技術要約：電力網におけるFDIA防御のための疑似特徴量パディング（Pseudo-Feature Padding）

1. 問題提起

深層ニューラルネットワーク（DNN）は、誤ったデータ注入攻撃（FDIA）を検知するための状態推定において、サイバー物理システム（CPS）、特に電力網への導入が進んでいます。しかし、電力網特有のインフラ構造により、これらのDNNは巧妙な敵対的摂動に対して脆弱になります。従来の防御メカニら（残差ベースの検知器や標準的な機械学習分類器など）は、FDIAベクトルがステルス条件 $Ba = 0$（$B$ は投影残差行列）を満たすように構築されるため、汚染された計測値が正当なものと区別できなくなるという性質があり、しばしば失敗します。

既存の防御戦略には、以下のような重大な限界があります：

• 敵対的学習および蒸留（Adversarial Training and Distillation）： これらの手法は、トレーニング・パイプラインやモデル・アーキテクチャの大幅な変更を必要とする場合が多く、計算負荷も高くなる可能性があります。また、攻撃者が最小限の摂動サイズよりもステルス性を優先するCPSの設定では、性能が低下することがあります。
• 固定パディング（例：ゼロパディング）： シンプルではありますが、攻撃者がパディング値を把握しているホワイトボックス・シナリオにおいては、攻撃者がその知識を利用して転移可能な攻撃を生成できるため、脆弱です。
• ハードウェアの制約： 提案されている解決策の多くは、センサーの再配置やハードウェアの変更を必要としますが、分散型のCPS環境においては非現実的です。

核心となる課題は、基盤となるDNNの良質なデータに対する性能を損なうことなく、攻撃者が依存する構造的条件を打破できる、軽量でモデルに依存しない防御策を開発することです。

2. 手法：疑似特徴量パディング（Pseudo-Feature Padding）

本論文では、疑似特徴量パディングフレームワークを提案しています。このアプローチは、入力データ自体の統計分布から導出された「疑似特徴量」を用いて入力サンプルを動的に拡張する、追加の入力層を導入します。

コアメカニズム

1. 特徴量の重要度分析： 各入力サンプルに対し、決定木などのツリーベースのモデルを使用して、特徴量の重要度をランク付けします。閾値 $\theta$ を下回る特徴量は、「重要度が低い（低サリエンス）」と特定されます。
2. 統計分布の適合： データセット全体にわたり、各特徴量に対して統計分布を事前に適合させます。
3. 動的パディング生成：
   • 学習時： 各サンプルに対し、特定された低重要度の特徴量に対応する適合済み分布から疑似特徴量をサンプリングし、これらを元の入力と結合することで、サンプルあたりの拡張されたバリアントを複数作成します。
   • 推論時： クリーンなサンプルまたは敵対的サンプルが提示される際、新しい疑似特徴量ベクトルをサンプリングして結合します。これにより、推論中の入力構造が予測不能に変化することを保証します。
4. 数学的破壊：
   • 標準的なFDIAでは、攻撃者は $Ba = 0$を満たすようなベクトル$a$を構築します（ここで$B = P - I$であり、$P$はシステム・ヤコビアン$H$ の列空間への投影行列です）。
   • 提案されたパディングは、システム行列を $H' = [H | P_{pad}]$ に変換します（$P_{pad}$ はサンプリングされた疑似特徴量を含みます）。
   • これにより、投影行列が $P'$ に、残差行列が $B'$ に変化します。その結果、零空間の構造が変化します（$N(B) \neq N(B')$）。$Ba=0$を満たすように設計された攻撃ベクトル$a$は、パディングされた特徴量が構造的不確実性を導入し、零空間をシフトさせるため、一般に$B'a'=0$ を満たすことができなくなります。
   • 推論時に疑似特徴量がランダムにサンプリングされるため、攻撃者が有効なシステム行列 $H'$ を再構成することは計算上不可能であり、設計された摂動の転移性を無効化します。

アルゴリズムの概要

本フレームワークは、前処理ステップとして動作します：

1. 特定のサンプルに対する低重要度の特徴量を特定する。
2. 事前に適合させた分布から合成値をサンプリングする。
3. これらの値を元の入力ベクトルに結合する。
4. 拡張されたベクトルを既存のDNNアーキテクチャに投入する。

3. 主な貢献

本論文は、以下の主要な貢献を述べています：

• 斬新な防御戦略： 入力を疑似特徴量でパディングすることで、入力の次元数を増加させ、正確な攻撃ベクトルの生成を困難にすることで、FDIAの影響を軽減する手法。
• モデル非依存性と展開可能性： 本フレームワークは軽量であり、コアとなるDNNアーキテクチャの変更を必要としないため、既存のCPS検知パイプラインへの容易な統合が可能である。
• ハードウェア・オーバーヘッドなし： すべての物理センサーを保護することは非現実的であるという問題に対し、データ処理レイヤーのみで動作することで、センサーの再配置を必要とせずに解決する。
• 性能の維持： 本手法は、ベースラインモデルと比較して精度低下をほとんど伴わずに、DNNの性能の完全性を維持する。
• 包括的な検証： 提案フレームワークは、敵対的な設定下での4つの標準的なIEEEテストシステム（14バス、30バス、118バス、300バス）を用いたシミュレーションを通じて検証されている。

4. 実験結果

本フレームワークは、MATPOWERを用いて生成されたデータセットに対し、フィードフォワードDNN（4層の全結合層）を用いて評価されました。評価では、提案手法を、Plain DNN、敵対的学習（Adversarial Training）、敵対的蒸留（Adversarial Distillation）、およびゼロパディングと比較しました。

• 検知精度： 提案された疑似特徴量パディングは、ベースラインおよび他の防御手法と比較して、大幅に高い攻撃検知精度を達成しました。例えば、14バスシステムにおいて、敵対的学習（62.0%）やゼロパディング（93.5%）を上回る**94.2%**の精度を達成しました。同様の高パフォーマンスが、30、118、300バスのシステム全体でも観察されました（92.0%から96.1%の範囲）。
• 堅牢性指標：
  • Bias L2-Norm： 提案手法は、より高いBias L2-Norm値をもたらしました（例：14バスにおいて、敵対的学習の50.6に対し、提案手法は168.7）。これは、モデルが攻撃による大きな偏差を正常に検知したことを示しています。
  • Valid L2-Norm： 本手法は、より低いValid L2-Norm値をもたらしました（例：14バスにおいて、敵対的学習の113.7に対し、提案手法は55.1）。これは、敵対的摂動の実質的な強さが中和されたことを示唆しています。
• スケーラビリティ： システムサイズが増加しても（14バスから300バスへ）、性能は向上または安定しており、フレームワークのスケーラビリティを実証しました。
• 計算オーバーヘッド： 特徴量生成とパディングのステップにより、学習時間はわずかに増加しましたが（Plain DNNの10秒に対し35秒）、推論コストは依然として低く（0.9ms）、全体のオーバーヘッドは「低〜中（Low-Mod）」と分類され、敵対的学習の「高（High）」なオーバーヘッドよりも大幅に優れています。

5. 重要性と主張

本論文は、物理的なセンサーのセキュリティ確保が不可能な、現実世界のCPSアプリケーションにおいて、疑似特徴量パディングが実用的かつ効果的な防御策を提供すると主張しています。

• 攻撃メカニズムの破壊： ランダム化されたデータ駆動型のパディングを導入することで、攻撃者がパディング値を事前に知ることなく、ステルス条件（$Ba=0$）を維持する能力を打破します。
• 転移性の緩和： 推論時における非決定的な性質により、あるモデルインスタンスに対して作成された敵対的例が、別のインスタンスへ効果的に転移することを防ぎます。これはホワイトボックス攻撃における共通の弱点です。
• 実用性： ハードウェアの変更や複雑なアーキテクチャの再学習を必要とする手法とは異なり、このアプローチは軽量な前処理ステップであり、元のモデルの構造を保持します。
• 限界： 著者らは、現在の研究が、攻撃者がモデルは知っているがパディングは知らないというホワイトボックスの脅威に焦лоしていることを認めています。適応的および部分的情報を用いた攻撃については今後の課題として挙げられていますが、非決定的なパディングはそれらに対しても堅牢性を提供すると期待されています。

結論として、本論文は、統計的に導出された疑似特徴量で入力データを拡張することが、電力網におけるFDIAに対するDNNの堅牢性を高めるための、高精度の検知、低計算コスト、および容易な展開のバランスが取れた有効な戦略であることを示しています。