⚡ electrical engineering

On the Sharp Input-Output Analysis of Nonlinear Systems under Adversarial Attacks

本文针对在稀疏、相关且非零均值的对抗性扰动下学习一般非线性动力系统，提出了一种尖锐的输入-输出分析，证明了 $\ell_2$ 范数估计器能够实现随输入记忆长度衰减的最优误差界。

原作者： Jihun Kim, Yuchen Fang, Javad Lavaei

发布于 2026-06-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Jihun Kim, Yuchen Fang, Javad Lavaei

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图通过观察一位厨师烹饪的过程来学习一道复杂菜肴的食谱。你看到了他们投入的食材（输入），也品尝到了最终的结果（输出）。你的目标是弄清楚准确的食谱（系统动力学），这样你下次就能预测这道菜的味道。

通常，科学家假设厨师是在一个安静且使用标准食材的厨房里烹饪。但这篇文章提出了一个问题：如果有一个破坏者正溜进厨房呢？

以下是利用简单类比对该论文研究结果的拆解：

1. 破坏者（对手）

在现实世界中，系统（如电网、自动驾驶汽车甚至生物过程）不仅仅受随机噪声的影响。有时，“破坏者”（对手）会试图搞破坏。

旧的方法： 之前的研究假设破坏者是“盲目”的（看不见厨师正在做什么），或者只是添加了一些微小的、随机的盐粒。
新的现实： 本文假设破坏者是聪明的。他们可以看到厨师目前所做的一切（完整的历史记录），并且可以加入大量的、蓄意的毒药来毁掉这道菜。
关键点： 破坏者不能每次都这样做。他们被允许偶尔发动攻击。如果他们攻击得太频繁，这场游戏就无法取胜。论文证明，只要破坏者足够“懒惰”（攻击频率低于某个特定值），我们仍然可以推导出食谱。

2. “记忆”技巧（输入记忆）

为了弄清楚食谱，研究人员不仅仅看最后加入的食材，而是观察一个包含最近几个食材的窗口（例如，最近的 5 步）。

他们假定这个复杂的、非线性的烹饪过程实际上只是由一系列**“风味特征”（基函数）组成的线性组合**。
可以这样理解：与其试图理解每种香料相互作用的化学原理，不如说：“让我们把最后 5 种食材看作一个单一的‘风味块’，看看这个‘风味块’如何改变味道。”
这将问题从一个混乱的局面简化为了一个可以用数学解决的问题，前提是这些“风味块”具有足够的表达能力。

3. “L2-范数”侦探

论文测试了不同的猜测食谱的方法。

最小二乘法（天真的侦探）： 这是大多数学校使用的标准方法。它试图最小化平均误差。但如果破坏者加入了一个巨大的、极端的错误（一个巨大的毒药峰值），平均值就会发生偏移，导致侦探得出错误的食谱。
L2-范数估计器（聪明的侦达）： 作者提出了一种特定的数学工具（ $\ell_2$ $ℓ_{2}$ -范数估计器），它更加鲁棒（稳健）。
- 类比： 想象破坏者向池塘里投掷了一块巨石。 “天真的侦探”试图通过水波纹画出一条线，但巨石扭曲了整个画面。而“聪明的侦探”意识到：“啊，那块石头是一个离群值。我会忽略那个巨大的水花，专注于较小的波纹模式。”
- 论文证明，只要破坏者不是攻击得太频繁，这个“聪明的侦探”即使面对聪明且具有恶意性的破坏者，也能恢复出真实的食谱。

4. “锐利”的结果（最优性）

论文不仅说“这行得通”，还说“这是最好的可能方式”。

他们证明了一个下界（Lower Bound）：他们表明，无论你多么聪明，如果破坏者以某种频率进行攻击，就会存在一个“底线”，即你无法达到完美的准确度；总会存在一点点不确定性。
他们展示了其方法正好达到了这个底线。这就像是找到一辆车在特定道路上的最快速度：你无法更快，但你的车恰好能跑出那个速度。

5. 现实世界测试

作者不仅在纸面上进行数学推导。他们通过两种方式测试了理论：

合成混沌： 他们创建了一个虚假的、复杂的数字系统（类似于神经网络），并让一个计算机程序充当破坏者。“聪明的侦探”成功学习了该系统，而标准方法则失败了。
电网： 他们模拟了一个真实的电网（那种能照亮你城市的电网）。这些电网本质上是复杂且非线性的。他们引入了“攻击”，即破坏者试图干扰电流。同样，他们的方法成功识别了电网的行为，而标准方法则会被搞糊涂。

总结

核心信息：
如果你试图学习一个复杂的、非线性系统（如电网或机器人）是如何运作的，并且有一个聪明的敌人偶尔试图用巨大的、恶意的谎言来欺骗你，你仍然可以掌握真相。你只需要：

观察最近的历史窗口（而不只是最后一刻）。
使用一种特定的数学工具（ $\ell_2$ -范数估计器），它可以忽略由敌人造成的巨大离群值。
确保敌人攻击得不要太频繁（具体来说，攻击频率要少于每 $2 \times \text{窗口大小}$ 次中的一次）。

如果满足这些条件，你就能以数学定律所允许的最高准确度，学习到系统的真实“食谱”。

技术摘要：对抗攻击下非线性系统的尖锐输入-输出分析

问题表述
本文研究了在存在对抗性扰动的情况下，识别通用非线性动力系统输入-输出映射的挑战。该系统被建模为一个部分可观测的非线性动力系统：
$x_{t+1} = f(x_t, u_t, w_t), \quad y_t = g(x_t, u_t)$
其中 $x_t$ 是状态， $u_t$ 是控制输入， $w_t$ 是对抗性扰动， $y_t$ 是观测值。不同于现有文献主要假设高斯输入、独立同分布（i.i.d.）扰动或零均值噪声，这项工作考虑了一个显著更广泛的设定：

非高斯、非零均值输入： 控制输入不受高斯分布或零均值的限制。
相关且非零均值的对抗性扰动： 扰动 $w_t$ 可以与系统的完整信息历史相关，并具有非零均值。
部分可观测性： 学习者仅观测到 $y_t$ ，而非完整的状态 $x_t$ 。

主要目标是在这些广义扰动的存在下，学习控制着从截断输入历史 $(u_t, \dots, u_{t-\tau})$ 到观测值 $y_t$ 映射关系的矩阵 $G^*$ 。

方法论
作者提出了一个框架，通过有限记忆近似，将非线性系统辨识问题重新表述为线性参数化估计问题。

通过基函数进行线性参数化： 利用 Stone-Weierstrass 定理和通用逼近性质，将非线性输入-输出行为近似为作用于输入历史的基函数 $\Phi(\cdot)$ 的线性组合：
$y_t \approx G^* \cdot \Phi(u_t, \dots, u_{t-\tau}) + \text{残差}$
残差包括逼近误差、“远期”过去状态的影响，以及在记忆窗口内扰动的累积效应。
概率性对抗攻击模型： 文中引入了对攻击者特定的约束。虽然在发生攻击时，攻击者可以使用完整的信息历史 $\sigma\{x_0, \dots, x_t\}$ 来设计 $w_t$ ，但假设攻击是稀疏的。具体而言，在任何时刻 $t$ ，攻击发生的概率为 $p$ ，其中 $p < \frac{1}{2\tau}$ 。这意味着以高概率，系统会经历连续 $\tau$ 个时间步而没有攻击，从而允许观测到“干净”的输入-输出动力学。
$\ell_2$ -范数估计器： 作者提出使用 $\ell_2$ -范数最小化（最小二乘法）估计器来估计 $G^*$ ：
$\hat{G}_T = \arg \min_{G} \sum_{t=\tau}^{T-1} \| y_t - G \cdot \Phi(U^{(\tau)}_t) \|_2^2$
分析表明，尽管存在大幅度、非零均值的对抗性攻击，只要攻击概率满足稀疏性条件， $\ell_2$ -范数估计器就能成功恢复 $G^*$ 。

核心贡献与结果

广义假设： 本工作将系统辨识理论从线性系统和标准噪声假设（高斯、零均值、i.i.d.）扩展到了包含 Lipschitz 连续非线性系统、非高斯非零均值输入以及相关对抗性扰动的领域。
最优估计误差界限： 文中证明了 $\ell_2$ -范数估计器的估计误差受限于 $O(\rho^\tau)$ ，其中 $\rho \in (0,1)$ 是系统动力学 $f$ 的收缩因子。该界限随输入记忆长度 $\tau$ 指数级衰减。
匹配下界： 为了建立结果的尖锐性（sharpness），作者构造了一个问题实例，在该实例中任何估计器都会遭受 $\Omega(\rho^\tau)$ 的误差。这证明了在给定的对抗模型下，所推导出的上界是优化的，且在最坏情况下无法进一步改进。
$\ell_2$ -范数的优越性： 分析表明，在此特定设定下， $\ell_2$ -范数估计器比 $\ell_1$ -范数或 $\ell_\infty$ -范数估计器能获得更紧致的误差界限。其他范数会引入依赖于观测维度 $r$ 的额外因子，而 $\ell_2$ -范数界限与 $r$ 无关。
实验验证： 在合成非线性系统和实际电网摆动动力学模型上的数值实验验证了其理论发现。结果表明， $\ell_2$ -范数估计器能够收敛到真实的映射，而标准的最小二乘法（假设噪声为零均值）在对抗条件下会失效。

意义与主张
本文声称提供了针对在显著广义的输入和扰动假设下，通用非线性及部分可观测系统的第一个尖锐输入-输出分析。其主要意义在于建立了在概率性对抗攻击下进行系统辨识的最优估计误差界限。

作者强调，其工作为提高复杂非线性系统（如电网和自动驾驶车辆）在现实对抗环境中的安全性与韧性提供了理论保证。通过刻画能够实现准确识别的问题类别（特别是当攻击概率相对于记忆长度是稀疏的时），本文弥合了理论系统辨识与信息物理系统实际安全需求之间的鸿沟。关于未来方向，作者保持了谦逊，指出将这些结果扩展到涉及无限维优化的非参数化方法仍是一个开放性问题。