【军事机密】外太空网络安全红队渗透研究（二）太空环境+低地球轨道

辐射

无论是在地球大气层的上层还是完全在大气层之外，辐射都是比任何地球系统面临的更重要的考虑因素和挑战。太空中有各种类型和来源的辐射，我当然不会在本书中全部介绍，因为它们与网络安全专业人员不是特别相关。另一方面，支持 SV 运行的电气系统会受到更大量辐射这一事实确实会影响其运行。计算机在最基本的层面上以 1 和 0 进行通信，而这些 1 和 0 就是电的开关。很容易看出，高剂量的辐射能量如何妨碍或破坏依靠精细拨动开/关开关而运行的电气系统。

SV 受到两种辐射，其严重程度和影响程度也各不相同。SV 吸收辐射的方式更容易规划和理解，这仅仅是由于太阳和其他遥远恒星以恒定速率发射的辐射，称为总电离剂量 (TID)。在日常和早期，这种影响可以忽略不计；然而，长期暴露于这种辐射会导致电子计算操作的功能和准确性下降。另一种辐射暴露来自重大事件，例如质子通量，一次暴露对 SV 的威胁可能比整个操作窗口期间累积的辐射持续时间更大。这些类型的事件可能是恒星活动，例如太阳耀斑，甚至可能以伽马射线爆发的形式起源于太阳系外，以及其他可能立即损坏 SV 组件的现象。

地球上的电子系统在很大程度上被大气层和地球电磁场屏蔽，免受此类事件和太阳辐射的影响。在太空中，可以实施屏蔽，而且经常实施屏蔽，以帮助防止辐射对任务完成造成不可接受的风险。这将取决于 SV 的类型以及其任务的目的和重要性。小型卫星的设计人员，如果计划的运行窗口只有一年，可能会认为这种屏蔽所占用的重量和空间不值得保护其免受累积辐射的影响。由于SV 的运行时间不会太长，因此如果不简单地接受风险，这可能会浪费其他资源。在这种情况下，SV 可能会孤注一掷，因为单一事件会击中未屏蔽的系统并损坏它。其他具有多年或数十年较长运行窗口的系统可能会选择屏蔽部分或全部组件免受辐射。这在人类生命也处于危险之中的系统上尤其如此，例如商业太空飞行、政府太空计划和空间站等复杂系统。

温度

尽管不规则或单一事件不太可能影响航天器的操作，但太空中的极端温度和波动会对电子计算系统产生影响。对于辐射，有些方面在很大程度上是可以预测的，例如暴露在太阳辐射下以及能量如何随着时间的推移在机载组件中积累。应对温度的方式与应对辐射的方式类似，航天器必须按照某些标准建造才能在太空中正常生存，但也可以使用绝缘涂层和材料来延长航天器的寿命，以应对长期暴露在太空中极热和极冷的波动和极热中。

在应对航天器可能暴露在温度测量中的更远端时，与辐射缓解也存在类似的权衡。随着这些类型的解决方案的应用，航天器组件的重量和体积将趋于增加，并且可能没有足够的成本效益来延长航天器的生命周期，因此不值得应用。许多任务将找到可接受的温度暴露风险线并努力实现这一目标。这主要考虑的是地球周围的轨道系统，在这些系统中，我们拥有良好、可靠且定期的温度变化数据，可以做出明智的风险接受决策。当考虑根本不在常规轨道或轨道上运行的航天器时，这变得更加困难，因为航天器的温度数据可能不太为人所知，对航天器来说更危险。

太空物体与碰撞

我们的星球周围有很多垃圾。每次人类发射卫星或岩石，或将任何东西放在离地球足够高的地方时，我们都有可能会把它们留在那里几年、几十年甚至更长时间。此外，还有几个高度和轨道平面适合不同类型的 SV 运行，这些 SV 具有不同的任务。因此，我们星球周围太空中的这些位置特别拥挤。别误会我的意思，太空很大，真的很大，即使在我们星球的轨道附近也是如此。这并不意味着碰撞不会发生；随着太空变得越来越广泛，碰撞确实会发生，而且发生的可能性会增加。

外太空中的东西主要有两种：一种是我们放置在那里的东西，一种是自然产生的。在我们近期的太空操作中，对航天器来说，更大的危险来自碎片和垃圾，以及驻留在地球周围太空的其他运行航天器。与我们已经讨论过的其他太空挑战一样，太空物体为风险接受和/或避免提供了另一个机会。如果太空物体之间可能发生碰撞，操作这些物体的人可以接受风险或避免风险。在接受风险时，操作员希望物体在彼此附近经过时实际接触的几率足够低，以至于不需要主动处理。

一名航天器操作员可能将距离另一物体一英里以内的距离视为距离物体足够近，从而发生碰撞。这仍然是一个相当大的差距，在某些情况下，决定可能是将航天器操纵到略微不同的轨道以避开另一个物体。在某些情况下，如果航天器没有自己的位置或姿态调整能力，可能根本没有选择，只有观察的能力。这给我们带来了一个有趣的观点。如果一艘航天器无法机动，并且可能与另一艘可以机动的航天器发生碰撞，那么机动航天器是否会向未机动的航天器收取费用，因为其在机动上浪费了部分推进能力或任务窗口？如果其中一人无法机动，这似乎很荒谬，但如果两人都可以机动，并且一个操作员决定接受风险而另一个操作员决定避免风险呢？如果两艘航天器归不同的公司或国家所有，该怎么办？目前尚无完善的法律原则规定船舶运营商在这种情况下应如何行事，以及责任和费用等应由谁承担或分摊。

从逻辑和决策角度来看，避开自然产生的太空物体虽然没那么复杂，但实施起来可能要困难得多。想象一下这样的场景：一颗彗星经过地球，距离地球足够近，以至于它经过了一个流行的轨道计划。它在经过地球时留下了冰和碎片的痕迹，现在数百或数千颗 SV 可能需要尝试避让动作。随着我们越来越频繁地考虑离开相对知名和友好的地球轨道范围的任务，也有必要考虑自然产生的太空物体。

真空

与地球上的大气压不同，太空是真空的。这意味着，在地球上制造的物品或原本打算在陆地上使用的物品在进入外太空后可能会出现问题。对于进入太空的材料以及任何密封物品来说，排气都是一个问题。元件内滞留的气泡或元件密封部分内的气体必须经受住这些气体试图向真空环境周围较低压力移动的自然过程。这可能适用于聚合物、容器，甚至焊接等紧固件，必须像其他环境限制一样考虑、设计和测试这些因素。这种针对真空和极端温度的测试是在所谓的热真空室 (TVAC) 中进行的。图2-1是 NASA 拍摄的其中一个真空室的照片。

重力

各种形状和大小的太空作业面临的最早挑战是重力。你必须让你的航天器远离地球，以正确的方向和速度飞行，以经济的方式停留在太空领域，而不会在大气层中燃烧殆尽或坠毁在地球上。早期太空计划的斗争是摆脱重力的牵引，甚至最初实现太空飞行并最终绕地球运行。现在，绕地球运行的航天器更关心的是保持正确的速度和轨迹，以便继续绕地球坠落而不是撞向地球。

在现代太空行动中，我们现在已经处于一个关键时刻，这又是一个权衡，而不是直接的挑战。如果航天器需要绕地球运行以完成任务，那么它绕地球运行的可接受权衡是什么？因为它将以更高的速度坠落/飞行，需要更多的能量或推进力来维持轨道而不落入地球。另一方面，通过绕更高的轨道运行但消耗更少的资源并延长运行寿命，略微降低任务性能可能是可以接受的。

就像太空温度的挑战一样，对地球周围引力效应的理解已经非常成熟，在航天器发射和运行期间应对重力问题方面，有大量飞行经验可供风险决策依据。但随着我们远离地球，情况就不一样了。弄清楚重力对长期登月任务的影响要比了解重力如何影响地球卫星的轨道复杂得多。随着我们远离地球并执行越来越复杂的地外或星际任务，重力问题的复杂性只会增加。

测试

需要进行大量测试来验证航天器在外层空间的生存和运行能力。许多测试都是为了检查完整的航天器或其各个组件是否能经受住我们之前讨论过的环境挑战。起初，可能很难接受将航天器测试作为太空飞行的验证，这对操作来说没有多大意义，但事实确实如此。太空飞行器价格昂贵，即使是小型卫星（通常称为SmallSats）也是如此或立方体卫星；一条面包大小的计划可能耗资数百万美元。零部件昂贵，测试昂贵，发射也昂贵。

在将卫星发射到太空之前，您需要确保它能够承受太空环境，并且在发射后也能正常工作。您有几种选择。您可以制造昂贵的 SV 复制品，并对其进行环境测试，以查看您的作战单元是否有可能存活。另一方面，您可以直接使用作战 SV，而不是制造副本，然后对作战部件进行测试。除了完整或集成的 SV 之外，还可以测试单个组件，以了解其存活能力。这种测试可以涵盖 SV 在太空中将面临的许多不同方面。您需要测试它承受极端温度和波动的能力。您需要在类似于它在外太空运行的真空环境中对其进行测试，您可能希望测试它如何处理辐射暴露，并且您肯定会希望测试它在发射过程中遇到的振动是否会影响其部署和运行。

为了完成这项测试，您要么花费大量金钱、时间和资源组装仅用于测试的 SV 物品，要么冒险使用操作物品，并且它们可能会在测试期间损坏，以至于您错过指定的外太空之旅或不得不完全放弃该计划。毫无疑问，可以对 SV 进行此类测试的地方也不便宜，也不常见，因此安排和支付此类测试的费用也是对太空系统操作的整体成功具有重大影响的决定。

发射

无论太空系统是由商业实体、学术机构还是政府机构运营，他们都必须竞争并优先考虑将他们的 SV 搭载到运载火箭上，以真正将其 SV 送入太空。太空计划在选择将使用的运载火箭时需要考虑多个因素。运载火箭必须在适合太空系统计划运行的时间段内可用。如果您太早搭乘，您可能会因为项目问题而错过它；如果太晚，您的 SV 到达太空并投入运行时，其任务可能不再有意义。

除了围绕发射的项目管理决策之外，还有其他问题对太空系统构成挑战。我们介绍了发射过程中的振动如何损坏或影响 SV。不同 SV 的不同类型的火箭会使其货物受到不同程度的震动和振动。加固 SV 以承受任何可用或必要的运载火箭的振动，以实现在太空中的适当定位是一种选择。SV 在发射过程中的生存能力部分是通过使用振动表来评估 SV 承受的重力和压力大小。图2-2显示了 NASA 拍摄的欧洲航天局 (ESA)照片在大型振动台上进行服务模块振动测试。

另一方面，任何重量或外形尺寸的增加都会成倍增加发射成本。将 SV 送入太空并不便宜，对于一个面包大小的 SV 来说，需要花费数十万美元，而更大的 SV 的成本会成倍增加，并且可用的运载火箭和发射窗口更少。图2-3是 NASA 拍摄的 Psyche 太空船搭载 SpaceX Falcon Heavy 火箭发射的照片，展示了该事件的激烈程度。

射频

除了SV 的辐射之外，还有信号污染的概念，这种污染在太空中可能影响不大，但对于试图通过地球上的所有信号噪声与 SV 通信的地面站来说，这可能是一个严重的问题。选择正确的波频率来进行 SV 和地面站之间的无线电通信是一项重要的设计决策。频率会影响天线的类型、可能的信号方向性，以及该信号频率的可靠性和可用带宽。

不幸的是，频率不仅是选择适合 SV 和地面站使用的正确通信信号类型的挑战，而且频率还必须是可用且合法的。与空间操作的其他方面（例如防撞机动）不同，频率使用是空间系统功能的一个强制方面。事实上，空间系统必须申请和注册他们想要使用的频率，并且它不能与已在使用并已注册或留作特定紧急情况或军事用途的其他信号频率冲突。与发射窗口类似，这是一个第三方控制的约束，另一个组织正在确定您说您需要的频率是否适合您使用。这意味着必须尽早确定频率，并且必须在设计和开发进行得太远之前完成并成功注册。从好的方面来看，信号频率的注册意味着在尝试在地面站和 SV 之间进行通话时，应该有更少的噪声需要与之竞争。您不会想尝试通过与手机相同的频率进行通信，因为存在的噪声水平会非常高，并且可能会使与地面站的成功通信变得不可能。

脱离轨道

太空垃圾和残骸是一个日益严重的问题，而且随着太空作业的便利性，这些问题只会成倍增加。为了解决这个问题，根据你的航天器相对于地球的运行位置，有一些特定的脱轨要求。无论是通过轨道定位、位置调整还是推进储备，你都必须能够证明，即使在你的航天器运行窗口结束后，航天器也会在预定的时间跨度内在地球大气层中燃烧殆尽。这样做是为了整理地球上常见的轨道位置和平面。

虽然不是每艘航天器都需要满足这种要求，但我认为，为了解决太空垃圾问题，越来越多的太空系统将面临这种要求。因此，它必须加入到太空系统运行的挑战中，因为必须证明携带机载推进器进行脱轨或保持扭矩杆的电力产生、存储和利用，以进入远远超出航天器运行窗口的脱轨轨迹。这意味着可能会给本已复杂的操作增加重量、组件或其他限制属性。

环境挑战

由于飞行距离地球较近，低地球轨道航天器比远距离轨道或非轨道航天器更容易受到地球大气的影响。此外，大气影响和与地球的距离改变了其他环境挑战对航天器的影响方式。

运营挑战

低地球轨道卫星面临的一般环境挑战主要受距离地球较近的影响。一般运行挑战在一定程度上受此影响，但也受 SmallSat SV 体积小、运行寿命长的影响。

通讯

我们尚未详细介绍的低地球轨道 (LEO) 的一个方面是它如何影响通信窗口。由于 SV 距离地球非常近，它必须以极高的速度飞行才能继续绕地球坠落而不是撞向地球。这意味着它将非常快速地绕地球运行。这取决于 SV 在低地球轨道 (LEO) 范围内运行的高度，但每 90 分钟绕地球运行一次是一个很好的时间范围示例。如果 SV 在 90 分钟内绕地球一圈，那么它相对于地面站越过地平线然后飞过对面地平线所需的时间就是几分钟。

这也取决于飞行器飞过地面站时，是直接飞过地面站上方，还是飞过地平线附近。同样重要的是要明白，由于轨道在地球表面移动，而 SV 又离地面站很近，因此许多环绕地球的轨道根本不在地面站的视野范围内。尽管 SV 每天可以绕地球 18 圈，但其中可能只有一圈会在地面站和 SV 之间形成可行的通信窗口。

还有一个额外的好处，由于 SV 距离地球很近，它不需要消耗太多能量来将通信信号发送到地面。虽然这很有帮助，但 SmallSats 的体积小意味着它们的天线更小，发送信号的可用功率也更小。再加上通信窗口可能在几分钟内就结束，SV 实际可实现的通信量受到严重限制。这对飞行 SV 的总线部分来说不是什么问题，但对有效载荷及其任务的影响更大。

如果我们回到图像的例子，假设 SV 在无法与地面站通信时拍摄了 10 张照片。如果操作员尝试使用新的、更详细的分辨率，则生成的图像实际上可能太大，无法在一次通过地面站时下载。在这种情况下，希望在前期进行工程设计，以考虑到需要下载大量文件并在多次通过过程中在地面上重新组装它们。

如果我们只能尝试一次性获取完整图像，否则就会失败，那么我们可能永远无法看到有效载荷数据。此外，此时我将不考虑 SV 上的硬盘管理。希望已经制定了协议，以应对当有效载荷硬盘装满图像时发生的情况，因为无法卸载它们。除了这种数据移动和带宽问题（通信窗口短）之外，还涉及到能否重新分配卫星任务的问题，如果总线或有效载荷要实现不同的飞行或任务要求。

有效载荷和飞行任务以及飞行和有效载荷数据下载都必须按一定顺序进行，以便在短通信窗口内航天器仍能正常工作。这还没有涉及到网络安全问题，比如修补或其他可能需要的软件更改。想象一下，你必须权衡修补一个关键漏洞的决定，因为这需要成功通过 20 次并要求 SV 重新启动。在图3-3中，靠近地球的路径上的卫星在天空中停留的时间更短，地面站可以从地面看到该卫星，这也称为视场。离行星和地面站越近，它在地面站天线的视场内停留的时间就越短。

地面足迹

通信问题主要源于地面站能否看到低地球轨道上的卫星，此外，载荷和通信问题也与卫星能够看到地球多少区域有关。如果您携带相机载荷，其任务是拍摄地球上的相关地点，那么这些任务窗口的可用性取决于卫星能够看到地球多少区域。如果距离真的很近，那么卫星就没有太多选择，无法旋转或转动卫星的相机以面对地球的重要部分，因为这些部分根本不在卫星的视野范围内。

当卫星速度和地球地平线加剧通信问题时，相机等设备的任务窗口可能也会受到阻碍。低地球轨道小型卫星的相机有效载荷实际上可能只能每隔几次飞行才能对地球上的目标区域进行拍照。这个次数可能是每隔几次飞行或更多次，在卫星执行任务和从地面站卸载数据时必须考虑到这一点。由于每天的通信和任务窗口都很短且时间各不相同，因此需要进行大量的规划才能成功完成任务。

使用太空系统需要创建任务，发送给 SV，执行任务，然后 SV 在稍后的传递过程中将任务数据传回地面站。如果这些活动之间有十次传递，那么在 SV 拍摄任务图像并传回太空系统操作员之前可能会有显著的延迟。

持久性

太空作业中有一个持久性的概念。真正的持久性意味着始终执行任务和始终执行任务的能力，而这对于低地球轨道航天器来说基本上是不现实的。想象一下你需要多少个地面站和卫星可能是极其不现实的。真正的持久性不是一个可行的选择，但确定什么程度的持久性对于太空系统任务的成功是必要的，将推动系统的开发和设计要求。每天执行一次任务并拍摄地球上特定点的照片，所需的航天器和地面站要比每 30 分钟拍摄一次少得多。持久性的另一个因素是任务目标。能够拍摄地球上的同一点是一回事；能够拍摄地球上某个区域的任何地方的照片，面积越大就越难。

低地球轨道网格空间系统

网状系统非常不言自明；为了实现最佳情况和有效的持久性，不仅需要在系统内拥有多个卫星和多个地面站，而且这些卫星还必须能够相互通信，地面站也必须能够通信。如果有足够的卫星和地面站联网，只要在任务执行时有一颗卫星位于任何地面站上方，就可以更轻松地从任何地方命令任何卫星拍摄图像。如果有足够的卫星来闭合地球周围的环路，则可以通过网格将该任务传达给最有可能位于需要拍摄照片的区域上方的下一颗卫星。

创建网格时面临许多技术问题。卫星之间如何通信？它们如何在网格中路由流量？我不会深入讨论如何解决这些问题或尝试解决这些问题，但它们本身对太空系统运行提出了巨大挑战。卫星和地面站越多，任务执行和任务分配就越持久，但太空系统也会变得更加昂贵，甚至可能完全失去在低地球轨道运行的 SmallSat 系统的成本效益。我们将在下一章讨论其他类型的 SV 时深入探讨这些问题。

网格的挑战

网格的真正问题在于无法实现足够的持久性或将飞行器送入太空。真正的挑战在于了解网格的实际工作方式以及有效载荷和飞行任务的复杂程度。让我们举一个相对简单的虚构例子，假设有 50 颗卫星和 5 个地面站，我估计地球上方至少每 30 分钟需要拍摄一次照片，并且每 15 分钟至少可以与其中 1 颗卫星通信一次。这将是相当出色的持久性。

当您拥有多个优先级不同的用户时，挑战就来了，他们都试图让这些 SV 拍摄关注区域的照片。如何在网格中路由这些任务并确定优先级本身就是一个很大的逻辑问题。此外，在任何特定时刻，一些 SV 可能正在通过太阳能电池板给电池充电，无法拍照。可能存在这样的情况：由于其轨道位置，特定 SV 接收了大部分任务，使其能够拍摄出最佳照片。为了分散任务负载或更快地获得照片，从其他 SV 之一拍摄角度更差或分辨率更差的照片可能会被接受。如果由于资源原因可以使用稍微不太理想的卫星，我如何优先将任务转移到它们？这些都是任何希望利用网格类型操作的空间系统都需要解决的棘手操作问题。

我真正想关注的是，网格系统带来的挑战是，它们使网络安全风险决策变得异常困难。首先，你必须弄清楚如何以令人满意的方式完成我刚刚介绍的所有其他事情。然后，我们必须弄清楚，比如说，将一个大补丁通过网格传递给每架 SV，并在运行过程中安装和重新启动每架 SV 的影响。现在，围绕网格系统的任务分配和飞行的复杂性，我必须知道补丁将如何在网格中布线。

我还需要知道SV 在执行任务时安装和重新启动所需的时间，并尝试在任务区域周围没有各种卫星且不太可能忙碌的位置进行安装和重新启动。需要计算出网格与其作为网格的总体运行窗口相比受到的影响程度，以便做出适当的风险决策，即是接受网络安全问题的风险还是通过补丁之类的方式解决这些问题。计算出网格空间系统的成本和收益是一项相当艰巨的任务，但随着 LEO 空间系统以及其他系统的复杂性不断发展，这项任务可能是必要的。

异常

对成功建立低地球轨道空间系统有多么困难还不满意吗？别担心；低地球轨道上的航天器还有最后一件事需要担心。南大西洋异常是一种电磁干扰，覆盖南美洲和大西洋部分地区的大片区域，如果低地球轨道上的航天器在通电或没有有效屏蔽的情况下经过该异常，它将严重损坏和/或降低其组件和运行质量。目前尚未科学证实这种异常的原因，但它的存在以及它对穿过其覆盖范围的物体的影响以及它们受到的影响是由于辐射和电磁造成的。它的大致位置如图3-4所示，任何成功的低地球轨道空间系统都必须避免其航天器受到它的影响。