技術要約：時系列基盤モデルを用いた攻撃検知

問題提起

本論文は、オペレーターがプラントのモデル（構造もパラメータも）に関する知識を一切持たないサイバー物理システム（CPS）における、サイバー攻撃の検知という課題に取り組んでいる。シナリオとして、ネットワーク経由でセンサー計測値を送信する遠隔地のプラントを想定しており、そのネットワークは改ざんに対して脆弱である。著者らは、以下の2つの特定の攻撃クラスに焦点を当てている：

1. モデルフリー・リプレイ攻撃： 攻撃者が記録された正当なデータを再生する攻撃（例：Stuxnet型）。これにはシステムに関する知識を必要としない。
2. モデルベースのステルス攻撃： 完全なシステム知識を持つ攻撃者が、一次的なモデルベースの$\chi^2$検知器を回避しつつ、状態推定値を最大限に偏らせるように入力を設計する攻撃。

核心となる研究課題は、時系列基盤モデルが、これらの攻撃（特に従来のモデルベースの検知器 $g_p$ を回避するように設計されたもの）を特定するための「モデル構造に依存しない」二次的な検知器（$g_s$）として機能し得るかという点である。

手法

1. 最適なステルス攻撃の構築

厳格なベースラインを確立するために、著者らはまず、一次の$\chi^2$検知器に対する最適ステルス攻撃ポリシーの閉形式（closed-form）の表現を導出している。

• 線形時不変（LTI）システム： 静的なオブザーバ（例：リューネバーガー・オブザーバや定常カルマンフィルタ）を用いるシステムに対し、検知統計量が規定の確率以下に留まるという制約条件下で、推定誤差を最大化する攻撃ベクトルを導出している。
• 非線形システム： 拡張カルマンフィルタ（EKF）を採用しているシステムに対し、偏差ダイナミクスの一次線形化を用いて近似的な閉形式の解を導出している。
• 重要な洞察： これらの導出された攻撃は、攻撃者が完全なモデル知識を持っていることを前提として、数学的に一次のモデルベース検知器（$g_p$）に対してステルスであることが保証されている。

2. TimesFMベースの検知アルゴリズム

提案手法では、モデルベースの残差生成器を、Google Researchが開発した時系列基盤モデルであるTimesFMに置き換える。

• ゼロショット動作： TimesFMは、特定のプラントデータに対する学習、ファインチューニング、または再学習を行うことなく動作する。これは、数十億の多様な時系列データポイントを用いた事前学習を活用しているためである。
• サロゲート残差生成： アルゴリズムは、TimesFMの予測をシステムの期待される振る舞いの代用（サロゲート）として扱う。残差は、実際の（潜在的に汚染された）センサー計測値とTimesFMの予測との差として定義される。
• 検知統計量： これらの予測残差に対して$\chi^2$検定が適用される。
• 緩和メカニズム： 攻撃が検知された場合、アルゴリズムは汚染された計測値をTimesFMの点予測に置き換えることができ、古典的なセンサー冗長性の仮定が崩れた際の冗長性の代替として機能する。

アルゴリズムのワークフロー：

1. ウォームアップ： TimesFMは過去のデータウィンドウを観察して予測を形成する。
2. 共分散推定： クリーンなデータウィンドウを使用して、定常動作時における予測残差の共分散を推定する。
3. オンライン検知： $\chi^2$統計量が計算される。アラームが発生した場合、バッファは汚染された計測値で更新されず、将来の予測への汚染を防ぐ。

主な貢献

1. 最適ステルス攻撃ポリシーの閉形式： 本論文は、攻撃者が完全なモデル知識を持っていると仮定した場合の、$\chi^2$検知器に対する最適ステルス攻撃の初の閉形式の表現を提供している。
2. モデル構造に依存しない検知： 著者らは、明示的なシステムモデルを必要としないTimesFMに基づく検知器を提案し、検証している。この検知器はゼロショットで動作し、タスク固有の学習やハイパーパラメータ調整を必要とする従来のデータ駆動型手法とは一線を画している。
3. ステルス攻撃に対する堅牢性： モデルベースの検知器に対して完全にステルスとなるよう設計された攻撃であっても、TimesFMベースの検知器によって確実に検知されることを本論文は示している。これは、TimesFMがモデルベースの攻撃者が利用する特定の「イノベーション構造」を欠いていることに起因する。
4. 予測による緩和： 本研究は、TimesFMの予測が汚染された計測値を代替できることを経験的に示しており、センサーの冗長性が損なわれた場合でも（例：$N-2M$個のセンサー）堅牢な状態推定を可能にする。

実験結果

提案手法の有効性は、以下の2つのシステムで検証された。

1. 非減衰質量・ばね系（線形）

• リプレイ攻撃： TimesFM検知器は0.5%の誤報率（FAR）（オブザーバベースの検知器の2.8%と比較）を達成し、攻撃中を通じて検知を維持したが、オブザーバベースの検知器のアラームは断続的であり、ノイズと区別がつかなかった。
• ステルス攻撃： 定理1を用いて構築された攻撃は、EKFベースの検知器では検知不可能であった（FARは定常レベルを維持）が、TimesFMでは一貫して検知された。
• 単一センサー攻撃： 利用可能な唯一のセンサーが侵害されたシナリオ（標準的な冗長性を違反）において、TimesFMで保護されたオブザーバは、保護されていないオブザーバよりも大幅に低い状態再構成誤差を達成した。
• 適応型攻撃者： 両方の検知器を同時に回避するためにSPSAを使用する適応型攻撃者に対し、TimesFM検知器の存在は、モデルベースの検知器のみを標的とした攻撃と比較して、攻撃の影響を91倍減少させた。

2. IEEE 14バス電力系統（非線形）

• セットアップ： 14バスと20本の送電線を持つ非線形スイング方程式モデル。
• リプレイ攻撃： TimesFMは攻撃の全期間を通じて一貫してアラームを上げた。EKFベースの検知器は、リプレイされたデータがモデルベースの残差において定常状態と区別がつかなくなる初期段階でのみ攻撃を検知した。
• ステルス攻撃： 定理2による非線形攻撃ポリシーを用いた場合、EKF検知器はアラームを上げなかった。対照的に、TimesFMはすべての試行において攻撃を検知した。
• 統計的妥当性： シャピロ＝ウィルク検定により、定常動作時における予測残差が近似的にガウス分布に従うことが確認され、$\chi^2$検定統計量の使用が正当化された。

意義と主張

著者らは、本研究をCPSセキュリティにおける**防御の層（Defense-in-depth）**への重要な一歩として位置づけている。「チーズスイスモデル」に着想を得た、TimesFM検知器を「第二層の防御」と位置付けることで、以下のことを主張している：

• モデルフリーの利点： 明示的なシステムモデルに依存する従来の検知器とは異なり、TimesFMはその閉形式のイノベーション構造を持たないため、モデルベースの攻撃者がステルス攻撃を構築することが本質的に困難である。
• プラグアンドプレイ能力： TimesFMのゼロショット特性により、再学習やシステム同定の必要がなくなり、モデル知識が得られない、あるいは信頼できない一般的な非線形システムに対する実用的なソリューションとなる。
• 検知を超えて： 本論文は、基盤モデルが検知器としてだけでなく、センサーの冗長性が損なわれた際に状態推定を回復するための実用的な緩和ツールとしても機能できることを主張している。

結論として、著者らは、これが著者らの知る限り、ノイズが存在する状況下で、リプレイ攻撃とモデルベースのステルス攻撃の両方を処理できる、基盤モデルベースのモデル構造フリーなゼロショット検知器を提案した最初の研究であるとしている。