基于改进的时空特征融合的工业数字孪生异常检测方法

《International Journal of Critical Infrastructure Protection》：Improved Spatio-Temporal Feature Fusion-based Anomaly Detection in Industrial Digital Twins

　　摘要：工业控制系统日益容易受到复杂的网络物理攻击，而现有的异常检测方法难以捕捉传感器之间的复杂空间相关性，也无法高效处理长时序的工业数据。为解决这些问题，本文提出了一种基于改进的时空特征融合的异常检测方法（ISTFAD），并将其与工业数字孪生系统相结合。ISTFAD首先通过整合余弦相似度、动态时间规整和KL散度来构建相似性图，然后利用多维图注意力机制来建模多个潜在子空间中的空间依赖关系。在时间建模方面，基于快速傅里叶变换的频域自注意力机制能够在降低计算复杂度的同时捕捉全局时间依赖关系。此外，还采用基于广义帕累托分布的自适应阈值调整方法，以提高对极端异常的检测灵敏度。在三个公开数据集（SWaT、WADI和GP）上的大量实验表明，ISTFAD的F1分数分别为0.966、0.951和0.894，在14种对比基准方法中表现最佳。进一步在能源企业用于攻防演练的真实数字孪生网络环境中进行的验证也证明了其实际有效性，平均F1分数达到0.970。所提出的方法为工业数字孪生环境中的异常检测提供了强大且高效的解决方案。

引言：工业控制系统是工业自动化的核心，在制造业、电力、化学工程和交通运输等领域得到广泛应用，用于监控和控制工业流程[1]。随着确定性网络、5G以及计算与网络融合的快速发展，现代工业控制系统正在演变为高度互联、智能化且具有确定性的系统[2]。然而，这种高度集成使得工业控制系统面临各种网络物理威胁，包括针对传感器的攻击，如数据注入或信号突然变化；涉及未经授权命令执行的执行器级攻击；网络层攻击，如数据包重放、命令伪造和拒绝服务攻击；以及来自恶意操作人员的人为攻击[3]。因此，异常检测已成为工业控制系统安全保障的关键技术，能够识别已知及此前未曾出现过的攻击。工业时间序列数据作为工业流程在信息空间的数字映射，包含了关于流程状态、设备性能和运行行为的重要信息[4]。通过整合工业时间序列数据，数字孪生技术作为一种极具前景的方法应运而生，它能够实现对物理系统的高精度建模和实时映射[5]。数字孪生技术通过构建虚拟操作环境和人机界面，能够隔离网络空间与物理空间，减少攻击面并强化边界安全[6]。此外，数字孪生技术还能实现状态复制、一致性验证、快速异常响应，以及通过持续监控和模拟进行安全评估，从而提升工业系统的韧性[7]。要充分发挥数字孪生技术在工业控制系统安全中的应用潜力，还需要进一步将其与先进的高维时间序列分析及异常检测方法相结合。

目前大多数工业控制系统异常检测方法都可以归结为基于预测或重建的建模范式，即通过比较观测到的系统行为与重建或预测出的系统行为之间的差异来识别异常。这类范式包括基于重建的自编码器和GANs，以及基于预测的图神经网络和基于Transformer的架构。如表1所示，包括USAD[8]、OmniAnomaly[9]、MAD-GAN[10]和LSTM-NDT[11]在内的代表性方法，都是利用多变量时间序列的重建或预测来捕捉时间依赖关系。尽管这些方法在建模局部时间动态方面效果良好，但它们通常假设传感器之间存在隐含或简化的关系，这限制了它们表示工业环境中复杂空间交互的能力。为解决这一问题，DuoGAT[12]、DGNN[13]、EGAD[14]和SF-ADL[15]等基于图的方法通过图结构和注意力机制明确建模了传感器间的依赖关系。然而，大多数现有的图方法依赖于静态拓扑结构或单一的相似度度量，这使得它们无法捕捉工业过程中异构且动态变化的关联关系，这一局限性在最近的动态图学习研究中得到了进一步强调[16]。与此同时，Hybrid Embeddings[17]、TranAD[18]、Efficient Transformer[1]和EST transformer[19]等基于Transformer的模型则通过自注意力机制提升了长距离时间依赖关系的建模能力。不过，传统的时域自注意力机制通常存在二次方级的计算复杂度，这会导致较高的计算开销，且不适用于长度较长的工业时间序列。此外，这些方法缺乏频域学习机制，因此无法有效处理具有周期性波动、噪声干扰和动态运行变化特征的工业时间序列。值得注意的是，大多数现有的工业控制系统异常检测方法仅在基准数据集上进行了验证，很少在基于数字孪生的工业环境中进行评估。

总体而言，尽管现有的方法涵盖了基于重建、基于图和基于Transformer的各种途径，但它们本质上都属于同一核心范式的不同实现形式，即学习正常行为并检测偏差。然而，现有的工业控制系统异常检测方法仍然面临两大挑战：一是无法充分建模复杂工业环境中异构传感器之间的依赖关系；二是无法在充满噪声的工业运行条件下高效提取长距离时间依赖关系。在基于数字孪生的工业系统中，由于系统动态更为复杂且实时性要求更高，这些局限性表现得更为明显。因此，迫切需要一种具备自适应鲁棒性以及高效长序列建模能力的集成型时空异常检测方法，用于工业控制系统数字孪生系统的安全防护。

鉴于上述局限性，本文研究了一种基于改进的时空特征融合的异常检测模型（ISTFAD），并将其集成到以数字孪生为导向的工业安全架构中，以便在复杂的工业环境中实现高效的异常识别和网络风险分析。该方法整合了多指标相似性图构建策略来建模异构传感器间的依赖关系，采用了频域自注意力机制来高效捕捉长距离时间模式，同时还加入了基于广义帕累托分布和SPOT算法的自适应阈值调整模块，以提高对极端异常的检测能力。本文的主要贡献如下：
• 提出了一种异构多语义依赖关系表示框架，用于建模工业传感器之间的复杂空间相关性。通过整合多种相似度度量和多维图注意力机制，该方法能够有效捕捉传统静态图结构所忽略的、具有异构性和动态变化特性的传感器依赖关系。（详情见第3.4节）
• 设计了一种频域自注意力机制，用于高效建模工业时间序列中的长距离时间依赖关系。与传统的时域自注意力机制相比，该机制在降低计算复杂度的同时，还能提高对含噪声和周期性工业信号的检测能力。（详情见第3.5节）
• 在SWaT、WADI、GP数据集以及一个真实的工业数字孪生网络平台上的大量实验，证明了所提出的ISTFAD方法的有效性、鲁棒性及其实际应用价值。

章节摘录：
以数字孪生为导向的工业控制系统安全检测：由于能够实时将物理过程与虚拟网络表征同步，数字孪生技术已成为实现智能工业控制系统安全的关键技术。早期的研究主要集中在数字孪生系统的概念架构和工业应用方面。Tao、Zhang和Liu[5]系统总结了数字孪生技术的基本框架及其工业应用场景，强调了其在监控和预测性维护方面的潜力。随后，Eckhart和Ekelhart[6]...

问题定义：本文致力于工业控制时间序列数据的异常检测任务。设工业传感器采集的时间序列数据可表示为一个动态变化的序列X={x1,x2,x3,…,xl}∈Rl×n，其中l表示时间序列的总长度，n为传感器的数量，xt∈Rn则表示时间戳t时n个传感器的观测向量。异常检测的目标就是识别时间序列中的潜在异常值。给定训练输入数据集：实验中使用了三个公开的時間序列数据集，即SWaT、WADI和GP。表2详细介绍了每个数据集的情况。SWA T（安全水处理）：这是一个用于水处理厂工业控制系统安全的基准数据集，包含51个传感器在11天运行期间采集的数据，其中包括7天的正常运行数据和4天的攻击场景数据[47]。WADI（水资源分配）：它是SWA T系统的扩展版本，包含的数据来自...

结论：在工业控制系统日益智能化和复杂的背景下，数字孪生技术凭借其实时建模能力和对物理实体的高精度映射功能，逐渐成为工业安全防御的重要支撑技术。本研究聚焦于工业控制时间序列的异常检测技术，有效解决了现有方法在表征空间相关特征方面的不足。在三个公开数据集SWA T、CRediT作者贡献声明：李继凡：写作——审阅与编辑、写作——初稿撰写、可视化、验证、软件开发、方法论设计、研究实施、数据整理。卢斌：写作——审阅与编辑、可视化、监督指导、方法论设计、形式化分析。张伟：写作——审阅与编辑、监督指导、软件开发、项目管理、方法论设计。李继凡|卢斌|张伟