🤖 machine learning

PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

PhaseNet++ stellt ein neuartiges Framework zur Anomalieerkennung im Frequenzbereich für industrielle Steuerungssysteme vor, das einen Phasen-Kohärenz-Index nutzt, um einen phasenbewussten Graphen zu konstruieren, wodurch ein leichtgewichtiges Autoencoder-Modell durch die effektive Nutzung bisher übersehener Phasenspektrum-Informationen neben Magnitudendaten einen State-of-the-Art-Performance erreicht.

Ursprüngliche Autoren: Raviteja Bommireddy, Varshith Bandaru, Lohith Pakala, Pradeep Kumar B

Veröffentlicht 2026-05-05

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Raviteja Bommireddy, Varshith Bandaru, Lohith Pakala, Pradeep Kumar B

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine massive Wasseraufbereitungsanlage vor. Es ist eine komplexe Maschine mit Hunderten von Sensoren (wie Durchflussmessern, Druckmessgeräten und Füllstandssensoren), die alle zusammenarbeiten. In einer gesunden Anlage bewegen sich diese Sensoren nicht einfach zufällig; sie führen einen synchronisierten Tanz auf. Wenn eine Pumpe eingeschaltet wird, reagiert der Drucksensor eine splittersekunde später, gefolgt vom Durchflusssensor, und so weiter. Dieser „Tanz" hat einen spezifischen Rhythmus und eine spezifische Timing-Abfolge.

Die meisten aktuellen Sicherheitssysteme für diese Anlagen verhalten sich wie ein Fotograf. Sie machen ein Schnappschuss der Sensorwerte (wie hoch das Wasser steht, wie schnell es fließt) und prüfen, ob die Zahlen merkwürdig aussehen. Wenn die Zahlen normal sind, geht das System davon aus, dass alles in Ordnung ist.

Das Problem:
Hacker werden immer schlauer. Sie können alte, normal aussehende Zahlen „abspielen", um den Fotografen zu täuschen. Oder sie können winzige Verzögerungen in die Befehle einfügen. Die Zahlen mögen immer noch perfekt aussehen, aber das Timing des Tanzes ist gebrochen. Die Sensoren sind nicht mehr synchron. Da aktuelle Systeme das Timing ignorieren, übersehen sie diese Angriffe.

Die Lösung: PhaseNet++
Die Autoren dieses Papers haben ein neues System namens PhaseNet++ entwickelt. Anstatt nur ein Foto der Zahlen zu machen, beschlossen sie, der Musik der Daten zu lauschen.

So funktioniert es, unter Verwendung einfacher Analogien:

1. Den Rhythmus hören (Die „Phase")

Stellen Sie sich die Sensoren als Musiker in einem Orchester vor.

Amplitude (Was andere prüfen): Wie laut die Geige spielt.
Phase (Was PhaseNet++ prüft): Wann die Geige im Verhältnis zu den Trommeln spielt.

In einer gesunden Fabrik spielen die „Geige" (eine Pumpe) und die „Trommeln" (ein Druckmessgerät) immer perfekt synchron. Wenn ein Hacker versucht, die Daten zu fälschen, mag er die Lautstärke richtig hinbekommen, aber er kann das splittersekundengenaue Timing zwischen den Instrumenten nicht perfekt imitieren. PhaseNet++ konzentriert sich ausschließlich auf diese Timing-Beziehung, die die Autoren als Phasenspektrum bezeichnen.

2. Die „Handschlag"-Karte (Der PCI-Graph)

Um zu verstehen, wie die Sensoren zusammenhängen, erstellt PhaseNet++ eine Karte namens Phase Coherence Index (PCI).

Denken Sie daran als eine „Handschlag-Karte". Sie misst, wie fest zwei Sensoren im Takt die Hände halten.
Wenn Sensor A und Sensor B immer zur exakt gleichen Zeit reagieren, haben sie einen festen Handschlag (hohe Kohärenz).
Wenn ein Angriff stattfindet, bricht dieser Handschlag. Die Karte zeigt sofort, dass die Verbindung schwach oder seltsam ist, selbst wenn die Zahlen normal aussehen.

3. Das Detektiv-Team (Das KI-Modell)

Das System nutzt ein Team von KI-Detektiven, um diese Daten zu analysieren:

Die Spektrale CNN: Dieser Detektor zerlegt die Daten in ihre musikalischen Noten (Frequenzen), um den Rhythmus klar zu erkennen.
Das Graph Attention Network: Dieser Detektor nutzt die „Handschlag-Karte", um zu wissen, wem er lauschen soll. Wenn die Pumpe und das Druckmessgerät normalerweise beste Freunde sind (synchronisiert), schenkt dieser Detektor ihrer Beziehung besondere Aufmerksamkeit.
Der Transformer: Dies ist der Teamleiter, der das gesamte Orchester betrachtet, um zu sehen, ob der gesamte Song Sinn ergibt.

4. Die „Kreis"-Regel

Ein kniffliger Teil des Timings ist, dass es sich umschließt. Wenn eine Uhr von 23:59 auf 00:00 springt, springen die Zahlen, aber die Zeit ist kontinuierlich. Die Standardmathematik wird durch diesen Sprung verwirrt.
PhaseNet++ verwendet eine spezielle „kreisförmige" mathematische Regel. Es versteht, dass 23:59 und 00:01 tatsächlich sehr nah beieinander liegen, und stellt sicher, dass die KI durch das Umklappen nicht verwirrt wird.

Die Ergebnisse

Das Team testete dies an einem realen Datensatz für Wasseraufbereitung (SWaT).

Die Punktzahl: Sie erreichten eine Erkennungsgenauigkeit (F1-Score) von 90,98 %.
Der Vergleich: Während einige andere Systeme leicht höhere Punktzahlen erzielten, verwendeten diese Systeme eine „nachsichtige" Regel, bei der sie auch dann Punkte gaben, wenn sie einen Angriff nur leicht verspätet erkannten. PhaseNet++ verwendete eine strengere Regel (Prüfung jedes einzelnen Zeitfensters ohne Nachsicht) und performte dennoch sehr gut.
Die Effizienz: Der neue „Rhythmus-Prüf"-Teil des Systems ist sehr leichtgewichtig. Er fügt dem System nur etwa 5 % mehr „Gehirnkraft" (Parameter) hinzu, was bedeutet, dass er keine große Belastung für den Betrieb darstellt.

Warum das wichtig ist

Die Autoren behaupten nicht, dies sei bereits das absolut „beste" System der Welt. Stattdessen sagen sie: „Wir haben einen neuen Weg gefunden, das Problem zu betrachten."

Sie bewiesen, dass das Betrachten des Timings (Phase) der Daten, anstatt nur der Größe (Amplitude) der Zahlen, Angriffe aufdeckt, die andere Systeme übersehen. Es ist wie die Erkenntnis, dass man einen Dieb nicht nur am Gesicht erkennt, sondern auch daran, wie er geht. Wenn sein Gang leicht abweicht, weiß man, dass etwas nicht stimmt, selbst wenn sein Gesicht normal aussieht.

Dieses Paper öffnet die Tür für zukünftige Sicherheitssysteme, die der „Musik" industrieller Maschinen lauschen, statt nur ihre „Fotos" zu betrachten.

1. Problemstellung

Industrielle Steuerungssysteme (ICS) sind kritische Infrastrukturbestandteile (z. B. Wasseraufbereitung, Stromnetze), die anfällig für cyber-physische Angriffe sind. Bestehende Methoden zur Anomalieerkennung stützen sich primär auf Amplitudenwerte im Zeitbereich von Sensordaten und nutzen Architekturen wie Graph Neural Networks (GNNs), Transformer oder Variational Autoencoder (VAEs).

Die zentrale Lücke: Diese Methoden verwerfen typischerweise das Fourier-Phasenspektrum während der Vorverarbeitung. In physikalischen Systemen sind Sensoren jedoch gekoppelt; ihre Interaktionen werden nicht nur durch ähnliche Wertebeträge definiert, sondern durch konsistente Zeitbeziehungen und Synchronisation.

Die Herausforderung: Angriffe wie Replay-Angriffe (Wiedergabe alter Daten) oder Verzögerungsinjektion können realistische Amplitudenprofile beibehalten, während sie die präzise Phasensynchronisation zwischen Sensoren stören. Modelle, die nur auf Amplituden im Zeitbereich basieren, haben Schwierigkeiten, diese subtilen Zeitinkonsistenzen direkt zu erkennen.

2. Methodik: PhaseNet++

PhaseNet++ ist ein Frequenzbereich-Autoencoder, der entwickelt wurde, um Anomalien zu erkennen, indem er Phasenbeziehungen explizit modelliert. Er arbeitet auf gleitenden Fenstern multivariater Sensordaten.

A. Eingabedarstellung (STFT)

Anstelle roher Zeitreihen wendet das Modell die Kurzzeit-Fourier-Transformation (STFT) auf Sensorenfenster an.

Es behält sowohl das Betragsspektrum ( $M$ ) als auch das Phasenspektrum ( $\Phi$ ) bei.
Das Phasenspektrum wird als Signal erster Klasse behandelt, das zeitliche Verschiebungen innerhalb des Fensters erfasst, die die Amplitude allein verpasst.

B. Phasen-Kohärenz-Index (PCI)

Um die physikalische Kopplung von Sensoren zu nutzen, führen die Autoren einen Phasen-Kohärenz-Index (PCI) ein, inspiriert vom Phase Locking Value (PLV) aus der Neurowissenschaft.

Mechanismus: Er berechnet die paarweise Phasenkonsistenz über Frequenzbins zwischen jedem Sensorenpaar ( $i, j$ ).
Ausgabe: Eine kontinuierliche Adjazenzmatrix $A \in [0, 1]^{C \times C}$ .
Bedeutung: Im Normalbetrieb weisen physikalisch gekoppelte Sensoren stabile Phasenverzögerungen auf, was zu hohen $A_{ij}$ -Werten führt. Während eines Angriffs (z. B. Replay oder Verzögerung) bricht diese Kohärenz zusammen, wodurch $A_{ij}$ abfällt. Diese Matrix dient als physikinformierter räumlicher Prior für das Graphennetzwerk.

C. Netzwerkaritektur

Das Modell folgt einer Encoder-Decoder-Struktur mit vier Stufen:

Spektrale CNN-Einbettung: Ein leichtgewichtiges 1D-CNN extrahiert Merkmale aus den Betrags- und Phasenspektren jedes Sensors unabhängig.
PCI-gewichtete Graph-Attention (GAT): Ein Graph Attention Network verfeinert die Einbettungen. Entscheidend ist, dass die PCI-Matrix ( $A_{ij}$ ) direkt in den Attention-Mechanismus multipliziert wird. Dies zwingt das Modell, Informationen bevorzugt zwischen phasensynchronisierten Sensoren zu propagieren, anstatt die Adjazenz rein aus Datenkorrelationen zu lernen.
Sensor-Token Transformer-Encoder: Ein Transformer erfasst die globale systemweite Struktur über die Sensordimension hinweg (nicht über die Zeit, da die Zeit in den spektralen Merkmalen zusammengefasst ist).
Dual-Head Decoder: Zwei separate Köpfe rekonstruieren das Betragsspektrum und das Phasenspektrum.

D. Trainingsziel

Das Modell minimiert eine zusammengesetzte Verlustfunktion:
$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$

$\mathcal{L}_{mag}$ (MSE): Standard-Rekonstruktionsfehler für den Betrag.
$\mathcal{L}_{phase}$ (Circular Loss): Verwendet einen Kosinus-Verlust ( $1 - \cos(\hat{\Phi} - \Phi)$ ) anstelle des euklidischen MSE. Dies respektiert die Winkelgeometrie der Phase (Handhabung des Wrap-arounds bei $\pm \pi$ ) und verhindert Diskontinuitätsfehler.
$\mathcal{L}_{coh}$ (Coherence Loss): Schätzt die PCI-Matrix aus der rekonstruierten Phase neu ab und vergleicht sie mit der ursprünglichen PCI. Dies stellt sicher, dass das Modell die Synchronisation zwischen Sensoren bewahrt und nicht nur einzelne Sensorwerte.

3. Hauptbeiträge

Phase als Signal erster Klasse: Die erste systematische Studie, die die Fourier-Phase als primäres Erkennungsmerkmal in ICS behandelt und sie mit einem Circular Loss rekonstruiert, anstatt sie als standardmäßigen euklidischen Kanal zu behandeln.
PCI als Graphstruktur: Einführung einer Methode, um Graph-Adjazenz aus paarweiser Phasenkohärenz (eine physikalische Größe) abzuleiten, anstatt aus gelernten Einbettungen, wodurch ein physikbasierter Prior in den Attention-Mechanismus injiziert wird.
Effiziente Induktive Verzerrung: Die phasenbewussten Komponenten (Spektrales CNN + PCI-GAT) fügen nur 264.816 Parameter hinzu (5,0 % der gesamten 5,29 Mio.), was beweist, dass Phasenmodellierung eine leichte, aber leistungsstarke Erweiterung ist.
Neues Evaluierungsprotokoll: Die Autoren übernehmen eine strenge Fensterebene-Evaluierung ohne Punktanpassung, was eine konservativere und realistischere Bewertung der intrinsischen diskriminativen Fähigkeit des Modells im Vergleich zu Methoden liefert, die Heuristiken zur Punktanpassung verwenden.

4. Experimentelle Ergebnisse

Evaluiert auf dem Secure Water Treatment (SWaT)-Benchmark:

Leistung:
- F1-Score: 90,98 %
- ROC-AUC: 95,66 %
- Average Precision: 91,51 %
Vergleich:
- Obwohl der F1-Score leicht niedriger ist als beim Anomaly Transformer (94,07 %), stellen die Autoren fest, dass dies auf das strengere Evaluierungsprotokoll (keine Punktanpassung) zurückzuführen ist.
- Unter demselben GDN-Protokoll übertrifft PhaseNet++ GDN (90,98 % vs. 81,0 % F1).
- Die hohe ROC-AUC zeigt, dass die Anomaliewerte des Modells hochgradig diskriminierend sind; die Lücke zwischen Ranking-Metriken und F1 deutet darauf hin, dass die Engstelle die Kalibrierung der Schwelle ist, nicht die Qualität der Repräsentation.
Ablation: Das Entfernen des phasenbewussten Front-Ends oder des PCI-Graphmoduls verschlechtert die Leistung erheblich, was die Notwendigkeit der Phasenkohärenz für die Erkennung zeitbasierter Angriffe bestätigt.

5. Bedeutung und zukünftige Richtungen

Wissenschaftliche Auswirkung: Diese Arbeit stellt die Dominanz der Amplitudenmodellierung im Zeitbereich in der ICS-Sicherheit in Frage. Sie zeigt, dass Phasenkohärenz ein komplementäres und kritisches Signal zur Erkennung von Angriffen ist, die die Timing manipulieren (z. B. Replay, Verzögerungsinjektion), während sie die Amplitudenstatistik bewahren.
Praktischer Wert: Die Methode ist leichtgewichtig und kann mit minimalem Parameteraufwand in bestehende Autoencoder-Frameworks integriert werden.
Zukünftige Arbeit: Die Autoren schlagen vor, phasenbewusste und amplitudenbewusste Repräsentationen zu fusionieren, Validierungen auf anderen Datensätzen (WADI, BATADAL) durchzuführen und adaptive Schwellenwertstrategien zu entwickeln, um die Lücke zwischen Ranking-Metriken und F1-Scores zu schließen.

Fazit: PhaseNet++ etabliert eine neue Richtung für die ICS-Anomalieerkennung, indem es nachweist, dass die „Timing" physikalischer Prozesse, kodiert im Fourier-Phasenspektrum, ein vitales Signal zur Identifizierung fortgeschrittener cyber-physischer Angriffe ist.