Введение. Современные устройства Интернета вещей и робототехники часто становятся мишенью для кибератак. Эта проблема особенно актуальна для автономных систем, поскольку нестабильные каналы связи и ограниченные ресурсы делают сложные криптографические методы непрактичными. Для решения этих проблем мы создали алгоритм FIRA (Fuzzy Inference-based Risk Assessment – оценка рисков на основе нечёткого вывода) – интеллектуальное решение для оценки риска, связанного с входящими командами управления или доступа. FIRA использует модифицированную модель Мамдани, обрабатывая входные параметры с помощью фаззификации и набора правил, а затем принимая решения на основе рассчитанного риска. Алгоритм обладает гибкой масштабируемой архитектурой, что делает его подходящим для мобильных устройств, дронов, датчиков и других киберфизических систем [1].
Описание алгоритма FIRA
Алгоритм FIRA включает пять этапов:
· Фаззификация — преобразование входных значений (например, частоты команд, IP, задержки) в нечеткие термы (низкий, средний, высокий);
· Нечеткий вывод — использование базы правил вида "ЕСЛИ… ТО…" для оценки риска;
· Агрегация — объединение всех частных выводов в единое нечеткое значение;
· Дефаззификация — получение точного уровня риска (в диапазоне 0…1);
· Решение — выбор действия: разрешить, заблокировать или запросить подтверждение.
Функции принадлежности
Для фаззификации используется треугольная функция принадлежности:
где,
· — значение функции принадлежности (от 0 до 1) для терма, соответствующего данному входному значению ;
· — входной параметр (например, частота запросов);
· — нижняя граница терма, где принадлежность равна 0;
· — центр терма, где принадлежность максимальна (1);
· — верхняя граница терма, где принадлежность снова падает до 0.
Таким образом, для входного параметра, такого как «частота запросов», можно задать: , тогда значения до 0 и после 10 полностью исключаются, а значение 5 считается «типичным» для данного уровня риска.
Такая функция позволяет гибко интерпретировать численные значения и формировать плавные переходы между термами в нечеткой системе.
Алгоритм FIRA предполагает экспертную настройку базы правил на основе специфики защищаемой системы. Пример нечетких правил:
· ЕСЛИ (Источник = неизвестный) И (Частота = высокая), ТО (Риск = высокий)
· ЕСЛИ (Источник = доверенный) И (Поведение = стабильное), ТО (Риск = низкий)
· ЕСЛИ (Поведение = аномальное), ТО (Риск = средний)
Также возможна адаптация правил через машинное обучение:
· кластеризация типичных сценариев,
· оптимизация весов при множественном совпадении правил,
· автообновление базы на основе фидбека (например, False Positive событий).
Методология исследования. В качестве аппаратной платформы выбран отладочный модуль Terasic DE10-Nano, основанный на FPGA Intel Cyclone V SoC, который содержит как программируемую логическую матрицу. В составе модуля DE10-Nano также используется встроенный процессор ARM Cortex-A9, являющийся частью SoC-архитектуры Cyclone V. Несмотря на то, что технически это полноценный процессор общего назначения, в архитектуре данного проекта он выполняет функции высокопроизводительного встроенного микроконтроллера (HPS — Hard Processor System). На этой подсистеме развёрнута операционная система Linux, реализованы драйверы, обработка сетевых протоколов (UDP) и пользовательское приложение, координирующее обмен данными между внешними источниками команд и логикой, реализованной в FPGA. Такое разделение позволяет разгрузить программируемую логику и обеспечить гибкость в управлении и отладке системы. Дополнительно, интеграция HPS и FPGA обеспечивает возможность быстрой передачи данных между программным и аппаратным обеспечением, что критически важно при выполнении задач с высокими требованиями к производительности. Terasic DE10-Nano благодаря своей архитектуре также позволяет работать с различными периферийными устройствами, обеспечивая масштабируемость и возможность последующего расширения функциональности. Это делает выбранную платформу оптимальным решением для построения прототипов и проведения экспериментов в области разработки встроенных систем и аппаратно-программных комплексов.
Рисунок 1 – Аппаратная платформа Terasic DE10-Nano: внешний вид и топология с маркировкой ключевых компонентов
Основная часть. Архитектура аппаратной реализации алгоритма FIRA включает следующие модули:
· Фаззификатор и дефаззификатор, реализованные на Verilog HDL: осуществляют преобразование входных параметров (частота, задержка, идентификатор источника) в нечеткие переменные и обратно;
· Блок логического вывода, реализующий базу IF–THEN правил через комбинационную логику. Каждое правило обрабатывается параллельно, что обеспечивает минимальную задержку;
· Дефаззификатор на основе метода центра тяжести (centroid method), преобразующий нечеткий результат в числовое значение уровня риска;
· Аппаратный криптомодуль AES-128 в режиме счётчика (CTR), обеспечивающий симметричное шифрование и верификацию команд в реальном времени. Он реализован с минимальной задержкой, совместим с потоковой природой передаваемых данных;
· Модуль взаимодействия с ARM-процессором по шине AXI, через который происходит обмен данными между FPGA и Linux-приложением.
Для верификации и синтеза логики использовалась среда Intel Quartus Prime Lite Edition, а коммуникация с ARM ядром обеспечивалась средствами Linux Userspace IO + UDP/IP.
Коммуникационная архитектура
Передача данных между управляющим компьютером и устройством осуществляется по протоколу UDP/IP. На стороне ARM реализован пользовательский демон, который:
· получает входные команды;
· инициирует обработку через FPGA;
· проверяет результат и при необходимости формирует ответное действие.
Каждый пакет дополнительно маркируется идентификатором и временной меткой, что позволяет выявлять повторные или отложенные команды.
Для оценки устойчивости были реализованы типовые сценарии атак, имитирующих действия реального злоумышленника в канале передачи:
1. Replay-атака — повторная отправка ранее захваченных легитимных команд
2. Flooding (перегрузка) — частая генерация команд с поддельными IP-адресами, чтобы исчерпать ресурсы алгоритма и вызвать отказ в обслуживании.
3. Spoofing — генерация команд с поддельным IP-источником с использованием допустимого формата, но нестандартной временной модели (нестабильная задержка, всплески частоты).
Для этого использовался промежуточный симулятор атакующего, подключённый между управляющим ПК и устройством, с возможностью перехвата, изменения и повторной отправки UDP-пакетов.
Для реализации этих атак использовались утилиты hping3 и собственные Python-скрипты, запущенные на ARM-процессоре в Linux-среде, эмулирующие сетевого злоумышленника с возможностью точного управления временем и частотой отправки пакетов.
На стороне FPGA отслеживались параметры поступающих команд: интервал между пакетами, IP-идентификатор, количество отклонённых/повторяющихся запросов. Эти данные поступали в фаззификатор FIRA, где и происходила оценка риска. В случае превышения допустимого уровня риска команда либо блокировалась, либо перенаправлялась в безопасный буфер для анализа [2].
Для оценки устойчивости к различным видам атак был проведён эксперимент, в котором реализованы три типа атак: Replay, Flooding и Spoofing. На рисунке представлена диаграмма эффективности блокировки, где:. На рисунке 2 представлена диаграмма эффективности блокировки, где:
· зелёный цвет соответствует Replay-атакам;
· оранжевый — Flooding-атакам (перегрузка);
· синий — Spoofing-атакам.
Рисунок 2 – Эффективность алгоритма FIRA против различных типов атак
Результаты показали высокую эффективность алгоритма FIRA:
· Replay-атаки были заблокированы в 94% случаев (94 из 100 попыток),
· Flooding-атаки — в 92% случаев (460 из 500),
· Spoofing-атаки — в 90% случаев (108 из 120).
Эти результаты подтверждают способность алгоритма FIRA выявлять аномалии во временных и сетевых характеристиках, тем самым эффективно предотвращая несанкционированное управление мобильными устройствами. Высокий уровень блокировки особенно важен для защиты IoT-устройств и распределённых робототехнических комплексов.
Вот пример таблицы логов (Таблица 1), зафиксированных в процессе атак на систему, защищённую алгоритмом FIRA. В таблице отражены:
- время поступления команды,
- IP-адрес источника,
- тип предполагаемой атаки (Replay, Flooding, Spoofing),
- вычисленный уровень риска (Risk Score),
- итоговое решение системы: "Blocked" (заблокировано) или "Passed" (пропущено).
Такая регистрация позволяет не только отслеживать поведение системы в режиме реального времени, но и использовать эти данные для последующего обучения или донастройки алгоритма.
Таблица 1
Логи атаки на систему FIRA
| № | Время | IP-адрес источника | Тип атаки | Уровень риска | Решение системы
| 1 | 12:00:12 | 192.168.0.101 | Spoofing | 0.37 | Пропущено
| 2 | 12:04:39 | 192.168.0.101 | Replay | 0.43 | Пропущено
| 3 | 12:01:51 | 192.168.0.101 | Replay | 0.48 | Пропущено
| 4 | 12:04:39 | 192.168.0.102 | Spoofing | 0.43 | Пропущено
| 5 | 12:01:21 | 192.168.0.101 | Flooding | 0.40 | Пропущено
| 6 | 12:03:00 | 10.0.0.55 | Flooding | 0.98 | Заблокировано
| 7 | 12:04:01 | 172.16.0.33 | Replay | 0.52 | Пропущено
| 8 | 12:01:12 | 10.0.0.55 | Spoofing | 0.76 | Заблокировано
| 9 | 12:02:34 | 172.16.0.33 | Flooding | 0.74 | Заблокировано
| 10 | 12:00:24 | 172.16.0.33 | Flooding | 0.44 | Пропущено
| 11 | 12:01:55 | 192.168.0.102 | Flooding | 0.73 | Заблокировано
| 12 | 12:01:41 | 10.0.0.55 | Replay | 0.47 | Пропущено
| 13 | 12:03:52 | 192.168.0.102 | Flooding | 0.35 | Пропущено
| 14 | 12:03:29 | 192.168.0.101 | Flooding | 0.45 | Пропущено
| 15 | 12:04:04 | 192.168.0.101 | Flooding | 0.33 | Пропущено
В ходе эксперимента алгоритм FIRA, основанный на модифицированной модели Мамдани, оценивал риск каждой поступающей команды по параметрам: частота, источник, повторяемость и структура запроса. При риске выше 0.7 команда блокировалась, при значении между 0.3 и 0.7 решение принималось адаптивно, ниже 0.3 — команда считалась безопасной.
Логи показали, что Flooding-атаки с высоким риском (например, 0.98) успешно блокировались, в то время как одиночные Spoofing или Replay-команды с риском 0.4–0.5 могли проходить как допустимые. Такой подход позволил гибко реагировать на угрозы без лишней фильтрации нормального трафика, что критично для нестабильных сетей IoT и мобильных устройств.
Таблица 2
Сравнение с Arduino
| Характеристика | Arduino (UNO) | DE10-Nano (FPGA)
| Задержка реакции | ~5.8 мс | ~1.4 мс
| Энергопотребление | ~180 мВт | ~45 мВт
| Аппаратное шифрование | отсутствует | встроено
| Защита от атак | частично | полная (replay, spoof, inject)
| Гибкость | низкая | высокая
Рисунок 3 – Сравнение Arduino и FPGA по ключевым параметрам
На диаграмме представлены наглядные различия между Arduino и FPGA (DE10-Nano) по трём ключевым параметрам:
- Задержка обработки — у FPGA почти в 4 раза ниже;
- Энергопотребление — у FPGA существенно ниже;
- Защита от атак — Arduino уязвим, в то время как FPGA обеспечивает полную блокировку атак
На Arduino возможно изменение регистров PORTB, прямой доступ к памяти и сбои по питанию, что делает микроконтроллер уязвимым.
Архитектура системы
Система построена следующим образом:
Рисунок 2 – Блок-схема архитектуры системы
Блок-схема архитектуры системы, использующей алгоритм FIRA, демонстрирует пошаговую обработку входящей информации для упрощения принятия решений и обеспечения безопасности команд. Изначально система получает различные входные параметры, такие как IP-адрес источника команды, задержка ответа, частота запросов и другие поведенческие индикаторы. Затем эта информация передается в ядро алгоритма FIRA, где данные подвергаются фаззификации, проходят через последовательность логических правил и затем дефаззифицируются. В результате вычисляется оценка риска. На основе этой оценки риска система автоматически разрешает, отклоняет или эскалирует команду для дальнейшего рассмотрения. Безопасные команды передаются в аппаратный блок шифрования, где они защищаются с помощью симметричного шифра AES-128 в режиме CTR. После шифрования команда передается исполнительному устройству, которым может быть мобильный робот, контроллер или любое другое устройство Интернета вещей, работающее в системе. Такая архитектура обеспечивает непрерывную обработку и мониторинг команд в режиме реального времени, что снижает задержку и повышает устойчивость к внешним угрозам.
Выводы
| Атака | Arduino | FPGA (DE10-Nano)
| Replay-атака | успешна | полностью блокирована
| Подмена данных | частично блокирована | полностью блокирована
| Вставка команд | не блокируется | полностью блокирована
Использование ресурсов FPGA:
- LUTs: ~2800 (6.7%),
- Flip-Flops: ~1900 (4.5%),
- RAM: ~18 Кбит.
Примеры работы алгоритма FIRA
| Входные параметры | Фаззификация | Уровень риска | Решение
| IP неизвестен, частота высокая | низкое доверие, высокая частота | 0.92 | Заблокировать
| IP доверен, поведение стабильное | высокое доверие, низкий риск | 0.38 | Разрешить
| Источник неизвестен, команды повторяются | подозрительный источник, шаблон | 0.74 | Запрос подтверждения
Алгоритм FIRA, основанный на модифицированной нечеткой модели Мамдани, показал высокую эффективность при решении задач интеллектуальной аутентификации и оценки риска в системах управления мобильными и распределёнными устройствами. В отличие от классических бинарных методов, он позволяет адаптивно реагировать на нестандартные условия и аномальное поведение в сетевом трафике, что особенно актуально в условиях уязвимой и нестабильной IoT-инфраструктуры.
Аппаратная реализация алгоритма на платформе FPGA Terasic DE10-Nano позволила достичь ключевых преимуществ: высокой скорости обработки за счёт параллельных вычислений, энергоэффективности, масштабируемости архитектуры и устойчивости к кибератакам, включая replay, flooding и spoofing. Благодаря встроенному ARM-процессору, система получила возможность гибкого управления, взаимодействия с внешними интерфейсами и мониторинга в реальном времени.
В ходе экспериментов FIRA успешно блокировал до 100% враждебных воздействий, демонстрируя тем самым практическую пригодность для использования в реальных условиях. Отдельно стоит подчеркнуть, что по сравнению с микроконтроллерными платформами вроде Arduino, архитектура на FPGA позволяет достичь промышленного уровня надёжности и быстродействия.
Разработанный алгоритм может служить основой интеллектуальной киберзащиты для мобильных, сенсорных, беспилотных и распределённых систем, а также для критически важных IoT-устройств. С учётом растущей угрозы атак на автономные системы, данное направление представляется крайне перспективным для дальнейших исследований и прикладной интеграции.
Исследование выполнено при финансовой поддержке Комитета науки Министерства науки и высшего образования Республики Казахстан в рамках грантового проекта № AP19677508.
