Resumen Técnico: APEX – Un Modelo de Base de Series Temporales Nativo de Redes

Planteamiento del Problema

Las fallas en los puntos de acceso inalámbricos (AP) en entornos empresariales suelen pasar desapercibidas hasta que los usuarios experimentan la pérdida de conectividad o tiempos de espera de DHCP. Aunque los AP recopilan una rica telemetría de capa cruzada (que abarca DHCP, RF, interfaces y estado de enlace ascendente), exportar estos datos brutos a la nube conlleva costos significativos de ancho de banda, privacidad y latencia.

Los modelos de base de series temporales (TSFM) de propósito general existentes no logran transferirse eficazmente a este dominio. La telemetría de red exhibe características distintivas que no se encuentran en los benchmarks públicos (por ejemplo, finanzas o meteorología): las señales son erráticas (bursty), con exceso de ceros durante la operación normal y presentan dependías temporales complejas de capa cruzada y de protocolos específicos. En consecuencia, los modelos de propósito general rinden por debajo de lo esperado en tareas específicas de red, como la previsión de degradación de DHCP. Además, la ejecución de modelos grandes en hardware de borde con recursos limitados o la dependencia de la inferencia en la nube introduce problemas de latencia y privacidad que dificultan la remediación proactiva.

Metodología

Arquitectura de APEX

APEX es un transformer basado en parches (patched transformer) de solo decodificador diseñado específicamente para la telemetría de red. Utiliza una estrategia de preentrenamiento "nativa de red" sobre un corpus de aproximadamente 100,000 series temporales de AP provenientes de ~4,500 redes de producción.

• Entrada: El modelo procesa una entrada multivariante de 10 canales. Esto incluye 5 métricas objetivo que representan la cadena causal de DHCP (conteo de clientes, tasa de ofertas, ratio de ACK, tasa de éxito, latencia) y 5 señales exógenas (conteo de servidores, conteo de VLAN y agregados estadísticos de tiempo de espera/latencia).
• Tokenización: Las series temporales de entrada se normalizan por instancia y se particionan en parches no superpuestos de 16 pasos.
• Mecanismo: El modelo emplea atención causal de autoatención para la predicción autoregresiva del siguiente parche. Utiliza capas feed-forward SwiGLU para la eficiencia de la representación y embeddings posicionales aprendidos.
• Variantes: Se presentan dos tamaños de modelo:
  • APEX-Large: 269 millones de parámetros, optimizado para entornos en la nube.
  • APEX-Edge: 10.5 millones de parámetros (26× más pequeño), optimizado para el despliegue en hardware de borde de clase AP (por ejemplo, ARM Cortex-A76).

Entrenamiento e Inferencia

• Preentrenamiento: El modelo se entrena mediante la predicción del siguiente parche utilizando la pérdida MSE. El entrenamiento utiliza AdamW, programación de tasa de aprendizaje de coseno y precisión mixta en 4× GPUs A10G.
• Estimación de Incertidumbre: En lugar de entrenar conjuntos (ensembles) separados, APEX emplea MC-dropout (Dropout de Monte Carlo) en la inferencia. Al mantener activo el dropout y realizar pasadas estocásticas (por ejemplo, N=50), el modelo genera intervalos de predicción (P5/P95) tanto para la previsión como para la detección de anomalías sin añadir sobrecarga de parámetros.
• Estrategia de Detección de Anomalías: Se establece una verdad de campo basada en consenso donde un paso de tiempo se etiqueta como anómalo solo si ≥3 métodos independientes (incluyendo baselines estadísticos como VAR-Mahalanobis y otros modelos de base) lo señalan. Esto reduce los falsos positivos y evita la necesidad de una anotación manual costosa.

Contribuciones Clave

1. Preentrenamiento Nativo de Red: El artículo demuestra que el preentrenamiento en telemetría de red específica del dominio produce mejoras significativas de rendimiento sobre los modelos de propósito general. APEX-Large reduce el Error Absoluto Medio (MAE) en un 18% en comparación con el baseline de propósito general más fuerte (Toto) y un 38% en comparación con SARIMA en un benchmark de degradación de DHCP de 192 pasos (4 días).
2. Previsión y Detección de Anomalías Unificadas: Un único checkpoint proporciona tanto previsiones de puntos como intervalos de incertidumbre calibrados mediante MC-dropout. Esto logra un F1 de detección de anomalías de 0.93, competitivo con métodos estadísticos especializados (VAR-Mahalanobis con 0.94) mientras elimina la necesidad de un pipeline de detección separado.
3. Eficiencia Desplegable en el Borde (Edge): APEX-Edge (10.5M de parámetros) logra una precisión comparable a modelos de base mucho más grandes (igualando el MAE de 3.64 de Toto con 3.87) mientras se ejecuta en 202 ms en hardware ARM de clase AP. Esto permite una inferencia en el dispositivo, con preservación de la privacidad y en menos de un segundo.

Resultados Experimentales

• Precisión de Previsión: En el horizonte de 192 pasos, APEX-Large (multivariante) logró el error más bajo en todas las métricas (MAE: 2.98, RMSE: 4.61). El modo multivariante superó significativamente al modo univariante, confirmando que modelar la cadena causal de canales cruzados es crítico.
• Detección de Anomalías: APEX-Large (MC-dropout) alcanzó un F1 de 0.93, superando a los modelos de base de propósito general (Toto: 0.85, Chronos-2: 0.83) y acercándose al rendimiento del mejor baseline estadístico (VAR-Mahalanobis: 0.94).
• Rendimiento en el Borde (Edge): Una Raspberry Pi 5 (representativa del hardware de producción de un AP), completó una previsión de 96 pasos en 202 ms con un uso de memoria pico de 428 MB. Esto confirma la viabilidad de su despliegue sin dependencia de la nube.

Significado y Reivindicaciones

El artículo postula que el preentrenamiento nativo de red es una base práctica para las operaciones inalámbricas proactivas. El significado principal radica en cerrar la brecha entre los modelos de base de propósito general y la dinámica compleja y específica de la telemetría de red.

Al codificar directamente los priors de nivel de protocolo en el modelo, APEX demuestra que la brecha de rendimiento entre los TSFM generales y las tareas de red es un efecto de los datos, no un efecto arquitectónico. El trabajo establece que un modelo compacto, desplegable en el borde, puede reemplazar un stack complejo de servicios de previsión alojados en la nube, detectores de anomalías separados y pipelines de exportación de telemetría. Esto permite:

• Dependencia Cero de la Nube: Las operaciones continúan durante las interrupciones de la WAN.
• Privacidad de Datos: La telemetría bruta nunca sale del dispositivo, cumpliendo con los requisitos regulatorios en sectores de salud, finanzas y gobierno.
• Latencia de Acción Sub-segundo: El bucle de detección-a-remediación (previsión → bandera de anomalía → acción local) se completa dentro del intervalo de telemetría, permitiendo la autocuración en tiempo real.

Los autores concluyen que, si bien la evaluación actual se limita a la degradación de DHCP, la estructura de entrada de la cadena causal se generaliza a otros dominios (RF, roaming), lo que sugiere un potencial inmediato para la extensión transdominio.