Adversarial Robustness of Time-Series Classification for Crystal Collimator Alignment

1. Problématique

L'article aborde un problème critique de sécurité dans le contexte du Grand Collisionneur de Hadrons (LHC) du CERN, spécifiquement concernant l'alignement des collimateurs en cristal pour le futur HL-LHC (High-Luminosity LHC).

• Contexte opérationnel : Les collimateurs en cristal sont essentiels pour dévier les particules de la « halo » (particules égarées) du faisceau principal vers des absorbeurs, protégeant ainsi les aimants supraconducteurs et les détecteurs. Un mauvais alignement peut entraîner des dommages par rayonnement, du bruit de fond ou une perte de supraconductivité (quench).
• Rôle de l'IA : Un algorithme d'apprentissage automatique, basé sur un Réseau de Neurones Convolutif (CNN), est utilisé pour classifier automatiquement les séries temporelles provenant des moniteurs de perte de faisceau (BLM - Beam Loss Monitors) pendant la rotation du cristal. Le modèle doit distinguer trois états : « aucun canalisation », « puits partiel » et « canalisation » (alignement optimal).
• Le défi de robustesse : Le système doit être robuste face aux perturbations adverses réalistes (bruit de lecture électronique, fluctuations du faisceau, bruit de capteur). Le problème central est d'assurer que le classifieur ne change pas de prédiction face à des perturbations physiquement plausibles, tout en tenant compte de la chaîne de prétraitement (normalisation par fenêtre et remplissage par zéro) qui est déployée en production.
• Limitation des approches existantes : Les attaques adverses standard (basées sur des boules $L_p$) échouent souvent car elles ignorent les contraintes spécifiques du prétraitement (ex: une perturbation dans l'espace normalisé peut être impossible à réaliser dans l'espace du signal original) et ne modélisent pas correctement les dépendances entre les canaux de données.

2. Méthodologie

Les auteurs proposent un cadre d'analyse de robustesse qui intègre le prétraitement et le modèle de menace dans le processus d'attaque.

A. Modèle de Menace Opérationnel

Le modèle de menace est défini dans l'espace du signal (avant normalisation) et structuré pour refléter la physique réelle :

• Perturbations structurées : Une perturbation $\delta$ est décomposée en une composante commune (corrélée entre les deux canaux BLM, simulant les fluctuations du faisceau) et des composantes indépendantes (bruit spécifique à chaque canal).
• Contraintes de prétraitement : Le modèle respecte strictement les contraintes de la chaîne de production :
  • Remplissage par zéro (Padding) : Les perturbations doivent être nulles sur les indices remplis par des zéros.
  • Normalisation par fenêtre (Z-normalization) : Les perturbations doivent respecter les contraintes statistiques (moyenne 0, écart-type 1) imposées par la normalisation sur chaque fenêtre glissante.

B. Cadre d'Attaque Reparamétré (Wrapper)

Pour contourner la non-linéarité du prétraitement et permettre l'utilisation d'outils d'attaque basés sur le gradient (comme Foolbox et ART), les auteurs introduisent un wrapper différentiable :

• Reparamétrisation : Au lieu d'attaquer directement les données normalisées (ce qui peut générer des exemples non valides), ils reparamétrisent le problème. Ils ajoutent une couche différentiable devant le CNN qui encode le modèle de bruit structuré et le prétraitement.
• Fonctionnement : L'optimiseur attaque des variables latentes bornées ($u$) qui sont transformées en perturbations valides ($\delta$) appliquées au signal original, puis passent par la normalisation et le padding avant d'atteindre le CNN. Cela permet aux frameworks d'attaque standards de fonctionner sur le pipeline déployé complet.

C. Séquences Adverses

Au-delà des fenêtres individuelles, les auteurs étendent la notion de robustesse aux séquences temporelles (sur un balayage complet de rotation) :

• Ils définissent une « séquence adverse » comme une chaîne d'exemples adverses consécutifs qui maintiennent une classification erronée de manière cohérente.
• Ils proposent un algorithme de preuve de concept pour générer ces séquences, visant à trouver des perturbations qui provoquent des erreurs persistantes sur plusieurs fenêtres glissantes, simulant un risque opérationnel réel (ex: arrêt prématuré d'un scan).

3. Contributions Clés

1. Définition d'un modèle de menace réaliste : Formalisation d'un modèle de perturbation pour les séries temporelles de physique des particules, incluant des composantes communes et indépendantes, ainsi que des contraintes de prétraitement (padding, normalisation).
2. Wrapper de pipeline sensible au prétraitement : Conception d'une couche de reparamétrisation légère et différentiable qui permet d'appliquer des attaques adverses basées sur le gradient sur un pipeline de classification déployé, en garantissant que les perturbations sont physiquement valides.
3. Analyse de robustesse séquentielle : Introduction du concept de « séquences adverses » comme contre-exemples à la robustesse temporelle, crucial pour les systèmes de contrôle où la stabilité de la décision sur la durée est critique.
4. Évaluation empirique complète : Application de ces méthodes sur le classifieur CNN réel utilisé au CERN, avec comparaison entre les métriques d'attaque standard et les métriques vérifiées par le pipeline.

4. Résultats Expérimentaux

Les expériences ont été menées sur un jeu de données de 296 instances (scans de rotation) avec un CNN pré-entraîné (précision propre de 93,9 %).

• Impact du prétraitement : L'ignorance du prétraitement dans les attaques conduit à des estimations de robustesse faussées.
  • Les attaques « naïves » (attaquant l'espace normalisé sans tenir compte du padding ou de la normalisation dynamique) sous-estiment la robustesse réelle de manière drastique (écarts de 9 à 23 points de pourcentage entre la robustesse rapportée par l'outil et la robustesse vérifiée par le pipeline).
  • Le wrapper proposé aligne parfaitement les métriques d'attaque et de vérification ($RA_{tool} \approx RA_{pipe}$).
• Importance du modèle de menace : L'utilisation d'un modèle de menace structuré (commun + indépendant) est cruciale. Un modèle global $L_\infty$ simple sous-estime la robustesse de manière significative (jusqu'à 70 points de différence dans certains scénarios comparatifs).
• Amélioration par l'entraînement adversaire : L'ajustement fin (fine-tuning) du modèle avec des exemples adverses générés par le wrapper a permis d'augmenter la robustesse de 4,7 % à 18,6 % selon le rayon de perturbation, sans dégrader la précision sur les données propres (elle est même passée de 93,9 % à 94,3 %).
• Attaques de séquences : L'algorithme de preuve de concept a réussi à générer des séquences adverses qui maintiennent une classification erronée (« puits partiel » au lieu de « canalisation ») sur une fenêtre temporelle ciblée, démontrant la vulnérabilité du système à des perturbations persistantes.

5. Signification et Impact

Ce travail est significatif pour plusieurs raisons :

• Sécurité des infrastructures critiques : Il démontre que les systèmes d'IA utilisés dans des environnements à haut risque (comme le LHC) doivent être évalués non seulement sur leur précision, mais aussi sur leur robustesse face à des perturbations réalistes intégrant toute la chaîne de traitement des données.
• Méthodologie reproductible : La technique du « wrapper différentiable » offre une solution générale pour appliquer des outils de sécurité d'IA standard à des pipelines de données complexes et non linéaires, sans avoir besoin de réécrire les bibliothèques d'attaque.
• Au-delà de la physique des particules : Les conclusions s'appliquent à tout domaine où le prétraitement des séries temporelles (normalisation, padding) est dynamique et dépendant des données, tels que le contrôle industriel, la surveillance médicale ou les systèmes embarqués.
• Vers l'autonomie : Les résultats montrent que bien que l'entraînement adversaire améliore la robustesse, des attaques réussies persistent. Cela indique que l'automatisation complète de l'alignement des collimateurs nécessite encore des garde-fous supplémentaires et une analyse de robustesse formelle plus poussée avant un déploiement totalement autonome.

En résumé, l'article établit un nouveau standard pour l'évaluation de la robustesse des classificateurs de séries temporelles dans les systèmes critiques, en insistant sur l'indissociabilité du modèle d'apprentissage et de son pipeline de prétraitement.