PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

1. Enunciato del Problema

I Sistemi di Controllo Industriale (ICS) sono componenti critici delle infrastrutture (ad esempio, trattamento delle acque, reti elettriche) vulnerabili ad attacchi cibernetico-fisici. I metodi esistenti di rilevamento delle anomalie si basano principalmente sui valori di ampiezza nel dominio del tempo dei dati dei sensori, utilizzando architetture come Reti Neurali su Grafi (GNN), Transformer o Autoencoder Variazionali (VAE).

Il Divario Principale: Questi metodi scartano tipicamente lo spettro di fase di Fourier durante la pre-elaborazione. Tuttavia, nei sistemi fisici, i sensori sono accoppiati; le loro interazioni sono definite non solo da magnitudini di valore simili, ma da relazioni temporali e sincronizzazione coerenti.

• La Sfida: Attacchi come gli attacchi di replay (riproduzione di dati vecchi) o l'iniezione di ritardi possono mantenere profili di ampiezza realistici mentre disturbano la sincronizzazione di fase precisa tra i sensori. I modelli basati solo sull'ampiezza nel dominio del tempo faticano a rilevare direttamente queste sottili incongruenze temporali.

2. Metodologia: PhaseNet++

PhaseNet++ è un autoencoder nel dominio della frequenza progettato per rilevare anomalie modellando esplicitamente le relazioni di fase. Opera su finestre scorrevoli di dati multivariati dei sensori.

A. Rappresentazione di Input (STFT)

Invece delle serie temporali grezze, il modello applica la Trasformata di Fourier a Tempo Breve (STFT) alle finestre dei sensori.

• Mantiene sia lo spettro di Ampiezza ($M$) che quello di Fase ($\Phi$).
• Lo spettro di fase è trattato come un segnale di prima classe, catturando gli sfasamenti temporali all'interno della finestra che l'ampiezza da sola non rileva.

B. Indice di Coerenza di Fase (PCI)

Per sfruttare l'accoppiamento fisico dei sensori, gli autori introducono un Indice di Coerenza di Fase (PCI), ispirato al Valore di Blocco di Fase (PLV) delle neuroscienze.

• Meccanismo: Calcola la coerenza di fase a coppie attraverso le bande di frequenza tra ogni coppia di sensori ($i, j$).
• Output: Una matrice di adiacenza continua $A \in [0, 1]^{C \times C}$.
• Significato: In condizioni di funzionamento normale, i sensori fisicamente accoppiati presentano sfasamenti stabili, risultando in un alto $A_{ij}$. Durante un attacco (ad esempio, replay o ritardo), questa coerenza si rompe, causando un calo di $A_{ij}$. Questa matrice funge da prior spaziale informata dalla fisica per la rete su grafo.

C. Architettura di Rete

Il modello segue una struttura encoder-decoder con quattro stadi:

1. Embedding CNN Spettrale: Una leggera CNN 1D estrae caratteristiche dagli spettri di ampiezza e fase di ciascun sensore indipendentemente.
2. Attention su Grafo Pesata dal PCI (GAT): Una Graph Attention Network affina gli embedding. Crucialmente, la matrice PCI ($A_{ij}$) è moltiplicata direttamente nel meccanismo di attenzione. Questo costringe il modello a propagare informazioni preferenzialmente tra sensori sincronizzati in fase, piuttosto che apprendere l'adiacenza puramente dalle correlazioni dei dati.
3. Encoder Transformer Sensor-Token: Un Transformer cattura la struttura globale a livello di sistema attraverso la dimensione del sensore (non il tempo, poiché il tempo è riassunto nelle caratteristiche spettrali).
4. Decodificatore a Doppia Testa: Due teste separate ricostruiscono gli spettri di Ampiezza e Fase.

D. Obiettivo di Addestramento

Il modello minimizza una funzione di perdita composita:
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$ (MSE): Errore di ricostruzione standard per l'ampiezza.
• $\mathcal{L}_{phase}$ (Perdita Circolare): Utilizza una perdita coseno ($1 - \cos(\hat{\Phi} - \Phi)$) invece dell'MSE euclideo. Questo rispetta la geometria angolare della fase (gestendo il riavvolgimento a $\pm \pi$) e previene errori di discontinuità.
• $\mathcal{L}_{coh}$ (Perdita di Coerenza): Ristima la matrice PCI dalla fase ricostruita e la confronta con la PCI originale. Questo garantisce che il modello preservi la sincronia tra sensori, non solo i valori dei singoli sensori.

3. Contributi Chiave

1. Fase come Segnale di Prima Classe: Il primo studio sistematico a trattare la fase di Fourier come una caratteristica primaria di rilevamento negli ICS, ricostruendola con una perdita circolare invece di trattarla come un canale euclideo standard.
2. PCI come Struttura di Grafo: Introduce un metodo per derivare l'adiacenza del grafo dalla coerenza di fase a coppie (una quantità fisica) piuttosto che da embedding appresi, iniettando un prior basato sulla fisica nel meccanismo di attenzione.
3. Bias Induttivo Efficiente: I componenti consapevoli della fase (CNN Spettrale + PCI-GAT) aggiungono solo 264.816 parametri (il 5,0% del totale di 5,29M), dimostrando che la modellazione della fase è un potenziamento leggero ma potente.
4. Nuovo Protocollo di Valutazione: Gli autori adottano una rigorosa valutazione a livello di finestra senza aggiustamento puntuale, fornendo una valutazione più conservativa e realistica della capacità discriminativa intrinseca del modello rispetto ai metodi che utilizzano euristiche di aggiustamento puntuale.

4. Risultati Sperimentali

Valutato sul benchmark Secure Water Treatment (SWaT):

• Prestazioni:
  • Punteggio F1: 90,98%
  • ROC-AUC: 95,66%
  • Precisione Media: 91,51%
• Confronto:
  • Sebbene il punteggio F1 sia leggermente inferiore rispetto all'Anomaly Transformer (94,07%), gli autori notano che ciò è dovuto al protocollo di valutazione più rigoroso (nessun aggiustamento puntuale).
  • Sotto lo stesso protocollo GDN, PhaseNet++ supera GDN (90,98% contro 81,0% F1).
  • L'alto ROC-AUC indica che i punteggi di anomalia del modello sono altamente discriminativi; il divario tra le metriche di ranking e l'F1 suggerisce che il collo di bottiglia è la calibrazione della soglia, non la qualità della rappresentazione.
• Ablazione: La rimozione del front-end consapevole della fase o del modulo grafico PCI degrada significativamente le prestazioni, confermando la necessità della coerenza di fase per rilevare attacchi basati sul timing.

5. Significato e Direzioni Future

• Impatto Scientifico: Questo lavoro sfida il dominio della modellazione dell'ampiezza nel dominio del tempo nella sicurezza degli ICS. Dimostra che la coerenza di fase è un segnale complementare e critico per rilevare attacchi che manipolano il timing (ad esempio, replay, iniezione di ritardi) preservando al contempo le statistiche di ampiezza.
• Valore Pratico: Il metodo è leggero e può essere integrato in framework di autoencoder esistenti con un sovraccarico di parametri minimo.
• Lavori Futuri: Gli autori suggeriscono di fondere rappresentazioni consapevoli della fase e consapevoli dell'ampiezza, convalidare su altri dataset (WADI, BATADAL) e sviluppare strategie di sogliatura adattiva per colmare il divario tra metriche di ranking e punteggi F1.

Conclusione: PhaseNet++ stabilisce una nuova direzione per il rilevamento delle anomalie negli ICS dimostrando che il "timing" dei processi fisici, codificato nello spettro di fase di Fourier, è un segnale vitale per identificare attacchi cibernetico-fisici sofisticati.