PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

以下は、論文「PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs」の詳細な技術的サマリーです。

1. 問題定義

産業制御システム（ICS）は、水処理や電力網などの重要インフラ構成要素であり、サイバー物理攻撃に対して脆弱です。既存のアノマリー検出手法は、主にセンサーデータの時間領域の振幅値に依存しており、グラフニューラルネットワーク（GNN）、トランスフォーマ、または変分オートエンコーダ（VAE）などのアーキテクチャを使用しています。

核心的な欠陥： これらの手法は、前処理の過程でフーリエ位相スペクトルを通常は破棄してしまいます。しかし、物理システムにおいてセンサーは結合しており、それらの相互作用は単に値の大きさの類似性だけでなく、一貫したタイミング関係と同期によって定義されます。

• 課題： リプレイ攻撃（過去のデータの再生）や遅延注入などの攻撃は、現実的な振幅プロファイルを維持しつつ、センサー間の正確な位相同期を乱すことができます。時間領域の振幅のみに依存するモデルは、これらの微妙なタイミングの不一致を直接検出することに苦慮します。

2. 手法：PhaseNet++

PhaseNet++ は、位相関係を明示的にモデル化することでアノマリーを検出する、周波数領域のオートエンコーダです。これは多変量センサーデータのスライディングウィンドウ上で動作します。

A. 入力表現（STFT）

生時系列データではなく、モデルはセンサーウィンドウに対して**短時間フーリエ変換（STFT）**を適用します。

• **振幅（$M$）と位相（$\Phi$）**の両方のスペクトルを保持します。
• 位相スペクトルは第一級の信号として扱われ、振幅のみでは見逃されるウィンドウ内のタイミングオフセットを捕捉します。

B. 位相コヒーレンス指数（PCI）

センサーの物理的結合を活用するために、著者は神経科学からの位相ロック値（PLV）に触発された**位相コヒーレンス指数（PCI）**を導入します。

• メカニズム： すべてのセンサー対（$i, j$）間で、周波数ビン全体にわたるペアごとの位相の一貫性を計算します。
• 出力： 連続的な隣接行列 $A \in [0, 1]^{C \times C}$。
• 重要性： 正常動作下では、物理的に結合されたセンサーは安定した位相遅延を持ち、高い $A_{ij}$ となります。攻撃時（リプレイや遅延など）には、このコヒーレンスが崩れ、$A_{ij}$ が低下します。この行列は、グラフネットワークに対する物理情報に基づく空間的事前分布として機能します。

C. ネットワークアーキテクチャ

モデルは 4 つの段階を持つエンコーダ・デコーダ構造に従います。

1. スペクトル CNN 埋め込み： 軽量な 1 次元 CNN が、各センサーの振幅および位相スペクトルから特徴を独立して抽出します。
2. PCI 重み付きグラフアテンション（GAT）： グラフアテンションネットワークが埋め込みを洗練させます。重要なのは、**PCI 行列（$A_{ij}$）**がアテンション機構に直接乗算される点です。これにより、モデルはデータ相関から隣接関係を純粋に学習するのではなく、位相が同期しているセンサー間で優先的に情報を伝播するように強制されます。
3. センサー・トークン・トランスフォーマエンコーダ： トランスフォーマが、センサー次元全体にわたるグローバルなシステム構造を捕捉します（時間はスペクトル特徴に要約されているため、時間軸ではありません）。
4. デュアルヘッドデコーダ： 2 つの独立したヘッドが、振幅および位相スペクトルを再構成します。

D. 訓練目的

モデルは複合損失関数を最小化します。
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$（MSE）： 振幅に対する標準的な再構成誤差。
• $\mathcal{L}_{phase}$（円周損失）： ユークリッド距離の MSE ではなく、コサイン損失（$1 - \cos(\hat{\Phi} - \Phi)$）を使用します。これは位相の角度幾何学（$\pm \pi$ での巻き戻し処理）を尊重し、不連続性の誤差を防ぎます。
• $\mathcal{L}_{coh}$（コヒーレンス損失）： 再構成された位相から PCI 行列を再推定し、元の PCI と比較します。これにより、モデルが個々のセンサー値だけでなく、センサー間の同期性も保持することが保証されます。

3. 主要な貢献

1. 第一級の信号としての位相： ICS においてフーリエ位相を主要な検出特徴として扱い、標準的なユークリッドチャネルとして扱うのではなく、円周損失を用いて再構成する初の体系的な研究です。
2. グラフ構造としての PCI： 学習された埋め込みではなく、ペアごとの位相コヒーレンス（物理量）からグラフ隣接関係を導出する手法を導入し、物理ベースの事前分布をアテンション機構に注入します。
3. 効率的な帰納的バイアス： 位相認識コンポーネント（スペクトル CNN + PCI-GAT）は、合計 529 万パラメータのわずか**264,816 パラメータ（5.0%）**しか追加せず、位相モデル化が軽量ながら強力な強化であることを証明しています。
4. 新しい評価プロトコル： 著者は、ポイント調整を用いない厳格なウィンドウレベル評価を採用し、ポイント調整ヒューリスティックを使用する手法と比較して、モデルの内在的な識別能力をより保守的かつ現実的に評価しています。

4. 実験結果

Secure Water Treatment (SWaT) ベンチマークで評価されました。

• 性能：
  • F1 スコア： 90.98%
  • ROC-AUC： 95.66%
  • 平均精度（Average Precision）： 91.51%
• 比較：
  • F1 スコアは Anomaly Transformer（94.07%）よりわずかに低いですが、著者はこれがより厳格な評価プロトコル（ポイント調整なし）によるものであると指摘しています。
  • 同じ GDN プロトコル下では、PhaseNet++ は GDN（F1 90.98% 対 81.0%）を上回ります。
  • 高い ROC-AUC は、モデルのアノマリースコアが非常に識別力が高いことを示しています。ランキング指標と F1 スコアの間のギャップは、表現の質ではなく、閾値の較正がボトルネックであることを示唆しています。
• アブレーション： 位相認識フロントエンドまたは PCI グラフモジュールを除去すると、性能が著しく低下し、タイミングベースの攻撃を検出する上で位相コヒーレンスが不可欠であることを確認しました。

5. 意義と将来の方向性

• 科学的影響： この研究は、ICS セキュリティにおける時間領域振幅モデルの支配性に挑戦します。振幅統計を維持しつつタイミングを操作する攻撃（リプレイ、遅延注入など）を検出するために、位相コヒーレンスが補完的かつ重要な信号であることを実証しています。
• 実用的価値： この手法は軽量であり、最小限のパラメータオーバーヘッドで既存のオートエンコーダフレームワークに統合可能です。
• 将来の作業： 著者は、位相認識表現と振幅認識表現の融合、他のデータセット（WADI、BATADAL）での検証、およびランキング指標と F1 スコアのギャップを埋めるための適応的閾値設定戦略の開発を提案しています。

結論： PhaseNet++ は、物理プロセスの「タイミング」がフーリエ位相スペクトルに符号化されており、高度なサイバー物理攻撃を特定するための重要な信号であることを実証することで、ICS アノマリー検出の新たな方向性を確立しました。