[論文レビュー] An unsupervised spatiotemporal graphical modeling approach to anomaly detection in distributed CPS

Chao Liu, Sambuddha Ghosal+2 more|arXiv (Cornell University)|Apr 11, 2016

Anomaly Detection Techniques and Applications参考文献 24被引用数 35

ひとこと要約

本稿では、因果的相互作用特徴を抽出するために記号的ダイナミクスを活用し、制限ボルツマンマシン（RBM）を用いてシステム全体の正常パターンをモデル化することで、分散型サイバーフィジカルシステム（CPS）における異常検出のための非教師あり時空間グラフィカルモデリングフレームワークを提案する。主な貢献は、正常状態と異常状態におけるRBMの自由エネルギー差が、複数の正常モードにわたっても効果的な異常検出を可能にすることにある。

ABSTRACT

Modern distributed cyber-physical systems (CPSs) encounter a large variety of physical faults and cyber anomalies and in many cases, they are vulnerable to catastrophic fault propagation scenarios due to strong connectivity among the sub-systems. This paper presents a new data-driven framework for system-wide anomaly detection for addressing such issues. The framework is based on a spatiotemporal feature extraction scheme built on the concept of symbolic dynamics for discovering and representing causal interactions among the sub-systems of a CPS. The extracted spatiotemporal features are then used to learn system-wide patterns via a Restricted Boltzmann Machine (RBM). The results show that: (1) the RBM free energy in the off-nominal conditions is different from that in the nominal conditions and can be used for anomaly detection; (2) the framework can capture multiple nominal modes with one graphical model; (3) the case studies with simulated data and an integrated building system validate the proposed approach.

研究の動機と目的

• 強いサブシステム間接続性により故障伝播が一般的な、分散型サイバーフィジカルシステム（CPS）における異常検出の課題に対処すること。
• ラベル付き異常データに依存せずに、微細な異常を同定できるデータ駆動型フレームワークの構築。
• 一貫した統合的グラフィカルモデル内で複数の正常運用モードを捉えることで、耐障害性を向上させること。
• サブシステム間の時空間的依存関係と因果的相互作用をモデル化することで、異常を早期に検出すること。

提案手法

• 生のセンサー時系列データを、CPSサブシステム間の時間的パターンと因果的相互作用を符号化するように、記号的系列に変換する。
• 記号的系列から時空間的特徴を構築し、相互接続されたサブシステムの動的挙動を表現する。
• 抽出された時空間的特徴を用いて制限ボルツマンマシン（RBM）を学習させ、正常システム状態の下位の連関確率分布を学習する。
• RBMの自由エネルギーを異常スコアとして使用する——正常状態では自由エネルギーが低く、非正常状態では高い値を示すことで乖離を示す。
• エネルギーに基づく表現を通じて、RBMが複数の正常モードを暗黙的にモデル化できる能力を活用する。
• 検証のために合成データと実際の統合建物システムを用い、検出性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 記号的ダイナミクスは、CPSサブシステム間の因果的相互作用を表す時空間的特徴を効果的に抽出できるか？
• RQ2 これらの特徴を学習したRBMは、正常パターンからの自由エネルギーの乖離を同定することで異常を検出できるか？
• RQ3 1つのRBMは、モード固有の学習を必要とせずに、CPSの複数の明確な正常運用モードをモデル化できるか？
• RQ4 提案されたフレームワークは、シミュレーテッドおよび実世界のCPS環境における異常検出にどの程度効果的か？

主な発見

• 非正常状態では正常状態と比較してRBMの自由エネルギーが顕著に高くなるため、信頼性の高い異常検出が可能である。
• 本フレームワークは、1つのグラフィカルモデル内で複数の正常運用モードを効果的にモデル化し、システムのばらつきに対して耐障害性を示した。
• シミュレーテッドデータを用いた事例研究では、多様な故障シナリオにおいて一貫した異常検出が確認された。
• 統合建物システムにおける検証により、本フレームワークの実用的応用可能性と現実世界の異常に対する感受性が確認された。
• 記号的ダイナミクスを介して導出された時空間的特徴は、故障伝播解析に不可欠な因果関係を効果的に捉えている。
• 故障の種類やラベル付き異常データに関する事前知識が不要であるため、非教師ありの異常検出を達成している。