Eheys ja tietoturva: mitä Kshana mallintaa ja mitä ei

Kshana raportoi kaksi laatumittaria (FoM) — Eheys ja Tietoturva — jotka on helppo sekoittaa samannimisiin ilmailun tasoisiin suureisiin. Tämä sivu kertoo suoraan, mitä ne ovat nyt, mitä ne eivät ole ja mitä etenemissuunnitelma lisää. Jos arvioit Kshanaa ihmishengen turvaamiseen tai sertifiointiin liittyvässä käytössä, lue tämä ensin.

Nykytila (v0.37.0)#

Eheys-FoM — suodattimen sisäinen johdonmukaisuus#

Eheys-FoM on niiden katkon aikaisten näytteiden osuus, joissa todellinen ajoitusvirhe pysyy Kalman-suodattimen oman k-sigma-suojausrajan sisällä:

integrity = (# outage samples with |error| <= k * phase_sigma) / (# outage samples)

Tämä mittaa, onko suodattimen itse ilmoittama epävarmuus rehellinen sen oman virheen suhteen GNSS-katkon (maailmanlaajuinen satelliittinavigointijärjestelmä) aikana. Se on hyödyllinen sisäinen johdonmukaisuustarkistus.

Se ei ole:

• vaaka- tai pystysuuntainen suojaustaso (HPL/VPL) — paikka-alueen suojaustasoa ei ole lainkaan (kellopaketit ovat ajoitusalueella);
• eheysriski / vaarallisen harhaanjohtavan tiedon todennäköisyys (P_HMI);
• hälytysrajan vertailu;
• vaatimustenmukainen standardien RTCA DO-229E / DO-316 tai EUROCAE ED-259A kanssa (RTCA: Radio Technical Commission for Aeronautics; EUROCAE: European Organisation for Civil Aviation Equipment) eikä minkään muunkaan sertifiointistandardin kanssa.

Tietoturva-FoM — analyyttinen harhautuksen havaittavuusraja#

Tietoturva-FoM on kellon vakauteen perustuva harhautuksen havaittavuusraja: kellon kohinan (valkoisen taajuuden ja satunnaiskulun PSD:t (tehospektritiheydet)) ja valvontaikkunan perusteella se on yhden kellon johdonmukaisuusvalvojan analyyttinen havaitsemismarginaali hitaasti kasvavaa väärän ajan harhautusta vastaan. Hiljaisempi kello (esim. optinen kello) havaitsee pienemmän, hitaamman harhautuksen kuin kohinaisempi (esim. CSAC (sirumittakaavan atomikello)) — tämä kontrasti on demonstraattorin pointti.

Se ei ole usean satelliitin RAIM-ilmaisin (receiver autonomous integrity monitoring). Satelliittien välisiä pseudoetäisyysjäännöksiä ei ole, suojaustasoa ei ole eikä P_HMI:tä ole. Innovaatio-sigma-testillä on sama matemaattinen muoto kuin klassisella RAIM-vian havaitsemisella (Brown), mutta luku on tietyn kellon analyyttinen raja, ei RAIM-toteutus, ja se on mielekäs vain määritetyn harhautusskenaarion yhteydessä (katso skenaariotyyppi spoof, joka injektoi todellisen kasvavan hyökkäyksen).

Tuloste sanoo tämän. Tyypit clock, orbit, hybrid ja fusion eivät määritä hyökkäystä, joten niiden yksirivinen yhteenveto tulostaa luvun sijaan security n/a (no attack), ja niiden tulosasiakirja merkitsee kentän fom.security arvoksi applicable: false syineen lohkossaan figure_tiers. Itse arvo säilyy asiakirjassa kaikille, jotka haluavat rajan.

Todellinen snapshot-, solution-separation- ja ARAIM-RAIM (src/raim.rs)#

Todellinen paikka-alueen RAIM on toteutettu tiedostossa src/raim.rs, erillään yllä olevasta itsejohdonmukaisuus-FoM:sta:

• Usean satelliitin jäännösvalvonta — se rakentaa näkölinjageometriamatriisin näkyviin satelliitteihin, muodostaa pienimmän neliösumman paikka- ja kelloratkaisun ja testaa jäännösten neliösumman.
• χ²-vian havaitseminen — SSE/σ² (SSE: jäännösten neliösumma) on χ²(n−4) ei-vikaoletuksen alla; vika julistetaan, kun arvo ylittää chi2_{1-P_fa}(n-4). χ²-kynnykset saadaan riippuvuudettomasta regularisoidun epätäydellisen gammafunktion laskennasta (tarkka, ei taulukoita).
• Kulmakertoimeen perustuva HPL / VPL — max_i(slope_i)·pbias·σ, missä slope_i on satelliittikohtainen paikkavirheen herkkyys hattumatriisista ja pbias on epäkeskeisen χ²-jakauman harha, joka täyttää määritetyn havaitsematta jäämisen todennäköisyyden P_md.
• Solution-separation-RAIM (MHSS: multiple-hypothesis solution separation) — kaikkien näkyvien satelliittien ratkaisulle ja jokaiselle yhden satelliitin poissulkevalle osaratkaisulle sisäkkäisten estimaattorien erotus Δ_k = x_k − x₀ sekä havaitsee että tunnistaa viallisen satelliitin ja syöttää suojaustason rajan.
• ARAIM:n (advanced receiver autonomous integrity monitoring) eheysriskibudjetti (P_HMI) — araim_raim ratkaisee pienimmän HPL/VPL:n, jonka vaarallisen harhaanjohtavan tiedon todennäköisyyksien summa P_HMI = Σ_k p_fault,k · Q((PL − T_k)/σ_k) (Blanch ym., Baseline ARAIM) täyttää nimenomaisen eheysriskin allokaation, ja raportoi riskin, jonka tasot saavuttavat — joten eheyttä voi vaihtaa hälytysrajaan nähden suoraan sen sijaan, että se jäisi implisiittiseksi kiinteässä kertoimessa K_md.
• Stanford–ESA-eheyskaavio (ESA: European Space Agency) — epookkikohtainen akkumulaattori luokittelee (error, PL) Available-, System-Unavailable-, Misleading- ja Hazardously-Misleading-alueisiin saatavuusyhteenvetoa varten.
• Saavutettavissa päästä päähän — skenaariotyyppi integrity ajaa yllä olevan SGP4- (Simplified General Perturbations 4) tai Kepler-satelliittitähdistön, tai todellisista TLE-tiedoista (kaksirivisiä elementtijoukkoja) tai RINEX-navigointitiedostosta (Receiver Independent Exchange Format) luetun tähdistön yli ja tuottaa epookkikohtaisen HPL/VPL-saatavuuskartan määritettyjä hälytysrajoja vasten (scenarios/integrity-raim.toml). Sama ajo vie pystysuuntaisen Stanford-kaavion: jokaisella suojatulla epookilla siemenluvulla toistettava virheetön etäisyysvirhearvonta kuvataan geometrian läpi todelliseksi pystysuuntaiseksi virheeksi ja luokitellaan VPL:ää ja pystysuuntaista hälytysrajaa vasten, joten JSON-tulos (JavaScript Object Notation) ja CLI-yhteenveto (komentorivikäyttöliittymä) sisältävät aluelaskennat (eheystapahtumat ja HMI: hazardously misleading information) — eivät vain saatavuusosuutta. Mukana toimitetulla tiedostolla scenarios/integrity-raim.toml ajo raportoi, että 361 epookista 344 oli saatavilla (95,3 %) hälytysrajoilla vaaka 40 m ja pysty 50 m, ja eheystapahtumia oli 0 ja HMI-tapahtumia 0.
• Kahden satelliittitähdistön ARAIM eheystukiviestillä — araim_dual_raim lisää koko tähdistön vikatilan: vapaan ja yksittäisen satelliitin hypoteesien lisäksi jokainen tähdistö tuo yhden hypoteesin, joka poistaa kaikki sen satelliitit, priorilla P_const, samaan MHSS-eheysriskin summaan. Viesti IntegritySupportMessage (ISM) sisältää käyttäjän etäisyystarkkuuden eheyttä varten (σ_URA), tarkkuuden neliöllisen keskiarvon (σ_URE), suurimman nimellisen harhan b_nom, joka taitetaan yksipuolisesti jokaiseen tilaan, sekä priorit P_sat ja P_const; sen WG-C-viitejoukko (Euroopan unionin ja Yhdysvaltain satelliittinavigointiyhteistyön työryhmä C, jonka ARAIM-tekninen alaryhmä julkaisee viitteen) on σ_URA = 0,75 m, σ_URE = 0,67 m, b_nom = 0,75 m, P_sat = 1e-5 ja P_const = 1e-4. Asetus P_const = 0 toistaa yksittäisen vian tuloksen araim_raim bitilleen. Skenaariotyyppi integrity käyttää tätä polkua asetuksella araim_dual = true (scenarios/araim-gps-galileo.toml: GPS + Galileo, 48 satelliittia, 145 epookista 145 saatavilla samoilla hälytysrajoilla).
• Suojaustasot julkaistuja vertailuvektoreita vasten — tyyppi araim-reference-check ajaa moottorin funktiot araim_protection_level ja araim_integrity_risk WG-C:n ARAIM-alaryhmän omilla läpikäydyillä esimerkeillä (Reference Airborne Algorithm Description Document v3.1, 2019, liite D, ja raportti Milestone 3 Report (2016), liite A). Pahin vaaka- ja pystysuuntaisen suojaustason ero hyväksymisvektorilla on 0,0437 m asiakirjojen oman 0,05 m toleranssin rajoissa. Tämä rivi on VALIDATED tiedostossa VERIFICATION-MATRIX.md: se tarkistaa suojaustason yhtälön, ei operatiivista ISM:ää eikä vastaanotinta.

Jäljellä oleva aukko (etenemissuunnitelma)#

Mitä raim.rs ei vielä tee:

• sitä ei ole yhdistetty kello- ja holdover-skenaarion FoM:iin — nuo paketit raportoivat edelleen yllä olevan suodattimen itsejohdonmukaisuus-Eheys-luvun, ei HPL/VPL:ää;
• vikahypoteesit ovat vapaa tapaus, yksittäiset satelliitit ja kokonaiset tähdistöt — samanaikaisia vikoja kahden tai useamman satelliitin osajoukoissa (SV: space vehicle eli satelliitti) ei mallinneta;
• ISM on konfiguroitava parametrijoukko (WG-C-viitearvoilla), ei lähetetty operatiivinen viesti eikä validoitu uhkamalli;
• vian havaitseminen ja poissulkeminen (FDE) on vain yhden satelliitin ja snapshot-tyyppistä: solution separation nimeää viallisen satelliitin, ja snapshot_raim_fde ratkaisee uudelleen jokaisen yhden satelliitin poissulkemisen ja palauttaa poissuljetun satelliitin sekä jäljelle jääneen osajoukon χ²-testin ja suojaustasot, mutta poissulkemisella suojattua paikkaa ei raportoida, eikä skenaariotyyppi integrity aja poissulkemisvaihetta.

Snapshot-, solution-separation- ja ARAIM-ytimiä harjoitetaan todellisella IGS:n (International GNSS Service) tarkan radan (SP3: Standard Product 3) geometrialla, ei vain synteettisillä satelliittitähdistöillä: tests/igs_real_data.rs muodostaa näkölinjageometrian aidon IGS SP3 -tuotteen ensimmäisestä epookista todellisella maa-asemalla ja tarkistaa, että suojaustasot ovat äärellisiä ja APV-I-hälytysrajojen (approach with vertical guidance) sisällä (vaaka 40 m ja pysty 50 m), että pseudoetäisyysharha 60 m lauettaa χ²-valvojan, että solution separation tunnistaa viallisen satelliitin ja että ARAIM:n tasot täyttävät allokoidun riskin P_HMI. tests/araim_dual_real_data.rs ajaa kahden tähdistön polun todellisilla 2026-06-07 Celestrakin GPS- ja Galileo-luetteloilla, propagoituna yhteiseen epookkiin (katso REAL_TLE_GUIDE.md §3). Syvempi ristiintarkistus — suojaustasojen vertailu epookki epookilta gLABiin (GNSS-Lab Tool, ESA:n jakama GNSS-datan käsittelypaketti) koko RINEX-havaintokaaren yli — lisäisi vastaanotinalueen pariteetin. Sitä ei ole tehty: tyyppi pvt laskee koodin yhden pisteen paikan todellisista RINEX-havainnoista, mutta mitään tästä ratkaisusta johdettua suojaustasoa ei ole verrattu gLABiin.

Siis raim.rs on todellinen suojaustason ja eheysriskin ydin, joka on tavoitettavissa skenaariotyypeistä integrity ja araim-reference-check, jota on harjoitettu todellisella vertailuratageometrialla ja joka on tarkistettu WG-C-vertailuvektoreita vasten. Usean satelliitin osajoukon viat, vastaanotinalueen gLAB-pariteetti ja kello-FoM:n integrointi ovat edelleen etenemissuunnitelman kohteita, eikä mikään tästä ole sertifiointitodiste.

Katso myös#

• GLOSSARY.md — jokaisen FoM:n ja lyhenteen yksirivinen määritelmä.
• ARAIM_REFERENCE.md — ISM-parametrit ja WG-C-vertailuvektorit.
• SLOT-TIMING.md — vapaasti liukuvan kellon ajoituksen suojaustaso (TPL), joka on ehdollinen havaitsemiselle.
• VALIDATION.md — mitkä suureet on validoitu viitettä vasten ja mitkä ovat itsejohdonmukaisuustarkistuksia.
• src/security.rs — harhautuksen havaittavuusrajan johto.

RAIM kellon holdover-laatumittareiden rinnalla (0,36, valinnainen)#

Kelloskenaariossa voi olla osio [integrity] (src/clock_integrity.rs): sijainti (lat_deg, lon_deg, height_m), satelliittitähdistöesiasetukset (systems, oletus gps-baseline), maski, etäisyysjäännöksen sigma, väärän hälytyksen ja havaitsematta jäämisen todennäköisyydet, vaaka- ja pystysuuntaiset hälytysrajat, epookkiväli ja valinnainen ilmoitettu harha yhdellä satelliitilla. Ajo raportoi tällöin erillisen lohkon integrity_fom: epookkikohtaisesti näkyvät satelliitit, snapshot-RAIM-suojaustasot ja tuomio (available, alarm, unavailable-pl-above-al, unavailable-too-few-satellites, unavailable-gnss-denied) sekä lukumäärät ja saatavuus ajon yli. Kun aikajana sanoo GNSS:n olevan estetty, RAIM ei ole käytettävissä eikä mitään ekstrapoloida; heikentynyt ikkuna arvioidaan nimellisenä. Holdover-laatumittarit eivät muutu, ja ilman osiota tuloste on tavu tavulta identtinen. MODELLED: edustava esiasetettu taivas, synteettiset jäännökset ja ilmoitetut rajat. Se vaatii runs = 1.

EU–USA WG-C ARAIM Milestone 3 -raportin suurimman URA:n toisto (CAP-05c)#

Aiempi suunnitelma lupasi vertailun EU-ARAIM-teknisen muistion ”Table A-3” -taulukkoon. Tälle taulukolle ei löytynyt julkista lähdettä (EU–USA-työryhmä C:n ARAIM-teknisen alaryhmän julkisissa Milestone 1–3 -raporteissa ei ole Table A-3:a), joten tuo vertailu on peruttu, eikä mitään luvata tuolla nimellä.

Sen sijaan yritetään julkista raporttia: Milestone 3 Report (25. helmikuuta 2016, GPS.gov-kopio, SHA-256 156147e1...13d8), taulukot 5, 6 ja 7, jotka tulostavat jokaiselle satelliittitähdistökokoonpanolle ja kummallekin tasolle (RNP 0,1 ja RNP 0,3) suurimman arvon sigma_URA, jolla käyttäjistä 90 % saa saatavuuden 99,5 %. Kaksitoista tulostettua kohtaa (kaksitaajuustaulukoiden Depleted- ja Baseline-rivit) tarkistetaan kynnyksillä, jotka on ennakkorekisteröity tiedostossa xval/araim-m3/PREREGISTRATION.md ennen mitään pisteytettyä ajoa, ja siellä on todettu poistamattomat poikkeamat: ei almanakkatiedostoja, Walker-kuoria todellisten paikkojen sijaan, karkeampi ruudukko ja askel sekä moottorin ADD v4.2:n vaakapolku raportin oman tekstin sijaan. Taulukot 8–13 (yksitaajuus) ja Optimistic-rivit jätetään yrittämättä, syineen siellä. Tulos: 12 kohdasta 8 toistettiin, 4 NOT MET (kiinnitetty): kahden tähdistön kohdat ja kaikki pelkät Galileo-kohdat täsmäävät (N/A-rivit mukaan lukien), kahden tähdistön Depleted-RNP 0,1 -kohta saavuttaa kattavuuden 0,847 arvolla 9 m painettua arvoa 9 m vastaan (vaatisi 0,90), ja kolme pelkkää GPS-kohtaa menee laajasti ohi (kattavuus 0,70 arvolla 4 m, 0,58 arvolla 6 m, 0,65 arvolla 10 m painettuja arvoja 4 m, 6 m ja ”>10 m” vastaan). Pelkkien GPS-kohtien ohiosumat voivat johtua siitä, että tasainen Walker-kuori korvaa todelliset GPS-paikat (D1); se on hypoteesi, ei löydös. Tulos pysyy MODELLED, olipa se mikä tahansa. Tutkimus on src/bin/gen_araim_m3_study.rs; sen mitatut kattavuudet ovat tiedostossa xval/araim-m3/results.json ja ne pisteyttää tests/araim_m3_reproduction.rs. Itse raportti viitataan, sitä ei sisällytetä.