卫星测控安全
AI 摘要：卫星测控安全是指为保障航天器遥控指令、遥测数据和跟踪信号的完整性、机密性与可用性而采取的技术、操作和规则措施的总和，其核心目标是防止未授权方接入测控链路、伪造或篡改指令、窃取敏感数据。CCSDS空间数据链路安全协议（SDLS）是测控链路层安全的主流标准，提供认证与认证加密两种安全服务，作用于传输帧的数据字段而保持帧头明文以确保与SLE服务兼容。国际电联《无线电规则》第22.1款要求空间电台必须装备可通过遥控立即停止发射的装置，这是测控安全在规则层面的底线要求。射频基因认证、星地协同抗干扰等新技术正在扩展测控安全的防护维度。
一句话定义
卫星测控安全是指为保护航天器与地面测控站之间遥控指令、遥测数据和跟踪信号免受未授权接入、伪造、篡改、窃取或干扰而采取的技术措施、操作规程和频率规则的总和。
概念边界：测控安全不等于加密
卫星测控安全与测控加密的区别是覆盖范围不同。加密是测控安全的一种技术手段，解决的是数据机密性问题——确保被截获的信号无法被未授权方读懂。测控安全还涵盖认证（确认指令来源真实）、完整性（确认数据未被篡改）、抗重放（防止合法指令被录制后重复发送）和抗干扰（确保链路在电磁干扰下仍可工作）等多个维度。加密只保护“内容不被读懂”，安全则要回答“谁发的”“发的是什么”“有没有被改过”“是不是旧指令重放”等一系列问题。
卫星测控安全与卫星平台安全的区别是保护对象不同。平台安全关注的是航天器本身的物理安全、轨道安全和载荷安全；测控安全关注的是指令链路和数据链路的可信性。两者有交集——一个被欺骗的测控链路可以直接导致平台失控——但测控安全聚焦于“通信信道”的防护，而非平台自身的防护措施。
需要澄清的一个常见误解是：CCSDS协议自带安全。CCSDS的遥测、遥控和高级在轨系统链路协议定义的是数据格式和传输规则，本身不强制提供任何安全服务。安全能力需要通过独立的CCSDS 355.0空间数据链路安全协议（SDLS）叠加在链路协议之上来实现。
威胁模型：测控链路面临什么风险
航天测控链路对安全性要求极高，若被截获欺骗，易导致卫星被接管等灾难性后果-5。测控安全威胁可分为四类：
欺骗式干扰。 攻击方生成与合法测控信号同频点、同带宽、同体制的上行信号，试图将伪造的遥控指令上注至卫星，实现卫星接管。在地基接入场景中，干扰方还可生成欺骗信号使卫星转发回地面站，通过欺骗测距测速数据伪装正常卫星状态，使地面站失去对卫星真实位置的掌握-5。传统信号特性分析方法对压制式干扰识别能力较高，但对欺骗式干扰应对能力不足，难以区分欺骗干扰信号和合法测控信号-5。
重放攻击。 攻击方记录合法的遥控指令帧，在后续时刻重新发送。如果接收端没有防重放机制，旧指令会被当作新指令执行。CCSDS SDLS协议通过序列计数器实现抗重放保护，接收端维护滑动窗口位掩码，落在窗口外的帧被拒绝-1-13。
窃取与破译。 测控信号长期暴露于空间环境，攻击方可截获、观测、分析信号以提取敏感信息或分析通信模式。遥测帧中可能包含卫星工作状态、轨道参数等敏感数据，遥控帧的格式和编码方式一旦被破译，可能被用于构造欺骗信号-5。
压制式干扰。 通过大功率噪声或干扰信号覆盖测控频段，使地面站无法接收卫星遥测或卫星无法接收遥控指令。S频段测控链路由于波束宽、覆盖面积大，更容易受到同频段其他系统的干扰-4。压制式干扰不追求欺骗，而是通过阻断链路实现拒绝服务。
技术防线：从链路层到物理层
CCSDS空间数据链路安全协议（SDLS）
SDLS是CCSDS为保护空间数据链路制定的推荐标准，当前版本为CCSDS 355.0-B-2，发布于2022年8月-12。该协议在CCSDS数据链路子层内运行，与遥控、遥测和高级在轨系统链路协议兼容，为传输帧提供结构化的认证和/或加密方法。
SDLS的核心设计原则是只保护数据字段，保持帧头明文。安全协议数据单元由安全头、安全数据字段和可选的安全尾组成-7。传输帧的帧头和帧尾保持未加密状态，目的是确保空间链路扩展（SLE）服务能够继续识别和处理帧结构信息。如果帧头被加密，地面站的SLE处理设备将无法进行路由等操作。SDLS的安全功能应位于航天器和任务控制中心两端，对SLE服务处理保持透明-1。
SDLS提供两种安全服务：
| 安全服务 | 保护内容 | 对应威胁 |
|---|---|---|
| 认证 | 确认数据来源真实性，附加消息认证码（MAC） | 冒充、欺骗 |
| 认证加密 | 在认证基础上对数据字段加密 | 窃取、篡改、重放 |
认证服务的核心是消息认证码（MAC）。MAC通过对输入数据应用加密算法和密钥生成，附加在认证数据之后作为协议开销。为防重放，输入数据与序列计数器联合认证，接收端检查计数器的新鲜度-1。SDLS被设计为算法无关的——不绑定特定加密算法，以便在发现现有算法弱点时无需重新定义协议即可更换算法-1。
SDLS在实际部署中面临一些边界约束。遥控帧操作程序（COP-1）的控制指令以B型帧传输，不经过SDLS保护；帧主头中的帧序列计数字段由COP-1设置，也无法被认证。OCF服务中的通信链路控制字同样无法保护，攻击者可能利用虚假的COP控制指令干扰通信会话。但这一残余风险被评估为可接受，因为合法操作方始终可以重新初始化COP，拒绝服务只是暂时的-16。在AOS和USLP中，插入区在帧构造完成后才附加，没有机会保护；仅携带空闲数据的虚拟信道也不受保护-16。
星地协同抗干扰
压制式干扰和部分欺骗式干扰可以通过频率或模式切换来规避。一种星地协同测控链路自动切换的抗干扰实现方法利用干扰感知设备实时对地面站接收的卫星信号进行频谱分析，检测干扰信号并判定其对正常测控信号的影响级别-4。当干扰影响正常接收时，地面站中心系统同时向地面站和卫星发送频点切换或模式切换指令，地面站和卫星协同完成参数重配置并重新建立测控链路。这种星地耦合、自动化切换的方式解决了传统方案中“只能在基带解调时才发现干扰”的时效性问题-4。
射频基因认证
射频基因认证是一种基于物理层特征的设备身份识别技术。无线设备发射机的生产工艺差异导致即使同型号、同批次的设备，其基本组成构件也存在微小差异，这些差异在射频信号中表现为独特的“指纹”-5。射频基因作为物理层特征，可通过硬件的唯一性实现“设备即证书”的不可伪造认证。融合深度学习技术，可提升航天测控系统对非法设备的识别和安全认证接入能力。针对天基和地基测控信号安全认证接入场景，孪生网络学习与小样本迁移学习等方案被用于提升认证能力-5。
规则底线：国际电联第22.1款
国际电联《无线电规则》第22.1款规定：“空间电台应装备装置，以确保在这些规则的规定要求时，通过遥控立即停止其无线电发射。”-3-14这一条款适用于所有无线电业务中的所有空间电台，是测控安全在条约层面的底线要求-14。
第22.1款的意义在于：无论测控链路遭遇何种形式的安全事件——欺骗、接管、干扰——合法操作方必须保留一条可靠的“关机通道”。这条通道本身也需要受到保护，因为如果攻击方能够伪造关机指令，卫星的安全将受到威胁。SDLS协议的设计中，遥控链路的模式切换（如从安全模式切换到明文模式或降级安全模式）只能通过安全指令授权，星上自动切换到明文模式的行为可以配置为禁止或仅限应急场景-7。
常见问题 FAQ
卫星测控信号被截获了会怎样？
取决于截获的内容和攻击方的能力。如果截获的是遥测信号，攻击方可能获取卫星的工作状态、轨道参数和载荷运行信息，这些信息可能被用于分析卫星行为模式或为后续攻击做准备。如果截获的是遥控信号并成功破译其格式和编码方式，攻击方可能尝试伪造遥控指令上注至卫星。但仅有格式知识不足以实现接管——还需要突破认证机制。如果遥控链路采用了SDLS认证，攻击方无法在不知道密钥的情况下生成有效的MAC，伪造的指令帧会被星上安全处理器拒绝。因此，测控安全的实际防线在于认证机制的有效性和密钥管理的严密性。
CCSDS SDLS能保护所有测控数据吗？
不能完全保护。SDLS的设计存在明确的边界。帧头和帧尾保持明文，不提供机密性保护——这意味着攻击方虽然无法读懂数据字段的内容，但可以观察帧的头部信息（如航天器标识、虚拟信道标识）和通信流量模式。遥控帧操作程序的控制指令、帧序列计数、通信链路控制字和空闲帧都不受SDLS保护-16。这些未保护的部分可以被攻击方用于流量分析或有限的干扰操作。SDLS的保护范围限于传输帧的数据字段，是链路层安全的一个实用折中方案，而非端到端的全面安全。
如果攻击方伪造了合法的测控信号怎么办？
这正是欺骗式干扰的核心挑战。攻击方生成的欺骗信号在频率、带宽和调制体制上与合法信号一致，传统基于信号特性的分析方法难以区分-5。SDLS的认证机制可以防御这种攻击，前提是攻击方无法获取密钥。认证服务通过MAC验证数据来源，没有正确密钥的攻击方无法生成有效的MAC。但如果攻击方已经通过其他途径获取了密钥（如密钥管理漏洞、侧信道攻击），认证机制就失去了防护能力。射频基因认证提供了一条补充路径：它不依赖密钥，而是通过发射机的硬件指纹来验证设备身份，使得即使攻击方知道密钥，如果其发射机硬件指纹与合法设备不同，仍然可以被识别和拒绝-5。
测控安全只是军事卫星才需要关心吗？
不是。任何在轨运行的卫星都面临测控安全风险。商业遥感卫星的载荷数据可能具有商业敏感性；导航卫星的测控链路被欺骗可能导致服务中断或提供错误定位信息；科学卫星的指令被篡改可能导致载荷损坏或任务失败。即使不考虑恶意攻击，同频段其他系统的无意干扰也可能导致测控链路失效——S频段测控链路受到移动通信频率占用干扰的案例已经出现-4。测控安全的最低要求——国际电联第22.1款的“遥控关机能力”——适用于所有空间电台-14，不区分民用或军用。