Fałszywy czas może zmienić obraz sieci. Jak spoofing GNSS zagraża energetyce?

Sabotażysta nie musi przejmować sterownika ani zrywać łączności, aby wpłynąć na część systemów elektroenergetycznych. Może spróbować podważyć coś mniej widocznego, a mianowicie wspólną informację o czasie. Spoofing GNSS nie zawsze wprost skończy się blackoutem. Jednak jednym z jego skutków może być to, że operator otrzyma wiarygodnie wyglądające dane, które będą opisywały sieć w niewłaściwy sposób. Szczególnie groźne jest to tam, gdzie system zestawia pomiary wykonane niemal równocześnie w odległych miejscach.

Sieć może działać bez GPS. Ważniejsze jest porównanie danych

System elektroenergetyczny nie przestaje działać tylko dlatego, że urządzenia stracą wspólne odniesienie do czasu UTC. Generatory nadal utrzymują częstotliwość, a wiele lokalnych zabezpieczeń korzysta bezpośrednio z pomiarów prądu i napięcia. Znaczenie dokładnego czasu rośnie jednak wtedy, gdy trzeba porównać dane pochodzące z różnych miejsc.

Jeff Dagle z Pacific Northwest National Laboratory w Waszyngtonie opisał ten problem w ITU News 11 sierpnia 2023 r. Wskazał, że sieć może funkcjonować bez wspólnego czasu, ale część zaawansowanych aplikacji traci wtedy wiarygodność. Dot. to m.in. synchrofazorów, rejestracji zdarzeń i wybranych funkcji zabezpieczeniowych.

Dlatego atak na synchronizację czasu nie powinien być utożsamiany z automatycznym wyłączeniem sieci. Jego skutkiem może być bardziej podstępne działanie, czyli zafałszowanie obrazu sytuacji, na podstawie którego podejmowane będą złe decyzje.

Skąd urządzenia w energetyce wiedzą, która jest godzina?

GNSS (Global Navigation Satellite System), czyli nawigacja satelitarna, kojarzy się przede wszystkim z określaniem pozycji. Systemy takie jak GPS czy Galileo dostarczają jednak również bardzo dokładną informację o czasie. W stacji elektroenergetycznej odbiornik GNSS może stanowić źródło czasu dla zegara nadrzędnego. Następnie czas jest rozprowadzany do kolejnych urządzeń.

M.in. wykorzystuje się do tego:

• IRIG-B -powszechnie stosowany w energetyce format kodu czasu z rodziny IRIG,
• PTP – Precision Time Protocol.

PTP pozwala przekazywać informację o czasie przez Ethernet. Dzięki temu każde urządzenie nie potrzebuje osobnej anteny GNSS. Standard IEEE/IEC 60225-118-1-2018, opublikowany w grudniu 2018 r., dot. synchrofazorów. Dokument obejmuje również wymagania związane ze znacznikami czasu i synchronizacją pomiarów PMU. Z kolei wcześniejsza publikacja z 31 maja 2016 r., czyli IEC/IEEE 61850-9-3 definiuje profil PTP przeznaczony dla automatyki elektroenergetycznej.

Trzeba jednak rozróżnić źródło czasu od prawidłowego sposobu jego dystrybucji. PTP może bardzo precyzyjnie rozprowadzić czas po stacji, ale sam nie gwarantuje, że przekazywane źródło czasu jest prawidłowe.

Błąd czasu może przesunąć kąt fazowy

O tym, jak błędna synchronizacja może przełożyć się na działanie systemów elektroenergetycznych, mówi Albin Czubla, zastępca dyrektora Zakładu Czasu i Długości Głównego Urzędu Miar:

– Precyzyjny czas jest potrzebny m.in. do prawidłowego porządkowania i lokalizowania zdarzeń w sieci oraz do systemów wykorzystujących informacje o fazie. Jeśli różne punkty sieci nie są poprawnie zsynchronizowane, trudniej ustalić, gdzie rozpoczęła się awaria, a reakcja może nastąpić później lub na podstawie błędnej informacji. Przy częstotliwości 50 Hz okres wynosi 20 ms, więc błąd 1 ms odpowiada przesunięciu fazowemu o około 18 stopni, co jest już bardzo dużą wartością. W pewnych zastosowaniach nawet niewielki błąd czasu może więc mieć istotne konsekwencje, a błędna reakcja systemu może pogłębić niestabilność.

Znaczenie synchronizacji zależy więc od tego, do czego konkretnie wykorzystywany jest czas. Innej dokładności potrzebuje system prezentujący operatorowi alarmy, a innej urządzenia, które porównują przebiegi elektryczne z różnych punktów sieci.

Zastosowanie	Przykładowy poziom odniesienia	Skutek błędu czasu
Monitoring operatorski, SCADA	Nie ma jednej uniwersalnej wartości. Interfejsy operatorskie mogą pracować w skali sekund.	Zaburzenie chronologii alarmów, trendów i działań operatora.
Rejestracja SER, FR, DDR	Przykład NERC: ± 2 ms względem UTC dla danych objętych standardem.	Utrudniona rekonstrukcja kolejności zdarzeń.
PMU, synchrofazory	Standard ogranicza TVE. Sam błąd czasu odpowiadałby ok. 31,8 µs przy 50 Hz dla 1 proc. TVE, lecz praktyczny budżet bywa ciaśniejszy.	Przesunięcie kąta fazowego i możliwość zafałszowania estymacji stanu sieci.
Lokalizacja zwarć metodą fali wędrownej	Ok. 1 µs dla celu lokalizacji rzędu 200 m w cytowanym badaniu.	Pogorszenie dokładności wyznaczenia miejsca uszkodzenia.
Wybrane funkcje Process Bus, Sampled Values	Ok. 1 µs w wymagających zastosowaniach stacyjnych.	Rozjazd czasowy próbek pochodzących z różnych urządzeń.

Nie ma zatem jednej granicznej dokładności czasu właściwej dla całej elektroenergetyki. Wymagania wynikają z funkcji konkretnego systemu i tego, jak duży udział błędu synchronizacji można dopuścić w całkowitym błędzie pomiaru.

Jamming vs spoofing. Zagłuszyć czy oszukać?

Utrata sygnału GNSS i przyjęcie przez odbiornik sygnału fałszywego to dwa różne scenariusze.

– Zagłuszanie można porównać do oślepienia światłem. Odbiornik przestaje skutecznie odbierać sygnały satelitów, bo silny sygnał zakłócający je tłumi, czyni niewidocznymi. Spoofing jest bardziej wyrafinowany, bowiem do odbiornika trafia sygnał przypominający prawidłowy sygnał GNSS, ale zawierający fałszywą informację, np. o czasie lub pozycji. Czasem spoofing poprzedza zagłuszenie, czyli odbiornik najpierw traci właściwy sygnał, a następnie synchronizuje się z sygnałem fałszywym. Zagłuszanie jest relatywnie proste i tanie, natomiast skuteczny spoofing jest trudniejszy, ale jego konsekwencje mogą być znacznie poważniejsze. – wyjaśnia Albin Czubla.

Z punktu widzenia systemu czasu szczególnie problematyczny jest właśnie ten drugi przypadek. Utrata GNSS może być zdarzeniem widocznym, natomiast podczas spoofingu odbiornik może nadal działać i przekazywać czas dalej. Jeśli urządzenie rozpozna utratę wiarygodnego źródła, może przejść w tryb holdover i korzystać z lokalnego oscylatora. Taki wzorzec z czasem jednak dryfuje, a długość bezpiecznej pracy zależy od jego klasy i od wymagań kolejnej aplikacji.

Znacznie trudniejszy przypadek pojawia się wtedy, gdy źródło nie znika, tylko zaczyna podawać nieprawidłowe dane. Albin Czubla zwraca uwagę, że nie należy sprowadzać tego zagrożenia do pytania o maksymalną możliwą liczbę sekund czy milisekund błędu:

– Nie zajmuję się bezpośrednio badaniami spoofingu, dlatego nie chcę wskazywać jednej granicznej wartości. Jeżeli system nie ma odpowiednich mechanizmów weryfikacji, fałszywy sygnał może wprowadzić bardzo duży błąd czasu. Dobrym przykładem skutków błędnej interpretacji czasu przez odbiornik jest GPS Week Number Rollover: 10-bitowy licznik tygodni GPS zeruje się co 1024 tygodnie, czyli około 19,6 roku – dokładnie o tyle cofnęły się niektóre zegary w kwietniu 2019 roku. W spoofingu szczególnie trudne do wykrycia może być stopniowe „odpływanie” czasu, gdy fałszywy sygnał początkowo niemal pokrywa się z prawidłowym. Kluczowe jest więc nie to, o ile teoretycznie można przesunąć czas, ale czy system potrafi wykryć odchylenie od niezależnego wzorca.

Fałszywy czas może dać wiarygodny, ale błędny obraz sieci

Jednym z zastosowań szczególnie zależnych od wspólnego czasu są PMU, czyli urządzenia wykonujące zsynchronizowane pomiary fazorów napięcia i prądu w różnych punktach sieci. Jakkolwiek, nieprawidłowo oznaczony czasowo pomiar nadal może wyglądać jak poprawna informacja pochodząca z działającego urządzenia.

Paresh Risbud, Nikolaos Gatsis i Ahmad F. Taha analizowali ten problem podczas IEEE PES Innovative Smart Grid Technologies Conference we wrześniu 2016 r. Pokazali, że spoofing GNSS może zmienić dane PMU i pogarszać estymację stanu sieci. Z kolei Ezzeldin Shereen w pracy opublikowanej 9 września 2019 r. wraz z innymi współautorami poszedł jeszcze dalej. Mowa tu o analizie scenariusza, w którym manipulacja synchronizacją prowadziła do błędnego, lecz pozornie wiarygodnego oszacowania stanu, czego dokonano na modelu 39-węzłowym.

Czy z tego wynika, że każdy skuteczny spoofing GNSS automatycznie prowadzi do awarii sieci? Byłby to wniosek zbyt pochopnie postawiony, natomiast takie zjawisko obnaża mechanizm, dzięki któremu można wpływać na informację wykorzystywaną przez system bez konieczności przerywania komunikacji z urządzeniami.

Po awarii czas pomaga odtworzyć kolejność zdarzeń

Znaczniki czasu mają znaczenie również wtedy, gdy zakłócenie już wystąpiło. Dane z różnych urządzeń trzeba później zestawić tak, aby możliwie dokładnie odtworzyć kolejność, w jakiej zadziałały zabezpieczenia, wyłączniki i rejestratory.

Skalę wymagań dobrze oddaje amerykański standard NERC PRC-002-5. North American Electric Reliability Corporation przyjęła jego wersję 8 października 2024 r., a FERC zatwierdziła ją 20 lutego 2025 r. Wymaganie R10 przewiduje dla objętych nim danych SER, FR i DDR dokładność zegara wynoszącą ± 2 ms względem UTC. Ale nie jest to wymaganie, które można wprost przenieść na europejską energetykę. Mimo wszystko pokazuje, że przy analizie szybkich zdarzeń różnice liczone w milisekundach mają już znaczenie dla późniejszej rekonstrukcji przebiegu awarii.

Spoofing GNSS to nie jedyny problem. PTP także może być celem ataku

Źródło satelitarne jest tylko początkiem łańcucha synchronizacji. Czas trzeba jeszcze przekazać do kolejnych urządzeń, a jednym ze sposobów jego dystrybucji jest PTP. Ogranicza to konieczność montowania osobnego odbiornika GNSS przy każdym urządzeniu, ale jednocześnie oznacza, że bezpieczeństwo zależy również od infrastruktury sieciowej. Sabotażysta mający dostęp do odpowiedniego segmentu może próbować podszyć się pod źródło czasu, manipulować komunikatami synchronizującymi albo wprowadzić fałszywy zegar nadrzędny.

Takie eksperymenty opisano w artykule „Attacking IEC 61850 Substations by Targeting the PTP Protocol”, który ukazał się w czasopiśmie „Electronics” 8 czerwca 2023 r. Przy użyciu fizycznego sprzętu stacyjnego autorzy wprowadzili fałszywy zegar nadrzędny i doprowadzili do utraty prawidłowej synchronizacji. Wykorzystana w tym celu infrastruktura nie pozwoliła im przy tym swobodnie sterować czasem (w tej konkretnej konfiguracji). Z tego płynie wniosek, że faktyczne możliwości ataku zależą również od konkretnych urządzeń, konfiguracji i implementacji protokołu.

NIST z publikacji z września 2023 r. zaleca stosowanie bezpiecznego PTP z mechanizmami uwierzytelniania tam, gdzie istnieje ryzyko złośliwej modyfikacji czasu. Dokument wymienia również spoofing pakietów jako jeden ze scenariuszy zagrożenia.

Dwie anteny nie rozwiązują problemu niezależności

Jedną z metod wykrywania spoofingu może być analiza sygnału odbieranego przez kilka anten. Nie oznacza to jednak, że samo zwielokrotnienie liczby sprzętów zapewnia niezależność. Jeśli dwa odbiorniki korzystają z jednej anteny, mają oczywisty wspólny punkt awarii. Także dwie oddzielne anteny, które znajdują się blisko siebie, mogą wpaść w zasięg tego samego lokalnego zakłócenia.

Fabian Rothmaier, Yu-Hsuan Chen, Sherman Lo i Todd Walter opisali przestrzenne metody wykrywania spoofingu w czasopiśmie „Navigation” 5 maja 2021 r. Analizowali oni m.in. kierunek nadejścia sygnałów jako dodatkowe kryterium pozwalające rozpoznać oszustwo. Liczba urządzeń jest więc tylko jednym z elementów odporności. Znaczenie ma również to, czy rzeczywiście wykorzystują one różne tory antenowe, zasilanie i ścieżki dystrybucji czasu.

Galileo dodaje kolejną warstwę ochrony, czyli mechanizm OSNMA

Galileo, europejski system nawigacji satelitarnej GNSS, wprowadził do otwartej usługi mechanizm OSNMA (Open Service Navigation Message Authentication). Kompatybilny odbiornik może dzięki temu sprawdzać autentyczność danych zawartych w wiadomości nawigacyjnej. Agencja Unii Europejskiej ds. Programu Kosmicznego opisała usługę 22 lipca 2025 r. Jednocześnie zaznaczyła, że OSNMA nie chroni przed wszystkimi odmianami spoofingu i nie zapobiega jammingowi.

Mechanizm ten utrudnia zatem część scenariuszy ataku. Jakkolwiek nie można go uznać za ochronę absolutną. Wciąż istnieje potrzeba niezależnego sprawdzania czasu.

Kluczowym elementem odporności nie jest samo zwiększenie liczby odbiorników GNSS, lecz możliwość porównania ich wskazań z czasem, który pochodzi z innego, rzeczywiście niezależnego źródła. Albin Czubla wskazuje, że w Polsce takim odniesieniem może być czas UTC(PL) utrzymywany przez Główny Urząd Miar:

– Najważniejsze jest porównywanie GNSS z niezależnymi źródłami czasu. Można też monitorować moc i kierunek nadejścia sygnału oraz korzystać z kilku anten. W Polsce dodatkowym źródłem może być UTC(PL) utrzymywany przez GUM. Sygnał czasu urzędowego jest dystrybuowany m.in. na częstotliwości 225 kHz (kodowany sygnał radiowy), przez NTP w sieci internet oraz, z większą dokładnością, przez PTP w dedykowanych połączeniach światłowodowych. Istotna jest zasada „trzech zegarów”. Przy jednym źródle nie wiemy, czy jest poprawne, przy dwóch widzimy różnicę, ale nie wiadomo, które się myli. Trzy niezależne źródła pozwalają wskazać odstające. Im więcej niezależnych i stale monitorowanych źródeł czasu, tym większa odporność systemu.

W praktyce pytanie o redundancję powinno więc dot. nie liczby zegarów, ale liczby niezależnych dróg uzyskania i sprawdzania czasu. Odbiornik wykorzystujący kilka konstelacji lub kilka pasm może być odporniejszy na część problemów z odbiorem. Nadal jednak wszystkie te sygnały docierają drogą radiową i mogą zostać objęte tym samym zakłóceniem lokalnym.

Test odporności nie może opierać się na samym odłączeniu anteny

Test systemu czasu nie powinien zaczynać się od pytania, co stanie się po utracie GPS, lecz od ustalenia, które urządzenia i funkcje są zależne od dokładnej synchronizacji. Trzeba więc prześledzić łańcuch: antena – odbiornik – zegar nadrzędny – sieć – urządzenie końcowe.

Odłączenie anteny sprawdza przede wszystkim zachowanie urządzeń po utracie GNSS i pracę w trybie holdover. Co jednak zrobi system, jeśli źródło będzie wyglądało na prawidłowe, ale zacznie podawać zły czas? Dlatego właśnie testy powinny obejmować także sposób porównywania niezależnych odniesień, alarmowanie o nietypowych różnicach, reakcję sieci PTP na nieprawidłowe źródło oraz zachowanie urządzeń przy stopniowym odchodzeniu czasu od właściwej wartości.

Czasem do skutecznego ataku wystarczy podważenie zaufania do obrazu sieci

Spoofing GNSS nie musi bezpośrednio otworzyć wyłącznika ani wyłączyć transformatora. Jego znaczenie polega na czymś innym, a mianowicie na tym, że może naruszyć wiarygodność informacji o czasie, a wraz z tym danych wykorzystywanych do obserwacji, analizy i w określonych zastosowaniach także podejmowania decyzji dot. pracy sieci.

Bezpieczeństwo systemów elektroenergetycznych nie kończy się na ochronie sterowników i komunikacji. Trzeba również wiedzieć, skąd urządzenia biorą czas, w jaki sposób jest on dalej rozprowadzany i czy system ma możliwość niezależnego sprawdzania jego poprawności. Zamiast więc pytać, czy urządzenie ma GPS, lepiej zastanowić się, skąd zna ono czas, jak sprawdza jego prawdziwość i co zrobi, jeśli źródło zacznie kłamać?

---

Michał Krajniak

Dziennikarz analityczny, który patrzy na energetykę przez pryzmat polityki i gospodarki. Opisuje wyzwania sektora oraz przygląda się postępującym trendom rynkowym.