Domain-Prior-Regularized Graph Modeling for Anomaly Detection in Cyber-Physical Systems

تخيل أنك قبطان سفينة ضخمة وعالية التقنية. سفينتك مليئة بالمستشعرات — موازين حرارة، وأجهزة قياس الضغط، وكواشف الاهتزاز، وعدادات التدفق — وكلها تهمس بالبيانات إلى غرفة القيادة في كل ثانية. مهمتك هي رصد المشكلة قبل أن تغرق السفينة. هذا هو عالم الأنظمة السيبرانية الفيزيائية (CPS)، حيث تتحكم الحواسيب في آلات من العالم الحقيقي مثل محطات معالجة المياه أو المصانع الكيميائية. التحدي؟ أحياناً، يمكن لخلل بسيط في مستشعر واحد أن يشير إلى كارثة، ولكن في أحيان أخرى، قد يتصرف المستشعر بغرابة فقط بسبب خلل عشوائي. لكي تجد الخطر الحقيقي، عليك أن تفهم كيف تتواصل هذه المستشعرات مع بعضها البعض. إذا ارتفع مقياس الضغط فجأة، فهل يعني ذلك أن المضخة تعطلت، أم أنه مجرد رد فعل لإغلاق صمام قريب؟

لفترة طويلة، حاول العلماء تعليم الحواسيب كيفية فهم هذه العلاقات بمجرد مراقبة البيانات. كانوا يأملون أن تتعلم الحواسيب: "أوه، عندما يرتفع المستشعر (أ)، فإن المستشعر (ب) يرتفع أيضاً عادةً". لكن هذا يشبه محاولة تعلم قواعد لعبة معقدة عبر مشاهدة دقائق قليلة فقط من اللعب. إذا كانت البيانات فوضوية أو شحيحة، فإن الحاسوب يصاب بالارتباك. قد يعتقد أن مستشعرين هما أعز الأصدقاء لمجرد أنهما تحركا في نفس الوقت عن طريق الصدفة. يؤدي هذا إلى خريطة من العلاقات مليئة بالأكاذيب والروابط الزائفة، مما يجعل من الصعب تحديد نقاط الخطر الحقيقية.

هنا يأتي دور فكرة جديدة تسمى DPR-GM. بدلاً من التخمين للوصول إلى القواعد من الصفر، قرر الباحثون سؤال "مخططات السفينة". لقد أدركوا أن العالم الفيزيائي له منطق صارم: أنبوب يتصل بمضخة، وصمام يتحكم في تدفق. هذه الحقائق مكتوبة في أدلة النظام قبل جمع أي بيانات بوقت طويل. تقترح الورقة البحثية حيلة ذكية: استخدام "مساعد ذكي" (نموذج لغوي كبير - LLM) لقراءة تلك الأدلة وبناء خريطة لكيفية اتصال المستشعرات بناءً على الفيزياء. ثم يتم وضع البيانات الفعلية فوق هذه الخريطة لرؤية أين تسير الأمور بشكل خاطئ.

اختبر الفريق طريقتهم على معيار مرجعي يسمى SKAB، والذي يحاكي نظام مضخة مياه بـ 8 مستشعرات. وجدوا أن طريقتهم، التي تجمع بين معرفة "المخطط" والبيانات في الوقت الفعلي، كانت أفضل بكثير في رصد الشذوذ (Anomalies) من الطرق التي تحاول تعلم كل شيء من الصفر. في الواقع، عندما نظروا إلى النتائج، تفوقت طريقتهم باستمرار على النماذج القائمة على الرسوم البيانية (Graph-based)، والنماذج الإحصائية، ونماذج التعلم العميق. لم تكتفِ بطريقتهم بالعثور على مشاكل أكثر فحسب، بل وجدت المشاكل بدقة أكبر، حتى عندما كانت البيانات صعبة. تشير الورقة إلى أنه من خلال ترسيخ "عقل" الحاسوب في الفيزياء الواقعية بدلاً من مجرد التخمين من بيانات محدودة، يمكننا بناء أنظمة سلامة أكثر موثوقية لعالمنا الصناعي.

قصة المخطط الذكي

إذن، كيف تعمل هذه الطريقة DPR-GM (نمذجة الرسم البياني المنظمة بالمعرفة المسبقة للمجال) فعلياً؟ دعونا نفكك الأمر في قصة عن محقق، وخريطة، وحفلة صاخبة.

المشكلة: الحفلة الصاخبة
تخيل حفلة ضخمة حيث يتحدث الجميع في وقت واحد. تريد أن تعرف من منهم يخوض جدالاً حقيقياً (شذوذ) مقابل من يضحك بصوت عالٍ فقط (ضجيج طبيعي). في الماضي، حاولت الخوارزميات (المحققون) معرفة من يتحدث مع من بمجرد الاستماع إلى مستوى صوت المحادثات. إذا ضحك شخصان في نفس الوقت، يفترض المحقق أنهما صديقان. لكن في غرفة مزدحمة، غالباً ما يضحك الناس في نفس الوقت بمحض الصدفة! أدى هذا إلى خريطة فوضوية من الصداقات التي لا معنى لها. وعندما بدأ الجدال الحقيقي، تاه المحقق في الضجيج.

الحل: المخطط
قال مؤلفو هذه الورقة: "انتظروا لحظة! لدينا مخطط أرضية الحفلة!" في العالم الحقيقي، هذا هو توثيق النظام. فهو يخبرنا أن مضخة المياه يجب أن تكون متصلة بصمام الضغط، وأن المحرك يجب أن يكون متصل بمستشعر الحرارة. هذه حقائق فيزيائية، وليست تخمينات.

استخدم الباحثون نموذجاً لغوياً كبيراً (LLM) — فكر فيه كروبوت فائق الذكاء يمكنه قراءة وفهم الكتيبات التقنية — لمسح هذه المخططات. استخرج الروبوت قائمة "الاتصالات المسموح بها". على سبيل المثال، تعلم أن "مستشعر المضخة" يمكنه التحدث إلى "مستشعر الضغط"، ولكن "مستشعر المضخة" لا يمكنه التحدث إلى "مفتاح الضوء" لأنه في جزء آخر من المبنى.

البوابة السحرية
أصبحت قائمة الاتصالات المسموح بها هذه بمثابة بوابة ثنائية (Binary Gate). تخيل حارساً عند باب ملهى ليلي. إذا قال المخطط إن مستشعرين متصلان، يسمح لهما بالدخول. وإذا قال الممان أنهم غير متصلين، يقوم الحارس بمنعهما، مهما بدا أنهما يتحدثان في البيانات. هذا يمنع الحاسوب من اختلاق صداقات وهمية بناءً على الضجيج العشوائي.

مقبض التحكم في الصوت
لكن مجرد معرفة من يمكنه التحدث ليس كافياً؛ فنحن بحاجة لمعرفة مدى علو صوتهم. أضاف الباحثون خطوة ثانية. نظروا إلى البيانات الطبيعية (الحفلة عندما يكون كل شيء على ما يرام) وقاسوا مدى تحرك المستشعرات معاً. إذا كان مستشعران يتحركان في تزامن عادةً، فإنهما يرفعان "صوت" اتصالهما. وإذا كانا يتحركان في اتجاهات متعاكسة، فإنهما يخفضان "الصوت". هذا يخلق خريطة نهائية تكون صحيحة فيزيائياً (بفضل المخطط) ودقيقة إحصائياً (بفضل البيانات).

المستشعرات الموثوقة
هناك التواء واحد أخير. بعض المستشعرات تكون مهتزة بطبيعتها. قد يهتز مستشعر الاهتزاز كثيراً حتى عندما يكون كل شيء بخير، بينما قد يكون مستشر الضغط ثابتاً جداً. أدرك الباحثون أنه إذا قفز المستشعر الثابت فجأة، فهذا أمر جلل. ولكن إذا قفز المستشعر المهتز، فقد يكون هذا هو طبيعته فحسب. لذا، منحوا "درجة موثوقية" لكل مستشعر بناءً على مدى استقراره المعتاد. عند حساب درجة الإنذار النهائية، وثقوا في المستشعرات المستقرة أكثر من المستشعرات المهتزة.

النتائج: صورة أوضح
عندما اختبروا هذه الطريقة على مجموعة بيانات SKAB لمضخة المياه، كانت النتائج مثيرة للإعجاب. الطرق القدة، التي حاولت تعلم الخريطة من الصفر، غالباً ما ارتبكت وأخطأت في رصد المشكلات الحقيقية أو أطلقت إنذارات كاذبة. كانت هياكل الرسوم البيانية الخاصة بها غير مستقرة، وتتغير في كل مرة يجرون فيها الاختبار.

أما طريقة DPR-GM، فقد ظلت ثابتة. لأنها بدأت بـ "المخطط" (المعرفة المسبقة للمجال)، لم تخدعها الضوضاء العشوائية.

• حققت AUROC قدره 0.7256 (وهو مقياس لمدى جودة الفصل بين الحالة الطبيعية وغير الطبيعية)، وهو أعلى من أفضل طريقة قائمة على الرسوم البيانية تالية لها.
• تفوقت على الطرق الإحصائية ونماذج التعلم العميق التي لم تستخدم المخطط.
• والأهم من ذلك، فعلت ذلك دون الحاجة لتعلم أي معاملات (Parameters) جديدة لهيكل الرسم البياني نفسه. كانت الخريطة ثابتة قبل بدء التدريب، مما يجعلها مثالية للحالات التي لا تملك فيها الكثير من البيانات للتعلم منها.

لماذا يهم هذا؟
تشير الورقة إلى أنه في عالم السلامة الصناعية، لسنا بحاجة للتخلص من مخططاتنا والبدء في التخمين. من خلال الجمع بين الحقائق الصلبة للفيزياء (معرفة المجال) والأنماط المرنة للبيانات، يمكننا بناء أنظمة أكثر ذكاءً، واستقراراً، وقدرة على رصد الانحرافات الصغيرة التي قد تؤدي إلى كوارث كبيرة. إنه تذكير بأنه أحياناً، أفضل طريقة لفهم المستقبل هي قراءة التعليمات التي أُعطيت لنا في البداية.