⚡ electrical engineering

RobResilience: Implementing and Evaluating a Resilience Framework for Cyber-Physical Embodied Systems

Este artigo apresenta o RobResilience, um framework de tempo de execução implementado em uma simulação Webots com um robô PR2 e ROS2 que avalia a tolerabilidade de interrupção, degradação e a viabilidade de mitigação para prevenir a paralisia de falha graciosa em sistemas ciber-físicos incorporados sob ataques ciber de ativos, com resultados experimentais confirmando sua consistência com definições teóricas.

Autores originais: Gysella Imrell, Emanuele Miotto, Mahya Mohammadi Kashani, Mauro Conti, Alberto Giaretta

Publicado 2026-09-16

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Gysella Imrell, Emanuele Miotto, Mahya Mohammadi Kashani, Mauro Conti, Alberto Giaretta

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um mundo onde os robôs já não são apenas ferramentas numa fábrica, mas participantes ativos nas nossas vidas diárias, movendo-se pelas nossas casas, hospitais e ruas. Estas máquinas, conhecidas como sistemas ciberfísicos, fundem cérebros digitais com corpos físicos. Elas sentem o que as rodeia, tomam decisões e agem sobre elas. Mas esta ligação estreita cria uma vulnerabilidade perigosa. Quando um hacker ataca um computador padrão, o pior que costuma acontecer é a perda de dados ou um ecrã congelado. Quando um hacker ataca um robô que está a segurar um objeto pesado ou a conduzir perto de uma pessoa, as consequências podem ser ferimentos físicos ou até a morte. O desafio para os cientistas não é apenas detetar um ataque quando este acontece, mas ajudar o robô a sobreviver a ele. Um robô precisa de saber a diferença entre uma falha menor que pode ignorar e uma falência catastrófica que exige que pare imediatamente para se manter seguro.

Durante anos, os especialistas em segurança focaram-se na deteção de intrusões, agindo como um alarme de intrusão que toca quando uma janela é partida. No entanto, um alarme sozinho não diz a um robô se ele ainda consegue terminar o seu trabalho ou se está em perigo imediato. Esta lacuna deixa os sistemas autónomos vulneráveis a um tipo de paralisia, onde não conseguem distinguir entre um estado degradado seguro e um perigo catastrófico. Para resolver isto, investigadores da Universidade de Örebro, na Suécia, construíram e testaram um novo framework chamado RobResilience. Eles criaram um gémeo digital de um robô real, uma grande máquina de serviço chamada PR2, dentro de um ambiente de simulação sofisticado. Este robô virtual tinha a tarefa de navegar num quarto e pegar numa garrafa de água, um trabalho simples que exige coordenação precisa entre as suas rodas, braços e sensores. Os investigadores submeteram então este robô virtual a uma série de ataques cibernéticos simulados, que variavam desde abrandar as suas rodas até congelar as suas garras, para ver se o novo framework conseguiria guiar o robô através do caos.

O núcleo do seu trabalho é um conjunto de três perguntas lógicas que o robô se faz em tempo real sempre que sente que algo está errado. A primeira pergunta é sobre a interrupção: a parte que está avariada é essencial para a tarefa em questão? Se o robô está a tentar mover-se e as suas rodas são atacadas, a resposta é sim, e a tarefa é interrompida. Se o robô está a tentar pegar numa garrafa e apenas a sua câmara não essencial é atacada, a resposta é não, e a tarefa pode continuar. A segunda pergunta é sobre a degradação: mesmo que o robô ainda consiga mover-se, estará a desempenhar tão mal que já não é seguro ou útil? Talvez o robô esteja a mover-se tão lentamente que perderá um prazo, ou o seu braço esteja a tremer tanto que possa deixar cair a garrafa. A terceira pergunta é sobre a mitigação: se o robô estiver em apuros, existe uma forma de o consertar? Pode mudar para uma roda de reserva ou reconfigurar o seu software para contornar a parte avariada?

Os investigadores testaram estas perguntas através de oito diferentes cenários de ataque, alterando sistematicamente quais as partes do robô que eram atacadas, o quão gravemente eram danificadas e se um conserto estava disponível. Num cenário, atacaram os braços do robô, que não eram críticos para a tarefa simples de se mover para um destino. O sistema do robô identificou corretamente que a interrupção era tolerável e permitiu que a tarefa continuasse, embora o robô estivesse a mover-se ligeiramente mais devagar. Noutro cenário, atacaram as rodas, que eram críticas. Sem que um conserto estivesse disponível, o sistema determinou corretamente que o robô não poderia continuar em segurança e ordenou que parasse imediatamente. Os testes mais complexos envolveram situações onde o robô estava simultaneamente interrompido e degradado, mas um conserto era possível. Nestes casos, o framework identificou com sucesso a solução disponível, neutralizou o ataque ao componente específico e permitiu que o robô retomasse a sua tarefa, embora com um ligeiro atraso.

Os resultados destas simulações foram consistentes com as regras teóricas que os investigadores desenharam. O sistema provou ser capaz de tomar a decisão certa em todas as situações em que foi testado. Quando o robô estava seguro para continuar, ele continuava. Quando estava em perigo, ele parava. Quando podia ser salvo, era salvo. O estudo também revelou um detalhe subtil mas importante: a resiliência de um robô depende não apenas de qual peça única está avariada, mas da combinação de peças avariadas. Um robô pode sobreviver à perda de uma peça não essencial, mas se essa perda for adicionada a um problema existente, o efeito combinado pode levar o robô além do ponto de segurança. Isto significa que a capacidade de um robô sobreviver a um ataque não é um traço fixo do seu hardware, mas um estado dinâmico que muda com cada nova informação que recebe.

É importante notar que estas descobertas provêm de um ambiente digital controlado. Os investigadores utilizaram uma simulação para modelar os ataques e as reações do robô, em vez de testar num robô físico no mundo real. Isto permitiu-lhes executar centenas de variações de forma rápida e segura, mas também significa que os resultados ainda não foram comprovados em hardware real que possa enfrentar ruído do mundo real, atrasos de tempo ou forças físicas imprevisíveis. Os investigadores reconhecem esta limitação e veem o seu trabalho como um passo crucial inicial. Eles demonstraram que a lógica para a resiliência funciona conforme pretendido numa simulação, fornecendo um modelo de como os futuros robôs poderão ser programados para pensar sobre a sua própria segurança durante um ataque.

O objetivo final desta investigação é ir além da simples deteção e caminhar em direção a um futuro onde os robôs possam adaptar-se às ameaças sobre a marcha. Ao dar às máquinas a capacidade de raciocinar sobre os seus próprios limites operacionais, os investigadores esperam prevenir o tipo de falhas totais de sistema que poderiam colocar em perigo a segurança humana. O framework não impede que o ataque aconteça, mas garante que, quando um ataque ocorre, o robô não entre em pânico ou congele. Em vez disso, avalia o dano, pondera as suas opções e toma uma decisão calculada para continuar, recuperar ou parar. Esta mudança da defesa passiva para a resiliência ativa representa um passo significativo para tornar os sistemas autónomos seguros o suficiente para partilharem o nosso mundo.

Resumo Técnico: RobResilience

Declaração do Problema

Em Sistemas Ciber-Físicos (CPS) incorporados, como robôs autônomos, ataques cibernéticos ativos representam ameaças imediatas não apenas à integridade dos dados, mas também à segurança física e à continuidade operacional. Embora a pesquisa de segurança existente se destaque na detecção de intrusão, ela frequentemente carece de mecanismos de tempo de execução para determinar se uma interrupção detectada é tolerável ou se a degradação de desempenho permanece dentro de limites operacionais seguros. Essa lacuna deixa sistemas autônomos vulneráveis à "paralisia de falha graciosa", onde eles não conseguem distinguir entre um estado degradado seguro e um perigo catastrófico durante um ataque em curso. Os atuais sistemas de resposta à intrusão frequentemente abordam a resposta em tempo de execução, mas falham em raciocinar formalmente sobre a tolerabilidade da interrupção ou da degradação sob ataques ativos.

Metodologia

O artigo apresenta o RobResilience, uma implementação e avaliação de um framework de resiliência formal para CPSs incorporados. O trabalho segue uma abordagem de Pesquisa de Ciência do Design, situando o framework em um ambiente de simulação para modelar como cenários de ataques cibernéticos influenciam o comportamento do sistema.

Framework Teórico

O sistema modela um robô $R$ como um conjunto de dispositivos $D$ que realizam tarefas $T$ e preservam objetivos $G$ . O framework baseia-se em três predicados de tempo de execução fundamentais avaliados sobre um conjunto de dispositivos comprometidos $S$ (derivado de pontuações de confiança do Sistema de Detecção de Intrusão):

Interrupção Tolerável ( $\delta$ ): Avalia se o conjunto de dispositivos comprometidos inclui qualquer dispositivo estritamente necessário (nível de criticidade 2) para tarefas ou objetivos ativos.
Degradação Tolerável ( $\gamma$ ): Avalia se o desempenho do sistema $\psi(S)$ permanece dentro de limites aceitáveis ( $\theta$ ). Este limite é mais rigoroso ( $\theta_{crit}$ ) se dispositivos críticos forem comprometidos e relaxado ( $\theta_{base}$ ) caso contrário.
Viabilidade de Mitigação ( $\mu$ ): Avalia se um subconjunto de dispositivos comprometidos pode ser neutralizado para restaurar tanto $\delta$ quanto $\gamma$ para estados aceitáveis.

Um sistema é definido como resiliente se $(\delta(S)=1 \land \gamma(S)=1) \lor \mu(S)=1$ .

Arquitetura de Implementação

O framework foi implementado em um ambiente de simulação Webots utilizando um robô PR2 e ROS2. A arquitetura consiste em quatro módulos:

Ambiente de Simulação: Hospeda o robô PR2 e a dinâmica física.
Controlador de Coordenação: Orquestra a execução de tarefas, gerencia a comunicação entre módulos e integra comandos de mitigação.
Módulo de Injeção de Ataque: Simula atacantes externos publicando ataques baseados em mensagens simbólicas (ex: STOP, UNDERSPEED, OVERSPEED) para dispositivos específicos via tópicos ROS2.
Módulo de Avaliação de Resiliência: Contém o IDS (que mapeia a confiança do ataque para um conjunto de comprometimento $S$ ) e o Gerenciador de Resiliência (que avalia $\delta$ , $\gamma$ e $\mu$ e aciona a mitigação).

A função de degradação $\psi$ foi instanciada como uma função exponencial ponderada, penalizando a perda de dispositivos críticos de forma mais acentuada do que os não críticos.

Principais Contribuições

Implementação Executável: O artigo fornece a primeira implementação executável do framework de resiliência formal definido em trabalhos teóricos anteriores [7]. Ele realiza mapeamentos de criticidade, integração de IDS e avaliação de predicados em tempo de execução como módulos de software implantáveis em um ambiente ROS2/Webots.
Verificação de Consistência de Predicados: A implementação demonstra conformidade com comportamentos esperados em todas as combinações realizáveis do espaço de estados dos predicados $\delta$ , $\gamma$ e $\mu$ . Ela confirma que o sistema distingue corretamente entre alvos de ataque críticos e não críticos e lida com a interação entre interrupção e degradação.
Análise Empírica da Dinâmica de Resiliência: O estudo fornece uma análise empírica de como a severidade da degradação, os mapeamentos de criticidade de tarefa e a mitigação adaptativa determinam conjuntamente a continuidade operacional. Ele destaca que a resiliência é sensível à composição cumulativa do conjunto comprometido, não apenas à criticidade de dispositivos individuais.

Avaliação e Resultados

A avaliação utilizou oito cenários de ataque projetados para cobrir sistematicamente todas as combinações possíveis do espaço de estados dos predicados. Os cenários variaram os alvos de ataque (críticos vs. não críticos), taxas de degradação e disponibilidade de mitigação.

Cenários Não Interrompidos ( $\delta=1$ ): Quando os ataques foram confinados a dispositivos não críticos, o sistema manteve $\delta=1$ . No entanto, altas taxas de degradação ainda poderiam levar $\gamma$ a 0, causando paradas de tarefas, a menos que a mitigação estivesse disponível (Cenários 1, 2a, 2b).
Cenários Interrompidos ( $\delta=0$ ): Ataques em dispositivos críticos definiram imediatamente $\delta=0$ $δ = 0$ .
- Em cenários onde a degradação permaneceu dentro dos limites ( $\gamma=1$ ), mas não havia mitigação disponível, o sistema parou (Cenário 3a).
- Em cenários onde a mitigação estava disponível, o sistema restaurou com sucesso $\delta$ para 1, permitindo a conclusão da tarefa (Cenário 3b).
- No caso mais severo ( $\delta=0, \gamma=0$ ), o sistema parou sem mitigação (Cenário 4a), mas recuperou-se com sucesso para um estado resiliente quando a mitigação neutralizou o dispositivo crítico (Cenário 4b).

Os resultados confirmam que o comportamento de tempo de execução da implementação é consistente com as definições teóricas. Especificamente, o framework identifica corretamente que um sistema pode estar interrompido ( $\delta=0$ ) e, ainda assim, operar dentro de limites de desempenho toleráveis ( $\gamma=1$ ), e que a mitigação pode restaurar a resiliência mesmo quando ambos os predicados são inicialmente violados.

Significância e Limitações

O artigo afirma significância ao preencher a lacuna entre a detecção e a resposta adaptativa em tempo de execução. Ao formalizar a resiliência como um conjunto de predicados de tempo de execução, o RobResilience permite que sistemas autônomos tomem decisões informadas sobre continuar, degradar graciosamente ou parar durante um ataque, em vez de depender apenas de alertas de detecção.

Os autores explicitamente observam as seguintes limitações e escopo:

Apenas Simulação: A avaliação é limitada ao ambiente de simulação Webots e não se estende à implantação em hardware físico.
Detecção Idealizada: Para isolar a lógica de resiliência, os limiares do IDS ( $\kappa$ ) foram definidos como 0, assumindo efetivamente 100% de precisão de detecção. Isso ignora a natureza probabilística de um IDS real.
Ataques Simbólicos: Os ataques foram injetados como mensagens simbólicas em vez de exploits do mundo real ou intrusões de nível de rede.
Mitigação Determinística: As ações de mitigação foram modeladas como determinísticas e totalmente resolutivas, enquanto as mitigações do mundo real podem ser parciais ou estocásticas.

O artigo conclui que, embora o framework valide com sucesso a semântica dos predicados teóricos, é necessário trabalho futuro para integrar modelos de IDS probabilísticos realistas, vetores de ataque do mundo real e implantação física para abordar as restrições de tempo e ruído inerentes aos sistemas incorporados.