnego powodu, a nie konfiguracji zasad. Strażnik między domenami to bardziej zaawansowane urządzenie, które ocenia komunikaty przekraczające granicę względem ścisłego schematu formatu i zasad treści, odrzucając każdy komunikat niezgodny z nimi. Oba typy urządzeń muszą być zatwierdzone zgodnie ze standardami krajowymi lub sojuszniczymi dla łączonych przez nie poziomów klauzul.

Wymagania TEMPEST nakładają na urządzenia w CIC emisję promieniowania elektromagnetycznego poniżej poziomów, przy których przeciwnik mógłby odtworzyć informacje niejawne z emisji. Ma to bezpośrednie implikacje dla wyboru sprzętu: komercyjnie dostępne stacje robocze i serwery niemal nigdy nie mają certyfikatu TEMPEST na poziomie wymaganym dla segmentów CIC TS/SCI lub tajnych. Programy muszą dokonywać zakupów z wąskiego zestawu wzmocnionych platform z certyfikatem TEMPEST zatwierdzonych do użytku okrętowego, akceptując wyższe koszty jednostkowe i dłuższe czasy realizacji zamówień w zamian za zgodność. Sama komora CIC — jej okablowanie, filtrowanie zasilania i fizyczne ekranowanie — musi być również zaprojektowana tak, by spełniała obowiązujący standard TEMPEST i walidowana przed wejściem do służby.

Aktualizowanie okrętowego oprogramowania C2 jest operacyjnie ograniczone w sposób niemający analogii w korporacyjnym IT. Okręt może przebywać na morzu przez sześć do dziewięciu miesięcy; sieć CIC nie ma rutynowej łączności z serwerem poprawek dostawcy; a obraz taktyczny nie może być wyłączony do aktualizacji, gdy okręt przebywa na obszarze zagrożenia. Standardowe podejście obejmuje trzy elementy. Po pierwsze, pakiet aktualizacji przed wdrożeniem jest budowany i poddawany testom regresji względem specyficznej konfiguracji sprzętowej i programowej klasy platformy przed wyjściem okrętu w morze, a następnie stosowany w porcie. Po drugie, kontrola konfiguracji jest utrzymywana przez cały okres wdrożenia, tak by dokładny stan każdego komponentu systemu CIC był znany w każdym momencie, umożliwiając analizę kryminalistyczną w przypadku anomalii. Po trzecie, proces wyjątkowy dotyczący krytycznych podatności umożliwia przesyłanie awaryjnych poprawek przez łącze satelitarne, gdy podatność jest aktywnie wykorzystywana przeciwko klasie platformy — te poprawki przechodzą skrócony, ale obowiązkowy cykl testów regresji przed transmisją, zamiast być wysyłane bezpośrednio z komunikatu dostawcy.

/* Przykład: sprawdzanie granicy segmentu sieci CIC przez strażnik między domenami */

CICMessage msg = receivedFromClassifiedSegment();

// Walidacja schematu: odrzucenie komunikatów z nieustrukturyzowanymi polami tekstowymi
if (!msg.conformsToSchema(ALLOWED_MESSAGE_TYPES)) {
    guard.reject(msg, "Naruszenie schematu: wykryto nieustrukturyzowane pole");
    return;
}

// Sprawdzenie kierunku: dane płyną tylko Tajne → Jawne
if (msg.destinationClassification() > SECRET) {
    guard.reject(msg, "Naruszenie przepływu w górę");
    return;
}

// Zasady treści: dozwolone tylko odtajnione streszczenia tropów
if (msg.containsRawSensorData() || msg.containsKeyingMaterial()) {
    guard.reject(msg, "Naruszenie zasad treści");
    return;
}

guard.forward(msg, unclassifiedSegment);

Monitorowanie integralności uzupełnia okrętową postawę cyberbezpieczeństwa. Każdy plik wykonywalny CIC, plik konfiguracyjny i plik danych jest haszowany przy wdrożeniu, a wartości skrótów przechowywane w dzienniku odpornym na manipulacje. System monitorowania rehaszuje pliki w sposób ciągły i alarmuje w przypadku wykrycia jakiejkolwiek rozbieżności — sygnał, że plik został zmodyfikowany poza autoryzowanym oknem aktualizacji. W środowisku okrętowym, gdzie wtargnięcie zewnętrzne jest trudne, ale zagrożenie wewnętrzne i kompromitacja łańcucha dostaw są realistycznymi ryzykami, monitorowanie integralności jest podstawowym mechanizmem wykrywania, a nie pomocniczym.