Wykrywanie sygnałów LPI/LPD: wyzwania detekcji sygnałów o niskim prawdopodobieństwie przechwycenia

Większość sygnałów zwraca na siebie uwagę. Wąskopasmowa transmisja FM, seria impulsów radarowych, mikrofalowe łącze danych – każde z nich generuje pik mocy, który konwencjonalny detektor energetyczny wykrywa w chwili nastrojenia się na właściwą częstotliwość. Przebiegi o niskim prawdopodobieństwie przechwycenia (LPI) i niskim prawdopodobieństwie wykrycia (LPD) są zaprojektowane, by działać odwrotnie. Rozpraszają swoją energię tak cienko – w częstotliwości, w czasie lub w obu wymiarach jednocześnie – że moc w każdej pojedynczej komórce rozdzielczości sytuuje się poniżej progu szumu, który jest w stanie zmierzyć nieupoważniony odbiornik. Dla detektora energetycznego stanowiącego podstawę większości systemów monitorowania widma sygnał LPI po prostu nie istnieje. W niniejszym artykule analizujemy, dlaczego przebiegi LPI pokonują standardową ścieżkę detekcji i co system SIGINT musi robić inaczej – szerokopasmowe nasłuchiwanie, dyscyplina poziomu szumu i detekcja oparta na cechach – aby znaleźć transmisję, która została specjalnie zaprojektowana, by nie dać się znaleźć.

Co sprawia, że sygnał ma niskie prawdopodobieństwo przechwycenia

LPI to właściwość przebiegu, nie tajemnica nadajnika. Projektant utrudnia przechwycenie sygnału, obniżając szczytową widmową gęstość mocy (PSD) w każdym punkcie, w którym mógłby nasłuchiwać przeciwnik. Istnieją cztery podstawowe techniki, często łączone.

Szerokopasmowy spread spectrum z bezpośrednią sekwencją (DSSS). Dane są mnożone przez wysokoczęstotliwościową pseudolosową sekwencję chipów, co rozszerza wąskopasmowy sygnał na pasmie wielokrotnie szerszym. Całkowita energia pozostaje niezmieniona, ale PSD spada o zysk przetwarzania – stosunek pasma rozszerzonego do pasma danych. Sygnał z 30 dB zysku przetwarzania ma PSD obniżoną o 30 dB, często głęboko poniżej progu szumu. Odbiornik współpracujący, który zna sekwencję chipów, rozkłada sygnał i odzyskuje pełny SNR; nieupoważniony widzi szum.

Szerokopasmowy spread spectrum z przeskakiwaniem częstotliwości (FHSS). Nośna przeska szybko po dużym zestawie częstotliwości według pseudolosowego harmonogramu. W każdej chwili sygnał jest wąskopasmowy, ale nigdy nie pozostaje na żadnej częstotliwości wystarczająco długo, by wąskopasmowy odbiornik zdążył go zablokować i scharakteryzować. Szybkie urządzenia zmieniają częstotliwość setki do tysięcy razy na sekundę w zakresie dziesiątek lub setek megaherców.

Niska moc nadawania i zarządzanie mocą. Wiele taktycznych łączy emituje jedynie minimalną moc potrzebną do zamknięcia łącza i adaptacyjnie ją obniża, gdy odległość maleje. Zamierzony odbiornik jest blisko i odbiera sygnał; przechwytujący oddany dalej widzi sygnał osłabiony przez dodatkowe straty na trasie.

Przebiegi fali ciągłej i przebiegi podobne do szumu. Radar LPI w szczególności stosuje przebiegi z częstotliwościową modulacją fali ciągłej (FMCW) lub z kodowaniem fazowym fali ciągłej, które rozmazują energię zarówno w czasie, jak i w częstotliwości, zastępując łatwo wykrywalny impuls o wysokiej szczytowej mocy konwencjonalnego radaru stałą, niską emisją.

Dlaczego detekcja energetyczna zawodzi

Detektor energetyczny to koń roboczy monitorowania widma: całkuje odebraną moc w kanale, szacuje poziom szumu i ogłasza wykrycie, gdy moc przekroczy próg powyżej tego poziomu. Jego siłą jest to, że nie wymaga wiedzy o sygnale. Jego słabością jest to, że opiera się wyłącznie na mocy, a przebiegi LPI atakują właśnie moc.

Dwa efekty się nakładają. Po pierwsze, PSD sygnału LPI jest z założenia poniżej progu szumu, więc zintegrowana moc w paśmie detekcji prawie nie zmienia się przy obecności sygnału. Po drugie – i to jest pułapka, w którą wpadają naiwne implementacje – detekcja energetyczna pogarsza się w sposób nielinearny przy niskim SNR. Detektor polega na dokładnej znajomości mocy szumu, aby ustawić próg. Każda niepewność tego oszacowania – wynikająca z dryftu kalibracyjnego, temperatury lub zakłócających emiterów – tworzy poziom niepewności mocy szumu, poniżej którego detektor nie jest w stanie odróżnić sygnału od nieznacznie błędnie oszacowanego poziomu szumu. To jest ściana SNR: stosunek sygnał–szum, poniżej którego żaden wzrost czasu całkowania nie zapewnia niezawodnej detekcji, ponieważ niepewność mocy szumu, a nie szum termiczny, dominuje. Detektory energetyczne mają stosunkowo wysoką ścianę SNR, a przebiegi LPI są zaprojektowane, by działać poniżej niej.

Praktyczny wniosek jest taki, że zwiększanie czasu całkowania detektora energetycznego nie rozwiązuje problemu LPI. Po przekroczeniu ściany SNR dłuższy czas przebywania nic nie daje. Rozwiązaniem jest zmiana detektora, a nie bardziej intensywne działanie tego samego.

Szerokopasmowe nasłuchiwanie: nie można wykryć tego, czego się nie obserwuje

Zanim uruchomi się jakikolwiek detektor, wejście musi być skierowane na sygnał. Dla przebiegów LPI jest to warunek nietrywialny. Emiter frequency-hopping rozciąga się na zestawie przeskoków znacznie szerszym niż czas przebywania na jednym przeskoku; wąskopasmowy odbiornik skanujący pasmo będzie z dużym prawdopodobieństwem nastrojony gdzie indziej podczas dowolnego przeskoku. Niezawodne przechwytywanie FHSS wymaga chwilowej szerokości pasma nasłuchu obejmującej cały zestaw przeskoków, tak by każdy przeskok trafiał do obserwowanego pasma niezależnie od tego, kiedy nastąpi.

Standardowa architektura to szerokopasmowy przetwornik cyfrowo-analogowy zasilający wielofazowy filtr pasmowy, który dzieli przechwycone pasmo na setki lub tysiące wąskich kanałów, każdy monitorowany równolegle. To ta sama warstwa kanalizacji opisana w kontekście potoków przetwarzania sygnałów SDR, ale dla pracy z LPI wymagania dotyczące szerokości pasma i zakresu dynamicznego są bezwzględne. Przetwornik musi utrzymać słaby sygnał spread spectrum powyżej progu kwantyzacji nawet wtedy, gdy silny konwencjonalny emiter dzieli pasmo – wymaganie dotyczące zakresu dynamicznego, które skłania ku przetwornikom ADC o dużej głębi bitowej i starannemu zarządzaniu wzmocnieniem wejściowym.

Istnieje bezpośredni związek między szerokością pasma nasłuchu a prawdopodobieństwem detekcji urządzeń frequency-hopping. Jeśli chwilowe pasmo obejmuje tylko ułamek zestawu przeskoków, odbiornik obserwuje tylko ten ułamek przeskoków, a prawdopodobieństwo detekcji na jeden czas przebywania spada proporcjonalnie. Połowa zestawu przeskoków oznacza mniej więcej połowę widzianych przeskoków – a dla szybkiego urządzenia z krótkimi czasami przebywania przeoczone przeskoki są utracone bezpowrotnie.

Analiza cyklostacjonarna: struktura tam, gdzie detekcja energetyczna nic nie widzi

Decydującym narzędziem wobec sygnałów LPI jest cyklostacjonarna detekcja cech. Zasada polega na tym, że sygnały modulowane przez człowieka niosą ukryte periodyczności – w swojej częstotliwości nośnej, szybkości symbolowej, chipowej lub kodowaniu – których szum termiczny nie posiada. Te periodyczności czynią statystyki sygnału cyklostacjonarnymi: jego autokorelacja jest okresowa w czasie. Biały szum gaussowski jest stacjonarny i nie ma takiej periodyczności. Detektor mierzący strukturę cykliczną może zatem oddzielić sygnał od szumu na podstawie struktury, a nie mocy.

Podstawowym pomiarem jest spektralna funkcja korelacji (SCF), która kwantyfikuje korelację między dwiema składowymi widmowymi sygnału oddzielonymi o częstotliwość cykliczną oznaczaną alfa. Dla szumu SCF wynosi zero wszędzie poza alfa równym zero (gdzie sprowadza się do zwykłej widmowej gęstości mocy). Dla sygnału modulowanego SCF wykazuje wyraźne piki przy częstotliwościach cyklicznych powiązanych z szybkością symbolową lub chipową oraz z podwojoną częstotliwością nośną. Sygnał spread spectrum z bezpośrednią sekwencją ukryty poniżej progu szumu w konwencjonalnym PSD nadal generuje rozpoznawalny pik w SCF przy swojej szybkości chipowej.

Na tym polega zdolność detekcji cyklostacjonarnej do działania kilka decybeli poniżej ściany SNR detekcji energetycznej. Kosztem jest obliczenia: SCF jest funkcją dwuwymiarową w częstotliwości i częstotliwości cyklicznej, a jej obliczanie w szerokim paśmie jest kosztowne. Wydajne algorytmy – metoda akumulacji FFT i algorytm paskowej korelacji widmowej – czynią ją wykonalną, ale detekcja cyklostacjonarna pozostaje jednym z najcięższych etapów w łańcuchu przetwarzania SIGINT. Typowo stosuje się ją selektywnie, naprowadzaną przez tańszy detektor pierwszego przejścia lub na kanały stałego zainteresowania, a nie ciągle na każdym kanale.

Pokrewne detektory cech

Analiza cyklostacjonarna jest najbardziej ogólną metodą opartą na strukturze, ale kilka lżejszych detektorów wykorzystuje tę samą ideę. Detektor autokorelacyjny szuka piku przy znanych opóźnieniach – skuteczny, gdy szybkość symbolowa lub chipowa jest w przybliżeniu znana. Filtr dopasowany jest optymalny, gdy przebieg jest w pełni znany, ale taka wiedza rzadko jest dostępna wobec niekooperującego emitera LPI. Statystyki wyższego rzędu, takie jak kumulanty czwartego rzędu, tłumią szum gaussowski (którego wyższe kumulanty zanikają), zachowując jednocześnie te sygnału, co otwiera kolejną ścieżkę detekcji poniżej progu energetycznego. Właściwy wybór zależy od tego, jak wiele wiadomo a priori o docelowym przebiegu.

Przechwytywanie i charakteryzacja emiterów frequency-hopping

Wykrycie, że sygnał LPI istnieje, to tylko pierwszy cel; wartość wywiadowcza pochodzi z jego charakteryzacji. Dla emitera frequency-hopping charakteryzacja oznacza odtworzenie zestawu przeskoków (jakich częstotliwości używa), czasu przebywania na jednym przeskoku i szybkości przeskoku, a następnie zrekonstruowanie czasowo-częstotliwościowego wzorca przeskoków.

Mając szerokopasmowe przechwycenie skanalizowane do równoległych kanałów, system rejestruje wykrycia na kanał z precyzyjnymi znacznikami czasu. Korelowanie tych wykryć między kanałami a czasem rekonstruuje sekwencję przeskoków: impuls w kanale A w chwili t, potem kanał F w t plus czas przebywania, potem kanał C i tak dalej. Odtworzony wzorzec ujawnia szybkość przeskoku i, po wystarczającej obserwacji, strukturę zestawu przeskoków. Ta sama korelacja między kanałami oddziela jeden hopper od drugiego, gdy kilka urządzeń dzieli pasmo – charakterystyczne czasy przebywania i zestawy przeskoków identyfikują poszczególne emittery. Powiązanie tego z modulacją i analizą emitujących urządzeń, omówioną w artykule dotyczącym klasyfikacji sygnałów za pomocą uczenia maszynowego, daje pełny obraz tego, czym jest emiter i potencjalnie jakim urządzeniem.

Dla sygnałów DSSS charakteryzacja oznacza szacowanie szybkości chipowej z SCF, a następnie poszukiwanie kodu rozpraszającego. Po odtworzeniu kodu sygnał może zostać rozszerzony i ujawnić swoją podstawową modulację. Ślepe rozszerzanie – odtworzenie kodu bez uprzedniej wiedzy – wykorzystuje cyklostacjonarne techniki statystyki wyższego rzędu do oszacowania okresu chipowego i długości kodu, a następnie przeszukiwanie akwizycji kodu w celu zablokowania sekwencji.

Uczenie maszynowe dla detekcji przy niskim SNR

Ręcznie strojone detektory cech wymagają, by projektant z góry przewidział, która statystyka najlepiej oddzieli dany przebieg od szumu. Uczenie maszynowe przenosi ten ciężar na dane treningowe. Sieć neuronowa trenowana na oznakowanych segmentach IQ – lub na pochodnych reprezentacjach takich jak powierzchnie korelacji widmowej lub spektrogramy krótkoterminowej transformaty Fouriera – uczy się sygnatury przebiegów LPI bezpośrednio. Sieci splotowe operujące na obrazach czasowo-częstotliwościowych wykrywają i klasyfikują sygnały DSSS i frequency-hopping przy niskim SNR, uogólniając na parametry przebiegów, dla których detektor parametryczny wymagałby ponownego strojenia.

Dwa ograniczenia decydują o tym, czy ML rzeczywiście pomaga. Zbiór treningowy musi obejmować zakres SNR i różnorodność przebiegów, z jakimi system się zetknie; sieć trenowana wyłącznie na silnych sygnałach zawodzi na słabych, które dla LPI mają największe znaczenie. Wskaźnik fałszywych alarmów musi być jawnie ograniczony – detektor zoptymalizowany wyłącznie pod kątem dokładności może zalewać gęste środowisko widmowe alarmami. W środowisku produkcyjnym detektory ML najlepiej wdrażać jako etap naprowadzania zasilający cięższą analizę cyklostacjonarną, a nie jako jedyną instancję, tak aby potwierdzone wykrycie opierało się na interpretowalnej strukturze sygnału.

Implikacje systemowe: budowanie z myślą o LPI od samego początku

Wykrywanie sygnałów LPI to zobowiązanie architektoniczne, a nie funkcja przełączana w wąskopasmowym systemie monitorowania. Wejście musi być szerokopasmowe i mieć duży zakres dynamiczny, aby obserwować pełny zestaw przeskoków bez nasycenia przy konwencjonalnych emiterach. Poziom szumu musi być kalibrowany i śledzony per kanał, ponieważ ściana SNR – nie surowa czułość – wyznacza limit detekcji. Łańcuch przetwarzania musi rezerwować zasoby obliczeniowe dla detektorów cyklostacjonarnych i statystyki wyższego rzędu, które są znacznie cięższe niż detekcja energetyczna. A przepływ pracy analityka musi korelować wykrycia między kanałami i czasem, aby rekonstruować wzorce przeskoków i rozszerzać sekwencje zamiast traktować każdy kanał osobno. Systemu monitorowania zbudowanego wyłącznie wokół detekcji energetycznej nie można poprawkami przekształcić w detektor LPI; wymaganie sięga wstecz do anteny i przetwornika cyfrowego.

Dla pokrewnego problemu odróżniania celowego zakłócania od rzeczywistych emiterów zob. omówienie detekcji sygnałów walki elektronicznej, które dzieli znaczną część opisanego tutaj mechanizmu szerokopasmowego nasłuchu i detekcji opartej na cechach.