PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

1. Probleemstelling

Industriële Besturingssystemen (ICS) zijn kritieke infrastructuurcomponenten (bijvoorbeeld waterzuivering, elektriciteitsnetwerken) die kwetsbaar zijn voor cyber-fysische aanvallen. Bestaande methoden voor anomaliedetectie vertrouwen voornamelijk op amplitudewaarden in het tijdsdomein van sensordata, waarbij architecturen zoals Graph Neural Networks (GNN's), Transformers of Variational Autoencoders (VAE's) worden gebruikt.

De Kernkloof: Deze methoden gooien doorgaans het Fourier-fasespectrum weg tijdens de voorverwerking. Echter, in fysische systemen zijn sensoren gekoppeld; hun interacties worden niet alleen gedefinieerd door vergelijkbare waarden van grootte, maar door consistente tijdsrelaties en synchronisatie.

• De Uitdaging: Aanvallen zoals replay-aanvallen (het afspelen van oude data) of vertraginginjectie kunnen realistische amplitudeprofielen behouden terwijl ze de precieze fasesynchronisatie tussen sensoren verstoren. Modellen die alleen kijken naar amplitude in het tijdsdomein, worstelen om deze subtiele tijdsinconsistenties direct te detecteren.

2. Methodologie: PhaseNet++

PhaseNet++ is een autoencoder in het frequentiedomein die is ontworpen om anomalieën te detecteren door expliciet faserelaties te modelleren. Het werkt op schuifvensters van multivariate sensordata.

A. Input Representatie (STFT)

In plaats van ruwe tijdreeksen, past het model de Short-Time Fourier Transform (STFT) toe op sensorenvensters.

• Het behoudt zowel het Magnitude ($M$) als het Phase ($\Phi$) spectrum.
• Het fasespectrum wordt behandeld als een signaal van de eerste orde, wat tijdsverschillen binnen het venster vastlegt die alleen door amplitude worden gemist.

B. Phase Coherence Index (PCI)

Om de fysische koppeling van sensoren te benutten, introduceren de auteurs een Phase Coherence Index (PCI), geïnspireerd op de Phase Locking Value (PLV) uit de neurowetenschap.

• Mechanisme: Het berekent de paarwijze faseconsistentie over frequentiebins tussen elk paar sensoren ($i, j$).
• Output: Een continue burenmatrix $A \in [0, 1]^{C \times C}$.
• Betekenis: Onder normale omstandigheden hebben fysisch gekoppelde sensoren stabiele fasevertragingen, wat resulteert in een hoge $A_{ij}$. Tijdens een aanval (bijvoorbeeld replay of vertraging) breekt deze coherentie, waardoor $A_{ij}$ daalt. Deze matrix dient als een fysica-informeerde ruimtelijke prior voor het grafnetwerk.

C. Netwerkarchitectuur

Het model volgt een encoder-decoder structuur met vier stadia:

1. Spectral CNN Embedding: Een lichtgewicht 1D CNN haalt kenmerken uit het magnitude- en fasespectrum van elke sensor onafhankelijk.
2. PCI-Weighted Graph Attention (GAT): Een Graph Attention Network verfijnt de embeddings. Cruciaal wordt de PCI-matrix ($A_{ij}$) direct vermenigvuldigd in het aandachtsmechanisme. Dit dwingt het model om informatie bij voorkeur te propageren tussen sensoren die fasegesynchroniseerd zijn, in plaats van burenrelaties puur te leren uit data-correlaties.
3. Sensor-Token Transformer Encoder: Een Transformer vangt de globale systeemstructuren over de sensordimensie (niet in de tijd, aangezien de tijd is samengevat in de spectrale kenmerken).
4. Dual-Head Decoder: Twee aparte koppen reconstrueren het Magnitude en Phase spectrum.

D. Trainingsdoel

Het model minimaliseert een samengestelde verliesfunctie:
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$ (MSE): Standaard reconstructiefout voor magnitude.
• $\mathcal{L}_{phase}$ (Circular Loss): Gebruikt een cosinusverlies ($1 - \cos(\hat{\Phi} - \Phi)$) in plaats van Euclidische MSE. Dit respecteert de hoekgeometrie van fase (behandeling van de wrap-around bij $\pm \pi$) en voorkomt discontinuïteitsfouten.
• $\mathcal{L}_{coh}$ (Coherence Loss): Herberekent de PCI-matrix vanuit de gereconstrueerde fase en vergelijkt deze met de oorspronkelijke PCI. Dit zorgt ervoor dat het model kruis-sensoren synchronisatie behoudt, niet alleen individuele sensorwaarden.

3. Belangrijkste Bijdragen

1. Fase als Signaal van de Eerste Orde: De eerste systematische studie die Fourier-fase behandelt als een primaire detectiefunctie in ICS, waarbij het wordt gereconstrueerd met circulaire verliezen in plaats van als een standaard Euclidisch kanaal.
2. PCI als Grafstructuur: Introduceert een methode om graf-burenrelaties af te leiden uit paarwijze fasecoherentie (een fysische grootheid) in plaats van geleerde embeddings, waarbij een op fysica gebaseerde prior in het aandachtsmechanisme wordt ingebracht.
3. Efficiënte Inductieve Bias: De fase-bewuste componenten (Spectral CNN + PCI-GAT) voegen slechts 264.816 parameters toe (5,0% van de totale 5,29M), wat bewijst dat fase-modellering een lichtgewicht maar krachtige verbetering is.
4. Nieuw Evaluatieprotocol: De auteurs hanteren een strikt vensterniveau-evaluatie zonder punt-aanpassing, wat een meer conservatieve en realistische beoordeling biedt van de intrinsieke discriminatieve vermogen van het model in vergelijking met methoden die punt-aanpassingsheuristieken gebruiken.

4. Experimentele Resultaten

Geëvalueerd op de Secure Water Treatment (SWaT) benchmark:

• Prestaties:
  • F1-Score: 90,98%
  • ROC-AUC: 95,66%
  • Average Precision: 91,51%
• Vergelijking:
  • Hoewel de F1-score iets lager is dan die van de Anomaly Transformer (94,07%), merken de auteurs op dat dit komt door het stricter evaluatieprotocol (geen punt-aanpassing).
  • Onder hetzelfde GDN-protocol presteert PhaseNet++ beter dan GDN (90,98% vs. 81,0% F1).
  • De hoge ROC-AUC geeft aan dat de anomalie-scores van het model zeer discriminerend zijn; de kloof tussen rangschikkingsmetrieken en F1 suggereert dat de bottleneck de drempelkalibratie is, niet de kwaliteit van de representatie.
• Ablatie: Het verwijderen van het fase-bewuste front-end of de PCI-grafmodule verslechtert de prestaties aanzienlijk, wat de noodzaak van fasecoherentie bevestigt voor het detecteren van op timing gebaseerde aanvallen.

5. Betekenis en Toekomstige Richtingen

• Wetenschappelijke Impact: Dit werk daagt de dominantie van tijdsdomein-amplitudemodellering in ICS-beveiliging uit. Het demonstreert dat fasecoherentie een complementair en kritiek signaal is voor het detecteren van aanvallen die timing manipuleren (bijvoorbeeld replay, vertraginginjectie) terwijl ze amplitudestatistieken behouden.
• Praktische Waarde: De methode is lichtgewicht en kan met minimale parameter-overhead worden geïntegreerd in bestaande autoencoder-frameworks.
• Toekomstig Werk: De auteurs suggereren het fuseren van fase-bewuste en amplitude-bewuste representaties, valideren op andere datasets (WADI, BATADAL), en het ontwikkelen van adaptieve drempelstrategieën om de kloof tussen rangschikkingsmetrieken en F1-scores te dichten.

Conclusie: PhaseNet++ vestigt een nieuwe richting voor ICS-anomaliedetectie door te bewijzen dat de "timing" van fysische processen, gecodeerd in het Fourier-fasespectrum, een vitaal signaal is voor het identificeren van geavanceerde cyber-fysische aanvallen.