許龍霞，任燁，何雷，李孝輝,3

EGNSS授時服務安全性發(fā)展綜述

許龍霞1,2，任燁1,2，何雷1,2，李孝輝1,2,3

（1. 中國科學院 國家授時中心，西安 710600；2. 中國科學院 精密導航定位與定時技術重點實驗室，西安 710600；3. 中國科學院大學，北京 100049）

時間廣泛應用于各行各業(yè)，基于衛(wèi)星導航系統(tǒng)的星基授時與時間同步技術是人們獲取時間的主要方式。時間的重要性及衛(wèi)星導航系統(tǒng)的固有脆弱性，使得授時安全性成為用戶關注的重要因素。目前，國內尚未建立關于授時安全性的相關概念和體系。本文主要介紹Galileo授時服務擴展與整合項目在授時安全性方面的初步研究結果。首先，根據(jù)用戶對時間精度的需求，將衛(wèi)星導航系統(tǒng)提供的授時服務定義為3個等級，確定了授時服務安全性要求。從影響授時的各項因素出發(fā)，分析了不同等級的固有異常概率。最后，設計了消除授時異常的安全性架構體系，達到授時服務的安全性要求。該項目的研究思路和成果可為北斗衛(wèi)星導航系統(tǒng)授時安全性定義和體系架構設計提供參考。

Galileo；授時；安全性；異常概率；風險

0 引言

時間因其特殊性廣泛應用于電信、能源和金融領域，這些領域是支撐現(xiàn)代社會運行的重要部門，具有重要的戰(zhàn)略意義[1-4]。美國國土安全部第21號總統(tǒng)政策指令確定的16個關鍵行業(yè)中，通信、移動電話、電力分配、金融和信息技術等11個都依賴于精準的授時與時間同步技術[5]?？梢娛跁r體系對于國家經濟命脈以及國土安全至關重要。也正是因為此，美國繼1997年提出“導航戰(zhàn)”之后[6]，2017年美空軍提出“授時戰(zhàn)”概念[7]。仿照“導航戰(zhàn)”的定義，“授時戰(zhàn)”可以定義為阻止敵方使用衛(wèi)星授時信息，保證己方和友方可以有效利用衛(wèi)星授時信息，同時不影響戰(zhàn)區(qū)以外區(qū)域和平利用衛(wèi)星授時信息[7]。

考慮到時間的重要性及其在各行各業(yè)的廣泛應用，歐盟已將Galileo授時與時間同步服務獨立為與定位同等重要的一項服務能力。歐盟最先開展了授時完好性的相關研究，Galileo授時服務擴展與整合（Galileo Timing Service Extension and Consolidation，EGALITE）項目[8]作為歐盟地平線2020計劃的一部分，致力于研究開發(fā)基于Galileo的歐洲全球衛(wèi)星導航系統(tǒng)（European Global Navigation Satellite System，EGNSS）授時服務。

授時完好性與導航完好性概念不同，導航完好性與生命安全密切相關，完好性概念是成熟的，具有精確的定義且可用量化參數(shù)描述。而實際中GNSS（Global Navigation Satellite System）授時應用領域與生命安全的相關性不及導航緊密。對于與生命安全不太相關及新興的應用，只有完好性需求，尚無授時完好性定義和量化表達方法，需要研究“授時完好性”概念。

GNSS授時完好性是一個很寬泛的概念，不僅限于民用航空中的定義，還包括其他應用中的安全工程、質量保證與質量控制的概念，安全性分析是實現(xiàn)GNSS授時完好性的第一步。本文介紹了EGALITE項目的主要研究成果，該項目設計了系統(tǒng)級安全架構，展開分析了影響GNSS授時安全性的因素。從安全的角度分析了全球衛(wèi)星導航系統(tǒng)提供授時服務的方法，分析了影響授時的各項風險及發(fā)生概率，研究了降低授時異常的消除機制，目的是基于安全架構定義GNSS授時服務[9]。

1 基本假設與定義

歐盟提出的授時安全體系架構要求GNSS定時接收機滿足如下假設條件：

① GNSS定時接收機連續(xù)運行，輸出Galileo/GPS偽距，解析導航電文，輸出標準1 PPS定時信號，電離層延遲采用單頻模型或雙頻組合改正。

② 接收機可實時估計接收機鐘差，且調節(jié)內部時鐘輸出至少1路秒脈沖信號，信號的上升沿與GNSST（GNSS time）或UTC（Coordinate Universal Time）對齊。

③ 接收機可輸出時標信息，采用WN+TOW（week number + time of week）形式表示GNSST，或以YYYY/MM/DD-HH:MM:SS（年月日時分秒）表示的UTC。

④ 當應用于電信、電力和金融等關鍵基礎設施行業(yè)時，要求GNSS定時接收機工作于靜態(tài)、開闊環(huán)境中。

本文中GNSS指GPS和Galileo。對于GPS，GNSST指GPS系統(tǒng)時間GPST，GPS播發(fā)的UTC物理實現(xiàn)為UTC（USNO）。對于Galileo，GNSST指Galileo系統(tǒng)時間GST，Galileo播發(fā)的UTC物理實現(xiàn)為歐洲5個守時實驗室保持的UTC()時間尺度的平均。接收機從GNSST中減去閏秒數(shù)，再加上GNSST與UTC（模1 s）之間的偏差預測值（UTC offset prediction，UTCOpre）就可以獲得UTC。

1.1 正常授時服務狀態(tài)的定義

考慮到用戶當前及未來對時間精度的需求，定義了3個不同的服務等級（service level，SL）和相應的最大容許誤差（maximum tolerable error，MTE），如表1所示。此處“誤差”是指通過接收GNSS信號獲得的時間與UTC之間的偏差。

表1 初步確定的最大容許誤差

1.2 異常授時服務狀態(tài)的定義

根據(jù)上述正常授時服務狀態(tài)的定義，從定時接收機的輸出來看，當至少出現(xiàn)下列情況之一時可以認為出現(xiàn)了授時異常：

① 定時接收機輸出的上升沿與GNSST或UTC對齊的1 PPS與參考（GNSST或UTC）1 PPS的偏差超過相應服務等級定義的MTE值。

② 距1 PPS最近的整秒對應的GNSST TOD（WN+TOW）錯誤。

③ 距1 PPS最近的整秒對應的UTC TOD（YYYY/MM/DD-HH:MM:SS）錯誤，包括閏秒轉換錯誤。

1.3 安全等級要求

文獻[10]給出了安全異常嚴重等級的定義和量化要求，示于表2。

表2 安全異常嚴重等級與量化要求[1]

考慮到時間應用的關鍵基礎設施與生命安全相關性不大，將GNSS授時異常的安全等級定為“重要”。該等級要求目標的最大異常概率低于10-5/h，大約相當于每11.4年出現(xiàn)一次異常，其中“異?！焙x為1.2節(jié)定義的授時異常。

2 GNSS授時安全性分析

在確定授時安全性等級后，GNSS授時安全性分析的第一步為分析滿足各服務等級MTE值前提下EGNSS授時的“固有”異常概率，“固有”異常概率的含義為對預定義的MTE值無任何完好性保障或異常消除措施下的異常發(fā)生概率。

當“固有”異常概率不超過10-5/h時，衛(wèi)星導航系統(tǒng)授時是安全的，不需要采取任何措施。當“固有”異常概率大于10-5/h，為降低異常概率，需要采取消除措施。最簡單的方法是排除故障衛(wèi)星，可以通過在接收機端采用時間完好性監(jiān)測算法（time receiver autonomous integrity monitoring，TRAIM），同時結合外部監(jiān)測系統(tǒng)提供的附加信息來實現(xiàn)。若采取上述措施后，異常概率仍大于10-5/h，還需要考慮其他消除措施。

根據(jù)GNSS授時的過程，授時異常來源于兩方面，一方面異常來源于接收機鐘差（接收機時間與GNSS系統(tǒng)時間的偏差）。GNSS授時較為特殊，大多數(shù)定時接收機采用位置保持模式，只需一顆衛(wèi)星就可以確定接收機鐘差。另一方面異常來源于GNSS時間到UTC的轉換，GNSS TOD到UTC TOD的轉換及閏秒。

2.1 授時安全風險分析

為了識別影響授時的所有相關風險及其發(fā)生概率，開展了風險分析，基于各項異常風險確定衛(wèi)星導航系統(tǒng)的“固有”異常概率。

2.1.1 確定風險發(fā)生概率的方法

在風險分析中，必須確定各服務等級下每種風險的發(fā)生概率[11-12]。文獻中的大多數(shù)風險可通過引入誤差概率密度函數(shù)來描述：

① 不可能發(fā)生的授時異常：有些風險不可能發(fā)生，因此不可能引起授時異常。例如，無論是否修正電離層延遲，其引起的誤差都不會導致SL1（MTE = 1 000 ns）出現(xiàn)授時異常。因此，實際中只考慮可能會導致各服務等級出現(xiàn)授時異常的風險。

② 從未發(fā)生過的授時異常：對于從未發(fā)生過的授時異常，采用風險水平為10-5的卡方分布檢驗確定其發(fā)生概率。

估計時段從2000年5月（選擇可用性（selective availability，SA）結束）到現(xiàn)在，當檢驗時段內無異常發(fā)生時，采用下式約束單側異常概率，基于公式（2）估計的最終異常概率為6.91×10-5。

③ 只發(fā)生過一次的授時異常：相同的方法也適用于授時異常只出現(xiàn)一次的情況，風險水平為10-5時對應的異常概率為8.55×10-5。對于一段時間內的檢驗，采用單側置信水平下尾部確定異常概率：

2.1.2 確定異常概率的假設條件

此外，對所有服務等級均假設：

① 接收機放置于開闊環(huán)境中。

② 位置已知時，偽距誤差即授時誤差。

③ 位置未知時，需要考慮時間精度因子（time dilution of precision，TDOP）的影響。

根據(jù)文獻[13]TDOP最大值為5，而Galileo系統(tǒng)最壞情況下的位置精度因子（position dilution precision，PDOP）值僅為5?？紤]到TDOP≤PDOP，TDOP值取5是較為保守的。因此位置未知時，約束用戶端不能使用DOP值大于4.5的解。

④ 當風險引起的誤差至少低于服務等級MTE誤差一個數(shù)量級時，對該服務等級認為此時風險是不可能發(fā)生事件，不考慮該風險。

⑤ 當不約束風險引起的誤差時，該風險將以相同的概率影響各個服務等級。

⑥ 硬件、電離層、衛(wèi)星鐘差和位置誤差的異常概率后面討論。

⑦ 用戶最終應使用MOPS對流層模型，此時對流層殘差可用標準方差為0.46 m的高斯分布描述。因此對流層延遲誤差不可能引起各服務等級授時異常。

⑧ 定時接收機排除載噪比（C/N0）低于30 dBHz的衛(wèi)星，消除性能下降的等效全向輻射功率對定時的影響。

⑨ 為保證定時的可靠性，要求定時接收機對應各服務等級的異常概率低于10-6/h。

2.1.3 硬件異常要求與概率

硬件異常定義為正常情況下偽距計算中出現(xiàn)的額外誤差。額外是指此類事件會直接引起或與其他風險共同引起安全異常。需要根據(jù)服務等級確定相對于正常情況下的最大偏差。對于所有服務等級，接收機硬件的異常概率均為10-6/h。可接受的硬件最大誤差與服務等級有關，每個等級對應的正常情況下的最大偽距誤差為：SL1：100 ns；SL2：10 ns；SL3：3 ns。

10-6/h的硬件異常概率是符合目標最高安全概率的相對保守的先驗要求。授時完好性監(jiān)測站（timing integrity monitoring stations，TIMS）是確保符合目標的最高安全要求，計算的最大概率主要由硬件異常概率引起。用戶要選擇和維護其硬件符合適于其應用的異常率，或在不超出最高安全要求的情況下適當放寬對硬件的要求。

對于SL3，硬件異常概率與3 ns相關，要求定期校準接收終端?？紤]到優(yōu)于3 ns的校準精度較難實現(xiàn)，將SL3最大偽距誤差放寬至5 ns。

2.1.4 最大誤差預算

影響每個服務等級的主要誤差項是不同的，表3給出了接收機位置已知和未知情況下，不同服務等級對應的硬件、電離層、星鐘和衛(wèi)星位置誤差的最大預算值。

表3 連續(xù)存在風險的安全誤差預算 單位：ns

2.1.5 星鐘與衛(wèi)星位置誤差

對應每個服務等級，使用空中信號測距誤差（signal in space range error，SISRE）參數(shù)描述星鐘與衛(wèi)星位置誤差的異常概率，Galileo SISRE服從均值為-0.14 m、標準方差為1.06 m的正態(tài)分布，GPS SISRE服從均值為-0.02 m、標準方差為0.778 m的正態(tài)分布[14]。為簡化問題，以Galileo SISRE的概率分布確定星鐘與衛(wèi)星位置誤差的邊界。表4為位置已知和未知下各服務等級的星鐘與衛(wèi)星位置誤差的異常概率。

表4 星鐘與衛(wèi)星位置誤差的異常概率（每顆星每小時）

根據(jù)表中結果，可以得出以下結論：

① SL1位置已知和未知時，星鐘和衛(wèi)星位置誤差的異常概率為2.85×10-13/（h·sat），遠遠低于10-6/h，此時星鐘和衛(wèi)星位置誤差是不可能發(fā)生的。

② SL3位置未知時星鐘和衛(wèi)星位置誤差的異常概率值很大，即使位置已知也很難滿足安全性要求。為保障安全運行，在單星異常率為1.73×10-2/（h·sat）時，組合使用TIMS授時完好性標識和TRAIM算法需要排除至少3顆異常衛(wèi)星。

2.1.6 衛(wèi)星異常概率到授時異常概率的轉換

根據(jù)上述分析的各項風險概率可以計算授時異常概率，將衛(wèi)星異常概率轉換為授時異常概率。基于以下假設：

① 風險發(fā)生的概率是不相關的；

② 不同衛(wèi)星發(fā)生風險的概率是不相關的；

③ 基于偽距和導航電文采用PVT算法（無論是位置已知還是位置未知模式）確定授時解。對于GPS/Galileo組合定位，將Galileo、GPS系統(tǒng)時間偏差（Galileo GPS time offset，GGTO）作為一個未知數(shù)與PVT同時估計。

2.1.7 使用EGNOS電離層信息的異常概率

EGNSS授時系統(tǒng)可能使用EGNOS格網(wǎng)電離層信息改正電離層延遲，表5給出了各服務等級下是否使用EGNOS格網(wǎng)電離層垂直誤差（grid ionospheric vertical error，GIVE）信息的情況。

表5 各服務等級的EGNOS使用情況

表6總結了參考值為200 TECU（total electron content unit）和實際值為20 TECU時SL1和SL2在位置已知和未知下的異常概率[15]。典型垂直總電子含量（vertical total electron content，VTEC）值在地方時夜晚的幾個TECU到白天的幾十個TECU之間變化，電離層活躍劇烈時VTEC值可達200 TECU。

表6 電離層異常概率

表6中結果說明：

① 安全運行取決于電離層實際情況。在無增強系統(tǒng)的情況下，電離層的實際情況可以滿足SL1和SL2的安全性要求。

② 使用NeQuick模型改正電離層延遲可以實現(xiàn)嚴格的安全評估，必須提供一個數(shù)學誤差邊界。

③ SL2位置未知情況下要求用戶使用EGNOS格網(wǎng)信息或雙頻組合改正電離層延遲。

④ SL3僅限位置已知，要求必須采用雙頻組合改正電離層延遲。

2.2 風險分析結論

基于上述風險事件的分析，GNSS授時異常風險主要來自兩方面，一方面為PVT解算接收機鐘差和GNSST及GNSST TOD的計算。另一方面為根據(jù)GNSST計算UTC，包括GNSST與UTC之間的偏差及UTC TOD。此外，接收機終端也會引入授時風險，如接收機未校準。表7總結給出了授時相關的風險及屬性。

表7 衛(wèi)星導航系統(tǒng)授時相關的風險

續(xù)表7

綜合考慮表7中的各項風險，表8給出了故障樹分析得到的各服務等級的異常概率。1.3節(jié)中要求授時的異常概率不超過10-5/h，由表8的結果可以看出衛(wèi)星導航系統(tǒng)的“固有”異常概率大于要求值。若不采取異常消除措施，無法滿足衛(wèi)星導航系統(tǒng)各服務等級的要求。

表8 授時異常概率總結

3 Galileo授時服務的安全性體系架構

考慮到衛(wèi)星導航系統(tǒng)“固有”授時異常概率不能滿足安全性等級的要求，需要采取授時異常的消除措施，設計了安全體系架構，圖1所示為系統(tǒng)級EGNSS授時安全性架構。

圖1 EGNSS授時安全性架構

用戶接收Galileo標準服務信號，獲得偽距觀測值和導航電文，同時接收Galileo空中信號獲得GNSS授時增強信號。每顆Galileo衛(wèi)星發(fā)播全星座衛(wèi)星的授時增強標識信息。授時增強標識信息基于全球分布的TIMS觀測數(shù)據(jù)確定。部分TIMS可接入外部UTC() 參考1 PPS和10 MHz信號，至少有3個TIMS位于UTC() 守時實驗室，以UTC() 為真值實現(xiàn)GNSS授時的冗余比較。TIMS產生的原始數(shù)據(jù)（偽距和導航電文）實時發(fā)送到Galileo服務中心，通過對原始數(shù)據(jù)進行處理生成Galileo（GPS）授時增強標識，發(fā)送至Galileo控制中心，上行至衛(wèi)星。Galileo（GPS）授時增強標識由Galileo衛(wèi)星廣播。

用戶接收Galileo空中信號和Galileo授時增強標識，結合TRAIM算法和授時增強標識解算確定接收機鐘差。一般地，接收機采用TRAIM算法可以排除大部分衛(wèi)星異常，但仍然還需使用TIMS授時增強標識。根據(jù)TIMS標識，事先排除已知故障衛(wèi)星，TRAIM算法可以有效檢測本地異常。TRAIM無法檢測星座共同偏差，尤其在接收機未經過校準時，TIMS可以檢測星座共同偏差，例如廣播群延遲中的出現(xiàn)共同偏差。TRAIM算法相對復雜，不一定所有的接收機都集成了該算法，接收機終端使用TIMS標識排除異常衛(wèi)星較易實現(xiàn)。

在延遲改正算法方面，建議采用EGNOS電離層模型（對位置未知的SL2用戶是最低要求）和NeQuick電離層模型（位置已知SL1、SL2用戶）。推薦用戶使用EGNOS對流層算法改正對流層延遲。推薦將GNSS授時信息與NTP進行互檢。通過互聯(lián)網(wǎng)使用網(wǎng)絡時間協(xié)議（Network Time Protocol，NTP）將GNSS授時信息與一臺或多臺NTP服務器連接，可以在幾十毫秒量級驗證GNSS授時信號的有效性，尤其是在整數(shù)秒量級驗證UTC TOD的有效性。此外，需要對定時接收機進行校準，或溯源至UTC()守時實驗室。為實現(xiàn)連續(xù)監(jiān)測，每個TIMS至少可視一顆Galileo（GPS）衛(wèi)星。

4 用戶端采取魯棒措施

在Galileo衛(wèi)星導航電文中采用2 bit發(fā)播授時增強標識，對應當前Galileo衛(wèi)星各服務等級的“使用/不使用”標志。此外，建議播發(fā)VTEC標識，覆蓋3個經度帶和4個緯度帶，表示最大VTEC值是否超過TIMS監(jiān)測數(shù)據(jù)的最大閾值。若不使用EGNOS模型改正電離層延遲，單頻接收機將無法提供SL2服務。對于位置已知要提供SL2服務的無EGNOS電離層改正能力的單頻用戶，建議用戶解析電文中的VTEC值，該值反映了最近幾分鐘內TIMS監(jiān)測的全球電離層狀態(tài)。若VTEC最大值標識表明有異常的電離層活動，建議用戶切換到自主維持狀態(tài)。

告警時間（time to alert，TTA）是衡量完好性的一項重要參數(shù)，目前尚未根據(jù)用戶需求定義告警時間，需結合授時應用場景進一步研究。一般地授時應用領域無關生命安全，TTA不是授時的關鍵因素，一般授時應用中TTA值大約為幾十分鐘。用戶端采取TRAIM算法，結合Galileo導航電文正常更新的授時增強標識即可滿足用戶要求，在幾秒內實現(xiàn)告警的需求不大。表9給出了用戶接收終端需要采取的魯棒措施。

表9 EGNSS授時接收機端魯棒措施

5 結語

基于設計的安全性架構，用戶端采取異常消除措施后，EGNSS授時各服務等級的異常概率為SL1位置已知1.01×10-6；SL2位置已知1.03×10-6，位置未知1.05×10-6；SL3位置已知2.23×10-6，基本滿足授時的安全性等級要求。

我國的北斗衛(wèi)星導航系統(tǒng)星座剛剛部署完成，國內在授時與時間同步方面的研究主要圍繞性能的提升與改善。對授時與時間同步的完好性、魯棒性方面的關注度不夠。目前，衛(wèi)星導航系統(tǒng)提供的授時服務在精度方面可以滿足絕大多數(shù)用戶的需求，越來越多的用戶提出完好性要求，要求提高授時服務的可靠性與魯棒性。本文內容可為開展授時完好性相關的研究提供思路，為應對“授時戰(zhàn)”提供一種可能的途徑。

[1] YULLIS P. The world economy runs on GPS. It needs a backup plan[J/OL]. Bloomberg Businessweek. (2018-07-25)[2020-11-16]. https://www.bloomberg.com/news/features/2018-07-25/the world economy runs it needs a backup plan.

[2] LESLIE M. What if the global positioning system didn’t work?[J]. Engineering, 2019, 5(6): 985-986.

[3] BANERJEE P. Timing in GNSS-its importance and challenges[C]//2015 International Conference on Microwave & Photonics, India: IEEE, 2015.

[4] O’CONNOR A C, GALLAHER M P, CLARK-SUTTON K, et al. Economic Benefits of the Global Positioning System (GPS)[K]. North Carolina: RTI International, 2019.

[5] The White House Office of the Press Secretary. Presidential policy directive 21/PPD-21[EB/OL]. (2013-02-12)[2020-11-02]. http://www.whitehouse.gov/the-press-office/2013/02/12/presidential-policy-directive-critical-infrastructure-security-and-resil.

[6] CRAIG COVAULT. Navigation warfare[EB/OL]. (2010-11-01)[2020-11-02]. https://www.defensemedianetwork.com/stories/navi-gation-warfare/.

[7] 葛悅濤, 薛連莉. 美國導航戰(zhàn)與授時戰(zhàn)劣勢分析[J]. 飛航導彈, 2020(6): 6-11.

[8] FIDALGO J, PíRIZ R, CEZóN A, et al. Proposal for the definition of a Galileo timing service[C]//32nd International Technical Meeting of the Satellite Division of the Institute of Navigation (ION GNSS+ 2019), Miami: Institute of Navigation, 2019.

[9] PíRIZ R, BUENDíA F, MARTíN J R, et al. Safety analysis for a new GNSS timing service via Galileo[C]//32nd International Technical Meeting of the Satellite Division of the Institute of Navigation (ION GNSS+ 2019), Miami: Institute of Navigation, 2019.

[10] BLANQUART J P, BIEBER P, DESCARGUES G, et al. Similarities and dissimilarities between safety levels and security levels[C]//Embedded Real Time Software and Systems, ERTS 2012 Toulouse: [s.n.], 2012.

[11] HENG L, GAO G X, WALTER T, et al. GPS signal-in-space anomalies in the last decade: data mining of 400 000 000 GPS Navigation Messages[C]//Proceedings of the 2010 International Technical Meeting of The Institute of Navigation (ION GNSS+ 2010), Portland: Institute of Navigation, 2010.

[12] DYKE V, KOVACH K, LAVRAKAS J. Status update on GPS integrity failure modes and effects analysis[C]//Proceedings of the 2004 International Technical Meeting of The Institute of Navigation (ION GNSS+ 2014), San Diego: Institute of Navigation, 2004.

[13] REID T, NEISH A M, WALTER T, et al. Broadband LEO constellations for navigation[J]. Navigation, 2018, 65(2): 205-220.

[14] PEREA S, MEURER M, RIPPL M, et al. URA/SISA analysis for GPS and Galileo to support ARAIM[J]. Navigation, 2017, 64(2): 237-254.

[15] TEUNISSEN P J G, MONTENBRUCK O. Springer Handbook of Global Navigation Systems[M]. [S.l]: Springer International Publishing, 2017.

[16] TANG H, PULLEN S, ENGE P, et al. Ephemeris type a fault analysis and mitigation for LAAS[C]//Position Location & Navigation Symposium, Indian Wells: IEEE, 2010.

[17] RTCA INC. Minimum Operational Performance Standards for Global Positioning System/Wide Area Augmentation System Airborne Equipment. DO-229D[R]. Radio Technical Commission for Aeronautics (RTCA), Washington D C, 2006.

Review of safety analysis of EGNSS time service

XU Long-xia1,2, REN Ye1,2, HE Lei1,2, LI Xiao-hui1,2,3

(1. National Time Service Center, Chinese Academy of Sciences, Xi’an 710600, China;2. Key Laboratory of Precise Positioning and Timing Technology, Chinese Academy of Sciences, Xi’an 710600, China;3. University of Chinese Academy of Sciences, Beijing 100049, China)

Time is widely used in various aspects of life. Time service and time synchronization technology based on navigation satellites are the important ways to access time. Considering the importance of time and the inherent vulnerability of satellite navigation system, the safety of time service becomes the main focus. At present, there are fewer studies on the concept and architecture about the safety of time service. This paper introduces the preliminary research results of Galileo timing service extension and consolidation project on safety of time service in European. Firstly, the time service provided by satellite navigation system is defined as three levels according to the user’s requirement for time accuracy, then the safety requirements of time service are determined. And the inherent hazard probability of each level is analyzed while considered the factors that affect time service. Finally, the safety architecture is designed to eliminate failures. The research ideas and preliminary results can provide valuable reference for the definition and design of BDS timing safety.

Galileo; time service; safety; probability of failure; hazard

10.13875/j.issn.1674-0637.2021-02-0102-11

許龍霞，任燁，何雷, 等. EGNSS授時服務安全性發(fā)展綜述[J]. 時間頻率學報, 2021, 44(2): 102-112.

2020-11-17；

2020-12-05

國家自然科學基金面上資助項目（12073033）；中國科學院青年創(chuàng)新促進會資助項目（1188000XLX）；中國科學院“西部之光”人才培養(yǎng)計劃西部青年學者資助項目（XAB2020YN07）