[論文レビュー] Attack-Resilient Supervisory Control of Discrete-Event Systems.

Yu Wang, Alper Kamil Bozkurt+1 more|arXiv (Cornell University)|Apr 5, 2019

Petri Nets in System Modeling参考文献 36被引用数 12

ひとこと要約

本稿は、センサおよびアクチュエータにおける一般化された敵対的攻撃を受ける離散イベントシステム（DES）のための監視制御フレームワークを提案する。プラントと攻撃を両方とも有限状態トランスデューサ（FST）としてモデル化し、攻撃に耐性を持つ監視制御者を新たに定義した可制御性条件および合成アルゴリズムを導入することで、観測が不正に改ざんされたり、アクチュエータの指令が改ざんされたりしても安全な制御を保証する。また、非決定的プラントに対しても非ブロッキング保証を伴うようにアプローチを拡張する。

ABSTRACT

In this work, we study the problem of supervisory control of discrete-event systems (DES) in the presence of attacks that tamper with inputs and outputs of the plant. We consider a very general system setup as we focus on both deterministic and nondeterministic plants that we model as finite state transducers (FSTs); this also covers the conventional approach to modeling DES as deterministic finite automata. Furthermore, we cover a wide class of attacks that can nondeterministically add, remove, or rewrite a sensing and/or actuation word to any word from predefined regular languages, and show how such attacks can be modeled by nondeterministic FSTs; we also present how the use of FSTs facilitates modeling realistic (and very complex) attacks, as well as provides the foundation for design of attack-resilient supervisory controllers. Specifically, we first consider the supervisory control problem for deterministic plants with attacks (i) only on their sensors, (ii) only on their actuators, and (iii) both on their sensors and actuators. For each case, we develop new conditions for controllability in the presence of attacks, as well as synthesizing algorithms to obtain FST-based description of such attack-resilient supervisors. A derived resilient controller provides a set of all safe control words that can keep the plant work desirably even in the presence of corrupted observation and/or if the control words are subjected to actuation attacks. Then, we extend the controllability theorems and the supervisor synthesizing algorithms to nondeterministic plants that satisfy a nonblocking condition. Finally, we illustrate applicability of our methodology on several examples and numerical case-studies.

研究の動機と目的

• センサおよびアクチュエータに対する任意の非決定的攻撃が加わる状況下でも、監視制御が効果を発揮できるように設計するという課題に取り組む。
• 有限状態トランスデューザ（FST）を用いて、決定的および非決定的プラント、および広範な攻撃クラスをモデル化し、現実的で複雑な攻撃の表現を可能にする。
• 観測が不正に改ざんされたり、指令が改ざんされたりする状況下でも安全な動作を保証するため、攻撃に耐性を持つ監視制御者のための新たな可制御性条件および合成アルゴリズムを開発する。
• 非ブロッキング条件を満たすように、非決定的プラントに対してもフレームワークを拡張し、制御されたシステムのライブネスおよび正しさを保証する。
• 具体的な例および数値的ケーススタディを通じて、提案手法の適用可能性および有効性を示す。

提案手法

• プラントと攻撃を両方とも有限状態トランスデューザ（FST）としてモデル化し、決定的および非決定的システムおよび攻撃の統一的表現を可能にする。
• センサおよび／またはアクチュエータに攻撃が存在する状況を考慮した新たな可制御性条件を定式化し、制御行動が安全かつ効果的であることを保証する。
• 攻撃状況下でも安全な制御語をすべて表現できるFSTベースの攻撃耐性監視制御者の記述を生成する合成アルゴリズムを設計する。
• 非ブロッキング条件を組み込むことで、非決定的プラントに対する可制御性および合成フレームワークを拡張し、システムのライブネスを維持する。
• 正則言語を用いて、センシングおよびアクチュエーション語に対する攻撃的変更（追加、削除、再書き換え）の集合を定義し、攻撃行動の体系的モデリングを可能にする。
• FST形式を活用することで、複雑で現実的な攻撃パターンおよびその制御への影響をスケーラブルかつ正確にモデリングできる。

実験結果

リサーチクエスチョン

• RQ1 センサの観測とアクチュエータの指令の両方が、任意の非決定的改ざんを受ける状況下でも、監視制御がどのように効果的に設計できるか。
• RQ2 このような敵対的攻撃下でのDESの可制御性を保証する形式的条件は何か。また、それらの条件はどのようにアルゴリズム的に検証できるか。
• RQ3 攻撃に耐性を持つ監視制御者を、有限状態トランスデューザとしてどのように合成し、入力が不正に改ざんされたり、指令が改ざんされたりしても安全な動作を保証できるか。
• RQ4 提案されたフレームワークは、非ブロッキング動作を保証する条件下で、非決定的プラントにどのように拡張できるか。
• RQ5 提案されたモデルおよびアルゴリズムは、センシングおよびアクチュエーションシーケンスを変更する複雑で現実的な攻撃パターンをどのように処理するか。

主な発見

• 本稿は、センサおよびアクチュエータの両方に対する攻撃に対応できるように特別に調整された新たな可制御性条件を確立し、敵対的入出力の汚染下でも安全な制御の形式的検証を可能にする。
• 攻撃耐性監視制御者のFSTベースの記述を生成する合成アルゴリズムが開発され、攻撃状況下でのすべての安全な制御行動を表現する。
• 非ブロッキング条件を満たすように、フレームワークは非決定的プラントに対しても成功裏に拡張され、制御されたシステムがライブネスを保ち、正常に動作することが保証される。
• FSTの使用により、センシングおよびアクチュエーション語に対する任意の変更を伴う、現実的で複雑な攻撃パターンの正確かつスケーラブルなモデリングが可能になる。
• ケーススタディにより、多様な攻撃パターンを処理しながらも、システムの安全性および所望の動作を維持できることが実証されている。
• 本手法は、DESに対する動的かつ非決定的な攻撃の広範なクラスに耐性を持つ監視制御者を設計するための形式的基盤を提供する。