Prywatne sieci 5G przeszły z komercyjno-korporacyjnej ciekawostki do poważnej opcji łączności obronnej. Prywatna sieć 5G daje organizacji wojskowej dedykowaną, wysokowydajną sieć komórkową, którą posiada i kontroluje od początku do końca — anteny, rdzeń, widmo i bazę danych abonentów. Ten artykuł wyjaśnia, jak projektować i zabezpieczać prywatną 5G dla instalacji wojskowych: architekturę rdzenia, dzielenie sieci dla segregacji misji, planowanie widma i radia, model bezpieczeństwa 5G, integrację przetwarzania brzegowego i działanie odizolowane.
Właściwy wzorzec wdrożenia to nie ogólnokrajowe pokrycie mobilne. To ograniczona, gęsta łączność w obrębie instalacji — wysuniętej bazy operacyjnej, portu, lotniska, węzła logistycznego, poligonu — gdzie duża liczba czujników, pojazdów, terminali i urządzeń IoT potrzebuje niezawodnych, niskoopóźnieniowych, wysokowydajnych łączy, których operatorzy komercyjni nie mogą zapewnić bezpiecznie. Prywatna 5G wypełnia tę lukę jako stała lub półstała warstwa infrastruktury, która integruje się z architekturą zero-trust instalacji i chmurą brzegową.
Dlaczego prywatna 5G dla obronności
Argument za prywatną 5G w obronności opiera się na kontroli i determinizmie. Sieć operatora komercyjnego to infrastruktura współdzielona: jej pojemność rywalizuje z abonentami cywilnymi, jej pokrycie jest zoptymalizowane pod gęstość zaludnienia, a nie geografię misji, a jej rdzeń obsługuje strona trzecia, której priorytety, obowiązki legalnego przechwytywania i odporność leżą poza kontrolą wojskową. W sytuacji kryzysowej sieci komercyjne mogą być przeciążone, zakłócone, zdegradowane lub po prostu wyłączone. Prywatna sieć całkowicie usuwa tę zależność.
Kontrola dedykowanego widma oznacza, że organizacja wie dokładnie, co nadaje w jej paśmie, i może zarządzać zakłóceniami, dekonflikcją i kontrolą emisji na własnych warunkach. Deterministyczne opóźnienie to drugi czynnik: ultraniezawodne konfiguracje o niskim opóźnieniu zapewniają cykle zwrotne poniżej 10 milisekund, co ma znaczenie dla sygnalizacji C2, zdalnego sterowania platformami i pętli sensor-strzelec, gdzie jitter i opóźnienia ogonowe są niedopuszczalne.
W porównaniu z radiem taktycznym prywatna 5G oferuje znacznie wyższą przepustowość i gęstość urządzeń — setki strumieni wideo ISR wysokiej rozdzielczości i tysiące czujników IoT w jednej sieci — ale jest to stała infrastruktura, a nie manewrowa fala. W porównaniu z Wi-Fi 5G zapewnia mobilność klasy operatorskiej, planowany (a nie rywalizujący) dostęp do interfejsu radiowego, natywne QoS, uwierzytelnianie oparte na SIM i zasięg pokrycia, którego Wi-Fi nie może dorównać. Dla stałej instalacji potrzebującej zarówno pojemności, jak i pewnego dostępu, prywatna 5G jest właściwym narzędziem.
Architektura rdzenia 5G dla wdrożenia wojskowego
Pierwsza decyzja architektoniczna to samodzielny (SA) kontra niesamodzielny (NSA). NSA ponownie wykorzystuje rdzeń 4G LTE (EPC) i zakotwicza radio 5G w istniejącej płaszczyźnie sterowania LTE — szybkie we wdrożeniu, ale dziedziczy ograniczenia bezpieczeństwa LTE i nie może dostarczyć pełnego zestawu funkcji 5G. SA wykorzystuje natywny rdzeń 5G (5GC) z architekturą usługową. Dla obronności SA jest właściwym celem: tylko SA obsługuje dzielenie sieci, URLLC, ulepszony model uwierzytelniania 5G i ukrywanie tożsamości abonenta. NSA to co najwyżej krok przejściowy.
5GC oddziela płaszczyznę sterowania od płaszczyzny użytkownika (CUPS — Control and User Plane Separation). Funkcje płaszczyzny sterowania (AMF dla dostępu i mobilności, SMF dla sesji, AUSF dla uwierzytelniania, UDM dla danych abonentów, NRF dla wykrywania usług) decydują o polityce; funkcja płaszczyzny użytkownika (UPF) przekazuje rzeczywisty ruch. To rozdzielenie pozwala operatorowi umieścić UPF blisko miejsca, gdzie ruch jest konsumowany — na brzegu, obok anten — przy jednoczesnym zachowaniu scentralizowanych funkcji sterowania, co jest dokładnie tym, czego wymaga niskoopóźnieniowe przetwarzanie brzegowe.
Obronny prywatny rdzeń 5G powinien być skonteneryzowany i działać lokalnie. Projekty rdzenia 5G o otwartym kodzie, takie jak Open5GS i Magma, pokazują, że pełny 5GC może działać jako kontenery w klastrze Kubernetes w centrum danych instalacji lub na wzmocnionym serwerze brzegowym w polu. Lokalne hostowanie utrzymuje cały rdzeń — i każdy bajt danych abonentów i ruchu — na infrastrukturze fizycznie kontrolowanej przez organizację, co jest fundamentalnym wymogiem dla wdrożeń niejawnych.
Dzielenie sieci dla segregacji misji
Dzielenie sieci dzieli jedną fizyczną sieć 5G na wiele sieci logicznych, z których każda ma niezależną wydajność i izolację. Standard 5G definiuje trzy typy usług plastrów. Rozszerzona mobilna szerokopasmowość (eMBB) maksymalizuje przepustowość dla ruchu o wysokiej przepustowości. Ultraniezawodna łączność o niskim opóźnieniu (URLLC) gwarantuje niskie opóźnienie i wysoką niezawodność dla krytycznego czasowo sterowania. Masowa komunikacja maszynowa (mMTC) obsługuje bardzo dużą liczbę urządzeń o niskiej przepływności. Mapują się one czysto na klasy ruchu obronnego.
Na instalacji wojskowej dzielenie izoluje ruch według misji i wrażliwości. Wideo ISR działa na dedykowanym plastrze eMBB wymiarowanym pod stałą wysoką przepustowość. Sygnalizacja C2 działa na plastrze URLLC z gwarantowanym budżetem opóźnienia, aby ruch dowodzenia nigdy nie był głodzony przez masowe wideo. Logistyczne i infrastrukturalne IoT bazy — czujniki środowiskowe, lokalizatory zasobów, kontrola dostępu — działa na plastrze mMTC dostrojonym pod gęstość urządzeń, a nie przepustowość na urządzenie.
Każdy plaster niesie własny profil QoS oraz, co kluczowe, własną granicę bezpieczeństwa. Szyfrowanie na poziomie plastra i izolacja oznaczają, że naruszenie lub nasycenie jednego plastra nie przenika do pozostałych: przeciążony plaster ISR nie może opóźnić ruchu C2, a naruszone urządzenie IoT na plastrze mMTC nie ma ścieżki do plastra C2. Izolacja plastrów jest egzekwowana zarówno w harmonogramie RAN, jak i w rdzeniu, a polityka wyboru plastra jest powiązana z poświadczeniami abonenta, więc urządzenie jest dopuszczane tylko do tych plastrów, które autoryzuje jego rola w misji.
Kwestie widma i RAN
Widmo jest ograniczeniem progowym. W Stanach Zjednoczonych Citizens Broadband Radio Service (CBRS) na 3,5 GHz zapewnia współdzielony dostęp zarządzany przez Spectrum Access System i jest szeroko stosowane dla sieci prywatnych. Globalnie pasmo 5G n78 (3,3–3,8 GHz) jest dominującym pasmem średnim, równoważącym pokrycie i pojemność, a kilka krajów licencjonuje dedykowane lokalne widmo sieci prywatnej w jego obrębie — niemiecki schemat lokalnego licencjonowania na 3,7–3,8 GHz to dobrze znany przykład. Każde wdrożenie musi koordynować z krajowym organem widmowym i dekonfliktować z istniejącymi użytkownikami wojskowymi i cywilnymi.
Sieć dostępu radiowego planuje się wokół obszaru pokrycia i najbardziej wymagającego plastra. Rozmieszczenie gNodeB napędzane jest modelowaniem propagacji RF, które uwzględnia budynki, teren i budżet łącza potrzebny do spełnienia celu URLLC w zakresie opóźnienia i niezawodności na krawędzi komórki. Obszary wewnętrzne i gęste preferują małe komórki; szerokie otwarte przestrzenie preferują makrokomórki. Pasmo średnie oferuje praktyczny kompromis między zasięgiem niskiego pasma a pojemnością fal milimetrowych.
Do użytku polowego i ekspedycyjnego infrastruktura radiowa musi być rozkładalna. Komórki na kołach i skonteneryzowane stacje bazowe pozwalają instalacji szybko uruchomić pokrycie w nowej lokalizacji. Prywatna stacja bazowa 5G jest również emiterem RF z wykrywalną sygnaturą elektromagnetyczną, więc planowanie RAN dotyczy nie tylko pokrycia — musi pasować do reżimu kontroli emisji (EMCON) instalacji, z możliwością zmniejszenia mocy, kształtowania pokrycia lub wyłączenia emiterów, gdy wymaga tego środowisko zagrożenia.
Architektura bezpieczeństwa
Model bezpieczeństwa 5G to znacząca poprawa względem wcześniejszych generacji, a wdrożenie prywatne pozwala operatorowi posiadać go w całości. Stała tożsamość abonenta (SUPI — Subscription Permanent Identifier) nigdy nie jest wysyłana otwartym tekstem przez eter. Zamiast tego urządzenie szyfruje ją do SUCI (Subscription Concealed Identifier) za pomocą klucza publicznego sieci domowej, pokonując ataki śledzące IMSI-catcher, które trapiły 2G/3G/4G.
Wzajemne uwierzytelnianie wykorzystuje 5G-AKA (Authentication and Key Agreement): urządzenie i sieć uwierzytelniają się nawzajem, a wynikowa hierarchia kluczy chroni sygnalizację i ruch użytkownika. Poświadczenia żyją w karcie SIM lub eSIM oraz w funkcjach Unified Data Management (UDM) i uwierzytelniania (AUSF) rdzenia. W sieci prywatnej operator prowadzi cały łańcuch zaopatrzenia w klucze — generując klucze abonentów, zaopatrując SIM i eSIM oraz obsługując UDM — więc nie ma zależności zaufania od zarządzania kluczami operatora komercyjnego.
Uwierzytelnianie 5G to pierwszy czynnik, a nie cała historia. Powinno integrować się z architekturą zero-trust instalacji, gdzie uwierzytelnianie urządzenia 5G-AKA jest uzupełnione tożsamością na warstwie aplikacji, stanem urządzenia i ciągłą autoryzacją. Jeśli sieć kiedykolwiek musi łączyć się z inną siecią 5G, Security Edge Protection Proxy (SEPP) chroni sygnalizację międzysieciową na granicy roamingu; dla w pełni izolowanej instalacji żadna ścieżka roamingu SEPP nie jest w ogóle ujawniona.
Integracja przetwarzania brzegowego (MEC)
Przetwarzanie brzegowe wielodostępu (MEC) to miejsce, gdzie prywatna 5G zarabia na siebie w obronności. MEC umieszcza obliczenia — serwery, GPU, akceleratory — na brzegu sieci, razem z RAN, więc aplikacje działają obok anten, a nie w odległym centrum danych. Ponieważ CUPS pozwala UPF siedzieć na brzegu, ruch z plastra można skierować bezpośrednio do lokalnej aplikacji MEC, nigdy nie przechodząc przez łącze transportowe.
Najwartościowszym obciążeniem jest wnioskowanie AI na brzegu. Wideo ISR z dronów i czujników naziemnych można przetwarzać tam, gdzie napływa — wykrywanie, śledzenie i klasyfikacja obiektów działające na brzegowych GPU umieszczonych razem z gNodeB — więc dalej trzeba przenosić tylko wykrycia i alerty, a nie surowe wielogigabitowe strumienie. To skraca oś czasu od czujnika do decyzji i usuwa zależność od łączności chmurowej dla krytycznej czasowo analityki.
Korzyść opóźnienia jest decydująca dla zastosowań sensor-strzelec. Czas zwrotny do odległej chmury może wynosić dziesiątki do setek milisekund; brzegowy węzeł MEC umieszczony razem z radiem utrzymuje pełną pętlę czujnik-przetwarzanie-decyzja w zakresie jednocyfrowych milisekund na plastrze URLLC. Hostowanie wnioskowania, wstępnego przetwarzania i fuzji na brzegu 5G jest tym, co zamienia prywatną sieć 5G z rury transportowej w taktyczną tkankę obliczeniową. Ten wzorzec bezpośrednio łączy się z taktyczną chmurą brzegową dla operacji odłączonych.
Działanie odizolowane i odłączone
Samodzielny rdzeń 5G nie potrzebuje internetu do działania. Każda wymagana funkcja sieciowa — AMF, SMF, UPF, UDM, AUSF, NRF — może działać na lokalnej infrastrukturze, a uwierzytelnianie abonenta rozwiązuje się w całości względem lokalnej bazy danych UDM. Urządzenia uwierzytelniają się, dołączają i wymieniają ruch z zerową zależnością zewnętrzną. To właśnie czyni prywatną 5G opłacalną dla niejawnych enklaw i odłączonych wysuniętych wdrożeń, gdzie dostęp do internetu jest niedostępny lub zabroniony.
Działanie odizolowane narzuca jednak dyscyplinę. Bazę danych abonentów i lokalny urząd certyfikacji trzeba utrzymywać na miejscu. Aktualizacje oprogramowania rdzenia i RAN muszą być obsługiwane poprzez kontrolowany proces offline, a nie pobierane z chmury dostawcy. Synchronizacja czasu to często pomijany wymóg: 5G zależy od precyzyjnego czasu, zwykle z lokalnego oscylatora dyscyplinowanego GPS lub zegara atomowego, a nie z internetowego NTP, a samo to źródło czasu musi być odporne na zagłuszanie GPS.
Odporność i przełączanie awaryjne wieńczą projekt. Funkcje rdzenia sieci powinny działać z redundancją, aby utrata jednego węzła nie zrzucała sieci, a architektura powinna degradować się płynnie — awaria plastra lub węzła MEC nie powinna wyłączać uwierzytelniania ani łączności C2. Przez cały czas wdrożenie musi respektować EMCON: zdolność do dławienia, kształtowania lub wyciszania emisji jest częścią obsługi sieci, której własne radia są wykrywalną sygnaturą.
Kluczowy wniosek: Najpowszechniejszym błędnym przekonaniem o prywatnej 5G w obronności jest to, że zastępuje radio taktyczne. Nie zastępuje. Prywatna 5G zapewnia wysokowydajną, niskoopóźnieniową łączność w obrębie ograniczonego obszaru pokrycia — wysuniętej bazy operacyjnej, portu, lotniska, poligonu. To stała lub półstała warstwa infrastruktury, a nie manewrowy system łączności. Poprawna architektura traktuje prywatną 5G jako wysokopojemny szkielet w obrębie instalacji, a radio taktyczne (MANET) jako mobilne rozszerzenie poza zasięgiem 5G, z bezszwowym przekazywaniem danych między dwoma domenami na granicy.