[发明专利]面向医学图像分类的对抗样本生成方法及系统

说明书

本发明公开了一种面向医学图像分类的对抗样本生成方法和系统，其中对抗样本生成方法包括步骤：1、建立并训练医学图像分类网络；2、构建对抗样本生成网络G；G采用A或B的方式生成对抗样本图像：A：G根据原始图像或噪声图像生成扰动，经范数约束后得到对抗扰动U，将U添加到原始图像上，得到对抗样本图像；B：G根据原始图像生成对抗样本图像；3、将生成的对抗样本图像输入医学图像分类网络中得到分类结果；根据原始图像的真实分类结果c_x的one‑hot编码计算损失函数，通过最小化目标函数来更新G的参数，得到优化后的对抗样本生成网络G(·)；4、使用G(·)按照A或B的方式得到对抗样本图像。该方法能够根据医学图像分类网络的结果生成有效对抗样本，对分类网络进行攻击实验。

技术领域

本发明属于医学图像处理技术领域，具体涉及一种面向医学图像分类的对抗样本生成方法和对应的系统。

背景技术

近年来，由新网络结构和大数据进步驱动的深度学习算法在许多人工智能系统中表现出惊人的高性能，例如图像识别和语义分割。深度学习在临床医学的应用也十分令人兴奋，在医学诊断上，深度学习算法似乎已经与医生在放射学，病理学，皮肤病学和眼科学方面达到了相同水平。2018年，美国食品和药物管理局(FDA)批准了首个自主人工智能医疗诊断系统，并表示他们正在积极开发一个新的监管框架，以促进这一领域的创新。

然而，Szegedy等人发现深度神经网络在实现图像分类以及图像分割等方面存在一个弱点。他们表明，尽管深度学习算法已经达到很高的准确率，但现在的深度网络却极易受到人类视觉系统几乎无法察觉的小扰动造成的对抗攻击，这种攻击可以使深度神经网络分类器完全改变其关于图像的预测，更糟糕的是，受到攻击的模型对错误预测结果表示高度信任，而且相同的图像扰动可以欺骗多个网络。这些结果的深远影响引起了研究人员对对抗攻击的广泛兴趣以及引发他们对深度学习模型鲁棒性以及防御方法的思考。

Moosavi-Dezfooli等人在2016年首先提出通用型扰动的概念，通用扰动是一个固定的扰动，其在被添加到自然图像后，可能误导大多数图像的预训练模型。Mopuri等人提出了一种与初始数据无关的方法来生成通用扰动，其动机是当输入通用扰动时，最大化多层网络的平均激活函数值，虽然这种方法不需要训练数据的相关信息，但是它的结果并没有像Moosavi-Dezfooli的方法那么好。Metzen等人提出了一种用于生成语义分割模型的通用型目标攻击的方法。他们的方法类似于Moosavi-Dezfooli的方法，他们通过添加图像相关型扰动并剪切结果以满足范数约束来创建通用型扰动。Moosavi-Dezfooli等人在2017年又提出了一种基于决策边界的几何性质对分类器对抗通用扰动的鲁棒性进行定量分析的方法。

对于创建图像相关型扰动，目前有许多方法已经被提出。基于优化的方法，如Szegedy等人和Carlini等人的方法，通过扰动范数约束和模型损失函数来定义代价函数达到优化目的，虽然这些方法比其他方法能获得更好的结果，但是他们的推理时间很慢。Goodfellow等人在2015年提出了一种快速梯度符号方法(Fast Gradient Sign Method,FGSM)来生成对抗样本，该方法计算每一个元素的损失函数的梯度，然后基于梯度下降方向移动一小步，虽然这种方法很快速，但仅使用基于损失函数线性近似的单个方向常常会导致次优结果。基于这项工作，Moosavi-Dezfooli等人提出了一种迭代算法，通过假设损失函数可以在每次迭代时围绕当前数据点线性化来计算对抗扰动。Kurakin等人提出了一种迭代最小可能类的方法，这是一种基于迭代梯度的方法，选择最不可能的预测类作为目标类，他们还讨论了如何有效的在训练过程中添加对抗样本来提高模型鲁棒性。