[论文解读] An unsupervised spatiotemporal graphical modeling approach to anomaly detection in distributed CPS

Chao Liu, Sambuddha Ghosal+2 more|arXiv (Cornell University)|Apr 11, 2016

Anomaly Detection Techniques and Applications参考文献 24被引用 35

一句话总结

本文提出了一种无监督的时空图模型框架，用于在分布式网络物理系统（CPS）中检测异常，通过利用符号动力学提取因果交互特征，并训练受限玻尔兹曼机（RBM）来建模系统范围内的正常模式。主要贡献在于，RBM在正常与异常状态下的自由能差异可实现有效的异常检测，即使在存在多个正常模式的情况下亦是如此。

ABSTRACT

Modern distributed cyber-physical systems (CPSs) encounter a large variety of physical faults and cyber anomalies and in many cases, they are vulnerable to catastrophic fault propagation scenarios due to strong connectivity among the sub-systems. This paper presents a new data-driven framework for system-wide anomaly detection for addressing such issues. The framework is based on a spatiotemporal feature extraction scheme built on the concept of symbolic dynamics for discovering and representing causal interactions among the sub-systems of a CPS. The extracted spatiotemporal features are then used to learn system-wide patterns via a Restricted Boltzmann Machine (RBM). The results show that: (1) the RBM free energy in the off-nominal conditions is different from that in the nominal conditions and can be used for anomaly detection; (2) the framework can capture multiple nominal modes with one graphical model; (3) the case studies with simulated data and an integrated building system validate the proposed approach.

研究动机与目标

• 解决分布式网络物理系统（CPS）中因子系统强耦合而导致故障传播频繁的异常检测挑战。
• 开发一种数据驱动的框架，能够在不依赖标注异常数据的情况下识别细微异常。
• 在单一统一的图模型中捕捉多个正常运行模式，以提高鲁棒性。
• 通过建模子系统之间的时空依赖性和因果交互，实现异常的早期检测。

提出的方法

• 应用符号动力学将原始传感器时间序列转换为编码子系统间时空模式和因果交互的符号序列。
• 从符号序列构建时空特征，以表征互联子系统的动态行为。
• 在提取的时空特征上训练受限玻尔兹曼机（RBM），以学习正常系统状态的底层联合概率分布。
• 将RBM的自由能用作异常评分——正常状态下自由能较低，而异常状态下自由能较高，表示偏离。
• 利用RBM通过其基于能量的表示隐式建模多个正常模式的能力。
• 使用合成数据和一个真实的综合建筑系统对框架进行验证，以评估检测性能。

实验结果

研究问题

• RQ1 符号动力学能否有效提取表征CPS子系统间因果交互的时空特征？
• RQ2 在这些特征上训练的RBM能否通过识别自由能与正常模式的偏差来检测异常？
• RQ3 单个RBM能否在无需针对特定模式进行训练的情况下，捕捉CPS中多个不同的正常运行模式？
• RQ4 所提出的框架在模拟和真实CPS环境中检测异常的效率如何？

主要发现

• 在非正常状态下，RBM的自由能显著高于正常状态，从而实现了可靠的异常检测。
• 该框架成功在一个统一的图模型中建模了多个正常运行模式，表现出对系统变异性的鲁棒性。
• 基于仿真数据的案例研究显示，该方法在多种故障场景下均能保持一致的异常检测能力。
• 在综合建筑系统上的验证结果证实了该框架在实际应用中的可行性以及对真实世界异常的敏感性。
• 通过符号动力学提取的时空特征能有效捕捉故障传播分析中至关重要的因果关系。
• 该方法实现了无监督异常检测，且无需事先了解故障类型或标注的异常数据。