Maskinoversættelse, ikke gennemgået af en modersmålstalende. Engelsk er referencen.

Integritet og interferensRedigér på GitHubKilde: docs/INTEGRITY.md

Integritet og sikkerhed: hvad Kshana modellerer, og hvad den ikke gør

Kshana rapporterer to kvalitetsmål (FoM'er, figures of merit) — Integritet og Sikkerhed — som let forveksles med de størrelser af samme navn, der bruges i luftfarten. Denne side siger klart, hvad de er i dag, hvad de ikke er, og hvad køreplanen tilføjer. Hvis du vurderer Kshana til en sammenhæng, hvor menneskeliv står på spil, eller hvor der kræves certificering, så læs dette først.

I dag (v0.37.0)#

Integritets-FoM — filterets selvkonsistens#

Integritets-FoM'en er andelen af udfaldsprøver, hvis sande tidsfejl bliver inden for Kalman-filterets egen k-sigma-beskyttelsesgrænse:

integrity = (# outage samples with |error| <= k * phase_sigma) / (# outage samples)

Den måler, om filterets selvrapporterede usikkerhed er ærlig om filterets egen fejl under et udfald af GNSS (globalt navigationssatellitsystem). Det er et nyttigt internt konsistenstjek.

Den er ikke:

  • et horisontalt/vertikalt beskyttelsesniveau (HPL/VPL) — der findes slet intet beskyttelsesniveau i positionsdomænet (urpakkerne er i tidsdomænet);
  • en integritetsrisiko / sandsynlighed for farligt vildledende information (P_HMI);
  • en sammenligning med en alarmgrænse;
  • i overensstemmelse med RTCA DO-229E / DO-316 eller EUROCAE ED-259A (RTCA: Radio Technical Commission for Aeronautics; EUROCAE: European Organisation for Civil Aviation Equipment) eller nogen anden certificeringsstandard.

Sikkerheds-FoM — analytisk grænse for spoof-detekterbarhed#

Sikkerheds-FoM'en er en grænse for spoof-detekterbarhed, baseret på urets stabilitet: ud fra et urs støj (hvid frekvensstøj og random walk-PSD'er (effektspektraltætheder)) og et overvågningsvindue er den den analytiske detektionsmargen for en konsistensovervågning af ét enkelt ur over for en langsomt rampende spoofing med falsk tid. Et mere støjsvagt ur (f.eks. et optisk ur) opdager en mindre, langsommere spoofing end et mere støjende (f.eks. et CSAC (chip-scale atomur)) — netop den kontrast er demonstratorens pointe.

Den er ikke en RAIM-detektor (receiver autonomous integrity monitoring) med flere satellitter. Der er ingen pseudorange-residualer på tværs af satellitter, intet beskyttelsesniveau og ingen P_HMI. Innovation-mod-sigma-testen har samme matematiske form som klassisk RAIM-fejldetektion (Brown), men tallet er en analytisk grænse for et givet ur og ikke en RAIM-implementering, og det er kun meningsfuldt i forbindelse med et konfigureret spoofing-scenarie (se scenarietypen spoof, som indsprøjter et egentligt rampende angreb).

Outputtet siger det selv. Typerne clock, orbit, hybrid og fusion konfigurerer intet angreb, så deres enlinjes oversigt skriver security n/a (no attack) i stedet for et tal, og deres resultatdokument markerer fom.security som applicable: false med begrundelsen i blokken figure_tiers. Selve værdien bliver i dokumentet til dem, der vil have grænsen.

Ægte snapshot-, solution-separation- og ARAIM-RAIM (src/raim.rs)#

En ægte RAIM i positionsdomænet er implementeret i src/raim.rs, adskilt fra selvkonsistens-FoM'en ovenfor:

  • Overvågning af residualer fra flere satellitter — den opbygger geometrimatrixen for sigtelinjerne til de synlige satellitter, danner mindste kvadraters løsning for position og ur og tester summen af de kvadrerede residualer.
  • χ²-fejldetektion — SSE/σ² (SSE: summen af kvadrerede residualer) er χ²(n−4) under hypotesen om ingen fejl; en fejl erklæres over chi2_{1-P_fa}(n-4). χ²-tærsklerne kommer fra en afhængighedsfri evaluering af den regulariserede ufuldstændige gammafunktion (eksakt, uden tabeller).
  • Hældningsbaseret HPL / VPL — max_i(slope_i)·pbias·σ, hvor slope_i er positionsfejlens følsomhed pr. satellit ud fra hat-matricen, og pbias er den ikke-centrale χ²-bias, der opfylder den konfigurerede sandsynlighed for manglende detektion P_md.
  • Solution-separation-RAIM (MHSS: multiple-hypothesis solution separation) — for løsningen med alle synlige satellitter og for hver delløsning, hvor én satellit er udeladt, både detekterer og identificerer separationen Δ_k = x_k − x₀ mellem de indlejrede estimatorer den fejlramte satellit og indgår i grænsen for beskyttelsesniveauet.
  • Budget for integritetsrisiko (P_HMI) i ARAIM (advanced receiver autonomous integrity monitoring) — araim_raim løser det mindste HPL/VPL, hvis samlede sandsynlighed for farligt vildledende information P_HMI = Σ_k p_fault,k · Q((PL − T_k)/σ_k) (Blanch et al., Baseline ARAIM) opfylder en eksplicit tildeling af integritetsrisiko, og rapporterer den risiko, niveauerne opnår — så integritet direkte kan afvejes mod alarmgrænsen i stedet for at ligge implicit i en fast K_md-multiplikator.
  • Stanford–ESA-integritetsdiagram (ESA: European Space Agency) — en akkumulator pr. epoke klassificerer (error, PL) i områderne Tilgængelig / Systemet utilgængeligt / Vildledende / Farligt vildledende til en tilgængelighedsoversigt.
  • Kan nås fra ende til anden — scenarietypen integrity kører ovenstående over en SGP4- (Simplified General Perturbations 4) eller Kepler-konstellation, eller en konstellation læst fra rigtige TLE'er (two-line element sets) eller en RINEX-navigationsfil (Receiver Independent Exchange Format), og udsender et tilgængelighedskort for HPL/VPL pr. epoke mod de konfigurerede alarmgrænser (scenarios/integrity-raim.toml). Den samme kørsel eksporterer et vertikalt Stanford-diagram: i hver beskyttet epoke afbildes et reproducerbart, seedet træk af en fejlfri afstandsfejl gennem geometrien til en faktisk vertikal fejl og klassificeres mod VPL og den vertikale alarmgrænse, så JSON-resultatet (JavaScript Object Notation) og CLI-oversigten (kommandolinjegrænseflade) indeholder antallene i hvert område (integritetshændelser og HMI: hazardously misleading information) — ikke kun en tilgængelighedsandel. På den medfølgende scenarios/integrity-raim.toml rapporterer kørslen 344 af 361 epoker tilgængelige (95,3 %) ved en horisontal alarmgrænse på 40 m og en vertikal på 50 m, med 0 integritetshændelser og 0 HMI.
  • ARAIM med to konstellationer og en integritetsstøttemeddelelse — araim_dual_raim tilføjer den fejltilstand, der rammer hele konstellationen: ud over hypoteserne om ingen fejl og om fejl på én satellit bidrager hver konstellation med én hypotese, der fjerner alle dens satellitter, med apriorisandsynligheden P_const, til den samme MHSS-sum af integritetsrisiko. IntegritySupportMessage (ISM) bærer brugerens afstandsnøjagtighed for integritet (σ_URA), nøjagtighedens kvadratiske middelværdi (σ_URE), den maksimale nominelle bias b_nom, der indgår ensidigt i hver tilstand, og apriorisandsynlighederne P_sat og P_const; dens referencesæt fra WG-C (Working Group C i samarbejdet mellem Den Europæiske Union og USA om satellitnavigation, hvis tekniske undergruppe for ARAIM udgiver referencen) er σ_URA = 0,75 m, σ_URE = 0,67 m, b_nom = 0,75 m, P_sat = 1e-5 og P_const = 1e-4. P_const = 0 gengiver resultatet af enkeltfejl-araim_raim bit for bit. Typen integrity tager denne vej med araim_dual = true (scenarios/araim-gps-galileo.toml: GPS + Galileo, 48 satellitter, 145 af 145 epoker tilgængelige ved de samme alarmgrænser).
  • Beskyttelsesniveauer mod publicerede referencevektorer — typen araim-reference-check kører motorens araim_protection_level og araim_integrity_risk på ARAIM-undergruppen under WG-C's egne gennemregnede eksempler (Reference Airborne Algorithm Description Document v3.1, 2019, bilag D, og Milestone 3 Report, 2016, annex A). Den største forskel i vertikalt/horisontalt beskyttelsesniveau på acceptvektoren er 0,0437 m mod dokumenternes egen tolerance på 0,05 m. Denne række er VALIDATED i VERIFICATION-MATRIX.md: den kontrollerer ligningen for beskyttelsesniveauet, ikke en operationel ISM eller en modtager.

Det, der mangler (køreplan)#

Hvad raim.rs endnu ikke gør:

  • den er ikke indarbejdet i FoM'en for ur-/holdover-scenarier — de pakker rapporterer stadig filterets selvkonsistens-integritetstal ovenfor, ikke et HPL/VPL;
  • fejlhypoteserne er den fejlfri situation, enkelte satellitter og hele konstellationer — samtidige fejl på delmængder af to eller flere satellitter (SV: space vehicle, altså en satellit) er ikke modelleret;
  • ISM er et konfigurerbart parametersæt (med referenceværdierne fra WG-C), ikke en udsendt operationel meddelelse eller en valideret trusselsmodel;
  • fejldetektion og -udelukkelse (FDE) er kun for enkelte satellitter og kun for snapshots: solution separation udpeger den fejlramte satellit, og snapshot_raim_fde løser på ny hver udeladelse af én satellit og returnerer den udeladte satellit sammen med χ²-testen og beskyttelsesniveauerne for den resterende delmængde, men der rapporteres ingen position beskyttet mod udelukkelse, og scenarietypen integrity kører ikke udelukkelsestrinnet.

Kernerne for snapshot, solution separation og ARAIM afprøves på rigtig geometri fra IGS (International GNSS Service) med præcise baner (SP3: Standard Product 3), ikke kun på syntetiske konstellationer: tests/igs_real_data.rs danner sigtelinjegeometrien ud fra første epoke i et ægte IGS SP3-produkt ved en rigtig jordstation og kontrollerer, at beskyttelsesniveauerne er endelige og inden for alarmgrænserne for APV-I (approach with vertical guidance) på 40 m horisontalt og 50 m vertikalt, at en pseudorange-bias på 60 m udløser χ²-overvågningen, at solution separation identificerer den fejlramte satellit, og at ARAIM's niveauer opfylder den tildelte P_HMI. tests/araim_dual_real_data.rs kører vejen med to konstellationer på de rigtige Celestrak-kataloger for GPS og Galileo fra 2026-06-07, propageret til én fælles epoke (se REAL_TLE_GUIDE.md §3). En dybere krydskontrol — sammenligning af beskyttelsesniveauer epoke for epoke med gLAB (GNSS-Lab Tool, en suite til GNSS-databehandling, der distribueres af ESA) over en hel RINEX-observationsbue — ville tilføje paritet i modtagerdomænet. Den er ikke udført: typen pvt beregner en kode-enkeltpunktsposition ud fra rigtige RINEX-observationer, men intet beskyttelsesniveau fra den løsning er sammenlignet med gLAB's.

raim.rs er altså en ægte kerne for beskyttelsesniveau og integritetsrisiko, der kan nås fra scenarietyperne integrity og araim-reference-check, er afprøvet på rigtig referencebanegeometri og kontrolleret mod referencevektorerne fra WG-C. Fejl på delmængder af flere satellitter, paritet med gLAB i modtagerdomænet og integration i ur-FoM'en er fortsat punkter på køreplanen, og intet af dette er certificeringsevidens.

Se også#

  • GLOSSARY.md — definitioner på én linje af hver FoM og forkortelse.
  • ARAIM_REFERENCE.md — ISM-parametrene og referencevektorerne fra WG-C.
  • SLOT-TIMING.md — tidsbeskyttelsesniveauet (TPL) for et ur i coasting, som er betinget af detektion.
  • VALIDATION.md — hvilke størrelser der er valideret mod en reference, og hvilke der er selvkonsistenstjek.
  • src/security.rs — udledningen af grænsen for spoof-detekterbarhed.

RAIM ved siden af kvalitetsmålene for urets holdover (0,36, til tilvalg)#

Et urscenarie kan have en sektion [integrity] (src/clock_integrity.rs): et sted (lat_deg, lon_deg, height_m), forudindstillinger for konstellationer (systems, standard gps-baseline), en maske, en sigma for afstandsresidualer, sandsynlighederne for falsk alarm og manglende detektion, de horisontale og vertikale alarmgrænser, en epokeafstand og en valgfri angivet bias på én satellit. Kørslen rapporterer så en separat blok integrity_fom: pr. epoke de synlige satellitter, beskyttelsesniveauerne fra snapshot-RAIM og en dom (available, alarm, unavailable-pl-above-al, unavailable-too-few-satellites, unavailable-gnss-denied) samt antal og tilgængelighed over kørslen. Så længe tidslinjen siger, at GNSS er nægtet, er RAIM utilgængelig, og intet ekstrapoleres; et forringet vindue evalueres som nominelt. Kvalitetsmålene for holdover er uændrede, og uden sektionen er outputtet byte-identisk. MODELLED: en repræsentativ forudindstillet himmel, syntetiske residualer og angivne grænser. Den kræver runs = 1.

Gengivelsen af maksimal URA i EU-US WG-C ARAIM Milestone 3 (CAP-05c)#

En tidligere plan lovede en sammenligning med "Table A-3" i en teknisk note om EU-ARAIM. Der kunne ikke findes nogen offentlig kilde til den tabel (de offentlige rapporter Milestone 1 til 3 fra ARAIM's tekniske undergruppe under EU-US Working Group C har ingen Table A-3), så den sammenligning er trukket tilbage, og intet lovnes under det navn.

I stedet forsøges den rapport, der er offentlig: Milestone 3 Report (25 februar 2016, kopi fra GPS.gov, SHA-256 156147e1...13d8), Tables 5, 6 og 7, som for hver konstellationskonfiguration og for både RNP 0,1 og RNP 0,3 angiver den største sigma_URA, for hvilken 90 % af brugerne har 99,5 % tilgængelighed. Tolv trykte poster (rækkerne Depleted og Baseline i tabellerne for dobbelt frekvens) kontrolleres under tærskler, der er præregistreret i xval/araim-m3/PREREGISTRATION.md før nogen bedømt kørsel, med de afvigelser, der ikke kan fjernes, anført dér: ingen almanakfiler, Walker-skaller i stedet for de rigtige pladser, et grovere gitter og trin, og motorens horisontale vej fra ADD v4.2 i stedet for rapportens egen tekst. Tables 8 til 13 (enkelt frekvens) og rækkerne Optimistic forsøges ikke, med begrundelserne anført dér. Resultat: 8 af 12 poster gengivet, 4 NOT MET (fastholdt): posterne for to konstellationer og alle poster kun for Galileo stemmer (også rækkerne med N/A), posten Depleted RNP 0,1 for to konstellationer når dækning 0,847 ved 9 m mod de trykte 9 m (kræver 0,90), og tre poster kun for GPS rammer langt ved siden af (dækning 0,70 ved 4 m, 0,58 ved 6 m, 0,65 ved 10 m mod trykte 4 m, 6 m og ">10 m"). Misserne for kun GPS kan skyldes den ensartede Walker-skal, der står i stedet for de rigtige GPS-pladser (D1); det er en hypotese, ikke et fund. Resultatet forbliver MODELLED, uanset hvad det er. Undersøgelsen er src/bin/gen_araim_m3_study.rs; dens målte dækninger står i xval/araim-m3/results.json og bedømmes af tests/araim_m3_reproduction.rs. Selve rapporten er citeret, ikke medleveret.