芯片級原子鐘輔助的慣性/衛星組合導航系統欺騙檢測方法

劉 洋，李四海，付強文，周 琪

（1.西北工業大學 自動化學院，西安 710129；2.西安飛行自動控制研究所，西安 710065）

隨著包括我國北斗衛星導航系統在內的全球導航衛星系統（GNSS,Global Navigation Satellite System）的不斷發展，衛星導航在軍事和民用領域都獲得了極為廣泛的應用。可以說，幾乎所有基于位置和時間服務的領域，包括軍事應用在內，運輸、測繪、精準農業、通信、金融、電力等，衛星導航都在發揮著越來越重要的作用。

衛星導航在獲得廣泛應用的同時，也埋下了一個巨大的安全隱患。由于衛星信號功率微弱且民碼結構完全公開，這使得民用衛星信號極易受到干擾和欺騙，軍用衛星信號雖然經過加密處理，也無法避免轉發式欺騙干擾的威脅。欺騙干擾極大降低了GNSS的可靠性[1]。衛星導航欺騙干擾指的是通過播發虛假衛星信號，誘導接收機捕獲、跟蹤欺騙信號，進而輸出錯誤位置/時間信息的技術[2]。由于欺騙信號和真實信號高度相似，欺騙攻擊的隱蔽性極強，如果沒有特定的欺騙檢測手段，用戶幾乎無法發現接收機輸出的定位信息是錯誤的（甚至是攻擊者特意設定的）。相對于傳統的壓制式干擾，欺騙干擾的危害更大，因為使用錯誤的定位信息往往比無定位信息具有更大威脅。在軍事領域，各種武器平臺如果受到衛星導航欺騙干擾且未能及時告警，錯誤的位置/時間信息的使用將極大削弱其作戰效能。在民用領域，特別是對于近年來發展迅速的無人機和無人駕駛汽車，如果沒有對衛星導航欺騙干擾的檢測手段，一旦遭到惡意欺騙，將直接影響無人機、無人車的自動駕駛系統，對人們的生命財產安全造成威脅。

隨著軟件無線電技術和開源衛星導航模擬軟件的不斷成熟，衛星導航欺騙的實施成本和技術門檻逐步降低，包括無人機、汽車、手機、船只在內的欺騙事件越來越引起人們的重視[3]。針對衛星導航欺騙問題，眾多學者提出了多種層次的檢測方法，從信號層面、數據層面到系統層面[4]，包括基于衛星信號加密，基于欺騙信號特征的完好性監控，基于信號空間幾何關系差異的檢測技術等[5]。目前，對于衛星導航欺騙檢測技術的研究，在數據和系統層面仍主要集中在三維位置維度，與其密切關聯的時間維度則相對較少。衛星導航欺騙在對接收機位置進行欺騙的同時，不可避免地會對接收機時間，或者說鐘差估計產生影響，這也給欺騙檢測帶來了契機。利用接收機自身時鐘的時間保持能力，可以進行欺騙檢測，但由于接收機通常使用溫補晶振（TCXO）或壓控溫補晶振（VCTCXO），頻率穩定性較差，使其欺騙檢測能力受到很大制約。芯片級原子鐘（CSAC）以其較高的頻率準確度和穩定性，可以進行長時間的高精度時間保持，將其應用于慣性/衛星組合導航系統可以大幅提高接收機的欺騙檢測能力，同時增加了欺騙攻擊的難度，為組合導航系統的可靠性提供了有利保障。

國內對CSAC的研究仍集中在器件性能的提升層面，目前仍無大規模量產的商業化產品。受產品化制約，CSAC在慣性/衛星組合導航領域的應用研究也剛剛起步。文獻[6][7]指出了 CSAC在導航定位與授時（PNT）架構中的作用，文獻[8]研究了CSAC在環路輔助跟蹤上的作用。在欺騙檢測領域，西安飛行自動控制研究所和國防科大都對時鐘輔助的欺騙檢測進行了一定研究[9-10]，但是以單純的理論分析為主，缺乏實際CSAC數據的支持。國外CSAC的研究處于領先地位，在器件上已經大規模量產，Microsemi公司的SA.45s芯片級原子鐘產品從2011年發布以來，截止2018年已經累計交付近10萬套，獲得了較為廣泛的應用[11]；在導航領域的應用研究也更為深入，文獻[12][13]對 CSAC與接收機內部時鐘對定位性能的影響進行了詳細對比，并提出可以將CSAC應用于衛星欺騙信號檢測，但缺少詳細的檢測模型和性能分析。

本文利用 CSAC的高精度時間保持能力，對CSAC輔助的組合導航系統欺騙檢測技術進行了詳細介紹。利用商業化CSAC產品，對其時間保持能力進行了實驗驗證，通過與接收機內部時鐘鐘差預測誤差的對比分析，從檢測概率的角度，證明了CSAC在衛星導航欺騙檢測上的優異性能。

1 芯片級原子鐘概述

時間，作為七個基本物理量之一，通常是基于某種穩定的周期性運動來進行計量的。一個用于產生周期運動的振蕩器加一個用于計量周期運動次數的計數器，就構成了時鐘。地球自轉、鐘擺擺動、石英晶體和原子的振動都可以認為是振蕩器產生的穩定振蕩，結合日晷、齒輪、電子和微波等計數手段，也就得到了相應的時鐘。時間的計量可以用公式表示為：

其中，t表示時間，t0表示時間起點，T表示振蕩的周期。時間計量的精度主要取決于振蕩器產生的周期性運動的穩定性。目前，應用最為廣泛的振蕩器當屬石英晶振（XO），為提高石英晶振的性能，溫補晶振（TCXO）、壓控晶振（VCXO）、恒溫晶振（OCXO）等相繼出現。隨著對時間計量精度要求的不斷提高，銣和銫原子振蕩器也獲得了廣泛應用。伴隨著精度的提升，傳統原子鐘在功耗、體積和成本上也相應提高，限制了其在導航領域的應用。芯片級原子鐘（CSAC）研制的初衷就是在保證頻率精度的同時，在功耗、體積和成本上面向低功耗便攜式應用。

圖1給出了芯片級原子鐘CSAC與石英晶振和原子振蕩器在頻率準確度和功耗上的對比，在體積和成本上與功耗類似[14]，圖1清楚地展示了CSAC的定位，其在導航領域具有非常廣闊的應用前景。

Microsemi公司的SA.45s是目前世界上唯一大規模量產的商業化芯片級原子鐘產品，它的主要性能參數如表1所示。SA.45s芯片級原子鐘整體性能與最高精度的恒溫晶振相當，在溫度特性上要優于恒溫晶振。

表1 SA.45s芯片級原子鐘主要性能參數Tab.1 Main specifications of SA.45s chip-scale atomic clock

2 芯片級原子的時間保持

假設t0時刻進行時間對準后，CSAC進行時間保持，則t時刻CSAC的時間保持誤差E(t)的理論計算公式如下[15]：

其中各物理量含義如下：

E0：t0時刻初始時間偏差；

y0：t0時刻初始頻率偏差；

a：頻率漂移（老化率）；

Ei：環境影響造成的頻率偏差；

ε：頻率噪聲引起的時間誤差。

以SA.45s為例，對上述誤差源進行說明。初始時間偏差E0為初始時間對準造成的誤差，CSAC本身外部PPS進行一次時間對準可以保證初始偏差在±100 ns以內，通過馴服，與外部秒脈沖的對準精度可以達到<5 ns；初始頻率偏差y0造成的守時誤差與時間成線性關系，在短期內對CSAC的時間保持起主要作用；頻率漂移率a，也就是老化率（aging），典型值在 0.6e-9/月至0.9e-9/月，主要影響CSAC的長期時間保持能力，24 h內由老化率引起的時間保持誤差在0.5～1 μs；環境影響Ei主要包括溫度、磁場、振動等對頻率偏差的影響，對于其中最重要的溫度特性，CSAC本身采用全密封的銫原子氣室，其物理系統（包括激光器、氣室、光電探測器）經過真空處理，漏氣率＜1e-11 atm·cc/s，熱阻高達 7000℃/W，所以 CSAC頻率的熱穩定性很高，受外界溫度變化的影響較小。對于磁場和振動，CSAC采用磁屏蔽和減震器等措施進行抑制，這使得磁場和振動對CSAC頻率穩定性的影響也較小。

針對典型欺騙干擾場景，本文重點關注短期內（即數分鐘到數十分鐘）CSAC的時間保持能力。由于CSAC短期頻率穩定性較好，時間保持主要受初始頻率偏差決定。CSAC的初始頻率偏差，也就是頻率準確度，可以類比為慣性器件的啟動零偏。頻率準確度會隨著時間發生變化，長期看受老化率影響，盡管出廠時對頻率準確度進行了標校，但在實際使用時，通常需要進行重新標校（時鐘馴服），以消除由于老化等引起的頻率偏差，提高其頻率準確度。經過馴服的CSAC，在連續運行中，其初始頻率偏差不變，但在每次上電后會發生變化，這同慣性器件的零偏重復性類似。對于CSAC的馴服方法和結果，將在實驗部分進行詳細介紹。

3 欺騙對接收機時間的影響

圖2給出了衛星導航欺騙的基本原理示意圖，欺騙源接收真實衛星信號，進行處理后轉發（或者直接轉發），通過增大欺騙信號功率達到欺騙接收機的目的。

圖2 衛星導航欺騙的基本原理圖Fig.2 Basic principle of GNSS spoofing

利用欺騙信號和真實信號對接收機偽距的影響分析，可以說明欺騙信號對接收機時間的影響。根據文獻[3]，接收機欺騙偽距和真實偽距滿足如下關系：

圖1 芯片級原子鐘與常見振蕩器對比Fig.1 Chip-scale atomic clock vs.common oscillators

其中，上標(i)代表衛星編號，下標s代表欺騙源，a代表真實信號，u代表目標接收機。式中各物理量含義如下：

c：光速。

不同類型欺騙對接收機的影響有所不同，下面分為同步式和非同步式欺騙進行詳細分析。

同步式欺騙可以準確知道目標接收機位置（米級），對于處于跟蹤狀態的接收機，首先要使欺騙信號和真實信號在接收機端定位基本相同，即要保證延遲和多普勒頻移與真實信號保持一致。對于民碼信號，采用轉發式欺騙，除非轉發器天線與接收機天線非常接近且信號處理延遲可忽略否則很難保證欺騙信號和真實信號延遲的一致，這樣即使能保持欺騙位置與目標接收機定位相同，欺騙對接收機時間的影響也不可避免（使得接收機時間比真實時間早）。采用文獻[16]中設計的receiver/spoofer進行欺騙，可以利用民碼結構公開的特點對民碼信號進行提前預測，這樣可以在接收機端保證延遲一致，即利用抵消信號處理時間?τproc和傳播延時rs→u的影響，利用抵消的影響，這樣可以在初始階段保證時間和位置均與真實信號一致。對于軍碼信號，無法進行信號的預測，只能采取轉發的方式，也就是至多可以保證位置相同，目標接收機時間一定會產生誤差。

非同步式欺騙通常不能準確知道目標接收機位置，對于處于跟蹤狀態的接收機，必須采用先壓制式干擾后欺騙的方式進行。通過一般的轉發器、信號模擬器都可以實現非同步式欺騙。一般的轉發器只能使接收機定位到轉發器天線位置（時間會比真實時間早），模擬器則可以設定位置和時間。非同步式欺騙容易引起位置和時間的跳變，通過壓制式干擾，衛星導航系統自身的位置（組合系統依靠慣性導航提供）和時間保持能力受到影響，如果在欺騙起始時刻，可以將欺騙位置和時間范圍保持在導航系統位置和時間不確定度范圍之內，那么就可以大幅提高欺騙的成功率。相對應地，從欺騙檢測的角度，利用高精度的位置和時間保持，可以最大程度上減小壓制式干擾后的位置和時間不確定度，從而提高欺騙檢測能力。

4 芯片級原子鐘輔助的欺騙檢測

根據第3節的分析，欺騙信號對衛星接收機時間的影響幾乎是不可避免的，利用高精度的時間保持信息可以進行欺騙信號檢測。這里我們考慮最為典型的欺騙方式，即先進行一段時間的壓制干擾，然后進行欺騙信號播發。為構造欺騙檢測模型，假設如下：

1）欺騙攻擊方利用雷達等探測設備對目標接收機進行定位和跟蹤，實時測距誤差δPs滿足正態分布即認為欺騙源對接收機實時距離的掌握存在常值偏差?Ps、測距噪聲σP,s。目標接收機天線相對載體安裝位置的不確定性，會造成常值偏差；測距噪聲主要由探測設備性能決定，對于雷達系統一般在數十米到數百米量級[17-18]。

通過對接收機鐘差數據的建模分析，可以確定正常情況下鐘差預測誤差的標準差σδtu。在壓制干擾結束，重新捕獲衛星信號時，可以利用鐘差測量值（接收機估計）和預測值（模型預測）構造假設檢驗如下：假設Ho（正常，無欺騙信號）和H1（故障，存在欺騙信號），則：

圖3 時鐘輔助的GNSS欺騙檢測概率分析Fig.3 Clock aided GNSS spoofing detection probability

以上是基于時間的檢測模型。在壓制干擾結束時，利用純慣性位置同接收機定位結果進行對比，可以在位置維度構造類似的欺騙檢驗模型，這里不再贅述。

5 實驗分析

以Microsemi公司的SA.45s芯片級原子鐘為測試對象，對CSAC的時鐘馴服、鐘差預測和欺騙檢測能力進行驗證。

5.1 芯片級原子鐘的馴服

時鐘的馴服，是指采用更高的時間頻率基準，對時鐘振蕩器進行調整，消除由于老化等因素引起的頻率偏差，可以類比于慣性器件常值零偏的標定過程。針對SA.45s芯片級原子鐘，使用Ettus Research公司的OctoClock-G CDA-2990高精度時鐘進行馴服，馴服過程如圖4所示。

這里設定馴服時間常數τ=1000s，CSAC 內部自帶相位測量器，可以檢測外部PPS輸入和自身PPS輸出的相位差（時間差），通過內部調整電路對自身時鐘相位和頻率進行調整。如圖4所示，相位差即CSAC測量的外部參考PPS和自身PPS的時間差，馴服標志從0變為1（為突出顯示，圖中進行了放大）表明馴服成功。CSAC設定連續兩個馴服周期（2τ）相位差小于門限值（設為20 ns），則馴服成功。

圖4 CSAC原子鐘的馴服過程Fig.4 CSAC discipline process

5.2 CSAC的時間保持能力

選取不同馴服時間常數，在馴服后連續運行或者斷電重啟，對CSAC的時間保持能力進行驗證。圖5給出了馴服成功（馴服時間常數τ=1000 s）后3次重啟試驗CSAC的時間保持性能。

表2對未馴服狀態、馴服時間常數τ=300s和τ=1000s，以及連續運行和重啟狀態的CSAC時間保持能力進行了對比。可以發現：通過馴服可以大幅提高CSAC的時間保持能力；馴服時間越長，對CSAC頻率精度的提升越明顯；無論是連續運行還是斷電重啟，經過馴服后的CSAC均有良好的時間保持能力，鐘差預測精度高出接收機內部時鐘一個數量級以上。CSAC良好的時間保持能力說明其具備較高的頻率穩定性，這為 CSAC的精確建模和高精度鐘差預測提供了保證。

圖5 三次重啟試驗CSAC時間保持Fig.5 CSAC time retention performance for three power cycles

表2 CSAC時間保持能力（1 h）Tab.2 CSAC hold over performance (1 hour)

5.3 欺騙檢測能力分析

為對比CSAC與接收機自身晶振的欺騙檢測能力，首先對接收機自帶晶振和 CSAC鐘差預測誤差的統計特性進行分析。試驗選擇具備使用外部參考時鐘能力的Novatel OEM638平臺，分別使用接收機內部晶振（OEM638使用的是VCTCXO）和外部CSAC進行定位。各采集10 h數據，使用得到的鐘差參數，對接收機VCTCXO和CSAC時鐘進行建模和鐘差預測。鐘差預測誤差與建模模型、建模使用的采樣點數以及預測時長有關。對于頻率穩定度較高的 CSAC，短時間內主要考慮初始頻率偏差影響，可僅使用一次多項式建模。對于頻率穩定度較差的VCTCXO，對頻率漂移也進行建模，即使用二次多項式建模。理論上建模（擬合）使用的采樣點越多，預測的時間越短，相對應的預測精度越高。為對鐘差預測誤差的統計特性進行分析，取200～1200 s數據用于擬合（周期1 s，對應200～1200個采樣點），利用擬合的參數對之后的1200 s數據進行鐘差預測，通過與真實鐘差對比，得到鐘差預測誤差。在整個數據集內隨機選取1000個采樣點，分別使用采樣點之前的N秒數據建模，對采樣點之后的M秒鐘差進行預測，得到鐘差預測誤差的均方根誤差。

圖6和圖7分別給出了接收機內部時鐘和外部時鐘 CSAC鐘差預測誤差曲線（均方根誤差）。為方便對比，將鐘差轉換為以米為單位。對比圖6和圖7，接收機內部晶振在1200 s的預測誤差在數百米量級，而CSAC的鐘差預測誤差在數米量級。這是由于接收機內部 VCTCXO晶振的穩定性較差，即使采用二次多項式建模，在預測時間較長時，也存在較大的預測誤差。CSAC的頻率穩定性較好，通過簡單的線性建模，即可得到高精度鐘差預測結果。

圖6 接收機晶振鐘差預測誤差（RMS）Fig.6 Estimation error of receiver crystal oscillator clock bias

圖7 CSAC鐘差預測誤差（RMS）Fig.7 Estimation error of CSAC clock bias

根據圖6和圖7的結果，假設欺騙攻擊方進行1200 s（20 min）壓制式干擾，然后開始播發欺騙信號。接收機自身 VCTCXO晶振的鐘差預測誤差均方根取600 m，CSAC的鐘差預測誤差均方根取4 m。認為欺騙源對目標接收機定位不存在常值偏差，只考慮噪聲影響。圖8給出了欺騙源對目標接收機定位噪聲與欺騙檢測概率的關系。在欺騙檢測性能上，CSAC明顯優于接收機本身的VCTCXO晶振。

圖8同時給出了利用純慣性位置保持進行欺騙檢測的檢測性能。典型高精度航空慣性/衛星組合導航系統在壓制干擾過程中利用純慣性定位（誤差120m/20min），可以通過對比壓制式干擾結束時純慣性位置與接收機定位結果進行欺騙檢測。從圖8中可以看出，在時間維度利用CSAC進行欺騙檢測，較位置維度利用純慣性進行欺騙檢測，仍具備較大的優勢。

圖8 CSAC、VCTCXO、純慣性欺騙檢測能力對比Fig.8 Comparison of CSAC,VCTCXO and pure INS spoofing detection probability

6 結 論

利用高精度芯片級原子鐘提供的精確時間參考，可以完成對衛星欺騙信號的有效檢測，相比于接收機自身晶振的優勢明顯。本文對芯片級原子鐘的基本特點和時間保持進行了介紹，通過實驗驗證，對芯片級原子鐘與接收機內部時鐘的鐘差預測能力進行了對比，從檢測概率上證明了芯片級原子鐘在衛星導航欺騙檢測上的優異性能。

本文提出的芯片級原子鐘輔助的慣性/衛星組合導航欺騙檢測技術具有較強的工程實用價值，對芯片級原子鐘特性的進一步測試驗證與在實際欺騙環境下的檢測效果還有待展開進一步的研究。