精读笔记

Problem Setting

这篇论文实际解决的是：在远程闭环控制的非完整移动机器人中，是否存在一种不改变控制器所见状态响应、但显著改变真实轨迹的 FDIA。难点不在于让机器人偏离轨迹，而在于让偏离后的闭环仍然在控制器模型下完全自洽；也就是说，攻击必须同时骗过状态反馈、模型残差、轨迹误差和控制器自身的稳定性逻辑。

以前 stealthy/covert attack 的常见路线往往有两个瓶颈：一是在线计算或动态攻击器复杂，通常要完整模型甚至求解优化问题；二是很多理论建立在线性系统或线性化模型上，对机器人这类非线性、几何约束系统解释力有限。本文的关键矛盾是：机器人运动学虽然非线性，但它又有很强的几何结构；这种结构既是控制设计的基础，也可能成为攻击者维持观测一致性的入口。

Motivation

作者的核心观察是：移动机器人高层控制常常只通过网络交换姿态观测和速度命令，而底层动力学、轮子、惯量等细节被封装在机器人内部。攻击者未必需要完整 plant，只要能在这个高层接口上做一致的输入/输出变换，就可能让控制器看到一个“合法世界”。

已有路线缺的是一种低复杂度、静态、可工程落地的 perfectly undetectable FDIA 构造。尤其是对于非线性机器人系统，文献中要么讨论线性 covert attacks，要么用线性化处理中等非线性，要么只考虑非完全不可检测的 FDIA。本文填的不是检测算法 benchmark 的空白，而是指出：某些常用机器人运动学本身就允许非常简单的对称性攻击。

Core Idea

论文的核心思想是把攻击理解为坐标变换，而不是扰动。攻击者对真实状态施加一个观测侧仿射映射 \(\tilde p=S_x p+d_x\)，对控制命令施加输入侧仿射映射 \(\tilde q=S_u q+d_u\)。如果这两个映射满足 \(\dot{\tilde p}=J(\tilde\theta)q\)，那么控制器看到的就是一个完全正常的 nominal mobile robot，而真实机器人实际在执行 \(J(\theta)\tilde q\)。

这改变了建模方式：攻击不再是“在正常轨迹附近加噪声并低于阈值”，而是构造另一个与 nominal dynamics 等价的伪世界。它引入的 inductive bias 是几何等变性：只要 plant 的向量场在某些变换下保持形式不变，控制器侧观测就没有可用残差信息。和 prior 的本质区别是，这里不需要一个动态 covert controller 去模拟系统，也不需要知道反馈律；攻击参数是静态矩阵，复杂度接近零。

Method

1. 不可区分条件：论文先给出一般 affine nonlinear system 下的条件：攻击后的观测动力学必须与 nominal fake state dynamics 在同一控制输入下完全一致，且攻击开始时观测初值相同。这个条件解决的是“完美不可检测”的定义问题：不是残差小，而是控制器可见轨迹完全相同。其核心变化是把检测问题变成了 ODE 解唯一性下的动力学等价问题。

2. Mobile robot 特化：将系统写成 \(\dot p=J(\theta)q\)，其中 \(J\) 的第三行使角速度积分成朝向，而前两行通过 \(\cos\theta,\sin\theta\) 决定平面速度方向。作者证明在常数仿射攻击下，输入变换矩阵基本必须是对角形式：线速度可缩放，角速度只能保持或取反。非对角项会产生 \(\sin\theta,\cos\theta\) 或路径长度积分这类无法由常数 \(d_x\) 抵消的项。

3. 两个闭式攻击族：scaling attack 用 \(v\mapsto \beta v\)，观测侧位置用 \(1/\beta\) 反缩放，朝向不变；reflection attack 用 \(\omega\mapsto-\omega\)，观测侧对位置和朝向做关于初始朝向轴的反射。\(d_x\) 只负责匹配攻击起点，\(d_u\) 必须为零，否则会在观测动力学中留下状态依赖偏置。

4. SMSF 防御：由于控制器仅看 \(\tilde p\) 时理论上无信息，作者引入 plant 侧计算的状态签名函数 \(\Phi(x)\)，控制器侧也对观测状态计算 \(\Phi(\tilde x)\)，两者不一致则报警。关键不是函数复杂，而是函数不能继承 plant 的缩放/反射对称性；线性、齐次二次型、径向对称函数都不合适。

Key Insight / Why It Works

最重要的 insight 是：perfectly undetectable attack 的本质不是“攻击器足够聪明”，而是系统接口暴露了一个可被重参数化的闭环世界。对 unicycle kinematics 来说，\(v\) 决定沿当前朝向的速度大小，\(\omega\) 决定朝向演化；缩放 \(v\) 会缩放路径长度，反向 \(\omega\) 会把曲率方向镜像。只要观测侧同步做逆缩放或反射，控制器看到的 \(\cos\tilde\theta,\sin\tilde\theta\) 与输入 \(q\) 仍满足 nominal Jacobian。

真正的贡献是识别并利用了机器人运动学的 latent symmetry / equivariant structure。论文表面上叫 affine transformation FDIA，但核心不是仿射本身，而是仿射变换刚好与 unicycle 的几何对称性闭合。仿射形式只是让攻击非常廉价、静态、可实现；如果换成没有这种结构保持性的非线性系统，同样的仿射攻击未必存在。

稳定性部分并不是主要贡献。只要控制器看到的伪系统满足原 nominal dynamics，那么原控制律的稳定性证明几乎自动迁移到伪误差上；这不是新控制理论，而是坐标变换后的闭环自洽。实验也主要是在验证攻击可落地，而不是证明新性能。

SMSF 部分更像一个可行防御方向而非完整解决方案。它的有效性来自 representation alignment 的破坏：控制器主通道被攻击者保持在等变类内，而 SMSF 故意选择不等变、非齐次、非对称表示，让同一个仿射攻击无法同时保持签名一致。这里最关键的是“不要让监测函数共享 plant symmetry”。不过安全性很大程度依赖函数未知和数据覆盖不足；如果攻击者能长期观测丰富轨迹，所谓安全会退化为回归难度问题。

Relation To Prior Work

最接近的是 covert attacks、zero-dynamics attacks、stealthy FDIA、dynamic watermarking 失效场景以及机器人 CPS 安全中的模型残差检测。与 covert attacks 相比，本文不构造一个动态攻击系统去模拟 plant，而是用静态仿射映射直接保持输入-输出动力学一致；这在工程上更简单，也更危险。与线性系统中的不可检测攻击相比，本文的新增点是把不可检测性从线性代数条件推进到非线性机器人几何结构。

看似新的地方：同时攻击 command 和 observable 并不是全新思想；仿射变换、反射、缩放也不是复杂数学。实质创新在于把它们嵌入非完整移动机器人 Jacobian，明确推导出哪些仿射自由度可用、哪些不可用，并指出攻击不依赖控制器类型/增益。

这篇论文属于“structure-preserving attack / symmetry-based CPS vulnerability”谱系，而不是传统鲁棒控制或异常检测路线。它更像是在提醒：如果检测器和控制器共享同一个被攻击保持的系统对称性，那么 residual-based security 在信息论上已经失效。

Dataset / Evaluation

评估使用 Turtlebot 3 真机、ROS 2 网络、高层轨迹跟踪控制，验证了 scaling 和 reflection 两类攻击。真实机器人实验是这篇的强项：它说明攻击不是纸面构造，静态矩阵变换在实际网络控制回路中足够稳定，计算负担也可以忽略。

但评估覆盖的是存在性而非完整威胁面。轨迹类型较简单，机器人平台单一，控制架构是典型集中式高层控制；没有系统测试复杂规划器、动态避障、多机器人、通信延迟、定位漂移、SLAM loop closure 或安全约束对攻击可见性的影响。SMSF 的评估也偏 illustrative：展示了某个 quartic 函数在给定轨迹上难以被短时间回归，但这不足以证明一般安全性。

总体上，实验支持核心 claim：“这类攻击可以在真机上完全欺骗控制器侧误差观测”。但没有充分支持更强 claim：“SMSF 是可靠通用防御”或“该攻击广泛适用于现代机器人系统”。

Limitation

第一，攻击前提强：攻击者必须同时篡改控制命令和观测状态；如果只能攻击一侧，完美不可检测性通常不成立。还必须知道 Jacobian 结构和初始姿态，否则 \(d_x\) 无法匹配初值，攻击启动瞬间会暴露。文中提到可用状态估计或时变参数放松，但未充分说明。

第二，适用范围受系统对称性限制。本文对 unicycle/differential-drive kinematics 成立，不意味着一般 nonlinear robot 都存在同类仿射攻击。更高维机械臂、带动力学约束的系统、强非线性轮地接触、速度/加速度饱和、碰撞约束都可能破坏这种精确等价。

第三，SMSF 把问题从“动力学检测”转移到“秘密函数难以学习”。这不是无条件安全，而是依赖攻击者样本复杂度不足。若攻击者能长期旁路监听、诱导覆盖性轨迹、知道函数族并估计系数，SMSF 会失效。文中也承认这一点，但没有给出严格更新频率或安全预算。

第四，防御信道本身仍是假设薄弱点。论文考虑 SMSF 通道也可被仿射攻击，但对更强 spoofing、延迟重放、联合学习签名函数等攻击只做初步讨论。实际部署中，签名函数系数如何安全分发、何时更新、如何处理噪声阈值和误报，文中未充分说明。

第五，实验没有展示对强检测器的系统比较。虽然理论上 residual/model-based detector 会失效，但动态 watermarking、多模态物理传感器、外部视觉、地图一致性、任务级约束等是否能捕捉真实偏离，仍未被充分评估。

Takeaway

• 1. 对网络化机器人安全，最危险的不是大扰动，而是保持系统结构的重参数化攻击；检测器如果只检查 nominal dynamics residual，可能完全没有信息。
• 2. 移动机器人运动学中的几何对称性本身就是攻击面。
• 未来应系统研究 robot dynamics 的 equivariance group，并把这些对称群视为安全分析对象，而不是只做加性噪声/异常值建模。
• 3. 防御的核心方向应是引入不共享 plant symmetry 的独立信息通道或表示。

一句话总结

这篇论文把移动机器人 FDIA 从残差规避推进到基于运动学对称性的结构保持攻击，证明了简单静态仿射变换就能在真机轨迹跟踪中实现控制器视角的完全不可检测偏航。