07. Zagrożenia i odporność
Priorytet awarii
Najgroźniejsze są pozorne potwierdzenie, błędna informacja o skierowaniu pomocy oraz uszkodzenie zasilania z ryzykiem dla ludzi. Dalej są utrata trwałych danych, odcięcie jedynego przekaźnika lub odbiorcy i długotrwałe przeciążenie. Awaria pojedynczego portu ładowania jest mniej krytyczna dla łączności, ponieważ ma osobne zasilanie.
Tabela opisuje mechanizmy ochrony i ich granice. Bez danych terenowych nie można przypisać awariom wiarygodnych częstości ani liczbowego wskaźnika ryzyka.
| Awaria / zagrożenie | Skutek | Wykrycie i ograniczenie | Ryzyko pozostałe / próba |
|---|---|---|---|
| Odbiorca potwierdza przed zapisem danych | schronienie uznaje zgłoszenie za przyjęte, choć odbiorca go nie zapisał | RECEIVED (potwierdzenie odbioru) dopiero po COMMIT (zatwierdzeniu zapisu w bazie); intencja wysłania RECEIVED zapisana w tej samej transakcji | fizyczny nośnik może nie dotrzymać gwarancji trwałości zapisu; odcięcia zasilania: T2 |
| Brak miejsca lub uszkodzenie bazy | utrata zgłoszeń albo fałszywy zapis | błąd zapisu jest widoczny; aplikacja nie tworzy automatycznie pustej bazy; kontrola integralności i zasobów | limity kolejki, skrzynki i dzienników ze specyfikacji oprogramowania wymagają próby zapełnienia; T2 |
| Duplikaty lub powtórzone stare statusy | kilka działań dla jednej potrzeby lub cofnięcie informacji | nadawca + id + numer wersji (revision); rosnący numer zdarzenia (event); konflikt nie nadpisuje danych | przejęcie zgłoszenia przez drugie stanowisko odbiorcze nie ma kontraktu; T2 |
| Zawieszenie strony lub laptopa | brak formularza i panelu | stacja pracuje bez laptopa; diagnostyka procesów i kontrolowane wznowienie | awaria laptopa wyłącza tylko poziomy 2–3; T1/T2 |
| Błąd oprogramowania stacji | zawieszenie lub restart; przerwa w łączności i przekazywaniu | watchdog (układ restartujący zawieszony program); odtworzenie kolejki i długu ciszy po restarcie; licznik restartów na ekranie | niepełna dojrzałość microReticulum (implementacji Reticulum na mikrokontrolery); znane restarty przy przesyłaniu zasobów po stratnym łączu; T3 |
| Uśpienie laptopa / wstrzymanie USB | strona i panel przestają działać; stacja i przekaźnik pracują dalej | START zapobiega automatycznemu usypianiu; stacja nie zasila się z VBUS (linii zasilania USB); wykonanie A pobiera z VBUS tylko prąd warstwy fizycznej USB (PHY), około 2,5 mA | w R01.3 zegar Y1 może przekroczyć budżet prądu we wstrzymaniu USB (do 7 mA wobec 2,5 mA); dotyczy tylko modemu zasilanego z USB, nie stanowiska zasilanego z zasilacza laboratoryjnego; T1 |
| Odłączenie laptopa / pełna kolejka radiowa | nowe zgłoszenia z laptopa czekają; opóźnienie wysyłki | laptop trzyma intencję przekazania; stacja pracuje dalej; liczniki odrzutów i wiek kolejki na ekranie | niesprawdzone zachowanie limitów czasu LXMF (protokołu wiadomości działającego na Reticulum); T3 |
| Zanik przekaźnika | podział sieci | pomiar kontaktu; połączenie alternatywne, o ile istnieje; priorytet energii dla przekaźnika | jedyna droga może odciąć całe schronienie; T5 |
| Stanowisko odbiorcze działa, ale brak dyżurnego | trwałe przyjęcie bez działania | jawny odczyt i decyzja, uzgodnione zastępstwo i kontrola dyżuru | sama sieć nie zapewnia ludzi ani środków; T8 |
| Przeciążenie lub ponowienia wielu stacji | rosnące opóźnienie pilnych potrzeb | ograniczone bufory, rozłożone ponowienia, małe wiadomości, monitorowanie wieku kolejki | brak gwarantowanego priorytetu eteru; domyślny odstęp ponowień LXMF (10 s) jest krótszy niż cykl przekaźnika, dlatego odstęp ≥60 s zależny od liczby skoków, długu ciszy i kolejki radiowej (05) wymaga potwierdzenia; T3/T5 |
| Ukryte nadajniki i zakłócenia | kolizje i utrata fragmentów | CCA (sprawdzenie zajętości kanału przed nadaniem) i losowe odroczenie; właściwa antena; pomiar przy pracującym zasilaniu | brak odporności na celowe zagłuszanie; T4/T5/T6 |
| Blokowanie odbiornika przez pobliskie nadajniki | utrata czułości; telefony LTE 800 (832–862 MHz) i GSM 900 (880–915 MHz) nadają kilka megaherców od kanału, często z pełną mocą przy słabym zasięgu sieci | antena na zewnątrz, z dala od telefonów i bramek LoRaWAN; pomiar blokowania i poziomu sygnału tła (RSSI); filtr pasmowy SAW (z akustyczną falą powierzchniową) 868 MHz w osobnym torze odbiorczym (RX) za przełącznikiem albo we wspólnym torze – do rozstrzygnięcia przy R02 (wstrzymanym do decyzji po pilotażu); w stacji pilotażowej decyduje konstrukcja gotowej płytki z SX1262 | wpływ zależy od konstrukcji odbiornika stacji i odległości; bramka LoRaWAN (do 27 dBm ERP) może blokować odbiór w promieniu setek metrów; strata filtru obniża czułość; T4/T5/T6 |
| Wyładowanie atmosferyczne lub przepięcie z anteny | uszkodzenie stacji i podłączonego laptopa; zagrożenie pożarowe | anteny zewnętrznej nie montuje się ani nie obsługuje podczas burzy (stacja pracuje dalej przez odgromnik); antena zwarta dla prądu stałego; odgromnik gazowy na przewodzie przy wejściu do budynku, połączony z uziemieniem budynku; zabezpieczenie wyjścia radiowego (RF) przed wyładowaniami elektrostatycznymi (ESD); opcjonalna izolacja USB na poziomach 2–3; antena poniżej krawędzi dachu, bez masztu na szczycie budynku bez instalacji odgromowej | ochrona ESD i odgromnik nie zastępują ochrony odgromowej budynku; maszt wymaga oceny instalacji budynku; T6 |
| Restart zeruje budżet nadawania (TX) | przekroczenie warunków pracy nadajnika | trwały dług ciszy zapisany przed pierwszym fragmentem; dziennik długu ciszy nie jest szyfrowany i przetrwa ZNISZCZ DANE; bez poprawnego rekordu stacja odczekuje maksymalny możliwy dług (ok. 16 s), zakłada nowy dziennik i liczy zdarzenie; odbiór (RX) trwa nadal | zużycie i przerwany zapis dziennika w pamięci nieulotnej wymagają próby; T4 |
| Zanik zasilania podczas zapisu lub nadawania | uszkodzony rekord kolejki lub długu ciszy; nadawanie bez zapisanego długu | poprawność zapisu nie zależy od czasu podtrzymania: każda transakcja w FRAM (ferroelektrycznej pamięci nieulotnej) ma znacznik zatwierdzenia zapisywany na końcu, a po restarcie transakcja niezatwierdzona jest odrzucana, a zatwierdzona dokańczana z rekordu transakcji; „ZAPISANE W STACJI…” pojawia się dopiero po zatwierdzeniu, a dług ciszy jest zatwierdzany przed nadaniem; sprzęt musi tylko nie uszkodzić pamięci poza bieżącym zapisem (krótkie serie SPI, reset MCU i zwolnienie linii CS przed spadkiem napięcia FRAM); w R02 komparator VSYS i kondensator podtrzymujący ≥680 µF dają dodatkowo czas na dokończenie serii i przerwanie nadawania (reguła zaniku zasilania) | sprawdzane próbą wyjęcia ogniw; stacja pilotażowa na gotowych modułach przechodzi 100 odcięć bez fałszywego „ZAPISANE W STACJI…” (minimum pilotażu), 1000 odcięć należy do odbioru wydania; T4/T6 |
| Przepięcie lub zanik na wejściu 12 V stacji | uszkodzenie przetwornicy 3,3 V lub rozładowanie akumulatora | łącznik dwukierunkowy z odcięciem nadnapięciowym (OVP) około 17 V i odłączeniem przy 11,5 V z zatrzaskiem; tłumienie wejścia kondensatorem elektrolitycznym; zakaz podłączania przy pracującym silniku bez prób ISO 7637-2 | sama dioda przeciwprzepięciowa (TVS) nie chroni przetwornicy; opis dotyczy R02; stacja pilotażowa ma wejście 12 V przez gotowy moduł przetwornicy, a pilotaż sprawdza podłączenie 12 V bez resetu; T6 |
| Wyczerpanie lub wyciek ogniw AA | utrata zasilania stacji; korozja styków | ostrzeżenie o niskim napięciu na ekranie; zapis w FRAM przed wyłączeniem; ogniwa litowe Li-FeS2, a alkaliczne i NiMH tylko awaryjnie; ochrona przed odwrotnym włożeniem; kryzysowy komplet ogniw Li-FeS2 zamknięty, TEST i przeglądy z kompletu ćwiczebnego lub ze źródła 12 V; wymiana kompletu kryzysowego w dacie ważności, nie rzadziej niż co 10 lat | stan ogniw po latach przechowywania; ogniwa alkaliczne i NiMH tracą na mrozie 50–80% pojemności; T6/T8 |
| Mróz w nieogrzewanym schronieniu | wolno odświeżany lub nieczytelny ekran, mniejsza pojemność ogniw i akumulatorów | ekran z pamięcią; ogniwa litowe; stacja w pomieszczeniu, antena na zewnątrz; powłoka ochronna płytki przeciw kondensacji po wyjęciu z zimnego magazynu | ekran przy −20 °C bez zapasu, czytelność do sprawdzenia; zakres temperatur gotowej stacji do zakwalifikowania; T6 |
| Rozładowanie obu pul A/B lub udar nowego źródła (poziom 3) | reset sieci i możliwa awaria elementów | kolejność podłączenia, każdy tor na pełne obciążenie, bezpieczniki i kwalifikacja udaru | dotyczy archiwalnego bloku zasilania; poziom 3 jest poza pilotażem i używa kupionej stacji zasilania (D05 zamknięte); T6 |
| Awaria portu ładowania telefonu | przepięcie telefonu | kupiona ładowarka USB z deklaracją zgodności UE (D05 zamknięte); własna ładowarka wypada z zakresu projektu | ochrona zależy od kupionej ładowarki; poziom 3 po pilotażu; T6 |
| Przebicie lub błędny przewód ochronny (PE) zasilania 230 V | porażenie lub pożar | D05 zamknięte: poziom 3 używa kupionej stacji zasilania z deklaracją zgodności UE; własna przetwornica 230 V wypada z zakresu projektu (opis zostaje w specyfikacji jako archiwum) | bezpieczeństwo zależy od kupionego urządzenia i użycia według jego instrukcji; T6 |
| Utrata klucza lub skopiowana tożsamość | brak zaufania albo podszycie | karty stacji i odbiorcy z pełnymi kluczami publicznymi; eksport tylko w trybie przygotowania, szyfrowany kluczem stacji docelowej, po imporcie źródło usuwa tożsamość; jedna aktywna instancja; paczka tożsamości zapasowej odbiorcy w zaplombowanej kopercie, a jej hasło w drugiej kopercie w innym miejscu; wiadomości stacji usuniętej z listy zaufanych trafiają do kwarantanny z alarmem „możliwe przejęcie stacji”; nowy klucz odbiorcy nigdy przez radio (05) | dostarczenie unieważnienia klucza odbiorcy do stacji wymaga gońca lub przeglądu; utrata klucza zapasowego wymaga nowych kart; T2/T8 |
| Przejęcie klucza prywatnego odbiorcy | odczyt wcześniej nagranych zgłoszeń wszystkich stacji | pakiety okazjonalne nie mają poufności przyszłej (forward secrecy); rotacja klucza odbiorcy według planu kart (D08); ochrona fizyczna i szyfrowanie dysku stanowiska; ewentualne ratchety LXMF (rotowane klucze odbioru; D01) | nagrany ruch pozostaje do odczytu po przejęciu klucza; T2 |
| Podmiana całego obrazu FRAM starszą kopią (rollback) | odtworzenie dawnej kolejki, statusów lub stanu kluczy | przed wydaniem (nie przed pilotażem): rekordy FRAM szyfrowane i uwierzytelniane AEAD (szyfrowaniem z uwierzytelnieniem), z jednorazowym numerem (nonce) złożonym z generacji klucza i numeru zapisu, który rośnie przy każdym zapisie, także przy przepisaniu tego samego gniazda, więc nonce nie powtarza się dla jednego klucza (specyfikacja oprogramowania); rekord z błędnym znacznikiem jest traktowany jak uszkodzony | AEAD nie wykrywa podmiany całego spójnego starego obrazu tym samym kluczem; wymaga fizycznego dostępu do stacji; ryzyko szczątkowe; T2 |
| Analiza ruchu | ujawnienie, które stacje komunikują się z odbiorcą, kiedy i jak często | małe wiadomości; brak cyklicznych emisji własnych stacji schronienia (jako węzeł transportowy stacja retransmituje jednak cudze ogłoszenia i ruch); neutralne nazwy WICI-xxxxxx | nagłówki Reticulum ujawniają adres celu i wolumen ruchu, a rozmiar pakietu ujawnia typ wiadomości SA1; szyfrowanie tego nie ukrywa; T4 |
| Obcy użytkownik w sieci lokalnej (LAN) | odczyt HTTP, nadużycie formularza lub panelu | minimalne dane, tokeny, logowanie opiekuna, walidacja i ograniczenia ruchu | HTTP nie chroni lokalnej poufności; T2 |
| Współdzielony kanał 869,525 MHz | kolizje z ruchem LoRaWAN (okno odbiorcze RX2), Meshtastic i MeshCore; kanał zajęty według CCA, opóźnienia. Meshtastic w Polsce nadaje zwykle na 869,525 MHz z szerokością 250 kHz, więc zajmuje całe podpasmo 869,40–869,65 MHz; według forów społeczności w samej aglomeracji warszawskiej działa ponad 200 takich węzłów. MeshCore używa 869,618 MHz i 62,5 kHz (preset EU/UK Narrow), tuż obok kanału WICI. Ruch obu sieci może wzrosnąć właśnie w kryzysie, gdy mieszkańcy po nie sięgną. W pilotażu WICI też używa LoRa na 869,525 MHz (D11), więc obce ramki LoRa nakładają się na ramki WICI i mogą je zniszczyć. Problemem są kolizje, nie odczyt: obce pakiety Reticulum bez właściwego IFAC stacja odrzuca, a treści WICI chroni Reticulum | wstępna ocena ruchu z publicznych statystyk społeczności (np. lorastats.pl) i pomiar zajętości przed pilotażem (etap 0) z rozróżnieniem LoRaWAN, Meshtastic i MeshCore; liczniki CCA i CRC; przy istotnym zajęciu nowy profil radiowy dla całej sieci; w podpaśmie 869,40–869,65 MHz każdy kanał 125 kHz pokrywa się z RX2, a każdy kanał dowolnej szerokości z Meshtastic, więc węższa szerokość pasma omija tylko RX2; ucieczka od Meshtastic wymaga innego podpasma z jego limitami mocy i cyklu pracy; każda zmiana oznacza ponowne przeliczenie czasu nadawania i W10 (D11) | pasmo jest współdzielone bez ochrony; D11, T5 |
| Wieloletnie przechowywanie zestawu | utrata danych na pamięci USB, starzenie generatora TCXO (oscylatora kwarcowego z kompensacją temperatury) i kondensatorów, niezgodność z nowymi systemami | coroczny przegląd: sumy kontrolne, uruchomienie, pomiar częstotliwości, próba pod obciążeniem, TEST; pomiar i korekta częstotliwości TCXO w każdym corocznym przeglądzie technicznym | przegląd wymaga osoby i sprzętu pomiarowego; T7/T8 |
| Głębokie rozładowanie źródła | uszkodzenie akumulatora, w tym rozruchowego pojazdu; niestabilna praca przy niskim napięciu | ostrzeżenie przy 11,8 V; odłączenie podnapięciowe w kupionej stacji zasilania i w zasilaczu buforowym przekaźnika; woltomierze; wcześniejsza wymiana akumulatora rozruchowego | próg nie zastępuje układu zarządzania baterią (BMS) ani oceny stanu akumulatora; T6 |
| Tlenek węgla z silnika pojazdu lub agregatu | zatrucie ludzi w schronieniu | zakaz na karcie stacji; akumulator wyjęty z pojazdu albo zasilanie z pojazdu stojącego na zewnątrz; pojazd z pracującym silnikiem używany jako źródło 12 V stoi kilka metrów od wejść i wlotów powietrza, a przewód nie może utrzymywać otwartych drzwi schronienia; bateryjny czujnik tlenku węgla jest częścią zestawu poziomu 3 | zależy od dyscypliny obsługi; T8 |
| Pożar lub wyciek z akumulatora | poparzenia, dym, gazy w zamkniętym pomieszczeniu | akumulatory na tacy, z dala od dróg ewakuacyjnych; brak ładowania akumulatorów w pomieszczeniu z ludźmi; gaśnica przy stacji | uszkodzony akumulator rozruchowy może wydzielać wodór; T6/T8 |
| Namierzenie emisji schronienia | wskazanie przeciwnikowi skupiska ludzi | stacja schronienia nie ogłasza się cyklicznie (tylko przy starcie, na polecenie i po nieudanych próbach, najwyżej raz na 30 min), stanowisko odbiorcze co 6 h; każda stacja z transportem retransmituje jednak ogłoszenia odbiorcy i ruch innych stacji, więc nadaje także bez własnych zgłoszeń; tryb ciszy radiowej; neutralne nazwy stacji; antena oddalona od pomieszczenia z ludźmi. WICI nie zapewnia niskiej wykrywalności. W rejonie działań zbrojnych należy zakładać, że każda emisja jest wykrywana i lokalizowana. Anteny stanowisk odbiorczych i przekaźników umieszcza się z dala od stanowiska kierowania i miejsc gromadzenia ludzi; stanowisko odbiorcze skupia ruch, więc jego antena wskazuje jego położenie. Profil czasu wojny ustala wójt z organami wojskowymi przed wdrożeniem (D12); na pilotaż wystarcza zgoda gminy i uzgodnienie ćwiczenia | szyfrowanie nie ukrywa faktu ani miejsca nadawania; T4/T8 |
| Zagłuszanie pasma przez systemy antydronowe | utrata łączności radiowej w rejonie | rozpoznanie po licznikach CCA i CRC; goniec i łączność głosowa jako procedura podstawowa | pasmo 868 MHz jest używane przez łącza sterowania dronów, więc może być zagłuszane; brak ochrony technicznej; T8 |
| Przejęcie stanowiska, laptopa lub stacji | ujawnienie adresów schronień, liczby osób i kluczy; podszycie się pod stację | szyfrowanie bazy laptopa kluczem z pamięci USB; rekordy FRAM stacji szyfrowane kluczem z chronionej pamięci MCU, bo zewnętrzną FRAM da się odczytać po wylutowaniu (przed wydaniem, nie przed pilotażem); ZNISZCZ DANE (definicja niżej): usunięcie klucza FRAM i danych stacji; nRF52840 tylko w rewizji 3 (kod wykonania Fx0) z APPROTECT (blokadą dostępu przez port debugowania) według IN-141; fizyczne zniszczenie pamięci; usunięcie stacji z listy zaufanych na stanowisku odbiorczym | dane wysłane wcześniej pozostają u odbiorców; w pilotażu FRAM nie jest szyfrowana i da się ją odczytać po przejęciu stacji; T2 |
| Dezinformacja z przejętego stanowiska odbiorczego | fałszywy nakaz ewakuacji, wyjścia z obiektu lub zmiany miejsca | komunikat nakazujący ewakuację, wyjście z obiektu lub zmianę miejsca opiekun wykonuje dopiero po potwierdzeniu drugim kanałem (radio publiczne, goniec z upoważnieniem wójta, służby na miejscu); bez drugiego kanału opiekun przygotowuje ludzi i ponawia potwierdzenie co 15 min; weryfikacja nie wstrzymuje ewakuacji z powodu zagrożenia na miejscu (pożar, dym, CO, zalanie, zawalenie, polecenie służb na miejscu); stopka „NAKAZ WYJŚCIA LUB EWAKUACJI? POTWIERDŹ W RADIU PUBLICZNYM LUB U GOŃCA” na każdym komunikacie BULLETIN; żaden BULLETIN nie wywołuje działania automatycznego; przełączenie stacji na tożsamość zapasową z karty odbiorcy, wykonywane przez opiekuna na polecenie słowne lub gońca, nigdy radiem | do czasu przełączenia na klucz zapasowy przejęta tożsamość odbiorcy pozostaje zaufana; T8 |
| Awaria komputera lub nośnika stanowiska odbiorczego | brak przyjęć i decyzji; utrata bazy przy uszkodzeniu nośnika | sieć przekazuje ruch, a schronienia ponawiają zgłoszenia; nośnik do komputera zapasowego (≤15 min); kopia bazy przy każdym przekazaniu zmiany; deduplikacja po kluczu odbioru przy zmianie komputera | przy utracie nośnika zgłoszenia przyjęte po ostatniej kopii (z RECEIVED, więc bez ponowień) i decyzje wysłane po niej odtwarza się z dziennika papierowego; T2, T8 |
| Przejęcie komputera lub nośnika stanowiska odbiorczego | ujawnienie klucza odbiorcy i treści zgłoszeń; podszycie się pod odbiorcę z innego miejsca | komputer bez połączenia z siecią poza USB do stacji; pełne szyfrowanie dysku; tożsamość i baza na zaszyfrowanym nośniku z hasłem przy starcie aplikacji; blokada ekranu; ZNISZCZ DANE i zniszczenie nośników; przy podejrzeniu przejęcia przełączenie schronień na tożsamość zapasową słownie lub przez gońca | działający komputer z otwartym nośnikiem ujawnia klucz; pakiety okazjonalne bez poufności przyszłej ujawniają nagrane zgłoszenia; T2, T8 |
| Fałszywe zgłoszenia w czasie wojny | zwabienie ratowników w zasadzkę lub w miejsce zagrożone | dyżurny potwierdza nietypowe zgłoszenia i zgłoszenia z kwarantanny drugim kanałem przed skierowaniem ludzi | zależy od procedury dyżuru i dostępności drugiego kanału; T8 |
| Zakaz nadawania w stanie nadzwyczajnym | sieć nie może legalnie działać, gdy jest potrzebna | uzgodnienie statusu z organem ochrony ludności przed wdrożeniem: status w stanie wojennym, WSzW/WOT, opinia UKE (D12); na pilotaż wystarcza zgoda gminy i uzgodnienie ćwiczenia | zależy od decyzji organów; D12 |
Ochrona danych i zaufania
Zagrożenia obejmują przypadkowego użytkownika, osobę w tej samej sieci, podszycie się pod odbiorcę, kradzież laptopa, stacji lub komputera stanowiska odbiorczego i celowe zakłócanie radia. Bazowe szyfrowanie Reticulum nie chroni przed zagrożeniami na obu końcach transmisji. Nie można deklarować bezpiecznej pracy na przejętym komputerze.
Token ogranicza dostęp do zgłoszenia w aplikacji, ale przesyłany przez HTTP może zostać przechwycony. Hasło Wi-Fi nie zastępuje HTTPS. Baza laptopa jest na dysku zaszyfrowana kluczem z pamięci USB zestawu. Start nie wymaga hasła, więc szyfrowanie nie opóźnia uruchomienia.
Klucz tożsamości, karta odbiorcy i kolejka są w pamięci stacji. Szyfrowanie rekordów FRAM (AEAD) jest wymagane przed wydaniem, nie przed pilotażem: na poziomie 1 kolejka zawiera tylko frazy z przycisków, a dane o zdrowiu tylko pośrednio, przez kategorie. Kolejka zawiera adres schronienia i zgłoszenia zbiorcze.
Po dołączeniu laptopa (poziom 2, po pilotażu) może zawierać też dane o zdrowiu: opis z panelu oraz kategorie 0–1 przy małej liczbie osób mogą wskazywać konkretną osobę. Stacja zapisuje tylko treść SA1. Laptop zapisuje SA1, skrót tokenu i czas, bez adresu IP, adresu MAC, numeru telefonu i nazwiska. Panel ostrzega „nie wpisuj nazwisk”.
ZNISZCZ DANE ma jedną definicję, wiążącą w specyfikacji oprogramowania. Na stacji usuwa klucz szyfrowania FRAM (kryptograficzne wymazanie), klucz tożsamości, kartę odbiorcy, adres, kolejkę, skrzynkę i dziennik zdarzeń. Dziennik długu ciszy zostaje, bo chroni warunki nadawania. Dopóki FRAM nie jest szyfrowana (pilotaż), skuteczność zależy od skasowania samych danych, a nie klucza; T8 w pilotażu sprawdza tylko brak przypadkowego uruchomienia. Uruchamia się je tylko na stacji (STAN → USŁUGI, potwierdzenie sekwencją przycisków) albo przez USB z potwierdzeniem przyciskiem na stacji w ciągu 30 s, a na komputerze stanowiska odbiorczego z panelu dyżurnego z podwójnym potwierdzeniem; nigdy na podstawie wiadomości radiowej. Na komputerze stanowiska usuwa tożsamość odbiorcy, bazę i plik kont z nośnika i z kopii, a decyduje fizyczne zniszczenie obu nośników. Na laptopie klucz bazy powstaje z pliku na pamięci USB i sekretu w magazynie systemowym (DPAPI/TPM albo Keychain); ZNISZCZ DANE usuwa wpis z magazynu, bazę i eksporty. Nadpisanie pamięci flash i dysków SSD nie gwarantuje usunięcia danych, dlatego o skuteczności decyduje usunięcie klucza, a przed odczytem samego nośnika USB chroni tylko jego fizyczne zniszczenie. Zbiorcza baza odbiorcy zawiera adresy schronień i liczbę osób, czyli informację cenną dla przeciwnika. Jej ochrona i procedura zniszczenia są częścią przygotowania stanowiska. Należy zbierać tylko minimum danych, nie publikować zbiorczej listy potrzeb mieszkańców i ograniczać fizyczny dostęp do laptopa, stacji oraz kopii.
Rozmieszczenie stacji, przekaźników i stanowisk odbiorczych oraz karty kluczy to informacja organizatora sieci o ograniczonym dostępie. Z pełnomocnikiem ds. ochrony informacji niejawnych należy ocenić, czy wymagają klauzuli. Map sieci nie publikuje się.
Przed pilotażem uzgodnić: osobę odpowiedzialną za dane, cel i czas przechowywania, zakres kopii, uprawnienia dyżurnych, usuwanie danych po zakończeniu pracy i postępowanie po kradzieży. Nie dodawać samowolnie sztywnego okresu retencji jako rzekomego wymogu prawnego. Uzgodnienia te poprzedzają wdrożenie, a podczas zdarzenia nie wstrzymują przyjmowania zgłoszeń. Po zdarzeniu ZAMKNIJ ZDARZENIE eksportuje zaszyfrowane archiwum dla administratora danych (klucz publiczny z D13). Następnie usuwa zgłoszenia, tokeny, eksporty i dzienniki z danymi na laptopie, kolejkę i skrzynkę na stacji oraz treści na stanowisku odbiorczym. Tożsamości i klucze odbioru zostają (T2/T8). Eksport tożsamości (PRZENIEŚ STACJĘ) jest szyfrowany kluczem publicznym stacji docelowej i działa tylko w trybie przygotowania; nigdy nie zawiera jawnego klucza prywatnego.
Karta odbiorcy musi pochodzić z niezależnego potwierdzenia. Nie wolno jej przyjmować automatycznie od pierwszego napotkanego nadajnika. Nieznana stacja nie może sama nadać sobie adresu lub roli służby. Podpisany komunikat wymaga oznaczenia źródła i czasu odbioru. Dyżurny nadal odpowiada za jego treść.
Warunki użycia i odbudowa
Propozycja pilotażu: stacja i jej zasilanie w suchym, osłoniętym miejscu (laptop i poziomy 2–3 dochodzą po pilotażu), antena na zewnątrz z ochroną przewodu i odciążeniem złącza. Droga przewodu nie może uniemożliwiać zamknięcia wymaganych drzwi ani tworzyć przeszkody ewakuacyjnej. Uzgodnić miejsce i sposób mocowania. Praca w wilgoci, mrozie, po upadku, podczas rozruchu silnika oraz w atmosferze wymagającej specjalnych zabezpieczeń nie jest zakwalifikowana.
Przekaźnik na cudzym budynku wymaga pisemnego porozumienia z zarządcą, wskazania osoby z dostępem do miejsca montażu i oceny instalacji odgromowej budynku.
Organizator sieci może używać stacji wyłącznie jako produktów z deklaracją zgodności UE wystawioną przez producenta. Samodzielne złożenie stacji przez organizatora sieci lub wolontariuszy czyni ich producentem, ze wszystkimi obowiązkami wynikającymi z dyrektywy radiowej RED (specyfikacja radia). Prototypy w pilotażu pozostają własnością i na odpowiedzialności zespołu projektu; sama własność nie zwalnia z wymagań, więc podstawę ich pracy w terenie ustala D20 (08).
Celem dla gotowej stacji z ogniwami litowymi jest −20…+45 °C (specyfikacja elektroniki). Pilotaż sprawdza 48 h na ogniwach AA w temperaturze pokojowej; próby w niskiej temperaturze należą do odbioru wydania. Przed wdrożeniem trzeba sprawdzić zakres dla kompletu z obudową, przewodami i ogniwami, a na poziomie 3 także zakres kupionej stacji zasilania i ładowarki podany przez producenta (D05). Katalogowy zakres temperatur elementu nie przenosi się na gotową konstrukcję.
Minimalne zaplecze naprawcze na pilotaż: zapasowe ogniwa AA, zapasowa stacja z możliwością przeniesienia tożsamości, na stanowisku odbiorczym drugi komputer stanowiska i drugi nośnik z kopią bazy, przewód USB, bezpieczniki o właściwej wartości, antena i przewód antenowy oraz odczytywalna kopia wydania. Przy awarii najpierw należy ustalić, czy błąd dotyczy strony, laptopa, stacji, trasy, odbiorcy czy zasilania. Ponowne uruchomienie nie rozwiązuje nieznanego błędu bazy ani ochrony elektrycznej.
PRZENIEŚ STACJĘ zachowuje tożsamość i kolejkę przez kontrolowany eksport ze sprawnej stacji na stację zapasową; stara stacja przestaje pracować. Kopii tożsamości nie ma, więc uszkodzona stacja zostaje zastąpiona stacją z nową tożsamością, a odbiorca usuwa starą z listy zaufanych. Bazę laptopa przenosi się osobno. Po nagłej utracie bez kopii nie da się obiecać odzyskania ostatnich lokalnych zgłoszeń. Odbiorca może mieć wcześniej przyjęte dane, lecz nie są one kopią całej bazy schronienia. Procedura w specyfikacji.