⚡ electrical engineering

RobResilience: Implementing and Evaluating a Resilience Framework for Cyber-Physical Embodied Systems

Este artículo presenta RobResilience, un marco de trabajo en tiempo de ejecución implementado en una simulación de Webots con un robot PR2 y ROS2 que evalúa la tolerancia a la disrupción, la degradación y la viabilidad de la mitigación para prevenir la parálisis de falla gradual en sistemas ciberfísicos incorporados bajo ciberataques activos, con resultados experimentales que confirman su consistencia con las definiciones teóricas.

Autores originales: Gysella Imrell, Emanuele Miotto, Mahya Mohammadi Kashani, Mauro Conti, Alberto Giaretta

Publicado 2026-09-16

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Gysella Imrell, Emanuele Miotto, Mahya Mohammadi Kashani, Mauro Conti, Alberto Giaretta

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un mundo en el que los robots ya no son solo herramientas en una fábrica, sino participantes activos en nuestra vida diaria, moviéndose por nuestros hogares, hospitales y calles. Estas máquinas, conocidas como sistemas ciberfísicos, combinan cerebros digitales con cuerpos físicos. Sienten su entorno, toman decisiones y actúan en consecuencia. Pero esta estrecha conexión crea una vulnerabilidad peligrosa. Cuando un hacker ataca una computadora estándar, lo peor que suele ocurrir es la pérdida de datos o una pantalla congelada. Cuando un hacker ataca a un robot que sostiene un objeto pesado o conduce cerca de una persona, las consecuencias pueden ser lesiones físicas o incluso la muerte. El desafío para los científicos no es solo detectar un ataque cuando ocurre, sino ayudar al robot a sobrevivir a él. Un robot necesita saber la diferencia entre un fallo menor que puede ignorar y un fallo catastrófico que requiere que se detenga inmediatamente para mantenerse seguro.

Durante años, los expertos en seguridad se han centrado en detectar intrusiones, actuando como una alarma de intrusión que suena cuando se rompe una ventana. Sin embargo, una alarma por sí sola no le dice a un robot si aún puede terminar su trabajo o si está en peligro inmediato. Esta brecha deja a los sistemas autónomos vulnerables a una especie de parálisis en la que no pueden distinguir entre un estado degradado seguro y un peligro catastrófico. Para resolver esto, investigadores de la Universidad de Örebro en Suecia han construido y probado un nuevo marco llamado RobResilience. Crearon un gemelo digital de un robot real, una gran máquina de servicio llamada PR2, dentro de un sofisticado entorno de simulación. Este robot virtual tenía la tarea de navegar por una habitación y recoger una botella de agua, un trabajo sencillo que requiere una coordinación precisa entre sus ruedas, brazos y sensores. Los investigadores sometieron luego a este robot virtual a una serie de ciberataques simulados, que iban desde ralentizar sus ruedas hasta congelar sus pinzas, para ver si su nuevo marco podía guiar al robot a través del caos.

El núcleo de su trabajo es un conjunto de tres preguntas lógicas que el robot se hace a sí mismo en tiempo real cada vez que siente que algo va mal. La primera pregunta es sobre la interrupción: ¿es la parte que se ha roto esencial para la tarea en cuestión? Si el robot intenta moverse y sus ruedas han sido hackeadas, la respuesta es sí, y la tarea se ve interrumpida. Si el robot intenta recoger una botella y solo se ha hackeado su cámara, que no es esencial, la respuesta es no, y la tarea puede continuar. La segunda pregunta es sobre la degradación: incluso si el robot todavía puede moverse, ¿está funcionando tan mal que ya no es seguro o útil? Quizás el robot se mueve tan lentamente que perderá una fecha límite, o su brazo tiembla tanto que podría dejar caer la botella. La tercera pregunta es sobre la mitigación: si el robot tiene problemas, ¿hay alguna forma de arreglarlo? ¿Puede cambiar a una rueda de repuesto o reconfigurar su software para trabajar alrededor de la parte rota?

Los investigadores probaron estas preguntas a través de ocho escenarios de ataque, cambiando sistemáticamente qué partes del robot eran atacadas, qué tan dañadas estaban y si había una solución disponible. En un escenario, atacaron los brazos del robot, que no eran críticos para la tarea sencilla de desplazarse a un destino. El sistema del robot identificó correctamente que la interrupción era tolerable y permitió que la tarea continuara, aunque el robot se movía ligeramente más lento. En otro escenario, atacaron las ruedas, que eran críticas. Sin que hubiera una solución disponible, el sistema determinó correctamente que el robot no podía continuar de forma segura y ordenó que se detuviera inmediatamente. Las pruebas más complejas involucraron situaciones en las que el robot estaba tanto interrumpido como degradado, pero una solución era posible. En estos casos, el marco identificó con éxito la solución disponible, neutralizó el ataque en el componente específico y permitió al robot reanudar su tarea, aunque con un ligero retraso.

Los resultados de estas simulaciones fueron consistentes con las reglas teóricas que los investigadores diseñaron. El sistema demostró ser capaz de tomar la decisión correcta en cada situación en la que fue probado. Cuando el robot estaba seguro de continuar, seguía adelante. Cuando estaba en peligro, se detenía. Cuando podía ser salvado, era salvado. El estudio también reveló un detalle sutil pero importante: la resiliencia de un robot no depende solo de qué parte individual esté rota, sino de la combinación de las partes rotas. Un robot podría sobrevivir a la pérdida de una parte no esencial, pero si esa pérdida se suma a un problema existente, el efecto combinado podría empujar al robot más allá del punto de seguridad. Esto significa que la capacidad de un robot para sobrevivir a un ataque no es un rasgo fijo de su hardware, sino un estado dinámico que cambia con cada nueva pieza de información que recibe.

Es importante señalar que estos hallazgos provienen de un entorno digital controlado. Los investigadores utilizaron una simulación para modelar los ataques y las reacciones del robot, en lugar de realizar pruebas en un robot físico en el mundo real. Esto les permitió ejecutar cientos de variaciones de forma rápida y segura, pero también significa que los resultados aún no han sido probados en hardware real que pueda enfrentarse al ruido del mundo real, retrasos temporales o fuerzas físicas impredecibles. Los investigadores reconocen esta limitación y consideran su trabajo como un primer paso crucial. Han demostrado que la lógica de la resiliencia funciona según lo previsto en una simulación, proporcionando un plano de cómo los futuros robots podrían ser programados para pensar en su propia seguridad durante un ataque.

El objetivo final de esta investigación es ir más allá de la simple detección y avanzar hacia un futuro en el que los robots puedan adaptarse a las amenazas sobre la marcha. Al dar a las máquinas la capacidad de razonar sobre sus propios límites operativos, los investigadores esperan prevenir el tipo de fallos totales del sistema que podrían poner en peligro la seguridad humana. El marco no evita que el ataque ocurra, pero asegura que, cuando ocurra un ataque, el robot no entre en pánico ni se bloquee. En su lugar, evalúa el daño, sopesa sus opciones y toma la decisión calculada de continuar, recuperarse o detenerse. Este cambio de la defensa pasiva a la resiliencia activa representa un paso significativo hacia la creación de sistemas autónomos lo suficientemente seguros como para compartir nuestro mundo.

Resumen Técnico: RobResilience

Declaración del Problema

En los Sistemas Ciber-Físicos (CPS) encarnados, como los robots autónomos, los ciberataques activos representan amenazas inmediatas no solo para la integridad de los datos, sino también para la seguridad física y la continuidad operativa. Si bien la investigación de seguridad existente destaca en la detección de intrusiones, a menudo carece de mecanismos de tiempo de ejecución para determinar si una interrupción detectada es tolerable o si la degradación del rendimiento permanece dentro de límites operativos seguros. Esta brecha deja a los sistemas autónomos vulnerables a una "parálisis de fallo gradual", donde no pueden distinguir entre un estado degradado seguro y un peligro catastrófico durante un ataque en curso. Los sistemas actuales de respuesta ante intrusiones suelen abordar la respuesta en tiempo de ejecución, pero no logran razonar formalmente sobre la tolerabilidad de la interrupción o la degradación bajo ataques activos.

Metodología

El artículo presenta RobResilience, una implementación y evaluación de un marco de resiliencia formal para CPS encarnados. El trabajo sigue un enfoque de Investigación de Diseño Científico (Design Science Research), situando el marco dentro de un entorno de simulación para modelar cómo los escenarios de ciberataques influyen en el comportamiento del sistema.

Marco Teórico

El sistema modela un robot $R$ como un conjunto de dispositivos $D$ que realizan tareas $T$ y preservan objetivos $G$ . El marco se basa en tres predicados de tiempo de ejecución fundamentales evaluados sobre un conjunto de dispositivos comprometidos $S$ (derivado de los puntajes de confianza del Sistema de Detección de Intrusiones):

Interrupción Tolerable ( $\delta$ ): Evalúa si el conjunto de dispositivos comprometidos incluye algún dispositivo estrictamente requerido (nivel de criticidad 2) para las tareas o los objetivos activos.
Degradación Tolerable ( $\gamma$ ): Evalúa si el rendimiento del sistema $\psi(S)$ permanece dentro de los límites aceptables ( $\theta$ ). Este límite es más estricto ( $\theta_{crit}$ ) si se comprometen dispositivos críticos y más relajado ( $\theta_{base}$ ) en caso contrario.
Viabilidad de Mitigación ( $\mu$ ): Evalúa si un subconjunto de dispositivos comprometidos puede ser neutralizado para restaurar tanto $\delta$ como $\gamma$ a estados aceptables.

Un sistema se define como resiliente si $(\delta(S)=1 \land \gamma(S)=1) \lor \mu(S)=1$ .

Arquitectura de Implementación

El marco fue implementado en un entorno de simulación Webots utilizando un robot PR2 y ROS2. La arquitectura consta de cuatro módulos:

Entorno de Simulación: Aloja el robot PR2 y la dinámica de la física.
Controlador de Coordinación: Orquesta la ejecución de tareas, gestiona la comunicación entre módulos e integra los comandos de mitigación.
Módulo de Inyección de Ataques: Simula atacantes externos publicando ataques simbólicos basados en mensajes (por ejemplo, STOP, UNDERSPEED, OVERSPEED) a dispositivos específicos a través de temas (topics) de ROS2.
Módulo de Evaluación de Resiliencia: Contiene el IDS (que mapea la confianza del ataque a un conjunto comprometido $S$ ) y el Gestor de Resiliencia (que evalúa $\delta$ , $\gamma$ y $\mu$ y activa la mitigación).

La función de degradación $\psi$ se instanció como una función exponencial ponderada, penalizando la pérdida de dispositivos críticos de forma más pronunciada que la de los no críticos.

Contribuciones Clave

Implementación Ejecutable: El artículo proporciona la primera implementación ejecutable del marco de resiliencia formal definido en el trabajo teórico previo [7]. Realiza los mapeos de criticidad, la integración del IDS y la evaluación de predicados en tiempo de ejecución como módulos de software desplegables dentro de un entorno ROS2/Webots.
Verificación de Consistencia de Predicados: La implementación demuestra la conformidad con los comportamientos esperados a través de todas las combinaciones realizables de los predicados $\delta$ , $\gamma$ y $\mu$ . Confirma que el sistema distingue correctamente entre objetivos de ataque críticos y no críticos y maneja la interacción entre la interrupción y la degradación.
Análisis Empírico de la Dinámica de Resiliencia: El estudio proporciona un análisis empírico de cómo la severidad de la degradación, los mapeos de criticidad de las tareas y la mitigación adaptativa determinan conjuntamente la continuidad operativa. Destaca que la resiliencia es sensible a la composición acumulativa del conjunto comprometido, no solo a la criticidad de los dispositivos individuales.

Evaluación y Resultados

La evaluación utilizó ocho escenarios de ataque diseñados para cubrir sistemáticamente todas las combinaciones posibles del espacio de estados de los predicados. Los escenarios variaron los objetivos de ataque (críticos vs. no críticos), las tasas de degradación y la disponibilidad de mitigación.

Escenarios No Disruptivos ( $\delta=1$ ): Cuando los ataques se limitaron a dispositivos no críticos, el sistema mantuvo $\delta=1$ . Sin embargo, altas tasas de degradación aún podrían llevar a $\gamma$ a 0, causando paradas de tareas a menos que la mitigación estuviera disponible (Escenarios 1, 2a, 2b).
Escenarios Disruptivos ( $\delta=0$ ): Los ataques en dispositivos críticos establecieron inmediatamente $\delta=0$ $δ = 0$ .
- En escenarios donde la degradación permaneció dentro de los límites ( $\gamma=1$ ) pero no había mitigación disponible, el sistema se detuvo (Escenario 3a).
- En escenarios donde la mitigación estaba disponible, el sistema restauró exitosamente $\delta$ a 1, permitiendo la finalización de la tarea (Escenario 3b).
- En el caso más severo ( $\delta=0, \gamma=0$ ), el sistema se detuvo sin mitigación (Escenario 4a) pero se recuperó con éxito a un estado resiliente cuando la mitigación neutralizó el dispositivo crítico (Escenario 4b).

Los resultados confirman que el comportamiento de tiempo de ejecución de la implementación es consistente con las definiciones teóricas. Específicamente, el marco identifica correctamente que un sistema puede estar interrumpido ( $\delta=0$ ) pero aún operar dentro de los límites de rendimiento tolerables ( $\gamma=1$ ), y que la mitigación puede restaurar la resiliencia incluso cuando ambos predicados se violan inicialmente.

Significancia y Limitaciones

El artículo afirma su significancia al cerrar la brecha entre la detección y la respuesta adaptativa en tiempo de ejecución. Al formalizar la resiliencia como un conjunto de predicados de tiempo de ejecución, RobResilience permite que los sistemas autónomos tomen decisiones informadas sobre si continuar, degradarse gradualmente o detenerse durante un ataque, en lugar de depender únicamente de las alertas de detección.

Los autores señalan explícitamente las siguientes limitaciones y alcance:

Solo Simulación: La evaluación se limita al entorno de simulación Webots y no se extiende al despliegue en hardware físico.
Detección Idealizada: Para aislar la lógica de resiliencia, los umbrales del IDS ( $\kappa$ ) se establecieron en 0, asumiendo efectivamente una precisión de detección del 100%. Esto omite la naturaleza probabilística de un IDS del mundo real.
Ataques Simbólicos: Los ataques se inyectaron como mensajes simbólicos en lugar de exploits del mundo real o intrusiones a nivel de red.
Mitigación Determinista: Las acciones de mitigación se modelaron como deterministas y totalmente resolutivas, mientras que las mitigaciones del mundo real pueden ser parciales o estocásticas.

El artículo concluye que, si bien el marco valida con éxito la semántica de los predicados teóricos, se requiere trabajo futuro para integrar modelos de IDS probabilísticos realistas, vectores de ataque del mundo real y el despliegue físico para abordar las restricciones de tiempo y ruido inherentes a los sistemas encarnados.