⚡ electrical engineering

Mitigating Timing-Based Attacks in Real-Time Cyber-Physical Systems

本論文は、リアルタイムのスケジューラビリティと制御性能の保証を厳密に維持しつつ、実行パターンを隠蔽するために有界かつ構造化されたタイミング摂動を導入することにより、タイミングベースの攻撃からリアルタイム・サイバーフィジカルシステムを保護する、スケジューリングに基づく緩和フレームワークを提案するものである。

原著者： Arkaprava Sain, Sunandan Adhikary, Soumyajit Dey

公開日 2026-02-04

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Arkaprava Sain, Sunandan Adhikary, Soumyajit Dey

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

高度なオーケストラを想像してみてください。そこでは、すべての演奏者（コンピュータのタスク）が、音楽（自動車や電力網のような物理システム）の安全を守るために、全く同じ瞬間に音を奏でなければなりません。これらの「リアルタイム・サイバーフィジカルシステム」において、タイミングこそがすべてです。もし演奏者がほんのわずかでも遅れれば、パフォーマンス全体が崩壊し、惨事につながる可能性があります。

しかし、この厳格で予測可能なリズムには暗い側面があります。スケジュールが非常に厳格で予測可能であるため、巧妙な盗聴者（攻撃者）はリズムを聴き取り、いつ最も重要な演奏者（安全性が極めて高いタスク）が演奏するかを正確に把握し、音と音の間のわずかな隙間に忍び込んで音楽を改ざんすることができるのです。これは「タイミングに基づく攻撃（Timing-Based Attack）」と呼ばれます。

問題点：予測可能なリズム

システムのスケジュールを列車の時刻表のように考えてみましょう。「安全性の高い列車（制御タスク）」は、10:00、10:10、10:20といった具合に、駅を出発します。

攻撃者のトリック： 悪意のある「信頼できない」列車（低優先度のタスク）は、安全性の高い列車がいつ到着し、いつ出発するかを正確に知っています。攻撃者は、安全性の高い列車が荷物（データ）を下ろすのを待ち、その直後に、次の列車が到着する前に、荷物を偽物にすり替えるために飛び込みます。
ウィンドウ（隙間）： 安全性の高い列車が出発した直後に、特定の「攻撃ウィンドウ」が存在します。もし悪い列車が間に合えば、システムを破壊できてしまいます。

旧来の解決策（そしてなぜそれらが失敗したか）

これらを阻止するための以前の試みは、列車の時刻表を隠そうとするようなものでした。

スケジュールのランダム化： 列車の出発時間をランダムにする方法。問題点： これはシステム自体を混乱させ、遅延を引き起こし、車が衝突したり電力網が故障したりする原因となります。
列車の隔離： 悪い列車を別の車両基地に隔離する方法。問題点： これはスペースやリソースを浪費し、システムの効率を低下させます。

新しい解決策：SecureRT（「スマート遅延」フレームワーク）

この論文の著者たちは、SecureRTと呼ばれる新しいフレームワークを提案しています。それは、ランダムな混沌や厳格な隔離ではなく、計算された「スマートな遅延」を使用するものです。

指揮者（スケジューラ）には秘密の計画があると想像してください。攻撃の疑いがあるとき、彼らは列車をキャンセルするのではなく、安全性の高い列車に対して、出発する前に特定の、あらかじめ計算された時間だけ待機するように指示します。

仕組みは以下の3つのステップで構成されます。

1. 安全チェック（列車はまだ時間通りに到着できるか？）

変更を加える前に、システムは最大安全遅延を計算します。「もし列車を3秒間待たせたら、目的地に期限内に到着できるだろうか？」と問いかけます。

もし答えが「イエス」であれば、その遅延は安全です。
もし答えが「ノー」であれば、その遅延は長すぎ、衝突を引き起こす可能性があります。
これにより、システムが**スケジューラブル（実行可能かつ安全）**であることを保証します。

2. パフォーマンスチェック（音楽はまだ心地よく響くか？）

列車が時間通りに到着したとしても、待ちすぎると音楽が音痴になってしまうかもしれません。システムは、列車が待機することによって「制御性能（音楽の質）」がどの程度低下するかを計算します。

彼らは制限を設定します。「音楽の質は5%以上悪くなってはならない」。
そして、音楽を十分に良い状態に保つための最大許容遅延を見つけ出します。

3. スマート・シャッフル（最適化）

ここで、システムは複雑なパズルを解きます。「攻撃ウィンドウ」と「悪い列車（信頼できないタスク）」のスケジュールを分析します。

システムは、一連の遅延（例：3秒待つ、次に0秒待つ、次に5秒待つ）を計算し、それによって安全性の高い列車の到着をわずかにずらし、「悪い列車」が攻撃ウィンドウの中に収まりきらないようにします。
これは、列車の出発時間を動かすことで、悪い奴が列車が出発しようとしている瞬間に、赤信号で立ち往生するように仕向けるようなものです。

実生活での動作

システムは、改ざんの兆候を監視する「検知器（セキュリティガードのようなもの）」を実行します。

通常モード： 列車は標準的で高速なスケジュールで走行します。
攻撃検知： ガードが不審なパターン（「悪い列車」が忍び込もうとする動き）を見つけると、システムは即座にSecureRTモードに切り替わります。
切り替え： 事前に計算された「スマート遅延」を安全性の高い列車に適用します。列車は通常とは少し異なる時間に 출발するため、攻撃者のタイミングを狂わせます。
結果： 攻撃者はいつ攻撃すべきかを予測できなくなります。「悪い列車」はウィンドウを逃し、データは安全に保たれ、システムはクラッシュすることなくスムーズに稼働し続けます。

まとめ

この論文は、セキュリティと安全性のどちらか一方を選ぶ必要はないことを証明しています。「スマート遅延」戦略を使用することで、以下のことが可能になります。

攻撃者を混乱させ、いつ攻撃すべきか予測させない。
遅延が安全限界を超えないようにすることで、システムを安全に保つ。
制御の質を損なわないようにすることで、システムのパフォーマンスを維持する。

シミュレーションによる自動車制御システムを用いた実験において、標準的なシステムはハッキングされてクラッシュし、「ランダム遅延」システムはハッキングされて動作が悪化しましたが、彼らのSecureRTシステムは、攻撃を阻止しながらも車を完璧に走行させ続けることに成功しました。

技術要約：リアルタイム・サイバー物理システムにおけるタイミングベース攻撃の緩和

問題提起

自動車、航空、産業用IoTドメインなどのリアルタイム・サイバー物理システム（CPS）は、安全性と正確性を確保するために決定論的なタスク実行に依存している。この決定論性は、プリエンプティブ固定優先度（PFP）スケジューリングを通じて達成されることが多いが、意図せずタイミング・サイドチャネルを生み出してしまう。攻撃者は、これらの予測可能なスケジュールを悪用して、高優先度の「被害者」制御タスクの実行パターンを推論することができる。

具体的には、本論文は**スケジュールベース攻撃（SBA）**に対処している。これらの攻撃では、攻撃者が低優先度の信頼できないタスクを侵害することで、高優先度の「被害者」制御タスクの到着時刻を予測する。攻撃者は、攻撃有効ウィンドウ（AEW）（被害者タスクの実行直後にデータバッファが脆弱になる時間間隔）を算出することで、偽データ注入（FDI）攻撃を実行できる。これらの攻撃は、共有I/Oバッファに格納された制御入力を操作し、閉ループ制御の性能低下やシステム故障を引き起こす可能性がある。

スケジュールのランダム化や時間的隔離といった既存の防御策は、制御性能やスケジューラビリティへの重大な影響を考慮できていないことが多い。ランダム化はコンテキストスイッチやデッドラインミスを増加させる可能性があり、ノイズ注入（例：ラプラス分布）は、ハードリアルタイムの安全クリティカルなシステムに求められる厳格なタイミング保証を損なう恐れがある。

手法：SecureRTフレームワーク

著者らは、被害者制御タスクに対して有界かつ構造化されたジョブレベルの遅延を導入することで、タイミング推論攻撃を緩和するフレームワークであるSecureRTを提案している。このアプローチは、リアルタイムの保証や制御品質を損なうことなく、被害者のAEWと信頼できないタスクの実行との時間的な重複を最小限に抑えるように設計されている。

本フレームワークは、以下の3つの連続するステップで動作する。

1. 設計時解析

スケジューラビリティ解析（WCRT）： フレームワークは、保守的な最悪応答時間（WCRT）解析を実行し、ピーク・ジョブレベル遅延（ $\Delta^{peak}_v$ ）を決定する。これは、被害者タスクまたは低優先度のタスクがいずれもデッドラインをミスすることなく適用できる、被害者タスクのジョブリリースに適用可能な最大遅延である。この解析は、高優先度タスクからの「キャリーイン（持ち越し）」干渉や、遅延リリースによって導入されるジッタを考慮している。
制御性能解析： 遅延が物理プラントのダイナミクスに影響を与えることを認識し、著者らは遅延を考慮した線形二次レギュレータ（LQR）システムとして制御タスクをモデル化している。彼らは遅延を考慮したコントローラを合成し、最大許容遅延（ $\Delta^{max}_i$ ）を算出する。これは、制御コスト（ $J$ ）がシステム設計者が設定した事前定義の閾値（ $J_{Th}$ ）を下回るように維持できる最大の遅延である。
最適化定式化： 各制御タスクに対して最適なジョブレベル遅延シーケンス（ $\Delta_i$ $Δ_{i}$ ）を生成するための最適化問題が定式化される。目的は、ハイパーピリオド全体にわたって、被害者タスクのAEWとすべての信頼できないタスクの実行ウィンドウとの間の総時間的重複を最小化することである。
- 重複関数は非線形かつ区分的である。この問題を解決するために、著者らは**混合整数線形計画法（MILP）**を用いて問題を線形化している。補助的な連続変数とバイナリ決定変数（Big-M法を使用）を導入することで、重複計算を標準的なソルバー（例：Gurobi）に適した線形制約へと変換している。

2. 実行時実行（PFP-d スケジューラ）

本フレームワークは、オンライン異常検知器を備えたカスタムスケジューラ、PFP-d（Preemptive Fixed Priority with delay）を統合している。

異常検知： 各制御ループには、センシングされた出力と推定された出力の差を監視する $\chi^2$ （カイ二乗）ベースの残差検知器が備わっている。統計量が閾値（$Th$）を超えると、攻撃がフラグ立てされる。
緩和策： 特定の被害者タスクに対する攻撃を検知すると、スケジューラは標準的なPFPからPFP-dへと切り替わる。事前計算された最適な遅延シーケンスを取得し、現在のおよび後続の被害者タスクのジョブインスタンスに対して対応する遅延を適用する。
リセット： 緩和策は定義された期間（ $T_{RES}$ ）の間有効であり、その後、システムは通常運用へとリセットされる。

3. 計算量とオーバーヘッド

実行時アルゴリズム（Algorithm 1）は、各タイムステップにおいて $O(1)$ の計算量で動作する。最適な遅延シーケンスはオフラインで計算され保存されているため、実行時のオーバーヘッドは無視できるほど小さく、リソース制約のある組み込みプラットフォームに適している。

主な貢献

セキュリティと制御の結合最適化： セキュリティのみに焦点を当てた従来のスケジュールの難読化とは異なり、SecureRTはスケジュールの変更が閉ループ制御の性能およびスケジューラビリティに与える影響を明示的に考慮している。
有界遅延の導出： システムのスケジューラビリティと制御の安定性の両方を保証する、ジョブレベル遅延の厳格な上限（ $\Delta^{peak}$ および $\Delta^{max}$ ）を導出している。
最適な遅延合成： 攻撃表面（AEWの重複）を最小化しつつ、導出された境界を遵守する、最適な循環的ジョブレベル遅延シーケンスを生成するための新しいMILP定式化を提示している。
SecureRTフレームワーク： オンライン $\chi^2$ 検知器とカスタマイズされたPFP-dスケジューラの統合により、事後的なSBAに対する実用的かつ軽量な防御メカニメントを提供する。

実験結果

著者らは、Rasp・berry Pi 4上で、ハードリアルタイム動作を保証するためにパッチを適用したLinuxカーネル（PREEMPT_RT）を用いて実装された、現実的な自動車ケーススタディ（クルーズコントロール、ESP、および軌道追従コントローラ）を用いてSecureRTを評価した。

ケーススタディ： 以下の4つのシナリオを比較した：
1. ベースライン（PFP、攻撃なし）： システムは正常に動作する。
2. 攻撃（PFP、遅延なし）： 攻撃者がFDIを成功させ、プラント状態の著しい偏差と制御コストの着実な増加を引き起こす。
3. ランダム遅延（最新技術）： ランダムな遅延（ラプラス分布）を適用すると、予測可能性は低下するが、FDIを継続的に防ぐことはできず、性能低下とコスト増加を招いた。
4. SecureRT（PFP-d）： 最適な遅延シーケンスにより、被害者のAEWと攻撃者の実行ウィンドウとの重複が効果的に最小化された。攻撃が進行中であるにもかかわらず、システムは安定したプラント追従を維持し、制御コストは公称値に近い状態を保った。
定量的改善： 自動車のケーススタディにおいて、最適な遅延シーケンスは、FDI攻撃に利用可能な重複時間を60%（45msから18msへ）削減した。
一般的なスケジューラビリティ： 様々な利用率範囲およびタスク数（5、10、20タスク）にわたる広範な合成実験により、SecureRTは、特に被害者タスクが高優先度であり、システムの利用率が低〜中程度の場合に高いスケジューラビリティを維持することが示された。

意義と主張

本論文は、SecureRTが、サイバーセキュリティと制御理論の間の溝を埋めることにより、既存の緩和戦略に対して重要な進歩をもたらすと主張している。その主な意義は、決定論的な保証や物理的な性能を損なうことなく、タイミング推論攻撃に対してリアルタイム制御ワークロードを保護できる点にある。

著者らは、彼らのアプローチが単なる理論的な演習ではなく、リソース制約のある環境にデプロイ可能なソリューションであることを強調している。無制限なランダム化ではなく、有界かつ構造化された遅延を使用することで、SecureRTは、安全クリティカルなシステムが事前に定義された性能限界内で動作することを保証しながら、攻撃表面を大幅に減少させることを可能にする。本研究は、今後の拡張として、マルチコアシステムおよび動的優先度スケジューラ（EDFなど）への適用を目指すことを述べて締めくくられている。