SAR圖像稀疏對抗攻擊

周雋凡 孫 浩 雷 琳 計科峰 匡綱要

(國防科技大學(xué)電子科學(xué)學(xué)院電子信息系統(tǒng)復(fù)雜電磁環(huán)境效應(yīng)國家重點實驗室, 湖南長沙 410073)

1 引言

合成孔徑雷達(Synthetic Aperture Radar, SAR)是一種微波主動成像雷達。與常見的光學(xué)傳感器相比,合成孔徑雷達不受天氣條件制約,具備全天時、全天候的特點,因而其在國防軍事和領(lǐng)域具有獨一無二的顯著優(yōu)勢。由于SAR的獨特性能,自從上世紀50年代SAR概念提出以來,針對SAR圖像的解譯技術(shù)迅猛發(fā)展。相較于傳統(tǒng)方法,應(yīng)用深度神經(jīng)網(wǎng)絡(luò)的識別方法的檢測準確度和效率都有顯著提升[1],因此廣泛應(yīng)用于飛機、艦船等目標檢測識別任務(wù)[2-3]。盡管深度神經(jīng)網(wǎng)絡(luò)應(yīng)用于圖像檢測識別的效果顯著,近些年來有研究指出經(jīng)過有針對性的樣本修改后,原深度神經(jīng)網(wǎng)絡(luò)識別模型的準確率會大大下降,甚至?xí)?dǎo)致樣本以高置信度被誤分類為指定類別。研究人員對此提出了“對抗攻擊”的概念并說明深度神經(jīng)網(wǎng)絡(luò)中對抗樣本的生成歸因于網(wǎng)絡(luò)的高維輸入線性化特征[4]。對于SAR圖像深度學(xué)習(xí)系統(tǒng)的對抗攻擊研究有助于研究人員從另一角度認識SAR圖像識別模型,有針對性地做出改進,提升智能解譯能力。

2 SAR圖像中的對抗攻擊

2.1 對抗攻擊

目前的對抗樣本生成方法可分為以下兩類:1)從結(jié)果反推原因的反向過程:通過計算梯度,尋找對網(wǎng)絡(luò)分類影響大的像素區(qū)域進行擾動。例如,針對深度神經(jīng)網(wǎng)絡(luò)訓(xùn)練過程,研究[4]提出了一種基于梯度下降策略的對抗樣本生成方法。該方法通過對網(wǎng)絡(luò)目標函數(shù)計算梯度來度量輸入樣本的對抗性能,從而尋找滿足攻擊要求的對抗樣本。這類方法效率高,但需要根據(jù)樣本統(tǒng)計特性和網(wǎng)絡(luò)結(jié)構(gòu)等設(shè)定算法參數(shù)細節(jié),且網(wǎng)絡(luò)中的非線性部分對該方法有較強干擾。2)從原因推導(dǎo)結(jié)果的正向過程:給定限定條件,根據(jù)一定策略改變樣本后篩選符合條件的樣本。比如研究[5- 6]指出的方法將攻擊問題轉(zhuǎn)化為優(yōu)化問題,通過尋找在所選定的任意場景下都可被錯誤分類的樣本來實現(xiàn)攻擊,其本質(zhì)是一針對類訓(xùn)練過程的優(yōu)化問題。這類方法通用性強,但計算量大、算法效率不高。

2.2 SAR圖像特點

深度神經(jīng)網(wǎng)絡(luò)應(yīng)用于圖像分類的研究主要是圍繞光學(xué)圖像展開,而SAR圖像和光學(xué)圖像在成像原理等特性上有本質(zhì)的不同[7]。SAR圖像例如飛機、艦船和車輛等不同目標特性也大有不同[8],SAR圖像和光學(xué)圖像之間的差異如表1所示。對應(yīng)的,針對SAR圖像的對抗攻擊也需要根據(jù)SAR圖像特點進行設(shè)計,以求更加簡便快速的達到攻擊效果。

表1 SAR圖像和光學(xué)圖像的差異

2.3 SAR圖像對抗攻擊的問題和挑戰(zhàn)

SAR圖像的對抗攻擊有以下幾點問題和挑戰(zhàn):1)攻擊方法可解釋性弱。現(xiàn)有針對SAR圖像的識別模型都是通過借鑒光學(xué)圖像中的神經(jīng)網(wǎng)絡(luò)模型和框架,并根據(jù)現(xiàn)SAR數(shù)據(jù)集的特點有針對性地進行改進而得到的。僅通過求導(dǎo)等數(shù)學(xué)運算進行攻擊的方法具有較低可解釋性,需要針對模型特點設(shè)計攻擊方法,通用性弱。2)攻擊結(jié)果可控性低。由于SAR圖像識別的多參數(shù)敏感性,攻擊結(jié)果不由網(wǎng)絡(luò)參數(shù)唯一決定,對網(wǎng)絡(luò)參數(shù)敏感特性有待進一步研究。3)攻擊目標針對性低。圖像在計算機視覺中以矩陣形式存儲,并以一個矩陣元素代表光學(xué)圖像中的單個像素,計算機表現(xiàn)形式和原有物理意義一一對應(yīng)。SAR成像機理導(dǎo)致SAR圖像分辨率低,同時目標在SAR圖像中是由多個離散的不規(guī)則散射中心亮斑組成的。因而單個最小單元對深度學(xué)習(xí)網(wǎng)絡(luò)識別結(jié)果的影響不大,無法應(yīng)用計算梯度方法判斷單像素點的影響效果,需要結(jié)合SAR圖像特點調(diào)整攻擊方式。

3 稀疏攻擊

3.1 對抗攻擊模型

(1)

(2)

L∞、L2、L0范數(shù)的直觀示意圖如圖1所示。相較于其他兩種范數(shù),0范數(shù)的約束空間存在于x軸和y軸。

圖1 三種范數(shù)的示意圖Fig.1 Unit cells in R2 for three norms

3.2 對抗攻擊分類

由于范數(shù)定義了對抗樣本改變原始樣本數(shù)量的多少,因而對抗攻擊按照攻擊內(nèi)容分類可具體分為L0范數(shù)攻擊、L2范數(shù)攻擊和L∞范數(shù)攻擊三類。

1)L0范數(shù)攻擊度量相較于原始樣本,對抗樣本改變的像素個數(shù)大小。由于僅需要選取部分像素進行擾動,L0范數(shù)攻擊擾動量小,耗時較短,有效保證攻擊結(jié)果的實時性。該方法符合戰(zhàn)場偵察等時效性強的場景的實際需求。

2)L2范數(shù)攻擊度量對抗樣本和原始樣本之間的歐幾里得距離,當較多像素點均擾動較小值時,L2范數(shù)可取得較小值。L2范數(shù)的每個像素點都可以擾動比較小的值,因而偽裝能力較強,人眼難以分辨。

三類算法總結(jié)如表2所示。

表2 各范數(shù)對抗攻擊算法總結(jié)

3.3 SAR稀疏對抗攻擊

針對上述式(1)的問題提出了稀疏攻擊的概念,即對擾動ε進行L0范數(shù)約束。由于SAR圖像受成像條件和系統(tǒng)觀測誤差的影響,無法構(gòu)建通用模型準確描述SAR圖像的特征分布。因而本文從統(tǒng)計層面研究SAR特征層面的稀疏性。SAR特征層面的稀疏可以表現(xiàn)在以下三個方面:

一是幅值稀疏。SAR圖像由大量中低灰度背景區(qū)域和少量高亮度目標區(qū)域構(gòu)成,表現(xiàn)在圖像上即兩區(qū)域幅值差別很大,對識別分類結(jié)果影響較大的幅值量集中在部分區(qū)域。由于SAR相干成像原理,SAR圖像含有大量相干斑噪聲,背景雜波中幾乎不包含目標信息。

二是特征稀疏。由上一部分討論可知,SAR圖像目標區(qū)域只占整幅圖像的一小部分,而目標區(qū)域同時也由離散的散射中心亮斑組成,特征冗余程度更高。傳統(tǒng)目標識別和深度學(xué)習(xí)均對這一特點加以應(yīng)用從而壓縮數(shù)據(jù)量。傳統(tǒng)目標識別中,SAR圖像稀疏表示方法首先進行字典學(xué)習(xí),選取最優(yōu)稀疏特征并確定參數(shù)進行線性組合。深度學(xué)習(xí)中,卷積神經(jīng)網(wǎng)絡(luò)更是通過卷積操作將輸入數(shù)據(jù)轉(zhuǎn)化為卷積核之間的線性組合。盡管光學(xué)圖像識別模型大都結(jié)構(gòu)復(fù)雜,稀疏性不強,但現(xiàn)有針對SAR圖像的模型均進行了很大程度的簡化,因而學(xué)習(xí)到的特征為稀疏的。

三是參數(shù)稀疏。由于SAR圖像特征具有稀疏性,對應(yīng)的特征系數(shù)也具有稀疏性。從傳統(tǒng)方法的角度看,SAR圖像通過最優(yōu)稀疏特征進行線性組合,有限個特征對應(yīng)有限個參數(shù)。從深度學(xué)習(xí)的角度看,由于大部分的輸入接近于0,故部分連接權(quán)值的大小接近于0,即部分參數(shù)為0,同樣參數(shù)稀疏。SAR圖像對抗攻擊存在的問題與挑戰(zhàn)、SAR圖像稀疏特征與SAR稀疏對抗攻擊的關(guān)系如圖2所示。

圖2 SAR圖像稀疏對抗攻擊Fig.2 SAR image adversarial attacks

4 稀疏攻擊方法

4.1 稀疏攻擊總體思路

由于對抗攻擊問題可看作是在擾動元素約束下的,損失函數(shù)最小且分類結(jié)果為其他類別的優(yōu)化問題,故可結(jié)合優(yōu)化問題的解決方式對對抗攻擊問題進行求解,在具體問題中僅改變優(yōu)化的約束條件即可。結(jié)合數(shù)字圖像空間離散、灰度離散的特點,在對原始圖像進行稀疏對抗攻擊時,主要對兩方面進行選擇:一是擾動位置,具體來說就是選擇出對誤分類貢獻大的像素點;二是擾動大小,即在選定的擾動位置上該進行何種程度的擾動。

由于式(1)的問題本身為非凸優(yōu)化問題且求解是NP-Hard難的,往往難以求得最優(yōu)解。因為對抗攻擊問題在于找到一個和原始樣本相差在接受范圍程度內(nèi)的樣本,使其可被分類器誤分類,所以對抗攻擊往往不討論問題的解是否是最優(yōu)解。因而若求解結(jié)果可滿足實際問題的需要,即若滿足L0范數(shù)約束條件,局部最優(yōu)解也可接受?，F(xiàn)將常見的稀疏攻擊算法進行分類討論并在下章進行實驗驗證,以期對SAR圖像的稀疏攻擊研究有所幫助。

4.2 稀疏攻擊代表方法

稀疏攻擊方法可按照選取擾動像素位置的方式劃分為以下三類:手動選擇、啟發(fā)式算法選擇和整數(shù)規(guī)劃。手動選擇方法的代表算法為LaVAN[6]算法。LaVAN算法在整張圖像上選擇一塊區(qū)域添加一塊“通用貼紙”,該“貼紙”對任何類別的攻擊都有效。而啟發(fā)式算法類別下的攻擊方法較多,本節(jié)選取基于啟發(fā)式算法提出的經(jīng)典算法進行簡要介紹。

4.2.1啟發(fā)式算法

啟發(fā)式算法是一類算法的總稱,該類算法通過評價函數(shù)和準則縮小求解域,逐步收斂找到一個可以接受的解。啟發(fā)式算法的本質(zhì)是一種大幅提升空間和時間復(fù)雜度的窮舉算法。由于算法總能給出一個在接受范圍內(nèi)的解,故在稀疏攻擊算法常從啟發(fā)式算法出發(fā)進行設(shè)計并結(jié)合求解要求進行設(shè)計。下文將對幾種具有代表性的稀疏攻擊算法進行介紹。

4.2.1.1One-Pixel

One-Pixel[9]是一種應(yīng)用差分進化算法(DE)將生成對抗樣本轉(zhuǎn)化為一個具有約束的優(yōu)化問題。令f為接收n維輸入的目標圖像分類器,X=(x1,…,xn)為正確分類為t類的原始數(shù)字圖像,X被分類為類t的概率為ft(X)。向量e(X)=(e1,…,en)是由X、攻擊目標類adv和最大攻擊量L確定的加性擾動。故問題求解簡化為找到e(X)的最優(yōu)解使的式成立:

(3)

4.2.1.2JSMA

JSMA算法[10]是一種通過計算訓(xùn)練函數(shù)的雅可比矩陣判斷哪些像素點進行擾動更容易達到增加分類為目標類的概率的攻擊算法。構(gòu)建顯著圖來構(gòu)建搜索域,在域中進行啟發(fā)式搜索以尋找使顯著性計算盡可能大的像素對并進行修改。重復(fù)上述過程直到輸出被成功誤分類為目標類或者達到了最大的攻擊次數(shù)。通過對MSTAR數(shù)據(jù)集的某一標簽為的圖片進行攻擊,可得到如圖3所示的結(jié)果。

圖3 JSMA算法攻擊示例Fig.3 Adversarial attack images of JSMA

4.2.1.3Sparse-RS

Sparse-RS算法[11]的核心思想是隨機搜索算法。在初始化擾動位置和擾動大小之后,每次迭代隨機選取下一次迭代的擾動位置和擾動大小,若當前迭代結(jié)果計算所得的損失函數(shù)小于上一次迭代結(jié)果,則本次迭代有效,進入下一次迭代階段。當?shù)Y(jié)果使得模型誤分類或迭代次數(shù)達到算法設(shè)定最大值時,算法結(jié)束輸出當前擾動結(jié)果。

4.2.1.4SparseFool

SparseFool算法[12]是DeepFool算法[13]在稀疏方向上的應(yīng)用。和DeepFool算法相比,SparseFool算法每次迭代在方向上的擾動更大,避免陷入局部最優(yōu)解,但其收斂速度更慢,因而SparseFool算法引入?yún)?shù)λ用以平衡收斂速度、擾動成功率和時間復(fù)雜度。

4.2.2其他優(yōu)化方法

SAPF算法[14]將每個像素處的擾動ε分解為擾動幅度δ和二進制選擇因子G∈{0,1}N,之后再將攻擊問題轉(zhuǎn)化為混合整數(shù)規(guī)劃問題,聯(lián)合優(yōu)化所有像素的二進制選擇因子和擾動幅度。而CornerSearch算法[15]改變了計算梯度的方式,將像素點看作立方體計算其四周梯度下降最慢的方向進行擾動嘗試。

典型稀疏對抗攻擊算法的總結(jié)如表3所示。

表3 稀疏對抗攻擊算法總結(jié)

5 稀疏攻擊算法對比實驗

5.1 實驗條件

本章將進行SAR圖像稀疏對抗攻擊算法實驗驗證,以期探究現(xiàn)有稀疏攻擊算法和SAR圖像的適配性何如,確立SAR圖像稀疏攻擊算法的改進空間。實驗對MSTAR數(shù)據(jù)集中的十類目標應(yīng)用稀疏攻擊算法進行非定向攻擊。實驗通過確定攻擊成功率、擾動時間等指標,研究SAR稀疏對抗攻擊算法的有效性和魯棒性,以期對新的稀疏對抗攻擊算法的提出提供幫助。

實驗硬件環(huán)境為:顯卡NVIDIA GeForce RTX 2080 SUPER、CPU Intel i9-9900K,軟件環(huán)境為Python3.7、Pytorch1.4。下面將對實驗使用的網(wǎng)絡(luò)結(jié)構(gòu)和數(shù)據(jù)集進行介紹。

5.1.1實驗網(wǎng)絡(luò)

實驗網(wǎng)絡(luò)在徐豐[16]等提出的A-ConvNets網(wǎng)絡(luò)的基礎(chǔ)進行了一定程度上的改進,MSTAR數(shù)據(jù)集識別準確率可達99.8%。其網(wǎng)絡(luò)結(jié)構(gòu)示意圖如圖4所示。實驗網(wǎng)絡(luò)采用交叉熵函數(shù)作為損失函數(shù),批樣本數(shù)量為64,訓(xùn)練過程實現(xiàn)隨機梯度下降算法,學(xué)習(xí)率為0.01。

由圖4可見,改進A-ConvNets網(wǎng)絡(luò)結(jié)構(gòu)簡單,僅含有5層卷積層,但其分類準確率仍可達到99.8%。同時由于稀疏攻擊中涉及大量求導(dǎo)計算,故結(jié)構(gòu)簡單網(wǎng)絡(luò)有利于節(jié)約計算資源同時減少網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜對實驗結(jié)果的影響。故本實驗僅針對A-ConvNets網(wǎng)絡(luò)進行攻擊。

圖4 改進A-ConvNets結(jié)構(gòu)圖Fig.4 Overall architecture of the proposed A-ConvNets

5.1.2實驗數(shù)據(jù)集

實驗采用MSTAR數(shù)據(jù)集,MSTAR數(shù)據(jù)集是美國國防高等計劃署支持的MSTAR計劃所公布的實測SAR地面靜止目標數(shù)據(jù)。數(shù)據(jù)集包含像素為128*128的十類SAR切片圖像。由于成像清晰且數(shù)據(jù)集中包含目標遮擋、偽裝、配置變化等擴展性條件,故MSTAR數(shù)據(jù)集因其系統(tǒng)性和全面性成為了SAR圖像目標識別研究中常用于進行驗證算法有效性的數(shù)據(jù)集。

5.2 實驗參數(shù)設(shè)置

待驗證的稀疏對抗攻擊算法中均含有大量超參數(shù)需要進行調(diào)試,本文實驗設(shè)定的算法超參數(shù)具體含義和數(shù)值如表4所示?？偨Y(jié)來說,稀疏攻擊算法的兩個重要超參數(shù)是擾動量和迭代次數(shù),這與第4.1節(jié)提出的稀疏攻擊總體思想相吻合。

表4 稀疏對抗攻擊算法總結(jié)

5.3 實驗結(jié)果分析5.3.1 算法驗證

本章實驗內(nèi)容為采用One-Pixel、JSMA、PGD、Sparse-RS、SparseFool和CornerSearch六種稀疏攻擊算法對應(yīng)用A-ConvNets網(wǎng)絡(luò)進行分類的MSTAR數(shù)據(jù)集進行攻擊。實驗首先對上述六種攻擊方法進行了實驗驗證,驗證其是否可有效完成攻擊。攻擊結(jié)果如圖6所示,可見六種算法均可成功實現(xiàn)對MSTAR數(shù)據(jù)集的攻擊,且攻擊后的樣本和原始圖像均有較大區(qū)別。

圖6 稀疏攻擊算法攻擊結(jié)果Fig.6 The results of sparse attack algorithms

5.3.2定量分析

5.3.2.1實驗指標分析

稀疏對抗攻擊中的一個重要參數(shù)為擾動上限。由多次實驗可知,對比實驗設(shè)定最大擾動量為圖片總像素大小的10%,即最多128×128×10%=1638個像素點可被擾動。選取的評價指標為成功率和單位消耗時間。定義成功率為被目標網(wǎng)絡(luò)錯誤分類的比例,定義單位擾動時間為每成功擾動一個樣本所消耗的時間,以秒為單位。此外,單位擾動時間考慮兩種定義,一是考慮所有樣本求取平均值,二是考慮耗時最長的樣本求取消耗時間的最大值。實驗結(jié)果如表5所示。

表5 稀疏攻擊算法評估

以成功率指標進行橫向比較,Sparse-RS算法的攻擊成功率最高為99.794%,One-Pixel算法的攻擊成功率最低為92.079%。One-Pixel算法采用差分進化算法一次只擾動一個像素點,在128×128的圖片中,一個像素點的擾動不足以完成一次成功的攻擊,故其攻擊成功率最低。Sparse-RS算法采用隨機搜索方法迭代選取最優(yōu)解,并進行了擾動加權(quán)優(yōu)化避免陷入局部最優(yōu)解,但其可解釋性不強,定向攻擊搜索耗時較長?？傮w來說,除One-Pixel算法外,其余五種算法的成功率差別較小。

由于本次實驗是直接將光學(xué)圖像的對抗攻擊算法應(yīng)用于SAR圖像,故算法性能和算法提出論文的性能有較大出入。總體來說成功率普遍在95%以上,但耗時較長且在實際運行過程中對GPU運行內(nèi)存要求較高。算法代碼基本都是numpy數(shù)組操作,GPU運算比重不大。此外計算效率不高還主要有以下幾點原因:1)由于SAR圖像特征稀疏的特性,目標切片中雜波背景區(qū)域遠大于目標區(qū)域,然而訓(xùn)練網(wǎng)絡(luò)并未將兩者重要性進行區(qū)分。這就導(dǎo)致攻擊算法消耗大量時間在背景區(qū)域中進行搜索擾動位置,時間消耗較長。2)針對耗時較長的CornerSearch算法進行分析,算法通過構(gòu)建每個像素點的“長-寬-高”三維立體搜索空間進行尋找,同時批量輸入樣本進行擾動,消耗內(nèi)存最大,較長時間用于遍歷比較和求逆運算。3)對于耗時在秒級的JSMA算法和SparseFool算法,兩者主要在顯著圖構(gòu)建和邊界逐次迭代中耗時較久。盡管SparseFool針對陷入局部最優(yōu)解問題進行了優(yōu)化,但由于SAR圖像深度學(xué)習(xí)模型易受到樣本量小的影響產(chǎn)生過擬合問題,分類邊界復(fù)雜,算法效率受到影響。4)耗時最短的Sparse-RS算法由于應(yīng)用隨機搜索,僅需實現(xiàn)錯分類便可結(jié)束算法,原理性約束和參數(shù)限制均不強,在算力尚可的計算設(shè)備上表現(xiàn)最佳。

5.3.2.2實驗參數(shù)分析

本節(jié)對成功率最高的Sparse-RS算法進行參數(shù)分析,實驗結(jié)果如圖7所示。n_queries為迭代次數(shù)上限,alpha_init為單次擾動加權(quán)。由于Sparse-RS采用隨機搜索算法迭代求解攻擊樣本,當?shù)螖?shù)逐漸增大時,陷入局部最優(yōu)解的概率越小,攻擊成功率越高,但受單個樣本特點的限制,n_queries>100時攻擊成功率逐漸穩(wěn)定。另外當alpha_init逐步增大時,成功率逐步上升同樣也是因為加權(quán)值有效避免陷入局部最優(yōu)解,但當alpha_init繼續(xù)增大時,加權(quán)過大偏離原定收斂方向,成功率開始下降。實驗結(jié)果可見稀疏攻擊算法中的參數(shù)需要根據(jù)樣本特性進行針對性設(shè)定,通用性不強,同時設(shè)定的參數(shù)可解釋性弱,無法根據(jù)需求直觀設(shè)定。

圖7 Sparse-RS算法參數(shù)實驗結(jié)果Fig.7 The results of Sparse-RS algorithm parameter experiment

5.3.3定性分析

從直觀來看,以BMP2類的某一樣本為例,圖8展示了該樣本經(jīng)過六種算法分別攻擊中擾動的像素值和對應(yīng)的對抗樣本。由圖可見One-Pixel、JSMA、SparseFool三類算法的稀疏性較好,擾動區(qū)域集中在目標區(qū)域附近。PGD和CornerSearch兩類算法對于目標陰影部分添加的噪聲尤為突出,證實了SAR圖像稀疏性中的幅值稀疏性。背景雜波像素的改變?nèi)詴ψR別結(jié)果產(chǎn)生影響。較多的擾動主要集中在相干斑噪聲上,這種現(xiàn)象的產(chǎn)生是由于神經(jīng)網(wǎng)絡(luò)的輸入是展平的多維向量,結(jié)構(gòu)簡單的神經(jīng)網(wǎng)絡(luò)無法像人類一樣重點關(guān)注目標區(qū)域識別出分類結(jié)果。分類網(wǎng)絡(luò)的有效性和結(jié)構(gòu)簡易性有效提升了攻擊速度,但同時也損傷了攻擊的可解釋性,對定向攻擊造成了一定的阻礙。

圖8 BMP2樣本攻擊結(jié)果Fig.8 The result of attack on BMP2 sample

6 SAR圖像分類稀疏對抗攻擊展望

由于SAR圖像和光學(xué)圖像之間存在諸多不同,且存在幅值稀疏、特征稀疏和參數(shù)稀疏等特點,針對SAR圖像的稀疏攻擊方法需要進行針對性的設(shè)計。本文提出以下幾點設(shè)想:

1)通過顯著性檢測等方式增加擾動過程中的先驗知識,有針對性地對目標區(qū)域進行修改,增強稀疏攻擊結(jié)果的在目標判讀時的可解釋性,避免完全從神經(jīng)網(wǎng)絡(luò)層面進行算法構(gòu)建,實現(xiàn)惡意攻擊。

2)考慮改變擾動方式,反客為主,把目標的擾動轉(zhuǎn)變?yōu)閷Ρ尘暗臄_動,添加虛假背景或增強部分背景。攻擊算法依托神經(jīng)網(wǎng)絡(luò)展開,而背景在網(wǎng)絡(luò)識別過程之中也占有一定比重。算法可將無意義的背景擾動轉(zhuǎn)化為目標性的背景擾動,或也可與第一點相結(jié)合。

3)從攻擊實時性考慮,實際應(yīng)用中解譯系統(tǒng)往往都是對采集出來的寬幅數(shù)據(jù)進行識別。由前節(jié)討論可知,現(xiàn)有算法僅針對目標切片攻擊就已消耗了較大的計算量,數(shù)據(jù)量增大時,稀疏攻擊本身的實時性就會受到挑戰(zhàn)。后續(xù)針對寬幅數(shù)據(jù)的攻擊實驗可以相應(yīng)的進行展開。

7 結(jié)論

本文對基于深度學(xué)習(xí)SAR圖像解譯技術(shù)中存在的對抗脆弱性原因進行了闡述。通過對國內(nèi)外SAR圖像解譯的研究分析可以看出SAR圖像深度模型方法在復(fù)雜對抗場景中的魯棒性問題沒有得到足夠的重視。稀疏攻擊具有擾動過程可解釋強、擾動量小的特點,符合自然場景部分遮擋的現(xiàn)實情況。本文對典型稀疏攻擊算法進行了原理探討和實驗驗證,以期說明L0范數(shù)攻擊的有效性和實效性,實驗可進一步圍繞復(fù)雜SAR場景展開。實驗結(jié)果表明現(xiàn)有稀疏對抗攻擊算法的攻擊成功率較高,但耗時不可控,且攻擊區(qū)域可解釋不強,對抗樣本容易被人眼識別。現(xiàn)有簡易結(jié)構(gòu)分類網(wǎng)絡(luò)無法有針對性地利用SAR圖像中幅值稀疏的特點進行分類,這是稀疏對抗攻擊可解釋性不強的一個原因。SAR圖像稀疏對抗攻擊的研究可在進一步提升SAR圖像解譯系統(tǒng)的可解釋性的同時,反向增強解譯系統(tǒng)的魯棒性。