PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

1. Declaração do Problema

Os Sistemas de Controle Industrial (ICS) são componentes críticos de infraestrutura (por exemplo, tratamento de água, redes elétricas) vulneráveis a ataques ciber-físicos. Os métodos existentes de detecção de anomalias dependem principalmente de valores de amplitude no domínio do tempo de dados de sensores, utilizando arquiteturas como Redes Neurais em Grafos (GNNs), Transformers ou Autoencoders Variacionais (VAEs).

A Lacuna Central: Esses métodos geralmente descartam o espectro de fase de Fourier durante o pré-processamento. No entanto, em sistemas físicos, os sensores são acoplados; suas interações são definidas não apenas por magnitudes de valores semelhantes, mas por relações temporais consistentes e sincronização.

• O Desafio: Ataques como ataques de replay (reprodução de dados antigos) ou injeção de atraso podem manter perfis de amplitude realistas enquanto perturbam a sincronização de fase precisa entre os sensores. Modelos baseados apenas em amplitude no domínio do tempo lutam para detectar essas inconsistências temporais sutis diretamente.

2. Metodologia: PhaseNet++

O PhaseNet++ é um autoencoder em domínio de frequência projetado para detectar anomalias modelando explicitamente as relações de fase. Ele opera em janelas deslizantes de dados multivariados de sensores.

A. Representação de Entrada (STFT)

Em vez de séries temporais brutas, o modelo aplica a Transformada de Fourier de Tempo Curto (STFT) às janelas de sensores.

• Retém tanto o espectro de Magnitude ($M$) quanto o de Fase ($\Phi$).
• O espectro de fase é tratado como um sinal de primeira classe, capturando deslocamentos temporais dentro da janela que a amplitude sozinha perde.

B. Índice de Coerência de Fase (PCI)

Para aproveitar o acoplamento físico dos sensores, os autores introduzem um Índice de Coerência de Fase (PCI), inspirado no Valor de Bloqueio de Fase (PLV) da neurociência.

• Mecanismo: Calcula a consistência de fase par a par através de bins de frequência entre cada par de sensores ($i, j$).
• Saída: Uma matriz de adjacência contínua $A \in [0, 1]^{C \times C}$.
• Significado: Sob operação normal, sensores acoplados fisicamente possuem atrasos de fase estáveis, resultando em altos valores de $A_{ij}$. Durante um ataque (por exemplo, replay ou atraso), essa coerência quebra, fazendo com que $A_{ij}$ caia. Essa matriz serve como um prior espacial informado pela física para a rede em grafos.

C. Arquitetura da Rede

O modelo segue uma estrutura de codificador-decodificador com quatro estágios:

1. Embedding CNN Espectral: Uma CNN 1D leve extrai características dos espectros de magnitude e fase de cada sensor independentemente.
2. Atenção em Grafo Ponderada por PCI (GAT): Uma Rede de Atenção em Grafos refina os embeddings. Crucialmente, a matriz PCI ($A_{ij}$) é multiplicada diretamente no mecanismo de atenção. Isso força o modelo a propagar informações preferencialmente entre sensores que estão sincronizados em fase, em vez de aprender a adjacência puramente a partir de correlações de dados.
3. Codificador Transformer Sensor-Token: Um Transformer captura a estrutura global do sistema através da dimensão do sensor (não do tempo, pois o tempo é resumido nas características espectrais).
4. Decodificador de Dupla Cabeça: Duas cabeças separadas reconstroem os espectros de Magnitude e Fase.

D. Objetivo de Treinamento

O modelo minimiza uma função de perda composta:
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$ (MSE): Erro de reconstrução padrão para magnitude.
• $\mathcal{L}_{phase}$ (Perda Circular): Usa uma perda de cosseno ($1 - \cos(\hat{\Phi} - \Phi)$) em vez de MSE Euclidiano. Isso respeita a geometria angular da fase (lidando com o envolvimento em $\pm \pi$) e previne erros de descontinuidade.
• $\mathcal{L}_{coh}$ (Perda de Coerência): Reestima a matriz PCI a partir da fase reconstruída e compara-a com a PCI original. Isso garante que o modelo preserve a sincronia entre sensores, e não apenas os valores individuais dos sensores.

3. Principais Contribuições

1. Fase como Sinal de Primeira Classe: O primeiro estudo sistemático a tratar a fase de Fourier como uma característica de detecção primária em ICS, reconstituindo-a com perda circular em vez de tratá-la como um canal Euclidiano padrão.
2. PCI como Estrutura de Grafo: Introduz um método para derivar adjacência de grafos a partir da coerência de fase par a par (uma quantidade física) em vez de embeddings aprendidos, injetando um prior baseado em física no mecanismo de atenção.
3. Viés Indutivo Eficiente: Os componentes conscientes de fase (CNN Espectral + PCI-GAT) adicionam apenas 264.816 parâmetros (5,0% do total de 5,29M), provando que a modelagem de fase é um aprimoramento leve, mas poderoso.
4. Novo Protocolo de Avaliação: Os autores adotam uma avaliação no nível de janela sem ajuste de ponto, fornecendo uma avaliação mais conservadora e realista da capacidade discriminativa intrínseca do modelo em comparação com métodos que usam heurísticas de ajuste de ponto.

4. Resultados Experimentais

Avaliado no benchmark Secure Water Treatment (SWaT):

• Desempenho:
  • F1-Score: 90,98%
  • ROC-AUC: 95,66%
  • Precisão Média: 91,51%
• Comparação:
  • Embora o F1-score seja ligeiramente inferior ao do Anomaly Transformer (94,07%), os autores notam que isso se deve ao protocolo de avaliação mais rigoroso (sem ajuste de ponto).
  • Sob o mesmo protocolo GDN, o PhaseNet++ supera o GDN (90,98% vs. 81,0% de F1).
  • O alto ROC-AUC indica que as pontuações de anomalia do modelo são altamente discriminativas; a lacuna entre métricas de classificação e F1 sugere que o gargalo é a calibração do limiar, e não a qualidade da representação.
• Ablação: Remover o front-end consciente de fase ou o módulo de grafo PCI degrada significativamente o desempenho, confirmando a necessidade da coerência de fase para detectar ataques baseados em tempo.

5. Significado e Direções Futuras

• Impacto Científico: Este trabalho desafia a dominância da modelagem de amplitude no domínio do tempo na segurança de ICS. Demonstra que a coerência de fase é um sinal complementar e crítico para detectar ataques que manipulam o tempo (por exemplo, replay, injeção de atraso) enquanto preservam as estatísticas de amplitude.
• Valor Prático: O método é leve e pode ser integrado a estruturas de autoencoder existentes com sobrecarga mínima de parâmetros.
• Trabalho Futuro: Os autores sugerem fundir representações conscientes de fase e amplitude, validar em outros conjuntos de dados (WADI, BATADAL) e desenvolver estratégias de limiar adaptativo para fechar a lacuna entre métricas de classificação e pontuações F1.

Conclusão: O PhaseNet++ estabelece uma nova direção para a detecção de anomalias em ICS, provando que o "tempo" dos processos físicos, codificado no espectro de fase de Fourier, é um sinal vital para identificar ataques ciber-físicos sofisticados.