Înregistrare RF de bandă largă și arhivare a spectrului pentru SIGINT forensic

SIGINT-ul în timp real răspunde la întrebarea ce se întâmplă acum. SIGINT-ul forensic răspunde la o întrebare diferită și adesea mai dificilă: ce s-a întâmplat atunci, și poți dovedi asta? A răspunde la aceasta necesită o capacitate de înregistrare de bandă largă și de arhivare a spectrului – un sistem care captează IQ brut la fidelitate completă, îl stochează cu proveniență verificabilă, îl indexează astfel încât un analist să poată găsi un semnal care a apărut acum câteva săptămâni, și îl redă prin același lanț de procesare pentru a reproduce un rezultat. Acest articol parcurge arhitectura unui astfel de sistem: front-end-ul de înregistrare, stocarea datelor IQ, indexul de metadate, politica de retenție și calea de redare care transformă o arhivă într-un instrument forensic.

De ce să arhivezi IQ brut

Majoritatea conductelor SIGINT operaționale aruncă eșantioanele brute în câteva secunde. Ele canalizează banda, detectează semnalele, le clasifică și păstrează doar produsele derivate – înregistrări de detecție, conținut demodulat, fixări de geolocalizare. Acesta este designul corect pentru o misiune în timp real, unde întrebarea este întotdeauna despre prezent, iar stocarea este finită.

Munca forensică sparge acea presupunere. Când apare un nou emițător de interes, analiștii vor să privească înapoi și să întrebe: a fost acest semnal prezent săptămâna trecută, și unde? Când o detecție este contestată, un analist trebuie să o reproducă din eșantioanele originale. Când este descoperită o formă de undă inedită, singura modalitate de a o studia este redarea capturii brute prin procesare nouă care nu exista când semnalul a fost înregistrat. Niciuna dintre acestea nu este posibilă dacă sistemul a păstrat doar produse derivate. IQ-ul brut este adevărul fundamental – orice altceva este o interpretare cu pierderi a acestuia, iar interpretarea poate fi întotdeauna refăcută dacă eșantioanele supraviețuiesc.

Costul acelui adevăr fundamental este volumul de date, și este sever. Un singur canal de 100 MHz în eșantioane complexe de 16 biți produce aproximativ 400 MB în fiecare secundă – circa 1,44 TB pe oră. Un colector de bandă largă cu patru canale care rulează continuu poate depăși 100 TB pe zi. Întreaga arhitectură a unei arhive de spectru este, de fapt, un set de strategii pentru a extrage valoare forensică din IQ brut fără a plăti pentru a-l păstra pe tot, pentru totdeauna.

Front-end-ul de înregistrare

Front-end-ul de înregistrare se află direct în spatele digitizorului și are o singură sarcină: să mute eșantioanele complexe de pe fir pe stocare durabilă fără a pierde niciunul. La ratele de bandă largă, aceasta este o problemă de debit susținut, nu o problemă de calcul. Modelul standard este un buffer circular fără blocaje în memoria gazdei pe care DMA-ul digitizorului îl umple și un fir de scriere îl golește, scriind fișiere de segment de dimensiune fixă către un nivel de stocare optimizat pentru scriere (NVMe într-un array striped, sau un sistem de fișiere paralel pentru rate agregate foarte mari).

Două proprietăți trebuie proiectate de la bun început. În primul rând, sincronizarea disciplinată. Fiecare eșantion trebuie să poarte un marcaj temporal precis și trasabil derivat dintr-un oscilator disciplinat prin GPS sau o referință PTP (IEEE 1588). Corelarea forensică între colectoare – și orice lucru viitor de geolocalizare – depinde de marcaje temporale precise la mai bine de o microsecundă și demonstrabil trasabile la o referință. În al doilea rând, integritatea la momentul scrierii. Un hash criptografic (SHA-256 este tipic) este calculat peste fiecare segment pe măsură ce este scris și stocat în metadatele segmentului. Acest lucru fixează integritatea capturii în momentul înregistrării, ceea ce este fundamentul oricărei revendicări probatorii ulterioare.

Front-end-ul de înregistrare scrie de asemenea o înregistrare de metadate auto-descriptivă pentru fiecare captură. Procesarea IQ-la-informații care consumă aceste înregistrări este același lanț de canalizare-și-detecție descris în prezentarea noastră despre conductele de procesare a semnalului SDR – arhiva pur și simplu inserează o etapă de stocare durabilă între colectare și procesare astfel încât conducta să poată rula din nou mai târziu față de eșantioanele stocate.

Stocarea datelor IQ și formatul de fișier

Alegerea formatului de stocare determină dacă o înregistrare mai este utilizabilă peste cinci ani. Standardul deschis de facto este SigMF (Signal Metadata Format), care asociază un fișier binar de date IQ cu un fișier de metadate JSON. Metadatele descriu rata de eșantionare, frecvența centrală, tipul de date (de ex. întreg complex pe 16 biți sau float pe 32 de biți), hardware-ul, ora de început a capturii și o listă de adnotări care marchează regiuni de interes în interiorul fișierului. Deoarece formatul este auto-descriptiv și ne-proprietar, o înregistrare SigMF rămâne interpretabilă fără software-ul de colectare original.

Separarea eșantioanelor brute de metadatele derivate

O arhivă de spectru menține două depozite de date fizic distincte. Primul este depozitul de IQ brut: fișiere mari de segment scrise-o-singură-dată în SigMF, scumpe de păstrat, accesate rar și doar prin deplasare de octeți. Al doilea este depozitul de metadate derivate: înregistrări mici structurate care descriu ce a fost găsit în IQ – detecții, caracteristici, spectrograme, identificări de emițătoare. Analiștii interoghează depozitul derivat constant; ating depozitul brut doar când au nevoie să redea eșantioane reale.

Această separare ghidează alegerea tehnologiei. IQ-ul brut rezidă pe stocare de obiecte sau un sistem de fișiere paralel optimizat pentru debit secvențial. Metadatele derivate rezidă într-o bază de date acordată pentru interogări pe intervale de timp și de frecvență – frecvent un depozit coloane precum Apache Parquet pentru tabelele analitice de caracteristici, precedat de un index de serii temporale sau de căutare pentru consultare interactivă. Cele două sunt unite printr-o cheie: fiecare înregistrare de metadate poartă calea segmentului său IQ sursă și deplasarea de octeți a intervalului de eșantioane pe care îl descrie.

Adâncimea de biți este un compromis deliberat între fidelitate și cost. Eșantioanele complexe pe șaisprezece biți păstrează aproximativ 96 dB de gamă dinamică, suficient pentru a capta un semnal slab situat sub un vecin puternic în aceeași bandă – situația în care detaliul forensic contează cel mai mult. Coborârea la 8 biți înjumătățește volumul de date dar aruncă acel spațiu de manevră, deci înregistrarea la adâncime mare de biți este rezervată benzilor de colectare unde gama dinamică pe co-canal este semnificativă operațional. Decizia este înregistrată în câmpul de tip de date SigMF astfel încât un analist ulterior să știe exact ce fidelitate deține arhiva.

Indexarea arhivei

O arhivă neindexată este o gaură neagră doar-pentru-scriere – eșantioanele intră și nu mai ies niciodată, pentru că nimeni nu le poate găsi. Indexarea este ceea ce transformă stocarea într-o arhivă. Indexul este construit de o trecere de detecție-și-extragere-de-caracteristici care rulează pe măsură ce segmentele sosesc, același tip de front-end de detecție folosit în monitorizarea spectrului pentru emițătoare neautorizate, reutilizat pentru a scrie înregistrări de index durabile în loc de alerte live.

Pentru fiecare semnal detectat, trecerea emite o înregistrare de index conținând, la minimum: intervalul de timp, frecvența centrală, lățimea de bandă ocupată, puterea de vârf și medie, o clasă de modulație estimată, o identificare de emițător acolo unde este disponibilă, și – esențial – calea fișierului IQ sursă și deplasarea de octeți a intervalului de eșantioane. Deplasarea este cea care face recuperarea ieftină: interogarea unui analist returnează înregistrări de index, și fiecare înregistrare indică direct în depozitul brut, astfel încât redarea este o poziționare-și-citire mai degrabă decât o scanare.

Depozitul de index trebuie să suporte interogările pe care analiștii le rulează efectiv, care sunt covârșitor mărginite în timp și frecvență: „arată-mi tot între 2,40 și 2,48 GHz la această dată cu lățime de bandă sub 1 MHz și putere peste acest prag.” Un index compus pe (timp, frecvență, putere) peste înregistrările de detecție deservește acestea eficient. Spectrogramele – imagini timp-frecvență-putere subeșantionate – sunt stocate ca produs terțiar astfel încât un analist să poată scana vizual o bandă-zi întreagă fără a decoda niciun IQ brut.

Trecerea de detecție ar trebui să fie mai degrabă prudentă decât isteață. Sarcina sa este de a face fiecare semnal găsibil mai târziu, nu de a ajunge la o clasificare finală pe loc, deci favorizează recall-ul: marchează orice energie care depășește un prag, chiar dacă estimarea de modulație este incertă. Rafinarea – confirmarea unei clase de modulație, atribuirea unui emițător, corelarea între colectoare – se întâmplă mai târziu, la cerere, prin redarea IQ-ului brut indexat printr-o analiză mai grea. Un index care sub-detectează este nerecuperabil, deoarece semnalele lipsă nu au fost niciodată scrise ca înregistrări găsibile; un index care supra-detectează costă doar puțină stocare suplimentară de metadate.

Politica de retenție: singurul lucru care păstrează arhiva accesibilă

Niciun buget realist nu păstrează IQ brut la fidelitate completă de la un colector de bandă largă pentru totdeauna. O politică de retenție pe niveluri este ceea ce face arhiva posibilă financiar, și este un parametru de misiune deliberat și documentat, nu o gândire ulterioară.

Nivelul 0 – buffer brut rulant. O fereastră scurtă de IQ brut la fidelitate completă (minute până la câteva ore) este întotdeauna reținută pe cea mai rapidă stocare. Scopul său este privirea înapoi: când apare un nou semnal de interes, analiștii pot ajunge imediat înapoi pentru a capta momentele de dinainte de a fi marcat, care altfel sunt pierdute. Buffer-ul se suprascrie continuu.

Nivelul 1 – retenție brută declanșată. Capturile marcate de un declanșator – o potrivire cu o listă de supraveghere, un detector de anomalii sau o sarcină explicită de analist – sunt promovate din buffer-ul rulant și reținute ca IQ brut pentru zile până la săptămâni. Acesta este mecanismul de arhivare selectivă: sistemul păstrează fidelitate completă doar acolo unde dovezile sugerează că va fi necesară.

Nivelul 2 – produse derivate, pe termen lung. Spectrogramele, metadatele de detecție și caracteristicile extrase sunt reținute pe termen nelimitat. Ele ocupă o fracțiune minimă din volumul de date brute, dar răspund la majoritatea întrebărilor forensice de unele singure. Un analist poate stabili că un semnal a fost prezent, la ce frecvență, cu ce caracteristici, doar din Nivelul 2 – și să escaladeze la o redare brută de Nivel 1 doar când este necesară dovada la nivel de eșantion.

Migrarea între niveluri este automatizată. IQ-ul brut îmbătrânit se mută de pe NVMe fierbinte către stocare de obiecte mai ieftină și este în cele din urmă șters conform politicii, în timp ce metadatele sale derivate persistă. Ferestrele de retenție, definițiile declanșatoarelor și programul de ștergere sunt toate configurație, nu cod, astfel încât un manager de colectare le poate acorda per misiune și per autoritate de clasificare.

Redarea și apărabilitatea forensică

Recompensa întregii arhitecturi este redarea: luarea unei capturi stocate și rularea ei prin procesare ca și cum ar fi live. Deoarece arhiva a reținut atât IQ-ul brut original cât și parametrii exacți de la momentul capturii, un analist poate reprocesa un semnal cu algoritmi mai noi sau diferiți, sau pur și simplu reproduce un rezultat anterior pentru a-l confirma. Redarea se poziționează la deplasarea de octeți din înregistrarea de index, verifică hash-ul stocat al segmentului pentru a confirma că eșantioanele sunt nealterate, și alimentează intervalul prin lanțul de procesare.

Apărabilitatea forensică este proprietatea care face o redare credibilă pentru cineva care nu a fost prezent la colectare. Ea se bazează pe trei lucruri pe care arhitectura le-a furnizat deja: proveniența – fiecare captură poartă identitatea colectorului, starea de calibrare, configurația antenei și marcaje temporale disciplinate fixate la momentul înregistrării; integritatea – hash-ul de la momentul scrierii dovedește că eșantioanele nu s-au schimbat; și lanțul de custodie – fiecare acces, export și redare este scris într-un jurnal de audit imuabil. Reproductibilitatea urmează direct: deoarece atât eșantioanele brute cât și parametrii de procesare sunt ambii reținuți, un analist independent poate reda captura și obține aceleași detecții și măsurători, ceea ce este esența unei constatări forensice apărabile.

Aceleași cerințe de proveniență și control al accesului modelează sistemul de colectare mai larg; designul stratificat care le produce este tratat în referința noastră despre platformele radio definite prin software pentru apărare.