[論文レビュー] Tuning Windowed Chi-Squared Detectors for Sensor Attacks

R. Tunga, Carlos Murguia+1 more|arXiv (Cornell University)|Oct 6, 2017

Fault Detection and Control Systems参考文献 21被引用数 26

ひとこと要約

本稿では、LTIサイバーフィジカルシステムにおけるセンサーサイバー攻撃を同定するためのウィンドウ付きカイ二乗検出器を提案し、検出不能（アラームなし）の攻撃を基準に、静的カイ二乗検出器およびCUSUM検出器とその性能を比較する。ウィンドウ長を延ばすことで検出性能が向上し、ウィンドウ付きカイ二乗検出器の定常状態での偏差がCUSUM検出器に近づくことが示された。これにより、履歴データを活用することで攻撃耐性が向上することを実証した。

ABSTRACT

A model-based windowed chi-squared procedure is proposed for identifying falsified sensor measurements. We employ the widely-used static chi-squared and the dynamic cumulative sum (CUSUM) fault/attack detection procedures as benchmarks to compare the performance of the windowed chi-squared detector. In particular, we characterize the state degradation that a class of attacks can induce to the system while enforcing that the detectors do not raise alarms (zero-alarm attacks). We quantify the advantage of using dynamic detectors (windowed chi-squared and CUSUM detectors), which leverages the history of the state, over a static detector (chi-squared) which uses a single measurement at a time. Simulations using a chemical reactor are presented to illustrate the performance of our tools.

研究の動機と目的

• ウィンドウ付きカイ二乗検出器がLTIサイバーフィジカルシステム内でのセンサーサイバー攻撃を検出する性能を分析すること。
• 異なる検出方式のもとで、検出を回避する（アラームを発動させない）ゼロアラーム攻撃が引き起こせる最大のシステム状態劣化を定量化すること。
• 静的カイ二乗、ウィンドウ付きカイ二乗、CUSUM検出器の、こうしたステルス攻撃に対する耐性を比較すること。
• 特にウィンドウ長としきい値選定の影響が攻撃耐性に与えるトレードオフを調査すること。
• 線形化された化学反応器モデルを用いたシミュレートされたセンサーサイバー攻撃を通じて理論的考察を検証すること。

提案手法

• ウィンドウ付きカイ二乗検出器は、カルマンフィルタによる予測値と実際のセンサ測定値との残差を、長さℓのスライディングウィンドウ内で累積する。
• 静的カイ二乗検出器は、時間的統合を行わず、1回の測定値の残差のみを用いる。これは比較のためのベースラインとして機能する。
• CUSUM検出器は動的ベンチマークとして用いられ、累積された残差を用いて持続的な偏差を検出する。
• カルマンフィルタは状態推定と残差生成を提供し、観測器ゲインLは定常状態での推定誤差共分散を最小化するように選定される。
• ゼロアラーム攻撃は、残差が検出しきい値内に保たれるように設計された加法的センサバイアスδkとしてモデル化される。
• 理論的分析により、各検出器タイプにおける最悪ケースのゼロアラーム攻撃下での限界定常状態偏差が、システムの可観測性および残差分布に基づいて導出された。

実験結果

リサーチクエスチョン

• RQ1 ウィンドウ付きカイ二乗検出器は、静的および動的検出器と比較して、検出不能（ゼロアラーム）センサーサイバー攻撃に対してどの程度耐性があるか。
• RQ2 ウィンドウ長ℓが、アラームを発動させずに誘発可能な最大状態偏差に与える影響は何か。
• RQ3 異なる検出しきい値（α, β, b）は、誤アラーム率と攻撃耐性のトレードオフにどのように影響するか。
• RQ4 各検出器タイプにおけるゼロアラーム攻撃下でのシステム状態劣化の理論的上限は何か。
• RQ5 攻撃ベクトルδkの構造（例：最悪ケース対一様）が、攻撃が引き起こす被害に与える影響は何か。

主な発見

• 最悪ケースのゼロアラーム攻撃下では、静的カイ二乗検出器はCUSUM検出器と比較して163%高い定常状態偏差を示す。
• ウィンドウ付きカイ二乗検出器のウィンドウ長ℓを延ばすことで、許容可能な最大状態偏差は減少し、CUSUM検出器の性能に近づく。
• 5%の誤アラーム率を満たす条件下で、ℓ=50のウィンドウ付きカイ二乗検出器はCUSUM検出器の性能に非常に近い状態偏差を達成する。
• ℓ=4のウィンドウ付きカイ二乗検出器は、静的カイ二乗検出器と比較して最大偏差を40%も低減する。
• 提案された命題1に基づく最悪ケース攻撃ベクトルδkは、一様攻撃（δk=1p×1）と比較して著しく大きな被害を引き起こし、状態偏差が163%も高い。
• 理論的分析により、ℓ→∞の極限において、ウィンドウ付きカイ二乗検出器の性能がCUSUM検出器に収束することが確認され、動的利点が裏付けられた。