System-aware contextual digital twin for ICS anomaly diagnosis

以下は、論文「System-Aware Contextual Digital Twin for ICS Anomaly Diagnosis (SCDT)」の詳細な技術的サマリーです。

1. 問題定義

産業制御システム（ICS）は、電力網や水道処理などのインフラにとって不可欠ですが、サイバー攻撃に対してますます脆弱になっています。既存の異常検知手法には、主に 2 つの限界があります。

• 教師あり手法: 広範なラベル付き攻撃データを必要としますが、そのようなデータは不足しており、偏在しており、攻撃戦略の進化によりすぐに陳腐化します。
• 教師なし/モデルベース手法: ラベル依存を回避しますが、しばしば大域的な統計的逸脱に依存します。ICS は文脈依存性（sensor reading が特定のアクチュエータ構成では「正常」だが、別の構成では「異常」である）を有しているため、これらの手法はそれを考慮できません。その結果、これらの手法は誤警報率が高く、オペレーターが迅速に根本原因を診断するために必要な解釈性を欠いています。

核心的な課題は、ラベル付き攻撃データに依存することなく、統計的検知と実行可能で文脈を考慮した診断の間のギャップを埋めることです。

2. 手法：SCDT フレームワーク

著者らは、軽量なオンライン検知と大規模言語モデル（LLM）駆動の推論を組み合わせる、2 段階の教師なしフレームワークである**SCDT（System-aware Contextual Digital Twin）**を提案します。

A. 中核概念：センサー - アクチュエータ組み合わせ（S-AC）

SCDT は、ICS の挙動が閉ループ制御によって支配されていることを認識します。センサーの軌跡は、特定のアクチュエータ構成に対してのみ正常です。システムは、「文脈」を、時間ウィンドウの開始時に観測される結合アクチュエータ状態として定義します。

B. 段階 1：教師なし検知（「デジタルツイン」の中核）

この段階は、攻撃ラベルなしで正常動作の「挙動エンベロープ」を学習します。

1. 特徴抽出:
   • 中核特徴（8 次元）: 効率的なクラスタリングに使用される統計的指標（平均、振幅、標準偏差、RMSE、第 1/第 2 階差、負のジャンプ、スペクトルエネルギー）。
   • 拡張記述子（13 次元）: 最小/最大値とセグメントごとの傾き（初期/中期/後期の傾向）を含み、詳細なルール構築と説明に使用されます。
2. 多段階ルールクラスタリング:
   • レベルグループ化: 異なるレジームの混合を防ぐため、運転レベル（例：タンクの高さ）ごとにデータを分割します。
   • UMAP と HDBSCAN: 次元削減（UMAP）に続いて密度ベースのクラスタリング（HDBSCAN）を使用し、各レベルグループ内で異なる運転モードを識別します。
   • ルール構築: 各クラスタ（モード）に対して、システムは分位エンベロープ（許容範囲を定義）と頑健な対角距離モデル（中央値と四分位範囲を使用）を構築し、逸脱を測定します。
3. 推論とスクリーニング:
   • 検索: 現在のウィンドウのアクチュエータ状態を学習されたルールと照合します。完全な一致がない場合、個々のアクチュエータ状態に基づいてルールを集約するアクチュエータ - センサー（S-A）インデックスにフォールバックします。
   • 判定: ウィンドウが分位エンベロープ内、または緩和された距離閾値内にある場合、正常としてフラグ付けされます。曖昧なケース（未見の文脈）は、強制分類ではなく、LLM による仲裁のために明示的にマークされます。

C. 段階 2：LLM 駆動の診断（「文脈的」レイヤー）

この段階は、数値的な検知証拠を人間が読み解ける、根拠のある仮説に変換します。

1. 主要 LLM（ルール生成）:
   • 各クラスタの統計的特徴を分析し、意味ルール（例：「バルブ A が開いている場合、タンクレベルは変動が少なく安定しているはずである」）を生成します。
   • これらのルールは、数値エンベロープ alongside 自然言語テキストとして保存されます。
2. 二次 LLM（診断と仲裁）:
   • 診断モード: 異常が検知された場合、LLM は現在のアクチュエータ状態、特定の違反ルール、逸脱指標を受け取ります。そして、なぜその挙動が異常なのかを説明するナラティブを生成します（例：「タンクレベルが急速に上昇しており、閉鎖されたバルブ状態と矛盾する」）。
   • 仲裁モード: 決定論的検知器が曖昧な場合（例：未見のアクチュエータ組み合わせ）、LLM は裁判官として機能し、現在のウィンドウを集約された S-A 期待値と比較して最終判断を下します。

3. 主要な貢献

• システム認識型教師なし診断: センサー - アクチュエータ文脈を中心に異常検知を定式化し、攻撃ラベルなしで閉ループ制御の不変ルールを学習できるようにします。
• LLM 根拠に基づく説明: 異常スコアを提供するだけでなく、LLM が統計的逸脱を実行可能で根拠のある仮説および検証ステップに変換する、新たなパイプラインを導入します。
• 頑健な曖昧さ処理: 低信頼度の文脈マッチングを「曖昧」として明示的に扱い、決定を強制しないことで安全性を向上させます。未見のシナリオに対処するため、階層的検索戦略（完全な S-AC → 部分的 S-A）を使用します。
• リアルタイム設計: 速度のために軽量な統計的スクリーニング（エンベロープ/距離）を活用し、LLM 推論を診断または仲裁時のみに留めることで、展開の実現性を確保します。

4. 実験結果

このフレームワークは、3 つの公開 ICS ベンチマーク：SWaT（水道処理）、WADI（水道配管）、HAI（ハードウェアインザループ）で評価されました。

• 性能:
  • SWaT: ベースラインの中で最高の**リコール（83.09%）とF1 スコア（89.17%）**を達成し、安定した文脈における異常に対する高い感度を実証しました。
  • WADI と HAI: 最高クラスの精度（それぞれ 89.68% と 90.07%）と 2 番目に良い F1 スコアを達成しました。
  • トレードオフ: SCDT は、いくつかの高リコールベースラインよりも保守的であり、誤警報が少ない（高精度）一方で、堅牢な検知品質を維持しています。
• 解釈性:
  • ケーススタディ（例：SWaT プロセス 1）では、SCDT が根本原因（例：タンクオーバーフローを強制する侵害されたバルブ）を正しく特定し、センサー異常を特定のアクチュエータ故障に結びつける一貫したナラティブを提供することが示されました。
  • 生センサーデータが曖昧に見える場合でも、LLM はアクチュエータ状態に基づいて正常および異常なレジームを正しく区別しました。

5. 意義

• ギャップの埋め合わせ: SCDT は、産業制御ロジックに特化した説明可能な AIを提供することで、従来の教師なし検知器の「ブラックボックス」問題を解決します。
• 運用上の安全性: 曖昧な文脈を明示的に処理し、根拠のある仮説を提供することで、オペレーターの認知的負荷を軽減し、重要な事象への対応遅延を防ぎます。
• スケーラビリティ: モジュール設計により、LLM 診断レイヤーを他の検知バックボーンに接続可能であり、ラベル付き攻撃データを必要とせずに、複雑な産業環境における解釈性を向上させるための多用途ツールとなります。
• 将来性: このアプローチは、静的な統計モデルを超えて、動的で文脈を考慮した推論へと移行し、進化し続ける産業プロセスや新たな攻撃ベクトルへの適応に不可欠です。