[論文レビュー] Secure Sensor Design Against Undetected Infiltration: Minimum Impact-Minimum Damage

Muhammed O. Sayin, Tamer Başar|arXiv (Cornell University)|Jan 5, 2018

Smart Grid Security and Resilience参考文献 18被引用数 3

ひとこと要約

本稿は、制御器の不正侵入が検出されない状況において、事前に最適化されたセンサ出力を通じて損傷を最小限に抑えるために、サイバー物理システムにおけるゲーム理論的で安全なセンサ設計フレームワークを提案する。半正定値計画法を用いて、敵対的制御目的下での期待二次コストを最小化する最適な線形センサ戦略を計算し、統計的認識が不正確であっても、古典的手法に比べて最大40%の性能向上を達成する。

ABSTRACT

We propose a new defense mechanism against undetected infiltration into controllers in cyber-physical systems. To this end, we cautiously design the outputs of the sensors that monitor the state of the system. Different from the defense mechanisms that seek to detect infiltration, the proposed approach seeks to minimize the damage of possible attacks before they have been detected. Controller of a cyber-physical system could have been infiltrated into by an undetected attacker at any time of the operation. Disregarding such a possibility and disclosing system's state without caution benefits the attacker in his/her malicious objective. Therefore, secure sensor design can improve the security of cyber-physical systems further when incorporated along with other defense mechanisms. We, specifically, consider a controlled Gauss-Markov process, where the controller could have been infiltrated into at any time within the system's operation. In the sense of game-theoretic hierarchical equilibrium, we provide a semi-definite programming based algorithm to compute the optimal linear secure sensor outputs and analyze the performance for various scenarios numerically.

研究の動機と目的

• 制御器の不正侵入が検出されない状況において、高度で持続的な脅威に対するサイバー物理システムのセキュリティギャップを埋める。
• 安全なセンサ設計者と敵対的制御器との間の相互作用を、明確に異なる目的を持つ階層的スタックルベルクゲームとして形式的にモデル化する。
• 制御器が運用中のいつでも不正侵入される可能性がある状況においても、事前に線形センサ出力を設計することで、不正侵入の最悪影響を最小化する。
• センサ設計者がシステム統計を正確に把握できない状況でも、古典的手法に比べて高い性能を維持する強靭性を確保する。
• 線形ガウス過程の下で最適なセキュアセンサ戦略を計算可能な、計算的に実行可能な解決策を半正定値計画法により提供する。

提案手法

• システムを線形ガウス過程に従う制御付きガウス・マルコフ過程としてモデル化し、制御器がいつでも不正侵入される可能性があると仮定する。
• センサ設計者が最初に線形センサ戦略をコミットし、その後に攻撃者が最適な制御応答を取るという階層的スタックルベルクゲームとして問題を定式化する。
• 与えられた線形センサ戦略の下で、防御者（センサ設計者）および攻撃者（不正侵入された制御器）の最適制御入力を導出する。
• 半正定値計画法（SDP）を用いて、敵対的目的下での期待二次コストを最小化する最適な線形セキュアセンサ出力を計算する。
• 最適解の時間的変化とランク特性を分析するため、正規化されたゲイン行列表現を導入する。
• センサ設計者が真の状態遷移統計を正確に把握できないシナリオをシミュレートすることで、ロバストネスを評価する。

実験結果

リサーチクエスチョン

• RQ1 安全なセンサ設計は、サイバー物理システムにおける不正侵入が検出されない状況で、どれほど損傷を低減できるか。
• RQ2 制御器がいつでも不正侵入される可能性がある状況において、敵対的制御目的下での期待コストを最小化する最適な線形センサ出力をどのように計算できるか。
• RQ3 不正侵入が検出されない状況下で、提案された安全なセンサ設計は古典的手法に比べてどれほど性能向上を達成するか。
• RQ4 センサ設計者がシステム統計を正確に把握できない状況において、提案手法のロバストネスはどの程度か。
• RQ5 攻撃者がシステムダイナミクスの部分的または完全な知識を持つ場合、センサ出力設計はシステムのレジリエンスにどのように影響を与えるか。

主な発見

• 提案された安全なセンサ設計は、制御器が不正侵入された場合でも、古典的手法に比べて平均して40%の性能向上を達成する。
• 最良ケース（不正侵入なし）では、古典的手法と同等の性能を示すが、その他のすべての状況では著しく優れている。
• 最終時刻における最適ゲイン行列のランクは4であり、初期のゲイン行列はランク2であるため、時間経過に伴うセンサの影響力の構造的変化が示された。
• システム統計の認識が不正確であっても、提案手法は高い性能を維持し、すべてのテストケースで古典的手法を上回る。
• ケース1（不正侵入なし）では、認識確率が実際の0.70よりも高い0.85と誤認されたため、わずかに性能が向上したが、全体としてのロバストネスは保たれている。
• 統計的誤認識による平均性能低下は1.1倍（7.0から8.1に）にとどまり、提案手法はすべてのシナリオで古典的手法を上回っている。