《陆军无人平台的安全指挥、控制与通信系统》报告

无人平台在现代军事行动中越来越多地被用于侦察、监视和打击任务，增强态势感知的同时降低人员风险。其经济性和快速部署能力促使了商业解决方案的采用。然而，许多无人载依赖于不安全的协议，如MAVLink，这些协议缺乏认证和加密机制。本文设计、实现并评估了一种新的安全指挥与控制架构，该架构在确保机密性、完整性和认证性的同时，支持地面控制站之间的实时控制权移交。所提出的解决方案命名为“新指挥与控制系统”，其强制实施零信任模型，集成基于层级的凭证权限，以规范战术指挥官、地面控制站和无人平台之间的访问与控制。其采用基于椭圆曲线数字签名算法证书和椭圆曲线迪菲-赫尔曼密钥交换的相互传输层安全，同时通过基于哈希的消息认证码确保消息完整性。该系统开发了多种轻量级协议用于凭证管理、密钥更新和控制权移交。新指挥与控制系统的原型通过Wi-Fi和罗德与施瓦茨HR-5000H战术无线电进行了实验验证。结果表明，HR-5000H链路引入的延迟大约比宽带技术高两个数量级，但仍能保持稳定的通信且丢包率极低，使其适用于战术指挥官终端与地面控制站之间的新指挥与控制系统链路。

无人平台已成为当代防御行动中不可或缺的资产，在提升侦察、监视和作战能力的同时，最大限度减少了人员暴露于危险环境的风险。除了其作战相关性之外，商业无人载平台在军事环境中的日益增多，使其与指挥、控制和通信系统的整合变得越来越重要。商业无人载具采购成本低、采购速度快、可用性高，使军队能够无需经历军用级平台典型的漫长开发周期即可扩展无人载具机队。这种经济性便于大规模部署，支持实验与训练，并加速现代化计划。然而，随着其作战应用的扩大，对安全、可互操作且具有韧性的通信架构的需求变得日益关键。

当前的军事C3系统，如葡萄牙陆军的“战场管理系统”和“下车士兵系统”，提供战术协调和通用作战视图。然而，它们缺乏集成和管理商业无人载具安全控制的能力，特别是在地面控制站之间的控制权移交方面。这一差距限制了作战灵活性，并在需要分布式或多域无人载具协同的场景中构成严重的安全风险。

包括被广泛采用的“微型飞行器链路”在内的商业通信协议，由于其简单性和互操作性，已被考虑用于无人载具控制。然而，这些协议并非为对抗性的军事环境设计，存在重大漏洞，如缺乏认证、加密和完整性验证。此类弱点使系统易受一系列网络威胁，包括窃听、欺骗、重放、拒绝服务攻击和中间人攻击。这些攻击可能危及任务数据的机密性，中断控制链路，或使对手能够劫持无人载具操作。

从通信的角度来看，无人载具指挥与控制架构必须在民用和军用无线电技术之上运行。虽然5G技术尚未在战术边缘普及，但当前的指挥与控制系统仍然依赖于传统的战术无线电，如罗德与施瓦茨HR-5000H和EID PRC-525。这些无线电已实施稳健的通信与传输安全措施，确保链路级别的机密性和抗截获能力。然而，它们并未强制执行更高级别的访问控制策略：如果一个地面控制站被捕获或行为不端（无论有意无意），无线电无法阻止其发出未经授权的命令或违反战术指挥官的意图。此外，这些无线电在带宽和延迟限制下运行，限制了无人载具的实时控制。因此，除了物理层保护，指挥与控制系统必须集成加密和基于策略的机制，能够将作战权限绑定到特定任务的凭证。

为了解决这些问题，本研究提出了“新指挥与控制系统”，这是一个用于军事C3环境中无人载具操作的安全、轻量且灵活的架构。新指挥与控制系统采用零信任安全模型，纳入了战术指挥官、地面控制站和无人载具之间基于层级的、凭证化的访问控制。它采用基于椭圆曲线密码学的相互传输层安全，包括用于认证的椭圆曲线数字签名算法和用于密钥交换的椭圆曲线迪菲-赫尔曼。该系统还定义了一系列用于凭证管理、密钥更新和控制权委派的轻量级协议，确保即使在受限通信信道下任务也能持续进行。

所提出的新指挥与控制系统框架通过Wi-Fi和罗德与施瓦茨HR-5000H战术无线电进行了实验验证，测量了连接建立时间、密钥更新延迟和控制权移交效率。结果表明，虽然战术无线电引入了显著更高的延迟（大约比Wi-Fi高两个数量级），但它们保持了适用于指挥节点协同的稳定可靠通信。相反，宽带技术（例如用于短程通信的Wi-Fi或用于远程通信的5G）仍然是吞吐量至关重要、高频无人载具控制的首选媒介。

这项工作相对于现有技术做出了以下贡献：

•新指挥与控制系统架构：一个零信任的指挥与控制框架，将通过X.509椭圆曲线数字签名算法证书建立的长期身份，与通过战术指挥官签名的凭证以及一个在运行时规范每个链路操作的分层能力策略强制执行的任务范围授权分离开来。

•轻量级协议套件：一套紧凑高效的协议，用于注册、会话密钥建立与更新、凭证和证书更新以及撤销，即使在带宽受限的战术无线电上也能提供强认证和完整性。

•安全控制权移交：一种新颖的移交机制，支持通过凭证撤销或能力字符串修改实现地面控制站之间的实时无人载具控制权转移，确保指挥权委派严格遵循战术指挥官策略，并防止未经授权的接管。

•商用现货集成：通过基于Python的代理模块实现与商用现货系统的无缝兼容，该模块在不修改“任务规划器”或ArduPilot软件的情况下，保护并认证MAVLink流量。

•实验验证：在Wi-Fi和罗德与施瓦茨HR-5000H无线电上进行的完整原型和性能评估，展示了稳定的、经过认证的通信，具有可管理的延迟和最小的消息丢失，证实了新指挥与控制系统在实际军事C4I环境中的实用性。

本文分为八个部分：第二节回顾相关工作，第三节介绍新指挥与控制系统架构，第四节详述协议，第五节涵盖威胁分析，第六节比较可用性，第七节报告实验验证，第八节总结论文并提供未来工作的相关方向。