[论文解读] Bounded Synthesis of Resilient Supervisors

Liyong Lin, Rong Su|arXiv (Cornell University)|Mar 20, 2019

Formal Methods in Verification参考文献 42被引用 5

一句话总结

本论文提出了一种基于约束的有界合成方法，用于在组合执行器和传感器攻击下，对离散事件系统中的弹性监视器进行合成，采用量化布尔公式（QBF）或重复的SAT求解。通过将问题简化为部分观测监视器合成，并利用带有最大允许攻击者作为预言机的反例引导归纳合成（CEGIS），该方法能够合成对风险型和隐蔽型攻击者均具有弹性的监视器——无论攻击者是否进行窃听。

ABSTRACT

In this paper, we investigate the problem of synthesizing resilient supervisors against combined actuator and sensor attacks, for the subclass of cyber-physical systems that can be modelled as discrete-event systems. We assume that the attackers can carry out actuator enablement and disablement attacks as well as sensor replacement attacks. We consider both risky attackers and covert attackers in the setup where the (partial-observation) attackers may or may not eavesdrop the control commands (issued by the supervisor). A constraint-based approach for the bounded synthesis of resilient supervisors is developed, by reducing the problem to the Quantified Boolean Formulas (QBF) problem. The bounded synthesis problem can then be solved either with a QBF solver or with repeated calls to a propositional satisfiability (SAT) solver, by employing maximally permissive attackers, which can be synthesized with the existing partial-observation supervisor synthesis procedures, as counter examples in the counter example guided inductive synthesis loop.

研究动机与目标

• 解决在离散事件系统中合成对组合执行器和传感器攻击具有弹性的监视器的挑战。
• 对风险型和隐蔽型攻击者进行建模与处理，包括攻击者可能窃听控制指令的场景。
• 开发一种有界合成框架，确保在攻击下系统保持非阻塞行为并避免进入破坏性状态。
• 通过将问题简化为现有的部分观测监视器合成技术，实现具有弹性证明的合成。
• 支持任意的控制和攻击约束，而无需对可观测性或可控制性施加限制。

提出的方法

• 以范围控制目标和非阻塞性约束的形式表述弹性监视器合成问题。
• 引入系统的$\mathcal{C}$-抽象，以实现从监视器符号表示中对监控器进行符号编码。
• 提出归纳不变量的命题编码，以强制避免进入破坏性状态。
• 使用有界模型检测来强制实现隐蔽性破坏状态的可达性，并确保非阻塞行为。
• 利用LS20中的统一模型，将系统、监视器、攻击者、监控器和闭环系统表示为有限状态自动机。
• 采用包含重复SAT求解器调用的反例引导归纳合成（CEGIS）循环，使用隐蔽攻击者合成预言机生成最大允许的反例。

实验结果

研究问题

• RQ1 如何在具有任意控制和攻击约束的组合执行器和传感器攻击下，为离散事件系统合成弹性监视器？
• RQ2 攻击者对控制指令的窃听行为对弹性监视器合成有何影响？
• RQ3 有界合成的弹性监视器能否被简化为现有的部分观测监视器合成过程？
• RQ4 如何利用归纳不变量和有界模型检测来强制实现弹性与非阻塞行为？
• RQ5 在隐蔽攻击者模型下，合成弹性监视器的计算复杂度是多少？

主要发现

• 所提出的有界合成方法将弹性监视器合成问题简化为QBF或重复的SAT求解，实现了基于证明的合成。
• 该方法支持风险型和隐蔽型攻击者，包括攻击者可能窃听控制指令的情况。
• $\mathcal{C}$-抽象实现了监控器的符号分解，促进了从监视器符号表示中的高效编码。
• 对于隐蔽攻击者，该方法在最坏情况下具有双重指数时间复杂度，这是由于QBF和有界模型检测的复杂性所致。
• 带有隐蔽攻击者预言机的CEGIS循环可确保所合成的监视器对所有可能的隐蔽攻击者（在界限内）均具有弹性。
• 在CEGIS循环中使用最大允许攻击者作为反例，确保了合成过程的完备性，并避免了过度近似。