System-aware contextual digital twin for ICS anomaly diagnosis

1. Declaração do Problema

Os Sistemas de Controle Industrial (ICS) são críticos para infraestruturas (redes elétricas, tratamento de água), mas estão cada vez mais vulneráveis a ciberataques. Os métodos existentes de detecção de anomalias enfrentam duas limitações primárias:

• Métodos Supervisionados: Requerem extensos dados de ataque rotulados, que são escassos, desbalanceados e rapidamente desatualizados devido à evolução das estratégias de ataque.
• Métodos Não Supervisionados/Baseados em Modelo: Embora evitem a dependência de rótulos, frequentemente dependem de desvios estatísticos globais. Eles falham em considerar a natureza dependente do contexto dos ICS, onde uma leitura de sensor é "normal" sob uma configuração de atuador específica, mas "anormal" sob outra. Consequentemente, esses métodos produzem altas taxas de falsos alarmes e carecem da interpretabilidade necessária para que os operadores diagnostiquem as causas raízes rapidamente.

O desafio central é preencher a lacuna entre detecção estatística e diagnóstico acionável e consciente do contexto, sem depender de dados de ataque rotulados.

2. Metodologia: O Framework SCDT

Os autores propõem o SCDT (Digital Twin Contextual Consciente do Sistema), um framework não supervisionado em duas etapas que combina detecção online leve com raciocínio impulsionado por Modelos de Linguagem de Grande Escala (LLM).

A. Conceito Central: Combinação Sensor-Atuador (S-AC)

O SCDT reconhece que o comportamento dos ICS é governado pelo controle em malha fechada. A trajetória de um sensor é normal apenas em relação a uma configuração específica de atuador. O sistema define o "contexto" como o estado conjunto do atuador observado no início de uma janela de tempo.

B. Etapa 1: Detecção Não Supervisionada (O Núcleo do "Digital Twin")

Esta etapa aprende "envelopes comportamentais" de operação normal sem rótulos de ataque.

1. Extração de Características:
   • Características Principais (8D): Métricas estatísticas (média, amplitude, desvio padrão, RMSE, diferenças de primeira/segunda ordem, saltos negativos, energia espectral) usadas para agrupamento eficiente.
   • Descritores Estendidos (13D): Incluem valores mínimos/máximos e inclinações por segmento (tendências iniciais/intermediárias/finais) usadas para construção detalhada de regras e explicação.
2. Agrupamento por Regras em Múltiplas Etapas:
   • Agrupamento por Nível: Particiona os dados por níveis de operação (ex: altura do tanque) para evitar a mistura de regimes distintos.
   • UMAP & HDBSCAN: Utiliza redução de dimensionalidade (UMAP) seguida de agrupamento baseado em densidade (HDBSCAN) para identificar modos operacionais distintos dentro de cada grupo de nível.
   • Construção de Regras: Para cada agrupamento (modo), o sistema constrói um envelope de quantil (definindo faixas aceitáveis) e um modelo de distância diagonal robusto (usando mediana e amplitude interquartil) para medir o desvio.
3. Inferência e Triagem:
   • Recuperação: Corresponde o estado do atuador da janela atual às regras aprendidas. Se uma correspondência exata estiver ausente, recorre a um índice Sensor-Atuador (S-A), agregando regras com base nos estados individuais dos atuadores.
   • Decisão: Uma janela é sinalizada como normal se cair dentro do envelope de quantil ou dentro de um limite de distância relaxado. Casos ambíguos (contextos não vistos) são explicitamente marcados para arbitragem pelo LLM, em vez de classificação forçada.

C. Etapa 2: Diagnóstico Impulsionado por LLM (A Camada "Contextual")

Esta etapa traduz evidências numéricas de detecção em hipóteses legíveis por humanos e fundamentadas.

1. LLM Primário (Geração de Regras):
   • Analisa as características estatísticas de cada agrupamento para gerar regras semânticas (ex: "Quando a Válvula A está aberta, o Nível do Tanque deve ser estável com baixa variabilidade").
   • Essas regras são armazenadas como texto em linguagem natural junto com os envelopes numéricos.
2. LLM Secundário (Diagnóstico e Arbitragem):
   • Modo de Diagnóstico: Quando uma anomalia é detectada, o LLM recebe os estados atuais dos atuadores, a regra específica violada e as métricas de desvio. Ele gera uma narrativa explicando por que o comportamento é anômalo (ex: "O nível do tanque está subindo rapidamente, inconsistente com o estado de válvula fechada").
   • Modo de Arbitragem: Se o detector determinista for ambíguo (ex: uma combinação de atuadores não vista), o LLM atua como juiz, comparando a janela atual contra expectativas agregadas S-A para tomar uma decisão final.

3. Contribuições Principais

• Diagnóstico Não Supervisionado Consciente do Sistema: Formula a detecção de anomalias em torno de Contextos Sensor-Atuador, permitindo que o sistema aprenda regras invariantes de controle em malha fechada sem rótulos de ataque.
• Explicações Fundamentadas por LLM: Introduz um pipeline inovador onde LLMs convertem desvios estatísticos em hipóteses acionáveis e fundamentadas e etapas de verificação, em vez de apenas fornecer pontuações de anomalia.
• Tratamento Robusto de Ambiguidade: Trata explicitamente o casamento de contexto de baixa confiança como "ambíguo" em vez de forçar uma decisão, aumentando a segurança. Utiliza uma estratégia de recuperação hierárquica (S-AC Exato $\to$ S-A Parcial) para lidar com cenários não vistos.
• Design em Tempo Real: Utiliza triagem estatística leve (envelopes/distância) para velocidade, reservando a inferência do LLM apenas para diagnóstico ou arbitragem, garantindo a viabilidade de implantação.

4. Resultados Experimentais

O framework foi avaliado em três benchmarks públicos de ICS: SWaT (Tratamento de Água), WADI (Distribuição de Água) e HAI (Hardware-in-the-Loop).

• Desempenho:
  • SWaT: Alcançou o melhor Recall (83,09%) e F1-score (89,17%) entre as linhas de base, demonstrando alta sensibilidade a anomalias em contextos estáveis.
  • WADI & HAI: Alcançaram Precisão de nível superior (89,68% e 90,07%, respectivamente) e segundos melhores F1-scores.
  • Compromisso: O SCDT é mais conservador do que algumas linhas de base de alto recall, resultando em menos falsos alarmes (alta precisão) enquanto mantém qualidade robusta de detecção.
• Interpretabilidade:
  • Estudos de caso (ex: Processo 1 do SWaT) mostraram que o SCDT identificou corretamente a causa raiz (ex: uma válvula comprometida forçando um transbordamento do tanque) e forneceu uma narrativa coerente ligando a anomalia do sensor à falha específica do atuador.
  • O LLM distinguiu com sucesso entre regimes normais e anormais com base nos estados dos atuadores, mesmo quando os dados brutos dos sensores pareciam ambíguos.

5. Significado

• Preenchendo a Lacuna: O SCDT resolve o problema da "caixa preta" dos detectores não supervisionados tradicionais, fornecendo IA explicável adaptada à lógica de controle industrial.
• Segurança Operacional: Ao lidar explicitamente com contextos ambíguos e fornecer hipóteses fundamentadas, reduz a carga cognitiva do operador e previne respostas atrasadas a incidentes críticos.
• Escalabilidade: O design modular permite que a camada de diagnóstico LLM seja acoplada a outras bases de detecção, tornando-a uma ferramenta versátil para melhorar a interpretabilidade em ambientes industriais complexos sem exigir dados de ataque rotulados.
• Preparação para o Futuro: A abordagem avança além de modelos estatísticos estáticos para raciocínio dinâmico e consciente do contexto, o que é essencial para adaptar-se a processos industriais em evolução e vetores de ataque novos.