[논문 리뷰] Attack-Resilient Supervisory Control of Discrete-Event Systems.

Yu Wang, Alper Kamil Bozkurt외 1명|arXiv (Cornell University)|2019. 04. 05.

Petri Nets in System Modeling참고 문헌 36인용 수 12

한 줄 요약

이 논문은 센서 및 액추에이터에 일반적인 적대적 공격이 발생하는 이산사건시스템(DES)에 대한 감시 제어 프레임워크를 제안한다. 시스템과 공격을 모두 유한 상태 전이기계(FST)로 모델링하며, 새로운 제어 가능성 조건과 합성 알고리즘을 통해 공격에 강건한 감시자 제어기를 도입하여 관측 오염 또는 액추에이터 조작 상황에서도 안전한 제어를 보장한다. 또한 비결정성 있는 시스템에 대한 프레임워크를 비차단 조건 하에 확장하여 라이브니스와 정확성을 확보한다.

ABSTRACT

In this work, we study the problem of supervisory control of discrete-event systems (DES) in the presence of attacks that tamper with inputs and outputs of the plant. We consider a very general system setup as we focus on both deterministic and nondeterministic plants that we model as finite state transducers (FSTs); this also covers the conventional approach to modeling DES as deterministic finite automata. Furthermore, we cover a wide class of attacks that can nondeterministically add, remove, or rewrite a sensing and/or actuation word to any word from predefined regular languages, and show how such attacks can be modeled by nondeterministic FSTs; we also present how the use of FSTs facilitates modeling realistic (and very complex) attacks, as well as provides the foundation for design of attack-resilient supervisory controllers. Specifically, we first consider the supervisory control problem for deterministic plants with attacks (i) only on their sensors, (ii) only on their actuators, and (iii) both on their sensors and actuators. For each case, we develop new conditions for controllability in the presence of attacks, as well as synthesizing algorithms to obtain FST-based description of such attack-resilient supervisors. A derived resilient controller provides a set of all safe control words that can keep the plant work desirably even in the presence of corrupted observation and/or if the control words are subjected to actuation attacks. Then, we extend the controllability theorems and the supervisor synthesizing algorithms to nondeterministic plants that satisfy a nonblocking condition. Finally, we illustrate applicability of our methodology on several examples and numerical case-studies.

연구 동기 및 목표

• 감지 및 액추에이션에 대한 임의의 비결정성 있는 공격을 받는 이산사건시스템에서의 감시 제어 도전 과제를 해결하기 위해.
• 유한 상태 전이기계(FST)를 사용하여 결정성 및 비결정성 있는 시스템과 광범위한 공격 유형을 모두 모델링하여 현실적이고 복잡한 공격 표현을 가능하게 하기 위해.
• 관측 오염 또는 액추에이터 조작 상황에서도 안전한 행동을 보장하기 위해, 공격에 강건한 감시자 제어기를 위한 새로운 제어 가능성 조건과 합성 알고리즘을 개발하기 위해.
• 비결정성 있는 시스템에 대해 비차단 조건 하에 프레임워크를 확장하여 제어 시스템의 라이브니스와 정확성을 보장하기 위해.
• 구체적인 예시와 수치적 사례 연구를 통해 제안된 방법론의 적용 가능성과 효율성을 입증하기 위해.

제안 방법

• 시스템과 공격을 모두 유한 상태 전이기계(FST)로 모델링하여 결정성 및 비결정성 시스템과 공격을 통합적으로 표현할 수 있도록 하기 위해.
• 센서 및/또는 액추에이터에 공격이 존재하는 상황를 고려한 새로운 제어 가능성 조건을 수립하여 제어 조치가 여전히 안전하고 효과적으로 유지되도록 하기 위해.
• 공격 상황 하에서 안전한 제어 단어를 모두 표현할 수 있는 FST 기반의 공격에 강건한 감시자 제어기의 합성 알고리즘을 설계하기 위해.
• 비결정성 있는 시스템에 대한 제어 가능성 및 합성 프레임워크를 비차단 조건을 통합하여 시스템의 라이브니스를 유지하도록 확장하기 위해.
• 정규 언어를 사용하여 감지 및 액추에이터 단어에 대한 공격 수정(추가, 제거, 재작성)의 가능한 집합을 정의하여 공격 행동의 체계적 모델링을 가능하게 하기 위해.
• FST 형식을 활용하여 복잡하고 현실적인 공격 패턴과 그에 따른 제어 영향을 정확하고 확장 가능한 방식으로 모델링할 수 있도록 하기 위해.

실험 결과

연구 질문

• RQ1 센서 관측치와 액추에이터 명령이 임의의 비결정성 있는 방식으로 변조되는 상황에서도 감시 제어가 어떻게 효과적으로 설계될 수 있는가?
• RQ2 어떤 형식적 조건이 이러한 적대적 공격 하에서 DES의 제어 가능성을 보장하는가? 그리고 이러한 조건들은 알고리즘적으로 어떻게 검증될 수 있는가?
• RQ3 어떻게 공격에 강건한 감시자 제어기를 FST 기반으로 합성하여 오염된 입력 또는 액추에이터 조작 상황에서도 안전한 행동을 보장할 수 있는가?
• RQ4 제안된 프레임워크는 비결정성 있는 시스템에 대해 어떻게 비차단 행동을 유지하면서 확장될 수 있는가?
• RQ5 제안된 모델과 알고리즘은 감지 및 액추에이터 시퀀스를 수정하는 복잡하고 현실적인 공격 패턴을 어떻게 다루는가?

주요 결과

• 논문은 센서 및 액추에이터에 대한 공격을 특별히 고려하여 설계된 새로운 제어 가능성 조건을 수립하여, 공격으로 인한 입력/출력 오염 상황에서도 안전한 제어의 형식적 검증을 가능하게 한다.
• 공격 상황 하에서 안전한 제어 조치를 모두 표현하는 FST 기반의 공격에 강건한 감시자 제어기의 합성 알고리즘을 개발하였다.
• 비차단 조건 하에서 비결정성 있는 시스템으로의 확장에 성공하여 제어 시스템이 라이브니스를 유지하고 작동 가능함을 보장한다.
• FST의 사용은 감지 및 액추에이터 단어에 대한 임의의 수정을 포함하는 복잡하고 현실적인 공격 패턴의 정밀하고 확장 가능한 모델링을 가능하게 한다.
• 사례 연구를 통해 다양한 공격 패턴을 다루는 데서도 시스템의 안전성과 원하는 행동을 유지하는 데서 제안된 방법론의 실용적 적용 가능성을 입증하였다.
• 이 방법론은 DES에 대한 동적이고 비결정성 있는 공격에 강건한 감시 제어기 설계를 위한 형식적 기반을 제공한다.