ICS異常検知モデル、学習データ汚染で性能劣化 SWaTベンチマークで11モデル評価

何が起きたか

arxiv.orgに2026年8月24日付で公開された論文は、産業制御システム(ICS)向け機械学習異常検知モデルの頑健性を、SWaTベンチマークと11種の検知器を用いて評価した。汚染予算1%から10%の範囲で、ランダム注入・類似性標的注入・特徴ノイズ注入の3戦略を適用し、注入型汚染が局所密度・距離ベース検知器に大きな劣化をもたらすことを示した。

詳細

評価対象はPCA、SVM、HBOS、IForest、および調整済みニューラル検知器を含む11種。汚染戦略は、攻撃サンプルを正常学習プールに挿入するランダム注入と類似性標的注入、および選択した正常学習サンプルに有界ガウスノイズを加える特徴ノイズ注入の3種。クリーンな検証・テストセットを用いた統一オフラインプロトコルで評価した。結果、PCA、SVM、HBOS、IForestは比較的安定で、調整済みニューラル検知器は中間的な頑健性を示した。

Key Facts

本紙の見方

本研究の核心は、ICS異常検知の実運用で前提とされる「学習データの信頼性」を揺るがす点にある。従来の研究はクリーンな学習データを暗黙に仮定し、検知器の性能比較に注力してきた。しかし、実際のプラントでは、ログの改ざん、ラベル誤り、ヒストリアン記録の操作、不適切な再学習プロセスなど、学習データが汚染される経路は複数存在する。本論文は、この現実的な脅威を体系的に評価した点で新規性がある。 結果は「モデル依存性が強く、クリーンデータ性能から頑健性を予測できない」ことを示す。これは、ベンチマークで高精度を示すモデルが、汚染下では脆弱である可能性を意味し、実運用でのモデル選択に重要な示唆を与える。特に、局所密度・距離ベース検知器が注入型汚染で大きく劣化する一方、PCA、SVM、HBOS、IForestは比較的安定であるという結果は、従来の性能比較だけでは見えない頑健性の差異を浮き彫りにする。 本論文の限界として、評価がSWaTという特定のベンチマークと11モデルに限定され、汚染戦略も3種に限られる。また、汚染は勾配ベースの毒物注入ではなく、あくまで「汚染ベース」であり、攻撃者の知識や適応性は限定的である。実プラントでの汚染経路はより多様で、時系列的な依存関係や物理的制約を考慮する必要がある。 今後確認すべき点として、第一に、他のICSベンチマーク（例えば、水処理以外のプラント）での頑健性の一般化可能性、第二に、汚染検知や防御手法（データ検証、ロバスト学習など）の有効性、第三に、オンライン学習や転移学習のシナリオでの汚染の影響が挙げられる。

なぜ重要か

ICS異常検知は重要インフラの安全監視に不可欠であり、学習データの汚染は誤検知や見逃しを引き起こし、物理的な被害につながりかねない。本研究は、モデル選択や運用時のデータ品質管理に新たな視点を提供し、MLベースICS監視の信頼性向上に寄与する。