[論文レビュー] Synthesis of Supervisors Robust Against Sensor Deception Attacks

Rômulo Meira-Góes, Stéphane Lafortune+1 more|arXiv (Cornell University)|Dec 23, 2020

Petri Nets in System Modeling参考文献 34被引用数 74

ひとこと要約

本稿は、攻撃者がセンサ読み取り値を操作可能な離散イベントシステムにおいて、センサの偽装攻撃に対して耐性のあるスーパvisorの合成のためのゲーム理論的フレームワークを提案する。攻撃者とスーパvisorの二者間の部分的観測下での二人ゲームとしての相互作用をモデル化し、監視制御理論を活用することで、耐性のあるスーパvisorの存在および合成の必要十分条件を提供する。本手法は先行研究を包含し、最大の制御可能かつ観測可能解を可能にする。

ABSTRACT

We consider feedback control systems where sensor readings may be compromised by a malicious attacker intending on causing damage to the system. We study this problem at the supervisory layer of the control system, using discrete event systems techniques. We assume that the attacker can edit the outputs from the sensors of the system before they reach the supervisory controller. In this context, we formulate the problem of synthesizing a supervisor that is robust against the class of edit attacks on the sensor readings and present a solution methodology for this problem. This methodology blends techniques from games on automata with imperfect information with results from supervisory control theory of partially-observed discrete event systems. Necessary and sufficient conditions are provided for the investigated problem.

研究の動機と目的

• センサの偽装攻撃下におけるサイバー物理システムにおける耐性のあるフィードバック制御の重要なニーズに対処すること。
• 損傷したセンサデータが存在してもシステムの安全性を保証するスーパvisor合成手法の開発。
• 一般クラスのセンサ偽装攻撃に対して耐性のあるスーパvisorの存在および合成のための必要十分条件を提供すること。
• [11]、[12]、[14]の解決策を統合し、単一で包括的なフレームワークとして拡張することにより、先行研究を統合・拡張すること。
• 事後的な攻撃検出や診断に依存しないように、初期段階から本質的に耐性のあるスーパvisorを設計すること。

提案手法

• 攻撃戦略のすべての可能性を捉えるために、構築されたゲームアリーナ上でスーパvisorと攻撃者との間の二人ゲームとして問題を定式化する。
• 不完全情報下でのプラント、攻撃者、スーパvisorの挙動の統合をモデル化するメタシステム (A) を導入する。
• 部分的観測下での監視制御技術を用いてメタ監視制御問題を解く。
• 攻撃下での実行可能なシステム行動を表すために、言語 L(Atrim) を定義する。
• 最大の制御可能かつ正規部分言語を抽出するために、supremal controllable and normal sublanguage 演算子 L(Asup) を適用する。
• 到達可能集合 (RE) と制御意思決定 (CR) の再帰的計算を用いて、耐性条件の検証を行う。

実験結果

リサーチクエスチョン

• RQ1 任意のセンサ偽装攻撃に対して耐性を持つスーパvisorの存在のための必要十分条件は何か？
• RQ2 有界および無限のセンサ編集攻撃の両方に対して耐性を持つスーパvisorはどのように合成できるか？
• RQ3 先行研究のアプローチを包含・一般化する統一されたフレームワークを開発できるか？
• RQ4 攻撃後検出や診断に依存せずに、スーパvisorの耐性をどのように保証できるか？
• RQ5 耐性を確保するために、スーパvisorが満たすべき構造的性質（例：制御可能性、正規性）は何か？

主な発見

• 提案されたゲーム理論的フレームワークは、存在および合成のための必要十分条件を提供する。これにより、従来の研究で十分条件や存在のみの条件しか提示しなかった限界を解消する。
• 本手法は、[11]、[12]、[14] に知られているすべての耐性スーパvisorを統合しており、最大の制御可能かつ正規スーパvisor、および最大の制御可能かつ観測可能スーパvisorを含む。
• プラントに正規性条件を課さないため、[11] や [12] とは異なり、適用範囲を広げる。
• メタ監視制御問題には一意の解が存在し、これにより与えられたプラントに対するすべての耐性スーパvisorを完全に特徴付ける。
• 本手法は、[12] の解決策を自然に統合できることを示しており、適合性と一般性を示している。
• 本手法により、攻撃者がセンサデータをいかに操作しても、システムが深刻な状態に達することを防止するスーパvisorを保証する。