Fortifying Time Series: DTW-Certified Robust Anomaly Detection

技术摘要：强化时间序列：DTW 认证的鲁棒异常检测

问题陈述
时间序列异常检测对于医疗、金融和移动网络等高利害领域的安全至关重要。然而，这些系统容易受到对抗性攻击，即通过精心设计的细微扰动来逃避检测。现有的防御机制主要依赖 $\ell_p$-范数约束来认证鲁棒性。作者认为，$\ell_p$-范数与时间序列数据从根本上是不兼容的，因为它们无法捕捉内在的时间结构。微小的时间扭曲（如平移或重缩放）可能会极大地膨胀 $\ell_p$-范数距离，而不会改变数据的底层语义。因此，在 $\ell_p$-范数下认证的防御措施无法为利用时间错位进行的攻击提供充分的保护。虽然动态时间规整（DTW）因其处理时间对齐的能力而成为时间序列的标准相似度度量，但目前尚无针对该度量的可认证鲁棒性结果。

方法论
本文提出了时间序列异常检测中首个DTW 认证鲁棒性框架，通过适配随机平滑范式实现。核心方法通过下界变换，弥合了 $\ell_p$-范数保证与 DTW 距离之间的差距。

1. 百分位平滑：作者采用百分位平滑，而非标准的随机平滑（后者通常对 Gaussian 噪声进行平均，往往导致无界异常分数的界限过于宽松）。他们构建了一个平滑的异常分数函数 $h_p(x)$，该函数对高斯噪声下基础函数输出的第 $p$ 个百分位进行界定。这种方法对输出分布中的异常值和方差更具鲁棒性。
2. 下界变换：为了将 $\ell_p$-范数证书转化为 DTW 证书，作者利用了Keogh 下界（$LB_{Keogh}$）。该下界通过计算扰动序列与原始序列在包裹窗口内的“包络线”（上界和下界）之间的距离，高效地近似 DTW 距离。
3. 理论推导：作者推导出了DTW 认证半径（$e$）的闭式表达式。其逻辑如下：
   • 在 $\ell_2$-范数空间中确立一个认证半径 $r$，使得平滑模型的决策保持不变。
   • 利用引理 3.2 证明，如果一个点位于输入点的 DTW 距离 $e$ 范围内，那么只要 $e$ 是通过 $\ell_2$-球外 Keogh 下界的下确界定义的，该点也必须位于半径为 $r$ 的 $\ell_2$-球内。
   • 定理 3.3 基于噪声水平 $\sigma$、百分位阈值以及 Keogh 包络的结构属性（特别是松弛量 $\Delta_i$ 和松弛量之和 $R$），提供了 $e$ 的显式公式。
4. 模型无关性：该框架是模型无关的。它不需要重新训练；可以通过将平滑和认证层包裹在任何预训练的异常检测器上来应用。

主要贡献

• 首个 DTW 认证防御：本文引入了首个理论框架，专门针对时间序列异常检测中的 DTW 距离提供认证鲁棒性保证。
• 可泛化机制：所提出的防御无缝集成了 DTW 认证与现有的异常检测模型（如 COUTA、TimesNet、DeepSVDDTS），无需修改训练过程。
• 理论桥梁：该工作通过 Keogh 下界建立了 $\ell_p$-范数证书与 DTW 鲁棒性之间的形式化联系，推导出了认证半径的闭式表达式。

实验结果
作者在七个基准数据集（包括 SMAP、MSL、SMD 和 NIPS-TS 套件）和三种最先进的检测架构上评估了他们的方法。

• 攻击下的鲁棒性：在强 DTW 对抗攻击下（攻击预算为 $e_{att} = 1.0$），DTW 认证防御的表现显著优于无防御模型和传统的 $\ell_p$-范数认证防御。
• 性能提升：在特定数据集（如 UCR-1）上受攻击时，该方法相比 $\ell_p$-范数认证模型实现了高达 18.7% 的 F1 分数提升。
• 认证比例：该框架成功认证了高比例的测试输入（例如，在 NIPS-TS-WATER 数据集上高达 99.46%），且这些输入具有非零的鲁棒性半径。
• 权衡：实验突显了平滑噪声水平（$\sigma$）与检测性能之间的权衡。适度的 $\sigma$ 值通常能改善泛化能力，而过大的值虽然增加了认证半径，但会降低 F1 分数和 ROC AUC。

意义与主张
本文主张，与 DTW 而非 $\ell_p$-范数对齐的鲁棒性保证对于时间序列异常检测中的有效防御至关重要。作者断言，他们的方法针对涉及时间扭曲的最坏情况对抗场景提供了形式化、可证明的保证，解决了安全关键应用中的一个关键缺口。通过证明 DTW 认证防御相比现有的基于 $\ell_p$-范数的方法对时间攻击具有更优越的弹性，该工作为时间序列监控系统的运行可靠性确立了新标准。作者指出，虽然蒙特卡洛采样引入了测试时的开销，但该方法提供了一种原则性的方式来量化和提高高利害环境中的鲁棒性。