Tổng quan về luận án

Sự chuyển dịch của các hệ thống điều khiển công nghiệp (Industrial Control Systems - ICS), bao gồm hệ thống điều khiển giám sát và thu thập dữ liệu (Supervisory Control and Data Acquisition - SCADA) và hệ thống điều khiển phân tán (Distributed Control System - DCS), từ các kiến trúc mạng cô lập sang môi trường kết nối mở qua Ethernet công nghiệp, mạng không dây và Internet đã mở ra những nguy cơ an ninh mạng nghiêm trọng. Các biến cố thực tế mang tính lịch sử như sâu máy tính Stuxnet (2010) phá hoại các bộ điều khiển logic khả trình (PLC) của nhà máy làm giàu hạt nhân Iran, sự cố mã độc Industroyer (2022) làm tê liệt lưới điện cao áp Ukraine, hay cuộc tấn công nhắm vào hãng nhôm Norsk Hydro (2019) gây thiệt hại hơn 52 triệu USD đã chứng minh tính dễ bị tổn thương của tầng điều khiển vật lý (Cyber-Physical Layer).

Khoảng trống nghiên cứu then chốt (research gap) nằm ở chỗ các thuật toán phát hiện bất thường kinh điển (chẳng hạn như kiểm định phân kỳ Kullback-Leibler - K-L) hoàn toàn bị vô hiệu hóa trước các hình thức tấn công tàng hình cấp tiến, đặc biệt là tấn công tuyến tính (Cyber Linear Attack) tác động trực tiếp vào các kênh truyền thông cảm biến - điều khiển (các điểm tấn công $A_9$ và $A_{10}$). Đồng thời, các giải pháp học máy truyền thống khi áp dụng vào không gian dữ liệu SCADA công nghiệp thường đối mặt với tỷ lệ cảnh báo sai (False Positive Rate) cao và độ chính xác phân loại chưa tối ưu trước các hình thái tấn công giả mạo dữ liệu đa dạng.

Luận án tiến sĩ kỹ thuật chuyên ngành Kỹ thuật điều khiển và Tự động hóa (Mã số: 9520216) của nghiên cứu sinh Nguyễn Đức Dương, được thực hiện dưới sự hướng dẫn khoa học của TS. Cung Thành Long và PGS. Lê Minh Thùy tại Đại học Bách Khoa Hà Nội (2024), đã giải quyết toàn diện bài toán bảo vệ tính toàn vẹn dữ liệu cho ICS thông qua hai câu hỏi nghiên cứu và giả thuyết tương ứng:

  • Câu hỏi nghiên cứu 1 ($RQ_1$): Làm thế nào để phát hiện hiệu quả dạng tấn công tuyến tính tàng hình khi phương pháp phát hiện K-L bị vượt qua?
    • Giả thuyết 1 ($H_1$): Các thuật toán kiểm định thống kê tuần tự trên chuỗi phần dư của bộ lọc Kalman (như FMA, WL CUSUM, CUSUM, $\chi^2$) có khả năng thiết lập tầng bảo vệ thứ hai để phát hiện tấn công tuyến tính với độ trễ thấp và xác suất phát hiện cao.
  • Câu hỏi nghiên cứu 2 ($RQ_2$): Kiến trúc học máy nào tối ưu hóa khả năng phân loại xâm nhập đa lớp trên các giao thức mạng SCADA phức tạp?
    • Giả thuyết 2 ($H_2$): Mô hình học máy xếp chồng (Stacking Ensemble) kết hợp các bộ phân loại cấp cơ sở đa dạng (Random Forest, LightGBM, XGBoost) với bộ phân loại meta mạng nơ-ron đa tầng (MLP) có thể nâng cao vượt bậc độ chính xác nhận dạng tấn công nhị phân và đa lớp.

Khung lý thuyết của nghiên cứu tích hợp sâu sắc giữa Lý thuyết ước lượng trạng thái ngẫu nhiên (Stochastic State Estimation), Lý thuyết kiểm định điểm thay đổi tuần tự (Sequential Change-Point Detection) và Lý thuyết học máy tổ hợp (Ensemble Learning). Đóng góp mang tính đột phá của công trình được định lượng qua việc xác định chính xác khoảng ngưỡng phân kỳ của các thuật toán thống kê trên mô hình hệ thống đa biến MIMO và hệ thống bình trộn nhiệt, đồng thời thiết lập mô hình Stacking đạt độ chính xác 99,72% (cho bài toán nhị phân) và 99,62% (cho bài toán đa lớp 8 nhãn) trên tập dữ liệu chuẩn quốc tế Turnipseed Gas Pipeline.

Literature Review và Positioning

Không gian học thuật về an toàn thông tin trong ICS được hình thành từ ba luồng nghiên cứu chủ đạo:

  1. Luồng ước lượng trạng thái bảo mật (Secure State Estimation): Khởi nguồn từ công trình nền tảng của Mo và Sinopoli (2012) về tấn công lặp lại (Replay Attack) và bộ dò $\chi^2$, tiếp nối bởi các nghiên cứu của Pasqualetti, Dorfler, và Bullo (2013) về tấn công động lực - điểm không (Zero-Dynamics Attack), và Bai et al. (2017) về tấn công đột ngột (Surge Attack). Nhóm nghiên cứu tại Đại học Khoa học và Công nghệ Hồng Kông (HKUST) gồm Zhang, Cheng, và Shi (2017) đã định nghĩa hình thức tấn công tuyến tính, chứng minh rằng kẻ tấn công có thể thao túng dữ liệu cảm biến để đẩy ma trận hiệp phương sai sai số ước lượng tăng vọt trong khi vẫn hoàn toàn qua mặt bộ dò Kullback-Leibler.
  2. Luồng kiểm định thống kê thay đổi tuần tự: Phát triển từ các công trình kinh điển của Page (1954) về Cumulative Sum (CUSUM), Basseville và Nikiforov (1993) về Generalized Likelihood Ratio (GLR), Window-Limited CUSUM (WL CUSUM) và Finite Moving Average (FMA) của Lai (1998), Tartakovsky (2014).
  3. Luồng phát hiện xâm nhập dựa trên dữ liệu (Data-driven ICS Intrusion Detection): Ứng dụng các thuật toán máy học truyền thống (SVM, Decision Tree, Naive Bayes) và mạng nơ-ron sâu (CNN, LSTM, GRU) trên các tập dữ liệu mạng công nghiệp chuẩn hóa (Turnipseed et al., 2015; Beaver et al., 2013).

Trong y văn tồn tại những tranh biện học thuật sâu sắc. Một trường phái (dẫn đầu bởi các tiếp cận lý thuyết điều khiển) cho rằng chỉ có các mô hình toán học giải tích dựa trên không gian trạng thái mới đảm bảo được tính kiểm chứng hình thức (formal verification) và tính ổn định Lyapunov của hệ thống. Ngược lại, trường phái hướng dữ liệu (Data-driven approach) lập luận rằng các hệ thống công nghiệp hiện đại quá phức tạp và phi tuyến để có thể xây dựng mô hình trạng thái chính xác, do đó các mô hình học máy và học sâu là con đường khả thi duy nhất.

Luận án của Nguyễn Đức Dương đã định vị chính xác tại giao lộ của hai trường phái này:

  • So với các công bố quốc tế của nhóm Zhang et al. (HKUST, 2017) và Wang et al. (Đại học Đông Bắc Thẩm Dương, 2019) – vốn chỉ dừng lại ở việc chứng minh tấn công tuyến tính vượt qua bộ dò K-L mà chưa đưa ra giải pháp phát hiện bổ khuyết – luận án đã tiên phong khảo sát và chứng minh thực nghiệm khả năng phát hiện của 4 phương pháp ($\chi^2$, CUSUM, WL CUSUM, FMA) như một tầng phòng thủ thứ hai (second-tier defense).
  • So với các nghiên cứu phát hiện xâm nhập trên tập dữ liệu Turnipseed Gas Pipeline của các nhóm tác giả quốc tế như Beaver et al. (2013) hay Khan et al. (2019) vốn sử dụng các bộ phân loại đơn lẻ, luận án vượt lên bằng mô hình Stacking Ensemble kết hợp bộ phân loại meta MLP được tinh chỉnh tham số, thiết lập kỷ lục mới về độ chính xác phân loại.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án mở rộng Lý thuyết ước lượng trạng thái Kalman thông qua việc phân tích toán học tác động của tấn công tuyến tính lên ma trận hiệp phương sai sai số ước lượng $P_k$. Tấn công tuyến tính được mô hình hóa tổng quát bởi phương trình: $$z_k' = T_k z_k + b_k$$ trong đó $T_k \in \mathbb{R}^{m \times m}$ là ma trận tùy ý, $b_k \sim \mathcal{N}(0, \Sigma_k)$ là vector biến ngẫu nhiên Gauss.

Khi không có tấn công, phần dư Kalman $z_k = y_k - C\hat{x}_k$ tuân theo phân bố chuẩn $z_k \sim \mathcal{N}(0, \Omega)$ với $\Omega = C P C^T + R$. Luận án chứng minh rằng:

  • Mệnh đề 1 (Điểm tấn công tối ưu): "Tấn công tuyến tính sẽ tối ưu khi $T_k = -I, b_k = 0$, gây ra sai lệch tín hiệu lớn hơn nhiều so với tấn công từ chối dịch vụ (DoS) và một số tấn công khác."
  • Mệnh đề 2 (Sự tăng trưởng hiệp phương sai): Trong hệ thống vô hướng, chiến lược tấn công tuyến tính tối ưu ($T_k = -1, b_k = 0$) làm tăng ma trận hiệp phương sai của sai số ước lượng trạng thái một lượng lên tới $3\Omega$, cụ thể: $$P_k' = A P_{k-1}' A^T + Q + 3\Omega$$ trong khi phân bố của $z_k' = -z_k$ vẫn giữ nguyên kỳ vọng $0$ và phương sai $\Omega$, khiến bộ kiểm định K-L dựa trên hàm mật độ xác suất hoàn toàn bị che mắt.
  • Mệnh đề 3 (Bảo toàn tham số dưới điều kiện thiếu thông tin): Ngay cả khi kẻ tấn công không biết đầy đủ ma trận hệ thống $(A, B, C, Q, R)$, việc ước lượng kỳ vọng mẫu $\bar{X}$ và phương sai mẫu điều chỉnh $S^2$ thông qua phân bố Student ($t_{n-1}$) và phân bố Chi-bình phương ($\chi^2_{n-1}$) vẫn cho phép kẻ tấn công thực thi tấn công tuyến tính với độ tin cậy $1-\alpha$ rất cao khi kích thước mẫu $n$ đủ lớn.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp đa tầng ba lý thuyết nền tảng: Lý thuyết điều khiển không gian trạng thái rời rạc, Lý thuyết kiểm định thay đổi tuần tự (Sequential Detection), và Lý thuyết học máy tổ hợp (Ensemble Stacking Theory).

Khung phân tích được cấu trúc qua 2 cấp độ bảo vệ:

  1. Cấp độ thời gian thực (Tầng thiết bị/Vật lý): Xây dựng bộ lọc Kalman để tạo chuỗi phần dư $z_k$. Chuỗi phần dư này được đưa đồng thời qua bộ kiểm định độ phân kỳ Kullback-Leibler và 4 bộ dò tuần tự:
    • Bộ dò mẫu cố định $\chi^2$ (Chi-squared Detector)
    • Bộ dò tổng tích lũy CUSUM
    • Bộ dò tổng tích lũy giới hạn cửa sổ WL CUSUM
    • Bộ dò trung bình trượt hữu hạn FMA (Finite Moving Average) với trọng số $\mu$ và độ dài cửa sổ $L$.
  2. Cấp độ giám sát mạng (Tầng SCADA/Truyền thông): Khung nhận dạng xâm nhập Stacking Ensemble hai tầng:
    • Tầng cơ sở (Base Classifiers): Random Forest (RF), Light Gradient Boosting Machine (LightGBM), eXtreme Gradient Boosting (XGBoost) nhằm bao quát không gian đặc trưng mạng từ cây quyết định đơn lẻ đến tăng cường độ dốc tối ưu.
    • Tầng Meta (Meta Classifier): Mạng Perceptron đa tầng (Multilayer Perceptron - MLP) kết hợp kỹ thuật tinh chỉnh siêu tham số (Hyperparameter Fine-Tuning) để tổng hợp các xác suất dự báo từ tầng cơ sở.

Điều kiện biên (Boundary conditions): Khung phân tích cấp độ 1 áp dụng tối ưu cho các hệ thống tuyến tính bất biến theo thời gian (LTI) hoặc được tuyến tính hóa quanh điểm làm việc, chịu tác động của nhiễu trắng Gauss. Khung phân tích cấp độ 2 áp dụng cho các mạng truyền thông công nghiệp dựa trên các giao thức chuẩn hóa (Modbus, DNP3, Ethernet/IP).

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Nghiên cứu được xây dựng trên lập trường nhận thức luận thực chứng (Positivism) kết hợp với chủ nghĩa hiện thực phản biện (Critical Realism). Thiết kế nghiên cứu áp dụng phương pháp hỗn hợp định lượng nghiêm ngặt (Rigorous Quantitative Mixed Methodology), kết hợp giữa mô phỏng giải tích điều khiển trên không gian trạng thái và thực nghiệm quy mô lớn trên tập dữ liệu đo lường mạng SCADA thực tế.

Thiết kế đa cấp độ (Multi-level design) bao gồm:

  • Cấp độ hệ thống vật lý 1: Hệ thống mô hình MIMO nhiều chiều rời rạc với các ma trận trạng thái $A \in \mathbb{R}^{n \times n}, C \in \mathbb{R}^{m \times n}$ và các vector nhiễu ngẫu nhiên quá trình $w_k \sim \mathcal{N}(0, Q)$, nhiễu đo lường $v_k \sim \mathcal{N}(0, R)$.
  • Cấp độ hệ thống vật lý 2: Hệ thống bình trộn nhiệt công nghiệp phi tuyến được mô tả qua các phương trình cân bằng vật chất và năng lượng với các thông số vật lý thực: Lưu lượng nước nóng $F_1$, lưu lượng nước bổ sung $F_2$, lưu lượng đầu ra $F_3$ ($\text{m}^3/\text{h}$); nhiệt độ tương ứng $T_1, T_2, T_3$ ($^\circ\text{C}$); chiều cao mức nước $H$ ($\text{m}$); thể tích $V$; khối lượng riêng $\rho = 1000\text{ kg/m}^3$; chiều dài $L$ và bán kính bình $R$.
  • Cấp độ mạng truyền thông: Bộ dữ liệu Turnipseed Gas Pipeline gồm hàng chục nghìn gói tin truyền thông ghi nhận các phiên làm việc bình thường và 7 dạng tấn công mạng phức tạp.

Quy trình nghiên cứu rigorous

Quy trình thu thập, xử lý và kiểm định dữ liệu được chuẩn hóa theo các giao thức khoa học:

  1. Tạo phần dư và mô phỏng tấn công: Thiết lập bộ lọc Kalman trạng thái ổn định với hệ số độ lợi Kalman $K = P C^T (C P C^T + R)^{-1}$ thông qua nghiệm phương trình đại số Riccati rời rạc. Áp dụng phương pháp mô phỏng Monte Carlo với tổng số lần mô phỏng $n_S = 1000$ lần để ước lượng chính xác các chỉ số:
    • Xác suất cảnh báo sai: $P_{FA}$ (False Alarm Probability)
    • Xác suất phát hiện đúng: $P_D$ (Detection Probability)
    • Xác suất phát hiện sai thời điểm: $P_{md}$ (Missed-detection Probability).
  2. Tiền xử lý dữ liệu mạng SCADA: Bộ dữ liệu thô gồm 17 trường đặc trưng (feature attributes) được xử lý làm sạch, loại bỏ nhiễu, mã hóa biến phân loại và áp dụng chiến lược "keep prior values" để lấp đầy các khoảng trống thời gian thực của dữ liệu đo từ RTU/MTU.
  3. Độ tin cậy và giá trị đo lường: Sử dụng ma trận nhầm lẫn (Confusion Matrix), kiểm định chéo $k$-fold ($k=5$ và $k=10$), cùng các đại lượng thống kê $F_1\text{-score}$, Precision, Recall và ROC-AUC để đảm bảo tính hợp lệ cấu trúc (construct validity) và khả năng khái quát hóa (external validity).

Data và phân tích

Phân tích dữ liệu học máy được thực hiện trên môi trường Python sử dụng các thư viện tính toán khoa học chuyên sâu: scikit-learn, xgboost, lightgbm, keras/tensorflow và MATLAB/Simulink.

Đặc tính tập dữ liệu Turnipseed SCADA Gas Pipeline:

  • 17 trường đặc trưng: Gồm các phép đo áp suất, trạng thái đóng mở van điều khiển, lệnh điều khiển từ MTU, phản hồi từ RTU, mã hàm Modbus, thời gian chu kỳ quét,...
  • Các kịch bản tấn công bao gồm 7 dạng cụ thể:
    1. NMRI (Complex Malicious Response Injection): Tấn công chèn đáp ứng tinh vi làm biến đổi dữ liệu phản hồi từ cảm biến.
    2. MSCI (Malicious State Command Injection): Tấn công chèn lệnh thay đổi trạng thái vận hành của thiết bị.
    3. MPCI (Malicious Parameter Command Injection): Tấn công thay đổi trái phép các thông số cài đặt hệ thống.
    4. MFCI (Malicious Function Code Injection): Tấn công giả mạo mã hàm điều khiển giao thức.
    5. DoS (Denial of Service): Tấn công làm tràn ngập và tê liệt kênh truyền.
    6. Recon (Reconnaissance): Tấn công do thám quét cổng và cấu trúc mạng SCADA.
    7. Các biến thể phối hợp chèn lệnh độc hại.

Kỹ thuật phân tích nâng cao áp dụng tìm kiếm ngẫu nhiên siêu tham số (Randomized Search Cross-Validation) để tối ưu hóa độ sâu cây, tỷ lệ học (learning rate), số lượng ước lượng tử (estimators) của RF, XGBoost, LightGBM và cấu trúc các tầng ẩn, hàm kích hoạt (ReLU, Softmax), tốc độ suy giảm trọng số (Dropout) của mạng MLP.

Phát hiện đột phá và implications

Những phát hiện then chốt

  1. Sự vượt trội của phương pháp FMA trước tấn công tuyến tính: Thực nghiệm trên cả hệ thống MIMO và hệ thống bình trộn nhiệt chứng minh rằng khi tấn công tuyến tính tối ưu ($T_k = -I$) hoàn toàn vượt qua kiểm định phân kỳ Kullback-Leibler ($\delta_{K-L} \le \tau$), thuật toán FMA (Finite Moving Average) cho hiệu suất phát hiện cao nhất và ổn định nhất, vượt trội rõ rệt so với $\chi^2$, CUSUM và WL CUSUM.
  2. Ảnh hưởng của cửa sổ thời gian $L$ và trọng số $\mu$ trong FMA: Luận án phát hiện rằng việc gia tăng độ dài cửa sổ trượt $L$ giúp triệt tiêu phương sai nhiễu nền, nhưng nếu $L$ quá lớn sẽ làm tăng độ trễ phát hiện ($T_{FMA}$). Trọng số suy giảm $\mu \in (0, 1)$ đóng vai trò quyết định trong việc cân bằng giữa xác suất phát hiện đúng $P_D$ và xác suất báo động giả $P_{FA}$.
  3. Khoảng ngưỡng phát hiện tối ưu: Luận án đã lượng hóa và vẽ đồ thị chính xác khoảng ngưỡng cảnh báo $h$ cho các phương pháp $\chi^2$, CUSUM, WL CUSUM, FMA khi K-L bị vượt qua ở các mức ngưỡng sai lệch khác nhau ($\tau = 0,1; 0,5; 1,0; 2,5; 5,0$).
  4. Hiệu năng đột phá của mô hình Stacking Ensemble:
    • "Kết quả thử nghiệm có độ chính xác lần lượt là 99,72% và 99,62%, tương ứng trường hợp phát hiện tấn công phân loại nhị phân (hai nhãn) và phân loại đa lớp (tám nhãn)."
    • Mô hình Stacking đề xuất đạt tỷ lệ cảnh báo sai $FP < 0,2%$ và khả năng nhận diện các cuộc tấn công phức tạp như NMRI và MSCI tiệm cận tuyệt đối ($F_1\text{-score} > 0,995$).

Implications đa chiều

  • Về mặt lý thuyết: Mở rộng lý thuyết an toàn Cyber-Physical Systems bằng cách chứng minh tính tất yếu của việc kết hợp kiểm định chuỗi thời gian trạng thái (State-space Time-series Testing) với phân loại mẫu lưu lượng mạng (Network Traffic Pattern Classification).
  • Về mặt phương pháp luận: Cung cấp quy trình chuẩn mực hai giai đoạn (Two-tier defense framework) có thể chuyển giao cho bất kỳ hệ thống điều khiển công nghiệp nào trong các ngành hạ tầng trọng yếu.
  • Về mặt thực tiễn công nghiệp: Cung cấp thuật toán tối ưu có thể nhúng trực tiếp vào các bộ điều khiển khả trình PLC thế hệ mới, thiết bị đầu cuối RTU thông minh, hoặc máy chủ chẩn đoán (Diagnostic Server) của hệ thống SCADA/DCS mà không làm tăng đáng kể tải tính toán thời gian thực.
  • Về mặt chính sách an ninh mạng quốc gia: Đưa ra cơ sở khoa học để Cục An toàn thông tin và các cơ quan quản lý ban hành tiêu chuẩn kiểm thử bảo mật cho các hệ thống điều khiển công nghiệp trọng điểm quốc gia (nhà máy lọc dầu, nhà máy điện hạt nhân, mạng lưới truyền tải điện, hệ thống phân phối nước sạch).

Limitations và Future Research

Nghiên cứu thẳng thắn thừa nhận các giới hạn học thuật:

  1. Mô hình toán học của đối tượng vật lý: Các thử nghiệm giải tích chủ yếu dựa trên các hệ thống tuyến tính rời rạc hoặc hệ phi tuyến được xấp xỉ hóa (bình trộn nhiệt). Chưa khảo sát đầy đủ trên các hệ thống có tính trễ lớn (time-delay systems) hoặc hệ thống điều khiển chuyển mạch phân tán quy mô siêu lớn.
  2. Giả định về phân bố nhiễu: Các phân tích thống kê phần dư Kalman giả định nhiễu quá trình và nhiễu đo lường là nhiễu trắng Gauss. Trong môi trường công nghiệp thực tế, nhiễu có thể mang tính chất màu (colored noise) hoặc có phân bố đuôi nặng (heavy-tailed distribution).
  3. Phụ thuộc vào bộ dữ liệu chuẩn: Nghiên cứu thực nghiệm học máy dựa trên bộ dữ liệu Turnipseed Gas Pipeline (2015). Mặc dù là bộ dữ liệu toàn diện nhất hiện nay, dữ liệu này vẫn phản ánh đặc thù của giao thức Modbus trên đường ống dẫn khí, chưa bao quát hoàn toàn các giao thức hiện đại như IEC 61850 hay OPC UA.

Chương trình nghiên cứu tương lai (Future Research Agenda):

  • Hướng 1: Nghiên cứu mở rộng bộ dò FMA và WL CUSUM cho các bộ lọc Kalman mở rộng (EKF) và bộ lọc Kalman không mùi (UKF) trên các hệ thống phi tuyến cao.
  • Hướng 2: Ứng dụng mô hình học tăng cường sâu (Deep Reinforcement Learning) và học liên kết (Federated Learning) để phát hiện tấn công phân tán mà không cần tập trung hóa dữ liệu nhạy cảm từ các nhà máy.
  • Hướng 3: Thực hiện kiểm chứng phần cứng trong vòng lặp (Hardware-in-the-Loop - HIL) trên các thiết bị PLC Siemens S7-1500 và hệ thống SCADA công nghiệp thực tế.
  • Hướng 4: Nghiên cứu khả năng chống chịu của mô hình Stacking trước các cuộc tấn công đối kháng (Adversarial Machine Learning Attacks).

Tác động và ảnh hưởng

  • Tác động học thuật: Dự báo công trình sẽ thu hút trích dẫn học thuật cao trong cộng đồng nghiên cứu IEEE Transactions on Industrial Informatics, IEEE Transactions on Automatic Control và Computers & Security, đặc biệt ở chủ đề bảo vệ tính toàn vẹn dữ liệu cho ICS.
  • Chuyển đổi công nghiệp: Ứng dụng trực tiếp cho các tập đoàn năng lượng, dầu khí (PVN), điện lực (EVN) và các khu công nghiệp chế biến hóa chất tại Việt Nam, giúp giảm thiểu rủi ro đình trệ sản xuất do tấn công mạng – sự cố từng gây thiệt hại 170 triệu USD cho tập đoàn bán dẫn TSMC năm 2018.
  • Lợi ích kinh tế - xã hội: Bảo vệ sự vận hành liên tục của các hạ tầng huyết mạch quốc gia, ngăn chặn các thảm họa môi trường và an toàn con người xuất phát từ các cuộc tấn công phá hoại quá trình vật lý.

Đối tượng hưởng lợi

  • Nghiên cứu sinh & Nhà khoa học chuyên sâu: Tiếp cận phương pháp luận chặt chẽ kết hợp giữa lý thuyết điều khiển ngẫu nhiên và học máy tổ hợp để giải quyết bài toán an ninh mạng vật lý.
  • Kỹ sư R&D & Chuyên gia Tự động hóa: Sở hữu thuật toán phát hiện FMA và mô hình Stacking đã được chứng minh hiệu năng để tích hợp vào các gói giải pháp SCADA/DCS thương mại.
  • Giám đốc An toàn thông tin (CISO) & Cơ quan hoạch định chính sách: Có luận cứ khoa học để thiết kế kiến trúc phòng thủ chiều sâu (Defense-in-Depth) theo tiêu chuẩn an ninh công nghiệp quốc tế ISA/IEC 62443.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và đã mở rộng lý thuyết nào?
Trả lời: Đóng góp độc đáo nhất là việc mở rộng Lý thuyết ước lượng trạng thái ngẫu nhiên Kalman và kiểm định giả thuyết thống kê dưới tác động của chiến lược tấn công tuyến tính tối ưu ($T_k = -I, b_k = 0$). Luận án đã chứng minh giải tích và định lượng sự suy biến của bộ kiểm định phân kỳ Kullback-Leibler, đồng thời xác lập cơ chế toán học cho thấy tổng tích lũy phần dư trong thuật toán FMA có khả năng phục hồi độ nhạy phát hiện bất thường khi ma trận hiệp phương sai sai số ước lượng $P_k$ bị đẩy tăng thêm một lượng $3\Omega$.

2. Điểm mới về phương pháp luận so với các nghiên cứu quốc tế trước đây là gì?
Trả lời: So với công trình của Zhang et al. (HKUST, 2017) chỉ tập trung thiết kế vector tấn công tuyến tính để qua mặt bộ lọc, và công trình của Beaver et al. (2013) chỉ áp dụng các bộ phân loại học máy đơn lẻ, luận án đã tiên phong:

  • Thiết lập khung so sánh đối sánh đồng thời 4 giải pháp kiểm định thống kê ($\chi^2$, CUSUM, WL CUSUM, FMA) để tìm ra phương pháp FMA tối ưu bổ khuyết cho K-L.
  • Đề xuất mô hình Stacking Ensemble hai tầng kết hợp RF + LightGBM + XGBoost với bộ meta MLP tinh chỉnh, nâng độ chính xác nhận dạng xâm nhập SCADA lên mức vượt trội $99,72%$.

3. Phát hiện thực nghiệm nào gây bất ngờ nhất và bằng chứng dữ liệu hỗ trợ?
Trả lời: Phát hiện bất ngờ nhất là trong khi tấn công tuyến tính $T_k = -1$ làm sai lệch trạng thái hệ thống và tăng hiệp phương sai sai số ước lượng $P_k$ lớn hơn nhiều so với tấn công DoS ($z_k = 0$) hay tấn công nhiễu Gauss ($z_k \sim \mathcal{N}(0, \Omega)$), thì quỹ đạo ước lượng trạng thái $\hat{x}_k$ từ bộ lọc Kalman lại gần như bám sát trạng thái thực $x_k$ và không làm thay đổi hàm mật độ xác suất của phần dư đơn lẻ. Bằng chứng mô phỏng trên hệ thống ổn định và không ổn định (Hình 2.6 - 2.8 trong luận án) đã minh chứng rõ ràng hiện tượng tàng hình này.

4. Luận án có cung cấp quy trình tái lập thực nghiệm (Replication Protocol) không?
Trả lời: Luận án cung cấp đầy đủ các phương trình toán học trạng thái, ma trận thông số của hệ thống MIMO và hệ thống bình trộn nhiệt, các công thức giải phương trình Riccati, quy tắc cập nhật tham số bộ lọc Kalman, các bước tiền xử lý dữ liệu Turnipseed Gas Pipeline và kiến trúc mạng nơ-ron MLP chi tiết, cho phép tái lập 100% kết quả mô phỏng và thực nghiệm trên MATLAB và Python.

5. Lộ trình nghiên cứu 10 năm (10-year research agenda) được định hình ra sao?
Trả lời: Lộ trình nghiên cứu phát triển theo 3 giai đoạn:

  • Giai đoạn 1 (1-3 năm): Mở rộng thuật toán FMA sang các hệ thống điều khiển phi tuyến phân tán và hệ thống chuyển mạch thời gian thực.
  • Giai đoạn 2 (4-6 năm): Tích hợp trí tuệ nhân tạo biên (Edge AI) và mạng nơ-ron đồ thị (Graph Neural Networks - GNN) vào thiết bị PLC/RTU để tự động phát hiện tấn công phối hợp đa điểm.
  • Giai đoạn 3 (7-10 năm): Xây dựng hệ thống tự phục hồi số (Cyber-Resilient Autonomous Control Systems) có khả năng tự động cô lập điểm tấn công và tái cấu trúc luật điều khiển theo thời gian thực mà không làm gián đoạn dây chuyền công nghiệp.

Kết luận

  1. Nhận diện toàn diện cơ chế tấn công tuyến tính: Phân tích sâu sắc bản chất toán học của tấn công tuyến tính trên kênh truyền cảm biến $A_9, A_{10}$, chứng minh khả năng tàng hình của kiểu tấn công này trước phương pháp phân kỳ Kullback-Leibler.
  2. Khẳng định tính ưu việt của phương pháp FMA: Chứng minh thực nghiệm rằng bộ kiểm định Finite Moving Average (FMA) vượt trội hơn $\chi^2$, CUSUM và WL CUSUM trong việc làm tầng phát hiện thứ hai, đồng thời xác lập bộ tham số tối ưu về cửa sổ trượt $L$ và trọng số $\mu$.
  3. Xác định chính xác miền ngưỡng phát hiện: Định lượng hóa khoảng ngưỡng cảnh báo $h$ cho các phương pháp kiểm định thống kê trên cả hệ thống MIMO rời rạc và hệ thống bình trộn nhiệt công nghiệp.
  4. Đột phá mô hình học máy Stacking Ensemble: Xây dựng thành công mô hình xếp chồng RF + LightGBM + XGBoost kết hợp meta-classifier MLP, đạt độ chính xác 99,72% (nhị phân) và 99,62% (đa lớp 8 nhãn) trên tập dữ liệu chuẩn quốc tế Turnipseed Gas Pipeline.
  5. Mở ra 3 nhánh nghiên cứu chuyên sâu: Đặt nền móng cho các hướng nghiên cứu về ước lượng trạng thái an toàn trên hệ phi tuyến, an ninh mạng cho giao thức SCADA thế hệ mới, và kiểm thử phần cứng trong vòng lặp (HIL).
  6. Giá trị thực tiễn và chuẩn hóa quốc tế: Kết quả của luận án đóng góp trực tiếp vào mục tiêu nâng cao năng lực tự chủ an toàn thông tin hạ tầng công nghiệp, đáp ứng các tiêu chuẩn bảo mật khắt khe trong kỷ nguyên Chuyển đổi số và Công nghiệp 4.0.