異常検知2026/8/24arXiv:2608.23547

産業制御システムにおける異常検知モデルの訓練時データ汚染に対する堅牢性

Robustness of Anomaly Detection Models for Industrial Control Systems under Training-Time Data Contamination

産業制御システムの異常検知モデルが、訓練データに攻撃サンプルやノイズが混入した場合の性能劣化を、SWaTベンチマークで11種類の検知器を用いて評価した論文。

詳しい要約

1. どんなもの？

本研究は、産業用制御システム（ICS）における機械学習ベースの異常検知モデルが、訓練データの汚染（training-time data contamination）に対してどの程度頑健かを評価した論文である。Secure Water Treatment (SWaT) ベンチマークを用い、11種類の異なる異常検知器を対象に、ランダム注入、類似性ターゲット注入、特徴ノイズ注入の3種類の汚染戦略を適用し、汚染予算1%から10%の範囲で頑健性を体系的に比較している。

2. 先行研究と比べてどこがすごい？

先行研究の多くは、異常検知器の訓練データが信頼できると暗黙に仮定している。本研究は、実際の運用では訓練データが改ざんされたログやラベル誤り、操作された履歴記録、安全でない再訓練プロセスなどによって汚染され得るという現実に着目し、オフラインのICS異常検知パイプライン全体の頑健性を初めて体系的に評価した点が新しい。また、勾配ベースの毒殺攻撃ではなく、汚染ベースの攻撃に焦点を当て、モデル依存性やクリーンデータ性能との非相関性を明らかにした。

3. 技術・手法の肝は？

手法の肝は、統一されたオフラインプロトコルの下で、11種類の異なる異常検知器（PCA, SVM, HBOS, IForest, ニューラル検知器など）を評価する点にある。汚染戦略として、攻撃サンプルを正常訓練プールに挿入するランダム注入と類似性ターゲット注入、および選択された正常訓練サンプルに有界なガウスノイズを加える特徴ノイズ注入の3つを定義し、汚染予算を1%から10%まで変化させた。評価にはクリーンな検証セットとテストセットを使用し、各モデルの頑健性を比較した。

4. どうやって有効だと検証した？

SWaTベンチマークを用いて、11種類の異常検知器を3種類の汚染戦略と複数の汚染予算（1%〜10%）で評価した。クリーンな検証セットとテストセットを使用し、統一されたオフラインプロトコルで性能を測定した。結果として、注入ベースの汚染が特に局所密度ベースおよび距離ベースの検知器に大きな性能劣化をもたらすこと、特徴ノイズ汚染の影響は比較的限定的であること、PCA、SVM、HBOS、IForestは比較的安定していること、調整されたニューラル検知器は中間的な頑健性を示すことを確認した。

5. 議論はある？

議論として、頑健性はモデルに強く依存し、クリーンデータでの性能からは予測できないことが示された。これは、訓練データの完全性がMLベースのICS監視において重要であることを強調している。ただし、評価はSWaTデータセット、特定のモデル、および脅威仮定に限定されており、他のICS環境や攻撃モデルへの一般化には注意が必要である。また、汚染攻撃は勾配ベースの毒殺ではなく、汚染ベースに限定されている点も議論の余地がある。

6. 次に読むべき論文は？

要旨からは、次に読むべき具体的な論文は不明である。ただし、関連する研究として、ICS異常検知のベンチマークであるSWaTを用いた他の研究や、訓練データ汚染や毒殺攻撃に対する防御手法に関する研究が挙げられる。また、異常検知の頑健性を扱った一般的な研究も関連する。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Mustafa Umut Ozbek, Taiwo Ojo, Pooria Madani, Khalil El-Khatib, Li Yang

分類: cs.CR, cs.LG

原文アブストラクト

Machine-learning-based anomaly detection is increasingly used in industrial control systems (ICS), yet most studies assume that detector training data is trustworthy. In practice, training data may be corrupted through compromised logs, labeling errors, manipulated historian records, or unsafe retraining processes. This paper evaluates the robustness of offline ICS anomaly-detection pipelines on the Secure Water Treatment (SWaT) benchmark under training-time contamination. We assess 11 heterogeneous anomaly detectors under three contamination strategies: random injection, similarity-targeted injection, and feature-noise injection. The first two insert attack samples into the nominal training pool, while the third adds bounded Gaussian noise to selected normal training samples. These attacks are contamination-based rather than gradient-driven poisoning methods. Contamination budgets from 1% to 10% are evaluated using clean validation and test sets under a unified offline protocol. The results show that robustness is strongly model-dependent and cannot be predicted from clean-data performance alone. Injection-based contamination causes the greatest degradation, particularly for local-density and distance-based detectors, whereas feature-noise contamination has a comparatively limited effect. PCA, SVM, HBOS, and IForest remain relatively stable, while the tuned neural detectors demonstrate intermediate robustness. Overall, the findings highlight the importance of training-data integrity in ML-enabled ICS monitoring, subject to the evaluated dataset, models, and threat assumptions.

arXivで原文を読む →arXiv概要ページ