Self Destruct Safety

Трофейний БПЛА — розвідувальна золота жила: Програмне і конфігураційне: 1) Прошивка FC (Betaflight, ArduPilot, PX4) — ревіз версії і параметри налаштування. Відкриває тактичні профілі: максимальна швидкість, режими польоту, failsafe поведінка. 2) Конфігурація ELRS/CRSF: Binding phrase, output power, частотний план. Теоретично може дозволити перехоплення або заглушення інших бортів з тим самим binding phrase. 3) OSD конфіги: можуть містити координати home-point, callsign оператора, частоти. Тактична інформація: 1) SD-картка: відео-записи розвідки або атаки. Показують: місця розташування ЗСУ, маршрути логістики, позиції артилерії, географічні орієнтири. 2) Telemetry logs: GPS треки всіх попередніх польотів якщо збережені. Апаратна: 1) Камери і оптика: виробник, технічний рівень. 2) RF-модулі: точні частоти і протоколи. 3) Процесорна архітектура: визначає можливості автономності. Державна стратегія РФ: Публічно відомо (OSINT, Jane's) що Росія систематично частини від збитих PD-1, Bayraktar, а також FPV. Мінімально — копіює технічні рішення. Максимально — зворотна інженерія для вдосконалення власних систем виявлення і перехоплення.

GeoFence self-protection — практична реалізація: ArduPilot (розвідувальні/великі БПЛА): Вбудований FENCE_ACTION параметр: FENCE_ACTION=6 = «Guided to fence breach return point» але без built-in erase. Кастомна логіка через Lua-scripting (підтримується в ArduPilot 4.0+): при виявленні порушення GeoFence → виклик custom_erase() функції → trim logs, erase config. Приклад: якщо vehicle.location() не всередині safe_polygon() і armed=false і час > T_threshold, то erase_sd_and_config(). Betaflight (FPV): Betaflight не має native GeoFence. Рішення через Companion Computer: Raspberry Pi Zero 2W або OpenPilot Revolution підключений через UART. Companion Computer отримує GPS через FC telemetry. Порівнює з визначеним периметром. При виявленні: надсилає serial команду до FC для erase операції або фізично знеструмлює SD-картку через relay. Практичне обмеження: Companion Computer = додаткова вага (~20–30 г). Для стандартного FPV — надлишок. Реалістично для дорогих ($5,000+) розвідувальних платформ. Мінімальний аналог для FPV: SD-картка тільки на час місії. Після посадки в безпечній зоні — SD виймається і забирається. Основна Flash-пам'ять FC зашифрована апаратно.

Стандарти самознищення в мілітарному обладнанні — багатий прецедент: NSA ZEROIZE (US): стандарт для криптографічних модулів FAR 52.204-9 / NSA CSfC. При «zeroize» команді — знищення всіх ключів шифрування. Реалізується апаратно (battery-backed SRAM zeroize circuit) щоб спрацьовувати навіть без зовнішнього живлення. NATO TEMPEST та IDS: стандарти для захисту електронних пристроїв від несанкціонованого вилучення інформації. Включають фізичний tamper-protection і zeroize. FIPS 140-2 Level 4: Найвищий рівень — апаратний self-destroy при будь-якій спробі фізичного проникнення. Теоретично застосовується для будь-яких Class I–III криптографічних модулів. Аналоги в системах зброї: ракети Patriot PAC-3: при жорсткому приземленні або збої — деtonation активує знищення ключових компонентів. Stealth-літаки: F-22, B-2 мають secure destruction plans для пілота у випадку emergency landing в ворожий діяльності. Для БПЛА підхід: Реалістичний minimum viable self-protect: AES-encrypted Flash + SD auto-erase при GeoFence + tamper-switch + remote kill command. Військові стандарти (NSA zeroize) — складніші у впровадженні, але дають benchmark для дизайну.

Ненавмисна активація — серйозна безпекова проблема: Типові помилкові спрацьовування: 1) GPS glitch (GPS загибель / re-acquisition): короткочасні стрибки GPS координат можуть виглядати як «приземлення за периметром». Вирішення: мінімальний час підтвердження (30–60 с нерухомості) перед активацією GeoFence trigger. 2) RC-jam у мирній зоні: тривале придушення зв'язку без справжньої загрози захоплення. Вирішення: failsafe T1-2 без destructive дій, тільки logging і повернення. 3) Польотний збій і жорстка посадка своїй зоні: після аварії FC може отримати хибні сенсорні данні. Вирішення: комбінований тригер (GPS + відсутність RC + нерухомість + time delay). 4) Технічна помилка ПЗ: bug in геофенс логіці → помилковий тригер. Вирішення: extensive testing, staged deployment, redundant check. Принцип безпечного дизайну: «N-з-M» підтвердження: self-destruct активується тільки якщо N з M незалежних умов виконані одночасно. Наприклад: 3-з-5 = GPS за периметром AND нерухомий AND RC відсутній AND час > 60 с AND оператор підтвердив. Регулярне тестування: самознищення системи тестується в безпечних умовах (spare FC без реальних ключів) щоб підтвердити що спрацьовує КОЛИ потрібно і НЕ спрацьовує КОЛИ не потрібно.

Захист коду від реверс-інженерії — актуальне для БПЛА з AI або спеціальним ПЗ: Рівні захисту коду: 1) Апаратна закрита Bootstrap: більшість STM32 мають Read Protection Level 1 і 2. Level 1 — читання Flash через debugger заборонено, але RM-bypass атаки відомі. Level 2 — повна заморозка: ні debugger, ні JTAG, ні UART не відкривають Flash. Level 2 незворотній — активується виробником або при програмуванні фінальної прошивки після налаштування. 2) Code Obfuscation: для Python/C коду на Companion Computer — dead code injection, variable renaming, control flow obfuscation. Незначно сповільнює розробку але суттєво ускладнює аналіз. 3) Remote attestation: FC при старті перевіряє digital signature прошивки. Якщо прошивку модифіковано (ворог намагається перепрограмувати для власного використання) — FC відмовляється стартувати. 4) One-time execution keys: деякі дорогі системи використовують одноразові ключі активації — без валідного ключа від C2 сервера БПЛА не виконує бойову місію. Практичність для FPV: RPL2 (Read Protection Level 2) — безкоштовно, реалізується при фінальному програмуванні через STM32 programmer. Рекомендується для ВСІХ FPV, які можуть бути захоплені. Ніякого додаткового обладнання не потребує.

Правовий вимір самознищення БПЛА — недостатньо розсвітлена, але важлива область: МГП (Міжнародне гуманітарне право): Захід 49 ДМГП і звичаєве МГП вимагають «пропорційності» і «розрізнення». Self-destruct при загрозі захоплення ЗА умови що БПЛА знаходиться в зоні контролю противника (не мирного населення) — в принципі допустиме. Але: booby-trapped зброя (пастки) — заборонені Протоколом II Конвенції ООН про конкретні види звичайної зброї (ССW). Важлива різниця: Anti-capture self-destruct (знищення власного обладнання щоб не захопили) = допустимо. Booby-trap для ворожого бійця що підбирає дрон = заборонено як пастка. Тонка межа: якщо tamper-switch активує PHYSICAL explosion з осколками — потрапляємо у сиру зону. Якщо тільки ELECTRONIC/thermal знищення FC чіпу — правова проблема мінімальна. Позиція НАТО: Немає специфічного NATO STANAG для drone self-destruct. Рекомендація EU Defense Fund проектам: документувати self-destruct як «equipment denial» (відмова у захопленні обладнання), не як «booby-trap». Практика ЗСУ: програмне зарядне (data erase) = юридично безхмарно. Фізичне знищення плати через thermal — юридично сіро, але реально практикується. Вибухові механізми у дроні виключно для самознищення плати — legal grey zone що потребує юридичної оцінки JAG офіцерів.