System-aware contextual digital twin for ICS anomaly diagnosis

A continuación se presenta un resumen técnico detallado del artículo "Gemelo Digital Contextual Consciente del Sistema para el Diagnóstico de Anomalías en SCIA" (SCDT).

1. Planteamiento del Problema

Los Sistemas de Control Industrial (SCIA) son críticos para la infraestructura (redes eléctricas, tratamiento de agua), pero son cada vez más vulnerables a ciberataques. Los métodos existentes de detección de anomalías enfrentan dos limitaciones principales:

• Métodos Supervisados: Requieren extensos datos de ataques etiquetados, los cuales son escasos, desequilibrados y quedan rápidamente obsoletos debido a la evolución de las estrategias de ataque.
• Métodos No Supervisados/Basados en Modelos: Aunque evitan la dependencia de etiquetas, a menudo se basan en desviaciones estadísticas globales. No tienen en cuenta la naturaleza dependiente del contexto de los SCIA, donde una lectura de sensor es "normal" bajo una configuración de actuador específica pero "anormal" bajo otra. En consecuencia, estos métodos producen altas tasas de falsas alarmas y carecen de la interpretabilidad necesaria para que los operadores diagnostiquen las causas raíz rápidamente.

El desafío central es cerrar la brecha entre la detección estadística y el diagnóstico accionable y consciente del contexto sin depender de datos de ataques etiquetados.

2. Metodología: El Marco SCDT

Los autores proponen SCDT (Gemelo Digital Contextual Consciente del Sistema), un marco no supervisado de dos etapas que combina una detección en línea ligera con un razonamiento impulsado por Modelos de Lenguaje Grande (LLM).

A. Concepto Central: Combinación Sensor-Actuador (S-AC)

SCDT reconoce que el comportamiento de los SCIA está gobernado por el control de bucle cerrado. La trayectoria de un sensor es normal solo en relación con una configuración de actuador específica. El sistema define el "contexto" como el estado conjunto de los actuadores observado al inicio de una ventana de tiempo.

B. Etapa 1: Detección No Supervisada (El Núcleo del "Gemelo Digital")

Esta etapa aprende "envolturas de comportamiento" de la operación normal sin etiquetas de ataque.

1. Extracción de Características:
   • Características Principales (8D): Métricas estadísticas (media, amplitud, desviación estándar, RMSE, diferencias primera/segunda, saltos negativos, energía espectral) utilizadas para un agrupamiento eficiente.
   • Descriptores Extendidos (13D): Incluye valores mínimos/máximos y pendientes por segmentos (tendencias tempranas/medias/tardías) utilizadas para la construcción detallada de reglas y la explicación.
2. Agrupamiento de Reglas Multietapa:
   • Agrupación por Niveles: Particiona los datos por niveles de operación (por ejemplo, altura del tanque) para evitar mezclar regímenes distintos.
   • UMAP y HDBSCAN: Utiliza reducción de dimensionalidad (UMAP) seguida de agrupamiento basado en densidad (HDBSCAN) para identificar modos operativos distintos dentro de cada grupo de niveles.
   • Construcción de Reglas: Para cada grupo (modo), el sistema construye una envoltura de cuantiles (definiendo rangos aceptables) y un modelo de distancia diagonal robusto (utilizando la mediana y el RCI) para medir la desviación.
3. Inferencia y Filtrado:
   • Recuperación: Empareja el estado del actuador de la ventana actual con las reglas aprendidas. Si falta una coincidencia exacta, recurre a un índice Actuador-Sensor (S-A), agregando reglas basadas en estados individuales de actuadores.
   • Decisión: Una ventana se marca como normal si cae dentro de la envoltura de cuantiles o dentro de un umbral de distancia relajado. Los casos ambiguos (contextos no vistos) se marcan explícitamente para arbitraje del LLM en lugar de una clasificación forzada.

C. Etapa 2: Diagnóstico Impulsado por LLM (La Capa "Contextual")

Esta etapa traduce la evidencia numérica de detección en hipótesis legibles por humanos y fundamentadas.

1. LLM Primario (Generación de Reglas):
   • Analiza las características estadísticas de cada grupo para generar reglas semánticas (por ejemplo, "Cuando la Válvula A está abierta, el Nivel del Tanque debe ser estable con baja variabilidad").
   • Estas reglas se almacenan como texto en lenguaje natural junto con las envolturas numéricas.
2. LLM Secundario (Diagnóstico y Arbitraje):
   • Modo Diagnóstico: Cuando se detecta una anomalía, el LLM recibe los estados actuales de los actuadores, la regla específica violada y las métricas de desviación. Genera una narrativa que explica por qué el comportamiento es anómalo (por ejemplo, "El nivel del tanque está subiendo rápidamente, inconsistente con el estado de válvula cerrada").
   • Modo Arbitraje: Si el detector determinista es ambiguo (por ejemplo, una combinación de actuadores no vista), el LLM actúa como juez, comparando la ventana actual contra las expectativas agregadas S-A para tomar una decisión final.

3. Contribuciones Clave

• Diagnóstico No Supervisado Consciente del Sistema: Formula la detección de anomalías en torno a Contextos Sensor-Actuador, permitiendo que el sistema aprenda reglas invariantes del control de bucle cerrado sin etiquetas de ataque.
• Explicaciones Fundamentadas por LLM: Introduce una nueva canalización donde los LLM convierten las desviaciones estadísticas en hipótesis accionables y fundamentadas y pasos de verificación, en lugar de simplemente proporcionar puntuaciones de anomalía.
• Manejo Robusto de Ambigüedades: Trata explícitamente la coincidencia de contexto de baja confianza como "ambigua" en lugar de forzar una decisión, mejorando la seguridad. Utiliza una estrategia de recuperación jerárquica (S-AC Exacto $\to$ S-A Parcial) para manejar escenarios no vistos.
• Diseño en Tiempo Real: Utiliza un filtrado estadístico ligero (envolturas/distancia) para la velocidad, reservando la inferencia del LLM solo para diagnóstico o arbitraje, asegurando la viabilidad de implementación.

4. Resultados Experimentales

El marco fue evaluado en tres puntos de referencia públicos de SCIA: SWaT (Tratamiento de Agua), WADI (Distribución de Agua) y HAI (Hardware en el Bucle).

• Rendimiento:
  • SWaT: Logró la mejor Recuperación (83.09%) y Puntuación F1 (89.17%) entre las líneas base, demostrando alta sensibilidad a anomalías en contextos estables.
  • WADI y HAI: Lograron una Precisión de primer nivel (89.68% y 90.07% respectivamente) y las segundas mejores puntuaciones F1.
  • Compensación: SCDT es más conservador que algunas líneas base de alta recuperación, resultando en menos falsas alarmas (alta precisión) mientras mantiene una calidad de detección robusta.
• Interpretabilidad:
  • Los estudios de caso (por ejemplo, Proceso 1 de SWaT) mostraron que SCDT identificó correctamente la causa raíz (por ejemplo, una válvula comprometida que fuerza un desbordamiento del tanque) y proporcionó una narrativa coherente que vinculaba la anomalía del sensor con la falla específica del actuador.
  • El LLM distinguió con éxito entre regímenes normales y anormales basándose en los estados de los actuadores, incluso cuando los datos brutos del sensor parecían ambiguos.

5. Significado

• Cerrando la Brecha: SCDT resuelve el problema de la "caja negra" de los detectores no supervisados tradicionales al proporcionar IA explicable adaptada a la lógica de control industrial.
• Seguridad Operativa: Al manejar explícitamente contextos ambiguos y proporcionar hipótesis fundamentadas, reduce la carga cognitiva del operador y previene respuestas tardías a incidentes críticos.
• Escalabilidad: El diseño modular permite que la capa de diagnóstico del LLM se adjunte a otros núcleos de detección, convirtiéndolo en una herramienta versátil para mejorar la interpretabilidad en entornos industriales complejos sin requerir datos de ataques etiquetados.
• Preparación para el Futuro: El enfoque va más allá de los modelos estadísticos estáticos hacia un razonamiento dinámico y consciente del contexto, lo cual es esencial para adaptarse a procesos industriales en evolución y vectores de ataque novedosos.