综述：网络物理系统安全：异常检测技术综合综述

《Internet of Things》：Cyber-Physical Systems Security: A Comprehensive Review of Anomaly Detection Techniques

　　丹尼尔·阿布沙里|米拉·斯里达尔
美国新泽西州霍博肯市史蒂文斯理工学院电气与计算机工程系

**摘要**
在日益互联的世界中，网络物理系统对于医疗、交通和制造业等关键行业而言至关重要，这类系统将物理过程与计算智能相结合。然而，这些系统的安全性却是一个重大问题。无论是传感器故障还是网络攻击所引发的异常情况，都可能导致灾难性后果，因此有效的异常检测对于防止损害和服务中断至关重要。本文对网络物理系统中的异常检测技术进行了全面综述。我们对各种方法进行了分类和比较，包括数据驱动方法（机器学习、深度学习、机器学习与深度学习集成）、模型驱动方法（数学模型、基于不变量的方法）、混合数据-模型方法（物理信息神经网络）以及以系统为导向的方法。通过分析每种方法的优点与缺点，本文为构建更安全、更可靠的系统提供了实用指导。同时，通过指出当前研究中的不足，本文旨在激发未来工作，进一步提升自动化世界中网络物理系统的安全性和适应性。

**引言**
在当今这个互联互通的世界里，网络物理系统正在悄然改变我们的生活方式和工作方式。这类复杂的系统将计算智能与物理过程无缝结合，构成了支撑现代社会的智能基础设施。从在繁忙街道上行驶的自动驾驶车辆，到保障电力供应的智能电网；从实时监测患者状况的医疗设备，到生产日常用品的制造系统，网络物理系统都是我们技术文明的隐形支柱[1]、[2]、[3]、[4]。

在更广泛的网络物理系统生态体系中，工业控制系统承担着关键任务，负责管理电力生成、水处理和制造业等领域的工作，而物联网则提供分布式感知层，使网络物理系统能够正常运行[5]、[6]、[7]、[8]、[9]。第3节将详细介绍它们的定义、区别以及架构关系。

然而，这种网络与物理领域的深度融合也带来一个严峻的现实：当这些系统出现故障或遭受攻击时，其后果远不止是电脑崩溃或数据丢失。无论是由网络攻击、组件故障还是环境干扰引起的异常，都可能导致医院停运、电网瘫痪、水源污染或生产线停滞。2010年针对伊朗核设施的“震网”攻击以及2015年对乌克兰电网的网络攻击，都充分表明网络物理系统的漏洞可能带来严重的现实影响[10]、[11]、[12]。

在异常造成严重破坏之前将其检测出来，已成为当今网络安全领域最紧迫的挑战之一。与传统IT系统相比，传统系统中异常主要影响数据完整性或服务可用性，而网络物理系统中的异常则可能直接威胁人类安全与关键基础设施。化工厂中故障的传感器、交通系统中被攻破的控制器，或是针对智能电网的协同网络攻击，都可能引发具有持久后果的灾难性故障[13]、[14]、[15]、[16]、[17]、[18]、[19]。

网络物理系统中的异常检测尤其复杂，因为这类系统必须区分正常的操作变化与真正的威胁。温度的突然升高可能表明有网络攻击试图破坏设备，也可能只是高峰需求期间正常的工艺波动。网络物理系统兼具连续的物理动态与离散的网络事件，这种特性使得异常检测问题在网络安全领域中独树一帜[20]、[21]。图1展示了这一核心挑战，说明了网络物理系统如何需要在时间序列传感器数据中区分正常操作变化与真正异常。

目前大多数研究主要集中在物理层面的异常，尤其是那些影响传感器、执行器和机械部件的异常[22]、[23]、[24]。这些方法通过监测温度、压力、振动和流量等参数，采用从简单的阈值警报到能够检测细微异常模式的复杂机器学习模型等多种手段[25]、[26]、[27]、[28]、[29]。尽管这些方法很有价值，但它们往往只关注物理层面的症状，未能全面了解网络异常与物理异常之间的相互作用及叠加效应。

近年来，针对网络物理系统异常检测的创新方法层出不穷[30]、[31]、[32]、[33]。研究人员开发了能够学习系统正常行为的机器学习算法，设计了可处理复杂传感器数据流的深度学习网络，还创造了利用已知物理定律的数学模型。每种方法都有其独特优势，同时也存在明显局限，为系统设计者和安全专家提供了多种选择。

尽管取得了这些进展，但我们对不同方法的对比以及它们在不同场景下的最佳应用时机仍缺乏深入理解。现有的综述通常聚焦于特定的技术方法或特定应用领域，很少能提供实践者所需的那种综合视角，以便他们做出明智决策。此外，网络物理系统架构与攻击技术的快速发展意味着，昨天的解决方案可能无法应对明天的威胁。

本文旨在通过全面且实用的视角，对网络物理系统中的异常检测技术进行剖析，从而解决上述问题。我们试图回答每个网络物理系统设计者和操作者都会面临的一个根本性问题：有哪些方法可用于检测网络物理系统中的异常？我们该如何根据具体需求和限制条件选择合适的方法？

我们的研究方法既系统又实用。我们研究了四类七种检测方法，包括数据驱动方法（机器学习、深度学习、机器学习与深度学习集成）、模型驱动方法（数学模型、基于不变量的方法）、混合数据-模型方法（物理信息神经网络），以及以系统为导向的方法和新兴替代方案。在评估这些方法时，我们不仅考虑其技术优势，还注重其在实际应用中的可行性。我们考虑了实践者关心的诸多因素，如检测精度、召回率、计算需求、实时性能、结果的可解释性以及部署的便捷性。最重要的是，我们还给出了关于何时以及为何选择某种方法的指导。

本研究既可作为致力于提升网络物理系统安全性的研究人员的全面参考资料，也可为负责保护关键基础设施的实践者提供实用指南。随着世界日益自动化和互联，通过有效的异常检测来确保网络物理系统的弹性与安全，不仅是一项技术挑战，更是整个社会的迫切需求。

虽然已有许多综述探讨了网络物理系统中的异常检测问题，但现有研究存在一个重大缺陷：它们过度关注安全威胁，而忽视了系统故障、软件错误、传感器故障以及操作异常等问题。2003年的美国东北部大停电就是由软件错误而非网络攻击引发的，影响了5000万人，然而这类非恶意故障在现有文献中却鲜有提及。

我们的综述做出了三项重要贡献。首先，我们将攻击与故障均视为异常类型进行了全面覆盖（定义1），因为从运营角度来看，及时检测比异常分类更为重要。其次，我们提出了一种统一的流程框架（见图6），该框架为实践者提供了完整的检测流程指导，整合了200多篇论文中的见解，形成了适用于不同领域、不同异常类型及不同运营条件的实用实施指南。第三，我们使用标准化数据集对七种方法进行了前所未有的对比分析（见表6），明确了灵敏度、计算需求与可解释性之间的实际权衡关系（见表4），同时还为攻击与故障同时发生的混合场景提供了指导，而这类场景在现有综述中几乎未被涉及。通过全面涵盖攻击与故障，并提供实用框架而非仅仅罗列技术方法，我们的综述既可为研究人员提供全面参考，也可为保护关键基础设施的实践者提供实用的决策依据。

与那些主要侧重安全威胁的现有网络物理系统综述，或是仅关注网络层面异常的物联网相关研究不同，本研究提供了一种统一的视角，将网络物理系统架构中的网络层与物理层的攻击与故障都纳入考量。

**研究路线**：第2节阐述了理解网络物理系统异常检测所需的基本概念和定义。第3节全面介绍了网络物理系统架构及其与工业控制系统的关系，强调了它们在各个行业中的重要性。第4节分析了网络物理系统面临的主要安全挑战，包括系统级漏洞、威胁来源及应对策略。作为综述的核心，第5节系统地对多种方法论下的异常检测技术进行了分类和分析，这些方法包括数据驱动方法（机器学习、深度学习、机器学习与深度学习集成）、模型驱动方法（数学模型、基于不变量的方法）、混合数据-模型方法（物理信息神经网络），以及以系统为导向的方法。第6节将这些不同的方法整合为一个统一框架，并根据网络物理系统的具体需求提出了实用的方法选择指南。第7节建立了完善的异常检测方法评估框架，包括性能指标、数据集分析，以及使用SWaT和WADI等成熟基准进行的对比评估。第8节探讨了实时异常检测的重要性，分析了实现过程中的挑战、计算限制以及实际部署时需要考虑的因素。第9节指出了当前研究中的一些新方向以及仍需进一步研究的难题。最后，第10节对全文内容进行了总结，并总结了研究人员与实践者应当关注的要点。

**片段摘录**
**现有网络物理系统综述中的安全导向局限性**
网络物理系统研究领域已经产生了大量综述，这些综述探讨了系统防护与监控的各个方面。然而，仔细分析后会发现一个根本性的问题：绝大多数现有综述都采取安全导向的视角，几乎只关注攻击检测，而忽视了现实中网络物理系统运行过程中存在的其他各类异常。最近的几篇综述[5]、[19]、[21]、[34]、[35]、[36]也体现了这一趋势，它们主要聚焦于……

**网络物理系统与工业控制系统**
网络物理系统通过嵌入式计算机、传感器和通信网络，将计算元素与物理过程相结合，从而实现对动态环境的监测与控制[23]、[50]、[51]。这类系统将软件与硬件紧密相连，实现了实时数据处理、自主控制以及自适应响应功能[52]。为了在各种应用领域保持系统的可靠性与高效性，这些系统需要计算模型与物理动态之间相互协调运作[53]。

**网络物理系统的安全挑战**
由于兼具数字与物理组件，网络物理系统面临着各种各样的安全挑战。这类系统被广泛应用于医疗、交通和关键基础设施等领域，因此必须同时防范来自网络领域和物理领域的威胁。由于其复杂性，这类系统的防护难度较大。为了更好地理解这些安全问题，我们可以将它们归纳为四个方面：系统级漏洞、威胁类型与攻击方式、安全措施与应对策略。

**异常检测**
异常检测在网络物理系统中起着至关重要的作用，因为它能够帮助识别那些偏离系统正常运行状态的不规则行为。这些异常往往可能是针对系统的恶意攻击所导致的，而这类偏离正常行为的状况可能会带来严重的后果。在网络物理系统中，异常不仅可能导致系统故障，还会造成经济损失，甚至危及人类生命。因此，通过有效检测异常，确保网络物理系统的安全与稳定至关重要。

**总体框架**
网络物理系统环境中的异常检测领域涵盖了多种方法，从机器学习与深度学习方法，到基于不变量的技术，以及其他创新策略。尽管这些方法各具特色，但它们大多遵循相同的框架，该框架包含以下几个关键步骤：
1. 数据收集：从网络物理系统或物联网环境中的各种传感器、执行器及网络组件处收集相关数据。这包括收集正常状态下的数据……

**异常检测方法的评估与验证**
对异常检测方法进行评估与验证，对于确保其有效性及可靠性具有重要意义。经过充分验证的方法能够让人相信它在实际应用中能够按预期发挥作用。评估过程可以分为以下几个阶段：……

**实时异常检测**
虽然第6节已经介绍了异常检测的一般流程，但本节则专门探讨在该流程需要在实时条件下运行时所面临的种种限制。实时异常检测对于确保网络物理系统的平稳运行至关重要。这类系统广泛应用于制造、交通和能源等行业，它们将物理过程与数字控制相结合[233]、[234]、[235]、[236]。它们依赖于……

**未来工作方向**
网络物理系统中的异常检测领域仍在不断发展，但仍有许多需要改进的地方和机遇。机器学习与深度学习方法已经显著提升了异常检测的能力，但它们仍然容易受到旨在欺骗它们的攻击的影响。未来的研究应致力于打造更加稳健的系统。例如，可以通过模拟攻击来训练模型，或者在不共享数据的情况下安全地共享模型，这些方法都有可能让系统更加可靠。

**结论**
网络物理系统中的异常检测是一门具有重要研究价值的领域，它在能源、交通和医疗等关键行业有着广泛的应用。与以往那些以安全为导向的综述不同，本文全面分析了网络物理系统中的异常检测方法，涵盖了恶意攻击与非恶意故障两种情况，梳理了七种不同的方法论类别，并使用标准化数据集对众多检测方法进行了深入的对比评估。每一……

**作者贡献**
丹尼尔·阿布沙里负责这项研究的构思、文献综述的撰写以及最终稿件的完成。Meera Sridhar担任顾问，为提升手稿质量提供了监督、指导以及重要的修改建议。数据与材料的可用性：不适用。资金支持：不适用。CRediT作者贡献说明：Danial Abshari：写作——初稿撰写、项目管理、方法设计、概念构思；Meera Sridhar：写作——审阅与编辑。利益冲突声明：作者们声明自己没有已知的可能影响本文所述工作的财务利益或个人关系。所有作者均确认没有此类利益冲突。作者们已填写Elsevier利益冲突声明表，未发现任何冲突。如果出现潜在冲突或某位作者……