Дрон DJI под защитным щитом от GPS-спуфинга

Как защитить дрон от GPS-спуфинга и вовремя обнаружить подмену координат

Джамминг — глушение спутниковой навигации, и спуфинг — подмена координат, незаметно вошли в жизнь многих пилотов дронов.
История началась с аварии нашего дрона DJI Mavic 3 Enterprise во время маршрутного полёта. Сначала дрон просто перестал лететь по маршруту и поплыл по ветру. Вероятно, случилась ошибка компаса или пропала спутниковая навигация. Нужно было возвращать аппарат вручную. Вскоре спутники снова появились. Но вместо того чтобы остановиться, дрон внезапно на полном ходу полетел в сторону, быстро снижаясь.
В результате — жёсткая посадка на поле, сломан один луч, моторы забиты грязью. К счастью, подвес и камера уцелели.
Что же стало причиной аварии?
В норме, если нет команд от пилота, дрон удерживает позицию с помощью GPS. Если его сносит, он, двигаясь против ветра, пытается вернуться в эту точку. Только в нашем случае сместился не сам аппарат, двигались ложные координаты. Автопилот воспринял это как реальный снос от точки, которую он должен удерживать, и пытался его компенсировать.
От появления первых признаков проблемы, до момента, когда ложные координаты начали управлять дроном, прошло около минуты. Причём в момент аварии значок спутников оставался белым, а количество спутников даже выше обычного.
После анализа логов стало понятно, что дрон стал жертвой спуфинга.

Механика GPS-спуфинга: ложные координаты заставляют дрон лететь в противоположную сторону

При GPS-спуфинге автопилот воспринимает движение ложных координат как снос и направляет дрон в противоположную сторону.

Почему одного лишь наличия спутников недостаточно

Большинство операторов дронов привыкли думать о GPS как о чём-то надёжном: включил дрон, дождался спутников, увидел точку взлёта на карте — значит, навигация работает, дрон в случае чего вернётся сам и бояться нечего.
В обычных условиях это действительно так. Но современная практика показывает: получение координат ещё не означает, что эти координаты достоверны.
Проблема GPS-аномалий — это уже не только про большую авиацию, военных или специалистов радиоэлектронной борьбы. Она напрямую касается операторов БПЛА, аэросъёмки, картографии, инспекций, агросектора, охраны объектов и любых задач, где дрон управляется на основе спутниковой навигации.
GNSS — это общее название спутниковых навигационных систем: GPS, Galileo, GLONASS, BeiDou и других. Однако владельцы дронов обычно называют всю спутниковую навигацию словом GPS, поэтому в этой статье будут использоваться оба термина.
Все эти системы работают с очень слабыми радиосигналами, приходящими со спутников. Именно поэтому они чувствительны к радиопомехам, подавлению и подмене.
Главная проблема заключается в том, что наличие спутников, координат и точки дрона на карте само по себе ещё не означает, что навигации можно доверять.

Jamming и spoofing — в чём разница

Сегодня операторы дронов сталкиваются с двумя основными типами воздействия на спутниковую навигацию: глушением — jamming — и подменой навигационных сигналов — spoofing.

Что такое GPS-jamming

Jamming — это подавление спутникового сигнала. Приёмник не может нормально принять сигналы со спутников, потому что в их диапазоне появляется более сильная радиопомеха.
Для оператора это обычно выглядит достаточно понятно:

  • уменьшается количество спутников;
  • ухудшается точность определения положения;
  • координаты становятся нестабильными или пропадают;
  • дрон перестаёт удерживать точку;
  • аппарат начинает плыть по ветру;
  • отключаются автоматические функции;
  • появляется сообщение о проблемах со спутниковой навигацией.

Другими словами, при джамминге дрон полностью или частично теряет возможность нормально определять своё местоположение.
Это опасная ситуация, но она обычно понятна пилоту: GPS больше не работает, полагаться на Return to Home и автоматические функции нельзя, аппарат нужно возвращать или сажать вручную.

Что такое GPS-spoofing

Spoofing — более опасная и коварная ситуация.
Приёмник не просто теряет спутниковый сигнал, а начинает принимать ложные навигационные сигналы, имитирующие настоящие.
В результате система может уверенно показывать отметку дрона на карте, высоту, скорость и достаточное количество спутников, но эти данные уже не соответствуют действительности.
Иными словами, при джамминге навигация перестаёт нормально работать, а при спуфинге она может выглядеть исправной, но создаваемая ею картина становится ложной.
Именно это делает спуфинг особенно опасным для беспилотных систем. Дрон может считать, что находится в другой точке, внезапно начать улетать, резко снижаться, неправильно определять направление возврата домой, неверно выполнять автоматическую миссию или реагировать на ограничения, которых в реальном месте полёта вообще нет.

Почему дрон DJI сам улетает при спуфинге

На первый взгляд поведение дрона при спуфинге кажется нелогичным: пилот не даёт команд, а аппарат внезапно разгоняется и куда-то летит. Но для автопилота такое поведение вполне объяснимо.
Представим, что дрон физически висит на одном месте, а его ложные координаты начинают двигаться на восток. Навигационная система воспринимает это так, будто сам аппарат сносит в эту сторону, и пытается вернуть его обратно. В результате реальный дрон начинает лететь на запад, компенсируя движение, которого на самом деле нет. Причём приоритет навигационной системы может быть выше команд управления от пилота, и вернуть или хотя бы удержать дрон не удаётся.
Если появляется большая ложная навигационная высота, дрон может начать интенсивно снижаться. Именно такую картину мы наблюдали во время нашей аварии: после возвращения спутников аппарат резко начал одновременно разгоняться и терять высоту.
Ложные координаты могут влиять и на другие функции дронов DJI. Если они переносят аппарат в зону запрещённую для полётов (NFZ), дрон может начать аварийную посадку.
При сильном расхождении навигационных данных с показаниями других датчиков возможны и другие странности в поведении системы. Одним из таких признаков становится сильный наклон подвеса камеры, хотя сам дрон при этом стоит ровно.
Главное здесь понимать одно: дрон может активно улетать не потому, что кто-то «перехватил управление», а потому, что честно пытается держать позицию по ложным координатам.

Можно ли перехватить управление дроном?

Я часто слышу этот вопрос. Современные дроны DJI используют защищённый и зашифрованный канал управления OcuSync. Достоверных случаев прямого перехвата управления через OcuSync до сих пор не зафиксировано.
То, что принимают за «перехват управления», чаще всего вызвано проблемами с навигацией. При её потере дрон перестаёт удерживать позицию и просто пассивно плывёт по ветру. Он адекватно реагирует на управление и не меняет высоту. При спуфинге поведение становится гораздо агрессивнее: аппарат может внезапно разогнаться и полететь в сторону, начать снижаться и не реагировать на команды пилота.
Но им никто не управляет со стороны напрямую — автопилот пытается компенсировать движение по ложным координатам.

Как обычно развивается спуфинг

Одна из самых распространённых ошибок — оценивать состояние GPS только по количеству спутников. Много спутников и белый значок в программе — значит всё хорошо. Мало спутников и красный значок — плохо. В обычных условиях это может работать как грубая оценка, но при спуфинге такой подход становится опасным.
Во всех зафиксированных нами случаях подмена координат никогда не происходила мгновенно, а постепенно развивалась. Сначала нормальная спутниковая навигация становилась нестабильной: уменьшалось количество спутников, ухудшалось позиционирование, снижался уровень сигналов (желтый а потом красный значок). Через некоторое время приёмник снова начинал показывать достаточное и л даже большее чем в начале количество спутников и хороший уровень сигнала. Но координаты, вычисленные по этим сигналам, уже были ложными.
Нередко это были не просто координаты со смещением от реального места. Отметка дрона могла быстро двигаться по карте, перенесясь на большое расстояние, показывать высоту более 1000 метров или вообще определять положение за пределами страны.

Схема развития GNSS-спуфинга дрона: от первых помех до ложных координат и ухода дрона

Как развивается GNSS-спуфинг: первые признаки появляются ещё до ложных координат — в этот момент дрон ещё можно безопасно вернуть или посадить.

Вся последовательность от появления первых признаков проблем с навигацией до формирования устойчивых ложных координат как правило занимает около минуты или немного больше. Именно в этот спасительный промежуток времени можно спасти дрон.
Если же включить дрон уже во время действующего спуфинга, он может сразу получить неправильное местоположение. При этом приёмник будет показывать обычное или даже большее количество спутников. Поэтому само наличие и количество спутников само по себе не подтверждает, что навигации можно доверять.

Как распознать спуфинг до взлёта

Если дрон ещё находится на земле, в первую очередь нужно посмотреть, соответствует ли его положение на карте реальному месту старта.
Точка дрона не должна двигаться по карте, пока аппарат неподвижен. Координаты не должны внезапно переносить его на большое расстояние, в другую область или страну.
Также стоит обратить внимание на навигационную высоту. Пока дрон стоит на земле, она не должна изменяться на сотни или тысячи метров.
Особенно подозрительна ситуация, когда перед этим спутники пропадали или их количество заметно уменьшалось, а затем они неожиданно появились снова.
Если координаты явно не соответствуют действительности, взлетать нельзя, даже если приложение показывает достаточное количество спутников и нормальное состояние GPS.

Как распознать проблемы с GPS во время полёта

Наиболее характерные признаки GNSS-аномалий:

  • внезапное уменьшение или увеличение количество спутников;
  • дрон перестаёт удерживать позицию и начинает плыть по ветру;
  • позиция дрона резко переносится на большое расстояние;
  • навигационная высота резко возрастает;
  • спутники сначала пропадают, а затем снова появляются;
  • дрон неожиданно активно разгоняется без команды пилота;
  • начинается интенсивное снижение;
  • стабилизатор камеры сильно наклоняется по крену;
  • появляется сообщение, что дрон находится в зоне, запрещённой для полётов.

На карте в приложении DJI Fly видно, как спуфинг «перемещает» стоящий на земле дрон.

При потере спутниковой навигации дрон обычно просто плывёт по ветру, не меняя высоты. У оператора есть время, и он понимает, что пора переходить к ручному управлению. При спуфинге и уже принятых ложных координатах дрон может очень быстро и активно улетать.

Что делать при потере GPS или спуфинге

Когда дрон перестал удерживать позицию и начал плыть по ветру, нужно исходить из того, что спутниковая навигация больше неработает. Не следует рассчитывать на Return to Home или автоматические функции.
Если после проблем с GPS спутники снова появились, это ещё не означает, что опасность закончилась. Именно после восстановления спутников как раз и могут появиться ложные координаты.
В том случае, когда дрон начинает самостоятельно разгоняться, интенсивно снижаться или его положение на карте явно не соответствует действительности, аппарат необходимо посадить как можно быстрее.

Можно ли защитить DJI от GPS-спуфинга

Профессиональные средства защиты от спуфинга существуют, но большинство из них не рассчитано на обычные гражданские дроны DJI. На практике доступны три способа защиты:

  1. программно управлять работой навигационной системы, при необходимости отключая ее, и переводя дрон в режим ATTI;
  2. полностью отключить прием спутниковых сигналов и их подменных аналогов;
  3. заранее обнаружить признаки надвигающегося спуфинга и успеть посадить аппарат до того, как ложные координаты начнут управлять его поведением.

Программная модификация дрона. Режим ATTI

Самый простой способ — перевести дрон в режим ATTI, то есть отключить удержание горизонтальной позиции по GPS. О том как это сделать можно почитать в наших статьях: 1 и 2
Этот способ не требует физического вмешательства в конструкцию дрона и может включаться или выключаться дистанционно с помощью пульта. Если ложные координаты движутся, переход в ATTI позволяет пилоту управлять дроном вручную, не давая автопилоту постоянно компенсировать несуществующее смещение. Однако у этого способа есть ограничения. Если ложные координаты попадают в запрещённую для полётов зону DJI, аппарат может начать принудительную посадку. Если ложная высота превышает допустимое значение (500 метров), дрон может принудительно снижаться вплоть до земли.
Кроме того, если при включённом режиме ATTI произойдёт управления, защитный алгоритм DJI может вернуть аппарат в навигационный режим прямо под действие спуфинга. Поэтому режим ATTI хоть и является важным инструментом, но не даёт полной защиты во всех возможных сценариях.

Военные прошивки

Существуют специальные программные модификации, иногда называемые военными прошивками, которые позволяют более гибко управлять использованием спутниковой навигации и ограничений DJI. Такие решения могут работать надёжно и позволяют при необходимости включать или отключать навигацию. Однако они доступны только для ограниченного модельного ряда, преимущественно старших моделей Mavic и Matrice, и требуют доступа к закрытым технологиям. Для большинства гражданских операторов и владельцев любительских моделей этот вариант недоступен.

Бортовой GPS-джаммер и антиспуфер

Встречается и промежуточное решение, при котором на борту дрона устанавливают миниатюрный маломощный GPS-джаммер или так называемый антиспуфер. Принцип его работы в том, чтобы подавить приём спутниковых сигналов непосредственно на борту дрона и тем самым не позволить навигационной системе получать ложные координаты.
Однако у такого способа есть принципиальные недостатки. Во-первых, дрон полностью лишается спутниковой навигации. Во-вторых, преднамеренное создание радиопомех в диапазонах GNSS может воздействовать не только на приёмник конкретного дрона, но и на другие навигационные устройства поблизости. Применение такого устройства полностью незаконно. Поэтому для гражданского применения такой способ нельзя считать подходящим решением.

Физическое отключение GPS-приёмника

Более надёжный хотя и более сложный способ — физически отключить или удалить GNSS-приёмник.
Это полностью исключает влияние GPS-спуфинга на навигацию дрона, поскольку аппарат больше не принимает ни настоящие, ни ложные спутниковые сигналы.
Но вместе с этим перестают работать:

  • удержание позиции;
  • Return to Home;
  • автоматические маршруты;
  • часть защитных функций;
  • геопривязка фотографий.

Фактически дрон становится радиоуправляемой моделью без большинства автоматических функций.

GNSS-детектор для предупреждения спуфинга

Мы разработали детектор GNSS-аномалий. Он независимо следит за спутниковой навигацией и предупреждает оператора о первых признаках джамминга и спуфинга ещё до того, как ложные координаты начнут влиять на дрон.
Благодаря прибору у пилота есть около минуты от начала предупреждений до момента, когда ложные навигационные сигналы начнут уводить дрон.

Компактный автономный прибор проверяет навигационную обстановку перед взлётом и продолжает контролировать её во время полёта.
Он не подключается к дрону, не вмешивается в управление и не создаёт радиопомех. При обнаружении подозрительных изменений прибор подаёт понятные звуковые сигналы, последовательно обозначающие четыре уровня тревоги — от первых признаков аномалии до подтверждённого спуфинга.

Главное — успеть заметить проблему до того, как ложные координаты начнут управлять дроном.

Именно для этого мы и разработали отдельный GNSS-детектор, который предупреждает оператора о характерных изменениях спутниковой навигации на ранней стадии.

О том, как устроен прибор, что именно он контролирует и как показал себя на практике, расскажем в отдельной статье.