Digital Twin Degradation: Detecting Cyber Physical Attacks via Temporal Inconsistencies
作者: Konstantinos E. Kampourakis, Vasileios Gkioulos, Sokratis Katsikas
分类: cs.CR, cs.AI, cs.LG
发布日期: 2026-08-17
备注: 18 pages, 2 figures
💡 一句话要点
提出基于时间一致性检测的数字双胞胎降级攻击识别方法
🎯 匹配领域: 支柱一：机器人控制 (Robot Control)
关键词: 数字双胞胎 网络物理系统 攻击检测 时间一致性 无监督学习 工业控制系统 异常检测
📋 核心要点
- 现有方法在对抗性环境中无法保证数字双胞胎的可靠性，导致监测和分析的准确性下降。
- 论文提出了一种基于时间一致性的检测框架，通过监测物理系统与数字双胞胎之间的差异来识别潜在攻击。
- 实验结果表明，该方法在SWaT数据集上实现了高达98%的检测可靠性，且误报率低于2%。
📝 摘要（中文）
数字双胞胎（DT）在监测和分析网络物理系统（CPS）中越来越受到重视。然而，在对抗性环境中，DT的可靠性无法得到保证。通信延迟、数据操控、传感器降级或部分信息丢失可能导致DT状态与其所代表的物理过程发生偏差。这种偏差会产生时间一致性问题，可能揭示网络物理攻击。本文提出了一种检测框架，监测物理系统与可能降级的DT视图之间的时间一致性。通过对正常系统行为进行训练，构建DT预测器以建模短期系统动态。在运行过程中，预测状态与观察状态之间的差异被转化为多视角时间特征，捕捉预测残差的幅度、持续性和演变。无监督密度模型用于表征正常一致性模式，而序列变化检测机制则识别出持续偏差，指示攻击。该方法在多个DT降级场景下的工业控制系统数据集上进行了评估，结果显示时间不一致模式能够实现可靠的事件级攻击检测。
🔬 方法详解
问题定义：本文旨在解决数字双胞胎在对抗性环境中由于通信延迟、数据操控等因素导致的状态偏差问题。现有方法通常依赖于攻击签名或标记数据，限制了其在实际应用中的有效性。
核心思路：提出的框架通过监测物理系统与数字双胞胎之间的时间一致性，利用预测残差的演变特征来识别攻击。这种方法不依赖于攻击签名，适应性强。
技术框架：整体架构包括DT预测器、无监督密度模型和序列变化检测机制。DT预测器基于正常行为训练，生成短期动态预测；无监督模型表征正常一致性；变化检测机制识别持续偏差。
关键创新：最重要的创新在于将时间一致性作为攻击检测的信号，利用降级的DT状态作为有效的监测指标，突破了传统异常检测方法的局限。
关键设计：在模型设计中，采用多视角时间特征提取预测残差，设置了合适的阈值以识别异常，并使用无监督学习方法来构建正常一致性模式。具体的参数设置和损失函数设计未在摘要中详细说明，需参考原文。
🖼️ 关键图片
📊 实验亮点
实验结果显示，提出的方法在SWaT数据集上实现了高达98%的检测可靠性，且误报率低于2%。与传统异常检测方法相比，该方法无需攻击签名或标记数据，且在DT视图降级情况下依然有效，展现出显著的性能提升。
🎯 应用场景
该研究的潜在应用领域包括工业控制系统、智能制造和物联网等领域，能够有效提升网络物理系统的安全性和可靠性。通过实时监测时间一致性，能够及时发现潜在的网络攻击，保障系统的正常运行。
📄 摘要（原文）
Digital Twins (DTs) are increasingly used to monitor and analyze Cyber Physical Systems (CPS). However, in adversarial environments, the fidelity of a DT cannot be assumed. Communication delays, data manipulation, sensor degradation, or partial information loss may cause the DT state to diverge from the physical process it represents. Such divergence creates temporal inconsistencies that may reveal cyber physical attacks. This paper proposes a detection framework that monitors temporal consistency between the physical system and a potentially degraded DT view. A DT predictor is trained exclusively on normal system behavior to model short-term system dynamics. During operation, discrepancies between predicted and observed states are transformed into multi-horizon temporal features capturing the magnitude, persistence, and evolution of prediction residuals. An unsupervised density model characterizes normal consistency patterns, while a sequential change detection mechanism identifies sustained deviations indicative of attacks. The approach is evaluated on three widely used Industrial Control System (ICS) datasets, SWaT, HAI, and BATADAL, under multiple DT degradation scenarios, including time desynchronization and partial observability loss. Results show that temporal inconsistency patterns enable reliable event-level attack detection with bounded false alarm rates and low detection latency. The proposed method achieves up to 98% detection reliability on SWaT and false alarm rates below 2%. Unlike conventional anomaly detection methods, the proposed framework does not require attack signatures or labeled attack data and remains effective even when the DT view is degraded. These results suggest that DT degradation, often treated as a limitation, can instead serve as a useful signal for cyber physical security monitoring.