⚡ electrical engineering

Data Poisoning Attacks on Informativity for Observability: Invariance-Based Synthesis

本文研究了一种针对数据驱动控制中基于信息量的可观测性分析的投毒攻击，通过构造作用于有限时间序列数据的可逆线性变换，将恶意状态嵌入不变子空间以破坏信息量证书，并提出了最小范数攻击的构建方法与可行性条件。

原作者： Iori Takaki, Ahmet Cetinkaya, Hideaki Ishii

发布于 2026-04-14

📖 1 分钟阅读☕ 轻松阅读

原作者： Iori Takaki, Ahmet Cetinkaya, Hideaki Ishii

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文探讨了一个非常有趣且略带“黑客”色彩的话题：在数据驱动的控制系统中，攻击者如何通过“微调”数据，让原本能看清系统的“眼睛”变瞎。

为了让你轻松理解，我们可以把这篇论文的核心思想想象成**“给监控录像加滤镜”**的故事。

1. 背景：数据驱动的“自动驾驶”

想象一下，现在的很多系统（比如自动驾驶汽车、电网、机器人）不再依赖工程师预先写好的精确数学模型，而是直接通过观察历史数据来学习如何控制自己。

正常情况：系统收集了一堆数据（比如过去 100 秒的车速、方向盘角度、摄像头画面），然后分析这些数据，判断：“哦，这个系统是可以被完全观测到的，我知道它现在的状态，我可以安全地控制它。”
核心概念（信息性）：这就好比医生看 X 光片。如果片子清晰（数据“有信息量”），医生就能确诊；如果片子模糊或造假（数据“无信息量”），医生就瞎了。

2. 攻击者的手段：不动声色的“滤镜”

这篇论文研究的是一种数据投毒攻击。

传统攻击：像往水里扔石头，直接破坏数据，让系统崩溃。这太明显了，容易被发现。
本文的攻击：攻击者像一个高明的修图师。他拿到原始数据后，不删除任何内容，也不改变数据的“数量”（比如数据的维度、丰富程度看起来还是一样的），而是对数据矩阵进行一种可逆的线性变换。
- 比喻：想象你有一张清晰的监控录像。攻击者没有把录像删掉，而是给整段录像加了一层特殊的“隐形滤镜”。
- 效果：这层滤镜让录像看起来依然很清晰、很丰富（甚至保留了原本的统计特征），但在数学本质上，它悄悄地把一个**“看不见的幽灵”**（恶意状态）藏进了系统的“盲区”。

3. 攻击目标：制造“盲区”

系统原本能看清所有状态（强可观性）。攻击者的目标是让系统**“看不见”**某个特定的状态。

比喻：原本系统能看清车里的所有乘客。攻击者通过“滤镜”，让系统认为“那个坐在角落的乘客（恶意状态）”无论怎么动，在摄像头里都像是空气一样不存在。
后果：一旦系统相信了这个被篡改的数据，它就会误以为那个“幽灵”状态是安全的，或者根本无法检测到它的存在。这可能导致系统做出错误的控制决策，甚至引发灾难。

4. 论文的三个主要贡献

A. 如何制造这个“滤镜”？（构造性攻击）

论文提供了一套**“配方”**。

步骤：
1. 攻击者先选定一个他想隐藏的“幽灵状态”（比如一个特定的车速或位置）。
2. 然后，他计算出一组数学变换，把这组数据“扭曲”一下。
3. 关键点：这种扭曲非常巧妙，它保留了数据原本的“骨架”（看起来还是原来的数据），但悄悄把那个“幽灵”塞进了系统的**“不可观测子空间”**（也就是系统的死角）。
比喻：就像魔术师把一只兔子塞进帽子里，但帽子看起来还是空的，因为兔子被藏在了帽子的“死角”里，观众（系统）的视线扫过去就看不见了。

B. 什么时候能成功？（可行性条件）

论文还告诉我们要**“看菜下碟”**。

并不是所有数据都能被这样攻击。论文给出了一个**“检查清单”**（基于数据的几何结构）。
比喻：如果原来的监控画面里，某些角落本来就是黑的（数据本身就有盲区），那么加滤镜就更容易成功；如果画面里每个角落都亮得刺眼，攻击者就很难找到地方藏“幽灵”。论文就是教你怎么判断这个“藏身之处”是否存在。

C. 如何用最少的力气？（最小范数攻击）

攻击者通常不想被察觉，所以希望改动越小越好。

论文设计了一个**“最小改动算法”。它计算：为了把系统搞瞎，我最少**需要修改多少数据？
比喻：就像你要把一幅画改得让人认不出来，你是想大笔一挥全涂黑（太明显），还是只动几笔关键的线条（隐蔽）？论文算出了那个“最关键的几笔”，并告诉你，如果系统本身离“瞎”很近，你只需要动一根头发丝那么细的改动就能让它彻底失效。

5. 实验结果：哪里最脆弱？

论文用了一个**“五节点网络”**（像一条线连着的五个点）做实验。

发现：攻击者发现，只要修改靠近“摄像头”（测量点）的那几个节点的数据，就能用最小的代价让系统变瞎。
比喻：就像你要让一个看门人看不见小偷，你不需要把整个大楼的灯都关掉，只需要把门口那盏灯稍微调暗一点点，或者在门口放个反光镜，效果就立竿见影。离“眼睛”越近的地方，越容易被攻击。

总结

这篇论文就像是在给数据驱动系统的安全专家敲警钟：

“别以为数据看起来丰富、完整就安全了。高明的攻击者可以像给照片加滤镜一样，在不动声色中把数据‘洗’成系统看不见的样子。我们需要知道，离‘眼睛’（传感器）最近的那些数据节点，其实是最脆弱的，需要重点保护。”

这就提醒未来的系统设计师：在依赖数据做决策时，不仅要检查数据“够不够多”，还要警惕数据是否被“精心修饰”过。

这是一份关于论文《Data Poisoning Attacks on Informativity for Observability: Invariance-Based Synthesis》（基于不变性合成的可观测性信息量数据投毒攻击）的详细技术总结。

1. 研究背景与问题定义 (Problem)

背景：
数据驱动控制（Data-driven Control）利用测量数据直接分析系统特性（如稳定性、可观测性）并设计控制器，而无需先验模型。其中，“数据信息量”（Data Informativity）是核心理论基础，用于判断数据是否足以唯一确定系统属性。现有的基于秩条件（Rank-type conditions）和线性矩阵不等式（LMIs）的认证方法通常假设数据受随机噪声影响，认为难以被故意破坏。

问题：
本文研究了针对基于信息量分析（特别是强可观测性，Strong Observability）的网络攻击。

攻击者能力：攻击者可以对有限时间序列数据矩阵进行可逆的线性变换（Invertible Linear Transformation）。这种变换旨在保持数据的表面丰富性（如保持矩阵秩、持续激励性），从而避免被传统检测手段发现（即“隐蔽性”）。
攻击目标：通过变换数据，使得变换后的数据集不再具备强可观测性信息量。具体而言，攻击者试图将非零状态嵌入到变换后数据集的“数据驱动弱不可观测子空间”中，导致基于该数据的所有兼容模型集中包含弱不可观测模型，从而使基于该数据的控制器设计（如观测器设计）失效或不可行。

2. 方法论 (Methodology)

本文提出了一种基于不变子空间（Invariant Subspace）和几何条件的攻击合成方法。

2.1 理论基础

仿射模型集：利用去噪后的数据构建仿射模型集 $\Sigma(D) = \{A \mid R(D) = QAP(D)\}$ 。
弱不可观测系数空间：定义 $J^*(D)$ 为能够生成弱不可观测状态轨迹的系数空间。数据具有强可观测性信息量的充要条件是 $J^*(D) \subseteq \ker P(D)$ （即所有系数向量生成的状态均为零）。
攻击条件：攻击成功的条件是构造变换 $\Phi_a$ ，使得变换后的数据 $\tilde{D}$ 满足 $J^*(\tilde{D}) \not\subseteq \ker P(\tilde{D})$ ，即存在非零系数向量生成非零状态。

2.2 攻击设计算法 (Algorithm 1)

攻击者通过以下步骤构造变换矩阵 $\Phi_a$ （分块对角矩阵，分别作用于 $X_-, X_+, U_-, Y_-$ ）：

选择攻击方向：选择一个向量 $v$ ，使其属于原始弱不可观测系数空间 $J^*(D)$ 的正交补空间，但不在特定子空间内。
设定恶意特征：攻击者预设一个恶意模型 $A_{mal}$ 及其特征对 $(\tilde{\lambda}, \tilde{x}_0)$ ，使得 $(A_{mal}, B, C, D)$ 是弱不可观测的。
构造目标轨迹：基于 $A_{mal}$ 计算一步虚拟轨迹目标向量（ $\tilde{x}_1, \tilde{u}_0, \tilde{y}_0$ ）。
构造变换矩阵：利用秩-1 更新公式 $\Phi_Z = I + (z_{tar} - Zv)\xi_Z^T$ $Φ_{Z} = I + (z_{t a r} - Z v) ξ_{Z}^{T}$ 构造变换矩阵。
- 关键约束： $\xi_Z$ 需满足 $\xi_Z^T Z w = 0$ 对所有 $w \in J^*(D)$ 成立（保持原始不可观测方向不变，增强隐蔽性），且 $\xi_Z^T Z v = 1$ （在攻击方向 $v$ 上注入恶意状态）。
可行性条件：提出了基于几何维度的可行性判据（Proposition 1），即原始数据生成的弱不可观测子空间图像不能填满整个数据矩阵的行空间。

2.3 最小范数攻击 (Minimum-Norm Attack)

为了量化破坏信息量所需的最小数据扰动（即系统的脆弱性度量），论文将攻击设计转化为优化问题：

目标：最小化 Frobenius 范数 $\|\Delta D\|_F$ 。
策略：固定扰动仅作用于 $X_+$ 矩阵（其他矩阵保持原样），联合优化特征值 $\tilde{\lambda}$ 和系数向量 $v$ 。
数学形式：问题转化为最小化 $\frac{\|(\lambda X_- - X_+ + B U_-)v\|^2}{\|proj_{S_+}(v)\|^2}$ 。
物理意义：该优化问题寻找的是距离“不可观测边界”最近的模态（即 Hautus 测试残差最小的模态），并以最小的位移将其推入不可观测区域。

3. 主要贡献 (Key Contributions)

构造性攻击方法：首次提出了针对数据驱动强可观测性分析的基于不变子空间的构造性攻击方法。证明了通过可逆线性变换，可以在保持数据秩不变的情况下，将恶意状态嵌入到弱不可观测子空间中，从而破坏信息量认证。
可行性判据：推导了攻击存在的几何和秩型等价条件。这些条件仅依赖于数据矩阵的结构，为评估给定数据集是否易受此类变换攻击提供了可计算的测试标准。
最小扰动量化与脆弱性度量：提出了最小范数攻击公式，量化了破坏信息量所需的最小数据失真。该值可作为数据驱动认证系统的鲁棒性度量（距离非信息量的距离）。
理论联系：揭示了最小范数攻击与数据驱动 Hautus 测试（Hautus test）之间的内在联系，表明攻击本质上是寻找最接近不可观测边界的系统模态。

4. 实验结果 (Results)

数值算例：在一个 5 节点线性动态网络模型（线型拓扑）上进行了仿真。
攻击效果：
- 成功构造了变换矩阵 $\Phi_a$ ，使得变换后的数据不再具备强可观测性信息量。
- 嵌入的恶意特征对为 $\tilde{\lambda}^* \approx 0.5014$ ，对应的状态向量主要集中在节点 3 和 4。
扰动分析：
- 最小扰动范数仅为 $\|\Delta X_+\|_F = 0.0758$ ，相对误差约为 $0.37\%$ 。
- 局部性：攻击能量高度集中在网络拓扑中距离测量节点较近的节点（节点 2 和 3）。节点 2 的贡献率高达 96.4%。
- 解释：在链式拓扑中，距离测量点越近的节点，其状态对输出影响越直接。因此，为了以最小能量破坏可观测性，攻击者倾向于扰动这些“关键节点”的数据。

5. 意义与启示 (Significance)

安全威胁揭示：打破了“基于秩条件的信息量认证在随机噪声下是鲁棒的”这一假设。证明了即使数据秩未降低，精心设计的结构化线性变换也能彻底破坏系统的可观测性认证。
防御方向：
- 传统的基于统计异常检测（如检查数据分布）可能无法发现此类攻击，因为变换是可逆且保持秩的。
- 防御重点应放在网络拓扑中距离测量点较近的“关键节点”上，因为这些节点的数据对可观测性最敏感，也是攻击者最容易利用的薄弱点。
未来工作：论文指出未来的研究方向包括扩展到其他系统属性（如可控性、稳定化），以及开发基于不变子空间变换的攻击检测和原始数据恢复方法。

总结：该论文从理论高度揭示了数据驱动控制中信息量认证的脆弱性，提供了一种隐蔽且高效的攻击范式，并给出了量化系统脆弱性的数学工具，为构建更鲁棒的数据驱动控制系统提供了重要的安全视角。