Secure Filtering against Spatio-Temporal False Data Attacks under Asynchronous Sampling

Titolo: Filtraggio Sicuro contro Attacchi a Dati Falsi Spazio-Temporali in Campionamento Asincrono

1. Il Problema

Il paper affronta il problema della stima sicura dello stato per sistemi lineari tempo-invarianti (LTI) continui, caratterizzati da misurazioni non periodiche e asincrone. In questo scenario, i sensori devono trasmettere al centro di fusione non solo i valori delle misurazioni, ma anche i timestamp di campionamento.

Questa configurazione, sebbene ideale per grandi sistemi di controllo (come reti elettriche o idriche), introduce nuove vulnerabilità sfruttabili da avversari malintenzionati. L'articolo definisce un modello di attacco unificato che combina minacce di integrità e disponibilità, noto come attacco a dati falsi spazio-temporali. Le quattro modalità di attacco identificate sono:

1. Iniezione di dati falsi: Manipolazione del valore della misurazione.
2. Manipolazione del timestamp: Alterazione dell'orario di campionamento (senza cambiare il valore della misurazione), causando disallineamenti temporali.
3. Denial-of-Service (DoS): Eliminazione delle misurazioni (blocco della trasmissione).
4. Generazione di dati falsi: Creazione di pacchetti di misurazione completamente nuovi e non autentici.

L'obiettivo è progettare un algoritmo di stima che garantisca un errore di stima uniformemente limitato, indipendentemente dalla presenza di questi attacchi, assumendo che il numero di sensori compromessi sia limitato (attacco $p$-sparso).

2. Metodologia

L'approccio proposto si basa su una decomposizione decentralizzata del Filtro di Kalman (KF) asincrono e su una fusione ottimizzata tramite regolarizzazione.

• Decomposizione del Filtro di Kalman:
  Gli autori decompongono il KF asincrono ottimale (in assenza di attacchi) in una somma lineare di stime locali mantenute da ciascun sensore. Ogni sensore calcola un'estima locale basata sulle proprie misurazioni. In assenza di attacchi, la fusione di queste stime locali tramite un problema ai minimi quadrati pesati (Weighted Least Squares - WLS) riproduce esattamente l'estima ottimale del KF.

• Fusione Sicura con Regularizzazione $\ell_1$:
  Per mitigare gli attacchi, l'algoritmo di fusione viene modificato introducendo una regolarizzazione $\ell_1$ nel problema di ottimizzazione.

  • Il problema di ottimizzazione cerca di minimizzare l'errore di fusione penalizzando la norma $\ell_1$ del residuo di attacco.
  • La regolarizzazione $\ell_1$ agisce come un meccanismo di "sparsità", permettendo all'algoritmo di identificare e isolare le misurazioni corrotte (che appaiono come outlier sparsi) senza influenzare le misurazioni dei sensori sani.
  • Gli autori dimostrano che, sotto un'ipotesi di ridondanza di osservabilità (il sistema è $2p$-osservabile, ovvero rimane osservabile anche rimuovendo fino a $2p$ sensori), la soluzione di questo problema regolarizzato fornisce stime dello stato sicure.

• Analisi Teorica:
  Viene dimostrato che:

  1. In assenza di attacchi, la soluzione regolarizzata coincide con l'estima ottimale del KF (se il parametro di regolarizzazione $\gamma$ è scelto correttamente).
  2. In presenza di attacchi, l'errore di stima è indipendente dalle strategie di attacco e rimane limitato da un valore superiore che dipende solo dai parametri del sistema e dall'errore di un "KF oracolo" (che opererebbe in un mondo senza attacchi).

3. Contributi Chiave

I principali contributi del lavoro sono:

1. Nuovo Modello di Attacco: Unificazione di attacchi di integrità (iniezione dati) e disponibilità (DoS, manipolazione timestamp) in un unico framework per sistemi a campionamento asincrono.
2. Algoritmo di Stima Decentralizzato: Sviluppo di un algoritmo che mantiene stime locali asincrone e le fonde tramite ottimizzazione, evitando la necessità di un elaboratore centrale che riceva tutti i dati grezzi in tempo reale.
3. Fusione Robusta con $\ell_1$: Introduzione di una tecnica di fusione basata su minimi quadrati con regolarizzazione $\ell_1$ che garantisce la resilienza agli attacchi.
4. Garanzie Teoriche Rigorose:
   • Dimostrazione che l'algoritmo recupera l'ottimalità del KF in assenza di attacchi.
   • Dimostrazione che l'errore di stima in presenza di attacchi è uniformemente limitato e indipendente dalla natura dell'attacco, a condizione che il sistema soddisfi l'ipotesi di ridondanza di osservabilità.
5. Validazione Sperimentale: Applicazione e verifica su un caso di studio reale (sistema IEEE a 14 bus).

4. Risultati

I risultati sono stati validati attraverso simulazioni sul sistema di potenza IEEE 14-bus, che include 28 variabili di stato e 42 sensori.

• Scenario senza attacchi: L'algoritmo proposto (risoluzione del problema WLS regolarizzato) ha prodotto errori di stima identici a quelli del Filtro di Kalman asincrono standard e del problema ai minimi quadrati non regolarizzato, confermando la correttezza teorica.
• Scenario con attacchi: Sono stati lanciati attacchi simultanei su diversi sensori (iniezione di dati falsi, manipolazione timestamp, DoS e generazione di dati falsi).
  • Il Filtro di Kalman standard ha mostrato errori di stima enormi e instabilità.
  • Un Filtro di Kalman Robusto (esistente in letteratura) ha mostrato prestazioni migliori del KF standard ma inferiori all'algoritmo proposto.
  • L'algoritmo proposto ha mantenuto l'errore di stima basso e stabile, dimostrando resilienza completa agli attacchi e rispettando il limite teorico superiore previsto.

5. Significato

Questo lavoro è significativo per diversi motivi:

• Gestione dell'Asincronia: Affronta una sfida pratica spesso ignorata nella sicurezza dei sistemi cyber-fisici: la gestione sicura di dati che arrivano in tempi non sincronizzati e non periodici.
• Resilienza Integrata: Offre una soluzione che non richiede di rilevare e isolare gli attacchi in una fase separata, ma li mitiga direttamente all'interno del processo di stima dello stato.
• Teoria dell'Osservabilità: Estende i concetti di osservabilità ridondante a scenari di campionamento asincrono e non periodico, fornendo condizioni necessarie e sufficienti per la sicurezza.
• Implicazioni Pratiche: La validazione su un sistema di rete elettrica reale suggerisce che l'algoritmo è pronto per essere applicato in infrastrutture critiche dove la sicurezza contro manipolazioni temporali e spaziali è fondamentale per la stabilità del sistema.

In sintesi, il paper propone un metodo matematicamente solido e praticamente efficace per garantire l'integrità delle stime di stato in sistemi complessi e distribuiti, anche quando gli avversari tentano di manipolare sia i dati che il tempo in cui questi vengono generati.