Tutorial 3 — Resiliência quântica contra clássica do GNSS (capstone)

Kinds: spoof + hybrid · Cenários: scenarios/spoof-attack.toml, scenarios/hybrid-pnt.toml (cópias didáticas: scenarios/security.toml, scenarios/hybrid.toml) · Dificuldade: intermediário · ~35 min

O capstone. Você executará um cenário de detector de spoofing e uma suíte completa fundida de posicionamento, navegação e temporização (PNT), e aprenderá a ler segurança, integridade e navegação por estima em conjunto — a tese inteira: inércia quântica + temporização óptica compram resiliência que a negação do GNSS (Global Navigation Satellite System) tiraria de outra forma.

Parte A — Segurança: pegando um spoofing de tempo#

Um atacante injeta um tempo GNSS falso com rampa lenta (0,1 ns/s, começando em t = 60 s). O receptor confronta o tempo afirmado com a predição do próprio relógio em deriva e sinaliza o spoofing quando a discrepância passa do limite de detecção. O detector é um teste de energia χ²₁ / Neyman–Pearson bilateral com probabilidade de falso alarme P_fa = 0,01; a figura de mérito de Segurança é 1 − P_md (um menos a probabilidade de detecção perdida) na magnitude de spoofing do tamanho da especificação (20 ns).

cargo run -- scenarios/spoof-attack.toml

Summary:

scenario 2b6bd22c3b80 | spoof LinearRamp { rate_ns_per_s: 0.1 } vs 20.000 ns spec (P_fa 0.010) | quantum security 1.000 (P_md 0.000, MC 0.000) detected 70s | classical security 0.558 (P_md 0.442, MC 0.444) detected 430s

• Quântico: security 1.000, detectado em 70 s. O piso de detecção do relógio óptico é uma fração de nanossegundo, de modo que ele sinaliza o spoofing quase de imediato — muito abaixo da especificação de 20 ns.
• Clássico: security 0.558, detectado em 430 s. O próprio ruído de deriva do relógio atômico em escala de chip (CSAC) ao longo da janela é comparável a 20 ns, de modo que muitas vezes ele não distingue o spoofing de sua própria deriva — perde 44 % das vezes.

A referência independente não circular: P_md analítica contra Monte-Carlo#

A probabilidade de detecção perdida do detector é calculada de duas formas independentes que devem concordar: uma cauda χ²₁ em forma fechada (o resultado de Neyman–Pearson) e uma estimativa Monte-Carlo (MC). Para o CSAC, a P_md analítica é 0.442 e a P_md MC é 0.444 — concordam a 0,002, bem dentro do erro de amostragem ~few × 1/√N. Para o relógio óptico, ambas são 0,000. Duas computações separadas da mesma probabilidade concordando é a verificação cruzada não circular (Kay, Fundamentals of Statistical Signal Processing: Detection Theory; detecção NP / χ² padrão). tests/tutorials.rs::tutorial3_spoof_analytic_matches_montecarlo afirma |analytic_pmd − mc_pmd| < 0.05 para ambos os relógios e quantum security_fom > 0.9.

Parte B — PNT híbrido: a suíte fundida completa#

Agora o cenário capstone funde um relógio óptico + uma unidade de medição inercial (IMU) de átomos frios (suíte quântica) contra um CSAC + uma IMU de grau de navegação (suíte clássica), na mesma interrupção de GNSS de 6600 s (1,83 h), contra uma especificação de temporização de 20 ns e uma especificação de posição de 100 m. Ambas as suítes reancoram seus relógios a cada 60 s pelo mesmo enlace óptico de transferência de tempo entre satélites, modelado com jitter de 1 ps por ressincronização ([resync] no cenário; src/hybrid.rs constrói um enlace optical-isl para qualquer das suítes).

cargo run -- scenarios/hybrid-pnt.toml

Summary:

scenario f33d734ecc51 | quantum PNT-holdover 6600s (t 6600s/p 6600s) integrity 0.998 security n/a (no attack) | classical PNT-holdover 350s (t 6600s/p 350s) integrity 1.000 security n/a (no attack)

Leia a divisão (t …/p …) — holdover de temporização contra holdover de posição:

• Quântico: holdover de PNT de 6600 s — mantém tanto a temporização (t 6600 s) quanto a posição (p 6600 s) durante toda a interrupção.
• Clássico: holdover de PNT de 350 s — a temporização mantém os 6600 s completos (t 6600 s), porque a ressincronização por transferência de tempo óptica mantém travado até o relógio clássico. A suíte é limitada pela posição em p 350 s: a IMU de grau de navegação é o elo fraco. Esta é a tese da fusão — isolar a falha da suíte clássica em seu sensor inercial.

integrity 0.998 para a suíte quântica é real e não é um bug. É a autoconsistência do filtro sobre a ressincronização ruidosa — não uma figura de integridade de aviação (nível de proteção horizontal ou vertical, HPL/VPL). Não leia demais a palavra “integridade” aqui; veja docs/INTEGRITY.md.

A referência independente não circular: o holdover de posição de 350 s#

O valor de 350 s é física de navegação por estima, não um número ajustado. Um viés constante de acelerômetro b leva o erro de posição a ½·b·T². Cruzando a especificação de 100 m:

Navigation-grade (classical), b = 1.57e-3 m/s^2:
  T = sqrt(2 * 100 / 1.57e-3) = 357 s

Cold-atom (quantum), b = 5.88e-7 m/s^2 (Templier et al. 2022, arXiv:2209.13209):
  T = sqrt(2 * 100 / 5.88e-7) = 18,443 s >> 6600 s outage -> holds the full outage

O mecanismo informa 350 s, o último ponto da grade de 10 s antes do cruzamento e 2 % abaixo dos 357 s só com viés: os acelerômetros do cenário também carregam ruído de passeio aleatório de velocidade (q_va), que se soma à deriva do viés, de modo que o erro modelado chega a 100 m um pouco antes.

Lei de referência: Groves, Principles of GNSS, Inertial, and Multisensor Integrated Navigation (2ª ed.), crescimento do erro de navegação por estima. Esses dois valores de ½bT² explicam a divisão de 350 s / 6600 s do mecanismo: uma verificação física em forma fechada, externa ao filtro.

Você pode ver o elo fraco inercial diretamente no cenário de navegação por estima (scenarios/inertial.toml, tipo de cenário inertial): quantum holdover 6600s p95 41.39m | classical holdover 350s p95 30629.9m: o sensor de grau de navegação diverge para dezenas de quilômetros.

Como ler as três figuras em conjunto#

A integridade autônoma genuína do receptor — HPL/VPL reais com limites de alerta e um diagrama de Stanford — está no pacote integrity (scenarios/integrity.toml); esse é o exercício de leitura do Nível 3.

O que os testes fixam#

• tutorial3_spoof_analytic_matches_montecarlo — a P_md analítica e a MC concordam a < 0,05 para ambos os relógios; quantum security_fom > 0.9.
• O resumo híbrido (6600 s / 350 s) e a divisão inercial são fixados por seus cenários didáticos (scenarios/hybrid.toml, scenarios/inertial.toml) por teaching_scenarios_match_their_recorded_expected_summary, que compara cada resumo do mecanismo com a linha # expected: que o arquivo registra. A referência independente ½bT² acima é a verificação física desses números.

Armadilhas e unidades#

• A figura de mérito (FoM) de temporização está em nanossegundos; a FoM de posição está em metros e é de 1-DOF (um grau de liberdade: eixo único, não CEP/2DRMS).
• integrity 0.998 é autoconsistência, não integridade de aviação.
• A temporização da suíte clássica sobrevive apenas por causa da ressincronização por transferência de tempo óptica; leia a divisão (t …/p …), não só o PNT-holdover do título.

Próximos passos#

• Execute o caso de falha honesta: scenarios/lunanet-araim.toml (tipo de cenário lunar-integrity) informa uma passagem de ARAIM (RAIM avançado) no polo sul em que os níveis de proteção excedem o limite de alerta (HPL 263–452 m > 50 m, 0 de 24 épocas disponíveis), de modo que o sistema é informado como indisponível: uma característica, não um bug.
• Leve a história para a órbita terrestre baixa (LEO): scenarios/leo-resilience-gnss-jammed-leo-carries.toml (tipo de cenário campaign) encadeia uma fase de jamming do GNSS, uma camada de posicionamento LEO que leva o usuário por ela e uma verificação de integridade em uma única linha do tempo. Veja as capacidades mais novas para os demais cenários de resiliência e de verticais.
• Defenda um resultado: faça o exercício do Nível 3 — faixas Monte-Carlo, reprodutibilidade e leitura de um nível de proteção.