Приватні мережі 5G перетворилися з комерційно-корпоративної цікавинки на серйозний варіант для оборонного зв'язку. Приватна мережа 5G дає військовій організації виділену, високопродуктивну стільникову мережу, якою вона володіє та керує від початку до кінця — радіостанціями, ядром, спектром і базою даних абонентів. Ця стаття пояснює, як проєктувати та захищати приватну 5G для військових об'єктів: архітектуру ядра, нарізку мережі для сегрегації місій, планування спектру та радіо, модель безпеки 5G, інтеграцію периферійних обчислень та автономну роботу.
Релевантний сценарій розгортання — це не загальнонаціональне мобільне покриття. Це обмежена, висока за щільністю зв'язність у межах об'єкта — передової оперативної бази, порту, аеродрому, логістичного вузла, навчального полігону — де велика кількість датчиків, транспортних засобів, терміналів та пристроїв IoT потребує надійних, малозатримкових, високопродуктивних каналів, які комерційні оператори не можуть надати безпечно. Приватна 5G заповнює цю прогалину як фіксований або напівфіксований інфраструктурний шар, що інтегрується з архітектурою нульової довіри об'єкта та периферійною хмарою.
Чому приватна 5G для оборони
Аргументи на користь приватної 5G в обороні ґрунтуються на контролі та детермінованості. Мережа комерційного оператора — це спільна інфраструктура: її ємність ділиться цивільними абонентами, її покриття оптимізоване під щільність населення, а не географію місії, а її ядро експлуатує третя сторона, чиї пріоритети, зобов'язання щодо законного перехоплення та відмовостійкість перебувають поза військовим контролем. У кризовій ситуації комерційні мережі можуть бути перевантажені, заглушені, деградовані або просто вимкнені. Приватна мережа повністю усуває цю залежність.
Контроль над виділеним спектром означає, що організація точно знає, що передається в її смузі, і може керувати завадами, деконфлікцією та контролем випромінювання на власних умовах. Детермінована затримка — другий чинник: конфігурації надійного зв'язку з наднизькою затримкою забезпечують зворотні цикли менше 10 мілісекунд, що важливо для сигналізації C2, дистанційного керування платформами та циклів «сенсор-стрілець», де джитер і хвостова затримка неприйнятні.
У порівнянні з тактичним радіо приватна 5G пропонує значно вищу пропускну здатність і щільність пристроїв — сотні відеопотоків ISR високої чіткості та тисячі датчиків IoT в одній мережі — але це фіксована інфраструктура, а не маневрова форма сигналу. У порівнянні з Wi-Fi 5G забезпечує мобільність операторського класу, плановий (а не конкурентний) доступ до радіоінтерфейсу, рідний QoS, автентифікацію на основі SIM і зону покриття, яку Wi-Fi не може досягти. Для фіксованого об'єкта, що потребує і ємності, і гарантованого доступу, приватна 5G є правильним інструментом.
Архітектура ядра 5G для військового розгортання
Перше архітектурне рішення — автономне (SA) проти неавтономного (NSA). NSA повторно використовує ядро 4G LTE (EPC) і прив'язує радіо 5G до наявної площини керування LTE — швидке у розгортанні, але воно успадковує обмеження безпеки LTE й не може забезпечити повний набір функцій 5G. SA використовує рідне ядро 5G (5GC) із сервісно-орієнтованою архітектурою. Для оборони SA є правильною ціллю: лише SA підтримує нарізку мережі, URLLC, покращену модель автентифікації 5G і приховування ідентифікатора абонента. NSA — у кращому разі перехідний крок.
5GC розділяє площину керування та площину користувача (CUPS — Control and User Plane Separation). Функції площини керування (AMF для доступу й мобільності, SMF для сесій, AUSF для автентифікації, UDM для даних абонентів, NRF для виявлення сервісів) ухвалюють політику; функція площини користувача (UPF) пересилає фактичний трафік. Це розділення дозволяє оператору розмістити UPF близько до місця споживання трафіку — на периферії, поруч із радіостанціями — водночас залишаючи функції керування централізованими, що саме й потрібно для малозатримкового периферійного оброблення.
Оборонне приватне ядро 5G має бути контейнеризованим і працювати локально. Проєкти ядра 5G з відкритим кодом, як-от Open5GS і Magma, демонструють, що повне 5GC може працювати як контейнери в кластері Kubernetes у дата-центрі об'єкта або на захищеному периферійному сервері в полі. Локальне розміщення тримає все ядро — і кожен байт даних абонентів і трафіку — на інфраструктурі, яку організація фізично контролює, що є фундаментальною вимогою для секретних розгортань.
Нарізка мережі для сегрегації місій
Нарізка мережі розділяє одну фізичну мережу 5G на кілька логічних мереж, кожна з незалежною продуктивністю та ізоляцією. Стандарт 5G визначає три типи сервісу зрізів. Розширена мобільна широкосмугова передача (eMBB) максимізує пропускну здатність для трафіку з високою пропускною здатністю. Надійний зв'язок з наднизькою затримкою (URLLC) гарантує низьку затримку та високу надійність для критичного за часом керування. Масовий машинний зв'язок (mMTC) підтримує дуже велику кількість пристроїв з низькою швидкістю. Вони чітко відображаються на класи оборонного трафіку.
На військовому об'єкті нарізка ізолює трафік за місією та чутливістю. Відео ISR працює на виділеному зрізі eMBB, розрахованому на стабільно високу пропускну здатність. Сигналізація C2 працює на зрізі URLLC з гарантованим бюджетом затримки, щоб командний трафік ніколи не голодував через об'ємне відео. Логістичний та інфраструктурний IoT бази — датчики середовища, трекери активів, контроль доступу — працює на зрізі mMTC, налаштованому радше на щільність пристроїв, ніж на пропускну здатність на пристрій.
Кожен зріз несе власний профіль QoS і, що критично, власну межу безпеки. Пошарове шифрування та ізоляція означають, що компрометація чи насичення одного зрізу не перетікає на інші: перевантажений зріз ISR не може затримати трафік C2, а скомпрометований пристрій IoT на зрізі mMTC не має шляху до зрізу C2. Ізоляція зрізів забезпечується і в планувальнику RAN, і в ядрі, а політика вибору зрізу прив'язана до облікових даних абонента, тож пристрій допускається лише до тих зрізів, які дозволяє його роль у місії.
Питання спектру та RAN
Спектр — обмежувальний чинник. У США Citizens Broadband Radio Service (CBRS) на 3,5 ГГц забезпечує спільний доступ, керований Spectrum Access System, і широко використовується для приватних мереж. Глобально смуга 5G n78 (3,3–3,8 ГГц) є домінантною середньою смугою, балансуючи покриття та ємність, і кілька країн ліцензують виділений локальний спектр приватних мереж у її межах — схема локального ліцензування Німеччини на 3,7–3,8 ГГц є відомим прикладом. Кожне розгортання має координуватися з національним органом зі спектру та деконфліктувати з наявними військовими й цивільними користувачами.
Мережа радіодоступу планується навколо зони покриття та найвибагливішого зрізу. Розміщення gNodeB визначається моделюванням поширення радіохвиль, що враховує будівлі, рельєф і бюджет лінії, потрібний для досягнення цілі URLLC за затримкою та надійністю на краю соти. Внутрішні та щільні зони надають перевагу малим сотам; широкі відкриті простори — макросотам. Середня смуга пропонує практичний компроміс між дальністю низької смуги та ємністю міліметрових хвиль.
Для польового та експедиційного використання радіоінфраструктура має бути розгортуваною. Соти на колесах і контейнеризовані базові станції дозволяють об'єкту швидко розгорнути покриття на новому майданчику. Приватна базова станція 5G також є радіовипромінювачем з виявлюваною електромагнітною сигнатурою, тож планування RAN — це не лише про покриття: воно має відповідати режиму контролю випромінювання (EMCON) об'єкта, з можливістю зменшити потужність, формувати покриття або вимкнути випромінювачі, коли цього вимагає загрозове середовище.
Архітектура безпеки
Модель безпеки 5G є значним покращенням порівняно з попередніми поколіннями, і приватне розгортання дозволяє оператору володіти нею повністю. Постійний ідентифікатор абонента (SUPI — Subscription Permanent Identifier) ніколи не передається у відкритому вигляді в ефірі. Натомість пристрій шифрує його в SUCI (Subscription Concealed Identifier) за допомогою відкритого ключа домашньої мережі, відбиваючи атаки відстеження IMSI-catcher, що вражали 2G/3G/4G.
Взаємна автентифікація використовує 5G-AKA (Authentication and Key Agreement): пристрій і мережа автентифікують одне одного, а отримана ієрархія ключів захищає сигналізацію та трафік користувача. Облікові дані живуть у SIM чи eSIM та у функціях Unified Data Management (UDM) і автентифікації (AUSF) ядра. У приватній мережі оператор веде весь ланцюг надання ключів — генеруючи ключі абонентів, надаючи SIM та eSIM і керуючи UDM — тож немає залежності довіри від керування ключами комерційного оператора.
Автентифікація 5G — це перший фактор, а не вся історія. Вона має інтегруватися з архітектурою нульової довіри об'єкта, де автентифікація пристрою 5G-AKA доповнюється ідентичністю на рівні застосунків, станом пристрою та безперервною авторизацією. Якщо мережа коли-небудь має з'єднатися з іншою мережею 5G, Security Edge Protection Proxy (SEPP) захищає міжмережеву сигналізацію на межі роумінгу; для повністю ізольованого об'єкта жоден шлях роумінгу SEPP взагалі не відкритий.
Інтеграція периферійних обчислень (MEC)
Периферійні обчислення з багатьма доступами (MEC) — це те, де приватна 5G окупається для оборони. MEC розміщує обчислення — сервери, GPU, прискорювачі — на периферії мережі, разом із RAN, тож застосунки працюють поруч із радіостанціями, а не у віддаленому дата-центрі. Оскільки CUPS дозволяє UPF сидіти на периферії, трафік зрізу можна спрямувати напряму в локальний застосунок MEC, навіть не проходячи через канал транспортної мережі.
Найцінніше навантаження — це інференс ШІ на периферії. Відео ISR з дронів і наземних датчиків можна обробляти там, де воно надходить — виявлення, відстеження та класифікація об'єктів на периферійних GPU, розташованих разом із gNodeB — тож далі потрібно переміщати лише виявлення та сповіщення, а не сирі багатогігабітні потоки. Це скорочує час від сенсора до рішення й усуває залежність від хмарної зв'язності для критичної за часом аналітики.
Перевага в затримці є вирішальною для застосунків «сенсор-стрілець». Час зворотного циклу до віддаленої хмари може становити десятки-сотні мілісекунд; периферійний вузол MEC, розташований разом із радіо, тримає весь цикл «сенсор-оброблення-рішення» в межах однозначної кількості мілісекунд на зрізі URLLC. Розміщення інференсу, попереднього оброблення та злиття даних на периферії 5G — це те, що перетворює приватну мережу 5G з транспортної труби на тактичну обчислювальну тканину. Цей патерн прямо узгоджується з тактичною периферійною хмарою для відключених операцій.
Автономна та відключена робота
Автономному ядру 5G не потрібен інтернет для роботи. Кожна необхідна мережева функція — AMF, SMF, UPF, UDM, AUSF, NRF — може працювати на локальній інфраструктурі, а автентифікація абонента повністю розв'язується проти локальної бази даних UDM. Пристрої автентифікуються, приєднуються та обмінюються трафіком з нульовою зовнішньою залежністю. Саме це робить приватну 5G життєздатною для секретних анклавів і відключених передових розгортань, де доступ до інтернету недоступний або заборонений.
Автономна робота все ж накладає дисципліну. Базу даних абонентів і локальний центр сертифікації потрібно підтримувати на місці. Оновлення ПЗ для ядра та RAN мають оброблятися через контрольований офлайн-процес, а не завантажуватися з хмари постачальника. Синхронізація часу — часто нехтувана вимога: 5G залежить від точного часу, зазвичай від локального генератора з GPS-дисциплінуванням чи атомного годинника, а не від інтернет-NTP, і це джерело часу саме має бути стійким до глушіння GPS.
Відмовостійкість і резервування завершують дизайн. Функції ядра мережі мають працювати з резервуванням, щоб втрата одного вузла не вимикала мережу, а архітектура має деградувати плавно — відмова зрізу чи вузла MEC не повинна валити автентифікацію чи зв'язність C2. Упродовж усього розгортання слід дотримуватися EMCON: здатність обмежувати, формувати чи замовкати випромінювання є частиною експлуатації мережі, чиї власні радіо є виявлюваною сигнатурою.
Ключовий висновок: Найпоширеніше хибне уявлення про приватну 5G в обороні полягає в тому, що вона замінює тактичне радіо. Це не так. Приватна 5G забезпечує високопродуктивну зв'язність з низькою затримкою в межах обмеженої зони покриття — передової оперативної бази, порту, аеродрому, навчального полігону. Це фіксований або напівфіксований інфраструктурний шар, а не маневрова система зв'язку. Правильна архітектура трактує приватну 5G як високоємний хребет у межах об'єктів, а тактичне радіо (MANET) — як мобільне розширення за межами покриття 5G, із безшовною передачею даних між двома доменами на межі.