一种用于物联网边缘工业控制系统中网络攻击检测的数字孪生与深度学习集成方法

《Scientific Reports》：A digital twin and deep-learning ensemble for cyber attack detection in industrial control systems at the IoT edge

　　

摘要

随着对手越来越多地利用人工智能（AI）来规避传统防御措施，工业控制系统（ICS）面临着日益严峻的网络威胁。本文介绍了一种基于数字孪生的安全框架：该框架通过实时、符合物理规律的虚拟副本来模拟被控制的工业过程，并与物理工厂中的传感器和执行器的遥测数据同步，从而验证、抑制或确认由深度学习模型产生的异常信号。物理孪生指的是闭环的ICS系统（如水处理、水分配或化学过程）；而数字孪生则是一个状态空间过程模型，它与扩展卡尔曼滤波器（Extended Kalman Filter）相结合，能够预测下一个传感器测量值，并在观测结果与物理规律预测值偏离时发出警报。检测层将这种数字孪生的异常信号与长短期记忆网络（LSTM）自编码器、基于注意力机制的变换器（attention-based transformer）以及隔离森林（Isolation Forest）相结合，通过一个经过校准的加权评分机制来融合这些信息。该评分机制会根据异常信号的强度来调整不同类型异常的权重——不违反物理规律的异常信号会被降低权重，而违反物理规律的隐蔽攻击则会得到更显著的响应。在三个基准数据集（Secure Water Treatment [SWaT]、Water Distribution [WADI] 和 Tennessee Eastman）上的测试中，该框架实现了97.6%的精确度、96.2%的召回率以及96.9的F1分数，推理延迟低于50毫秒。这一性能相比最强的基线模型（F1分数为93.7%）提升了3.2个百分点，并且残差误差减少了约50%。通过注意力可视化（attention visualization）和数字孪生异常分析（Digital-Twin residual analysis），该框架支持操作人员对检测结果进行验证。此外，该框架还集成了消息队列遥测传输协议（MQTT）和开放平台通信统一架构（OPC UA），支持分布式部署下的拜占庭容错共识机制（Byzantine fault-tolerant consensus），并对安全特性进行了形式化验证，从而为关键基础设施提供了符合国际电工委员会（IEC）62443-4-2标准要求的保护方案。