Digital Twin Degradation: Detecting Cyber Physical Attacks via Temporal Inconsistencies

تعتمد الصناعة الحديثة على رقصة دقيقة بين العالم المادي والعالم الرقمي. فالمصانع، ومحطات معالجة المياه، وشبكات الطاقة تُدار بواسطة أنظمة معقدة حيث تقيس المستشعرات الظروف الواقعية وتتخذ الحواسيب قرارات بناءً على تلك القياسات. وللحفاظ على سلامة وكفاءة هذه الأنظمة، يستخدم المهندسون بشكل متزايد أداة تسمى "التوأم الرقمي" (Digital Twin). فكر في التوأم الرقمي كمرآة افتراضية للآلة الفيزيائية، وهو برنامج حاسوبي يتنبأ باستمرار بما يجب أن تفعله الآلة الحقيقية تالياً بناءً على كيفية سلوكها في الماضي. إذا اتفقت الآلة الحقيقية مع مرآتها الافتراضية، فإن كل شيء يسير بسلاسة. ولكن إذا بدأت الآلة الحقيقية تتصرف بغرابة، فيجب أن تظهر المرآة عدم تطابق، مما ينبه المشغلين إلى وجود مشكلة.

لسنوات، قلق خبراء الأمن من أنه إذا تلاعب مهاجم بالمستشعرات أو بالبيانات المتدفقة إلى هذه المرآة الافتراضية، فقد تتوقف المرآة عن العمل بشكل صحيح. وكان الخوف السائد هو أن التوأم الرقمي المتدهور أو المعطل سيكون عديم الفائدة للأمن، ببساطة لأنه لن يعود موثوقاً في قول الحقيقة. ومع ذلك، تشير دراسة جديدة من باحثين في الجامعة النرويجية للعلوم والتكنولوجيا إلى تحول مفاجئ: قد يكون المرآة المكسورة قليلاً أفضل في كشف اللص من المرآة المثالية. يقترح الباحثون أن عملية كفاح التوأم الرقمي لمواكبة النظام المادي — بسبب التأخيرات أو فقدان البيانات — تخلق نمطاً فريداً من الأخطاء يمكن أن يكشف وقوع هجوم.

وضع الفريق هدفهم لاختبار هذه الفكرة من خلال بناء نظام كشف لا يعتمد على معرفة شكل الهجوم مسبقاً. بدلاً من ذلك، قاموا بتدريب نموذج حاسوبي ليفهم فقط كيف يتصرف النظام عندما تكون الأمور طبيعية. وقد غدّوا هذا النموذج ببيانات تاريخية من ثلاث بيئات صناعية مختلفة: منصة اختبار لمعالجة المياه، وإعداد تحكم صناعي عام، وشبكة توزيع مياه محاكية. تعلم النموذج التنبؤ باللحظات القليلة التالية من سلوك النظام بناءً على ما حدث قبل قليل. في عالم مثالي، سيتطابق تنبؤ النموذج مع قراءة المستشعر الحقيقية تماماً. أما في العالم الحقيقي، فغالباً ما تصل البيانات متأخرة أو تُفقد، مما يتسبب في أخطاء صغيرة يرتكبها النموذج. وقد عامل الباحثون هذه الأخطاء ليس كإخفاقات، بل كقرائن.

يتضمن جوهر طريقتهم مراقبة كيفية تغير أخطاء التنبؤ بمرور الوقت. فعندما يعمل النظام بشكل طبيعي، حتى مع وجود بعض التأخيرات في البيانات، تميل الأخطاء إلى أن تكون صغيرة وعشوائية وقصيرة الأجل؛ قد ترتفع فجأة للحظة ثم تستقر. ولكن عندما يحدث هجوم سيبراني-فيزيائي — حيث يحاول خصم التلاعب بالمستشعرات أو صمامات التحكم لإحداث ضرر مادي — تسلك الأخطاء سلوكاً مختلفاً. تصبح الأخطاء مستمرة، وتكبر في الحجم وتستمر لفترة أطول مع دفع الهجوم للنظام الحقيقي للابتعاد عن مساره المتوقع. صمم الباحثون نظاماً يبحث عن هذا النمط المحدد من التباعد المستمر؛ فهو يتجاهل الارتفاعات المنعزلة للضجيج وينتظر ليرى ما إذا كان عدم التطابق بين التنبؤ والواقع سيستمر في التراكم.

ولرؤية ما إذا كانت هذه الطريقة قد نجحت، اختبر الباحثون هذا النهج تحت ظروف متنوعة، بما في ذلك سيناريوهات تم فيها تعمد إضعاف التوأم الرقمي لمحاكاة مشاكل العالم الحقيقي مثل تأخيرات الشبكة أو فقدان حزم البيانات. ووجدوا أن النظام ظل فعالاً للغاية حتى عندما لم يكن التوأم الرقمي يعمل بشكل مثالي. ففي مجموعة بيانات معالجة المياه، نجحت الطريقة في تحديد كل واقعة هجوم، حيث كشفت عن جميع الحوادث الـ 35 المتميزة. وفي مجموعة بيانات التحكم الصناعي، اكتشفت 49 هجوماً من أصل 50. وحتى في مجموعة بيانات توزيع المياه، حيث واجه النظام صعوبة في البداية، أدى إدخال نوع معين من تأخير البيانات في الواقع إلى مساعدة الكاشف على رصد المزيد من الهجمات، مما رفع معدل نجاحه من 40 بالمائة إلى 80 بالمائة.

وكان أحد النتائج الحاسمة هو قدرة النظام على التمييز بين الخلل غير الضار والتهديد الحقيقي. ففي التشغيل العادي، أنتج النظام عدداً قليداً جداً من الإنذارات الكاذبة، حيث ظلت معدلات الخطأ أقل من 2 بالمائة عبر الاختبارات المختلفة. وهذا أمر بالغ الأهمية في البيئات الصناعية، حيث لا يمكن للمشغلين تحمل الغرق في التحذيرات بشأن مشكلات لا وجود لها. كما استجاب النظام بسرعة، حيث حدد الهجوم عادةً في غضون بضع عشرات من الثواني من بدايته، وهو وقت سريع بما يكفي لتدخل المشغلين البشريين قبل وقوع ضرر كبير. وأكد الباحثون أن طريقتهم لا تحتاج إلى معرفة التوقيع المحدد للهجوم مسبقاً؛ فهي ببساطة تبحث عن الاستمرارية غير الطبيعية لعدم التطابق بين العالم المادي وظله الرقمي.

تشير الدراسة إلى أن النظرة التقليدية لتدهور التوأم الرقمي كعامل سلبي بحت قد تكون غير مكتملة. فبينما يؤدي التوأم الرقمي المتدهور بالتأكيد إلى إدخال حالة من عدم اليقين، إلا أنه يخلق أيضاً نوعاً معيناً من عدم الاتساق الزمني الذي يصعب على المهاجم إخفاؤه. فإذا حاول مهاجم التلاعب بالنظام ليبدو طبيعياً، فيجب عليه أيضاً محاكاة السلوك المعقد والمتأخر والمشوب بالضجيج للتوأم الرقمي المتدهور بدقة، وهي مهمة صعبة رياضياً من حيث الاستدامة بمرور الوقت. ومن خلال التركيز على التطور الزمني للأخطاء بدلاً من مجرد حجم خطأ واحد، أنشأ الباحثون أداة قوية ضد كل من فقدان البيانات والهجمات السيبرانية-الفيزيائية المتطورة.

يقدم هذا العمل منظوراً جديداً حول كيفية تأمين البنية التحتية الحيوية. فبدلاً من محاولة بناء مرآة رقمية مثالية وغير قابلة للاختراق، قد يتمكن المهندسون من استخدام الاحتكاك الطبيعي وتأخيرات الاتصال في العالم الحقيقي كميزة أمنية. وتشير النتائج إلى أن مراقبة العلاقة بين النظام المادي والنموذج التنبئي الخاص به يمكن أن توفر طبقة دفاع موثوقة ومنخفضة التكلفة. وطالما تم تدريب النظام على السلوك الطبيعي، فإنه يستطيع رصد التواقيع المستمرة والدقيقة للهجوم، حتى عندما تكون البيانات التي يتلقاها غير كاملة. إن هذا النهج ينقل التركيز من محاولة منع كل خطأ في البيانات إلى استخدام نمط تلك الأخطاء للكشف عما إذا كان هناك خطب ما حقاً.