I sistemi informatici-fisici (CPS) integrano i processi fisici con i sistemi di controllo digitale, consentendo l'automazione in vari settori come la produzione, il trasporto e l'energia. Garantire la sicurezza e l'affidabilità di questi sistemi è fondamentale, soprattutto perché diventano più interconnessi e complessi. Una delle sfide principali è la rilevazione di anomalie che potrebbero indicare errori o attacchi informatici.

Comprendere la rilevazione di anomalia in CPS

In CPS, le anomalie possono manifestarsi come insolite letture dei sensori, risposte inattese del sistema o traffico irregolare della rete. Il rilevamento precoce aiuta a prevenire i guasti, ridurre i tempi di inattività e migliorare la sicurezza. Le anomalie nel CPS possono essere classificate in anomalie di punto (spunto di spunto), anomalie contestuali (dati punti anormali in un determinato contesto temporale), e deviazioni di anomalie collettive (sequenze di sequenza).

Tecniche di apprendimento profondo per la rilevazione di anomalia

L'apprendimento approfondito ha rivoluzionato il rilevamento delle anomalie consentendo ai modelli di imparare modelli complessi da grandi set di dati.

Autorizzatori

Le anomalie sono identificate quando l'errore di ricostruzione supera una soglia. In CPS, sono ampiamente utilizzati per il rilevamento di anomalia non supervisionata su flussi di sensori multivariati. Varianti come autoencoders radi, autoencoders denoising, e autoencoders convoluzionali migliorano la robustezza ai modelli di sensibilità spaziale e di rumore. Un vantaggio fondamentale è che gli autoencoders non richiedono la soglia di etichettatura.

Reti neurali ricorrenti (RNN) e Memoria a breve termine (LSTM)

I RNN sono progettati per i dati sequenziali e possono modellare le dipendenze temporali. In CPS, dove le letture dei sensori formano serie temporali, le RNN prevedono i valori futuri e rilevano le anomalie come picco di errori di previsione. Le varianti LSTM e GRU mitigano i problemi di pendenza svanimento, rendendoli efficaci per le dipendenze a lungo termine.

Reti neurali convoluzionali (CNN)

In CPS, i dati del sensore di serie CNNs 1D elaborano le caratteristiche come punte o oscillazioni, mentre le CNN 2D possono essere applicate a spettrogrammi o immagini (ad esempio, da telecamere termiche). Le CNN sono computazionalmente efficienti e possono essere utilizzate sia per la classificazione che per la rilevazione di anomalia basata sulla ricostruzione.

Autoencoder variabili (VAEs)

I VAEs estendono gli autoencoders standard imparando uno spazio latente probabilistico. Invece di un singolo errore di ricostruzione, VAEs calcola la probabilità di log-likelihood della ricostruzione e KL divergenza, fornendo un modo di principio per quantificare l'incertezza. Questo li rende efficaci per rilevare anomalie rare o nuove causano in CPS, VAEs sono stati applicati per rilevare la sottile degradazione nei macchinari industriali e per identificare i comandi di controllo insoliti simulativi.

Reti adversariali Generative (GAN)

Per la rilevazione di anomalia, i GAN imparano la distribuzione dei dati normali; le anomalie sono identificate come punti di dati che il generatore non può ricostruire con precisione o che il discriminatore classifica come falso. AnoGAN e Efficiente GAN (EGBAD) sono varianti popolari. I GAN sono stati utilizzati con successo in CPS per il rilevamento di guasti e l'identificazione di attacco, soprattutto quando i dati normali sono abbondanti.

Graph Neural Networks (GNNs)

Molti CPS (ad esempio, reti di distribuzione dell'acqua, reti di distribuzione dell'acqua) hanno una struttura di grafico sottostante. Le GNN possono modellare le dipendenze tra sensori e attuatori propagando informazioni lungo i bordi. Le reti convoluzionali del grafico (GCN) e le reti di attenzione del grafico (GAT) rilevano anomalie attraverso l'apprendimento delle rappresentazioni dei nodi e delle deviazioni di ingrandimento nei modelli di quartiere.

Considerazioni di attuazione

L'implementazione di un apprendimento approfondito per il rilevamento di anomalie in CPS richiede un'attenta considerazione della qualità dei dati, della formazione dei modelli e dell'elaborazione in tempo reale.

Raccolta e preelaborazione dei dati

I dati rappresentativi di alta qualità provenienti da sensori, attuatori e log di rete sono essenziali. La prevenzione di passaggi come la normalizzazione, la gestione dei valori mancanti e il filtraggio del rumore migliorano la robustezza del modello. L'aumento dei dati (ad esempio, l'aggiunta di anomalie sintetiche) può aiutare a risolvere lo squilibrio della classe.

Ingegneria della caratteristica

Mentre l'apprendimento profondo può imparare automaticamente le caratteristiche, l'ingegneria specifica di dominio può ancora aumentare le prestazioni. Caratteristiche come i momenti statistici, le trasformazioni di frequenza-dominio (FFT, wavelet), e le statistiche di laminazione forniscono precedenti utili. Per i modelli basati su grafi, le matrici di adiacenza e gli attributi nodo devono essere accuratamente definiti.

Formazione e convalida del modello

La formazione utilizza spesso schemi non supervisionati o semisupervisori a causa della rarità delle anomalie etichettate. Gli approcci comuni includono la classificazione di una classe, la minimizzazione degli errori di ricostruzione e la minimizzazione degli errori di previsione. La convalida richiede set di anomalia sintetica o etichettata; metriche come precisione, richiamo, F1-score e area sotto la curva di ROC sono standard.

Distribuzione in tempo reale

Le tecniche di compressione dei modelli come la potatura, la quantizzazione e la distillazione delle conoscenze sono cruciali per l'implementazione dei bordi. L'accelerazione hardware (GPU, TPU, FPGA) e le architetture dei modelli efficienti (ad esempio, MobileNet, TinyML) consentono l'inferenza in tempo reale.

Valutazione Metrica e Soglia

La scelta delle soglie di ricostruzione o previsione influisce direttamente sui falsi tassi positivi. Le soglie adattive (ad esempio, la media mobile degli errori, il per cento dinamico) possono migliorare la robustezza in ambienti non stazionari. Inoltre, le metriche come il tempo medio per rilevare (MTTD) e il tempo medio tra falsi allarmi (MTBFA) sono utili per la valutazione operativa.

Sfide e direzioni future

I dati imbalsamati (anomalie rare) possono causare la biasing verso il comportamento normale. L'interpretabilità è un ostacolo importante: gli ingegneri devono fidarsi di uscite di modello, soprattutto in infrastrutture critiche. Tecniche come SHAP, LIME e visualizzazione dell'attenzione sono in fase di adozione ma richiedono un ulteriore adattamento al CPS.

Le direzioni future includono:

  • L'apprendimento basato[[]] per formare modelli di conservazione della privacy attraverso più installazioni CPS senza condividere dati grezzi.
  • Spiegabile AI (XAI)[]] per fornire agli operatori informazioni di azione sul motivo per cui un punto di dati è stato contrassegnato.
  • apprendimento continuale[[]]] per consentire ai modelli di adattarsi a nuovi modelli normali senza dimenticare catastrofici.
  • Integrazione con modelli basati sulla fisica[[[] (approccio ibrido) per combinare modelli basati sui dati con dinamiche di sistema note, migliorare la generalizzazione e ridurre i requisiti di dati.
  • Edge AI[]] per il rilevamento on-device anomalia, riducendo la comunicazione in testa e latenza.

Conclusioni

Le tecniche di apprendimento approfondito offrono metodi potenti per il rilevamento di anomalie nei sistemi informatici-fisici, consentendo il rilevamento precoce dei guasti e una maggiore sicurezza. Ogni tecnica – da autoencoders a reti neurali di grafi – porta vantaggi unici adatti a diverse architetture CPS e tipi di dati.

Per ulteriori informazioni su questo argomento, vedere l'indagine completa da Chalapathy and Chawla (2019)], la guida NIST su sicurezza del sistema di controllo industriale, e il lavoro recente su ]]] rilevamento di anomalia basato su grafica per le griglie di potenza.