Źródło: MaHa (LinkedIn)

Nie ma żadnej „awarii satelitów”. Jest walka elektroniczna – i mamy na to telemetrię

Za każdym razem, gdy odbiornik GNSS na mostku kapitańskim w Zatoce Gdańskiej gubi fix, albo gdy załoga w kokpicie nad Suwalszczyzną dostaje ostrzeżenie o utracie integralności pozycji, pojawia się ten sam odruch wyjaśniający: „coś z satelitami”, „zjawiska jonosferyczne”, „zakłócenia atmosferyczne”. To wygodne wytłumaczenie, ponieważ nie wymaga od nikogo żadnej decyzji. Jest też – w świetle danych zebranych nad Bałtykiem w latach 2024–2026 – po prostu nieprawdziwe.

Konstelacje GNSS działają. Segment kosmiczny jest zdrowy. Efemerydy są nadawane, zegary atomowe chodzą, a dokładność orbitalna mieści się w specyfikacji. Problem nie leży 20 200 km nad naszymi głowami. Leży w promieniu kilkuset kilometrów od polskiej granicy, na powierzchni ziemi i na pokładach jednostek pływających – i ma postać celowej, zorganizowanej, technicznie dojrzałej emisji o parametrach dobranych tak, by przejąć kontrolę nad warstwą fizyczną odbiornika.

To rozróżnienie nie jest akademickie. Awaria to zdarzenie losowe, na które reaguje się procedurą. Atak to działanie adwersarza, na które odpowiada się architekturą. Dopóki branża lotnicza, morska i operatorzy infrastruktury krytycznej będą klasyfikować degradację GNSS jako pierwsze, będą wdrażać rozwiązania nieadekwatne do drugiego.

Poniżej – anatomia tego, co faktycznie dzieje się w widmie L nad północną Polską i Bałtykiem, oparta na wynikach pomiarowych, a nie na spekulacji.

Geografia emisji: skąd to przychodzi

Rozkład przestrzenny zjawiska jest zaskakująco dobrze zdefiniowany i konsekwentny w czasie.

Głównym epicentrum jest Obwód Królewiecki. W szczególności rejon Pionierska, gdzie zlokalizowana jest infrastruktura walki elektronicznej, w tym system klasy „Tobol” – kompleks zaprojektowany do oddziaływania na łącza satelitarne, w tym na pasma nawigacji satelitarnej. To nie jest platforma taktyczna krótkiego zasięgu. To stacjonarna instalacja o dużej mocy wypromieniowanej i wysoko zawieszonych antenach, co ma bezpośrednie przełożenie na zasięg.

Do tego dochodzi drugi, znacznie trudniejszy komponent: mobilne platformy morskie operujące w odległości około 40–60 km od granic Polski. Emiter na jednostce pływającej ma trzy właściwości, które czynią go operacyjnie kłopotliwym:

• Zmienna geometria – kierunek nadejścia sygnału (DoA) zmienia się w czasie, co utrudnia zarówno namierzanie, jak i statyczne filtrowanie przestrzenne.
• Bliskość geograficzna – 40–60 km od brzegu oznacza, że dla odbiornika na wysokości mostka źródło znajduje się praktycznie na horyzoncie radiowym, czyli pod kątem elewacji bliskim zeru.
• Brak trwałego śladu – emisja może być włączana i wyłączana w cyklach, co komplikuje korelację zgłoszeń.

Zasięg oddziaływania sięga do 450 km. To liczba, którą warto sobie odłożyć w pamięci, bo definiuje ona całą geometrię problemu. Promień 450 km od Obwodu Królewieckiego obejmuje północną Polskę, całość krajów bałtyckich i wchodzi w rejon Zatoki Fińskiej. Nie mówimy o lokalnym artefakcie w promieniu kilku kilometrów od lotniska. Mówimy o obszarze porównywalnym z powierzchnią kilku państw jednocześnie.

Dlaczego akurat 450 km? Ponieważ przeciwnik nie musi pokonywać wielkiego budżetu energetycznego. Musi jedynie pokonać sygnał, który jest z natury ekstremalnie słaby.

CZĘŚĆ I: ANATOMIA ATAKU

Najgorzej mają drony…

Dwa różne ataki na to samo ogniwo — odbiornik GNSS. Pierwszy zabiera sygnał, drugi zabiera prawdę.

Sygnał GPS dociera na Ziemię z mocą ok. −128 dBm — słabszą niż własny szum termiczny odbiornika. Nadajnik 1 W z 1 km jest w tym paśmie ok. milion razy silniejszy.

	Zagłuszanie (Jamming)	Podszywanie (Spoofing)
Pozycja w czasie	Wskazania zaczynają skakać, po chwili odbiornik gubi rozwiązanie (brak fixa).	Rozjazd narasta powoli — dron przez cały czas ma „pewny” fix, mimo że trasa rzeczywista i pozycja raportowana się rozchodzą.
Mechanizm	Nadajnik zalewa pasmo L1 silnym sygnałem — najczęściej przemiatanym „świergotem”. Satelity giną w szumie.	Nadajnik nadaje poprawne, lecz fałszywe sygnały: synchronizuje się z prawdziwymi, potem powoli odciąga odbiornik.
Co widzi autopilot	Brak fixa. C/N₀ spada na wszystkich satelitach naraz. Autopilot wie, że stracił pozycję.	Fix 3D · OK. Nominalne C/N₀, komplet satelitów, zero alarmów. Fałszowany jest też czas.
Skutek w locie	Tryb ATTI: dron trzyma orientację, ale nie pozycję — dryfuje z wiatrem. RTH nie pomoże, bo sam potrzebuje fixa.	Dron „koryguje” kurs tam, gdzie chce atakujący. Częstszy wariant: wmówiona strefa zakazana i lądowanie z geofence.
Wykrycie i obrona	Łatwe do wykrycia, trudne do zlokalizowania: skacze AGC i poziom szumu. Obrona — anteny CRPA, INS na czas przerwy.	Trudne do wykrycia — sygnał wygląda poprawnie. Obrona — Galileo OSNMA, zgodność z IMU i wizją, wiele anten.

Punkt wyjścia: dlaczego GNSS jest tak łatwy do zdławienia

Cała podatność GNSS sprowadza się do jednej liczby: moc sygnału docierającego do anteny odbiornika na powierzchni Ziemi wynosi około −158 do −160 dBW. To poziom poniżej szumu termicznego środowiska. Odbiornik GNSS „widzi” sygnał wyłącznie dzięki zyskowi przetwarzania korelacyjnego (processing gain) uzyskiwanemu przez despreading sekwencji rozpraszającej – w przypadku GPS L1 C/A jest to kod złotego ciągu o długości 1023 chipów przy szybkości 1,023 Mchip/s.

To oznacza, że:

• Sygnał użyteczny jest zakopany w szumie i wydobywany metodą korelacyjną.
• Zysk przetwarzania jest skończony – dla L1 C/A rzędu 43 dB. Przekroczenie tej rezerwy dowolnym sygnałem zakłócającym w paśmie oznacza koniec akwizycji.
• Odbiornik nie ma żadnego wbudowanego mechanizmu uwierzytelniania sygnału cywilnego GPS L1 C/A. Kod jest publiczny, struktura depeszy jest publiczna, format jest udokumentowany. Nie ma podpisu kryptograficznego, który odbiornik mógłby zweryfikować.

Ta druga właściwość odpowiada za jamming. Ta trzecia – za spoofing. To dwa zupełnie różne wektory ataku i wymagają dwóch zupełnie różnych odpowiedzi.

Wektor 1: Jamming – podnoszenie podłogi szumowej

Mechanika chirp jammerów

Najprostszy i najczęściej obserwowany typ emitera to jammer typu chirp (świergotowy). Zasada działania jest banalna i właśnie dlatego skuteczna: generator VCO (oscylator strojony napięciem) przemiata częstotliwość liniowo lub piłokształtnie przez pasmo obejmujące L1 (1575,42 MHz), zazwyczaj w zakresie kilkunastu MHz, z okresem przemiatania rzędu mikrosekund do dziesiątek mikrosekund.

Co się dzieje w odbiorniku:

• Front-end odbiornika ma określony filtr wejściowy i wzmacniacz LNA. Sygnał chirp, przemiatając przez pasmo, przechodzi przez filtr i trafia na wejście wzmacniacza.
• AGC (Automatic Gain Control) – układ automatycznej regulacji wzmocnienia – reaguje na wzrost mocy całkowitej i redukuje wzmocnienie. To pierwszy i najbardziej diagnostyczny objaw: zmiana poziomu AGC bez zmiany warunków propagacyjnych jest jednoznacznym telemetrycznym markerem obecności emisji zakłócającej.
• Redukcja wzmocnienia oznacza, że sygnał użyteczny – już i tak poniżej szumu – zostaje dodatkowo obniżony względem progu detekcji korelatora.
• Wskaźnik C/N₀ (stosunek mocy nośnej do gęstości widmowej szumu) spada. Typowy zdrowy odbiornik raportuje C/N₀ w przedziale 40–50 dB-Hz. Przy skutecznym jammingu wartości spadają poniżej 30 dB-Hz, a następnie poniżej progu podtrzymania pętli.
• Utrata śledzenia – pętla PLL (Phase Lock Loop) traci fazę nośnej, pętla DLL (Delay Lock Loop) traci synchronizację kodu. Odbiornik przechodzi w tryb akwizycji, w którym nie może odzyskać sygnału, bo warunek akwizycji jest bardziej wymagający niż warunek podtrzymania.

Kluczowa obserwacja inżynierska: jamming nie „psuje” pozycji – jamming ją usuwa. Odbiornik przestaje raportować rozwiązanie nawigacyjne, albo raportuje je z flagą braku integralności. Z punktu widzenia bezpieczeństwa operacyjnego jest to zdarzenie głośne, wykrywalne i uczciwe. Załoga wie, że nie ma pozycji.

Selektywność pasmowa: to nie jest przypadkowe

W klasycznym scenariuszu prostego jammingu emisja obejmuje jedno pasmo – najczęściej L1, jako najbardziej rozpowszechnione. Dane z ostatnich kampanii pomiarowych pokazują jednak zupełnie inny obraz, o czym za chwilę.

Wektor 2: Spoofing synchroniczny – przejęcie pętli śledzenia

To jest ta część, która powinna spędzać sen z powiek dyrektorom ds. bezpieczeństwa.

Spoofing nie usuwa pozycji. Spoofing dostarcza pozycję fałszywą, przy zachowaniu wszystkich zewnętrznych oznak poprawnego działania odbiornika. Nie ma alarmu. Nie ma flagi. Nie ma spadku C/N₀ – wręcz przeciwnie, C/N₀ może wyglądać wzorowo, bo sygnał fałszywy jest silniejszy i czystszy niż prawdziwy. Odbiornik raportuje pozycję z pełnym zaufaniem. Pozycja jest błędna.

Model synchroniczny: przebieg ataku krok po kroku

Potwierdzony pomiarowo model ataku obserwowany w regionie ma charakter synchroniczny – i to jest cecha odróżniająca go od amatorskiego spoofingu. Przebieg:

Krok 1 – Replikacja parametrów. Urządzenie atakujące odbiera prawdziwy sygnał GNSS i generuje sygnał o parametrach identycznych z prawdziwym: ta sama sekwencja PRN, ta sama faza kodu, ta sama faza nośnej, ta sama depesza nawigacyjna, ta sama zgodność czasowa. Z punktu widzenia korelatora w odbiorniku ofiary sygnał fałszywy jest w tym momencie nieodróżnialny od prawdziwego – nakłada się na niego w dziedzinie kodu i fazy.

To jest technicznie wymagający etap. Wymaga precyzyjnej znajomości pozycji i czasu, oraz sprzętu zdolnego do generowania sygnału z dokładnością fazową na poziomie ułamków chipa. To nie jest urządzenie z portalu aukcyjnego.

Krok 2 – Delikatne przewyższenie mocy. Atakujący stopniowo zwiększa moc swojego sygnału. Nie o 30 dB – to wywołałoby reakcję AGC i alarm w każdym rozsądnym systemie monitoringu. Podniesienie o kilka decybeli wystarczy, by w procesie korelacji dominującym wkładem stał się sygnał fałszywy.

W tym momencie następuje kluczowe zdarzenie: pętla śledzenia odbiornika „zatrzaskuje się” (locks on) na sygnale fałszywym. Korelator, który wcześniej podążał za szczytem funkcji korelacji sygnału prawdziwego, teraz podąża za szczytem sygnału atakującego – bo ten jest wyższy, a oba szczyty pokrywały się w czasie przejęcia.

Odbiornik nie ma jak tego zauważyć. Nie było skoku pozycji. Nie było utraty śledzenia. Nie było reinicjalizacji. Ciągłość rozwiązania nawigacyjnego została zachowana.

Krok 3 – Przesuwanie fazy kodu. Teraz atakujący ma kontrolę i zaczyna powoli przesuwać fazę kodu swojego sygnału. Ponieważ pseudoodległość jest wyliczana bezpośrednio z opóźnienia kodu, przesunięcie fazy kodu przekłada się liniowo na zmianę pseudoodległości do danego satelity.

Manipulując fazą kodu niezależnie dla poszczególnych PRN, atakujący może kształtować rozwiązanie nawigacyjne – przesuwać pozycję w dowolnym kierunku, z dowolną, kontrolowaną prędkością.

I tu jest sedno: dryf jest wolny. Wystarczająco wolny, by mieścił się w dynamice, jakiej odbiornik się spodziewa. Filtr Kalmana w odbiorniku nie widzi anomalii – widzi ruch. Wektor prędkości pozostaje spójny. Ciągłość pozycji jest zachowana. Nie ma skoku, który mógłby wyzwolić kontrolę spójności typu RAIM.

Krok 4 – Rozbieżność. Po kilku, kilkunastu lub kilkudziesięciu minutach pozycja raportowana przez odbiornik może być oddalona od pozycji rzeczywistej o setki metrów, kilometry, a przy dłuższym oddziaływaniu – znacznie więcej. A odbiornik przez cały ten czas raportuje poprawny fix, dobre C/N₀ i akceptowalne DOP.

Dlaczego RAIM tego nie łapie

RAIM (Receiver Autonomous Integrity Monitoring) opiera się na nadmiarowości pomiarów: przy więcej niż czterech satelitach można sprawdzić wzajemną spójność pseudoodległości i wykryć obserwację odstającą. To działa doskonale przeciwko awarii pojedynczego satelity.

Spoofing synchroniczny generuje jednak spójny zestaw sfałszowanych pseudoodległości dla wszystkich śledzonych PRN jednocześnie. Residua są małe. Test spójności przechodzi. RAIM raportuje integralność jako zachowaną – bo z jego perspektywy geometria jest wewnętrznie zgodna. Jest zgodna. Jest tylko całkowicie fałszywa.

To jest fundamentalne ograniczenie: mechanizm zaprojektowany do wykrywania awarii nie wykryje ataku, który awarii nie przypomina.

CZĘŚĆ II: TWARDE DOWODY – KAMPANIA POMIAROWA 2025

Do tego momentu opisywałem mechanikę. Teraz – co faktycznie zarejestrowano.

Badania przeprowadzone przez GPSPatron we współpracy z Uniwersytetem Morskim w Gdyni w 2025 roku dostarczyły danych, które zmieniają obraz zagrożenia w sposób jakościowy, nie ilościowy.

Kluczowy wniosek: przejście od jammingu do ataku wielokanałowego

Wcześniejszy obraz sytuacji – ten, który wciąż funkcjonuje w większości analiz ryzyka i procedur operacyjnych – zakładał proste zagłuszanie szerokopasmowe. Emiter podnosi podłogę szumową, odbiorniki tracą fix, sytuacja jest nieprzyjemna, ale przejrzysta: nie masz pozycji i o tym wiesz.

Kampania pomiarowa wykazała drastyczne przejście do zaawansowanych ataków łączonych. W trakcie pomiarów zarejestrowano symultaniczne działanie czterech odrębnych systemów:

• Spoofing L1 GPS – fałszowanie sygnału w paśmie L1, czyli w tym samym paśmie, na którym opiera się przytłaczająca większość odbiorników cywilnych: lotniczych, morskich, drogowych i synchronizacyjnych.
• Jamming pasma dolnego – zagłuszanie w dolnym segmencie widma GNSS.
• Jamming pasma górnego – zagłuszanie w górnym segmencie widma GNSS.
• Powyższe wymierzone w Galileo, BeiDou i GLONASS – czyli w dokładnie te konstelacje, które w standardowych analizach ryzyka figurują jako rozwiązanie zapasowe.

Co to znaczy w praktyce inżynierskiej

To ustalenie ma konsekwencje, których nie da się przecenić, i chcę je wyłożyć wprost:

Po pierwsze – multi-konstelacja przestała być zabezpieczeniem.

Standardowa rekomendacja przez ostatnią dekadę brzmiała: używaj odbiornika wielosystemowego. Jeśli GPS zawiedzie, masz Galileo. Jeśli Galileo zawiedzie, masz GLONASS lub BeiDou. Zarejestrowany profil ataku eliminuje tę warstwę obrony w całości, ponieważ pozostałe konstelacje są zagłuszane równolegle, w obu pasmach.

Odbiornik wielosystemowy w takim środowisku nie ma dokąd uciec.

Po drugie – architektura ataku jest asymetryczna i celowa.

Zwróćmy uwagę na strukturę: L1 GPS jest fałszowany, pozostałe konstelacje są zagłuszane. To nie jest przypadkowa kombinacja. To projekt.

Jeśli chcesz, by ofiara przyjęła fałszywą pozycję, musisz zrobić dwie rzeczy jednocześnie:

• dostarczyć jej wiarygodny sygnał fałszywy w kanale, któremu ufa (L1 GPS),
• odciąć jej wszystkie alternatywne źródła weryfikacji (Galileo, BeiDou, GLONASS).

Gdyby Galileo pozostało dostępne, rozbieżność między rozwiązaniem GPS a rozwiązaniem Galileo byłaby natychmiast widoczna dla każdego odbiornika porównującego oba. Zagłuszenie pozostałych konstelacji usuwa tę możliwość kontroli krzyżowej.

To jest sygnatura przemyślanej inżynierii ataku, nie improwizacji. Ktoś zaprojektował ten profil z pełnym zrozumieniem architektury obronnej po stronie odbiorników cywilnych.

Po trzecie – pasmo dolne i górne to atak na całą szerokość widma GNSS.

Objęcie zagłuszaniem obu segmentów pasma oznacza, że odbiorniki dwuczęstotliwościowe – dotąd traktowane jako klasa premium pod względem odporności – również tracą redundancję częstotliwościową.

Skutki operacyjne: lotnictwo

Rejestrowanym, powtarzalnym skutkiem jest masowe wymuszanie na lotnictwie cywilnym przejścia na tradycyjną nawigację naziemną.

Przykładem dokumentowanym operacyjnie są loty Falcon 900LX nad Estonią, w trakcie których degradacja GNSS wymusiła rezygnację z nawigacji satelitarnej na rzecz procedur konwencjonalnych.

Z perspektywy inżynieryjnej warto rozłożyć to na czynniki:

• Utrata GNSS to nie tylko utrata pozycji poziomej. To utrata podstawy dla procedur RNP/RNAV, dla podejść LPV, oraz – co bywa pomijane – dla systemów zależnych od GNSS jako źródła czasu.
• Przejście na DME/DME i VOR przywraca zdolność nawigacyjną, ale przy niższej dokładności, gorszej dostępności geometrycznej i większym obciążeniu załogi.
• IRS (Inertial Reference System) utrzymuje rozwiązanie nawigacyjne w trybie autonomicznym, ale z narastającym błędem – dryf systemu inercyjnego klasy lotniczej to typowo rząd 1–2 NM na godzinę. To akceptowalne przez ograniczony czas i wymaga okresowej aktualizacji z zewnętrznego źródła.
• Obciążenie proceduralne załogi rośnie skokowo w fazie lotu, w której zapas uwagi jest najmniejszy.

Kluczowa różnica względem spoofingu: w scenariuszu jammingu załoga wie, że straciła GNSS, i uruchamia procedurę. W scenariuszu spoofingu synchronicznego – nie wie. To jest jakościowo inna klasa ryzyka.

Skutki operacyjne: żegluga

W środowisku morskim konsekwencje są strukturalnie poważniejsze, ponieważ GNSS nie jest tam jednym z systemów – jest źródłem prawdy dla całego łańcucha nawigacyjnego na mostku.

Zarejestrowane skutki obejmują fałszowanie systemów AIS i ECDIS.

Rozłóżmy to:

AIS (Automatic Identification System) transmituje pozycję jednostki uzyskaną z odbiornika GNSS. Jeżeli odbiornik jest spoofowany, jednostka rozgłasza fałszywą pozycję do wszystkich statków w zasięgu i do służb brzegowych (VTS). Nie jest to zatem błąd lokalny – jest to zanieczyszczenie wspólnego obrazu sytuacyjnej taktycznej.

Konsekwencja: statek A widzi na swoim wyświetlaczu AIS statek B w miejscu, w którym statku B nie ma. Manewr antykolizyjny zostaje zaplanowany na podstawie fałszywych danych.

ECDIS (Electronic Chart Display and Information System) nakłada pozycję GNSS na mapę elektroniczną. Fałszywa pozycja oznacza statek narysowany na torze wodnym, na którym w rzeczywistości się nie znajduje. Wszystkie funkcje bezpieczeństwa ECDIS – alarmy izobat, strefy bezpieczeństwa, kontrola odchylenia od trasy – działają wówczas względem błędnej pozycji i nie zadziałają, gdy powinny.

Ryzyko kolizji przy podejściach do portów w Gdańsku i Gdyni jest bezpośrednią konsekwencją tego łańcucha. Podejście portowe to środowisko o najmniejszych marginesach: wąskie tory wodne, wysokie natężenie ruchu, duże jednostki o ograniczonej zwrotności, obszary ograniczonej głębokości. Błąd pozycji rzędu setek metrów – czyli w pełni osiągalny przy spoofingu synchronicznym prowadzonym przez kilkanaście minut – jest w tym środowisku różnicą między torem wodnym a mielizną.

Dodatkowo: mobilne platformy morskie operujące 40–60 km od granic Polski znajdują się w geometrii bezpośrednio nakierowanej na te właśnie akweny podejściowe.

CZĘŚĆ III: CO Z TYM ZROBIĆ

Przejdźmy do warstwy, która ma znaczenie decyzyjne. Poniższe środki nie są ułożone alfabetycznie – są ułożone według stosunku efektu do kosztu wdrożenia.

1. Lotnictwo: przywrócenie i utrzymanie naziemnych łańcuchów nawigacyjnych

Najskuteczniejszy środek zaradczy w lotnictwie nie jest nowy – jest odzyskany.

Konkretnie:

• Utrzymanie i weryfikacja pokrycia DME/DME. Rozwiązanie pozycji z dwóch lub więcej stacji DME jest całkowicie niezależne od GNSS i odporne na wszystko, co opisano powyżej, ponieważ operuje w innym paśmie, z innej geometrii i z naziemnej infrastruktury pod kontrolą państwa. Wymaga to jednak audytu rzeczywistego pokrycia DME/DME w rejonach dotkniętych degradacją – nie deklarowanego, lecz zweryfikowanego lotniczo.
• Utrzymanie sieci VOR jako warstwy rezerwowej. Trend wygaszania VOR-ów jako „przestarzałych” wymaga rewizji w świetle danych o zasięgu 450 km. System o niższej dokładności, który działa, jest operacyjnie lepszy od systemu o wyższej dokładności, który jest fałszowany.
• IRS jako kręgosłup krótkoterminowej autonomii. System inercyjny nie jest podatny na żadną formę emisji zewnętrznej – nie odbiera niczego. Jego ograniczeniem jest dryf. Odpowiedzią jest dyscyplina aktualizacji: strategia korygowania IRS z DME/DME zamiast z GNSS w strefach o znanej degradacji.
• Procedury odcięcia GNSS jako element planowania lotu, nie reakcji awaryjnej. Jeżeli trasa przebiega przez obszar objęty oddziaływaniem, brak GNSS powinien być założeniem planistycznym.

Punkt krytyczny: żaden z powyższych środków nie chroni przed spoofingiem, jeżeli załoga nie wie, że jest spoofowana. Dlatego równolegle konieczne jest porównywanie rozwiązania GNSS z rozwiązaniem IRS jako rutynowa kontrola, a nie jako reakcja na alarm. Rozbieżność IRS–GNSS narastająca w sposób ciągły to sygnatura spoofingu synchronicznego. Jest to jeden z niewielu wskaźników, które ten atak zdradzają.

2. Anteny CRPA: filtrowanie przestrzenne

Jeżeli mielibyśmy wskazać jedną technologię o największym stosunku skuteczności do dojrzałości wdrożeniowej, są to anteny CRPA (Controlled Reception Pattern Antenna).

Zasada działania: CRPA to układ wieloelementowy (typowo 4–16 elementów) z adaptacyjnym przetwarzaniem sygnału, który kształtuje charakterystykę promieniowania w czasie rzeczywistym. System wykrywa kierunek nadejścia silnego sygnału zakłócającego i formuje w tym kierunku zero charakterystyki (null) – czyli lokalne minimum czułości, tłumiąc emisję z tego azymutu o kilkadziesiąt decybeli, przy jednoczesnym zachowaniu czułości w pozostałych kierunkach.

Dlaczego to działa akurat w naszym scenariuszu – argument geometryczny:

Prawdziwe sygnały GNSS docierają z góry, z satelitów o kącie elewacji typowo 15°–90°. Sygnały zakłócające i spoofujące – zarówno z Pionierska, jak i z platform morskich 40–60 km od brzegu – docierają z horyzontu, przy kącie elewacji bliskim zeru lub wręcz ujemnym.

To jest różnica, której atakujący nie może usunąć, nie zmieniając fizycznej lokalizacji emitera. Może zmienić moc, może zmienić modulację, może zmienić strukturę kodu – ale nie może nadawać zza satelity. Filtrowanie przestrzenne atakuje więc niezmiennik geometryczny, a nie właściwość sygnału.

Zalecenia wdrożeniowe:

• Priorytet dla instalacji stacjonarnych w infrastrukturze krytycznej: stacje referencyjne, węzły telekomunikacyjne, systemy synchronizacji czasu w energetyce i finansach. Antena jest nieruchoma, geometria znana, wdrożenie relatywnie proste.
• Instalacje portowe i systemy VTS – stacje brzegowe monitorujące ruch w podejściach do Gdańska i Gdyni powinny być traktowane jako priorytet, ponieważ ich kompromitacja zanieczyszcza obraz sytuacyjny dla wszystkich jednostek w rejonie.
• Platformy mobilne (statki, statki powietrzne) – wdrożenie jest kosztowniejsze i podlega certyfikacji, ale technologia jest dojrzała i stosowana od lat w zastosowaniach wojskowych.

Ograniczenie, które trzeba znać: CRPA tłumi sygnały z określonych kierunków. Nie odróżnia sygnału fałszywego od prawdziwego, jeśli oba nadchodzą z podobnego azymutu. W praktyce, przy geometrii bałtyckiej, to ograniczenie ma niewielkie znaczenie – ale nie należy CRPA sprzedawać jako uniwersalnej odporności na spoofing.

3. Fuzja sensorów: usunięcie GNSS z roli pojedynczego punktu prawdy

Trzeci filar to zmiana architektoniczna, nie zakup urządzenia.

Zasada: system nawigacyjny lub synchronizacyjny nie powinien mieć żadnego źródła, którego kompromitacja skutkuje kompromitacją całości. GNSS ma dziś dokładnie taki status w większości wdrożeń – i to jest błąd projektowy, nie zła passa.

Konkretne komponenty fuzji:

• Nawigacja inercyjna (INS/IMU) – całkowicie odporna na emisję zewnętrzną, bo nie odbiera sygnałów. Dryfuje, ale dryfuje w sposób przewidywalny i modelowalny. W układzie zintegrowanym pełni podwójną rolę: podtrzymuje rozwiązanie przy braku GNSS oraz stanowi niezależny punkt odniesienia do wykrywania spoofingu.
• Odometria – w zastosowaniach naziemnych i kolejowych pomiar przebytej drogi z enkoderów kołowych daje niezależne ograniczenie na rozwiązanie nawigacyjne. Prosty, tani, całkowicie odporny na emisję.
• Radar – w środowisku morskim pomiar odległości i namiaru do stałych obiektów brzegowych oraz do znaków nawigacyjnych daje całkowicie niezależne rozwiązanie pozycji. Dla podejść portowych to najistotniejsza warstwa weryfikacyjna: jeśli ECDIS pokazuje statek na torze wodnym, a echo radarowe pokazuje falochron w innym namiarze niż wynikałoby z pozycji GNSS, mamy natychmiastowy wskaźnik kompromitacji.
• Ślepe porównanie źródeł jako mechanizm detekcji. To najważniejszy element całej architektury: sam fakt utrzymywania dwóch niezależnych rozwiązań pozwala wykryć spoofing przez rozbieżność, nawet jeśli nie wiemy, które z nich jest prawdziwe. A wiedza, że jest się atakowanym, jest w tym scenariuszu więcej warta niż dokładność.

Praktyczna implementacja w infrastrukturze krytycznej:

• Systemy synchronizacji czasu – oscylatory holdover (rubidowe, OCXO) utrzymujące dyscyplinę czasu przy odcięciu GNSS, plus dystrybucja czasu światłowodem jako niezależny tor.
• Monitoring widma jako element SOC. Odbiornik monitorujący poziom AGC, C/N₀ i profil widmowy w sposób ciągły, z logowaniem i alarmowaniem, daje coś, czego dziś w większości organizacji nie ma w ogóle: świadomość sytuacyjną w warstwie fizycznej. Anomalia AGC bez zmiany warunków to sygnał, który powinien trafiać do zespołu bezpieczeństwa tak samo jak nietypowy ruch sieciowy.

4. Warstwa kryptograficzna: Galileo OSNMA

Warto odnotować istnienie mechanizmu uwierzytelniania depeszy nawigacyjnej w Galileo (OSNMA), który adresuje brak weryfikowalności sygnału cywilnego. Jest to właściwy kierunek architektoniczny.

Należy jednak być uczciwym co do jego zastosowalności w opisywanym scenariuszu: jeżeli Galileo jest zagłuszane w obu pasmach – a to właśnie zarejestrowano – uwierzytelnianie jego depeszy nie ma znaczenia operacyjnego, bo depesza nie dociera. Kryptografia nie chroni przed odmową dostępu do kanału. To ilustruje ogólniejszą zasadę: warstwy obrony muszą adresować różne wektory, a jamming i spoofing to różne wektory.

PODSUMOWANIE: zmiana założenia bazowego

Chcę zamknąć ten tekst jednym postulatem, który uważam za najważniejszy wniosek z danych 2024–2026.

Utrata lub sfałszowanie GNSS nie jest sytuacją awaryjną. Jest normalnym stanem środowiska operacyjnego w regionie Morza Bałtyckiego i północnej Polski.

Różnica między tymi dwoma sformułowaniami jest różnicą między dwoma zupełnie odmiennymi sposobami projektowania systemów:

Traktowanie jako awaria	Traktowanie jako środowisko
Procedura reakcji na zdarzenie rzadkie	Architektura zakładająca stan permanentny
Szkolenie okresowe	Kompetencja podstawowa
GNSS jako podstawa, reszta jako backup	Wiele niezależnych źródeł, żadne uprzywilejowane
Detekcja przez utratę fixa	Ciągły monitoring warstwy fizycznej
Analiza ryzyka: „mało prawdopodobne”	Analiza ryzyka: „warunki bazowe”

Dane są jednoznaczne: emisja jest ciągła, zasięg sięga 450 km, profil ataku ewoluował od prostego zagłuszania do skoordynowanego, czterokanałowego oddziaływania obejmującego spoofing L1 GPS i jamming pozostałych konstelacji w obu pasmach. To nie jest zjawisko przejściowe i nie ma podstaw do zakładania, że samo ustanie.

Konkretne pytania do zadania w swojej organizacji

Jeżeli odpowiadasz za bezpieczeństwo operacyjne, flotę, lotnictwo lub infrastrukturę krytyczną, zacznij od tych pytań:

1. Czy wiemy, kiedy jesteśmy zakłócani? Czy mamy jakiekolwiek logowanie AGC i C/N₀ z naszych odbiorników? Jeśli odpowiedź brzmi „nie”, to nie wiemy nawet, jaka jest skala problemu w naszych operacjach.
2. Czy potrafilibyśmy wykryć spoofing? Nie utratę sygnału – sfałszowanie. Czy mamy jakiekolwiek niezależne źródło pozycji, z którym porównujemy GNSS?
3. Czy nasza analiza ryzyka wymienia GNSS jako pojedynczy punkt awarii? Jeśli nie wymienia, prawdopodobnie jest nieaktualna.
4. Czy nasze procedury zakładają, że wielosystemowy odbiornik to zabezpieczenie? Dane z 2025 roku unieważniają to założenie.
5. Czy nasi operatorzy – piloci, kapitanowie, dyżurni – potrafią prowadzić operacje bez GNSS, czy tylko wiedzą, że powinni?
6. Czy nasze systemy zależne od GNSS jako źródła czasu mają holdover i alternatywny tor dystrybucji czasu?

Wezwanie

Do inżynierów systemów nawigacyjnych: przestańmy projektować z założeniem, że GNSS jest dostępny i wiarygodny. Projektujmy z założeniem, że jest dostępny warunkowo i wiarygodny warunkowo – a system musi mieć sposób na sprawdzenie, który z tych warunków jest aktualnie spełniony.

Do operatorów lotniczych i morskich: nawigacja bez GNSS nie jest umiejętnością historyczną. Jest kompetencją bieżącą, wymaganą na wschodniej flance w każdym locie i każdym rejsie.

Do dyrektorów ds. bezpieczeństwa: warstwa fizyczna widma radiowego jest częścią waszej powierzchni ataku. Nie jest to domena „gdzieś tam w telekomunikacji” – jest to wektor, przez który adwersarz może zmienić dane wejściowe waszych systemów bez dotykania waszej sieci, bez uwierzytelnienia i bez śladu w logach aplikacyjnych.

Nie ma żadnej awarii satelitów. Jest środowisko elektromagnetyczne, w którym musimy nauczyć się operować – i mamy na to zarówno technologie, jak i dane pomiarowe. Brakuje wyłącznie decyzji, by przestać traktować to jako wyjątek.

Podstawa faktograficzna: dane pomiarowe z lat 2024–2026, w tym morska kampania badawcza GPSPatron i Uniwersytetu Morskiego w Gdyni (2025).

#GNSS #WalkaElektroniczna #Nawigacja #Rosja

Redakcja i formatowanie ze wsparciem #SI