ENDÜSTRİYEL KONTROL SİSTEMLERİNDE ARIZA MODLARININ TESPİTİ İÇİN FAZ-DUYARLI HİBRİT DERİN ÖĞRENME YAKLAŞIMI

Ertekin H., Coskun A.

International Journal of 3D Printing Technologies and Digital Industry, cilt.10, sa.2, ss.284-299, 2026 (TRDizin)

Özet

Endüstriyel kontrol sistemlerinde (Industrial Control Systems) siber-fiziksel saldırılar yalnızca sistemin çalışmasını kesintiye uğratmakla kalmamakta, aynı zamanda yanlış sensör değerleri, aktüatörlerin işlev kaybı veya gecikmiş süreç cevapları gibi farklı arıza biçimlerine yol açabilmektedir. Literatürdeki mevcut çalışmaların büyük bölümü saldırı tespitini yalnızca “normal–anormal” düzeyinde ele almakta fakat saldırının operasyonel etkisini tanımlayan arıza modlarını (failure modes) dikkate almamaktadır. Bu çalışmada, SWaT (Secure Water Treatment) veri seti yeniden yapılandırılmış, saldırı açıklamaları fiziksel sonuçlarına göre yorumlanarak beş ana arıza kategorisi (“Actuator Command Blocked”, “Sensor Drift”, “Sensor False Reading”, “Actuator Forced State”, “Actuator + Sensor Mixed”) ile birlikte “Normal” sınıfını içeren çok sınıflı bir etiket yapısı oluşturulmuştur. Ardından, zaman serileri pencereleme yöntemiyle geleceğe sızmadan (leak-free) 30 zaman adımlık örneklere dönüştürülmüş; etiketler sistem yanıt gecikmesini telafi edecek şekilde ileri kaydırılmıştır. Önerilen model, faz bilgisini (process phase) de girdi olarak alan, istatistiksel özellikler ile Uzun Kısa Süreli Bellek Ağları (Long Short-Term Memory Networks) tabanlı zaman bağımlılıklarını birleştiren faz-duyarlı (phase-aware) hibrit bir derin öğrenme mimarisi olarak tasarlanmıştır. Yapılan deneyler, geliştirilen çok sınıflı etiketleme ve model yapısının, yüksek F1-makro skorları elde ettiğini ve özellikle nadir fakat kritik arıza modlarında tahmin performansını anlamlı ölçüde artırdığını göstermektedir. Bu yönüyle çalışma, EKS güvenliğinde yalnızca saldırıyı tespit eden değil, saldırının türünü ve sistem üzerindeki etkisini açıklayabilen operasyonel olarak daha anlamlı bir perspektif sunmaktadır.
In industrial control systems (ICS), cyber-physical attacks not only disrupt system operations but also lead to various types of failures, such as incorrect sensor readings, actuator malfunctions, or delayed process responses. Most existing studies in the literature address attack detection only at the “normal–abnormal” level, without considering the failure modes that describe the operational impact of the attacks. In this study, the SWaT (Secure Water Treatment) dataset was reconstructed by reinterpreting the attack descriptions based on their physical consequences, resulting in a multi-class labeling structure that includes five primary failure categories (“Actuator Command Blocked,” “Sensor Drift,” “Sensor False Reading,” “Actuator Forced State,” and “Actuator + Sensor Mixed”) along with a “Normal” class. The time series data were then transformed into leak-free 30-step windows, and the labels were forward-shifted to compensate for system response delays. The proposed model is a phase-aware hybrid deep learning architecture that integrates statistical features with LSTM-based temporal dependencies while also incorporating process phase information as an additional input. The experimental results show that the proposed multi-class labeling strategy and model architecture achieve high macro-F1 scores and substantially improve prediction performance, particularly for rare but critical failure modes. In this respect, the study provides a more operationally meaningful perspective for ICS security—offering not only attack detection but also interpretability regarding the type of attack and its impact on the system.