RF spoofing a GNSS jamming jako klíčová rizika pro bezpilotní systémy

Proč RF spoofing a GNSS jamming patří mezi kritická rizika pro UAV

Bezolovné letouny (UAV) jsou stále více závislé na globálních navigačních satelitních systémech (GNSS) a rádiové komunikaci pro navigaci, časování, geofencing, funkci Return-to-Home (RTH) a synchronizaci senzorů. Úmyslné RF rušení (jamming) a falešné signály (spoofing) jsou schopny narušit či manipulovat tyto funkce, a tím ohrozit bezpečnost letu, plnění mise i veřejnou bezpečnost. Následující odborný článek nabízí systematický rámec detekce, odolnosti a plánů reakce, který je použitelný pro vývojáře autopilotů, integrátory, manažery bezpečnosti i operátory flotil.

Terminologie a modely hrozeb

GNSS jamming: zvýšení šumu v GNSS pásmu, které snižuje poměr signálu k šumu (C/N₀) pod detekční práh přijímače.
GNSS spoofing: generování zdánlivě legitimních navigačních signálů s cílem uvést přijímač v omyl ohledně času, polohy nebo rychlosti.
Meaconing: opakovaný přenos legitimně přijatých GNSS signálů (časově a prostorově posunutých).
RF interference: nechtěné emise nebo intermodulace, které degradují RF řetězec bez úmyslného útoku.

GNSS jako kyber-fyzikálně závislý subsystém

GNSS poskytuje PVT (pozici, rychlost, čas) a přesnou časovou referenci pro fúzi senzorů. V moderních UAV je běžné přijímání multi-konstelací a multi-frekvencí (např. L1/E1 + L2/E5), doplněné inertními senzory (IMU), barometrem, vizuální odometrií (VIO) či případně LiDAR SLAM. Návrh odolnosti proto musí řešit nejen samotný přijímač, ale i architekturu fúze a reakční režimy autopilota.

Indikátory a signatury rušení (jamming) na úrovni přijímače

Pokles C/N₀ napříč kanály a konstelacemi, zvýšená automatická regulace zesílení (AGC) a nárůst měřené šířky pásma šumu.
Nestabilita pseudocasu a růst reziduí v RAIM/ARAIM testech konzistence.
Výrazné skoky DOP (PDOP/HDOP/VDOP) a snížení počtu „locked“ satelitů.
Spektrální anomálie ve vnitřním spektrálním monitoru přijímače (je-li dostupný).

Indikátory a signatury spoofingu

Dopplerovy a rychlostní nesrovnalosti: derivace frekvencí nejsou kompatibilní s predikcí oblohy a dynamikou UAV.
Divergence mezi přijímači: rozdíl PVT mezi dvěma fyzicky blízko umístěnými přijímači překračuje definovaný práh.
Časová anomálie: drift časové reference (1PPS) bez odpovídající změny polohy.
Nekonzistence s dalšími senzory: VIO/INS/odometrie vykazují nízké inovační rezidua, zatímco GNSS signalizuje posun.
Abnormálně „čisté“ C/N₀ profily se synchronizovaným nárůstem u více satelitů (scénář nahrazení celé „oblohy“).

Detekční metody: od jednoduchých prahů po fúzní validátory

Statistické prahy: sledování C/N₀, AGC, počtu satelitů a DOP s adaptivními prahy podle ODD (Operational Design Domain).
RAIM/ARAIM: vylučování nekonzistentních měření; detekce režimů „faulty satellite“.
INS/GNSS tight-coupling: kontrola inovací v Kalmanově filtru (NIS/NES testy) a jejich statistická konzistence.
VIO/LiDAR cross-check: geometrická validace vůči vizuální nebo lidarové trajektorii (doporučeno pro nízké výšky a městské prostředí).
Kontroly časové a frekvenční stability: stabilita 1PPS a oscilátoru, porovnání s lokálním referenčním časem.
Prostorově diverzitní senzory: dva GNSS moduly ve vzdálenosti → detekce gradientů a falešných plošných vln.

Architektury odolnosti: vrstvená obrana

Multi-konstelace a multi-frekvenční příjem: zvyšuje entropii signálů a snižuje pravděpodobnost úplné kompromitace.
Over-validace mapou a senzorovou redundancí: INS, barometr, magnetometr, VIO/LiDAR SLAM.
Autentizační mechanismy: využívání autentizačních funkcí navigačních zpráv, kde jsou dostupné (konceptuálně), s konzervativní politikou důvěry.
Adaptivní režimy navigace: přechod do GNSS-denied módu s přísnějšími limity rychlosti, náklonu a rádiusu geofence.
Odolnost RF front-endu: filtrace mimo pásmo, selektivní antény, případně techniky směrové recepce v rámci zákonných možností.

Reakční plány (playbook) při detekci incidentu

Stupeň 1 – Anomálie: zvýšení váhy INS/VIO, snížení důvěry v GNSS, omezení rychlosti a náklonu; informování operátora.
Stupeň 2 – Potvrzené rušení: přechod do GNSS-degraded profilu; aktivace režimu hold nebo track-to-fix dle scénáře; vyhodnocení bezpečné alternativy RTH bez GNSS (trajektorie po směru větru, vizuální orientační body).
Stupeň 3 – Spoofing: okamžité zneplatnění GNSS pro řízení, přechod na INS/VIO/LiDAR; pokud je v dosahu, přistání v předem definovaných safe landing zones; zákaz „výpočtu domova“ z podezřelých dat.
Stupeň 4 – Degradovaná kontrola: eskalace fail-safe – bezpečné přistání nebo autodescent na otevřené ploše; zachování energie pro kritické manévry.

Bezpečnostní limity a governance

Pevné bezpečnostní limity: maximální úhel náklonu, minimální výška nad terénem, maximální povolené driftování.
Geofencing: konzervativní „keep-out“ zóny u kritické infrastruktury; geozóny musí být platné i bez GNSS (relativní/mapový režim).
Audit a telemetrie: neoddělitelné logování anomálií, inovací filtru a přepínačů režimů.

Metodika testování a metriky výkonnosti

Doporučuje se kombinace simulace, HIL a kontrolovaných laboratorních podmínek (stíněné RF prostředí) s důrazem na bezpečnost a právní soulad. Klíčové metriky:

MTTD (time to detection), FAR/MDR (false alarm/missed detection rate).
Δpos₉₅ a Δvel₉₅ během incidentu; AoL – plocha ztráty funkčnosti.
Recovery time – čas do stabilizace v alternativním navigačním režimu.
Mission Success Probability v Monte Carlo kampaních s variabilním větrem, SNR a scénáři pohybu.

Tabulka akceptačních prahů (příklad)

Kategorie	Metrika	Příklad prahu	Cíl
Detekce rušení	MTTD (jamming)	< 2 s od poklesu C/N₀	Rychlé omezení manévru
Detekce spoofingu	MTTD (spoof)	< 3 s při divergenci INS/GNSS	Zamezit driftu mimo geofence
Robustnost	Δpos₉₅ v GNSS-denied	< 3 m (≤ 60 s)	Udržitelná navigace
Odolnost	Recovery time	< 10 s do stabilního režimu	Minimalizace AoL
Diagnostika	FAR / MDR	< 1 % / < 5 %	Spolehlivost alarmů

Fúze senzorů a strategie bez GNSS

INS-dominantní mód: krátkodobé dead-reckoning s adaptivní kompenzací driftu na základě aerodynamických modelů a omezení rychlostí.
VIO/LiDAR SLAM: mapově ukotvená pozice v městském a vnitřním prostředí; vyžaduje kvalitní vizuální texturu.
Barometrické a magnetické ukotvení: stabilizace výšky a orientace jako minimální bezpečnostní rámec.
Mapové RTH: RTH podle poslední „důvěryhodné“ mapové kotvy, nikoliv podle potenciálně sfalšované GNSS pozice.

Komunikační aspekty a telemetrická kontinuita

Oddělená pásma pro C2 (command & control) a video; diverzitní přijímače a směrové antény v zákonném rámci.
QoS a priorita pro C2 kanál; autonomní snížení bitratu videa při zhoršení RF podmínek.
Detekce RF přetížení na palubě s přechodem na konzervativní manévry a varováním operátora.

Provozní postupy a školení

Předletová kontrola RF: mapa rušení, vyhodnocení rizika podle ODD, plán „abort pointů“ a vyhrazené přistávací plochy.
Simulované incidenty: trénink reakcí posádky na indikace jammingu/spoofingu v simulátoru a HIL prostředí.
Checklist: standardizované kroky při alarmech detekce, eskalaci a poincidentní analýze.

Forenzní analýza a reporting po incidentu

Zachování logů: GNSS raw, IMU, VIO, RF metriky (C/N₀, AGC), přepínače režimů, události geofence.
Korelační analýza: časové slaďování 1PPS, inertních dat a stavů autopilota.
Taxonomie incidentu: klasifikace na rušení, meaconing, sofistikovaný spoofing nebo RF interferenci.
Lekce a aktualizace: úprava prahů, změna ODD, aktualizace SOP a školení.

Právní a etické rámce

Veškeré experimenty s rušením či simulací spoofingu musí probíhat výhradně v kontrolovaném a legálně povoleném prostředí (stíněné prostory, laboratoře, simulační a HIL platformy). Nasazení obranných opatření musí respektovat lokální rádiové regulace a letecké předpisy. Neoprávněné vysílání rušících či falešných signálů je ve většině jurisdikcí protiprávní.

Případová studie A: městské kaňony a náhlé selhání GNSS

Souvislost: Inspekční let v centru města. Jav: prudký pokles C/N₀, nárůst DOP, divergence VIO/GNSS. Reakce: přechod do VIO-dominantního režimu, omezení rychlosti, návrat podle mapové kotvy na otevřenou přistávací zónu (LZ). Výsledek: bezpečné přistání, identifikovaná lokální interference z okolních zdrojů.

Případová studie B: kontrolovaný spoofing v testlabu

Souvislost: Validace detektoru spoofingu v HIL. Jav: postupná změna pseudorange. Reakce: včasná detekce přes INS inovační testy a Dopplerovu konzistenci; okamžité zneplatnění GNSS pro řízení. Výsledek: Δpos₉₅ v limitu, rychlý návrat do stabilního režimu.