PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

1. Énoncé du problème

Les systèmes de contrôle industriels (ICS) sont des composants d'infrastructure critique (par exemple, traitement de l'eau, réseaux électriques) vulnérables aux cyber-attaques physico-numériques. Les méthodes existantes de détection d'anomalies reposent principalement sur les valeurs d'amplitude dans le domaine temporel des données de capteurs, en utilisant des architectures telles que les réseaux de neurones graphiques (GNN), les Transformers ou les autoencodeurs variationnels (VAE).

Le vide central : Ces méthodes rejettent généralement le spectre de phase de Fourier lors du prétraitement. Cependant, dans les systèmes physiques, les capteurs sont couplés ; leurs interactions sont définies non seulement par des magnitudes de valeurs similaires, mais par des relations temporelles et une synchronisation cohérentes.

• Le défi : Des attaques telles que les attaques par rejeu (rejeu de anciennes données) ou l'injection de délais peuvent maintenir des profils d'amplitude réalistes tout en perturbant la synchronisation de phase précise entre les capteurs. Les modèles basés uniquement sur l'amplitude dans le domaine temporel peinent à détecter directement ces incohérences temporelles subtiles.

2. Méthodologie : PhaseNet++

PhaseNet++ est un autoencodeur dans le domaine fréquentiel conçu pour détecter les anomalies en modélisant explicitement les relations de phase. Il fonctionne sur des fenêtres glissantes de données de capteurs multivariées.

A. Représentation de l'entrée (STFT)

Au lieu de séries temporelles brutes, le modèle applique la Transformée de Fourier à court terme (STFT) aux fenêtres de capteurs.

• Il conserve à la fois les spectres de Magnitude ($M$) et de Phase ($\Phi$).
• Le spectre de phase est traité comme un signal de premier ordre, capturant les décalages temporels au sein de la fenêtre que l'amplitude seule manque.

B. Indice de cohérence de phase (PCI)

Pour exploiter le couplage physique des capteurs, les auteurs introduisent un Indice de cohérence de phase (PCI), inspiré de la valeur de verrouillage de phase (PLV) en neurosciences.

• Mécanisme : Il calcule la cohérence de phase paire à paire à travers les bins de fréquence entre chaque paire de capteurs ($i, j$).
• Sortie : Une matrice d'adjacence continue $A \in [0, 1]^{C \times C}$.
• Signification : En fonctionnement normal, les capteurs couplés physiquement ont des décalages de phase stables, résultant en un $A_{ij}$ élevé. Pendant une attaque (par exemple, rejeu ou délai), cette cohérence se brise, provoquant une chute de $A_{ij}$. Cette matrice sert d'a priori spatial informé par la physique pour le réseau graphique.

C. Architecture du réseau

Le modèle suit une structure encodeur-décodeur avec quatre étapes :

1. Encodage CNN spectral : Un CNN 1D léger extrait des caractéristiques des spectres de magnitude et de phase de chaque capteur indépendamment.
2. Attention graphique pondérée par PCI (GAT) : Un réseau d'attention graphique affine les encodages. Crucialement, la matrice PCI ($A_{ij}$) est multipliée directement dans le mécanisme d'attention. Cela force le modèle à propager l'information préférentiellement entre les capteurs qui sont synchronisés en phase, plutôt que d'apprendre l'adjacence uniquement à partir des corrélations de données.
3. Encodeur Transformer à jetons de capteurs : Un Transformer capture la structure globale à l'échelle du système à travers la dimension des capteurs (pas le temps, car le temps est résumé dans les caractéristiques spectrales).
4. Décodeur à double tête : Deux têtes séparées reconstruisent les spectres de Magnitude et de Phase.

D. Objectif d'entraînement

Le modèle minimise une fonction de perte composite :
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$ (MSE) : Erreur de reconstruction standard pour la magnitude.
• $\mathcal{L}_{phase}$ (Perte circulaire) : Utilise une perte cosinus ($1 - \cos(\hat{\Phi} - \Phi)$) au lieu d'une MSE euclidienne. Cela respecte la géométrie angulaire de la phase (gérant le repliement à $\pm \pi$) et empêche les erreurs de discontinuité.
• $\mathcal{L}_{coh}$ (Perte de cohérence) : Réestime la matrice PCI à partir de la phase reconstruite et la compare à la PCI originale. Cela garantit que le modèle préserve la synchronie inter-capteurs, et non seulement les valeurs individuelles des capteurs.

3. Contributions clés

1. La phase comme signal de premier ordre : La première étude systématique traitant la phase de Fourier comme une caractéristique de détection primaire dans les ICS, la reconstruisant avec une perte circulaire plutôt que de la traiter comme un canal euclidien standard.
2. PCI comme structure de graphe : Introduit une méthode pour dériver l'adjacence du graphe à partir de la cohérence de phase paire à paire (une grandeur physique) plutôt que d'encodages appris, injectant un a priori basé sur la physique dans le mécanisme d'attention.
3. Biais inductif efficace : Les composants sensibles à la phase (CNN spectral + PCI-GAT) ajoutent seulement 264 816 paramètres (5,0 % du total de 5,29 M), prouvant que la modélisation de la phase est une amélioration légère mais puissante.
4. Nouveau protocole d'évaluation : Les auteurs adoptent une évaluation au niveau de la fenêtre stricte sans ajustement ponctuel, fournissant une évaluation plus conservatrice et réaliste de la capacité discriminative intrinsèque du modèle par rapport aux méthodes utilisant des heuristiques d'ajustement ponctuel.

4. Résultats expérimentaux

Évalué sur le benchmark Secure Water Treatment (SWaT) :

• Performance :
  • Score F1 : 90,98 %
  • ROC-AUC : 95,66 %
  • Précision moyenne : 91,51 %
• Comparaison :
  • Bien que le score F1 soit légèrement inférieur à celui de l'Anomaly Transformer (94,07 %), les auteurs notent que cela est dû au protocole d'évaluation plus strict (sans ajustement ponctuel).
  • Sous le même protocole GDN, PhaseNet++ surpasse GDN (90,98 % contre 81,0 % de F1).
  • Le ROC-AUC élevé indique que les scores d'anomalie du modèle sont hautement discriminatifs ; l'écart entre les métriques de classement et le F1 suggère que le goulot d'étranglement est l'étalonnage du seuil, et non la qualité de la représentation.
• Ablation : La suppression du front-end sensible à la phase ou du module de graphe PCI dégrade considérablement les performances, confirmant la nécessité de la cohérence de phase pour détecter les attaques basées sur le temps.

5. Signification et orientations futures

• Impact scientifique : Ce travail remet en question la domination de la modélisation de l'amplitude dans le domaine temporel en matière de sécurité des ICS. Il démontre que la cohérence de phase est un signal complémentaire et critique pour détecter les attaques qui manipulent le temps (par exemple, rejeu, injection de délais) tout en préservant les statistiques d'amplitude.
• Valeur pratique : La méthode est légère et peut être intégrée dans des cadres d'autoencodeurs existants avec une surcharge de paramètres minimale.
• Travaux futurs : Les auteurs suggèrent de fusionner les représentations sensibles à la phase et sensibles à l'amplitude, de valider sur d'autres jeux de données (WADI, BATADAL), et de développer des stratégies de seuillage adaptatif pour combler l'écart entre les métriques de classement et les scores F1.

Conclusion : PhaseNet++ établit une nouvelle direction pour la détection d'anomalies dans les ICS en prouvant que le "temps" des processus physiques, encodé dans le spectre de phase de Fourier, est un signal vital pour identifier des cyber-attaques physico-numériques sophistiquées.