Adversarial Robustness of Time-Series Classification for Crystal Collimator Alignment

1. Problema y Contexto

El artículo aborda un problema crítico de seguridad en el Gran Colisionador de Hadrones (LHC) del CERN, específicamente en la alineación de colimadores de cristal para el futuro LHC de Alta Luminosidad (HL-LHC).

• Contexto Operativo: Los colimadores de cristal utilizan cristales doblados para desviar partículas dispersas (halo) del haz principal hacia absorbentes, protegiendo los imanes superconductores. Una alineación incorrecta puede causar daños por radiación, ruido en los detectores o la pérdida de superconductividad (quench).
• El Sistema de Clasificación: Se utiliza una Red Neuronal Convolucional (CNN) para clasificar ventanas de series temporales provenientes de Monitores de Pérdida de Haz (BLM). La CNN identifica tres estados: "sin canalización", "pozo parcial" y "canalización" (alineación óptima).
• El Desafío de Robustez: El modelo opera en un entorno ruidoso con fluctuaciones de sensores y radiación de fondo. El problema central es garantizar la robustez adversarial del clasificador frente a perturbaciones realistas que podrían engañar al sistema, causando una alineación subóptima o fallida.
• Limitaciones de los Enfoques Actuales:
  • Las técnicas estándar de ataques adversariales ignoran el preprocesamiento específico del pipeline desplegado (normalización z por ventana y relleno con ceros).
  • Los modelos de amenazas estándar (bolas $L_p$ homogéneas) no capturan la estructura de las perturbaciones físicas (ruido correlacionado entre canales y ruido independiente).
  • Atacar directamente el espacio normalizado puede generar ejemplos adversarios inviables físicamente (que violan las restricciones de la normalización).

2. Metodología

Los autores proponen un marco de trabajo que integra el modelo de amenaza y el preprocesamiento dentro del análisis de robustez.

A. Modelo de Amenaza Operacionalmente Plausible

Definen un modelo de perturbación estructurado para las ventanas de datos $X$:

1. Descomposición del Ruido: La perturbación $\delta$ se modela como la suma de un componente común (compartido entre los dos canales BLM, simulando fluctuaciones del haz) y componentes independientes por canal (ruido electrónico).
   $$\delta_{t,c} = \varepsilon^{com}_c \cdot \delta^{com}_t + \varepsilon^{ind}_c \cdot \delta^{ind}_{t,c}$$
2. Restricciones de Preprocesamiento: Las perturbaciones deben respetar el relleno con ceros (no alterar los índices de relleno) y ser consistentes con la normalización z (media 0, desviación estándar 1) aplicada por ventana.
3. Secuencias Adversariales: Extienden el concepto de robustez de ventanas individuales a secuencias completas (escaneos). Una "secuencia adversarial" es una cadena de ejemplos adversarios consecutivos que mantienen la clasificación errónea a lo largo del tiempo, desafiando la estabilidad requerida por los operadores.

B. Marco de Ataque Consciente del Preprocesamiento

Para evitar estimaciones de robustez inválidas, los autores proponen un wrapper diferenciable ligero que envuelve la CNN:

• Reparametrización: En lugar de atacar la entrada normalizada $Z$, se introduce una capa de reparametrización que toma variables de ataque acotadas $u$ y las transforma en perturbaciones válidas en el espacio de la señal original $X$.
• Integración en el Grafo: Este wrapper incorpora la normalización z, el relleno con ceros y el modelo de ruido estructurado directamente en el grafo computacional.
• Ventaja: Permite que frameworks de ataque basados en gradientes estándar (como Foolbox y ART) operen sobre el pipeline desplegado real sin necesidad de modificar los algoritmos de ataque, asegurando que las perturbaciones generadas sean físicamente plausibles y válidas tras el preprocesamiento.

C. Evaluación y Defensa

• Métricas: Se utiliza la Precisión Robusta (RA), comparando la precisión reportada por la herramienta ($RA_{tool}$) frente a la precisión verificada por el pipeline real ($RA_{pipe}$).
• Defensa: Se aplica ajuste fino adversarial (adversarial fine-tuning), entrenando el modelo con ejemplos adversarios generados dinámicamente durante el entrenamiento.

3. Contribuciones Clave

1. Definición de Modelo de Amenaza: Se establece un modelo de amenaza estructurado para clasificadores de series temporales que considera el preprocesamiento (normalización y relleno) y la correlación entre canales de sensores.
2. Wrapper de Reparametrización: Diseño de una capa diferenciable que permite a los frameworks de ataque estándar operar sobre pipelines de series temporales desplegados, garantizando la validez de las perturbaciones.
3. Análisis de Secuencias: Introducción del concepto de "secuencias adversariales" como contraejemplos a la robustez temporal, demostrando que los ataques pueden persistir a través de ventanas adyacentes.
4. Evaluación Empírica: Aplicación del marco al caso de uso real del CERN, demostrando que ignorar el preprocesamiento lleva a estimaciones de robustez erróneas (subestimación o sobreestimación).

4. Resultados Experimentales

• Impacto del Preprocesamiento:
  • Los ataques que ignoran el preprocesamiento (ej. atacar el espacio normalizado directamente) producen estimaciones de robustez inconsistentes.
  • En configuraciones sin normalización o sin máscara de relleno, la brecha entre la precisión reportada por la herramienta y la verificada por el pipeline fue de 9 a 23 puntos porcentuales.
  • El enfoque consciente del preprocesamiento logró que $RA_{tool} \approx RA_{pipe}$, validando la metodología.
• Mejora de la Robustez:
  • El ajuste fino adversarial mejoró la precisión robusta en hasta un 18.6% (dependiendo del radio de perturbación) sin degradar la precisión en datos limpios (incluso mejorándola ligeramente en un 0.4%).
  • Esto demuestra la utilidad del entrenamiento adversarial en entornos con datos de entrenamiento escasos.
• Ataques de Secuencia:
  • Se demostró mediante un ataque de concepto que es posible generar perturbaciones que suprimen consistentemente la confianza en la clase correcta ("canalización") a lo largo de una secuencia de tiempo, cambiando la clasificación a "pozo parcial" de manera persistente.

5. Significado e Impacto

• Seguridad en Infraestructura Crítica: El trabajo subraya que la seguridad de los sistemas de IA en entornos críticos (como colisionadores de partículas) no puede evaluarse solo sobre el modelo neuronal, sino que debe incluir todo el pipeline de preprocesamiento y el modelo de amenaza físico realista.
• Validación de Métodos Formales: Aunque la verificación formal completa es difícil debido a la no linealidad de la normalización z, el enfoque propuesto permite estimaciones de robustez basadas en ataques que son lo suficientemente rigurosas para la toma de decisiones operativas.
• Generalización: La metodología es aplicable a otros dominios de control industrial y monitoreo de sensores donde el preprocesamiento dependiente de datos y las perturbaciones estructuradas son comunes (ej. medicina, control de procesos).
• Autonomía Futura: Los resultados indican que, aunque la robustez se puede mejorar, aún existen vulnerabilidades, lo que sugiere que la alineación totalmente autónoma de colimadores requiere más investigación antes de eliminar la supervisión humana.

En resumen, el artículo proporciona un marco metodológico esencial para evaluar y mejorar la seguridad de los sistemas de aprendizaje automático desplegados en entornos científicos de alta precisión, demostrando que la integración del preprocesamiento en el análisis de amenazas es un requisito indispensable para obtener estimaciones de robustez fiables.