論文「Data Poisoning Attacks on Informativity for Observability: Invariance-Based Synthesis」の技術的サマリー

1. 概要

本論文は、データ駆動制御（Data-driven Control）における**「データの情報性（Informativity）」を標的としたサイバー攻撃、特に「強観測性（Strong Observability）」**の破綻に焦点を当てています。攻撃者が有限の時間系列データを、可逆な線形変換によって後処理し、変換後のデータセットから導かれるモデル集合に「観測不能な状態」を埋め込む攻撃手法を提案しています。この攻撃により、元のデータが持つ情報性が失われ、観測性に基づく制御設計や分析が不可能になることを示しています。

2. 問題設定と背景

背景

データ駆動制御では、特定のモデルを同定することなく、測定データから直接システムの性質（安定性、観測性、制御性など）を分析し、制御器を合成します。この際、「データの情報性」が理論的基盤となります。つまり、データが特定の制御タスク（ここでは観測性）を解くのに十分かどうかを、データと整合するすべてのモデル集合に対して判定します。
従来の研究では、ランダムなノイズ下ではデータの情報性を意図的に破ることは困難とされてきましたが、サイバー物理システム（CPS）において、プロセスノイズや測定ノイズを模倣した高度なデータ改ざん（データポイズニング）が可能であることが懸念されています。

問題定義

• 対象システム: 線形時不変システム（状態 $x_k$、入力 $u_k$、出力 $y_k$、ノイズ $w_k$）。
• 攻撃者の能力: 攻撃者は事前学習用のデータ行列（$X_-, X_+, U_-, Y_-$）にアクセス可能であり、これらに対して可逆なブロック対角線形変換 $\Phi_a$ を適用して改ざんデータ $\tilde{D}$ を生成できる。
• 攻撃の目的: 変換後のデータ $\tilde{D}$ に対して、強観測性の情報性が失われるようにすること。具体的には、変換後のデータから導かれる「データ駆動型弱観測不能部分空間（Data-driven weakly unobservable subspace）」に、ゼロでない状態ベクトル $\tilde{x}_0$ を埋め込むこと。
• 要件: 攻撃は「ステルス性」を持つ必要がある。つまり、元のデータのランクや励起の持続性（Persistency of Excitation）を維持し、単純なランク低下による検知を回避しなければならない。

3. 主要な手法と理論的枠組み

3.1 幾何学的アプローチと不変部分空間

論文は、アフィンモデル集合における強観測性の幾何学的特徴付け（不変部分空間に基づく）を利用しています。

• 弱観測不能部分空間 $V^*$: 特定の初期状態から、適切な入力を用いて出力を常にゼロにできる状態の集合。
• 係数空間 $J^*(D)$: データ行列 $X_-$ の線形結合係数として、弱観測不能な軌道を生成できるベクトルの集合。
• 情報性の判定: データ $D$ が強観測性について情報的であるための必要十分条件は、$J^*(D) \subseteq \ker P(D)$（ここで $P(D)=X_-$）であること。つまり、観測不能な係数ベクトルが存在しても、それが状態空間でゼロ状態に対応していなければならない。

3.2 攻撃の設計（Constructive Attack Design）

攻撃者は、以下の手順で変換行列 $\Phi_a$ を設計します。

1. 目標状態の選定: 攻撃者が意図する「悪意ある固有対 $(\tilde{\lambda}, \tilde{x}_0)$」を指定します。ここで $\tilde{x}_0$ は観測不能な状態です。
2. 係数ベクトルの選択: 元のデータ空間 $J^*(D)$ に属さない係数ベクトル $v$ を選択し、これが変換後のデータで観測不能な方向となるようにします。
3. 変換行列の構成: 各データ行列 $Z \in \{X_-, X_+, U_-, Y_-\}$ に対して、ベクトル $Zv$を目標ベクトル$z_{tar}$に写像する可逆な線形写像$\Phi_Z$ を構成します。
   • 具体的には、$\Phi_Z = I + (z_{tar} - Zv)\xi_Z^T$ の形式を用います。
   • $\xi_Z$ は、元の弱観測不能方向 $J^*(D)$ には影響を与えず（$\xi_Z^T Z w = 0, \forall w \in J^*(D)$）、かつ $Zv$方向に変換を適用する（$\xi_Z^T Z v = 1$）ように設計されます。
4. 結果: この変換により、変換後のデータ $\tilde{D}$ に対して $J^*(\tilde{D})$ が拡大し、$\tilde{x}_0 = \tilde{X}_- v \neq 0$ が $V^*(\tilde{D})$ に含まれるようになります。これにより、強観測性の情報性が失われます。

3.3 最小ノルム攻撃（Minimum-Norm Attack）

攻撃の検知性をさらに下げるため、データ改ざんの最小化（最小ノルム）を目的とした最適化問題を定式化しました。

• 目的関数: 改ざんデータと元データの差 $\|\Delta D\|_F$ を最小化。
• 最適化変数: 攻撃固有値 $\lambda$、係数ベクトル $v$、および変換パラメータ。
• 定式化: 特定の制約（$\Delta X_- = 0, \Delta U_- = 0, \Delta Y_- = 0$ など）の下で、$\|\Delta X_+\|_F$ を最小化する問題として解かれます。
• 結果: この問題は、データ駆動 Hautus テスト（観測性判定条件）に関連する行列ペンシル $\lambda X_- - X_+ + B U_-$ の残差を最小化する問題と等価であり、元のデータが観測性の境界にどの程度近いか（$d_{UNOBS}(\Sigma(D))$）によって、必要な最小改ざん量が決定されます。

4. 主要な貢献

1. 攻撃の構成と存在条件の導出:
   • 強観測性の情報性を破壊する具体的な可逆線形変換の構成法を提案しました。
   • 攻撃が可能となるための幾何学的およびランク条件（Proposition 1）を導出しました。これにより、与えられたデータセットが変換ベースの改ざんに脆弱かどうかをデータのみで判定できます。
2. 最小ノルム攻撃と脆弱性指標:
   • 情報性を破壊するために必要な最小のデータ歪みを定量化する最適化問題を提案しました。
   • この最小ノルム値は、データ駆動認証の「頑健性指標（Robustness Metric）」として機能し、システムが観測不能なモデル集合にどの程度近いかを示します。
3. 理論的保証:
   • 提案された攻撃により、変換後のデータセットは依然としてランクを保持し（ステルス性）、しかし強観測性の判定は失敗し、観測不能なモデルがモデル集合に混入することを証明しました（Theorem 1）。

5. 数値実験結果

• シミュレーション環境: 5 状態の線形ダイナミカルネットワーク（ライントポロジー）を使用。
• 結果:
  • 非常に小さなノルム（相対誤差 0.37%）の変換で、強観測性の情報性を完全に破壊することに成功しました。
  • 攻撃エネルギーは、観測ノード（$y_1, y_2$）に近いノード（特にノード 2 と 3）に集中しました。これは、ネットワークトポロジーにおいて、観測ノードに近いノードを改ざんすることで、少ないエネルギーで観測性を低下させられることを示しています。
  • 埋め込まれた悪意ある固有対は、元のシステムとは異なる振る舞いをする観測不能モードとして機能しました。

6. 意義と結論

本論文は、データ駆動制御のセキュリティにおける新たな脅威を明らかにしました。

• 理論的意義: データ駆動制御の「情報性」が、可逆な線形変換によって意図的に破壊され得ることを初めて示しました。
• 実用的意義: 最小ノルム攻撃の定式化は、システム設計者が自身のデータセットがどの程度攻撃に脆弱かを評価するための定量的な指標を提供します。
• 今後の課題: 本手法は観測性に焦点を当てていますが、制御性や安定化可能性への攻撃への拡張、および不変部分空間の変換に基づく攻撃検知・データ復元手法の開発が今後の課題として挙げられています。

総じて、この研究はデータ駆動制御が直面する潜在的なサイバーリスクを理論的に解明し、より堅牢なシステム設計の必要性を強く示唆する重要な成果です。