Adversarial Robustness of Time-Series Classification for Crystal Collimator Alignment

이 논문은 CERN 의 대형 강입자 충돌기 (LHC) 에서 결정 콜리메이터 (crystal collimator) 정렬을 지원하는 시계열 분류 신경망의 **적대적 견고성 (Adversarial Robustness)**을 분석하고 개선하는 방법을 다룹니다. 실제 물리적 환경에서 발생할 수 있는 노이즈와 센서 변동을 고려한 위협 모델을 정의하고, 이를 반영한 공격 및 방어 기법을 제안합니다.

주요 내용은 다음과 같습니다.

1. 문제 정의 (Problem Statement)

• 배경: LHC 의 고광도 업그레이드 (HL-LHC) 를 위해 도입된 결정 콜리메이터는 빔 헤일로 (halo) 를 흡수체로 유도하여 초전도 자석을 보호합니다. 이를 위해 결정의 각도를 정밀하게 정렬해야 하며, 이 과정에서 빔 손실 모니터 (BLM) 의 시계열 데이터를 분석하여 '채널링 (channeling)' 여부를 분류하는 CNN 이 사용됩니다.
• 핵심 문제: 기존 적대적 공격 연구는 일반적인 $L_p$ 노름 (norm) 기반의 노이즈를 가정하지만, 실제 BLM 데이터는 전자의 판독 노이즈, 빔 관련 상관 변동, 전처리 과정 (Window 단위 Z-normalization, 패딩) 등의 복잡한 제약 조건을 가집니다.
• 위험: 이러한 실제적인 제약 조건을 무시한 채 표준적인 적대적 공격을 적용하면, 실제 시스템에서는 불가능한 (비현실적인) 노이즈를 생성하거나, 반대로 실제 위협을 과소평가하여 견고성 추정이 왜곡될 수 있습니다. 또한, 슬라이딩 윈도우 기반의 분류에서 인접한 윈도우 간에 일관된 오분류가 발생하는 '적대적 시퀀스 (Adversarial Sequence)' 문제가 발생할 수 있습니다.

2. 방법론 (Methodology)

2.1 운영상 타당한 위협 모델 (Operationally Plausible Threat Model)

• 구조화된 노이즈 모델: 단일 윈도우 내에서의 노이즈를 **공통 모드 (Common-mode, 채널 간 상관관계)**와 **독립 모드 (Independent, 채널별 노이즈)**로 분해하여 모델링합니다.
  • $\delta_{t,c} = \epsilon^{com}_c \cdot \delta^{com}_t + \epsilon^{ind}_c \cdot \delta^{ind}_{t,c}$
• 시퀀스 수준의 견고성: 단일 윈도우뿐만 아니라 전체 스캔에 걸친 시퀀스 전체에서 분류가 안정적으로 유지되어야 함을 요구합니다. 인접한 윈도우 간 예측 확률의 급격한 변화를 방지하는 '매끄러움 (Smoothness)' 조건을 도입합니다.

2.2 전처리 인식형 재매개변수화 프레임워크 (Preprocessing-Aware Reparameterization)

• 문제: 기존 공격 도구 (Foolbox, ART 등) 는 입력 데이터를 직접 공격하지만, 실제 파이프라인에는 Z-normalization과 Zero-padding과 같은 비선형 및 데이터 의존적 전처리가 존재합니다. 이를 무시하면 생성된 적대적 예제가 실제 시스템에서 유효하지 않게 됩니다.
• 해결책:
  • 가벼운 래퍼 (Wrapper) 구현: 전처리 과정 (정규화, 패딩) 과 구조화된 노이즈 모델을 CNN 의 미분 가능한 레이어로 재구성합니다.
  • 신호 공간 (Signal Space) 공격: 공격 변수를 정규화된 공간이 아닌 원래 신호 공간에서 정의하고, 이를 통해 전처리를 거친 후 CNN 에 입력되도록 그래프를 구성합니다.
  • 이를 통해 기존 그라디언트 기반 공격 도구들이 실제 배포된 파이프라인을 고려한 공격을 수행할 수 있게 합니다.

2.3 적대적 시퀀스 생성 알고리즘

• 단일 윈도우 공격을 넘어, 특정 시간 구간에서 연속적으로 분류를 오작동시키는 '적대적 시퀀스'를 생성하는 Proof-of-Concept 알고리즘을 제안합니다. 이는 운영자가 스캔 중 안정적인 분류를 요구하는 조건을 위반하는 사례를 찾습니다.

3. 주요 기여 (Key Contributions)

1. 전처리 고려 위협 모델 정의: 데이터 전처리 (Z-normalization, 패딩) 와 채널 간 상관관계를 고려한 새로운 시계열 분류기용 위협 모델을 정의하고 CERN 의 결정 정렬 CNN 에 적용했습니다.
2. 전처리 인식형 래퍼 설계: Semantify-NN 등의 아이디어를 차용하여, 미분 가능한 전처리 레이어를 CNN 앞에 배치하는 경량 래퍼를 설계했습니다. 이를 통해 기존 공격 프레임워크가 배포된 파이프라인에 맞춰 작동하도록 했습니다.
3. 적대적 미세 조정 (Fine-tuning) 평가: 제안된 프레임워크를 사용하여 공격을 생성하고, 이를 통해 모델을 미세 조정 (Adversarial Fine-tuning) 하여 견고성을 평가했습니다.
4. 적대적 시퀀스 분석: 인접 윈도우 간에 지속되는 오분류 (Persistent Misclassification) 를 보여주는 적대적 시퀀스를 발견하고, 이것이 시간적 견고성 요구사항에 대한 반례가 됨을 입증했습니다.

4. 실험 결과 (Results)

• 전처리 인식의 중요성:
  • 전처리 (정규화, 패딩) 를 고려하지 않은 공격은 견고성 (Robust Accuracy, RA) 을 과소평가하거나 과대평가하는 오류를 범했습니다.
  • 예를 들어, 'No-normalization' 설정에서는 도구 보고 RA(0.733) 와 파이프라인 검증 RA(0.831) 사이에 약 10% 이상의 차이가 발생했습니다. 반면, 제안된 **Baseline(전처리 인식)**은 도구 보고값과 파이프라인 검증값이 거의 일치하여 ($0.794 \approx 0.794$) 정확한 평가를 가능하게 했습니다.
• 적대적 미세 조정의 효과:
  • 제안된 위협 모델을 기반으로 적대적 미세 조정을 수행한 결과, 청정 데이터 (Clean Data) 의 정확도는 유지 (0.939 $\to$ 0.943) 하면서, 다양한 노이즈 크기 ($\epsilon$) 하에서 견고성 정확도가 최대 18.6% 까지 향상되었습니다.
  • 이는 훈련 데이터가 희소한 환경에서도 적대적 미세 조정이 유효함을 시사합니다.
• 적대적 시퀀스 발견:
  • Proof-of-Concept 공격을 통해 특정 구간에서 '채널링'으로 분류되어야 할 신호를 '부분적 웰 (partial well)'로 지속적으로 오분류시키는 시퀀스를 성공적으로 생성했습니다. 이는 단순한 단일 윈도우 공격을 넘어 시스템 전체의 안정성을 위협할 수 있음을 보여줍니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실제 시스템 적용 가능성: 이 연구는 이론적인 적대적 견고성 분석을 넘어, 실제 물리 실험 장비 (LHC) 의 제어 시스템에 적용 가능한 방법론을 제시했습니다.
• 전처리의 중요성 강조: 배포된 파이프라인의 전처리 단계를 무시한 견고성 평가는 신뢰할 수 없음을 입증했습니다. 전처리를 공격 모델의 일부로 통합하는 것이 필수적입니다.
• 안전한 자동화: 고에너지 물리 실험과 같은 안전이 중요한 (Safety-critical) 분야에서 ML 모델의 자동화를 위해서는 단순한 정확도뿐만 아니라, 실제 노이즈와 전처리 조건 하에서의 견고성이 검증되어야 함을 강조합니다.
• 향후 과제: 비선형 전처리 연산자를 지원하는 검증기 (Verifier) 전용 추상화 개발, 더 정교한 노이즈 모델링, 그리고 완전한 자동 정렬을 위한 추가적인 안전 장치 마련이 필요하다고 결론지었습니다.

요약하자면, 이 논문은 CERN 의 결정 콜리메이터 정렬 시스템을 대상으로, 실제 물리적 제약과 전처리 과정을 고려한 새로운 적대적 견고성 평가 프레임워크를 제안하고, 이를 통해 모델의 견고성을 크게 향상시키는 동시에 **시간적 일관성 위반 (Adversarial Sequences)**의 위험성을 규명한 중요한 연구입니다.