Strojový překlad, nekontrolovaný rodilým mluvčím. Referenční je anglická verze.

Integrita a interferenceUpravit na GitHubuZdroj: docs/INTEGRITY.md

Integrita a bezpečnost: co Kshana modeluje a co ne

Kshana uvádí dva ukazatele kvality (FoM) — Integritu a Bezpečnost — které lze snadno zaměnit za letecky certifikované veličiny téhož jména. Tato stránka otevřeně uvádí, čím dnes jsou, čím nejsou a co přidá plán vývoje. Pokud Kshana posuzujete pro kontext bezpečnosti života nebo certifikace, přečtěte si ji jako první.

Dnes (v0.37.0)#

Ukazatel Integrity — vlastní konzistence filtru#

Ukazatel Integrity je podíl vzorků výpadku, jejichž skutečná časová chyba zůstává uvnitř vlastní ochranné meze k-sigma Kalmanova filtru:

integrity = (# outage samples with |error| <= k * phase_sigma) / (# outage samples)

Měří, zda je vlastní hlášená nejistota filtru poctivá vůči jeho vlastní chybě během výpadku GNSS (globálního družicového navigačního systému). Je to užitečná interní kontrola konzistence.

Není to:

  • horizontální/vertikální ochranná úroveň (HPL/VPL) — žádná ochranná úroveň v prostoru polohy neexistuje (balíčky hodin jsou v časové oblasti);
  • riziko integrity / pravděpodobnost nebezpečně zavádějících informací (P_HMI);
  • porovnání s mezní hodnotou výstrahy;
  • soulad s RTCA DO-229E / DO-316 nebo EUROCAE ED-259A (RTCA: Radio Technical Commission for Aeronautics; EUROCAE: Evropská organizace pro vybavení civilního letectví) ani s jakoukoli jinou certifikační normou.

Ukazatel Bezpečnosti — analytická mez detekovatelnosti spoofingu#

Ukazatel Bezpečnosti je mez detekovatelnosti spoofingu založená na stabilitě hodin: při daném šumu hodin (spektrální hustoty výkonu (PSD) bílé frekvence a náhodné procházky) a monitorovacím okně je to analytická detekční rezerva monitoru konzistence jedněch hodin proti pomalu narůstajícímu podvrženému času. Tišší hodiny (např. optické hodiny) detekují menší, pomalejší spoofing než hlučnější (např. CSAC (čipové atomové hodiny)) — tento kontrast je smyslem demonstrátoru.

Není to vícedružicový detektor RAIM (autonomní monitorování integrity přijímačem). Neexistují reziduály pseudovzdálenosti napříč družicemi, žádná ochranná úroveň a žádné P_HMI. Test inovace proti sigma má stejný matematický tvar jako klasická detekce poruch RAIM (Brown), ale číslo je analytická mez pro dané hodiny, nikoli implementace RAIM, a má smysl jen v kontextu nakonfigurovaného scénáře spoofingu (viz druh scénáře spoof, který vkládá skutečný narůstající útok).

Výstup to uvádí. Druhy clock, orbit, hybrid a fusion nekonfigurují žádný útok, takže jejich jednořádkové shrnutí místo čísla vypíše security n/a (no attack) a jejich dokument výsledku označí fom.security jako applicable: false s důvodem ve svém bloku figure_tiers. Samotná hodnota zůstává v dokumentu pro každého, kdo mez potřebuje.

Skutečný snapshotový RAIM, RAIM se separací řešení a ARAIM (src/raim.rs)#

Skutečný RAIM v prostoru polohy je implementován v src/raim.rs, odděleně od výše uvedeného ukazatele vlastní konzistence:

  • Vícedružicové monitorování reziduí — sestaví matici geometrie přímé viditelnosti k viditelným družicím, vytvoří řešení polohy a hodin metodou nejmenších čtverců a testuje součet čtverců reziduí.
  • Detekce poruch χ² — SSE/σ² (SSE: součet čtverců reziduí) má za hypotézy bez poruchy rozdělení χ²(n−4); porucha se vyhlásí nad chi2_{1-P_fa}(n-4). Prahy χ² pocházejí z regularizovaného vyhodnocení neúplné funkce gama bez závislostí (přesně, bez tabulek).
  • HPL / VPL založené na sklonu — max_i(slope_i)·pbias·σ, kde slope_i je citlivost chyby polohy na jednotlivé družice z projekční matice a pbias je necentrální bias χ², který splňuje nakonfigurovanou pravděpodobnost nezachycené události P_md.
  • RAIM se separací řešení (MHSS: separace řešení při více hypotézách) — pro řešení ze všech viditelných družic a každé dílčí řešení s vyloučením jedné družice separace vnořených odhadů Δ_k = x_k − x₀ detekuje i identifikuje družici s poruchou a vstupuje do meze ochranné úrovně.
  • Rozpočet rizika integrity (P_HMI) ARAIM (pokročilé autonomní monitorování integrity přijímačem) — araim_raim řeší nejmenší HPL/VPL, jejichž součet pravděpodobností nebezpečně zavádějících informací P_HMI = Σ_k p_fault,k · Q((PL − T_k)/σ_k) (Blanch et al., Baseline ARAIM) splňuje výslovné přidělení rizika integrity, a uvádí riziko, kterého úrovně dosahují — takže integritu lze přímo vyvažovat proti mezní hodnotě výstrahy, místo aby zůstávala skrytá v pevném násobiteli K_md.
  • Diagram integrity Stanford–ESA (ESA: Evropská kosmická agentura) — akumulátor pro každou epochu zařazuje (error, PL) do oblastí Available / System-Unavailable / Misleading / Hazardously- Misleading pro souhrn dostupnosti.
  • Dosažitelné od začátku do konce — druh scénáře integrity provede výše uvedené nad konstelací SGP4 (Simplified General Perturbations 4) nebo keplerovskou, případně nad konstelací načtenou ze skutečných TLE (dvouřádkové sady prvků) nebo z navigačního souboru RINEX (Receiver Independent Exchange Format) a vydá mapu dostupnosti HPL/VPL pro každou epochu vůči nastaveným mezím výstrahy (scenarios/integrity-raim.toml). Tentýž běh exportuje vertikální Stanfordův diagram: v každé chráněné epoše se přes geometrii převede seedem řízený, reprodukovatelný náhodný výběr chyby dosahu bez poruchy na skutečnou vertikální chybu a zařadí se vůči VPL a vertikální mezi výstrahy, takže výsledek v JSON (JavaScript Object Notation) i souhrn v CLI (rozhraní příkazového řádku) nesou počty v jednotlivých oblastech (události integrity a HMI: hazardously misleading information, tedy nebezpečně zavádějící informace) — nejen zlomek dostupnosti. Na přibaleném scenarios/integrity-raim.toml běh uvádí 344 z 361 epoch dostupných (95,3 %) při horizontální mezi výstrahy 40 m a vertikální 50 m, s 0 událostmi integrity a 0 HMI.
  • ARAIM s duální konstelací a zprávou o podpoře integrity — araim_dual_raim přidává režim poruchy celé konstelace: kromě hypotéz bez poruchy a poruchy jedné družice přispívá každá konstelace jednou hypotézou, která vyřazuje všechny její družice, s apriorní pravděpodobností P_const, do téhož součtu rizika integrity MHSS. Zpráva IntegritySupportMessage (ISM) nese přesnost dosahu uživatele pro integritu (σ_URA), střední kvadratickou hodnotu přesnosti (σ_URE), maximální nominální vychýlení b_nom jednostranně zahrnuté do každého režimu a apriorní pravděpodobnosti P_sat a P_const; její referenční sada WG-C (Working Group C evropsko-americké spolupráce v oblasti družicové navigace, jejíž technická podskupina ARAIM referenci publikuje) je σ_URA = 0,75 m, σ_URE = 0,67 m, b_nom = 0,75 m, P_sat = 1e-5 a P_const = 1e-4. P_const = 0 reprodukuje výsledek jednoporuchového araim_raim bit po bitu. Druh integrity jde touto cestou s araim_dual = true (scenarios/araim-gps-galileo.toml: GPS + Galileo, 48 družic, 145 ze 145 epoch dostupných při týchž mezích výstrahy).
  • Ochranné úrovně proti publikovaným referenčním vektorům — druh araim-reference-check spouští funkce enginu araim_protection_level a araim_integrity_risk na vlastních propracovaných příkladech podskupiny ARAIM WG-C (Reference Airborne Algorithm Description Document v3.1, 2019, příloha D, a Milestone 3 Report, 2016, příloha A). Nejhorší rozdíl vertikální/horizontální ochranné úrovně na akceptačním vektoru je 0,0437 m proti vlastní toleranci dokumentů 0,05 m. Tento řádek je VALIDATED v VERIFICATION-MATRIX.md: ověřuje rovnici ochranné úrovně, nikoli provozní ISM ani přijímač.

Zbývající mezera (plán)#

Co raim.rs zatím nedělá:

  • není zahrnut do FoM scénářů hodin/holdover — tyto balíčky stále uvádějí výše zmíněný údaj Integrity vlastní konzistence filtru, nikoli HPL/VPL;
  • hypotézami poruch jsou případ bez poruchy, jednotlivé družice a celé konstelace — současné poruchy na podmnožinách dvou či více družic (SV: space vehicle, tedy družice) nejsou modelovány;
  • ISM je konfigurovatelná sada parametrů (s referenčními hodnotami WG-C), nikoli vysílaná provozní zpráva ani ověřený model hrozeb;
  • detekce a vyloučení poruchy (FDE) je jen pro jednu družici a jen snímkové: separace řešení pojmenuje porouchanou družici a snapshot_raim_fde znovu řeší každé vyloučení jedné družice a vrací vyloučenou družici s testem chí-kvadrát a ochrannými úrovněmi zbývající podmnožiny, ale nehlásí se žádná poloha chráněná po vyloučení a druh scénáře integrity krok vyloučení nespouští.

Jádra snímkové metody, separace řešení a ARAIM jsou procvičována na skutečné geometrii přesných drah IGS (International GNSS Service) (SP3: Standard Product 3), nejen na syntetických konstelacích: tests/igs_real_data.rs sestavuje geometrii zorných směrů z první epochy skutečného produktu IGS SP3 na skutečné pozemní stanici a kontroluje, že ochranné úrovně jsou konečné a uvnitř mezí výstrahy APV-I (přiblížení s vertikálním navedením) 40 m horizontálně a 50 m vertikálně, že vychýlení pseudovzdálenosti 60 m spustí monitor χ², že separace řešení porouchanou družici identifikuje a že úrovně ARAIM splňují přidělenou hodnotu P_HMI. tests/araim_dual_real_data.rs spouští cestu duální konstelace na skutečných katalozích Celestrak GPS a Galileo ze dne 2026-06-07, propagovaných do jedné společné epochy (viz REAL_TLE_GUIDE.md §3). Hlubší křížová kontrola — porovnání ochranných úrovní epocha po epoše s gLAB (GNSS-Lab Tool, sada pro zpracování dat GNSS distribuovaná ESA) přes celý oblouk pozorování RINEX — by přidala shodu v oblasti přijímače. Není provedena: druh pvt počítá kódovou jednobodovou polohu ze skutečných pozorování RINEX, ale žádná ochranná úroveň z tohoto řešení nebyla s gLAB porovnána.

Takže raim.rs je skutečné jádro ochranných úrovní a rizika integrity, dosažitelné z druhů scénářů integrity a araim-reference-check, procvičené na geometrii skutečných referenčních drah a ověřené proti referenčním vektorům WG-C. Poruchy podmnožin více družic, shoda gLAB v oblasti přijímače a začlenění do FoM hodin zůstávají položkami plánu a nic z toho není důkazem pro certifikaci.

Viz také#

  • GLOSSARY.md — jednořádkové definice každé FoM a zkratky.
  • ARAIM_REFERENCE.md — parametry ISM a referenční vektory WG-C.
  • SLOT-TIMING.md — časová ochranná úroveň (TPL) hodin v doběhu, která je podmíněna detekcí.
  • VALIDATION.md — které veličiny jsou ověřeny proti referenci a které jsou kontroly vlastní konzistence.
  • src/security.rs — odvození meze detekovatelnosti spoofingu.

RAIM vedle ukazatelů kvality holdoveru hodin (0,36, na výslovné zapnutí)#

Scénář hodin může obsahovat sekci [integrity] (src/clock_integrity.rs): stanoviště (lat_deg, lon_deg, height_m), přednastavení konstelací (systems, výchozí gps-baseline), masku, sigma reziduí dosahu, pravděpodobnosti falešného poplachu a nezachycené události, horizontální a vertikální meze výstrahy, rozestup epoch a volitelné uvedené vychýlení jedné družice. Běh pak hlásí samostatný blok integrity_fom: pro každou epochu družice ve výhledu, snímkové ochranné úrovně RAIM a verdikt (available, alarm, unavailable-pl-above-al, unavailable-too-few-satellites, unavailable-gnss-denied) a počty a dostupnost za celý běh. Dokud časová osa říká, že GNSS je odepřeno, RAIM je nedostupný a nic se neextrapoluje; zhoršené okno se vyhodnocuje jako nominální. Ukazatele kvality holdoveru se nemění a bez této sekce je výstup bajt po bajtu shodný. MODELLED: reprezentativní přednastavená obloha, syntetická rezidua a uvedené meze. Vyžaduje runs = 1.

Reprodukce maximální URA z Milestone 3 skupiny EU-US WG-C pro ARAIM (CAP-05c)#

Dřívější plán sliboval srovnání s „Table A-3“ technické poznámky EU-ARAIM. Pro tuto tabulku se nepodařilo najít žádný veřejný zdroj (veřejné zprávy Milestone 1 až 3 technické podskupiny ARAIM pracovní skupiny C EU-US žádnou Table A-3 nemají), proto je toto srovnání staženo a pod tímto názvem se nic neslibuje.

Místo toho se pokouší o veřejnou zprávu: Milestone 3 Report (25. února 2016, kopie GPS.gov, SHA-256 156147e1...13d8), tabulky 5, 6 a 7, které pro každou konfiguraci konstelace a pro každou z RNP 0,1 a RNP 0,3 uvádějí největší sigma_URA, pro které má 90 % uživatelů 99,5 % dostupnost. Kontroluje se dvanáct vytištěných položek (řádky Depleted a Baseline tabulek pro dvě frekvence) podle prahů předregistrovaných v xval/araim-m3/PREREGISTRATION.md před jakýmkoli hodnoceným během, s odchylkami, které nelze odstranit, uvedenými tamtéž: žádné soubory almanachu, Walkerovy skupiny místo skutečných slotů, hrubší mřížka a krok a horizontální cesta ADD v4.2 enginu místo vlastního textu zprávy. Tabulky 8 až 13 (jedna frekvence) a řádky Optimistic se nezkoušejí, z důvodů uvedených tamtéž. Výsledek: 8 z 12 položek reprodukováno, 4 NOT MET (zafixováno): položky duální konstelace a všechny položky jen Galileo se shodují (včetně řádků N/A), položka duální Depleted RNP 0,1 dosahuje pokrytí 0,847 při 9 m proti vytištěným 9 m (vyžaduje se 0,90) a tři položky jen GPS se míjejí výrazně (pokrytí 0,70 při 4 m, 0,58 při 6 m, 0,65 při 10 m proti vytištěným 4 m, 6 m a „>10 m“). Neshody jen GPS mohou pocházet z jednotné Walkerovy skupiny nahrazující skutečné sloty GPS (D1); je to hypotéza, nikoli zjištění. Výsledek zůstává MODELLED, ať je jakýkoli. Studii tvoří src/bin/gen_araim_m3_study.rs; její naměřená pokrytí jsou v xval/araim-m3/results.json a hodnotí je tests/araim_m3_reproduction.rs. Samotná zpráva je citována, nikoli přibalena.