Co-Design of Cryptographic Parameters and Delay-Aware Feedback Gain for Encrypted Control Systems

1. Problématique

Les systèmes de contrôle en réseau (NCS) permettent d'externaliser des tâches de calcul intensif vers des serveurs distants, mais cela soulève des problèmes critiques de confidentialité et de sécurité. Les canaux de communication sont vulnérables à l'écoute, et les serveurs distants peuvent être « honnêtes mais curieux » (semi-honest), tentant d'inférer des informations privées à partir des données reçues.

La cryptographie homomorphe (HE) est une solution prometteuse car elle permet d'effectuer des calculs directement sur des données chiffrées sans les déchiffrer, protégeant ainsi à la fois la communication et le calcul. Cependant, l'approche actuelle consiste généralement à concevoir un contrôleur dans le domaine clair (plaintext) puis à l'implémenter sur des données chiffrées. Cette méthode présente un défaut majeur :

• Délais induits par le chiffrement : L'HE introduit des délais de communication et de calcul non négligeables (taille des chiffrés bien supérieure aux textes clairs, complexité des opérations homomorphes).
• Impact sur la stabilité : Ces délais, qui augmentent avec le niveau de sécurité, peuvent dégrader les performances du contrôle et même déstabiliser le système en boucle fermée.
• Manque de co-conception : Les travaux existants ne prennent pas en compte ces délais lors de la conception du contrôleur, ni ne lient explicitement les paramètres cryptographiques à la stabilité du système.

2. Méthodologie

L'article propose un cadre de co-conception (co-design) pour déterminer simultanément les paramètres cryptographiques ($\theta$) et le gain de retour d'état ($K$) afin de garantir la sécurité et la stabilité.

A. Modélisation du système et des délais

• Système : Un système linéaire continu $\dot{x}(t) = Ax(t) + Bu(t)$ contrôlé par un retour d'état discret $u[k] = Kx[k]$.
• Implémentation chiffrée : Utilisation d'un schéma basé sur LWE (Learning With Errors). Les mesures de l'état sont quantifiées, chiffrées, envoyées à un serveur non fiable qui calcule le contrôle chiffré, puis renvoyé à l'actionneur pour déchiffrement.
• Caractérisation du délai ($\tau_\theta$) : Le délai total est modélisé comme la somme des délais de communication, de chiffrement (capteur), de déchiffrement (actionneur) et de multiplication homomorphe (serveur).
  • Une borne supérieure $\bar{\tau}_\theta$ est dérivée en fonction des paramètres cryptographiques : la dimension du secret $N$, le module $q$, et l'écart-type du bruit $\sigma$.
  • La borne dépend de la taille des chiffrés ($N, q$) et de la complexité algorithmique ($O(N^2d)$, etc.).

B. Condition de stabilité retardée

Pour un jeu de paramètres cryptographiques $\theta$ fixé, le délai $\tau_\theta$ est considéré comme constant mais inconnu, appartenant à l'intervalle $[0, \bar{\tau}_\theta]$.

• Le système en boucle fermée est représenté sous forme d'échantillonnage avec retard.
• La stabilité est analysée via une représentation d'état augmentée $\xi[k] = [x[k]^\top, x[k-1]^\top]^\top$.
• Le problème de stabilité est réduit à vérifier la stabilité de Schur d'un ensemble infini de matrices dépendant du délai.

C. Condition suffisante (LMIs)

Pour rendre le problème traitable, les auteurs utilisent une représentation de Jordan de la matrice du système pour décomposer la dépendance au délai.

• Ils dérivent une condition suffisante basée sur un ensemble fini d'inégalités matricielles linéaires (LMIs).
• Si une matrice symétrique définie positive $P$ existe telle que $M_\eta(\theta, K)^\top P M_\eta(\theta, K) - P \prec 0$ pour tous les sommets d'un polytope convexe défini par les bornes des fonctions de délai, alors le système est stable pour tout délai dans l'intervalle.

D. Algorithme de Co-conception

Une procédure « boucle externe / boucle interne » est proposée :

1. Boucle externe : Sélectionner un ensemble de paramètres cryptographiques candidats $\Theta$ satisfaisant le niveau de sécurité désiré $\lambda^*$.
2. Filtrage : Calculer la borne de délai $\bar{\tau}_\theta$. Si $\bar{\tau}_\theta \ge T_s$ (temps d'échantillonnage), le paramètre est rejeté.
3. Boucle interne : Pour chaque paramètre valide, vérifier la faisabilité des LMIs pour un ensemble fini de gains candidats $K$ (souvent conçus pour le cas sans délai).
4. Résultat : Retourner la paire $(\theta, K)$ qui satisfait la sécurité, le délai et la stabilité.

3. Résultats Principaux

Les auteurs ont validé leur approche par une simulation numérique sur un système linéaire simple (double intégrateur).

• Configuration : Niveau de sécurité cible de 128 bits. Trois jeux de paramètres cryptographiques ($\theta_1, \theta_2, \theta_3$) ont été testés.
• Filtrage des paramètres : Seule la configuration $\theta_1$ (avec $N=2^{12}$) a satisfait la contrainte de délai ($\bar{\tau}_{\theta_1} < T_s$). Les autres configurations, bien que plus sécurisées, induisaient des délais trop longs pour la stabilité.
• Performance des gains :
  • Un gain $K_1$ conçu pour le cas sans délai a échoué à stabiliser le système chiffré (les LMIs n'étaient pas faisables).
  • Un gain $K_2$ (également conçu pour le cas sans délai mais avec des pôles différents) a permis de trouver une solution aux LMIs et a stabilisé le système pour tous les délais considérés.
• Validation : Les simulations montrent que le gain « conscient du délai » (ou plutôt le gain sélectionné via le cadre de co-conception) maintient la stabilité, tandis que le gain standard devient instable lorsque le délai augmente (notamment à $3/4$ de la borne maximale).

4. Contributions Clés

1. Modélisation explicite du délai : Caractérisation mathématique du délai total induit par l'HE en fonction des paramètres cryptographiques ($N, q, \sigma$), reliant directement la sécurité à la performance temporelle.
2. Cadre de co-conception : Proposition d'une méthode systématique pour choisir simultanément les paramètres de sécurité et le gain de contrôle, évitant ainsi la conception séquentielle classique qui échoue souvent.
3. Condition de stabilité tractable : Dérivation d'un ensemble fini de LMIs garantissant la stabilité pour tout délai borné, rendant le problème de conception solvable par des solveurs SDP standards.
4. Preuve de nécessité : Démonstration par la simulation que l'ignorance des délais induits par le chiffrement conduit à l'instabilité, même avec des paramètres cryptographiques valides.

5. Signification et Impact

Ce travail est significatif car il comble le fossé entre la théorie du contrôle robuste (gestion des délais) et la cryptographie appliquée. Il démontre que pour les systèmes de contrôle chiffrés, la sécurité ne peut pas être optimisée indépendamment de la dynamique du système.

• Pratique : Fournit aux ingénieurs un outil pour sélectionner des paramètres cryptographiques réalistes qui garantissent à la fois la confidentialité et la stabilité opérationnelle.
• Théorique : Établit un lien formel entre la complexité computationnelle des schémas HE (LWE) et la stabilité des systèmes dynamiques, ouvrant la voie à des recherches futures sur l'optimisation conjointe (co-optimisation) du gain et des paramètres cryptographiques.