智能车辆安全中深度学习模型对抗鲁棒性的评估与增强方法研究

《IEEE Transactions on Reliability》：Evaluating and Improving Adversarial Robustness of Deep Learning Models for Intelligent Vehicle Safety

本文针对智能交通系统中深度学习模型易受对抗攻击威胁的关键问题，提出了一种基于卷积自编码器（CAE）的对抗攻击检测与条件生成对抗网络（c-GAN）的修复方法。研究通过物理扰动数据集验证表明，该方法将LISA-CNN和GTSRB-CNN数据集的对抗样本检测准确率分别提升至98%和95%，显著增强了交通标志识别系统的鲁棒性，为自动驾驶安全提供了创新性防御方案。

　　

随着深度学习技术在自动驾驶系统中的广泛应用，交通标志识别（TSR）模型的安全性已成为智能交通领域的核心挑战。研究表明，在停车标志上粘贴微小贴纸即可使深度神经网络（DNN）将"停止"标志误判为"限速45"标志，这种物理世界对抗攻击（如RP²、PhysGAN）对自动驾驶安全构成了严重威胁。尽管现有防御方法（如对抗训练、网络结构修改）能提升模型鲁棒性，但仍存在计算成本高、泛化能力有限等问题。

为解决上述问题，Manzoor Hussain和Jang-Eui Hong在《IEEE Transactions on Reliability》上发表了题为"Evaluating and Improving Adversarial Robustness of Deep Learning Models for Intelligent Vehicle Safety"的研究。该研究创新性地提出了三阶段防御框架：首先通过卷积自编码器（CAE）检测对抗样本，随后利用条件生成对抗网络（c-GAN）将扰动图像修复至原始状态，最后通过定制卷积神经网络（CNN）模型验证修复效果。该方法在LISA-CNN和GTSRB-CNN数据集上的实验表明，对抗标志识别准确率最高提升31%，显著增强了智能车辆的运行安全性。

关键技术方法包括：1）基于七层卷积结构的自编码器，通过重构误差（MSE）的95%分位数阈值实现对抗样本检测（F1-score达0.94）；2）采用U-Net生成器和PatchGAN判别器的c-GAN模型，通过像素级转换消除物理扰动（SSIM最高达0.55）；3）构建包含8006张标注图像的混合数据集，涵盖正常与对抗性交通标志样本。

对抗攻击检测器性能

CAE检测器在GTSRB-CNN数据集上实现98%的召回率和91%的精确度。通过比较95%与99%分位数阈值发现，前者在保持高检测率的同时有效控制误报率。训练过程中损失函数稳定收敛至0.02以下，表明模型能准确重构正常样本特征。

对抗攻击缓解器效果

c-GAN修复模型在峰值信噪比（PSNR）和结构相似性（SSIM）指标上显著优于基线方法InvGAN。以"让行"标志为例，修复后PSNR达21.25 dB，SSIM提升至0.55。视觉对比显示，修复图像基本消除了RP²方法生成的贴纸扰动。

交通标志识别模型增强

修复后的对抗样本使CNN分类器准确率大幅提升：LISA-CNN数据集中的"停止"标志识别率从65%升至96%，GTSRB-CNN数据集提升28%。与VisionGuard基线相比，该方法在四项测试场景中均实现更高检测精度。

泛化性与鲁棒性验证

在MobileNet、EfficientNet和ResNet50模型上的迁移实验表明，该方法平均提升检测精度13.5%-16.5%。针对FGSM和PGD等数字攻击的测试中，检测器F1-score保持0.9以上，缓解器PSNR指标稳定在21-25 dB区间，证明其对未知攻击具有良好适应性。

该研究通过级联式防御框架实现了对抗攻击的精准检测与有效缓解，解决了传统方法在实时性与泛化能力上的局限性。特别值得关注的是，该方法仅对检测出的对抗样本进行修复，避免了清洁样本的无效处理，将系统推理效率提升约两倍。研究结果为自动驾驶系统在面对物理世界攻击时提供了可靠的安全保障，也为深度学习模型在关键领域的安全性评估建立了新范式。未来可进一步探索生成模型与超分辨率技术的结合，以提升修复图像的质量与视觉一致性。