[論文レビュー] Explaining RADAR features for detecting spoofing attacks in Connected Autonomous Vehicles

Nidhi Rastogi, Sara Rampazzi+4 more|arXiv (Cornell University)|Mar 1, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本論文は、接続型自動運転車（CAVs）におけるスプーフィング攻撃を検出するための、Dempster-Shafer理論に基づくフレームワークを提案する。レーダー特徴量における信念、妥当性、不確実性を定量化することで、機械学習モデルの頑健性が向上し、障害物状態の分類で96％の精度を達成するとともに、11個のスプーフィングパケットをすべて静止状態として高信頼性で検出した。

ABSTRACT

Connected autonomous vehicles (CAVs) are anticipated to have built-in AI systems for defending against cyberattacks. Machine learning (ML) models form the basis of many such AI systems. These models are notorious for acting like black boxes, transforming inputs into solutions with great accuracy, but no explanations support their decisions. Explanations are needed to communicate model performance, make decisions transparent, and establish trust in the models with stakeholders. Explanations can also indicate when humans must take control, for instance, when the ML model makes low confidence decisions or offers multiple or ambiguous alternatives. Explanations also provide evidence for post-incident forensic analysis. Research on explainable ML to security problems is limited, and more so concerning CAVs. This paper surfaces a critical yet under-researched sensor data extit{uncertainty} problem for training ML attack detection models, especially in highly mobile and risk-averse platforms such as autonomous vehicles. We present a model that explains extit{certainty} and extit{uncertainty} in sensor input -- a missing characteristic in data collection. We hypothesize that model explanation is inaccurate for a given system without explainable input data quality. We estimate extit{uncertainty} and mass functions for features in radar sensor data and incorporate them into the training model through experimental evaluation. The mass function allows the classifier to categorize all spoofed inputs accurately with an incorrect class label.

研究の動機と目的

• CAVsにおける機械学習ベースの攻撃検出において、入力データ品質の説明可能性が欠如している問題に対処すること。特に、センサデータの不確実性に焦点を当てる。
• 不確実性の定量化をトレーニングデータに統合することで、モデルの信頼性とフォレンジック分析の質を向上させ、意思決定の透明性を高めること。
• 証拠に基づく推論により、本物のセンサ動作と悪意あるスプーフィングの区別をセキュリティ専門家が可能にすること。
• 不確実性を考慮した入力データが、レーダー感応器入力におけるスプーフィング攻撃検出における機械学習モデルの信頼性を向上させることを実証すること。
• より安全で透明性の高い自動運転車意思決定を支援するため、不確実なセンサデータを機械学習モデルに統合するフレームワークを提供すること。

提案手法

• 各レーダー特徴量（例：速度、反射、距離）に対して、Dempster-Shafer理論（DST）を用いて、フレーム・オブ・ディスセールド {静止, 動作, 両方} の下で信念、妥当性、不確実性をモデル化する。
• DSTの式を適用して、各特徴量の信念値、妥当性値、不確実性値を計算し、無知や部分的証拠の表現を可能にする。
• 各仮説（s, m, sm）に質量関数を割り当て、各クラスに対する支持度を表す。質量値が高いほど、証拠の強さが高くなる。
• シミュレート済みデータと実世界データを組み合わせたハイブリッドレーダーデータセットを用いて、実験的にモデルを評価する。特徴量はCSV形式で、事前にクラスラベルが付与されている。
• 11個のスプーフィングパケット（静止物体を動いていると誤認する）を注入し、敵対的条件下での検出能力をテストする。
• クラス予測を決定する際に、最大の信念値を使用し、質量関数のシフト（例：動いているクラスのmが上昇）を活用することで、クラスラベルが誤っている場合でもスプーフィングを検出可能にする。

実験結果

リサーチクエスチョン

• RQ1 レーダー感応器データにおける不確実性の定量化は、CAVsにおける機械学習ベースの攻撃検出の説明可能性と信頼性を向上させることができるか？
• RQ2 Dempster-Shafer理論に基づく証拠関数を組み込むことで、レーダー入力におけるスプーフィング攻撃の検出性能はどのように向上するか？
• RQ3 機械学習モデルのラベル割り当てが敵対的改ざんによって誤っている場合、質量関数はどれほどスプーフィングデータを検出できるか？
• RQ4 入力特徴量に不確実性を統合することで、障害物状態（静止 vs. 動作）の分類は、より正確かつ信頼性の高いものになるか？
• RQ5 本手法は、データ異常とセンサ読み取りの不確実性に関する解釈可能な証拠を提供することで、フォレンジック分析を支援できるか？

主な発見

• 速度と反射の組み合わせ特徴量を用いた場合、障害物状態（静止または動作）の分類で96％の精度を達成した。
• 距離を唯一の特徴量として使用した場合、クラス所属の精度は90％未満に低下し、不確実性に対する特徴量固有の感受性が示された。
• 注入された11個のすべてのスプーフィングパケットが正しく静止状態として分類され、『動いている』クラスの質量関数値が予想よりも著しく低かった。
• スプーフィングパケット #2では、『動いている』クラスの質量が0.3023であったのに対し、『静止』クラスの信念値は0.6976に達し、誤差や潜在的なスプーフィングを正しく示した。
• スプーフィングパケット #1では、『両方』（s,m）クラスの質量関数が0.36に達し、高い不確実性と潜在的なデータ改ざんを示唆した。
• 本手法は、特に物体が静止しているにもかかわらず『動いている』クラスの質量が高くなるなど、異常な質量関数のシフトを特定することで、スプーフィングを成功裏に検出できた。これにより、敵対的干渉のフォレンジック的証拠が得られた。