PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

"PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs" 논문의 상세 기술 요약입니다.

1. 문제 제기

산업 제어 시스템 (ICS) 은 수처리, 전력망과 같은 사이버 - 물리 공격에 취약한 핵심 인프라 구성 요소입니다. 기존 이상 탐지 방법들은 주로 그래프 신경망 (GNN), 트랜스포머, 또는 변이 오토인코더 (VAE) 와 같은 아키텍처를 사용하여 센서 데이터의 시간 영역 진폭 값에 의존합니다.

핵심 격차: 이러한 방법들은 전처리 과정에서 푸리에 위상 스펙트럼을 일반적으로 폐기합니다. 그러나 물리 시스템에서 센서들은 결합되어 있으며, 그 상호작용은 유사한 값의 크기뿐만 아니라 일관된 타이밍 관계와 동기화에 의해 정의됩니다.

• 과제: 재플레이 공격(과거 데이터 재생) 이나 지연 주입과 같은 공격은 정교한 진폭 프로파일을 유지하면서 센서 간의 정밀한 위상 동기화를 방해할 수 있습니다. 시간 영역 진폭만 사용하는 모델은 이러한 미묘한 타이밍 불일치를 직접 탐지하는 데 어려움을 겪습니다.

2. 방법론: PhaseNet++

PhaseNet++ 는 위상 관계를 명시적으로 모델링하여 이상을 탐지하도록 설계된 주파수 영역 오토인코더입니다. 이는 다변량 센서 데이터의 슬라이딩 윈도우에서 작동합니다.

A. 입력 표현 (STFT)

원시 시계열 대신 모델은 센서 윈도우에 **단시간 푸리에 변환 (STFT)**을 적용합니다.

• **진폭 ($M$)**과 위상 ($\Phi$) 스펙트럼 모두를 유지합니다.
• 위상 스펙트럼은 1 급 신호로 취급되어, 진폭만으로는 놓치는 윈도우 내 타이밍 오프셋을 포착합니다.

B. 위상 일관성 지수 (PCI)

센서의 물리적 결합을 활용하기 위해, 저자들은 신경과학의 위상 고정 값 (PLV) 에서 영감을 받은 **위상 일관성 지수 (PCI)**를 도입합니다.

• 메커니즘: 모든 센서 쌍 ($i, j$) 간의 주파수 밴드에서 쌍별 위상 일관성을 계산합니다.
• 출력: 연속적인 인접 행렬 $A \in [0, 1]^{C \times C}$.
• 의미: 정상 작동 시 물리적으로 결합된 센서들은 안정적인 위상 지연을 가지므로 높은 $A_{ij}$를 보입니다. 공격 (예: 재플레이 또는 지연) 중에는 이 일관성이 깨져 $A_{ij}$가 감소합니다. 이 행렬은 그래프 네트워크를 위한 물리 기반 공간 사전 지식으로 작용합니다.

C. 네트워크 아키텍처

모델은 네 단계로 구성된 인코더 - 디코더 구조를 따릅니다:

1. 스펙트럼 CNN 임베딩: 각 센서의 진폭 및 위상 스펙트럼에서 경량 1D CNN 이 특징을 추출합니다.
2. PCI 가중 그래프 어텐션 (GAT): 그래프 어텐션 네트워크가 임베딩을 정제합니다. 핵심적으로 **PCI 행렬 ($A_{ij}$)**이 어텐션 메커니즘에 직접 곱해집니다. 이는 모델이 데이터 상관관계만으로 인접성을 학습하는 대신, 위상 동기화된 센서 간에 정보를 우선적으로 전파하도록 강제합니다.
3. 센서 토큰 트랜스포머 인코더: 트랜스포머는 센서 차원 전반의 글로벌 시스템 구조를 포착합니다 (시간은 스펙트럼 특징에 요약되었으므로 시간이 아님).
4. 듀얼 헤드 디코더: 두 개의 별도 헤드가 진폭과 위상 스펙트럼을 재구성합니다.

D. 학습 목적 함수

모델은 복합 손실 함수를 최소화합니다:
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$ (MSE): 진폭에 대한 표준 재구성 오차.
• $\mathcal{L}_{phase}$ (원형 손실): 유클리드 MSE 대신 코사인 손실 ($1 - \cos(\hat{\Phi} - \Phi)$) 을 사용합니다. 이는 위상의 각도 기하학을 존중하여 ($\pm \pi$에서의 감김 처리) 불연속 오차를 방지합니다.
• $\mathcal{L}_{coh}$ (일관성 손실): 재구성된 위상에서 PCI 행렬을 다시 추정하여 원래 PCI 와 비교합니다. 이는 모델이 개별 센서 값뿐만 아니라 센서 간 동기화를 보존하도록 보장합니다.

3. 주요 기여

1. 1 급 신호로서의 위상: ICS 에서 푸리에 위상을 주요 탐지 특징으로 취급하고, 표준 유클리드 채널로 취급하는 대신 원형 손실로 재구성하는 최초의 체계적 연구입니다.
2. 그래프 구조로서의 PCI: 학습된 임베딩이 아닌 쌍별 위상 일관성(물리량) 에서 그래프 인접성을 유도하는 방법을 도입하여, 어텐션 메커니즘에 물리 기반 사전 지식을 주입합니다.
3. 효율적인 귀납적 편향: 위상 인식 구성 요소 (스펙트럼 CNN + PCI-GAT) 는 총 529 만 파라미터 중 **264,816 개 (5.0%)**만 추가하여, 위상 모델링이 경량이지만 강력한 향상임을 입증했습니다.
4. 새로운 평가 프로토콜: 저자들은 점 조정 (point-adjustment) 이 없는 엄격한 윈도우 수준 평가를 채택하여, 점 조정 휴리스틱을 사용하는 방법보다 모델의 고유한 판별 능력을 더 보수적이고 현실적으로 평가합니다.

4. 실험 결과

Secure Water Treatment (SWaT) 벤치마크에서 평가됨:

• 성능:
  • F1 점수: 90.98%
  • ROC-AUC: 95.66%
  • 평균 정밀도: 91.51%
• 비교:
  • F1 점수가 Anomaly Transformer(94.07%) 보다 약간 낮지만, 저자들은 이는 엄격한 평가 프로토콜(점 조정 없음) 에 기인한다고 지적합니다.
  • 동일한 GDN 프로토콜 하에서 PhaseNet++ 은 GDN(90.98% 대 81.0% F1) 을 능가합니다.
  • 높은 ROC-AUC 는 모델의 이상 점수가 매우 판별력이 있음을 나타내며, 순위 지표와 F1 사이의 격차는 표현의 질이 아닌 임계값 보정 문제임을 시사합니다.
• 절대 실험: 위상 인식 프론트엔드나 PCI 그래프 모듈을 제거하면 성능이 크게 저하되어, 타이밍 기반 공격 탐지를 위해 위상 일관성이 필수적임을 확인합니다.

5. 의의 및 향후 방향

• 과학적 영향: 이 연구는 ICS 보안에서 시간 영역 진폭 모델링의 지배력을 도전합니다. 진폭 통계를 유지하면서 타이밍을 조작하는 공격 (예: 재플레이, 지연 주입) 을 탐지하기 위해 위상 일관성이 보완적이고 중요한 신호임을 입증합니다.
• 실용적 가치: 이 방법은 경량화되어 있으며, 최소한의 파라미터 오버헤드로 기존 오토인코더 프레임워크에 통합될 수 있습니다.
• 향후 작업: 저자들은 위상 인식 및 진폭 인식 표현의 융합, 다른 데이터셋 (WADI, BATADAL) 에 대한 검증, 그리고 순위 지표와 F1 점수 간의 격차를 해소하기 위한 적응형 임계값 전략 개발을 제안합니다.

결론: PhaseNet++ 은 푸리에 위상 스펙트럼에 인코딩된 물리 과정의 "타이밍"이 정교한 사이버 - 물리 공격을 식별하는 데 필수적인 신호임을 입증함으로써, ICS 이상 탐지를 위한 새로운 방향을 제시합니다.