Résumé technique : Remplissage par pseudo-caractéristiques pour la défense contre les FDIA dans les réseaux électriques

1. Énoncé du problème

Les réseaux de neurones profonds (DNN) sont de plus en plus déployés dans les systèmes cyber-physiques (CPS), particulièrement pour l'estimation de l'état des réseaux électriques, afin de détecter les attaques par injection de fausses données (FDIA). Cependant, l'infrastructure unique des réseaux électriques rend ces DNN vulnérables à des perturbations adverses sophistiquées. Les mécanismes de détection traditionnels, tels que les détecteurs basés sur les résidus ou les classificateurs d'apprentissage automatique standards, échouent souvent car les vecteurs FDIA sont construits pour satisfaire la condition de furtivité $Ba = 0$(où$B$ est la matrice de résidu de projection), rendant les mesures polluées indiscernables des mesures légitimes.

Les stratégies de défense existantes font face à des limitations significatives :

• Entraînement et distillation adverses : Ces méthodes nécessitent souvent des modifications substantielles du pipeline d'entraînement ou de l'architecture du modèle et peuvent être coûteuses en calculs. Elles peuvent également être peu performantes dans les contextes de CPS où les attaquants privilégient la furtivité plutôt que la taille minimale de la perturbation.
• Remplissage fixe (ex: Zero-Padding) : Bien que simple, les stratégies de remplissage fixe sont vulnérables dans les scénarios de boîte blanche où les attaquants connaissent les valeurs de remplissage et peuvent exploiter cette connaissance pour concevoir des attaques transférables.
• Contraintes matérielles : De nombreuses solutions proposées nécessitent un redéploiement des capteurs ou des changements matériels, ce qui est impraticable dans les environnements de CPS distribués.

Le défi central est de développer une défense légère, agnostique au modèle et capable de perturber les conditions structurelles sur lesquelles reposent les attaquants sans dégrader les performances du DNN sous-jacent sur les données bénignes.

2. Méthodologie : Remplissage par pseudo-caractéristiques (Pseudo-Feature Padding)

Le document propose un cadre de Remplissage par pseudo-caractéristiques. Cette approche introduit une couche d'entrée supplémentaire qui augmente dynamiquement les échantillons d'entrée avec des « pseudo-caractéristiques » dérivées de la distribution statistique des données d'entrée elles-mêmes.

Mécanisme central

1. Analyse de l'importance des caractéristiques : Pour chaque échantillon d'entrée, un modèle basé sur les arbres (ex: un arbre de décision) est utilisé pour classer l'importance des caractéristiques. Les caractéristiques tombant sous un seuil spécifique $\theta$ sont identifiées comme étant « moins importantes » (faible saillance).
2. Ajustement de la distribution statistique : Des distributions statistiques sont pré-ajustées pour chaque caractéristique sur l'ensemble du jeu de données.
3. Génération de remplissage dynamique :
   • Entraînement : Pour chaque échantillon, des pseudo-caractéristiques sont échantillonnées à partir des distributions ajustées correspondant aux caractéristiques identifiées comme de faible importance. Celles-ci sont concaténées avec l'entrée originale, créant ainsi de multiples variantes augmentées par échantillon.
   • Inférence : Lorsqu'un échantillon (propre ou adverse) est présenté, un nouveau vecteur de pseudo-caractéristiques est échantillonné et concaténé. Cela garantit que la structure de l'entrée varie de manière imprévisible pendant l'inférence.
4. Perturbation mathématique :
   • Dans une FDIA standard, l'attaquant construit un vecteur $a$ tel que $Ba = 0$, où$B = P - I$ et $P$ est la matrice de projection sur l'espace colonne de la jacobienne du système $H$.
   • Le remplissage proposé transforme la matrice du système en $H' = [H | P_{pad}]$, où $P_{pad}$ contient les pseudo-caractéristiques échantillonnées.
   • Cela modifie la matrice de projection en $P'$ et la matrice de résidu en $B'$. Par conséquent, la structure de l'espace nul change ($N(B) \neq N(B')$). Un vecteur d'attaque $a$ conçu pour satisfaire $Ba=0$ échouera généralement à satisfaire $B'a'=0$ car les caractéristiques de remplissage introduisent une incertitude structurelle et déplacent l'espace nul.
   • Puisque les pseudo-caractéristiques sont échantillonnées de manière aléatoire lors de l'inférence, la reconstruction de la matrice de système effective $H'$ est informatiquement irréalisable pour un attaquant, rendant les perturbations conçues non transférables.

Aperçu de l'algorithme

Le cadre fonctionne comme une étape de prétraitement :

1. Identifier les caractéristiques de faible importance pour un échantillon spécifique.
2. Échantillonner des valeurs synthétiques à partir des distributions pré-ajustées de ces caractéristiques.
3. Concaténer ces valeurs au vecteur d'entrée original.
4. Injecter le vecteur augmenté dans l'architecture DNN existante.

3. Principales contributions

Le document expose les principales contributions suivantes :

• Stratégie de défense novatrice : Une méthode qui atténue les effets des FDIA en complétant les entrées avec des pseudo-caractéristiques, augmentant la dimensionnalité des entrées et complexifiant la génération de vecteurs d'attaque précis.
• Agnosticisme au modèle et déployabilité : Le cadre est léger et ne nécessite aucune modification de l'architecture du DNN central, facilitant son intégration dans les pipelines de détection de CPS existants.
• Aucun surcoût matériel : La solution traite l'impossibilité de sécuriser tous les capteurs physiques en opérant purement au niveau de la couche de traitement des données, ne nécessitant aucun redéploiement de capteurs.
• Préservation des performances : La méthode maintient l'intégrité des performances du DNN avec une baisse de précision négligeable par rapport aux modèles de référence.
• Validation complète : Le cadre est validé par des simulations sur quatre systèmes de test IEEE standards (14-bus, 30-bus, 118-bus et 300-bus) sous des conditions adverses.

4. Résultats expérimentaux

Le cadre a été évalué à l'aide d'un DNN de type feed-forward (quatre couches entièrement connectées) sur des jeux de données générés via MATPOWER. L'évaluation a comparé la méthode proposée aux DNN classiques (Plain DNNs), à l'entraînement adverse (Adversarial Training), à la distillation adverse (Adversarial Distillation) et au remplissage par zéro (Zero-Padding).

• Précision de détection : Le Remplissage par pseudo-caractéristiques proposé a atteint une précision de détection d'attaque nettement supérieure à celle des méthodes de référence et des autres méthodes de défense. Par exemple, sur le système 14-bus, il a atteint une précision de 94,2 %, surpassant l'entraînement adverse (62,0 %) et le Zero-Padding (93,5 %). Des performances élevées similaires ont été observées sur les systèmes 30, 118 et 300-bus (allant de 92,0 % à 96,1 %).
• Métriques de robustesse :
  • Norme L2 du biais (Bias L2-Norm) : La méthode proposée a entraîné des valeurs de Norme L2 du biais plus élevées (ex: 168,7 pour le 14-bus contre 50,6 pour l'entraînement adverse), indiquant que le modèle a détecté avec succès des écarts plus importants causés par les attaques.
  • Norme L2 valide (Valid L2-Norm) : La méthode a produit des valeurs de Norme L2 valide plus faibles (ex: 55,1 pour le 14-bus contre 113,7 pour l'entraînement adverse), suggérant que la force effective des perturbations adverses a été neutralisée.
• Scalabilité : Les performances se sont améliorées ou sont restées stables à mesure que la taille du système augmentait (du 14-bus au 300-bus), démontrant la scalabilité du cadre.
• Surcoût computationnel : Bien que le temps d'entraînement ait légèrement augmenté en raison de la génération et du remplissage des caractéristiques (35s contre 10s pour un Plain DNN), le coût d'inférence est resté faible (0,9ms), et le surcoût global a été classé comme « Faible-Mod », nettement meilleur que le surcoût « Élevé » de l'entraînement adverse.

5. Signification et affirmations

Le document affirme que le Remplissage par pseudo-caractéristiques offre une solution de défense pratique et efficace pour les applications réelles de CPS où la sécurité physique des capteurs est irréalisable.

• Perturbation des mécanismes d'attaque : En introduisant un remplissage aléatoire et conscient des données, la méthode brise la capacité de l'attaquant à maintenir la condition de furtivité ($Ba=0$) sans connaître les valeurs de remplissage spécifiques à l'avance.
• Atténuation de la transférabilité : La nature non déterministe du remplissage lors de l'inférence empêche les exemples adverses conçus pour une instance de modèle donnée de se transférer efficacement à une autre, une faiblesse courante des attaques de boîte blanche.
• Praticité : Contra-rément aux méthodes nécessitant des changements matériels ou un réentraînement complexe de l'architecture, cette approche est une étape de prétraitement légère qui préserve la structure originale du modèle.
• Limites : Les auteurs reconnaissent que le présent travail se concentre sur les menaces de boîte blanche où l'attaquant connaît le modèle mais pas le remplissage. Les attaques adaptatives et celles impliquant des informations partielles sont notées comme des domaines de travail futur, bien que le remplissage non déterministe soit censé assurer une robustesse contre elles.

En conclusion, le document démontre que l'augmentation des données d'entrée avec des pseudo-caractéristiques dérivées statistiquement est une stratégie viable pour renforcer la robustesse des DNN contre les FDIA dans les réseaux électriques, offrant un équilibre entre haute précision de détection, faible coût de calcul et facilité de déploiement.