技術要約：時系列分類器における説明の脆弱性の露呈：デュアルターゲット攻撃による検証

1. 問題定義

本論文は、解釈可能な時系列ディープラーニングシステム（ITSDL）における重大なセキュリティ上の欠陥を扱っている。これらのシステムは、予測器と説明器を組み合わせることで、意思決定に対する人間が理解可能な根拠（例：ヘルスケアや故障検知におけるもの）を提供するが、そこには「説明の安定性が決定の堅牢性を意味する」という暗黙の仮定が存在する。著者らはこの仮定に異を唱え、予測と説明は敵対的にデカップル（分離）可能であると主張している。

核心となる問題は、攻撃者が以下の両方を同時に実行できるかについての体系的な検証が不足していることである：

1. 時系列分類器に対し、入力を特定のターゲットクラスへと誤分類させる。
2. 結合された説明器を操作し、選択された参照根拠（多くの場合、元のクラスや特定のパターンを模倣したもの）と一致する、もっともらしく一貫した説明を生成させる。

既存の時系列に対する敵対的攻撃は、通常、予測の堅牢性のみに焦点を当てるか、説明の質をテストするために非適応的なランダム摂動を使用している。これらの手法は、「誤分類を隠蔽するために、説得力のある説明を捏造する」という、人間の監視や説明に基づく監査を回避するという特定の脅威を捉えることができていない。

2. 手法：TSEF (Time Series Explanation Fooler)

著者らは、分類器の出力と説明器の出力を同時に操作するように設計されたデュアルターゲット攻撃フレームワークであるTSEFを提案している。この手法は、時系列データに固有の「高次元パラドックス」に基づいている。標準的な高密度 $\ell_\infty$ 攻撃は、予測を反転させることには効果的だが、属性の質量（attribution mass）を入力空間全体に分散させてしまう傾向があり、その結果、疎で連続的な参照根拠とは一致しない、時間的に不整合な説明を生み出してしまう。

これを解決するため、TSEFは攻撃を以下の2つの構造化されたコンポーネントに分離する。

2.1. 理論的基礎

著者らは、標準的な高密度 $\ell_\infty$ 更新下では、ターゲット領域外の期待属性質量が入力空間の次元 ($d - |\Omega|$) に対して線形にスケールすることを証明している（定理 4.1）。これにより、構造化されていないノイズを用いて予測の変化を強制しながら、局所的な説明を維持することは数学的に困難になる。

2.2. 攻撃アーキテクチャ

TSEFは、攻撃者が分類器 $f$ と説明器 $H_E$ の両方にアクセスできるホワイトボックス脅威モデルの下で動作する。攻撃は、$\ell_\infty$ 摂動予算の制約条件下で、結合損失関数を最小化する。これは以下の2つの反復ステージで構成される。

1. 時間的脆弱性マスク ($M_t$):

   • 目的: 摂動が予測と説明の両方に最も効果的に影響を与える、疎で連結な時間領域を特定する。
   • メカニズム: 学習可能なマスク $M_t \in [0, 1]^{T \times D}$ を最適化し、特定の時間チャネルセグメントを抑制する。
   • 正則化: マスクを疎かつ連続的（現実世界のパターンを模倣）にするために、以下を導入する：
     • 疎性: 入力とマスクの間の相互情報量を最小化する（疎なベルヌーイ事前分布に対するKLダイバージェンス境界を使用）。
     • 連結性: 時間ステップ間でマスクの不連続性にペナルティを与える正則化項。
   • 最適化: 離散的なマスク選択を通じて勾配フローを可能にするため、ストレートスルーエスティメータ（STE）を用いたConcrete (Gumbel-Softmax) 緩和を使用する。振幅不変の更新ルールにより、選択が信号の大きさではなく感度に基づくようにする。

2. 周波数摂動フィルタ ($M_f$):

   • 目的: 選択された時間領域内のダイナミクスを修正し、散在したアーティファクトを導入することなく、予測と説明を誘導する。
   • メカニズム: 選択されたセグメントを周波数領域に変換する。学習可能なフィルタ $M_f$ をスペクトルに対して乗算的に適用する。
   • 利点: 周波数領域での編集は、点ごとのノイズではなく、時間領域におけるコヒーレントな変化（例：トレンドや周期性の変更）を誘発する。
   • 最適化: 高エネルギーの周波数ビンが勾配を支配するのを防ぐため、エネルギー不変のサイン更新を使用する。適応的なスケーリング係数により、最終的な摂動がインスタンスごとの $\ell_\infty$ バジェットを遵守するようにする。

最終的な敵対的例は、マスクされたセグメントに周波数フィルタを適用し、それを元の信号に再挿入することによって再構成される。

3. 主な貢献

• 体系的な脆弱性評価: 時系列における説明の敵対的堅牢性に関する初の評価を提供し、予測をターゲットに変更させながら、説明を所定の根拠に適合させることが可能であることを示した。
• 高次元パラドックスの分析: 点ごとの境界を持つ攻撃は、次元が増加するにつれて属性質量を分散させ、拡散した説明をもたらすことを理論的および経験的に示した。
• TSEFフレームワーク: 「いつ摂動を加えるか」（疎な時間マスクによる）と「どのように摂動を加えるか」（周波数ドメインフィルタによる）を分離した、新しいデュアルターゲット・構造化攻撃。これにより、制御可能で連続的な説明の操作が可能となる。
• モジュール式テストベッド: 共有された攻撃インターフェースの下で、結合された分類器・説明器システムを評価するための標準化された評価フレームワークの公開。

4. 実験結果

著者らは、6つのデータセット（合成データ3種：LOWVAR, SEQCOMB-UV, SEQCOMB-MV；実世界データ3種：ECG, PAM, Epilepsy）および3種類の異なる説明器バックボーン（TIMEX++, TIMEX, Integrated Gradients）、そしてTransformerベースの分類器を用いてTSEFを評価した。

• 予測と説明のトレードオフ: 既存の予測のみの攻撃（例：PGD, BlackTreeS）は高い攻撃成功率（ASR）を達成したが、説明の一致度（例：AUPRC）は低かった。逆に、ランダムノイズは説明スコアをある程度維持したが、誤分類には失敗した。
• TSEFの性能: TSEFは、高いASR（強力なベースラインと同等またはそれを上回る）を達成しながら、高い説明の一致度を維持することに成功した。
  • 例: ECGデータセットにおけるTIMEX++を用いた場合、TSE型はASR 0.951（PGDの0.946に対し）を達成しつつ、説明指標を大幅に向上させた（PGDのAUPRC 0.639に対し、TSEFは0.713）。
  • 例: LOWVARにおいて、TSEFはASR 0.85を維持しながらAUPRC ~0.845を達成したが、PGDは0.258まで低下した。
• 汎用性: この脆弱性は、異なる説明器タイプ（マスクベースおよび勾配ベース）および異なる分類器バックボーン（Transformer, CNN, TimesFM）にわたって観察された。
• 実世界への影響: 正解の根拠が存在しない設定（クリーンな説明を参照とする）において、TSEFは有効な説明の外観を維持しながら予測を反転させることに成功し、説明に基づく監査を効果的に回避した。

5. 重要性と主張

本論文は、説明の安定性は、時系列システムにおける決定の堅牢性の誤解を招くプロキシ（代理指標）であると主張している。予測と説明をデカップルできる能力は、説明の一貫性によってモデルの挙動を検証するという現在の監査プロトコルが、体系的にバイパスされ得ることを意味する。

著者らは、自らの研究が特定の失敗モードを明らかにする「ホワイトボックス・ストレス・テスト」であることを強調している。すべての時系列システムが安全でないと主張しているのではなく、結合された予測・説明出力に対する固有の信頼という仮定が欠陥を抱えていることを示している。その重要性は、結合を考慮した堅牢性評価、および予測器と説明器の共同の振る舞いを明示的に制約する防御策の開発を促すことにある。論文は、ハイステークスなアプリケーションにおいて、単に説明がもっともらしく見えるかどうかを確認するだけでは、信頼を回復できないと結論付けている。決定と根拠の関係は、敵対的な操作に対して保護されなければならない。