[論文レビュー] TemporalFED: Detecting Cyberattacks in Industrial Time-Series Data Using Decentralized Federated Learning

Ángel Luis Perales Gómez, Enrique Tomás Martínez Beltrán+2 more|arXiv (Cornell University)|Aug 7, 2023

Network Security and Intrusion DetectionComputer Science被引用数 3

ひとこと要約

本稿では、時系列変換、DFTおよび自己相関を用いた特徴工学、定常性変換を統合することで、産業用時系列データにおけるサイバーインシデント検出を目的とした分散型フェデレーテッドラーニングフレームワーク、TemporalFEDを提案する。完全結合トポロジーを用いた準分散型FL（Semi-Decentralized FL）では、特徴工学を省略した場合でもF1スコア0.9406を達成し、中央集権型および他の分散型設定を上回る性能を示しながら、リソース消費を最小限に抑える。

ABSTRACT

Industry 4.0 has brought numerous advantages, such as increasing productivity through automation. However, it also presents major cybersecurity issues such as cyberattacks affecting industrial processes. Federated Learning (FL) combined with time-series analysis is a promising cyberattack detection mechanism proposed in the literature. However, the fact of having a single point of failure and network bottleneck are critical challenges that need to be tackled. Thus, this article explores the benefits of the Decentralized Federated Learning (DFL) in terms of cyberattack detection and resource consumption. The work presents TemporalFED, a software module for detecting anomalies in industrial environments using FL paradigms and time series. TemporalFED incorporates three components: Time Series Conversion, Feature Engineering, and Time Series Stationary Conversion. To evaluate TemporalFED, it was deployed on Fedstellar, a DFL framework. Then, a pool of experiments measured the detection performance and resource consumption in a chemical gas industrial environment with different time-series configurations, FL paradigms, and topologies. The results showcase the superiority of the configuration utilizing DFL and Semi-Decentralized Federated Learning (SDFL) paradigms, along with a fully connected topology, which achieved the best performance in anomaly detection. Regarding resource consumption, the configuration without feature engineering employed less bandwidth, CPU, and RAM than other configurations.

研究の動機と目的

• 産業用サイバーインシデント検出における中央集権型フェデレーテッドラーニング（CFL）の単一障害点およびネットワークボトルネックを解決すること。
• データプライバシーを保ちながら、分散型フェデレーテッドラーニング（DFL）を用いて産業用時系列データにおける効果的な異常検出を可能にすること。
• 異なるFLパラダイム（DFL、SDFL、CFL）、トポロジー、時系列処理設定における性能とリソース消費のトレードオフを評価すること。
• 産業用異常検出に特化したモジュラー時系列処理パイプライン、TemporalFEDの開発および検証すること。
• 産業用IoT環境における高精度・低オーバーヘッドなサイバーインシデント検出の最適設定に関する実証的知見を提供すること。

提案手法

• TemporalFEDは、深層学習モデルに適した時系列形式に変換することで、表形式の産業データを処理する。
• 時系列データから判別性の高い時間的特徴を抽出するために、離散フーリエ変換（DFT）と自己相関（AC）を適用する。
• トレンドおよび季節成分を除去することで時系列の定常性を強制し、モデルの汎化性能および学習安定性を向上させる。
• フレームワークは、中央集権的なパrameterサーバーを必要としない、分散型FLプラットフォーム「Fedstellar」に統合されている。
• 実験は、地理的に分散された現実的な産業シナリオを模擬するため、テネシー・イーストマン産業プロセスシミュレータを用いて実施される。
• 性能評価は、FLパラダイム（DFL、SDFL、CFL）、トポロジー（完全結合、リング、スター）、およびコンポONENT使用（時系列変換、特徴工学、定常性変換）を変化させた20の設定で実施される。

実験結果

リサーチクエスチョン

• RQ1 産業用時系列データにおける異常検出性能を最適化するには、中央集権型、分散型、準分散型のどのFLパラダイムが最も効果的か？
• RQ2 異なるネットワークトポロジー（完全結合、リング、スター）は、分散型FL設定における検出精度とリソース消費にどのように影響するか？
• RQ3 時系列前処理コンポONENT（変換、特徴工学、定常性）の有無が、検出性能およびシステムリソース使用量に与える影響は何か？
• RQ4 特徴工学の導入は、帯域幅、CPU、RAMの消費にどのように影響するか？
• RQ5 産業用サイバーインシデント検出において、高精度と低計算オーバーヘッドを両立させるために、TemporalFEDの最適な設定は何か？

主な発見

• 完全結合トポロジーを用いた準分散型フェデレーテッドラーニング（SDFL）パラダイムが、最高のF1スコア0.9406を達成し、他の設定を上回った。
• 完全結合トポロジーを用いたDFLパラダイムもF1スコア0.9405を達成し、SDFLに非常に近い性能を示した。
• 特徴工学を省略した設定では、帯域幅、CPU（80％で一定）、RAM（10–15％）の消費が最も少なく、リソースオーバーヘッドが低かった。
• リングトポロジーを用いたDFLで、すべてのコンポONENTを活用した設定では、RAM消費が最大30％に達した。一方、類似した設定において、CFLパラダイムはDFLよりもRAM消費が少なかった。
• CPU使用率は、すべての設定で約80％で一定に保たれ、特徴工学コンポONENTが長時間のCPU利用を引き起こした。
• SDFLで完全結合トポロジーを用い、特徴工学のみを適用した設定では、学習全体にわたり安定した、ほぼ一定のCPU使用率を維持した。