[论文解读] TemporalFED: Detecting Cyberattacks in Industrial Time-Series Data Using Decentralized Federated Learning

Ángel Luis Perales Gómez, Enrique Tomás Martínez Beltrán+2 more|arXiv (Cornell University)|Aug 7, 2023

Network Security and Intrusion DetectionComputer Science被引用 3

一句话总结

该论文提出TemporalFED，一种去中心化联邦学习框架，通过整合时间序列转换、基于DFT和自相关性的特征工程以及平稳性转换，实现对工业时间序列数据中网络攻击的检测。在采用全连接拓扑的半去中心化联邦学习（SDFL）配置下，F1得分达到0.9406，优于集中式和其他去中心化配置，且在省略特征工程时资源消耗最低。

ABSTRACT

Industry 4.0 has brought numerous advantages, such as increasing productivity through automation. However, it also presents major cybersecurity issues such as cyberattacks affecting industrial processes. Federated Learning (FL) combined with time-series analysis is a promising cyberattack detection mechanism proposed in the literature. However, the fact of having a single point of failure and network bottleneck are critical challenges that need to be tackled. Thus, this article explores the benefits of the Decentralized Federated Learning (DFL) in terms of cyberattack detection and resource consumption. The work presents TemporalFED, a software module for detecting anomalies in industrial environments using FL paradigms and time series. TemporalFED incorporates three components: Time Series Conversion, Feature Engineering, and Time Series Stationary Conversion. To evaluate TemporalFED, it was deployed on Fedstellar, a DFL framework. Then, a pool of experiments measured the detection performance and resource consumption in a chemical gas industrial environment with different time-series configurations, FL paradigms, and topologies. The results showcase the superiority of the configuration utilizing DFL and Semi-Decentralized Federated Learning (SDFL) paradigms, along with a fully connected topology, which achieved the best performance in anomaly detection. Regarding resource consumption, the configuration without feature engineering employed less bandwidth, CPU, and RAM than other configurations.

研究动机与目标

• 解决集中式联邦学习（CFL）在工业网络攻击检测中存在单点故障和网络瓶颈的问题。
• 在保护数据隐私的前提下，通过去中心化联邦学习（DFL）实现对工业时间序列数据的有效异常检测。
• 评估不同联邦学习范式（DFL、SDFL、CFL）、拓扑结构及时间序列处理配置在性能与资源消耗之间的权衡。
• 开发并验证一个模块化的时间序列处理流程——TemporalFED，专为去中心化联邦学习环境下的工业异常检测而设计。
• 为工业物联网环境中高精度、低开销的网络攻击检测提供实证洞察，明确最优配置。

提出的方法

• TemporalFED通过将表格化工业数据转换为适合深度学习模型的时间序列格式进行处理。
• 应用离散傅里叶变换（DFT）和自相关（AC）从时间序列数据中提取具有判别性的时序特征。
• 通过去除趋势和季节性成分，强制实现时间序列的平稳性，以提升模型泛化能力与训练稳定性。
• 该框架集成于Fedstellar——一个去中心化联邦学习平台，实现无需中心参数服务器的训练。
• 实验基于田纳西-伊斯托曼工业过程模拟器进行，以模拟地理分布式的、真实的工业场景。
• 在20种不同配置下评估性能，涵盖联邦学习范式（DFL、SDFL、CFL）、拓扑结构（全连接、环形、星型）以及组件使用情况（时间序列转换、特征工程、平稳性转换）。

实验结果

研究问题

• RQ1 在工业时间序列数据中，哪种联邦学习范式——集中式、去中心式或半去中心式——能实现最高的异常检测性能？
• RQ2 在去中心化联邦学习环境中，不同网络拓扑结构（全连接、环形、星型）如何影响检测准确率与资源消耗？
• RQ3 时间序列预处理组件（转换、特征工程、平稳性处理）对检测性能与系统资源使用有何影响？
• RQ4 在联邦训练中，特征工程的引入如何影响带宽、CPU与RAM消耗？
• RQ5 TemporalFED的最优配置是什么，能够在工业网络攻击检测中实现高检测准确率与低计算开销的平衡？

主要发现

• 采用全连接拓扑的半去中心化联邦学习（SDFL）范式实现了最高的F1得分0.9406，优于其他配置。
• 采用全连接拓扑的去中心化联邦学习（DFL）范式实现了0.9405的F1得分，表现强劲，接近SDFL。
• 未使用特征工程的配置在带宽、CPU（持续约80%）和RAM（10–15%）消耗上最低，表明资源开销更小。
• DFL采用环形拓扑且完整使用各组件时，RAM消耗最高可达30%；而类似配置下，CFL范式使用的RAM少于DFL。
• 所有配置中CPU使用率均稳定在约80%，特征工程组件导致CPU利用率持续时间更长。
• 在SDFL全连接拓扑下仅使用特征工程的配置，其CPU使用率在整个训练过程中保持稳定且接近恒定。