💻 computer science

TimeGuard: Channel-wise Pool Training for Backdoor Defense in Time Series Forecasting

为应对导致现有防御方法在时间序列预测中失效的数据纠缠与任务形式转变挑战，作者提出了 TimeGuard，这是一种在训练阶段实施的防御机制，它利用通道级池化训练和距离正则化损失选择，在保持模型在干净数据上性能的同时，显著提升了对后门攻击的鲁棒性。

原作者： Quang Duc Nguyen, Siyuan Liang, Yiming Li, Fushuo Huo, Dacheng Tao

发布于 2026-05-22

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Quang Duc Nguyen, Siyuan Liang, Yiming Li, Fushuo Huo, Dacheng Tao

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你是一名气象预报员，依赖一个由 100 个传感器组成的团队来预测明天的温度。你信任这些传感器能为你提供关于风、雨和热量的清晰图景。

现在，想象一名破坏者潜入了你的控制室。他们并没有破坏所有传感器；他们只篡改了三个特定的传感器。他们将这些传感器编程为：每当风暴来临时，就闪烁一个秘密的、隐藏的信号（例如特定的脉冲模式）。当他们看到这个信号时，就迫使这三个传感器尖叫：“气温将达到 100 度！”即使实际上气温正在结冰。

如果你基于这些被污染的数据训练你的预报模型，它会学到一个危险的规则：“如果我在那些三个传感器上看到那个秘密脉冲，就忽略其他 97 个传感器，并预测气温为 100 度。”

这就是对时间序列预测的后门攻击。该模型在正常日子里表现完美，但一旦秘密触发器出现，它就会彻底失控。

问题：为何旧防御手段失效

该论文解释，科学家们曾试图利用旧的“安全卫士”（专为图像识别或文本设计的防御手段）来捕捉时间序列数据中的这些破坏者，但它们失败主要有两个原因：

“稀释的汤”问题（数据纠缠）：
在图像安全中，如果一张照片被投毒，整张照片看起来都会很奇怪。但在时间序列中，“毒药”仅存在于少数几个通道（传感器）上。如果你将整个数据集视为一大锅汤，那三个被污染的传感器会被 97 个干净的传感器淹没。安全卫士看着整锅汤说：“这看起来没问题”，从而错过了那把被投毒的小勺子。
- 类比： 试图通过品尝整个游泳池的水来寻找其中的一滴毒药。你尝不到它，因为干净的水太过 overwhelming（压倒性）。
“令人困惑的数学”问题（任务形式转变）：
旧防御手段通常关注训练过程中的“错误分数”（损失）。它们假设被污染的数据会产生巨大的错误，而干净的数据产生的错误较小。但在时间序列中，数学逻辑不同。模型学习的是预测数值，而非类别。被污染的数据和干净的数据最终产生的错误大小相似，因此安全卫士无法将它们区分开来。
- 类比： 一位老师试图通过查看考试成绩来找出作弊的学生。但作弊者和诚实的学生都得了"B"，所以老师无法分辨谁是谁。

解决方案：TIMEGUARD

作者提出了一种名为TIMEGUARD的新防御手段。他们不再将整个数据集视为一个巨大的整体，而是彻底改变了策略。

1. “通道级池”（队长策略）
TIMEGUARD 不再将 100 个传感器视为一个庞大的群体，而是将每个传感器视为一名独立的团队成员。它为每个传感器单独构建一个“可靠池”。

类比： 指挥家不再评判整个管弦乐队，而是单独聆听每一位小提琴手。如果第 3 号小提琴手在演奏某种奇怪的秘密代码，指挥家会从练习曲目中仅移除该小提琴手的音符，而保留其他 97 位音乐家的音符。这防止了“毒药”稀释信号。

2. “时间感知”过滤器（侦探的两个线索）
为了决定哪些传感器音符可以安全保留，TIMEGUARD 使用了两个巧妙的检查：

“反向一致性”检查： 时间序列数据通常向前流动（过去 $\to$ $\to$ 未来）。后门被设计为仅在该方向上起作用。TIMEGUARD 尝试将数据向后运行（未来 $\to$ $\to$ 过去）。干净的数据在两个方向上都有意义，但被污染的数据（秘密触发器）在倒放时会崩溃。
- 类比： 观看玻璃破碎的电影。如果正向播放，它看起来很真实。如果倒放（玻璃碎片飞起重组），它看起来是不可能的。后门就像那部“不可能的倒放电影”。
“邻域多样性”检查： 被污染的数据往往与其他被污染的数据看起来可疑地相似，因为攻击者使用了相同的触发模式。TIMEGUARD 寻找那些“孤独”或多样化的数据点。如果一组数据点都挤在一起且看起来完全一样，那很可能是一个陷阱。
- 类比： 在人群中，如果一群人戴着完全相同的奇怪面具并围成一个紧密的圆圈，他们很可能是破坏者。TIMEGUARD 保留那些多样化、看起来正常的人，并踢出那个“小团体”。

3. “距离正则化”训练（缓慢扩展）
一旦 TIMEGUARD 找到一小部分安全的数据，它就开始训练模型。但它不会将所有数据一股脑地倒回去。它会缓慢地扩展“安全池”，并不断检查新数据是否与旧的“毒药小团体”过于相似。这确保模型从真相中学习，而不会意外地重新学习那个秘密代码。

结果

该论文使用交通流量、天气和电力消耗等真实世界数据，针对最聪明的破坏者（攻击）对 TIMEGUARD 进行了测试。

结果： TIMEGUARD 取得了巨大成功。它阻止了模型遵循秘密指令（与之前的最佳方法相比，鲁棒性提高了近2 倍）。
代价： 它没有破坏模型预测正常天气或交通的能力。“干净”的性能几乎保持不变（在 5% 以内）。

简而言之： TIMEGUARD 是一个智能安全系统，它不再关注“大局”，而是开始倾听数据中的每一个“个体声音”。通过检查数据在反向时是否合理，以及数据点之间是否过于相似，它在丢弃好数据之前过滤掉了毒药。

技术摘要：TIMEGUARD

问题陈述

时间序列预测（TSF）对于气候预测和经济学分析等领域至关重要，但容易受到后门攻击的威胁。在这些攻击中， adversaries 将隐藏的触发模式注入训练数据，以便在推理过程中出现特定触发器时操纵模型预测，同时在良性输入上保持正常性能。

尽管在分类和生成模型领域已有大量研究，但针对 TSF 的后门防御仍显著未被充分探索。该论文指出了两个根本性挑战，阻碍了现有基于分类的防御方法有效迁移至 TSF：

数据纠缠：多变量时间序列表现出同时存在的通道结构和时间依赖性。攻击通常仅污染部分通道，导致后门信号在通道层面被稀释。这使得样本级过滤和触发器合成防御失效，因为它们无法定位后门，当攻击粒度（部分通道）与防御粒度（整个样本）不匹配时。
任务形式转变：TSF 涉及具有重叠输入 - 输出窗口的连续值回归，不同于离散分类。这种转变导致在训练早期阶段，被污染窗口与干净窗口表现出相似的损失分布，从而引发训练损失退化。因此，仅依赖训练损失分离的防御无法区分被污染数据与干净数据。

方法论：TIMEGUARD

为应对这些挑战，作者提出了 TIMEGUARD，一种无需额外干净数据即可在训练时运行的后门防御。其核心范式从样本级训练转变为通道级可靠池训练。

该方法分为两个阶段：

1. 通道级可靠池初始化（阶段 I）

TIMEGUARD 不丢弃整个样本，而是独立处理每个通道的目标。它通过交叉两个互补的、时间感知的标准，构建高置信度的初始可靠池（ $D_{rel}$ ）：

反向一致性过滤（RCF）：利用 TSF 后门的时间不对称性。虽然触发器是为预测方向（历史→未来）设计的，但它们不强制一致的反向依赖（未来→历史）。训练一个辅助反向预测器，从翻转的未来重构翻转的历史。选择反向一致性损失较低的样本，因为后门依赖通常在反向方向上失效。
邻域多样性过滤（NDF）：基于理论洞察，成功的 TSF 后门会诱导紧密的、高度相似的被污染输入窗口簇。TIMEGUARD 计算高斯加权的皮尔逊相关邻域距离。选择具有高邻域距离（表明时间多样性）的样本，以避免被污染数据典型的集中簇。

初始可靠池是同时通过 RCF 和 NDF 的样本的交集。

2. 距离正则化损失选择（阶段 II）

在主训练阶段，模型在可靠池上进行训练。为了逐步扩展该池同时防止重新引入相关的被污染窗口，TIMEGUARD 引入了距离正则化损失选择（DRLS）。

该机制基于低训练损失选择新候选样本，但通过邻域多样性约束对此选择进行正则化。
它确保即使被污染窗口因任务形式转变而实现低损失，只要它们与池中现有的被污染样本高度相关，就不会被接纳。
池的大小在训练过程中从初始比例 $\alpha$ 逐步扩展至最大比例 $\beta$ 。

主要贡献

系统评估：论文首次对 TSF 生命周期中的 13 种代表性后门防御进行了系统评估。它揭示了两种 TSF 特有的失效模式：由数据纠缠引起的信号稀释，以及由任务形式转变引起的损失退化。
TIMEGUARD 提案：一种新颖的训练时防御，从通道级可靠数据中学习。它在不需额外干净样本的情况下，利用时间感知池初始化和距离正则化扩展，缓解了信号稀释和训练损失退化。
广泛验证：该方法在三个数据集（PEMS03、Weather、ETTm1）、三种预测架构（FEDformer、TimesNet、SimpleTM）和三种代表性攻击（Random、FreqBack-TSF、BackTime）上进行了评估。它还展示了向基于大语言模型（LLM）的预测器的可迁移性。

结果

大量实验表明，TIMEGUARD 在保持干净预测性能的同时显著提高了鲁棒性：

鲁棒性：在 PEMS03 数据集上，TIMEGUARD 在 MAEP（被污染输入上的平均绝对误差）方面比领先基线（PDB）实现了 1.96 $\times$ 的提升。
干净性能：它将干净性能（MAEC）保持在未防御模型的 5% 以内。
防御有效性：提出的**预测防御有效性评级（FDER）**指标显示，TIMEGUARD 在各种设置下始终优于现有方法，FDER 得分超过 0.80。
泛化能力：该方法在不同数据集和模型架构下保持有效，甚至可迁移至基于 LLM 的预测器（在干净 MAEC 仅变化 3.8% 的情况下，MAEP 提升至少 5.14 $\times$ ）。即使在极端的全通道污染（ $\eta_S = 1.0$ ）下，它仍保持有效性。
效率：虽然 TIMEGUARD 会带来训练时开销（约 1.58 $\times$ 原始训练），但它避免了与推理时防御相关的繁重推理时开销（4–100 $\times$ ），使其适用于实时 TSF 系统。

意义与主张

论文主张，TIMEGUARD 解决了阻碍现有后门防御采用的时间序列数据特有的结构性和任务形式挑战。通过将问题从样本级重新框架化为通道级，并利用时间不对称性和邻域多样性，TIMEGUARD 提供了一种鲁棒的、与模型无关的防御，不依赖于可信干净数据的可用性。作者强调，他们的工作突显了构建更鲁棒、更可信的预测系统的必要性，并建议未来工作应专注于开发针对 TSF 的高效推理时防御。