卫星导航欺骗及检测（二）：基于接收机改进的欺骗检测

张伦东，张 超，高扬骏

（信息工程大学，郑州 450001）

0 引言

导航欺骗的主要目的是使目标接收机在不知情的情况下得到虚假的速度、位置或时间等导航信息，如果能快速准确地检测出卫星导航欺骗，则可打破敌方的第一企图[1]。在过去的十几年里，很多学者对导航欺骗检测技术进行了研究，提出了多种多样的检测方法。文献[2]进行了归纳，将其分为导航信号加密、使用附加信号特性的高级接收机自主完好性检测、添加导航消息认证位，以及利用欺骗信号和真实信号在空间几何上的差异等4 类。导航欺骗是基于对导航信号结构的了解，生成或转发虚假的欺骗信号，对目标接收机进行欺骗。如果能够对卫星发射的信号进行加密或者提供消息位认证，则在源头上可以很大程度阻止或检测出欺骗行为。此外，欺骗信号与真实信号在特征上总会有差别，可以根据不同的特征，在接收机端进行信号和数据处理的过程中对欺骗信号进行检测。另外，在导航结果方面，由于接收机的导航结果是虚假的，如果有其他辅助导航手段，则它们之间肯定不一致，因此也可采用其他辅助手段进行欺骗检测。

本文主要介绍导航信号加密认证和基于信号特征的欺骗检测技术的研究动态，包括扩频码加密、导航消息身份验证，以及基于信号功率、多普勒频移一致性检查、信号质量监测、信号空间处理等技术，最后对相关研究进行总结和探讨。由于这些技术都需要对卫星导航接收机进行硬件或软件方面的改进，才能有效地对导航欺骗进行检测，所以本文将其统一称为基于接收机改进的欺骗检测。

1 基于导航信号加密认证的欺骗检测研究现状及发展动态

这类技术，一种是类似于军用信号，对民用信号也进行扩频码加密，这样一方面可以使欺骗实施起来非常困难，另一方面只要密钥不被破解，也可对欺骗进行检测；另一种是在导航消息中添加验证位，只有验证码正确的才能提供服务；此外，二者也可结合，使欺骗实施更加困难。

1.1 扩频码加密

扩频码加密是采用密码技术，在卫星发射的码信号上调制一个加密的安全码（称为密钥）。卫星端和接收机端都有密钥的副本，可以用来对信号进行解调，这种技术多用于军事用途；然而，为了阻止欺骗攻击，有学者也将其应用于民用信号[3]。文献[4]提出了一种基于短周期信息隐藏的延迟对称密钥加密方法，该方法使用短序列扩频安全码修改导航信号，接收机使用已知部分来跟踪信号，对未知部分进行记录。密钥在延迟后传输，用于合成未知的扩频码，接收机将该码部分与记录的信号部分相关联，以验证信号的真实性，检测和阻止欺骗。但是，这种方法需要等待密钥，可能会有几秒到几分钟的延迟。文献[5]提出了一种利用超音速码加密民用全球卫星导航系统（global navigation satellite system，GNSS）信号的新方案，该方案将超音速码与扩频码的分组密码加密相结合，使用码移键控调制解调接收机处的加密扩频码。结果表明，采用超音速码的民用信号具有较好的抗欺骗性能和较低的认证延迟。为了检测欺骗，接收机需要密钥信息，为了不将密钥分发给民用接收机，文献[6]提出利用开放服务的民用扩频码与加密的军码之间的正交关系，民用接收机记录加密代码的噪声基带版本，已知是安全的参考接收机通过通信链路将加密代码传输给民用接收机，然后进行交叉相关。如果相关峰值很高，则声明信号是真实的；否则，将发出欺骗警报。边少峰教授[1]称其为无码相关技术，这种技术无须改变现有的信号体制，但其前提是欺骗信号只对民用信号实施攻击，并且参考接收机安全可靠。可见，这些方法，要么需要改变标准信号协议，要么需要通信网络和安全的接收机，另外还需要配套的接收机或对接收机进行修改，因此扩频码加密主要在特殊的应用场合进行应用，或者在新的服务领域进行应用，在大众领域还很难做到大规模的应用。

1.2 导航消息身份验证

在导航信息中，使用加密算法周期性地嵌入数字签名或导航验证码，接收机使用解密算法解密认证信息，验证导航信息的真实性，进而可以抵抗欺骗攻击或对欺骗进行检测，这种方式称为导航消息身份验证[7]。为了安全可靠，可对整个导航消息都进行加密，但这需要更改导航信号的接口规范，给应用带来了很大困难，很难进行实际应用[8]。文献[9]等指出，对于导航消息身份认证来说，如果只对认证的接收机提供额外的安全性收费，而不影响未经认证的接收机读取导航消息，这样比较切合实际应用。想要不影响未经认证的接收机，则加密的导航消息比例必须相对较小，一般不应超过10%。另外，对签名进行解密不应给接收机来带太大的负担。文献[8]认为，为了阻止重放攻击，接收机每5 min 左右的时间需要进行1 次身份验证，因此，数字签名不应太长，建议使用椭圆曲线签名算法，在转发式欺骗场景下，在虚警概率为0.1%的情况下，能够检测出欺骗的概率大于97%。针对日本准天顶卫星系统（quasi-zenith satellite system,QZSS）信号，文献[10]提出使用导航消息的一部分生成参考认证导航数据，采用基于H 矩阵的低密度奇偶校验（low density parity check,LDPC）编码对参考认证导航数据进一步编码，生成签名数据，然后进行广播。接收机根据参考认证导航数据的信息，从认证数据中心获取相应的H矩阵等数据进行解码，这种签名数据每6 s 至少广播1 次，缩短了响应时间。文献[11]针对北斗卫星导航（区域）系统即北斗二号（BeiDou navigation satellite (regional) system,BDS-2）导航信息的认证，提出利用椭圆曲线数字签名算法生成数字签名，并插入到BDS-2 导航信息的预留位中，通过短消息服务或数字证书设计了密钥交换过程。仿真结果表明，该方案能够在恶劣环境下实现BDS-2 导航信息的认证，增强了民用BDS-2的抗欺骗能力。

扩频码加密和导航消息身份认证都能在一定程度上抵抗或检测欺骗，也可将二者结合起来，发挥各自的优势。如文献[12]提出一种基于BDS-2卫星导航报文的反欺骗方法，该方法使用分组密码算法（SM4）来加密验证消息，用非对称加密算法（SM2）和密码杂凑算法（SM3）生成签名。同时，利用扩频调制技术将其隐藏在导航信息中。结果表明：该方案可以成功地检测到“单星欺骗攻击”，并且加密验证时间对导航系统的运行没有太大影响。

大多数导航信号加密认证都需要对导航信号结构进行一些修改，或者对接收机进行一定的改进，所以这种方法一般在特定服务或增值服务中应用，并没有在大众应用中推广。

2 基于信号特征的欺骗检测研究动态

在计算导航结果之前，接收机需要对天线接收的信号进行放大，下变频，通过自动增益控制调整信号强度，再经历数字变换，利用本地码和计算出的多普勒频移分离各个卫星信号等一系列操作[13]。欺骗信号与真实信号在某些特征上总会有所区别，在接收机对信号处理的过程中，可以基于这些不同的特征对欺骗信号进行检测，进而抑制或消除欺骗信号。

2.1 基于信号功率的欺骗检测

卫星导航信号传播到地面时，信号强度已十分微弱，如全球定位系统（global positioning system,GPS）L1的信号强度在-160～-153 dB·W 之间合理变化。为了让接收机锁定到欺骗信号上，欺骗信号的功率要略高于真实信号的功率。由于欺骗器与目标接收机之间的路径损耗较难估计，欺骗器一般都会发射相对较大的功率。如果接收机能够准确检测绝对接收功率，则可有效检测出欺骗，这种方法称为绝对功率监测[14]。文献[15]认为虽然使用绝对功率可以显著降低接收机的欺骗漏洞，但这种方法要求接收机能够在一定精度水平内测量接收信号的绝对幅度，会增加接收机的硬件复杂度。文献[16]指出由自动增益控制（automatic gain control,AGC）器提供原始接收功率，是一种可靠的欺骗检测方法。但是，除非是在AGC 控制器中检测到接收功率的变化[17]，否则AGC 也可能会改变接收功率[13]。另外，导航信号的功率变化范围较大，特别是在特殊情况下，导航系统还会对信号进行功率增强，这给绝对功率检测带来了一定的困难。因此这种技术多与其他技术一起使用[17]。

多数接收机会采用载噪比C/N0作为评价信号质量的一个重要参数。当接收机受到欺骗时，载噪比可能会发生突然的变化，因此接收机可以实时监测载噪比，寻找欺骗攻击的异常变化[18-20]。接收的信号功率与信号在空间的传播距离有关。对于真实的导航信号，由于都来自2 万多千米高空的卫星，接收的C/N0不会发生显著变化。如果欺骗信号从同一个天线发射，也可采用目标接收机天线相对欺骗发射天线移动，当二者相距较近时，比较小的相对移动都会使C/N0发生显著变化[14]。但是文献[21]认为如果一个欺骗信号被解扩，其相应的C/N0测量值将在正常的范围内，这样可有效地误导基于C/N0监控的欺骗检测技术。也就是说如果接收机能够锁定欺骗信号，此时C/N0值是正常的，否则欺骗就不会成功实施，因此他认为这种检测方法的有效性有待进一步检验。

2.2 基于多普勒频移等一致性检查的欺骗检测

接收机相对卫星运动，产生多普勒频移。可根据接收机的高度和速度估计多普勒频移的变化[22]。如果接收机遇到欺骗攻击，则多普勒频移的变化会发生异常，所以可以根据多普勒频移的历史数据对欺骗进行检测[23-24]。但是，文献[25]指出基于多普勒频移检测欺骗攻击的阈值并不容易确定，这是因为阈值不仅与接收机运动的速度有关，还与欺骗环境有关。

由于都受到接收机和卫星之间相对运动的影响，在真实信号下，多普勒频率和码延迟率是一致的。简单的欺骗器可能无法保持二者之间的一致性[14]，所以可以通过检测二者的一致性来对欺骗进行检测。文献[26]指出，即使复杂的欺骗器也需要定期对多普勒频率进行控制，这必然会留下相关的记录，可以用来检测欺骗攻击。

此外，每颗卫星的导航信息中都含有与其他卫星位置相对应的星历信息，可以检查这些星历数据之间的一致性，如果不一致则可能会存在欺骗攻击[14]。每个随机码信号的导航信息中也都包含时钟信息，从整个星座中不同卫星获得的时钟应该一致，如果提取的时钟不一致，也可检测出欺骗[27-28]。

2.3 基于信号质量监测的欺骗检测

信号质量监测（signal quality monitoring,SQM）方法利用监测相关器来识别跟踪输出相关峰包络的异常尖锐、平坦或不对称[29-30]，可检测GNSS 信号中的失真和异常，此方法已成功应用于多路径信号的监测[31-32]。欺骗信号对接收机的影响与多路径信号类似，因此，在无多径或多径比较弱的环境中，可以采用SQM的方法对欺骗攻击进行检测[33-34]。

在基于SQM的欺骗检测中，通常采用斜率（ratio）和增量（delta）指标监视信号相关峰可能的失真和异常。文献[35]深入分析了斜率测试的性能，提出了一种用于评估虚警和检测概率的数学模型，在开阔环境中，能够有效检测出导航欺骗。文献[36-37]除了采用斜率指标外，还采用了增量用于检测导航欺骗，进而提高欺骗的检测效果。斜率指标描述了相关峰的扭曲；增量指标描述了相关峰的非对称性；此外，为了进一步细化，还可采用双差指标[36]。这些指标在理论和实践上都非常简单，为了克服单一指标的不足，可以将多个指标联合使用。文献[38]提出了多个SQM 指标进行欺骗检测的方法，并根据这些指标计算了适当的检测阈值，但是，检测阈值会随欺骗环境的变化而改变。文献[39]研究了多尺度联合检测技术，将各种SQM 指标组合成一个复合指标来检测欺骗攻击。文献[40]建立了新的信号质量评估模型，该模型基于欺骗信号和真实信号的总信号能量测量，并且模型不依赖于用户接收机的移动，也不依赖于所有欺骗信号都应该来自同一个发射天线的假设，简单有效。但是，多径信号的影响会使该方法的检测性能下降。

SQM 技术是检测欺骗攻击的有力手段，特别是在视线传播环境中，可以在跟踪段识别欺骗攻击。然而，存在多径的情况下，该方法检测性能有所下降。针对多径环境下欺骗检测性能下降的问题，文献[41]等提出了一种基于多相关器的斜率检测方法，利用内曼-皮尔逊（Neyman-Pearso）准则合理确定检测门限进行解决。欺骗信号与多径的影响相似，如果不加以细分，二者很难区分。但是欺骗和多径对导航的完好性和可靠性的影响不同，所采取的对策也不同，应该区分欺骗和多径信号。虽然欺骗信号和多径对真实信号的影响相似，但是欺骗和多径对真实信号影响的早晚和快慢不同。文献[42]根据这种不同，通过比较不同的欺骗和多路径的情况，提出了一种宽间隔监控相关器的实现方法，进而区分欺骗信号和多径信号。文献[43]等提出了一种利用不同指标组合来检测欺骗信号并将其与多径信号区分开来的欺骗检测体系结构，实验结果表明，采用方差分析等预解扩欺骗检测方法对多径传播不敏感，可以与解扩后的检测方法结合，正确检测出欺骗信号。

SQM 欺骗检测一般都是在欺骗成功实施后，通过相关统计值来进行检测。但是，在欺骗的起始阶段，真实信号和欺骗信号之间是时变的，从而造成相关指标显著振荡，采用传统的SQM 方法进行欺骗检测则会带来不可接受的高虚警率。但是这些指标的振荡，使其方差在一段时间内比较大，基于此，文献[44]选择导航信息质量指标的移动方差作为新的指标来检测欺骗，并利用公开测试数据集进行了验证，结果表明所提方法获得了更高的检测率。

2.4 基于空间处理的欺骗检测

由于各种各样的限制，使用多个天线发射同步信号非常困难，导航欺骗通常都是从同一个天线发射多个欺骗信号，也就是说欺骗信号基本上来自于同一个方向，而真实信号则来自整个半球的不同方向。因此，可以使用多天线接收机或移动天线接收机，利用空间处理技术估计所有接收信号的空间特征[45]，识别相同到达方向的多个信号，进而对欺骗进行检测和缓解。

天线阵的方位角和仰角是波达方向的非线性相位延迟函数，相位延迟估计误差和波达方向估计误差之间的关系取决于信号源和接收天线之间的相对方位；因此，对于欺骗检测，比较相位延迟比比较实际波达方向更可靠[46]。文献[47]提出可以通过2 个固定天线之间的相位差对欺骗进行检测。在天线阵方位和卫星运动轨迹已知的情况下，可以计算出理论相位差，与实际测量的相位差进行比较，可以进行欺骗检测。但是，该算法需要对天线阵列方向进行校准，并且需要约1 h的时间才能识别欺骗信号，实用性较差。文献[48]在一次国际海事测量中，采用共形七元天线阵，使用在线校准方案校正信道差异，可以对包括欺骗在内的多种干扰信号的到达方向进行估计。可见，采用多天线阵，利用包含信号到达方向的载波相位差分，可以有效检测单一方向的欺骗。但是这种方法需要知道天线的姿态，特别是对于车辆、飞机等动态载体，确定天线阵的姿态更不容易。为了解决这一问题，文献[49-50]提出了一种联合欺骗检测和天线阵姿态确定的方法，在姿态确定过程中，可以检测到达方向不一致的GNSS 信号。文献[51]研究发现，在单一方向欺骗的情况下，所有信道的载波相位单差相同，采用载波相位单差可很快检测出欺骗攻击；并利用从摩纳哥到威尼斯的游艇进行了实测，结果表明仅用6 s 就可检测出欺骗攻击。

波达方向解算中的模糊度高度依赖于天线阵列的几何结构和阵元的特性。文献[52]证明了要想使导航信号到达角进行无模糊度解算，必须至少采用3 个非共线的天线。为了减少欺骗信号识别的初始时间，文献[53]提出了一种利用多个接收机获得的基线向量差范数识别欺骗信号的新方法。该方法首先同时跟踪真实和欺骗信号，并将其分为2 个信号组，然后，根据分类信号组的双差载波相位测量值生成基线向量，并计算基线向量差范数，利用基线向量差范数建立假设，进行假设检验以识别欺骗信号。实验表明，该方法在短基线条件下能有效地进行欺骗识别，具有很低的故障检测概率和快速的响应时间。除载波相位双差外，2 个接收机间的伪距双差也可有效检测欺骗。文献[54]对这一方法进行了深入研究，利用接收机间的伪距双差测量值与预期的估计值之间的差异来识别欺骗信号；但是为了估计期望的伪距双差，还需要估计系统的姿态。在真实卫星导航中，信号与导航信息之间存在一致性，基于此，文献[55]等提出了一种新的基于一致性的双天线欺骗检测方法。该方法的实质是从载波相位观测和导航信息中精确估计一对固定天线的到达频率差：无欺骗时，观测结果应与预测一致；当这种一致性被破坏时，可能会存在欺骗。由于该方法不作任何关于欺骗的假设，因此从理论上可以检测出移动的欺骗和多天线欺骗。文献[56]提出了一种基于多个接收机的欺骗检测统计检验方法，该方法在一块刚体平台上安装相对位置已知的多个接收机，通过执行观测距离测量集与卫星拓扑结构和接收星座几何结构的已知信息之间的一致性检查对欺骗进行检测。这种方法可以检测多个欺骗源，并且接收机的数量增加可使攻击更容易被发现。

利用多天线阵列，不但可以检测欺骗攻击，还可削弱或消除欺骗信号。文献[57]利用波束形成去除来自同一方向的干扰，保留来自GNSS 卫星的未失真信号，使接收机在欺骗的情况下锁定真实信号。文献[58]提出了一种在多径环境下使用天线阵列进行抗欺骗的方法，该方法利用空间处理和时域处理方法估计欺骗信道系数——信道系数含有入射信号的空间信息，根据该系数可以设置零陷使欺骗信号及多径信号无效。由于该方法在解扩前执行，因而显著降低了处理复杂度，且不需要对阵列校准[59]。这种方法不但可以对欺骗进行检测，还可以在欺骗的情况下使用卫星导航，具有重要的应用前景。但是，该方法的前提是欺骗信号来自同一个方向，所以很难应用于多天线欺骗的场景。采用多单元阵列天线同样可以对欺骗进行检测和消除[14,60]，采用这种天线可以将不同的相关器输出的相位测量值相互比较，区分从同一空间扇区接收到的相位测量值，进而检测出欺骗信号，并且不需要任何阵列校准或阵列定向信息。

采用多天线阵或多阵元天线，利用空间处理技术，不但可以有效检测出欺骗，而且还可抑制欺骗信号或消除欺骗对导航定位的影响，可以在有导航欺骗的情况下继续使用卫星导航，显示出巨大的优势。很多学者致力于此方面的研究[61-65]。但是多天线阵或多阵元天线尚有局限：一是增加了接收机的硬件复杂度，信号处理起来也比较复杂；二是多天线占用的空间比较大，很多应用很难满足空间要求；三是多阵元天线有一定的技术难度，价格比较贵，大多在军事上应用。

为了克服多天线阵或多阵元天线的应用限制，文献[66]提出了一种合成天线阵的欺骗检测方法，该方法仍采用单天线，不同的是天线在空间上移动，形成合成天线阵列结构，进而可以有效检测欺骗攻击。文献[14]进行了相关实验，在数据采集中，天线进行任意移动、圆周（半径小于1.5 m）、随机行走、恒定线速度和完全未知的运动[15]，结果表明与欺骗信号的幅度变化高度相关，真实信号则不存在这种相关性，证明了这些运动都可以有效检测出欺骗攻击。文献[67]采用移动天线，通过对导航信号幅度和多普勒相关特性的监测，区分真实信号和欺骗信号的空间特征。文献[68]等发现当接收机随机移动时，2 个真实卫星信号之间的多普勒频差在时域上是非线性的，而2 个欺骗信号之间的多普勒频差是线性的。基于此，提出了一种基于多普勒频差的方法，将欺骗检测问题转化为序列线性检测问题。仿真和实测数据表明，该技术能有效地检测到导航欺骗，并能区分欺骗信号和真实信号。采用移动天线进行欺骗检测，需要天线运动，不能在静态中应用。文献[69]提出了一种基于单旋转天线功率测量的欺骗对策，该方法使用一个低成本的转台使天线旋转，利用天线增益方向图的各向异性，采用功率测量相位差的方法来检测欺骗信号。该方法可以在静态或低动态的常规接收机中实现。检测器是欺骗检测成功的关键。文献[70]针对移动天线设计了相关的检测器，分析比较了检测器的性能，得出了位置参数估计质量的下界。

每一种检测方法都有其适用范围，一种方法不可能将所有的欺骗都检测出来，即使是一种欺骗，也不可能百分之百地检测出来；所以可将几种方法联合起来使用，以提高检测的成功率和适应性。文献[71]提出了一种基于导航信号多个统计的欺骗检测方案，该方案根据多普勒频移、C/N0估计，以及位置速度时间、星历、伪距率信息的一致性来检测是否存在欺骗信号。文献[72]研究了如何将多个检测融合在一起的问题，提出了一种基于信任函数的欺骗检测融合方法，并利用公共测试数据集进行了测试，结果表明检测融合减少了检测的误报，提高了检测结果的可靠性。文献[73]提出了一种由欺骗检测、真实/欺骗信号分类和欺骗消除组成的移动接收机欺骗检测、分类和消除体系结构，从捕获层、跟踪层和定位层等对欺骗信号进行检测和消除，进而获取并跟踪真实信号，获得可靠的导航结果。但是，采用新的体系结构设计一款接收机需要相关的专业知识和技能，技术难度较大，所需成本也比较大。

3 展望

导航信息安全逐渐成为人们关注的热点。卫星导航安全性不行，不仅一切等于零，甚至会成为敌方利用的工具，最后变成伤害自己的利器。对于卫星导航的应用，应首先进行欺骗检测，这样才能安全可靠地使用卫星导航信息。总的来说，基于接收机改进的欺骗检测技术应对以下几点加以关注：

1）注重信号捕获前欺骗信号识别方法的研究。在接收机进行信号捕获前，如果能够将卫星导航欺骗信号识别出来，则可研究相应的方法将欺骗信号剔除掉，使接收机直接捕获卫星导航真实信号。这样，即使存在导航欺骗，也能使用卫星导航信息。

2）应深入研究多种欺骗检测技术的联合方法。随着欺骗技术的发展，欺骗检测越来越难，再优秀的欺骗检测技术也很难将所有的欺骗情况都检测出来。而且，最困难的是不知道敌方使用哪种欺骗技术，什么时间欺骗。为了更好地对欺骗进行检测，可在不同阶段将几种欺骗检测方法联合。目前，联合方法研究得还较少，应深入研究多种欺骗检测技术的联合方法，将不同的检测方法深入融合，提高欺骗检测的成功率。

3）应建立标准的数据测试集。改进接收机或接收天线需要比较深的专业知识，很多导航欺骗检测的研究者无法对接收机的内部结构或者算法进行改进。而导航欺骗发展得越来越迅速，这就需要很多从事卫星导航应用的学者从应用的角度研究导航欺骗检测，所以应该建立一套标准的数据测试集，供广大学者研究欺骗检测技术。

4 结束语

欺骗检测是卫星导航防欺骗需要首先解决的问题，快速有效地检测导航欺骗具有很大的挑战性。本文主要介绍了基于接收机改进的导航欺骗检测技术的发展动态，探讨了扩频码加密、导航消息身份验证，以及基于信号功率、多普勒频移一致性检查、信号质量监测、信号空间处理等检测技术的不足，最后对该技术进行了展望。

相对于导航信号加密认证技术，基于信号特征的欺骗检测不需要更改信号协议和基础设施，只须对接收机或接收天线进行改进。并且，很多方法在检测欺骗的同时，还可以有效消除欺骗信号，使接收机能够获得可靠、正确的导航结果，提供正常的服务，具有非常大的优势，促使很多学者和机构展开研究，相关成果非常丰富。但是：第一，改进接收机或接收天线需要比较深的专业知识，而且现有的商业接收机并不允许客户更改，所以这种技术对现有的数以百万计的商业接收机不太适用；第二，利用接收机检测导航欺骗，相当于自己检测自己，且为了更好地检测欺骗信号，必然会丧失其他方面的性能，如快速性、动态性等等。所以，对于现有的商业接收机，需要采用其他方法进行欺骗检测。