Adversarial Robustness of Time-Series Classification for Crystal Collimator Alignment

1. Problema e Contexto

O artigo aborda a segurança e robustez de um sistema de aprendizado de máquina crítico utilizado no Grande Colisor de Hádrons (LHC) do CERN. Especificamente, o foco está em um Classificador de Séries Temporais baseado em Redes Neurais Convolucionais (CNN) que auxilia no alinhamento de colimadores de cristal.

• Contexto Operacional: Os colimadores de cristal são essenciais para desviar partículas "halo" (perdidas) do feixe principal para absorvedores, protegendo os ímãs supercondutores do LHC de danos por radiação e "quenching" (perda de supercondutividade). O alinhamento exige precisão extrema, pois as partículas só são canalizadas dentro de um pequeno "ângulo crítico".
• O Sistema: Um algoritmo CNN classifica janelas deslizantes de dados de Monitores de Perda de Feixe (BLM) durante a rotação do cristal. O objetivo é identificar picos de canalização para otimização numérica.
• A Ameaça: O sistema opera em um ambiente ruidoso (flutuações de sensores, ruído de leitura eletrônica, flutuações do feixe). O problema central é garantir a robustez adversária: o classificador deve manter sua previsão correta mesmo na presença de perturbações realistas e plausíveis que não sejam apenas ruído aleatório, mas que possam induzir erros de classificação (falsos positivos ou negativos), levando a um alinhamento subótimo ou falha na proteção do acelerador.
• Desafio Específico: As técnicas padrão de ataque adversário falham neste cenário porque ignoram o pipeline de pré-processamento (normalização Z por janela e preenchimento zero/zero-padding) e a estrutura correlacionada do ruído (comum entre canais e específica por canal). Atacar diretamente os dados normalizados pode gerar exemplos adversários matematicamente válidos no espaço normalizado, mas fisicamente impossíveis no espaço do sinal original.

2. Metodologia

Os autores propõem uma abordagem que integra o modelo de ameaça e o pré-processamento diretamente na análise de robustez.

• Modelo de Ameaça Operacionalmente Plausível:

  • Define perturbações estruturadas que combinam um componente comum (correlacionado entre os dois canais de BLM) e componentes independentes (ruído específico por canal).
  • Impõe restrições de amplitude por canal e garante que as perturbações respeitem o zero-padding (não alteram regiões preenchidas com zeros).
  • Estende o conceito de robustez de janelas individuais para sequências adversárias, onde uma perturbação suave ao longo de uma varredura completa pode causar uma sequência de classificações errôneas.

• Framework de Ataque Consciente do Pré-processamento (Wrapper):

  • Para permitir que frameworks de ataque baseados em gradiente (como Foolbox e ART) operem no pipeline implantado, os autores criam uma camada diferenciável de reparametrização na frente da CNN.
  • Esta camada encapsula:
    1. O modelo de ruído estruturado (comum + independente).
    2. A normalização Z dependente dos dados (cálculo de média e desvio padrão por janela).
    3. A aplicação de máscaras de preenchimento (padding).
  • Isso permite que o otimizador atue sobre variáveis auxiliares limitadas, enquanto o gradiente flui através de todo o pipeline de pré-processamento até o sinal original, garantindo que os exemplos adversários gerados sejam válidos no espaço do sinal.

• Geração de Sequências Adversárias:

  • Desenvolveram um método de prova de conceito para gerar sequências adversárias que maximizam o número de classificações errôneas em uma janela de tempo contínua, mantendo a suavidade temporal (evitando oscilações rápidas não plausíveis).

3. Principais Contribuições

1. Definição de Modelo de Ameaça para Séries Temporais: Estabelecimento de um modelo de ameaça que considera pré-processamento dependente de dados (normalização Z) e correlações entre canais, aplicável ao alinhamento de colimadores no CERN.
2. Wrapper Leve e Consciente do Pipeline: Projeto de uma camada de reparametrização que permite o uso de ferramentas de ataque adversário padrão em pipelines de séries temporais complexos, sem necessidade de modificar as bibliotecas de ataque.
3. Extensão para Robustez de Sequência: Introdução do conceito de "sequências adversárias" como contraexemplos para requisitos de estabilidade temporal em sistemas ciber-físicos.
4. Análise Empírica e Melhoria: Avaliação rigorosa mostrando que ignorar o pré-processamento leva a estimativas de robustez incorretas (subestimadas ou superestimadas) e demonstração de que o fine-tuning adversário melhora a robustez sem sacrificar a precisão em dados limpos.

4. Resultados Experimentais

Os experimentos foram realizados no classificador CNN implantado no CERN (arquitetura 1D-CNN) usando os frameworks ART e Foolbox.

• Impacto do Pré-processamento:

  • Ataques que ignoram a normalização e o padding (No-normalization, No-padding) produzem métricas de robustez (RA) drasticamente diferentes quando verificadas no pipeline real.
  • Exemplo: Um ataque sem padding mostrou uma precisão robusta de 0,669 no espaço de otimização, mas 0,899 após verificação no pipeline (gap de ~23 pontos percentuais), indicando que muitos "ataques" eram inválidos no sistema real.
  • A abordagem proposta (Baseline) alinhou as métricas do ataque com a verificação do pipeline (RA_tool ≈ RA_pipe).

• Impacto do Modelo de Ameaça:

  • Modelos de ameaça ingênuos (esferas Lp globais) subestimam drasticamente a robustez real. A diferença entre um modelo ingênuo e o modelo estruturado proposto foi de aproximadamente 70 pontos percentuais na precisão robusta verificada.

• Defesa via Fine-tuning Adversário:

  • O ajuste fino do modelo com exemplos adversários gerados pelo novo framework aumentou a precisão robusta em até 18,6% (dependendo do raio de perturbação).
  • Crucialmente, isso foi feito sem degradar a precisão em dados limpos (aumentou de 0,939 para 0,943), demonstrando um efeito benéfico de aumento de dados em contextos com dados de treinamento escassos.

• Ataques de Sequência:

  • A prova de conceito demonstrou que é possível gerar perturbações suaves que invertem consistentemente a classificação de "canalização" para "poço parcial" em uma região específica da varredura, mantendo o resto do sinal inalterado. Isso revela vulnerabilidades persistentes que podem passar despercebidas em análises de janelas isoladas.

5. Significado e Conclusões

O trabalho destaca que, para sistemas de aprendizado de máquina em infraestruturas críticas (como aceleradores de partículas, medicina ou controle industrial), a robustez não pode ser avaliada apenas no modelo neural, mas deve incluir todo o pipeline de processamento de dados.

• Implicações Práticas: Ignorar o pré-processamento leva a falsas garantias de segurança ou a rejeição desnecessária de modelos robustos. A metodologia proposta permite reutilizar ferramentas padrão de segurança em pipelines complexos.
• Limitações e Futuro: Embora o fine-tuning melhore a robustez, ataques ainda são possíveis, indicando que a automação totalmente autônoma do alinhamento ainda exige cautela. O trabalho aponta para a necessidade de desenvolver abstrações específicas para verificadores formais que lidem com operadores não lineares (como a normalização Z) para certificação matemática completa.

Em resumo, o artigo fornece um framework robusto para avaliar e melhorar a segurança de classificadores de séries temporais em ambientes industriais críticos, demonstrando que a integração do pré-processamento no modelo de ameaça é fundamental para obter estimativas de segurança realistas.