Resumen Técnico: Relleno de Pseudo-Características para la Defensa contra FDIA en Redes Eléctricas

1. Declaración del Problema

Las Redes Neuronales Profundas (DNN) se despliegan cada vez más en Sistemas Ciber-Físicos (CPS), particularmente para la estimación de estado en redes eléctricas, con el fin de detectar Ataques de Inyección de Datos Falsos (FDIA). Sin embargo, la infraestructura única de las redes eléctricas hace que estas DNN sean vulnerables a perturbaciones adversarias sofisticadas. Los mecanismos de defensa tradicionales, como los detectores basados en residuos o los clasificadores de aprendizaje automático estándar, a menudo fallan porque los vectores de FDIA se construyen para satisfacer la condición de sigilo $Ba = 0$ (donde $B$ es la matriz de residuo de proyección), lo que hace que las mediciones contaminadas sean indistinguibles de las legítimas.

Las estrategias de defensa existentes enfrentan limitaciones significativas:

• Entrenamiento Adversario y Destilación: Estos métodos a menudo requieren modificaciones sustanciales al flujo de entrenamiento o a la arquitectura del modelo y pueden ser computacionalmente intensivos. También pueden tener un desempeño deficiente en entornos de CPS donde los atacantes priorizan el sigilo sobre el tamaño mínimo de la perturbación.
• Relleno Fijo (p. ej., Relleno de Ceros): Aunque es simple, las estrategias de relleno fijo son vulnerables en escenarios de caja blanca donde los atacantes conocen los valores de relleno y pueden explotar este conocimiento para diseñar ataques transferibles.
• Restricciones de Hardware: Muchas soluciones propuestas requieren el despliegue de nuevos sensores o cambios de hardware, lo cual es poco práctico en entornos de CPS distribuidos.

El desafío central es desarrollar una defensa que sea ligera, agnóstica al modelo y capaz de interrumpir las condiciones estructurales en las que los atacantes confían sin degradar el rendimiento de la DNN subyacente con datos benignos.

2. Metodología: Relleno de Pseudo-Características

El artículo propone un marco de Relleno de Pseudo-Características (Pseudo-Feature Padding). Este enfoque introduce una capa de entrada adicional que aumenta dinámicamente las muestras de entrada con "pseudo-características" derivadas de la distribución estadística de los propios datos de entrada.

Mecanismo Central

1. Análisis de Importancia de Características: Para cada muestra de entrada, se utiliza un modelo basado en árboles (p. ej., un árbol de decisión) para clasificar la importancia de las características. Las características que caen por debajo de un umbral específico $\theta$ se identifican como "menos importantes" (baja saliencia).
2. Ajuste de Distribución Estadística: Se ajustan distribuciones estadísticas a cada característica a través de todo el conjunto de datos.
3. Generación de Relleno Dinámico:
   • Entrenamiento: Para cada muestra, se muestrean pseudo-características de las distribuciones ajustadas correspondientes a las características de baja importancia identificadas, y estas se concatenan con la entrada original, creando múltiples variantes aumentadas por muestra.
   • Inferencia: Cuando se presenta una muestra (limpia o adversaria), se genera un nuevo vector de pseudo-características mediante muestreo y se concatena. Esto asegura que la estructura de la entrada varíe de forma impredecible durante la inferencia.
4. Disrupción Matemática:
   • En un FDIA estándar, el atacante construye un vector $a$ tal que $Ba = 0$, donde $B = P - I$ y $P$ es la matriz de proyección sobre el espacio de columnas de la Jacobiana del sistema $H$.
   • El relleno propuesto transforma la matriz del sistema a $H' = [H | P_{pad}]$, donde $P_{pad}$ contiene las pseudo-características muestreadas.
   • Esto cambia la matriz de proyección a $P'$ y la matriz de residuo a $B'$. En consecuencia, la estructura del espacio nulo cambia ($N(B) \neq N(B')$). Un vector de ataque $a$ diseñado para satisfacer $Ba=0$ generalmente fallará en satisfacer $B'a'=0$ porque las características de relleno introducen incertidumbre estructural y desplazan el espacio nulo.
   • Dado que las pseudo-características se muestrean aleatoriamente durante la inferencia, reconstruir la matriz del sistema efectiva $H'$ es computacionalmente inviable para un atacante, lo que hace que las perturbaciones diseñadas no sean transferibles.

Resumen del Algoritmo

El marco opera como un paso de preprocesamiento:

1. Identificar las características de baja importancia para una muestra específica.
2. Muestrear valores sintéticos de las distribuciones pre-ajustadas de estas características.
3. Concatenar estos valores con el vector de entrada original.
4. Alimentar el vector aumentado en la arquitectura DNN existente.

3. Contribuciones Clave

El artículo detalla las siguientes contribuciones principales:

• Estrategia de Defensa Novedosa: Un método que mitiga los efectos de FDIA rellenando las entradas con pseudo-características, aumentando la dimensionalidad de la entrada y complicando la generación de vectores de ataque precisos.
• Agnosticismo de Modelo y Desplegabilidad: El marco es ligero y no requiere modificaciones en la arquitectura central de la DNN, lo que facilita su integración en los flujos de detección de CPS existentes.
• Sin Sobrecarga de Hardware: La solución aborda la impracticabilidad de asegurar todos los sensores físicos al operar puramente en la capa de procesamiento de datos, sin requerir el redestudio de sensores.
• Preservación del Rendimiento: El método mantiene la integridad del rendimiento de la DNN con una caída de precisión insignificante en comparación con los modelos base.
• Validación Exhaustiva: El marco se valida mediante simulaciones en cuatro sistemas de prueba IEEE estándar (14-bus, 30-bus, 118-bus y 300-bus) bajo configuraciones adversarias.

4. Resultados Experimentales

El marco fue evaluado utilizando una DNN de alimentación hacia adelante (cuatro capas totalmente conectadas) con conjuntos de datos generados vía MATPOWER. La evaluación comparó el método propuesto con DNN Planas, Entrenamiento Adversario, Destilación Adversaria y Relleno de Ceros.

• Precisión de Detección: El Relleno de Pseudo-Características propuesto logró una precisión de detección de ataques significativamente mayor en comparación con los métodos base y otras defensas. Por ejemplo, en el sistema de 14-bus, alcanzó una precisión del 94.2%, superando al Entrenamiento Adversario (62.0%) y al Relleno de Ceros (93.5%). Se observó un alto rendimiento similar en los sistemas de 30, 118 y 300-bus (rango de 92.0% a 96.1%).
• Métricas de Robustez:
  • Norma L2 de Sesgo (Bias L2-Norm): El método propuesto resultó en valores de Norma L2 de Sesgo más altos (p. ej., 168.7 para 14-bus frente a 50.6 para Entrenamiento Adversario), lo que indica que el modelo detectó con éxito desviaciones mayores causadas por los ataques.
  • Norma L2 Válida (Valid L2-Norm): El método produjo valores de Norma L2 Válida más bajos (p. ej., 55.1 para 14-bus frente a 113.7 para Entrenamiento Adversario), lo que sugiere que la fuerza efectiva de las perturbaciones adversarias fue neutralizada.
• Escalabilidad: El desempeño mejoró o se mantuvo estable a medida que aumentaba el tamaño del sistema (de 14-bus a 300-bus), demostrando la escalabilidad del marco.
• Sobrecarga Computacional: Aunque el tiempo de entrenamiento aumentó ligeramente debido a los pasos de generación de características y relleno (35s frente a 10s para la DNN Plana), el costo de inferencia se mantuvo bajo (0.9ms), y la sobrecarga general se clasificó como "Baja-Mod" (Low-Mod), significativamente mejor que la sobrecarga "Alta" del Entrenamiento Adversario.

5. Significado y Reivindicaciones

El artículo afirma que el Relleno de Pseudo-Características ofrece una solución de defensa práctica y efectiva para aplicaciones de CPS del mundo real donde la seguridad física de los sensores es inviable.

• Disrupción de la Mecánica de Ataque: Al introducir un relleno aleatorio y basado en datos, el método rompe la capacidad del atacante para mantener la condición de sigilo ($Ba=0$) sin necesidad de conocer los valores de relleno específicos de antemano.
• Mitigación de la Transferibilidad: La naturaleza no determinista del relleno durante la inferencia evita que los ejemplos adversarios diseñados para una instancia del modelo se transfieran eficazmente a otra, una debilidad común en los ataques de caja blanca.
• Practicidad: A diferencia de los métodos que requieren cambios de hardware o reentrenamientos arquitectónicos complejos, este enfoque es un paso de preprocesamiento ligero que preserva la estructura del modelo original.
• Limitaciones: Los autores reconocen que el trabajo actual se centra en amenazas de caja blanca donde el atacante conoce el modelo pero no el relleno. Los ataques adaptativos y de información parcial se señalan como áreas para trabajos futuros, aunque se espera que el relleno no determinista proporcione robustez contra ellos.

En conclusión, el artículo demuestra que aumentar los datos de entrada con pseudo-características derivadas estadísticamente es una estrategia viable para mejorar la robustez de las DNN contra FDIA en redes eléctricas, ofreciendo un equilibrio entre alta precisión de detección, bajo costo computacional y facilidad de despliegue.