[논문 리뷰] Bounded Synthesis of Resilient Supervisors

Liyong Lin, Rong Su|arXiv (Cornell University)|2019. 03. 20.

Formal Methods in Verification참고 문헌 42인용 수 5

한 줄 요약

이 논문은 양방향 액추에이터 및 센서 공격이 병합된 상황에서 이산사건시스템의 내성적인 감시자 합성에 대해 제약 기반 유계 합성 접근법을 제안한다. 이는 양적 불리타이드 공식화(QBF) 또는 반복적 SAT 해결을 통해 이루어지며, 위험한 공격자와 은밀한 공격자(모니터링 여부에 관계없이) 모두에 대해 내성적인 감시자를 합성할 수 있도록 한다. 문제를 부분 관찰 감시자 합성으로 환원하고, 최대 허용성 공격자들을 오라클로 사용하는 반복적 예외 기반 유도 합성(CEGIS)을 활용하여 이를 실현한다.

ABSTRACT

In this paper, we investigate the problem of synthesizing resilient supervisors against combined actuator and sensor attacks, for the subclass of cyber-physical systems that can be modelled as discrete-event systems. We assume that the attackers can carry out actuator enablement and disablement attacks as well as sensor replacement attacks. We consider both risky attackers and covert attackers in the setup where the (partial-observation) attackers may or may not eavesdrop the control commands (issued by the supervisor). A constraint-based approach for the bounded synthesis of resilient supervisors is developed, by reducing the problem to the Quantified Boolean Formulas (QBF) problem. The bounded synthesis problem can then be solved either with a QBF solver or with repeated calls to a propositional satisfiability (SAT) solver, by employing maximally permissive attackers, which can be synthesized with the existing partial-observation supervisor synthesis procedures, as counter examples in the counter example guided inductive synthesis loop.

연구 동기 및 목표

• 이산사건시스템에서 액추에이터 및 센서 공격이 동시에 발생하는 상황에서 내성적인 감시자를 합성하는 데 도전하는 문제를 해결하기 위해.
• 위험한 공격자와 은밀한 공격자를 모두 모델링하고, 공격자가 제어 명령어를 도청할 수 있는 경우를 포함한 상황을 다루기 위해.
• 공격 하에서 비차단 동작과 손상 상태의 도달을 피할 수 있도록 보장하는 유계 합성 프레임워크를 개발하기 위해.
• 기존의 부분 관찰 감시자 합성 기법으로 문제를 환원함으로써 내성성에 대한 증명이 가능한 합성 지원을 위해.
• 관측 가능성 또는 제어 가능성에 제한을 두지 않고 임의의 제어 및 공격 제약 조건을 지원하기 위해.

제안 방법

• 범위 제어 목표와 비차단성 제약 조건을 포함한 내성 감시자 합성 문제를 수립하기 위해.
• 감시자에 대한 기호적 표현에서 모니터를 기호적으로 인코딩할 수 있도록 식별자 $\mathcal{C}$-abstraction을 도입하기 위해.
• 손상 상태의 도달 불가능성을 강제하기 위해 유도 불변성을 위한 명제 인코딩을 제안하기 위해.
• 은밀함을 깨는 상태의 도달 가능성을 강제하고 비차단 동작을 확보하기 위해 유계 모델 체킹을 사용하기 위해.
• LS20에서 제안한 통합 모델을 활용하여 식물, 감시자, 공격자, 모니터, 그리고 닫힌 루프 시스템을 유한 상태 오토마타로 표현하기 위해.
• 은밀한 공격자 합성 오라클을 사용하여 최대 허용성 반례를 생성하는 반복적 SAT 솔버 호출을 포함한 예외 기반 유도 합성(CEGIS) 루프를 활용하기 위해.

실험 결과

연구 질문

• RQ1 어떻게 임의의 제어 및 공격 제약 조건이 존재하는 이산사건시스템에서 액추에이터 및 센서 공격이 병합된 상황에서 내성적인 감시자를 합성할 수 있는가?
• RQ2 공격자가 제어 명령어를 도청하는 것이 내성적인 감시자 합성에 미치는 영향은 무엇인가?
• RQ3 내성적인 감시자 합성의 유계 합성은 기존의 부분 관찰 감시자 합성 절차로 환원될 수 있는가?
• RQ4 유도 불변성과 유계 모델 체킹을 어떻게 활용하여 내성성과 비차단 동작을 강제할 수 있는가?
• RQ5 은밀한 공격자 모델 하에서 내성적인 감시자를 합성하는 데 있어 계산 복잡도는 무엇인가?

주요 결과

• 제안된 유계 합성 접근법은 내성적인 감시자 합성 문제를 QBF 또는 반복적 SAT 해결으로 환원하여 증명 기반 합성을 가능하게 한다.
• 이 방법은 위험한 공격자와 은밀한 공격자 모두를 지원하며, 공격자가 제어 명령어를 도청할 수 있는 경우도 포함한다.
• $\mathcal{C}$-abstraction은 모니터의 기호적 분해를 가능하게 하여 감시자 기호 표현에서의 효율적 인코딩을 촉진한다.
• 은밀한 공격자에 대해 최악의 경우 이중 지수 시간 복잡도를 가지며, 이는 QBF와 유계 모델 체킹의 복잡성 때문이므로.
• 은밀한 공격자 오라클을 사용하는 CEGIS 루프는 유계 범위 내에서 모든 가능한 은밀한 공격자에 대해 내성적인 감시자를 보장한다.
• CEGIS 루프에서 최대 허용성 공격자를 반례로 사용함으로써 합성 과정의 완전성을 확보하고 과잉 근사화를 방지한다.