PhaseNet++: Phase-Aware Frequency-Domain Anomaly Detection for Industrial Control Systems via Phase Coherence Graphs

以下是论文《PhaseNet++：基于相位相干图的工业控制系统相位感知频域异常检测》的详细技术总结。

1. 问题陈述

工业控制系统（ICS）是关键基础设施组件（例如水处理、电力网），易受网络物理攻击的影响。现有的异常检测方法主要依赖传感器数据的时域幅值，采用图神经网络（GNN）、Transformer 或变分自编码器（VAE）等架构。

核心差距： 这些方法通常在预处理过程中丢弃傅里叶相位谱。然而，在物理系统中，传感器是耦合的；它们的相互作用不仅由相似的数值大小定义，更由一致的时间关系和同步性定义。

• 挑战： 诸如重放攻击（重放旧数据）或延迟注入等攻击可以保持逼真的幅值轮廓，同时破坏传感器之间精确的相位同步。仅依赖时域幅值的模型难以直接检测这些细微的时间不一致性。

2. 方法论：PhaseNet++

PhaseNet++ 是一种频域自编码器，旨在通过显式建模相位关系来检测异常。它在多元传感器数据的滑动窗口上运行。

A. 输入表示（STFT）

模型不对原始时间序列进行处理，而是对传感器窗口应用短时傅里叶变换（STFT）。

• 它同时保留幅值（$M$）和相位（$\Phi$）谱。
• 相位谱被视为一等信号，捕捉了仅靠幅值无法获取的窗口内时间偏移。

B. 相位相干指数（PCI）

为了利用传感器的物理耦合特性，作者引入了受神经科学中相位锁定值（PLV）启发的相位相干指数（PCI）。

• 机制： 它计算每对传感器（$i, j$）之间所有频率 bin 的成对相位一致性。
• 输出： 一个连续邻接矩阵 $A \in [0, 1]^{C \times C}$。
• 意义： 在正常运行下，物理耦合的传感器具有稳定的相位滞后，导致 $A_{ij}$ 较高。在攻击期间（例如重放或延迟），这种相干性被破坏，导致 $A_{ij}$ 下降。该矩阵作为图网络的物理信息空间先验。

C. 网络架构

模型遵循包含四个阶段的编码器 - 解码器结构：

1. 谱 CNN 嵌入： 一个轻量级 1D CNN 独立地从每个传感器的幅值和相位谱中提取特征。
2. PCI 加权图注意力（GAT）： 图注意力网络对嵌入进行细化。关键在于，PCI 矩阵（$A_{ij}$） 直接乘以注意力机制。这迫使模型优先在相位同步的传感器之间传播信息，而不是纯粹从数据相关性中学习邻接关系。
3. 传感器 Token Transformer 编码器： Transformer 捕捉传感器维度上的全局系统结构（而非时间维度，因为时间信息已总结在谱特征中）。
4. 双头解码器： 两个独立的头分别重构幅值和相位谱。

D. 训练目标

模型最小化一个复合损失函数：
$$\mathcal{L} = \alpha \mathcal{L}_{mag} + \beta \mathcal{L}_{phase} + \gamma \mathcal{L}_{coh}$$

• $\mathcal{L}_{mag}$（MSE）： 幅值的标准重构误差。
• $\mathcal{L}_{phase}$（循环损失）： 使用余弦损失（$1 - \cos(\hat{\Phi} - \Phi)$）代替欧几里得 MSE。这尊重了相位的角度几何特性（处理 $\pm \pi$ 处的环绕），并防止了不连续误差。
• $\mathcal{L}_{coh}$（相干损失）： 从重构的相位重新估计 PCI 矩阵，并将其与原始 PCI 进行比较。这确保模型保留了跨传感器同步性，而不仅仅是单个传感器的数值。

3. 主要贡献

1. 相位作为一等信号： 这是第一项将傅里叶相位视为 ICS 中主要检测特征的系统性研究，使用循环损失重构相位，而不是将其视为标准的欧几里得通道。
2. PCI 作为图结构： 提出了一种从成对相位相干性（一种物理量）而非学习到的嵌入中推导图邻接的方法，将基于物理的先验注入注意力机制。
3. 高效的归纳偏置： 相位感知组件（谱 CNN + PCI-GAT）仅增加了 264,816 个参数（占总参数 5.29M 的 5.0%），证明相位建模是一种轻量但强大的增强。
4. 新的评估协议： 作者采用了严格的窗口级评估且不使用点调整，与使用点调整启发式的方法相比，提供了更保守和现实的对模型内在判别能力的评估。

4. 实验结果

在**安全水处理（SWaT）**基准上进行评估：

• 性能：
  • F1 分数： 90.98%
  • ROC-AUC： 95.66%
  • 平均精度： 91.51%
• 对比：
  • 虽然 F1 分数略低于Anomaly Transformer（94.07%），但作者指出这是由于更严格的评估协议（无点调整）所致。
  • 在相同的 GDN 协议下，PhaseNet++ 优于 GDN（F1 为 90.98% 对 81.0%）。
  • 高 ROC-AUC 表明模型的异常分数具有高度判别性；排序指标与 F1 之间的差距表明瓶颈在于阈值校准，而非表征质量。
• 消融实验： 移除相位感知前端或 PCI 图模块会显著降低性能，证实了相位相干性对于检测基于时间的攻击的必要性。

5. 意义与未来方向

• 科学影响： 这项工作挑战了时域幅值建模在 ICS 安全中的主导地位。它证明了相位相干性是检测那些操纵时间（例如重放、延迟注入）但保留幅值统计特性的攻击的互补且关键的信号。
• 实用价值： 该方法轻量级，可以以最小的参数开销集成到现有的自编码器框架中。
• 未来工作： 作者建议融合相位感知和幅值感知表征，在其他数据集（WADI, BATADAL）上进行验证，并开发自适应阈值策略以缩小排序指标与 F1 分数之间的差距。

结论： PhaseNet++ 开辟了一个新的 ICS 异常检测方向，证明了编码在傅里叶相位谱中的物理过程“时间”是识别复杂网络物理攻击的关键信号。