PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

Aquí se presenta un resumen técnico detallado del artículo "PhaseNet++: Detección de Anomalías en el Dominio de la Frecuencia Consciente de la Fase para Sistemas de Control Industrial mediante Grafos de Coherencia de Fase."

1. Planteamiento del Problema

Los Sistemas de Control Industrial (ICS) son componentes críticos de infraestructura (por ejemplo, plantas de tratamiento de agua, redes eléctricas) vulnerables a ciberataques físico-digitales. Los métodos existentes de detección de anomalías dependen principalmente de los valores de amplitud en el dominio del tiempo de los datos de los sensores, utilizando arquitecturas como Redes Neuronales de Grafos (GNN), Transformers o Autoencoders Variacionales (VAE).

La Brecha Central: Estos métodos suelen descartar el espectro de fase de Fourier durante el preprocesamiento. Sin embargo, en los sistemas físicos, los sensores están acoplados; sus interacciones no se definen solo por magnitudes de valores similares, sino por relaciones temporales y sincronización consistentes.

• El Desafío: Ataques como los ataques de reproducción (reproducir datos antiguos) o la inyección de retrasos pueden mantener perfiles de amplitud realistas mientras interrumpen la sincronización de fase precisa entre los sensores. Los modelos basados únicamente en la amplitud en el dominio del tiempo luchan por detectar estas inconsistencias temporales sutiles directamente.

2. Metodología: PhaseNet++

PhaseNet++ es un autoencoder en el dominio de la frecuencia diseñado para detectar anomalías modelando explícitamente las relaciones de fase. Opera sobre ventanas deslizantes de datos multivariados de sensores.

A. Representación de Entrada (STFT)

En lugar de series temporales crudas, el modelo aplica la Transformada de Fourier de Tiempo Corto (STFT) a las ventanas de los sensores.

• Conserva tanto el espectro de Magnitud ($M$) como el de Fase ($\Phi$).
• El espectro de fase se trata como una señal de primera clase, capturando desajustes temporales dentro de la ventana que la amplitud por sí sola pasa por alto.

B. Índice de Coherencia de Fase (PCI)

Para aprovechar el acoplamiento físico de los sensores, los autores introducen un Índice de Coherencia de Fase (PCI), inspirado en el Valor de Bloqueo de Fase (PLV) de la neurociencia.

• Mecanismo: Calcula la consistencia de fase por pares a través de las bandas de frecuencia entre cada par de sensores ($i, j$).
• Salida: Una matriz de adyacencia continua $A \in [0, 1]^{C \times C}$.
• Significado: Bajo operación normal, los sensores físicamente acoplados tienen desfases de fase estables, resultando en un alto $A_{ij}$. Durante un ataque (por ejemplo, reproducción o retraso), esta coherencia se rompe, provocando que $A_{ij}$ disminuya. Esta matriz sirve como un prior espacial informado por la física para la red de grafos.

C. Arquitectura de la Red

El modelo sigue una estructura de codificador-decodificador con cuatro etapas:

1. Incrustación CNN Espectral: Una CNN 1D ligera extrae características de los espectros de magnitud y fase de cada sensor de forma independiente.
2. Atención de Grafos Ponderada por PCI (GAT): Una Red de Atención de Grafos refina las incrustaciones. Crucialmente, la matriz PCI ($A_{ij}$) se multiplica directamente en el mecanismo de atención. Esto obliga al modelo a propagar información preferentemente entre sensores que están sincronizados en fase, en lugar de aprender la adyacencia puramente a partir de correlaciones de datos.
3. Codificador Transformer de Tokens de Sensor: Un Transformer captura la estructura global a nivel de sistema a través de la dimensión del sensor (no del tiempo, ya que el tiempo se resume en las características espectrales).
4. Decodificador de Doble Cabeza: Dos cabezas separadas reconstruyen los espectros de Magnitud y Fase.

D. Objetivo de Entrenamiento

El modelo minimiza una función de pérdida compuesta:
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$ (MSE): Error de reconstrucción estándar para la magnitud.
• $\mathcal{L}_{phase}$ (Pérdida Circular): Utiliza una pérdida de coseno ($1 - \cos(\hat{\Phi} - \Phi)$) en lugar de la MSE euclidiana. Esto respeta la geometría angular de la fase (manejando el envoltorio en $\pm \pi$) y previene errores de discontinuidad.
• $\mathcal{L}_{coh}$ (Pérdida de Coherencia): Reestima la matriz PCI a partir de la fase reconstruida y la compara con la PCI original. Esto asegura que el modelo preserve la sincronía entre sensores, no solo los valores individuales de los sensores.

3. Contribuciones Clave

1. Fase como Señal de Primera Clase: El primer estudio sistemático que trata la fase de Fourier como una característica de detección primaria en ICS, reconstruyéndola con pérdida circular en lugar de tratarla como un canal euclidiano estándar.
2. PCI como Estructura de Grafo: Introduce un método para derivar la adyacencia del grafo a partir de la coherencia de fase por pares (una cantidad física) en lugar de incrustaciones aprendidas, inyectando un prior basado en la física en el mecanismo de atención.
3. Sesgo Inductivo Eficiente: Los componentes conscientes de la fase (CNN Espectral + PCI-GAT) añaden solo 264.816 parámetros (5,0% del total de 5,29M), demostrando que el modelado de fase es una mejora ligera pero potente.
4. Nuevo Protocolo de Evaluación: Los autores adoptan una estricta evaluación a nivel de ventana sin ajuste de puntos, proporcionando una evaluación más conservadora y realista de la capacidad discriminativa intrínseca del modelo en comparación con los métodos que utilizan heurísticas de ajuste de puntos.

4. Resultados Experimentales

Evaluado en la referencia Secure Water Treatment (SWaT):

• Rendimiento:
  • Puntuación F1: 90,98%
  • ROC-AUC: 95,66%
  • Precisión Promedio: 91,51%
• Comparación:
  • Aunque la puntuación F1 es ligeramente inferior a la del Anomaly Transformer (94,07%), los autores señalan que esto se debe al protocolo de evaluación más estricto (sin ajuste de puntos).
  • Bajo el mismo protocolo GDN, PhaseNet++ supera a GDN (90,98% frente a 81,0% en F1).
  • El alto ROC-AUC indica que las puntuaciones de anomalía del modelo son altamente discriminativas; la brecha entre las métricas de clasificación y F1 sugiere que el cuello de botella es la calibración del umbral, no la calidad de la representación.
• Ablación: Eliminar el front-end consciente de la fase o el módulo de grafo PCI degrada significativamente el rendimiento, confirmando la necesidad de la coherencia de fase para detectar ataques basados en tiempos.

5. Significado y Direcciones Futuras

• Impacto Científico: Este trabajo desafía el dominio del modelado de amplitud en el dominio del tiempo en la seguridad de ICS. Demuestra que la coherencia de fase es una señal complementaria y crítica para detectar ataques que manipulan el tiempo (por ejemplo, reproducción, inyección de retrasos) mientras preservan las estadísticas de amplitud.
• Valor Práctico: El método es ligero y puede integrarse en marcos de autoencoders existentes con una sobrecarga mínima de parámetros.
• Trabajo Futuro: Los autores sugieren fusionar representaciones conscientes de la fase y conscientes de la amplitud, validar en otros conjuntos de datos (WADI, BATADAL) y desarrollar estrategias de umbralización adaptativa para cerrar la brecha entre las métricas de clasificación y las puntuaciones F1.

Conclusión: PhaseNet++ establece una nueva dirección para la detección de anomalías en ICS al demostrar que el "tiempo" de los procesos físicos, codificado en el espectro de fase de Fourier, es una señal vital para identificar sofisticados ciberataques físico-digitales.