[發明專利]基于補丁檢測的對抗防御模型訓練方法

在審

• 申請號: 202011333473.5
• 申請日: 2020-11-24
• 公開（公告）號: CN112597993A
• 公開（公告）日: 2021-04-02
• 發明（設計）人: 紀楠;謝海東;向雪霜;劉乃金
• 申請（專利權）人: 中國空間技術研究院
• 主分類號: G06K9/32
• 分類號: G06K9/32;G06K9/62;G06N3/04
• 代理公司: 北京謹誠君睿知識產權代理事務所(特殊普通合伙) 11538
• 代理人: 延慧;武麗榮

1.一種基于補丁檢測的對抗防御模型訓練方法，包括以下步驟：

a、利用訓練數據集訓練目標檢測神經網絡，得到預訓練模型；

b、對所述預訓練模型進行對抗補丁攻擊，生成對抗補丁數據集；

c、利用所述對抗補丁數據集對訓練數據集進行更新，并重新訓練所述預訓練模型，并更新模型參數后對其再次攻擊；

d、重復所述步驟(a)至(c)至得到由充足的對抗補丁數據構成的對抗補丁數據集；

e、將所述步驟(d)獲得的對抗補丁數據集中的補丁添加到原始的訓練數據集的數據上，并在所述訓練數據集中添加對抗補丁的類別，利用之訓練神經網絡，得到目標檢測模型。

2.根據權利要求1所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，在所述步驟(a)中，所述目標檢測神經網絡為YOLO或RCNN。

3.根據權利要求1所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，所述步驟(b)中的對抗補丁攻擊采用的目標函數為：

其中，D是樣本分布，T是補丁變換的分布，A(δ,x,t)用于將補丁δ以變換t的方式添加到樣本x上，J(A(δ,x,t),y)為預訓練模型的損失函數。

4.根據權利要求3所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，所述對抗補丁攻擊為，在目標數據集的數據中添加方形的補丁圖案，利用之訓練模型；

對補丁圖案進行初始化后進行變換，使模型函數接近于所述目標函數，所述變換包括對比度、亮度、隨機噪聲、尺寸、角度和位置的變換；

其中，對比度的變化范圍為0.8到1.2，亮度的變化范圍為－0.1到0.1，隨機噪聲因子為0.1，角度變化范圍為－20°到20°，補丁中心位于目標所在預測框的中心位置處，尺寸與預測框成比例關系。

5.根據權利要求4所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，在所述步驟(c)中，對所述對抗補丁數據集中的對抗補丁數據進行補丁攻擊時的所述變換，隨后隨機添加到目標數據集中的所有數據上，得到包含對抗補丁信息的對抗樣本數據集，并將對抗樣本數據集加入至所述訓練數據集中。

6.根據權利要求5所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，在所述步驟(c)中，更新模型參數采用的損失函數為：

其中，min_θ用于更新模型參數，x為原始的訓練數據集，A(x,δ,t)為在目標數據集上添加對抗補丁后構建的對抗樣本數據集；

在更新模型參數的過程中，對抗樣本數據的標簽保持不變，在更新過一次模型參數后，使用max_δ獲取基于更新后模型的對抗補丁數據。

7.根據權利要求6所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，在所述步驟(e)中，訓練前修改模型的部分結構以適應訓練需求，訓練后比較所述目標檢測模型和原始的預訓練模型在檢測能力和魯棒性。

8.根據權利要求7所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，修改模型結構主要包括針對輸入層，全連接層和輸出層的修改，修改后的模型結構中：

輸入層包含的數據為原始的訓練數據集及對抗樣本數據集，對抗樣本數據集中的標簽增加有對抗補丁的類別信息，包括位置和所屬類別的編號；

在全連接層，增加有模型參數，使得在輸出層能夠包含對抗補丁的類別概率信息。

9.根據權利要求8所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，在類別概率以及位置的損失函數項中增加對抗補丁的信息。

10.根據權利要求7所述的基于補丁檢測的對抗防御模型訓練方法，其特征在于，比較模型的檢測能力與魯棒性時，分別比較兩種模型在干凈數據及對抗樣本數據上的檢測AP值。