Riepilogo Tecnico: Pseudo-Feature Padding per la Difesa da FDIA nelle Reti Elettriche

1. Definizione del Problema

Le Reti Neurali Profonde (DNN) sono sempre più impiegate nei Sistemi Ciber-Fisici (CPS), in particolare per la stima dello stato nelle reti elettriche, al fine di rilevare attacchi di Iniezione di Dati Falsi (FDIA). Tuttavia, l'infrastruttura unica delle reti elettriche rende queste DNN vulnerabili a perturbazioni avversarie sofisticate. I meccanismi di difesa tradizionali, come i rilevatori basati sui residui o i classificatori standard di machine learning, spesso falliscono perché i vettori FDIA sono costruiti per soddisfare la condizione di furtività $Ba = 0$ (dove $B$ è la matrice del residuo di proiezione), rendendo le misurazioni inquinanti indistinguibili da quelle legittime.

Le strategie di difesa esistenti affrontano limitazioni significative:

• Addestramento Avversario e Distillazione: Questi metodi richiedono spesso modifiche sostanziali alla pipeline di addestramento o all'architettura del modello e possono essere computazionalmente intensivi. Possono inoltre performare scarsamente in contesti CPS in cui gli attaccanti danno priorità alla furtività rispetto alla dimensione minima della perturbazione.
• Padding Fisso (es. Zero-Padding): Sebbene semplice, le strategie di padding fisso sono vulnerabili in scenari white-box in cui gli attaccanti sono a conoscenza dei valori di padding e possono sfruttare tale conoscenza per creare attacchi trasferibili.
• Vincoli Hardware: Molte soluzioni proposte richiedono il ridispiegamento di sensori o modifiche hardware, il che è impraticabile in ambienti CPS distribuiti.

La sfida centrale è sviluppare una difesa che sia leggera, agnostica rispetto al modello e capace di interrompere le condizioni strutturali su cui si basano gli attaccanti senza degradare le prestazioni della DNN sottostante sui dati benigni.

2. Metodologia: Pseudo-Feature Padding

Il documento propone un framework di Pseudo-Feature Padding. Questo approccio introduce uno strato di input aggiuntivo che aumenta dinamicamente i campioni di input con "pseudo-feature" derivate dalla distribuzione statistica dei dati di input stessi.

Meccanismo Core

1. Analisi dell'Importanza delle Feature: Per ogni campione di input, viene utilizzato un modello basato su alberi (es. un albero di decisione) per classificare l'importanza delle feature. Le feature che cadono al di sotto di una specifica soglia $\theta$ vengono identificate come "meno importanti" (bassa salienza).
2. Fitting della Distribuzione Statistica: Le distribuzioni statistiche sono pre-adattate (fitted) per ogni feature attraverso l'intero dataset.
3. Generazione del Padding Dinamico:
   • Addestramento: Per ogni campione, le pseudo-feature vengono campionate dalle distribuzioni adattate corrispondenti alle identificate feature a bassa importanza. Queste vengono concatenate con l'input originale, creando molteplici varianti aumentate per ogni campione.
   • Inferenza: Quando un campione (pulito o avversario) viene presentato, viene campionato un nuovo vettore di pseudo-feature e concatenato. Ciò garantisce che la struttura dell'input vari in modo imprevedibile durante l'inferenza.
4. Disruzione Matematica:
   • In un FDIA standard, l'attaccante costruisce un vettore $a$ tale che $Ba = 0$, dove $B = P - I$ e $P$ è la matrice di proiezione sullo spazio delle colonne della Jacobiana del sistema $H$.
   • Il padding proposto trasforma la matrice del sistema in $H' = [H | P_{pad}]$, dove $P_{pad}$ contiene le pseudo-feature campionate.
   • Ciò cambia la matrice di proiezione in $P'$ e la matrice del residuo in $B'$. Di conseguenza, la struttura dello spazio nullo cambia ($N(B) \neq N(B')$). Un vettore di attacco $a$ progettato per soddisfare $Ba=0$ generalmente non riuscirà a soddisfare $B'a'=0$ perché le feature di padding introducono incertezza strutturale e spostano lo spazio nullo.
   • Poiché le pseudo-feature sono campionate casualmente durante l'inferenza, ricostruire la matrice di sistema effettiva $H'$ è computazionalmente intrattabile per un attaccante, rendendo le perturbazioni create non trasferibili.

Panoramica dell'Algoritmo

Il framework opera come un passaggio di pre-elaborazione:

1. Identificare le feature a bassa importanza per un campione specifico.
2. Campionare valori sintetici dalle distribuzioni pre-adattate di queste feature.
3. Concatenare questi valori al vettore di input originale.
4. Alimentare il vettore aumentato nella struttura DNN esistente.

3. Contributi Principali

Il documento delinea i seguenti contributi primari:

• Strategia di Difesa Innovativa: Un metodo che mitiga gli effetti FDIA aumentando la dimensionalità dell'input e complicando la generazione di vettori di attacco accurati.
• Agnosticismo dal Modello e Deployability: Il framework è leggero e non richiede modifiche all'architettura core della DNN, facilitando l'integrazione nei flussi di rilevamento CPS esistenti.
• Nessun Overhead Hardware: La soluzione affronta l'impraticabilità di mettere in sicurezza tutti i sensori fisici operando puramente a livello di elaborazione dei dati, senza richiedere il ridispiegamento di sensori.
• Preservazione delle Prestazioni: Il metodo mantiene l'integrità delle prestazioni della DNN con un calo di accuratezza trascurabile rispetto ai modelli baseline.
• Validazione Completa: Il framework è validato tramite simulazioni su quattro sistemi di test IEEE standard (14-bus, 30-bus, 118-bus e 300-bus) in configurazioni avversarie.

4. Risultati Sperimentali

Il framework è stato valutato utilizzando una DNN feed-forward (quattro strati completamente connessi) su dataset generati tramite MATPOWER. La valutazione ha confrontato il metodo proposto con Plain DNNs, Adversarial Training, Adversarial Distillation e Zero-Padding.

• Accuratezza di Rilevamento: Il proposto Pseudo-Feature Padding ha raggiunto un'accuratezza di rilevamento degli attacchi significativamente superiore rispetto ai modelli baseline e ad altri metodi di difesa. Ad esempio, sul sistema a 14 bus, ha raggiunto un'accuratezza del 94,2%, superando l'Adversarial Training (62,0%) e lo Zero Padding (93,5%). Prestazioni elevate simili sono state osservate nei sistemi a 30, 118 e 300 bus (con range tra 92,0% e 96,1%).
• Metriche di Robustezza:
  • Bias L2-Norm: Il metodo proposto ha prodotto valori di Bias L2-Norm più elevati (es. 168,7 per il sistema a 14 bus rispetto a 50,6 per l'Adversarial Training), indicando che il modello ha rilevato con successo deviazioni maggiori causate dagli attacchi.
  • Valid L2-Norm: Il metodo ha prodotto valori di Valid L2-Norm inferiori (es. 55,1 per il sistema a 14 bus rispetto a 113,7 per l'Adversarial Training), suggerendo che la forza effettiva delle perturbazioni avversarie è stata neutralizzata.
• Scalabilità: Le prestazioni sono migliorate o rimaste stabili all'aumentare della dimensione del sistema (da 14-bus a 300-bus), dimostrando la scalabilità del framework.
• Overhead Computazionale: Sebbene il tempo di addestramento sia aumentato leggermente a causa dei passaggi di generazione delle feature e padding (35s rispetto a 10s per la Plain DNN), il costo di inferenza è rimasto basso (0,9ms), e l'overhead complessivo è stato classificato come "Low-Mod", significativamente migliore dell'overhead "High" dell'Adversarial Training.

5. Significato e Rivendicazioni

Il documento afferma che il Pseudo-Feature Padding offre una soluzione di difesa pratica ed efficace per le applicazioni CPS reali dove la sicurezza fisica dei sensori è impraticabile.

• Disruzione della Meccanica dell'Attacco: Introducendo un padding randomizzato e consapevole dei dati, il metodo rompe la capacità dell'attaccante di mantenere la condizione di furtività ($Ba=0$) senza dover conoscere in anticipo i valori di padding specifici.
• Mitigazione della Trasferibilità: La natura non deterministica del padding durante l'inferenza impedisce agli esempi avversari creati per un'istanza del modello di trasferirsi efficacemente a un'altra, una comune debolezza negli attacchi white-box.
• Praticità: A differenza dei metodi che richiedono modifiche hardware o complessi ri-addestramenti architettonici, questo approccio è un passaggio di pre-elaborazione leggero che preserva la struttura originale del modello.
• Limitazioni: Gli autori riconoscono che l'attuale lavoro si concentra sulle minacce white-box dove l'attaccante conosce il modello ma non il padding. Gli attacchi adattivi e a informazione parziale sono indicati come aree per lavori futuri, sebbene il padding non deterministico si preveda fornisca robustezza anche contro di essi.

In conclusione, il documento dimostra che l'aumento dei dati di input con pseudo-feature derivate statisticamente è una strategia valida ed efficace per migliorare la robustezza delle DNN contro l'FDIA nelle reti elettriche, offrendo un equilibrio tra alta accuratezza di rilevamento, basso costo computazionale e facilità di implementazione.