SAR圖像稀疏對抗攻擊

周雋凡 孫 浩 雷 琳 計科峰 匡綱要

(國防科技大學電子科學學院電子信息系統復雜電磁環境效應國家重點實驗室, 湖南長沙 410073)

1 引言

合成孔徑雷達(Synthetic Aperture Radar, SAR)是一種微波主動成像雷達。與常見的光學傳感器相比,合成孔徑雷達不受天氣條件制約,具備全天時、全天候的特點,因而其在國防軍事和領域具有獨一無二的顯著優勢。由于SAR的獨特性能,自從上世紀50年代SAR概念提出以來,針對SAR圖像的解譯技術迅猛發展。相較于傳統方法,應用深度神經網絡的識別方法的檢測準確度和效率都有顯著提升[1],因此廣泛應用于飛機、艦船等目標檢測識別任務[2-3]。盡管深度神經網絡應用于圖像檢測識別的效果顯著,近些年來有研究指出經過有針對性的樣本修改后,原深度神經網絡識別模型的準確率會大大下降,甚至會導致樣本以高置信度被誤分類為指定類別。研究人員對此提出了“對抗攻擊”的概念并說明深度神經網絡中對抗樣本的生成歸因于網絡的高維輸入線性化特征[4]。對于SAR圖像深度學習系統的對抗攻擊研究有助于研究人員從另一角度認識SAR圖像識別模型,有針對性地做出改進,提升智能解譯能力。

2 SAR圖像中的對抗攻擊

2.1 對抗攻擊

目前的對抗樣本生成方法可分為以下兩類:1)從結果反推原因的反向過程:通過計算梯度,尋找對網絡分類影響大的像素區域進行擾動。例如,針對深度神經網絡訓練過程,研究[4]提出了一種基于梯度下降策略的對抗樣本生成方法。該方法通過對網絡目標函數計算梯度來度量輸入樣本的對抗性能,從而尋找滿足攻擊要求的對抗樣本。這類方法效率高,但需要根據樣本統計特性和網絡結構等設定算法參數細節,且網絡中的非線性部分對該方法有較強干擾。2)從原因推導結果的正向過程:給定限定條件,根據一定策略改變樣本后篩選符合條件的樣本。比如研究[5- 6]指出的方法將攻擊問題轉化為優化問題,通過尋找在所選定的任意場景下都可被錯誤分類的樣本來實現攻擊,其本質是一針對類訓練過程的優化問題。這類方法通用性強,但計算量大、算法效率不高。

2.2 SAR圖像特點

深度神經網絡應用于圖像分類的研究主要是圍繞光學圖像展開,而SAR圖像和光學圖像在成像原理等特性上有本質的不同[7]。SAR圖像例如飛機、艦船和車輛等不同目標特性也大有不同[8],SAR圖像和光學圖像之間的差異如表1所示。對應的,針對SAR圖像的對抗攻擊也需要根據SAR圖像特點進行設計,以求更加簡便快速的達到攻擊效果。

表1 SAR圖像和光學圖像的差異

2.3 SAR圖像對抗攻擊的問題和挑戰

SAR圖像的對抗攻擊有以下幾點問題和挑戰:1)攻擊方法可解釋性弱。現有針對SAR圖像的識別模型都是通過借鑒光學圖像中的神經網絡模型和框架,并根據現SAR數據集的特點有針對性地進行改進而得到的。僅通過求導等數學運算進行攻擊的方法具有較低可解釋性,需要針對模型特點設計攻擊方法,通用性弱。2)攻擊結果可控性低。由于SAR圖像識別的多參數敏感性,攻擊結果不由網絡參數唯一決定,對網絡參數敏感特性有待進一步研究。3)攻擊目標針對性低。圖像在計算機視覺中以矩陣形式存儲,并以一個矩陣元素代表光學圖像中的單個像素,計算機表現形式和原有物理意義一一對應。SAR成像機理導致SAR圖像分辨率低,同時目標在SAR圖像中是由多個離散的不規則散射中心亮斑組成的。因而單個最小單元對深度學習網絡識別結果的影響不大,無法應用計算梯度方法判斷單像素點的影響效果,需要結合SAR圖像特點調整攻擊方式。

3 稀疏攻擊

3.1 對抗攻擊模型

(1)

(2)

L∞、L2、L0范數的直觀示意圖如圖1所示。相較于其他兩種范數,0范數的約束空間存在于x軸和y軸。

圖1 三種范數的示意圖Fig.1 Unit cells in R2 for three norms

3.2 對抗攻擊分類

由于范數定義了對抗樣本改變原始樣本數量的多少,因而對抗攻擊按照攻擊內容分類可具體分為L0范數攻擊、L2范數攻擊和L∞范數攻擊三類。

1)L0范數攻擊度量相較于原始樣本,對抗樣本改變的像素個數大小。由于僅需要選取部分像素進行擾動,L0范數攻擊擾動量小,耗時較短,有效保證攻擊結果的實時性。該方法符合戰場偵察等時效性強的場景的實際需求。

2)L2范數攻擊度量對抗樣本和原始樣本之間的歐幾里得距離,當較多像素點均擾動較小值時,L2范數可取得較小值。L2范數的每個像素點都可以擾動比較小的值,因而偽裝能力較強,人眼難以分辨。

三類算法總結如表2所示。

表2 各范數對抗攻擊算法總結

3.3 SAR稀疏對抗攻擊

針對上述式(1)的問題提出了稀疏攻擊的概念,即對擾動ε進行L0范數約束。由于SAR圖像受成像條件和系統觀測誤差的影響,無法構建通用模型準確描述SAR圖像的特征分布。因而本文從統計層面研究SAR特征層面的稀疏性。SAR特征層面的稀疏可以表現在以下三個方面:

一是幅值稀疏。SAR圖像由大量中低灰度背景區域和少量高亮度目標區域構成,表現在圖像上即兩區域幅值差別很大,對識別分類結果影響較大的幅值量集中在部分區域。由于SAR相干成像原理,SAR圖像含有大量相干斑噪聲,背景雜波中幾乎不包含目標信息。

二是特征稀疏。由上一部分討論可知,SAR圖像目標區域只占整幅圖像的一小部分,而目標區域同時也由離散的散射中心亮斑組成,特征冗余程度更高。傳統目標識別和深度學習均對這一特點加以應用從而壓縮數據量。傳統目標識別中,SAR圖像稀疏表示方法首先進行字典學習,選取最優稀疏特征并確定參數進行線性組合。深度學習中,卷積神經網絡更是通過卷積操作將輸入數據轉化為卷積核之間的線性組合。盡管光學圖像識別模型大都結構復雜,稀疏性不強,但現有針對SAR圖像的模型均進行了很大程度的簡化,因而學習到的特征為稀疏的。

三是參數稀疏。由于SAR圖像特征具有稀疏性,對應的特征系數也具有稀疏性。從傳統方法的角度看,SAR圖像通過最優稀疏特征進行線性組合,有限個特征對應有限個參數。從深度學習的角度看,由于大部分的輸入接近于0,故部分連接權值的大小接近于0,即部分參數為0,同樣參數稀疏。SAR圖像對抗攻擊存在的問題與挑戰、SAR圖像稀疏特征與SAR稀疏對抗攻擊的關系如圖2所示。

圖2 SAR圖像稀疏對抗攻擊Fig.2 SAR image adversarial attacks

4 稀疏攻擊方法

4.1 稀疏攻擊總體思路

由于對抗攻擊問題可看作是在擾動元素約束下的,損失函數最小且分類結果為其他類別的優化問題,故可結合優化問題的解決方式對對抗攻擊問題進行求解,在具體問題中僅改變優化的約束條件即可。結合數字圖像空間離散、灰度離散的特點,在對原始圖像進行稀疏對抗攻擊時,主要對兩方面進行選擇:一是擾動位置,具體來說就是選擇出對誤分類貢獻大的像素點;二是擾動大小,即在選定的擾動位置上該進行何種程度的擾動。

由于式(1)的問題本身為非凸優化問題且求解是NP-Hard難的,往往難以求得最優解。因為對抗攻擊問題在于找到一個和原始樣本相差在接受范圍程度內的樣本,使其可被分類器誤分類,所以對抗攻擊往往不討論問題的解是否是最優解。因而若求解結果可滿足實際問題的需要,即若滿足L0范數約束條件,局部最優解也可接受。現將常見的稀疏攻擊算法進行分類討論并在下章進行實驗驗證,以期對SAR圖像的稀疏攻擊研究有所幫助。

4.2 稀疏攻擊代表方法

稀疏攻擊方法可按照選取擾動像素位置的方式劃分為以下三類:手動選擇、啟發式算法選擇和整數規劃。手動選擇方法的代表算法為LaVAN[6]算法。LaVAN算法在整張圖像上選擇一塊區域添加一塊“通用貼紙”,該“貼紙”對任何類別的攻擊都有效。而啟發式算法類別下的攻擊方法較多,本節選取基于啟發式算法提出的經典算法進行簡要介紹。

4.2.1啟發式算法

啟發式算法是一類算法的總稱,該類算法通過評價函數和準則縮小求解域,逐步收斂找到一個可以接受的解。啟發式算法的本質是一種大幅提升空間和時間復雜度的窮舉算法。由于算法總能給出一個在接受范圍內的解,故在稀疏攻擊算法常從啟發式算法出發進行設計并結合求解要求進行設計。下文將對幾種具有代表性的稀疏攻擊算法進行介紹。

4.2.1.1One-Pixel

One-Pixel[9]是一種應用差分進化算法(DE)將生成對抗樣本轉化為一個具有約束的優化問題。令f為接收n維輸入的目標圖像分類器,X=(x1,…,xn)為正確分類為t類的原始數字圖像,X被分類為類t的概率為ft(X)。向量e(X)=(e1,…,en)是由X、攻擊目標類adv和最大攻擊量L確定的加性擾動。故問題求解簡化為找到e(X)的最優解使的式成立:

(3)

4.2.1.2JSMA

JSMA算法[10]是一種通過計算訓練函數的雅可比矩陣判斷哪些像素點進行擾動更容易達到增加分類為目標類的概率的攻擊算法。構建顯著圖來構建搜索域,在域中進行啟發式搜索以尋找使顯著性計算盡可能大的像素對并進行修改。重復上述過程直到輸出被成功誤分類為目標類或者達到了最大的攻擊次數。通過對MSTAR數據集的某一標簽為的圖片進行攻擊,可得到如圖3所示的結果。

圖3 JSMA算法攻擊示例Fig.3 Adversarial attack images of JSMA

4.2.1.3Sparse-RS

Sparse-RS算法[11]的核心思想是隨機搜索算法。在初始化擾動位置和擾動大小之后,每次迭代隨機選取下一次迭代的擾動位置和擾動大小,若當前迭代結果計算所得的損失函數小于上一次迭代結果,則本次迭代有效,進入下一次迭代階段。當迭代結果使得模型誤分類或迭代次數達到算法設定最大值時,算法結束輸出當前擾動結果。

4.2.1.4SparseFool

SparseFool算法[12]是DeepFool算法[13]在稀疏方向上的應用。和DeepFool算法相比,SparseFool算法每次迭代在方向上的擾動更大,避免陷入局部最優解,但其收斂速度更慢,因而SparseFool算法引入參數λ用以平衡收斂速度、擾動成功率和時間復雜度。

4.2.2其他優化方法

SAPF算法[14]將每個像素處的擾動ε分解為擾動幅度δ和二進制選擇因子G∈{0,1}N,之后再將攻擊問題轉化為混合整數規劃問題,聯合優化所有像素的二進制選擇因子和擾動幅度。而CornerSearch算法[15]改變了計算梯度的方式,將像素點看作立方體計算其四周梯度下降最慢的方向進行擾動嘗試。

典型稀疏對抗攻擊算法的總結如表3所示。

表3 稀疏對抗攻擊算法總結

5 稀疏攻擊算法對比實驗

5.1 實驗條件

本章將進行SAR圖像稀疏對抗攻擊算法實驗驗證,以期探究現有稀疏攻擊算法和SAR圖像的適配性何如,確立SAR圖像稀疏攻擊算法的改進空間。實驗對MSTAR數據集中的十類目標應用稀疏攻擊算法進行非定向攻擊。實驗通過確定攻擊成功率、擾動時間等指標,研究SAR稀疏對抗攻擊算法的有效性和魯棒性,以期對新的稀疏對抗攻擊算法的提出提供幫助。

實驗硬件環境為:顯卡NVIDIA GeForce RTX 2080 SUPER、CPU Intel i9-9900K,軟件環境為Python3.7、Pytorch1.4。下面將對實驗使用的網絡結構和數據集進行介紹。

5.1.1實驗網絡

實驗網絡在徐豐[16]等提出的A-ConvNets網絡的基礎進行了一定程度上的改進,MSTAR數據集識別準確率可達99.8%。其網絡結構示意圖如圖4所示。實驗網絡采用交叉熵函數作為損失函數,批樣本數量為64,訓練過程實現隨機梯度下降算法,學習率為0.01。

由圖4可見,改進A-ConvNets網絡結構簡單,僅含有5層卷積層,但其分類準確率仍可達到99.8%。同時由于稀疏攻擊中涉及大量求導計算,故結構簡單網絡有利于節約計算資源同時減少網絡結構復雜對實驗結果的影響。故本實驗僅針對A-ConvNets網絡進行攻擊。

圖4 改進A-ConvNets結構圖Fig.4 Overall architecture of the proposed A-ConvNets

5.1.2實驗數據集

實驗采用MSTAR數據集,MSTAR數據集是美國國防高等計劃署支持的MSTAR計劃所公布的實測SAR地面靜止目標數據。數據集包含像素為128*128的十類SAR切片圖像。由于成像清晰且數據集中包含目標遮擋、偽裝、配置變化等擴展性條件,故MSTAR數據集因其系統性和全面性成為了SAR圖像目標識別研究中常用于進行驗證算法有效性的數據集。

5.2 實驗參數設置

待驗證的稀疏對抗攻擊算法中均含有大量超參數需要進行調試,本文實驗設定的算法超參數具體含義和數值如表4所示。總結來說,稀疏攻擊算法的兩個重要超參數是擾動量和迭代次數,這與第4.1節提出的稀疏攻擊總體思想相吻合。

表4 稀疏對抗攻擊算法總結

5.3 實驗結果分析5.3.1 算法驗證

本章實驗內容為采用One-Pixel、JSMA、PGD、Sparse-RS、SparseFool和CornerSearch六種稀疏攻擊算法對應用A-ConvNets網絡進行分類的MSTAR數據集進行攻擊。實驗首先對上述六種攻擊方法進行了實驗驗證,驗證其是否可有效完成攻擊。攻擊結果如圖6所示,可見六種算法均可成功實現對MSTAR數據集的攻擊,且攻擊后的樣本和原始圖像均有較大區別。

圖6 稀疏攻擊算法攻擊結果Fig.6 The results of sparse attack algorithms

5.3.2定量分析

5.3.2.1實驗指標分析

稀疏對抗攻擊中的一個重要參數為擾動上限。由多次實驗可知,對比實驗設定最大擾動量為圖片總像素大小的10%,即最多128×128×10%=1638個像素點可被擾動。選取的評價指標為成功率和單位消耗時間。定義成功率為被目標網絡錯誤分類的比例,定義單位擾動時間為每成功擾動一個樣本所消耗的時間,以秒為單位。此外,單位擾動時間考慮兩種定義,一是考慮所有樣本求取平均值,二是考慮耗時最長的樣本求取消耗時間的最大值。實驗結果如表5所示。

表5 稀疏攻擊算法評估

以成功率指標進行橫向比較,Sparse-RS算法的攻擊成功率最高為99.794%,One-Pixel算法的攻擊成功率最低為92.079%。One-Pixel算法采用差分進化算法一次只擾動一個像素點,在128×128的圖片中,一個像素點的擾動不足以完成一次成功的攻擊,故其攻擊成功率最低。Sparse-RS算法采用隨機搜索方法迭代選取最優解,并進行了擾動加權優化避免陷入局部最優解,但其可解釋性不強,定向攻擊搜索耗時較長。總體來說,除One-Pixel算法外,其余五種算法的成功率差別較小。

由于本次實驗是直接將光學圖像的對抗攻擊算法應用于SAR圖像,故算法性能和算法提出論文的性能有較大出入。總體來說成功率普遍在95%以上,但耗時較長且在實際運行過程中對GPU運行內存要求較高。算法代碼基本都是numpy數組操作,GPU運算比重不大。此外計算效率不高還主要有以下幾點原因:1)由于SAR圖像特征稀疏的特性,目標切片中雜波背景區域遠大于目標區域,然而訓練網絡并未將兩者重要性進行區分。這就導致攻擊算法消耗大量時間在背景區域中進行搜索擾動位置,時間消耗較長。2)針對耗時較長的CornerSearch算法進行分析,算法通過構建每個像素點的“長-寬-高”三維立體搜索空間進行尋找,同時批量輸入樣本進行擾動,消耗內存最大,較長時間用于遍歷比較和求逆運算。3)對于耗時在秒級的JSMA算法和SparseFool算法,兩者主要在顯著圖構建和邊界逐次迭代中耗時較久。盡管SparseFool針對陷入局部最優解問題進行了優化,但由于SAR圖像深度學習模型易受到樣本量小的影響產生過擬合問題,分類邊界復雜,算法效率受到影響。4)耗時最短的Sparse-RS算法由于應用隨機搜索,僅需實現錯分類便可結束算法,原理性約束和參數限制均不強,在算力尚可的計算設備上表現最佳。

5.3.2.2實驗參數分析

本節對成功率最高的Sparse-RS算法進行參數分析,實驗結果如圖7所示。n_queries為迭代次數上限,alpha_init為單次擾動加權。由于Sparse-RS采用隨機搜索算法迭代求解攻擊樣本,當迭代次數逐漸增大時,陷入局部最優解的概率越小,攻擊成功率越高,但受單個樣本特點的限制,n_queries>100時攻擊成功率逐漸穩定。另外當alpha_init逐步增大時,成功率逐步上升同樣也是因為加權值有效避免陷入局部最優解,但當alpha_init繼續增大時,加權過大偏離原定收斂方向,成功率開始下降。實驗結果可見稀疏攻擊算法中的參數需要根據樣本特性進行針對性設定,通用性不強,同時設定的參數可解釋性弱,無法根據需求直觀設定。

圖7 Sparse-RS算法參數實驗結果Fig.7 The results of Sparse-RS algorithm parameter experiment

5.3.3定性分析

從直觀來看,以BMP2類的某一樣本為例,圖8展示了該樣本經過六種算法分別攻擊中擾動的像素值和對應的對抗樣本。由圖可見One-Pixel、JSMA、SparseFool三類算法的稀疏性較好,擾動區域集中在目標區域附近。PGD和CornerSearch兩類算法對于目標陰影部分添加的噪聲尤為突出,證實了SAR圖像稀疏性中的幅值稀疏性。背景雜波像素的改變仍會對識別結果產生影響。較多的擾動主要集中在相干斑噪聲上,這種現象的產生是由于神經網絡的輸入是展平的多維向量,結構簡單的神經網絡無法像人類一樣重點關注目標區域識別出分類結果。分類網絡的有效性和結構簡易性有效提升了攻擊速度,但同時也損傷了攻擊的可解釋性,對定向攻擊造成了一定的阻礙。

圖8 BMP2樣本攻擊結果Fig.8 The result of attack on BMP2 sample

6 SAR圖像分類稀疏對抗攻擊展望

由于SAR圖像和光學圖像之間存在諸多不同,且存在幅值稀疏、特征稀疏和參數稀疏等特點,針對SAR圖像的稀疏攻擊方法需要進行針對性的設計。本文提出以下幾點設想:

1)通過顯著性檢測等方式增加擾動過程中的先驗知識,有針對性地對目標區域進行修改,增強稀疏攻擊結果的在目標判讀時的可解釋性,避免完全從神經網絡層面進行算法構建,實現惡意攻擊。

2)考慮改變擾動方式,反客為主,把目標的擾動轉變為對背景的擾動,添加虛假背景或增強部分背景。攻擊算法依托神經網絡展開,而背景在網絡識別過程之中也占有一定比重。算法可將無意義的背景擾動轉化為目標性的背景擾動,或也可與第一點相結合。

3)從攻擊實時性考慮,實際應用中解譯系統往往都是對采集出來的寬幅數據進行識別。由前節討論可知,現有算法僅針對目標切片攻擊就已消耗了較大的計算量,數據量增大時,稀疏攻擊本身的實時性就會受到挑戰。后續針對寬幅數據的攻擊實驗可以相應的進行展開。

7 結論

本文對基于深度學習SAR圖像解譯技術中存在的對抗脆弱性原因進行了闡述。通過對國內外SAR圖像解譯的研究分析可以看出SAR圖像深度模型方法在復雜對抗場景中的魯棒性問題沒有得到足夠的重視。稀疏攻擊具有擾動過程可解釋強、擾動量小的特點,符合自然場景部分遮擋的現實情況。本文對典型稀疏攻擊算法進行了原理探討和實驗驗證,以期說明L0范數攻擊的有效性和實效性,實驗可進一步圍繞復雜SAR場景展開。實驗結果表明現有稀疏對抗攻擊算法的攻擊成功率較高,但耗時不可控,且攻擊區域可解釋不強,對抗樣本容易被人眼識別。現有簡易結構分類網絡無法有針對性地利用SAR圖像中幅值稀疏的特點進行分類,這是稀疏對抗攻擊可解釋性不強的一個原因。SAR圖像稀疏對抗攻擊的研究可在進一步提升SAR圖像解譯系統的可解釋性的同時,反向增強解譯系統的魯棒性。