Technische Samenvatting: Pseudo-Feature Padding voor FDIA-verdediging in Elektriciteitsnetten

1. Probleemstelling

Deep Neural Networks (DNN's) worden steeds vaker ingezet in Cyber-Fysieke Systemen (CPS), met name voor de toestandsschatting in elektriciteitsnetten, om False Data Injection Attacks (FDIA) te detecteren. De unieke infrastructuur van elektriciteitsnetten maakt deze DNN's echter kwetsbaar voor geavanceerde adversariële perturbaties. Traditionele verdedigingsmechanismen, zoals residu-gebaseerde detectoren of standaard machine learning-classifiers, schieten vaak tekort omdat FDIA-vectoren zo worden geconstrueerd dat ze voldoen aan de stealth-conditie $Ba = 0$ (waarbij $B$ de projectieresidu-matrix is), waardoor vervuilde metingen ononderscheidbaar zijn van legitieme metingen.

Bestaande verdedigingsstrategieën kampen met aanzienlijke beperkingen:

• Adversarial Training en Distillatie: Deze methoden vereisen vaak substantiële wijzigingen aan de trainingspipeline of modelarchitectuur en kunnen computationeel intensief zijn. Ze presteren mogelijk ook slecht in CPS-omgevingen waar aanvallers prioriteit geven aan stealth boven een minimale grootte van de perturbatie.
• Vaste Padding (bijv. Zero-Padding): Hoewel eenvoudig, zijn vaste padding-strategieën kwetsbaar in white-box scenario's waarbij aanvallers op de hoogte zijn van de padding-waarden en deze kennis kunnen exploiteren om overdraagbare aanvallen te creëren.
• Hardwarebeperkingen: Veel voorgestelde oplossingen vereisen herplaatsing van sensoren of hardwarewijzigingen, wat onpraktisch is in gedistribueerde CPS-omgevingen.

De kernuitdaging is het ontwikkelen van een verdediging die lichtgewicht, model-agnostisch en in staat is om de structurele condities die aanvallers vertrouwen te verstoren, zonder de prestaties van de onderliggende DNN op legitieme data te verslechteren.

2. Methodologie: Pseudo-Feature Padding

Het artikel stelt een Pseudo-Feature Padding-framework voor. Deze benadering introduceert een extra invoerlaag die invoersamples dynamisch aanvult met "pseudo-features" afgeleid van de statistische distributie van de invoerdata zelf.

Kernmechanisme

1. Feature Belangrijkheidsanalyse: Voor elke invoersample wordt een boomgebaseerd model (bijv. een beslissingsboom) gebruikt om de feature-belangrijkheid te rangschikken. Features die onder een specifieke drempelwaarde $\theta$ vallen, worden geïdentificeerd als "minder belangrijk" (lage saliëntie).
2. Statistische Distributie Fitting: Statistische distributies worden voor elke feature over de gehele dataset vooraf gefit.
3. Dynamische Padding Generatie:
   • Training: Voor elke sample worden pseudo-features gesampled uit de gefitte distributies die overeenkomen met de geïdentificeerde features met lage belangrijkheid. Deze worden geconcateneerd met de originele input, waardoor meerdere geaugmenteerde varianten per sample ontstaan.
   • Inference: Wanneer een sample (schoon of adversarieel) wordt gepresenteerd, wordt een nieuwe pseudo-feature vector gesampled en geconcateneerd. Dit zorgt ervoor dat de inputstructuur tijdens de inference onvoorspelbaar varieert.
4. Wiskundige Verstoring:
   • In standaard FDIA construeert de aanvaller een vector $a$ zodanig dat $Ba = 0$, waarbij $B = P - I$ en $P$ de projectiematrix is op de kolomruimte van de systeemjacobian $H$.
   • De voorgestelde padding transformeert de systeemmatrix naar $H' = [H | P_{pad}]$, waarbij $P_{pad}$ de gesamplede pseudo-features bevat.
   • Dit verandert de projectiematrix naar $P'$ en de residu-matrix naar $B'$. Bijgevolg verandert de structuur van de nulruimte ($N(B) \neq N(B')$). Een aanvalsvector $a$ die ontworpen is om $Ba=0$ te voldoen, zal over het algemeen niet voldoen aan $B'a'=0$ omdat de gepadde features structurele onzekerheid introduceren en de nulruimte verschuiven.
   • Omdat pseudo-features tijdens de inference willekeurig worden gesampled, is het reconstrueren van de effectieve systeemmatrix $H'$ computationeel onhaalbaar voor een aanvaller, waardoor geconstrueerde perturbaties niet-overdraagbaar worden.

Algoritme Overzicht

Het framework werkt als een preprocessing stap:

1. Identificeer features met lage belangrijkheid voor een specifieke sample.
2. Sample synthetische waarden uit de vooraf gefitte distributies van deze features.
3. Concateneer deze waarden met de originele inputvector.
4. Voer de geaugmenteerde vector in de bestaande DNN-architectuur in.

3. Belangrijkste Bijdragen

Het artikel schetst de volgende primaire bijdragen:

• Nieuwe Verdedigingsstrategie: Een methode die de effecten van FDIA mitigeert door inputs te padden met pseudo-features, waardoor de inputdimensionaliteit wordt vergroot en de generatie van nauwkeurige aanvalvectoren wordt bemoeilijkt.
• Model-Agnostiek en Inzetbaarheid: Het framework is lichtgewicht en vereist geen wijzigingen aan de kern-DNN-architectuur, wat een gemakkelijke integratie in bestaande CPS-detectiepipelines vergemakkelijkt.
• Geen Hardware-overhead: De oplossing adresseert de onpraktische juridische aspecten van het beveiligen van alle fysieke sensoren door uitsluitend op de gegevensverwerkingslaag te opereren, waardoor sensorherplaatsing niet nodig is.
• Prestatiebehoud: De methode behoudt de integriteit van de prestaties van de DNN met een verwaarloosbare daling in nauwkeurigheid vergeleken met baseline-modellen.
• Uitgebreide Validatie: Het framework wordt gevalideerd via simulaties op vier standaard IEEE-testsystemen (14-bus, 30-bus, 118-bus en 300-bus) onder adversariële instellingen.

4. Experimentele Resultaten

Het framework werd geëvalueerd met behulp van een feed-forward DNN (vier volledig verbonden lagen) op datasets gegenereerd via MATPOWER. De evaluatie vergeleek de voorgestelde methode met Plain DNN's, Adversarial Training, Adversarial Distillation en Zero-Padding.

• Detectienauwkeurigheid: De voorgestelde Pseudo-Feature Padding bereikte een aanzienlijk hogere aanvaldetectienauwkeurigheid vergeleken met de baseline en andere verdedigingsmethoden. Zo behaalde het op het 14-bus systeem een nauwkeurigheid van 94,2%, waarmee het Adversarial Training (62,0%) en Zero Padding (93,5%) overtrof. Vergelijkbare hoge prestaties werden waargenomen in de 30, 118 en 300-bus systemen (variërend van 92,0% tot 96,1%).
• Robuustheidsmetrieken:
  • Bias L2-Norm: De voorgestelde methode resulteerde in hogere Bias L2-Norm waarden (bijv. 168,7 voor 14-bus versus 50,6 voor Adversarial Training), wat aangeeft dat het model erin slaagde grotere afwijkingen veroorzaakt door aanvallen te detecteren.
  • Valid L2-Norm: De methode leverde lagere Valid L2-Norm waarden op (bijv. 55,1 voor 14-bus versus 113,7 voor Adversarial Training), wat suggereert dat de effectieve kracht van de adversariële perturbaties werd geneutraliseerd.
• Schaalbaarheid: De prestaties verbeterden of bleven stabiel naarmate de systeemgrootte toenam (van 14-bus naar 300-bus), wat de schaalbaarheid van het framework demonstreert.
• Computationele Overhead: Hoewel de trainingstijd licht toenam door de stappen van featuregeneratie en padding (35s versus 10s voor een Plain DNN), bleef de inference-kosten laag (0,9ms), en de algehele overhead werd geclassificeerd als "Low-Mod", aanzienlijk beter dan de "High" overhead van Adversarial Training.

5. Betekenis en Claims

Het artikel beweert dat Pseudo-Feature Padding een praktische en effectieve verdedigingsoplossing biedt voor real-world CPS-toepassingen waar fysieke sensorbeveiliging onhaalbaar is.

• Verstoring van Aanvalsmechanica: Door gerandomiseerde, data-bewuste padding te introduceren, doorbreekt de methode het vermogen van de aanvaller om de stealth-conditie ($Ba=0$) te handhaven zonder vooraf de specifieke padding-waarden te kennen.
• Mitigatie van Overdraagbaarheid: De niet-deterministische aard van de padding tijdens de inference voorkomt dat adversariële voorbeelden, gecreëerd voor één modelinstantie, effectief overdraagbaar zijn naar een andere, een veelvoorkomende zwakte bij white-box aanvallen.
• Praktische Bruikbaarheid: In tegenstelling tot methoden die hardwarewijzigingen of complexe architecturale hertraining vereisen, is deze benadering een lichtgewicht preprocessing-stap die de oorspronkelijke structuur van het model behoudt.
• Beperkingen: De auteurs erkennen dat het huidige werk zich richt op white-box dreigingen waarbij de aanvaller het model kent maar niet de padding. Adaptive en partial-information aanvallen worden aangemerkt als gebieden voor toekomstig onderzoek, hoewel de niet-deterministische padding naar verwachting robuustheid tegen hen zal bieden.

Concluderend toont het artikel aan dat het aanvullen van invoerdata met statistisch afgeleide pseudo-features een levensvatbare strategie is om de robuustheid van DNN's tegen FDIA in elektriciteitsnetten te vergroten, waarbij een balans wordt gevonden tussen hoge detectienauwkeurigheid, lage computationele kosten en eenvoudige implementatie.