[发明专利]一种基于双重注意力机制的低感知性对抗样本构成方法

说明书

本发明公开了一种基于双重注意力机制的低感知性对抗样本构成方法，所述方法包括：获取原始图像的特征图；基于原始图像的特征图，计算原始图像特征图与原始图像特征图添加通用对抗扰动后生成的第一阶段对抗样本间的感知损失、判别损失和对抗损失，优化预设的提取网络，得到关键干扰区域；基于关键干扰区域，计算原始图像特征图与原始图像特征图添加对抗扰动后生成的第二阶段对抗样本间的判别损失和对抗损失，优化预设的生成网络；通过优化后的提取网络和生成网络向原始图像添加对抗扰动，生成低感知性对抗样本。本发明能够生成不为人眼视觉所感知的对抗样本，所生成对抗样本的对抗性能与现有方法近似，并具有更低的感知性。

技术领域

本发明涉及一种基于双重注意力机制的低感知性对抗样本构成方法，属于图像信号处理技术领域。

背景技术

卷积神经网络(Convolutional Neural Networks,CNN)在图像分类、目标检测、语义分割等诸多领域取得了显著的成果。与此同时，对抗样本的概念也孕育而生。对抗样本(adversarial example)是指在原数据集中通过人工添加对抗扰动所形成的样本，这类样本会导致训练好的深度模型以高置信度给出与原样本不同的输出结果。对抗扰动是对抗样本生成过程中的关键因素。一般而言，对抗扰动的核心能力是使模型产生错误的输出；在此基础上，扰动应尽量不影响原始图像,甚至让人眼视觉也难以感知。

基于以上分析，对抗样本的攻击成功率和视觉不可感知性是评价其性能的两个重要指标。对抗样本的攻击成功率是指添加扰动后对抗样本被深度模型误判的概率。对抗样本的视觉不可感知性是指在原始图像上增加的对抗扰动能够不为人眼视觉所感知的能力。

对抗样本生成算法研究对视觉不可感知性的客观评价标准较为一致，即：对于RGB三通道图像，像素的值变化越小越好，一般以像素变化值小于8(RGB共256级)作为界限。在生成对抗样本时，使用最大值约束将扰动幅度限定在±8/255以内.但单纯按照上述标准设计的算法，在主观评定上不一定取得很好效果。现有方法在视觉不可感知性上还存在着一定的改进空间：(1)在图像全局增加扰动,并存在扰动纹理突出的现象；(2)没有考虑生成扰动对全局结构的影响，破坏了图像的整体结构；(3)扰动分布不合理，生成扰动跨越前后背景。

发明内容

本发明的目的在于克服现有技术中的不足，提供一种基于双重注意力机制的低感知性对抗样本构成方法，能够生成不为人眼视觉所感知的对抗样本。为达到上述目的，本发明是采用下述技术方案实现的：

第一方面，本发明提供了一种基于双重注意力机制的低感知性对抗样本构成方法，所述方法包括如下步骤：

获取原始图像的特征图；

基于原始图像的特征图，计算原图像特征图与原图像特征图添加通用对抗扰动后生成的第一阶段对抗样本间的感知损失、判别损失和对抗损失，优化预设的提取网络，得到关键干扰区域；

基于关键干扰区域，计算原图像特征图与原图像特征图添加对抗扰动后生成的第二阶段对抗样本间的判别损失和对抗损失，优化预设的生成网络；

通过优化后的提取网络和生成网络向原始图像添加对抗扰动，生成低感知性对抗样本。

结合第一方面，进一步地，所述预设的提取网络包括：卷积层、标准化层、ReLU激活层、反卷积层、最大池化层和注意力模块。

结合第一方面，进一步地，所述得到关键干扰区域，包括如下步骤：

将原始图像的特征图输入1组卷积-标准化-ReLU激活层，将特征图分为两路，一路依次输入2组卷积-标准化-ReLU激活层、1个注意力模块和1组反卷积-标准化-ReLU激活层，另一路输入1组最大池化-卷积-标准化-ReLU激活层；两路输出的特征图在通道维度上拼接，输入2组反卷积-标准化-ReLU激活层后，输入门机制，筛选得到关键干扰区域。

结合第一方面，进一步地，所述门机制包括：