Taktyczna sieć mesh działająca w garnizonie to rozwiązany problem. Trudne pytanie dotyczy tego, co się dzieje, gdy przeciwnik zaczyna zagłuszać, gdy węzły przekaźnikowe są niszczone, a drużyny przemieszczają się w teren ograniczający linię wzroku radia. Odporność wojskowych sieci mesh to dyscyplina inżynieryjna projektowania infrastruktury MANET tak, aby degradowała się stopniowo — tracąc najpierw ruch niekrytyczny, automatycznie przekierowując ruch wokół martwych węzłów i odzyskując sprawność bez interwencji operatora gdy warunki się poprawią.
Dla zespołów programistycznych budujących wspólne obrazy operacyjne oparte na TAK odporność nie jest problemem dostawcy radia. Każda decyzja architektoniczna — wybór protokołu routingu, rozmiar bufora store-and-forward, planowanie topologii, instrumentowanie monitorowania — decyduje o tym, czy ślady TAK będą nadal przepływać pod obciążeniem sieci, czy COP zgaśnie dokładnie w momencie, gdy dowódcy go najbardziej potrzebują.
Model zagrożeń: co faktycznie degraduje taktyczną sieć mesh
Przed projektowaniem pod kątem odporności potrzebujesz ustrukturyzowanego modelu zagrożeń. Cztery kategorie degradacji determinują niemal wszystkie decyzje projektowe dotyczące odpornych sieci MANET.
Zagłuszanie punktowe celuje w określoną częstotliwość lub kanał używany przez radio mesh. Jest to najbardziej energooszczędna technika zagłuszania dla przeciwnika — wąskopasmowy nadajnik może nasycić jeden kanał przy stosunkowo skromnej mocy. Zagłuszanie punktowe jest skutecznie neutralizowane przez skakanie po częstotliwościach, ponieważ zagłuszacz atakuje radio mesh tylko podczas ułamka czasu spędzanego na tym kanale.
Zagłuszanie skanujące przesuwa zagłuszacz po paśmie częstotliwości, zatrzymując się chwilowo na każdym kanale. Przeciwko wolno skaczącym radiom zagłuszanie skanujące może trafić każdy kanał zanim radio go opuści. Przeciwko szybko skaczącym formom fal wojskowych działającym na setkach przeskoków na sekundę czas zatrzymania na każdym kanale spada poniżej czasu trwania symbolu i skuteczność zagłuszania gwałtownie spada.
Zagłuszanie zaporowe zalewa szeroki zakres widma jednocześnie, wymagając znacznie większej mocy nadajnika, ale zdolne do degradowania wszystkich kanałów naraz. Jest wykrywalne (pojawia się jako podwyższenie poziomu szumu w całym paśmie) i wymaga dużych, energochłonnych nadajników — co czyni je zdolnością przeciwnika z wykrywalną sygnaturą logistyczną. Zagłuszanie zaporowe to scenariusz, którego samo skakanie po częstotliwościach nie może w pełni pokonać; wymaga fizycznego rozproszenia węzłów w celu zmniejszenia frakcji sieci mesh w efektywnym promieniu zagłuszacza.
Zagłuszanie reaktywne nasłuchuje transmisji i natychmiast odpowiada impulsem zagłuszającym. Jest to najbardziej wydajna technika zagłuszania — zagłuszacz aktywny tylko gdy wykryto transmisję — i najtrudniejsza do przeciwdziałania, ponieważ stałe wzorce przeskoków mogą być poznane. Przeciwdziałanie zagłuszaniu reaktywnemu wymaga losowych sekwencji przeskoków z ochroną TRANSEC i czasowego rozłożenia transmisji.
Poza zagrożeniami elektronicznymi: zniszczenie węzłów (sprzęt przekaźnikowy zniszczony ogniem bezpośrednim lub pośrednim) jest statystycznie najczęstszą przyczyną degradacji sieci mesh w aktywnych konfliktach. Maskowanie terenowe — drużyny wchodzące do budynków, przekraczające grzbiety, przemieszczające się przez gęstą zabudowę miejską — powoduje tymczasowe podziały przypominające z perspektywy protokołu routingu zniszczenie węzłów. Rozróżnienie między węzłem podzielonym-ale-żywym a węzłem zniszczonym decyduje o tym, czy sieć mesh powinna próbować przywrócić połączenie czy trwale przekierować ruch.
Protokoły routingu MANET pod obciążeniem: OLSR vs BATMAN vs AODV
Zachowanie protokołu routingu przy utracie węzłów jest jedną z najważniejszych zmiennych odporności, a różnice między protokołami są wystarczająco duże, by mieć znaczenie operacyjne.
OLSR (Optimized Link State Routing, RFC 3626 / OLSRv2 RFC 7181) jest proaktywny: każdy węzeł utrzymuje kompletną mapę topologii stale aktualizowaną przez wiadomości HELLO i TC (Topology Control). Gdy węzeł zawodzi, sąsiednie węzły wykrywają brak HELLO w czasie utrzymania sąsiada i usuwają łącze ze swoich tabel topologii. Propagacja TC dystrybuuje zaktualizowaną topologię przez sieć mesh. Ponieważ każdy węzeł już zna pełną topologię, obliczenie alternatywnej trasy jest natychmiastowe po aktualizacji tabeli topologii. W sieci mesh z 20 węzłami z domyślnymi timerami OLSR (interwał hello 2s, czas utrzymania sąsiada 6s), zbieżność trasy po utracie węzła zajmuje 4–8 sekund.
BATMAN (Better Approach To Mobile Adhoc Networking) jest również proaktywny, ale dystrybuuje informacje routingu inaczej. Każdy węzeł przechowuje tylko najlepszy następny skok w kierunku każdego celu, wynikający z jakości odbioru Originator Message (OGM). Po awarii węzła sąsiednie węzły przestają otrzymywać jego OGM; rekordy najlepszego następnego skoku dla tego celu wygasają i są zastępowane przez następną najlepszą ścieżkę w miarę akumulacji OGM z innych kierunków. Zbieżność w sieci mesh z 20 węzłami zajmuje 5–10 sekund przy domyślnych ustawieniach.
AODV (Ad-hoc On-Demand Distance Vector) jest reaktywny: odkrywa trasy tylko gdy pakiet musi zostać wysłany. Eliminuje to proaktywny ruch kontrolny, ale wprowadza opóźnienie odkrywania trasy (zazwyczaj 1–3 sekundy dla cyklu żądanie/odpowiedź trasy w sieci mesh z 10 przeskokami) przy każdym nowym przepływie. Dla raportowania pozycji TAK — gdzie każdy CoT jest faktycznie nowym krótkim przepływem — narzuty odkrywania trasy AODV kumulują się w znaczne opóźnienie dostarczenia. AODV rzadko jest właściwym wyborem dla odpornej infrastruktury TAK.
Wskazówki praktyczne: Dla sieci mesh TAK na skalę kompanii (do 50 węzłów), OLSR ze strojonymi interwałami hello zapewnia najlepszy stosunek zbieżności do narzutów. Dla wdrożeń na skalę batalionu (50–200 węzłów), niższe narzuty BATMAN są preferable. W obu przypadkach empirycznie ustal czas zbieżności na konkretnym sprzęcie radiowym przed ustalaniem kryteriów akceptacji — podawane przez dostawców czasy zbieżności są często mierzone na nieograniczonych testowcach kablowych, a nie na taktycznych radiach z ograniczoną przepustowością.
Skakanie po częstotliwościach i widmo rozproszenia: jak FHSS/DSSS komplikuje zagłuszanie
Szerokopasmowy sygnał ze skakaniem po częstotliwościach (FHSS) zmienia częstotliwość transmisji wiele razy na sekundę zgodnie z pseudolosową sekwencją współdzieloną przez wszystkie zsynchronizowane węzły w sieci mesh. Dla zagłuszacza punktowego celującego w jeden kanał, FHSS oznacza że tylko ułamek 1/N wszystkich transmisji (gdzie N to liczba kanałów przeskoków) jest zagłuszany. Radio skaczące po 50 kanałach daje zagłuszaczowi punktowemu tylko 2% trafień na transmisję.
Kluczowym parametrem jest szybkość przeskoków względem czasu trwania symbolu. Radia wojskowe działają na setkach do tysięcy przeskoków na sekundę. Przy 1000 skokach/sekundę z symbolami 1ms, radio jest na każdym kanale przez co najwyżej jeden symbol na każdą wizytę skoku. Zagłuszacz skanujący musi zatrzymać się wystarczająco długo na każdym kanale, aby uchwycić kompletny symbol — przy 1000 skokach/sekundę, zagłuszacz musi skanować 1000 kanałów/sekundę, podczas gdy każdy kanał ma 1ms sygnału. Jest to operacyjnie bardzo trudne bez znajomości sekwencji przeskoków.
Bezpośrednie widmo rozproszenia sekwencji (DSSS) stosuje inne podejście: zamiast skakania po częstotliwościach, sygnał danych jest mnożony przez pseudolosowy kod o wysokiej szybkości, który rozprasza go po szerokim paśmie. Zysk przetwarzania — stosunek rozszerzonego pasma do pasma danych — określa margines zagłuszania. Radio z 20 dB zysku przetwarzania może odbierać poprawnie nawet gdy zagłuszacz jest 100× silniejszy od pożądanego sygnału w tym samym paśmie.
Dla integracji transportu TAK: zarówno FHSS jak i DSSS są implementowane całkowicie w sprzęcie radiowym i oprogramowaniu układowym. TAK Server, ATAK i WinTAK komunikują się z radiem przez standardowy interfejs IP (Ethernet lub USB) i są całkowicie nieświadome warstwy widma rozproszenia. Aplikacje działające na sieci mesh nie wymagają modyfikacji, aby korzystać z ochrony FHSS/DSSS — odporność jest transparentna dla warstwy aplikacji.
Jedyną kwestią na poziomie aplikacji jest synchronizacja: radia FHSS wymagają synchronizacji czasu do utrzymania wyrównania sekwencji przeskoków. Jeśli zegar węzła znacząco dryftuje, wypada on z synchronizacji z siecią mesh i pojawia się dla innych węzłów jakby zawiódł. Monitorowanie stanu synchronizacji każdego węzła sieci mesh — dostępne przez API zarządzania radiem na Silvus StreamCaster i Persistent Systems MPU5 — jest niezbędnym komponentem odpornego stosu monitorowania sieci mesh.
Store-and-forward dla operacji w trybie rozłączonym
Żaden projekt sieci mesh nie może gwarantować 100% łączności w spornym środowisku. Praktyczne pytanie dotyczy tego, co dzieje się z danymi TAK gdy sieć mesh jest podzielona — gdy przedsunięty element traci kontakt z TAK Server na minuty lub godziny przed zagojeniem podziału.
Replikacja TAK Server jest głównym mechanizmem obsługi przedłużonych rozłączeń. Przedsunięta instancja TAK Server (działająca na laptopie lub odpornym węźle obliczeniowym z lokalnym radiem mesh) utrzymuje własną bazę danych zdarzeń CoT. Gdy łącze do TAK Server wyższego szczebla jest utracone, przedsunięty TAK Server kontynuuje odbieranie i obsługę CoT od wszystkich połączonych węzłów ATAK/WinTAK w lokalnym segmencie mesh. Po odzyskaniu łączności dwie instancje TAK Server replikują swoje bazy danych zdarzeń dwukierunkowo — każdy CoT wygenerowany podczas rozłączenia jest synchronizowany na obu końcach.
Ta architektura oznacza, że przedsunięte elementy zachowują pełną świadomość sytuacyjną swojego lokalnego segmentu mesh podczas rozłączenia, a wyższe dowództwo odzyskuje pełną historię aktywności przedsuniętego elementu po przywróceniu łącza. Krytyczne parametry konfiguracji to: interwał replikacji (jak często połączone serwery TAK wymieniają stan — zazwyczaj 30–60 sekund), czas przedawnienia CoT (jak długo TAK Server zachowuje ślad bez odświeżenia przed jego wygaśnięciem — powinien być ustawiony szczodrze, 90–300 sekund, dla operacji rozłączonych) i okres przechowywania bazy danych zdarzeń.
Buforowanie wiadomości CoT na punktach końcowych obsługuje krótsze rozłączenia na poziomie pojedynczego urządzenia. Gdy urządzenie ATAK lub WinTAK nie może dotrzeć do TAK Server lub kolegi mesh, buforuje wychodzące wiadomości CoT w lokalnej kolejce. Po ponownym połączeniu opróżnia kolejkę sekwencyjnie. Rozmiar bufora jest decyzją projektową: 10-minutowe rozłączenie przy 1 CoT/sekundę na urządzenie w sieci mesh z 20 urządzeniami generuje 12 000 buforowanych wiadomości, które muszą zostać opróżnione po ponownym połączeniu bez przeciążenia nowo przywróconego łącza.
Projekt topologii: pierścień vs gwiazda vs pełna sieć mesh
Fizyczna topologia — jak węzły przekaźnikowe są rozmieszczone i połączone — determinuje tryby awarii sieci mesh i gwarancje dostarczenia śladów TAK.
Topologia gwiazdowa (wszystkie węzły kierują ruch przez centralny przekaźnik) ma najgorszy profil odporności: centrum jest pojedynczym punktem awarii. Zniszczenie centrum jednocześnie oddziela każdy węzeł liściowy. Topologie gwiazdowe pojawiają się w praktyce gdy pojedynczy przekaźnik zamontowany na pojeździe ma dominujące pokrycie RF i wszystkie inne węzły domyślnie kierują ruch przez niego. Ten wzorzec powinien być architektonicznie zakazany dla każdego segmentu mesh krytycznego pod względem odporności.
Topologia pierścieniowa (węzły połączone w pętlę) zapewnia dwie rozłączne ścieżki między dowolną parą węzłów — zgodnie i przeciwnie do ruchu wskazówek zegara po pierścieniu. Zniszczenie pojedynczego węzła lub łącza zamienia pierścień w linię, ale nie izoluje żadnego przeżywającego węzła. Topologie pierścieniowe są praktyczne dla operacji liniowych: trasy konwojów, natarcia korytarzowe, liniowe pozycje obronne.
Pełna sieć mesh (każdy węzeł połączony z każdym osiągalnym sąsiadem) zapewnia maksymalną redundancję — do N-1 niezależnych ścieżek między dowolną parą w sieci mesh z N węzłami — ale jest osiągalna tylko gdy wszystkie węzły są jednocześnie w zasięgu radia. Dla małych, geograficznie zwartych jednostek (drużyna na otwartym terenie) pełna sieć mesh jest osiągalna i zapewnia najlepszą odporność. Na skalę plutonu, zasięg RF i teren sprawiają, że pełna sieć mesh jest fizycznie niemożliwa; częściowa sieć mesh z zaplanowanymi redundantnymi łączami jest realistycznym celem.
Praktyczny proces projektowania: dla każdego krytycznego węzła (TAK Server, punkt dowodzenia, przekaźnik o dużym ruchu) zidentyfikuj co najmniej dwie niezależne ścieżki RF do każdego innego węzła krytycznego, używając różnych tras przekaźnikowych i, gdzie to możliwe, różnych pasm częstotliwości. Udokumentuj planowaną topologię na diagramie sieciowym z adnotacjami scenariuszy awarii.
Zarządzanie zasilaniem: cykle uśpienia węzłów i ładowanie słoneczne
Odporność i zarządzanie zasilaniem są w napięciu. Węzeł sieci mesh wyłączony w celu oszczędzania baterii jest z perspektywy protokołu routingu równoważny zniszczonemu węzłowi. Wyzwaniem inżynieryjnym jest wydłużenie wytrzymałości polowej bez tworzenia niepotrzebnych podziałów.
Praca cykliczna — naprzemienne okresy aktywności radia i uśpienia radia — może wydłużyć żywotność baterii 2–5 razy w zależności od frakcji uśpienia. 50% cykl pracy (30 sekund aktywny, 30 sekund uśpiony) z grubsza podwaja wytrzymałość baterii. Ograniczeniem jest konfiguracja protokołu routingu: czas utrzymania sąsiada OLSR musi być ustawiony wystarczająco długo, aby śpiący sąsiedzi nie byli ogłaszani martwymi przed przebudzeniem. Dla 30-sekundowego cyklu uśpienia, interwał hello 20 sekund i czas utrzymania sąsiada 80 sekund zapobiega fałszywym ogłoszeniom sąsiad-martwy, jednocześnie odzyskując sprawność po rzeczywistych awariach węzłów w ciągu 2–3 minut.
Dostarczanie śladów TAK podczas pracy cyklicznej: węzeł, który śpi, nie może odbierać wiadomości CoT podczas okresu uśpienia. Sąsiednie węzły służące jako przekaźniki buforują wiadomości dla śpiących sąsiadów i dostarczają je po przebudzeniu. Wymaga to, aby oprogramowanie układowe radia mesh obsługiwało świadomość sąsiada o harmonogramach uśpienia — funkcja obecna w oprogramowaniu Silvus StreamCaster, ale nie we wszystkich commodity implementacjach MANET.
Ładowanie słoneczne dla stałych węzłów przekaźnikowych eliminuje problem wyczerpania baterii kosztem stałej, potencjalnie wykrywalnej sygnatury pozycji. Przekaźnik zasilany słonecznie zamontowany na grzbiecie lub dachu budynku może działać w nieskończoność, ale jego stała pozycja i wizualna sygnatura panelu tworzą ryzyko eksploatacji. Chemia baterii dla polowych węzłów sieci mesh: litowo-żelazowo-fosforanowy (LiFePO4) jest preferowany nad litowo-kobaltowo-tlenkowym (LiCoO2) dla użytku polowego ze względu na stabilność termiczną w szerszym zakresie temperatur (−20°C do +60°C), tolerancję więcej cykli ładowania i brak termicznej ucieczki przy przebiciach.
Monitorowanie i samoleczenie: prezentacja stanu zdrowia sieci mesh operatorom TAK
Odporna sieć mesh, która cicho degraduje się, jest operacyjnie niebezpieczna — dowódcy polegają na COP i mogą nie wiedzieć, że jest niekompletny. Infrastruktura monitorowania musi prezentować stan zdrowia sieci mesh operatorom przez ten sam interfejs TAK, z którego już korzystają.
Zalecana architektura: demon monitorowania sieci mesh działa na każdym węźle TAK Server, odpytuje API zarządzania radiem co 30 sekund i publikuje wiadomości sensorów CoT gdy progi jakości łącza są przekroczone. RSSI poniżej −85 dBm na krytycznym łączu wyzwala żółty alert; RSSI poniżej −95 dBm lub straty pakietów powyżej 30% wyzwalają czerwony alert renderowany jako nakładka mapy TAK. Zniknięcie węzła (brak odpowiedzi API zarządzania przez 3 kolejne odpytania) generuje znacznik alarmu CoT w ostatniej znanej pozycji węzła.
Automatyczne przeliczanie trasy jest obsługiwane przez sam protokół routingu (OLSR lub BATMAN) bez udziału operatora. Rola warstwy monitorowania to potwierdzenie, że przeliczanie nastąpiło i że alternatywna trasa działa adekwatnie — sieć mesh, która przekierowała ruch wokół węzła który zawiódł, ale teraz działa na ścieżce 7-przeskoków z 40% stratą pakietów na każdym przeskoku, jest technicznie połączona, ale operacyjnie zdegradowana i wymaga uwagi operatora.
Wykrywanie zdarzeń podziału jest funkcją monitorowania najwyższego priorytetu. Podział — gdzie sieć mesh dzieli się na dwa lub więcej rozłącznych segmentów — oznacza, że jakaś frakcja COP jest niewidoczna dla drugiej frakcji. Wykrywanie wymaga monitorowania spoza podziału: węzeł, który może widzieć oba segmenty (np. przekaźnik UAV lub brama łącza satelitarnego), może wykryć podział obserwując, że określone identyfikatory węzłów przestają pojawiać się w strumieniu replikacji.
Metodologia testów polowych: zniszczenie węzłów, iniekcja RF i pomiar degradacji COP
Żaden projekt odpornej sieci mesh nie jest zwalidowany dopóki nie został przetestowany w realistycznych warunkach degradacji. Testy polowe powinny być zgodne ze strukturalnym protokołem wykonanym przed każdym wdrożeniem operacyjnym.
Testy zniszczenia węzłów są najbardziej bezpośrednią walidacją. Wyłączaj kolejno węzły przekaźnikowe, podczas gdy pełny TAK COP jest uruchomiony i mierz: (1) czas od wyłączenia węzła do ponownej zbieżności trasy OLSR/BATMAN, (2) czas od ponownej zbieżności trasy do wznowienia dostarczania śladów TAK po stronie odległej od zabitego węzła, (3) odsetek wiadomości CoT utraconych podczas okna przerwy. Powtórz dla każdego węzła przekaźnikowego w topologii. Oczekiwane wartości dla dobrze skonfigurowanej sieci mesh OLSR: zbieżność w ciągu 8 sekund, odzyskanie dostarczania TAK w ciągu 15 sekund, utrata wiadomości poniżej 5% przy włączonym store-and-forward.
Iniekcja zakłóceń RF używa skalibrowanego generatora sygnału RF lub szerokopasmowego źródła szumu do symulacji zagłuszania przy kontrolowanych poziomach mocy. Test przebiega w trzech fazach: (1) pomiar linii bazowej (wskaźnik dostarczania CoT, RSSI, stabilność tablicy routingu) przed zakłóceniami, (2) pomiar z włączonymi zakłóceniami (te same metryki podczas iniekcji), (3) pomiar odzyskiwania (czas powrotu do linii bazowej po usunięciu zakłóceń). Udokumentuj poziom mocy zakłóceń, przy którym wskaźnik dostarczania CoT degraduje się poniżej 80% — to jest margines zagłuszania bieżącej konfiguracji.
Ocena degradacji COP zapewnia operacyjną metrykę dla wyników testów. Zdefiniuj wynik COP jako ułamek oczekiwanych śladów widocznych w TAK Server w danym momencie, uśredniony przez okno testowe. Wynik 1,0 oznacza, że wszystkie ślady są aktualne; 0,5 oznacza, że połowa śladów wygasła lub brakuje. Narysuj wynik COP względem czasu od początku każdego zdarzenia testowego, aby uzyskać krzywą degradacji i odzyskiwania. Pole pod krzywą degradacji (łączne tracone minuty-ślady) to metryka wpływu na misję używana do porównywania alternatyw konfiguracji.