Domain-Prior-Regularized Graph Modeling for Anomaly Detection in Cyber-Physical Systems

Motivation

• Known: GNN 기반 이상 탐지 기법(GDN, MTAD-GAT, GReLeN, GANF, GCAD 등)은 센서 간 관계를 그래프로 모델링하여 전파 패턴을 포착함으로써 비-그래프 기반 기법 대비 탐지 성능을 향상시켰다는 것이 알려져 있다.
• Gap: 그러나 기존 그래프 기반 방법들은 end-to-end 학습이나 상관관계 임계값 기반으로 그래프를 구성하는데, 이는 정상 운영 데이터가 제한적인 소규모 CPS에서 spurious correlation을 포착하거나 불안정한 센서 토폴로지를 만드는 문제가 있다.
• Why: 레이블된 이상치와 정상 데이터가 부족한 산업 CPS 환경에서 물리적 인과 경로를 반영한 신뢰할 수 있는 그래프 구조를 구축하는 것은 조기 결함/공격 탐지와 안전 사고 예방에 직결되므로 실용적으로 중요하다.
• Approach: 도메인 지식(시스템 설계 문서)을 LLM으로 추출한 이진 domain adjacency matrix를 구조적 게이트로 삼아 허용되지 않은 엣지를 원천 차단하고, 허용된 엣지의 가중치는 정상 데이터의 Pearson correlation으로 변조하며, 이상 점수는 coefficient of variation(CV) 기반 센서 신뢰도로 재가중하는 forecasting 기반 프레임워크(DPR-GM)를 제안한다.

Achievement

1. DPR-GM 프레임워크 제안: 도메인 지식 기반 이진 인접 행렬을 구조적 게이트로 사용하고 Pearson correlation으로 엣지 가중치를 변조하며, CV 기반 신뢰도로 이상 점수를 가중하는, 학습 파라미터가 전혀 없는 그래프 구성 방법을 제시했다.
2. SKAB 벤치마크 성능 우위 입증: 엄격한 point-wise 평가 프로토콜 하에서 그래프 기반, 통계적, 딥러닝 베이스라인 대비 F1, AUROC, AUPRC 전반에서 우수한 성능을 보였다.
3. LLM 기반 자동 도메인 프라이어 추출: 전문가 수작업 주석 없이 시스템 문서로부터 LLM을 통해 자동으로 방향성 물리적 커플링을 추출할 수 있음을 보여 적용 가능성을 확장했다.
4. 체계적 ablation을 통한 정보 소스 결합 효과 검증: 도메인 구조와 데이터 기반 엣지 변조를 결합하는 것이 각 정보 소스를 단독으로 사용하는 것보다 일관되게 우수함을 입증했다.

How

• 시스템 문서를 LLM에 프롬프팅하여 센서 쌍 간 방향성 물리적 커플링을 추출하고 이를 이진 domain adjacency matrix로 인코딩
• 이 이진 행렬을 구조적 게이트로 사용하여 도메인 지식에 의해 허용되지 않은 엣지를 억제
• 허용된 엣지의 가중치는 정상 학습 데이터에서 추정한 signed Pearson correlation으로 변조
• 공유 temporal encoder로 센서 시계열을 인코딩하고, 도메인 프라이어 그래프 위에서 GNN 기반 전파를 통해 multi-step 예측을 생성 (forecasting 기반 이상 탐지)
• 이상 점수는 각 센서의 coefficient of variation(CV)에서 파생된 센서별 신뢰도 가중치로 추가 재가중
• 그래프 구조와 가중치 요소 전부를 학습 이전에 고정하여 추가 학습 파라미터 없이 구현
• SKAB 벤치마크에서 strict point-wise 평가 프로토콜 하에 그래프 구성 변형에 대한 체계적 ablation 수행

Originality

• 그래프 기반 이상 탐지에서 그래프 구조를 학습 파라미터가 아닌 도메인 지식 기반의 고정된 구조적 게이트로 설정한 점이 기존 GDN, GReLeN 등의 학습 기반 그래프 구성과 차별화됨
• LLM을 활용해 시스템 문서로부터 방향성 물리적 커플링을 자동 추출하는 파이프라인은 전문가 수작업 주석 없이 도메인 프라이어를 확보할 수 있게 하여 적용 범위를 확장함
• CV 기반 센서 신뢰도 가중치를 이상 점수에 도입하여 채널 중요도를 학습이 아닌 통계적 방식으로 반영한 점이 CATCH 등에서 제기된 채널 중요도 이슈에 대한 대안적 해법을 제시함
• 이진 도메인 게이트와 데이터 기반 상관관계 변조를 결합하는 2단계 구조가 데이터가 부족한 환경에서 각 정보원을 단독 사용하는 것보다 안정적인 성능을 제공함을 실증적으로 보임

Limitation & Further Study

• LLM을 통한 도메인 프라이어 추출의 정확성과 일관성에 대한 정량적 검증(예: 다른 LLM이나 프롬프트에 대한 민감도 분석)이 본문 발췌에서는 명확히 드러나지 않음
• 단일 벤치마크(SKAB)에 대한 평가로, 더 다양한 CPS 도메인(예: 전력망, 화학 공정)에 대한 일반화 가능성 검증이 필요함
• 시스템 문서가 부실하거나 존재하지 않는 CPS에서는 도메인 프라이어 추출 자체가 어려울 수 있어 적용 가능성에 제약이 있을 수 있음
• 완전히 고정된 그래프와 가중치 구조로 인해 학습 데이터가 충분히 많아지는 경우 오히려 표현력의 한계로 작용할 가능성에 대한 논의가 부족함
• 후속 연구로 다양한 CPS 도메인 및 문서 품질에 따른 강건성 평가, 그리고 부분적으로 학습 가능한 하이브리드 그래프 구조와의 비교가 필요함

Evaluation

총평: 학습 파라미터 없이 도메인 지식과 통계적 상관관계를 결합한 그래프 프라이어를 통해 데이터가 부족한 CPS 이상 탐지 문제를 실용적으로 해결한 참신한 접근으로, LLM 기반 자동 도메인 추출과 결합된 점이 특히 인상적이나 단일 벤치마크 검증의 한계가 있어 추가적인 일반화 검증이 필요하다.