渐进式的对抗训练方法及装置.pdf

《渐进式的对抗训练方法及装置.pdf》由会员分享，可在线阅读，更多相关《渐进式的对抗训练方法及装置.pdf（12页完成版）》请在专利查询网上搜索。

1、(19)中华人民共和国国家知识产权局 (12)发明专利申请 (10)申请公布号 (43)申请公布日 (21)申请号 201911413518.7 (22)申请日 2019.12.31 (71)申请人 北京航空航天大学 地址 100191 北京市海淀区学院路37号 (72)发明人 刘祥龙于航刘艾杉孙丽君 (74)专利代理机构 北京汲智翼成知识产权代理 事务所(普通合伙) 11381 代理人 陈曦贾兴昌 (51)Int.Cl. G06N 3/08(2006.01) G06N 3/04(2006.01) (54)发明名称 一种渐进式的对抗训练方法及装置 (57)摘要 本发明公开了一种渐进式的对抗训练。

2、方法， 同时公开了一种渐进式的对抗训练装置。 本发明 通过计算对抗训练过程中近似局部最坏情况的 扰动并叠加到当前训练的批数据， 实现对抗噪声 的多样性， 并在迭代过程中更新模型参数， 提高 深度学习模型对抗噪声鲁棒性和自然噪声鲁棒 性， 同时也提升了深度学习模型的泛化能力， 简 单方便， 易于应用。 权利要求书2页 说明书8页 附图1页 CN 111178527 A 2020.05.19 CN 111178527 A 1.一种渐进式的对抗训练方法， 其特征在于包括如下步骤： 设定预定迭代次数， 针对每组训练数据的每次迭代过程： 计算当前训练数据对应迭代过程的近似局部最优扰动； 将所述近似局部最。

3、优扰动加入当前训练数据， 作为下一轮迭代过程的训练数据进行迭 代。 2.如权利要求1所述的对抗训练方法， 其特征在于所述计算当前训练数据对应迭代过 程的近似局部最优扰动， 具体包括： 针对被训练的深度学习模型： 计算深度学习模型的损失函数对于输入层神经元的梯度； 对梯度进行标准化， 并结合动量， 得到对应近似局部最优扰动。 3.如权利要求2所述的对抗训练方法， 其特征在于当前近似局部最优扰动的计算公式 为： 其中， l()表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l()对近 似局部最优。

4、扰动的梯度， 为模型的参数。 4.如权利要求1所述的对抗训练方法， 其特征在于将所述近似局部最优扰动加入当前 训练数据， 具体包括： 将当前近似局部最优扰动加入当前训练数据的输入数据， 得到下一轮训练数据的输入 数据。 5.如权利要求1所述的对抗训练方法， 其特征在于将所述近似局部最优扰动加入当前 训练数据， 作为下一轮迭代过程的训练数据进行迭代， 之后还包括： 计算下一轮迭代过程的近似局部最优扰动； 将下一轮迭代过程的近似局部最优扰动作为之后近似局部最优扰动， 继续进行迭代。 6.如权利要求5所述的对抗训练方法， 其特征在于所述下一轮迭代过程的近似局部最 优扰动的计算公式为： 其中， l()。

5、表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l()对近 似局部最优扰动的梯度，表示代理损失函数中的约束系数， 为模型 的参数。 7.一种渐进式的对抗训练装置， 其特征在于包括处理器和存储器， 所述处理器读取所 述存储器中的计算机程序， 用于执行以下操作： 设定预定迭代次数， 针对每组训练数据的每次迭代过程： 计算当前训练数据对应迭代过程的近似局部最优扰动； 权利要求书 1/2 页 2 CN 111178527 A 2 将所述近似局部最优扰动加入当前训练数据， 作为下一轮迭代过程的训练数据。

6、进行迭 代。 8.如权利要求7所述的对抗训练装置， 其特征在于当前近似局部最优扰动的计算公式 为： 其中， l()表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l()对近 似局部最优扰动的梯度， 为模型的参数。 9.如权利要求7所述的对抗训练装置， 其特征在于所述处理器读取所述存储器中的计 算机程序， 还用于执行以下操作： 计算下一轮迭代过程的近似局部最优扰动； 将下一轮迭代过程的近似局部最优扰动作为之后近似局部最优扰动， 继续进行迭代。 10.如权利要求9所述的对抗训练装置， 其特征在于。

7、所述下一轮迭代过程的近似局部最 优扰动的计算公式为： 其中， l()表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l()对近 似局部最优扰动的梯度，表示代理损失函数中的约束系数, 为模型 的参数。 权利要求书 2/2 页 3 CN 111178527 A 3 一种渐进式的对抗训练方法及装置 技术领域 0001 本发明涉及一种渐进式的对抗训练方法， 同时涉及一种渐进式的对抗训练装置， 属于机器学习技术领域。 背景技术 0002 近年来， 深度学习模型已经在许多任务中取得了显着的成功， 包括计。

8、算机视觉， 自 然语言处理和语音识别等领域。 它们的表现通常是通过使用足够干净的数据来训练到好的 效果， 然而， 在现实世界的环境中， 获取完全干净的没有任何噪音的数据通常是不切实际 的， 例如对抗样本噪音和自然噪音， 它们已被证明对深度学习系统构成潜在威胁， 特别是那 些在安全关键环境中的部署。 因此， 深入了解深度神经网络的噪声鲁棒性至关重要。 0003 在过去的几年里， 研究者付出了巨大的努力来从攻击和防御的角度探索对抗噪声 或对抗样本(Adversarial Examples)的模型鲁棒性。 除了对抗样本的鲁棒性进展外， 最近 的研究发现需要提高模型对另一种常见噪声的鲁棒性， 即在日常。

9、生活中出现的频率非常高 的自然噪音， 例如雨雪、 聚焦模糊和数字处理噪音等。 在现实世界的深度学习系统中， 比如 像高斯模糊和雨雪等对数据的污染比对抗样本更有可能遇到。 业界专家发现， 深度学习模 型在输入具有高斯噪声的图像数据时表现不是很好。 同样， 深度学习模型在各种自然噪声 下的效果都不是很理想， 包括模糊， 像素化和其他类型的噪音等。 0004 在现实环境中存在的噪声已经引起了人们对深度学习模型鲁棒性的强烈关注。 业 界研究了从对抗样本到随机噪声的分类器的鲁棒性， 并尝试从曲率约束的角度构建鲁棒模 型， 并发现了基于分布的鲁棒性和无约束鲁棒性之间的关系。 最近， 专家发现在某些分布变 。

10、化下(即额外的高斯噪声)， 对抗鲁棒性与自然噪声鲁棒性密切相关。 尽管取得了很大的进 展， 但仍然存在待解决问题需要回答， 以便深入理解模型的鲁棒性， 比如对抗噪音和自然噪 音之间的关系， 以及如何针对这些噪音建立鲁棒模型。 发明内容 0005 本发明所要解决的首要技术问题在于提供一种渐进式的对抗训练方法。 0006 本发明所要解决的另一技术问题在于提供一种渐进式的对抗训练装置。 0007 为实现上述目的， 本发明采用下述的技术方案： 0008 根据本发明实施例的第一方面， 提供一种渐进式的对抗训练方法， 包括如下步骤： 0009 设定预定迭代次数， 针对每组训练数据的每次迭代过程： 0010。

11、 计算当前训练数据对应迭代过程的近似局部最优扰动； 0011 将所述近似局部最优扰动加入当前训练数据， 作为下一轮迭代过程的训练数据进 行迭代。 0012 其中较优地， 所述计算当前训练数据对应迭代过程的近似局部最优扰动， 具体包 括： 0013 针对被训练的深度学习模型： 说明书 1/8 页 4 CN 111178527 A 4 0014 计算深度学习模型的损失函数对于输入层神经元的梯度； 0015 对梯度进行标准化， 并结合动量， 得到对应近似局部最优扰动。 0016 其中较优地， 当前近似局部最优扰动的计算公式为： 0017 0018 其中， l( )表示深度学习模型的损失函数， | |。

12、表示L2约束， 代表目标扰动的总 大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l( ) 对近似局部最优扰动的梯度， 为模型的参数。 0019 其中较优地， 将所述近似局部最优扰动加入当前训练数据， 具体包括： 0020 将当前近似局部最优扰动加入当前训练数据的输入数据， 得到下一轮训练数据的 输入数据。 0021 其中较优地， 将所述近似局部最优扰动加入当前训练数据， 作为下一轮迭代过程 的训练数据进行迭代， 之后还包括： 0022 计算下一轮迭代过程的近似局部最优扰动； 0023 将下一轮迭代过程的近似局部最优扰动作为之后近似局部最优扰动， 继续进行迭。

13、 代。 0024 其中较优地， 所述下次迭代过程的近似局部最优扰动的计算公式为： 0025 0026 其中， l( )表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总 大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据，表示损失函数l ( )对近似局部最优扰动的梯度， |kl( ； s, )|/ 表示代理损失函数中的约束系 数， 为模型的参数。 0027 根据本发明实施例的第二方面， 提供一种渐进式的对抗训练装置， 包括处理器和 存储器， 所述处理器读取所述存储器中的计算机程序， 用于执行以下操作： 0028 设定预定迭代次数， 针对每组训练数据的每次迭代。

14、过程： 0029 计算当前训练数据对应迭代过程的近似局部最优扰动； 0030 将所述近似局部最优扰动加入当前训练数据， 作为下一轮迭代过程的训练数据进 行迭代。 0031 其中较优地， 当前近似局部最优扰动的计算公式为： 0032 0033 其中， l( )表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总 大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l( ) 对近似局部最优扰动的梯度， 为模型的参数。 0034 其中较优地， 所述处理器读取所述存储器中的计算机程序， 还用于执行以下操作： 0035 计算下一轮迭代过程的近似局部最优扰动。

15、； 0036 将下一轮迭代过程的近似局部最优扰动作为之后近似局部最优扰动， 继续进行迭 说明书 2/8 页 5 CN 111178527 A 5 代。 0037 其中较优地， 所述下一轮迭代过程的近似局部最优扰动的计算公式为： 0038 0039 其中， l()表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总 大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l ( )对近似局部最优扰动的梯度，表示代理损失函数中的约束系数， 为模型的参数。 0040 本发明提供了一种渐进式的对抗训练方法， 用于提高深度神经网络对抗噪音和自 然噪音的鲁棒性。。

16、 与通过使用更多普通训练数据来实现模型鲁棒性的传统方法不同， 在渐 进式的对抗训练方法中， 本发明通过计算该过程中近似局部最坏情况的扰动并叠加到当前 训练的批数据， 实现对抗噪声的多样性， 并在迭代过程中更新模型参数， 提高深度学习模型 对抗噪声鲁棒性和自然噪声鲁棒性， 同时也提升了深度学习模型的泛化能力， 简单方便， 易 于应用。 附图说明 0041 图1为本发明所提供的对抗训练方法的流程图； 0042 图2为本发明所提供的对抗训练装置的结构示意图。 具体实施方式 0043 下面结合附图和具体实施例对本发明的技术内容进行详细具体的说明。 0044 深度学习模型(简称模型)已经在许多任务中取得。

17、了很好的效果， 但在现实世界 中， 很难获取完全干净的没有任何噪音的数据， 例如对抗样本和自然噪音。 研究者发现， 在 面对这两种噪音时模型都会产生预测的偏差， 但针对这两种噪音的鲁棒性并不尽相同。 除 了对抗样本的鲁棒性进展外， 最近的研究发现需要提高模型对另一种常见噪声的鲁棒性， 即在日常生活中出现的频率非常高的自然噪音， 例如雨雪、 聚焦模糊和数字处理噪音等。 0045 之前的研究表明， 样本复杂性在训练鲁棒的深度学习模型中起着关键作用。 在对 抗鲁棒性情况下， 鲁棒学习的样本复杂度可能远远大于标准学习的样本复杂度。 与标准训 练相比， 对抗性训练可能需要非常多的迭代才能获得更大的间隔。。

18、 此外， 基于风险分解定 理， 通过更多未标记的数据， 可以学习具有更好的鲁棒泛化性的模型。 0046关于深度学习模型的鲁棒性， 可以从集合的角度作一些定义。 划分Ci和分别表 示客观上应该被分到第i类和数据集中实际上被分到第i类的样本集。 因此， 样本集中第i类 的点可以被视为它们交集的子集， 即更确切地说， 我们使用和来分别 表示和因此，可以被视为应该被分类为第i类但实际上并没有分 到第i类的样本集， 其接近于第i类的错误集。 选择高斯噪声作为自然噪声分析中的代表， 将 作为高斯积分概率密度函数。 然后， 集合A的-扩展可以定义为 说明书 3/8 页 6 CN 111178527 A 6 。

19、表示原始集是由距离约束内的样本 “扩展” 得到。 A A来表 示 带关于集合A的 -扩展的周围区域。 0047 关于对抗样本的鲁棒性表示为： 0048 0049其中，表示集合的一个 -扩展。 0050 关于自然噪声的鲁棒性表示为： 0051 0052 其中， P(Radv)表示对抗脆弱性， 相反， 1-P(Radv)表示对抗鲁棒性。 同样， P(Rcor)和1- P(Rcor)代表自然噪声脆弱性和自然噪声鲁棒性。 0053 关于模型在对抗样本上的鲁棒性以及自然噪声上的鲁棒性的关联性， 可以用如下 定理来解释： 0054 0055其中， Ci固定，随着数据加强而增加， ( )表示正态分布N(0，。

20、 1)的累积分 布函数如下： 0056 0057 对于概率P(Rcor)(0， (- /2)， 定理中不等式的右侧是一个关于P(Rcor)单调递 增的函数。 根据这个定理可以发现， 如果通过减少P(Radv)来增强对抗强度， 和Ci的交集将 会变大， 其中Ci固定。 这会导致增加， 导致左侧不等式较小， 即右侧不等式的上界 更严格。 因此， 当P(Rcor)处于此证明的区间时， 也可以保证更强的自然噪声鲁棒性。 因此可 以发现， 在一定的约束条件下， 对抗和污染鲁棒性之间存在正相关的关系。 0058 基于定理可以发现， 常规的提升模型对抗鲁棒性的方法具有一些弊端。 比如在训 练过程添加随机高斯。

21、噪声作为高斯数据增强， 通过添加平均程度的扰动来提高模型的鲁棒 性。 虽然被证明对自然噪声鲁棒性有效， 但对实际的对抗鲁棒性贡献很小， 因为改善自然噪 声鲁棒性直接增加了定理不等式左侧的下界， 由于右侧不等式的单调递增性质， 反而会在 某种程度上降低对抗鲁棒性。 同时， 大多数对抗防御方法， 例如基于投影梯度下降法的对抗 训练， 以大量时间开销来搜索最坏情况的对抗噪声来改善对抗鲁棒性， 虽然保证了良好的 对抗鲁棒性， 但由于模型输入的对抗样本噪声数量有限， 不等式左侧Radv的减少被限制在一 定范围内， 反映了对于不等式右侧比较一般的自然噪声鲁棒性。 0059 如图1所示， 本发明实施例提供的。

22、渐进式的对抗训练方法， 包括： 0060 设定预定迭代次数， 针对每组训练数据的每次迭代过程： 0061 101、 计算当前训练数据对应迭代过程的近似局部最优扰动； 具体地： 0062 1011、 针对被训练的深度学习模型： 说明书 4/8 页 7 CN 111178527 A 7 0063 1012、 计算深度学习模型的损失函数对于输入层神经元的梯度； 0064 1013、 对梯度进行标准化， 并结合动量， 得到对应近似局部最优扰动。 0065 在本发明实施例中， 经过模型的反向传播过程， 计算得到损失函数在模型输入层 对应的梯度， 并结合动量信息将其标准化得到近似局部最坏扰动 。 具体来说。

23、， 给定训练集 和测试集以及特征向量xX和标签yY， 深度监督深度学习模型试图 学习映射或分类函数f:XY或RD1,.,K作为从输入样本到输出标签的映射， 其中D是 输入样本的维度， 1,.,K是输出的相应标签。 更确切地说， fS( ； x,y)表示在训练集S上 训练模型后输入(x,y)的预测结果。 以图像分类问题中使用对数损失举例， 如下： 0066 0067 其中， f( ； x,y)表示预测结果中位置yi的值。 对于单标签分类问题， 让yk1， 则上 述损失可表示如下： 0068 0069 根据模型使用的梯度下降优化方法， 模型使用链式法则来进行反向传播并更新参 数， 由此可计算出损失。

24、函数l对于输入层神经元的梯度， 对梯度进行标准化后添加了动量的 思想， 得到近似局部最优的扰动， 当前近似局部最优扰动的计算公式为： 0070 0071 其中， l( )表示深度学习模型的损失函数， | |表示L2约束， 代表目标扰动的总 大小， k代表每批数据的迭代次数， 是动量的系数， s为当前训练数据， 表示损失函数l( ) 对近似局部最优扰动的梯度， 为模型的参数。 0072 关于预定迭代次数(总次数)， 是用于更好的利用每组批数据中的信息， 以及产生 具有更多样性的对抗数据。 根据方法中的优化迭代过程， 整体优化过程对于迭代次数有一 定影响， 一般取值为35时效果最为适中， 迭代次数。

25、过多会增加该方法的时间开销。 0073 102、 将所述近似局部最优扰动加入当前训练数据， 作为下一轮迭代过程的训练数 据进行迭代； 具体地： 0074 将当前近似局部最优扰动加入当前训练数据的输入数据， 得到下一轮训练数据的 输入数据。 0075 103、 计算下一轮迭代过程的近似局部最优扰动； 0076 104、 将下一轮迭代过程的近似局部最优扰动作为下一轮近似局部最优扰动， 继续 进行迭代。 0077 在本发明实施例中， 针对每组批数据， 可以由模型优化更新后输入层的梯度计算 得到近似局部最优扰动。 以迭代次数k对扰动进行标准化， 并将其大小限制在 下， 由动量系 数 来计算出当次的扰动。

26、 ， 叠加于该组批数据。 针对每组叠加扰动后的批数据， 在迭代过程 中作为模型的输入， 使模型可以对多样性的噪声数据进行训练并更新参数； 迭代执行以上 过程， 通过对损失函数l( )的更新和对近似局部最坏扰动 的计算， 实现渐进式对抗训练。 说明书 5/8 页 8 CN 111178527 A 8 0078 具体来说， 对于代理损失函数， 它在原始损失函数上加上拉格朗日约束， 以逼近最 坏情况的扰动： 0079 0080 其中， P指的是鲁棒的目标分布， P0表示训练集的原始数据分布， d(P,P0)表示分配P 和P0之间的距离。 该过程通过优化替代损失间接约束d(P,P0)， 同时增强分布近。

27、似于鲁棒分 布P。 0081 类似地， 让|表示l2约束， 代理损失具有约束条件： 0082 0083 其中， 代表最坏情况扰动， 它近似于当前分布的目标鲁棒分布。 从这个意义上讲， 我们可以通过优化代理损失来更新鲁棒性方向的参数。 我们的渐进式对抗训练方法旨在最 大限度地减少替代损失。 0084 对于模型的泛化能力， 有相关定理来对此进行阐述。 给定增强训练集S和fS( ；) 满足(K,L)-鲁棒， 则对于任何概率p0， 至少有概率1-p， 使得代理损失函数满足： 0085 0086其中，KN(/2,Z,|)， n| |表示 的容量。 定理分析 了基于渐进式对抗训练方法的替代损失的泛化误差上。

28、限。 损失之间的差异可能会受到类似 输入样本的L的限制。 K和L之间存在平衡。 如果增加， 那么K减少并且L同时增加， 这保 证了鲁棒属性的合理泛化约束。 因此， 证明了基于渐进式对抗训练方法中， 对于泛化误差的 上界。 0087 根据模型的训练过程， 局部最坏扰动的更新过程可以看作是代理损失函数对 约 束更新的结果。 每次得到扰动后叠加到每组批数据进行训练并更新参数， 实现渐进式对抗 训练。 根据模型所使用的损失函数， 迭代过程中局部最坏扰动的计算过程可以改写为： 0088 0089其中，表示代理损失函数中的约束系数； l( )代表模型实际 使用的损失函数。 0090 从数据复杂性的角度来看。

29、， 本发明所提供的对抗训练方法在每个训练步骤的几次 迭代中逐渐注入对抗噪声， 可以增加数据的复杂性和多样性， 从而提升模型在输入对抗样 本和自然噪声数据时的分类准确率。 与通过使用更多普通训练数据来实现模型鲁棒性的传 统方法不同， 在渐进式的对抗训练方法中， 本发明所提供的对抗训练方法通过计算该过程 中近似局部最坏情况的扰动并叠加到当前训练的批数据， 实现对抗噪声的多样性， 并在迭 代过程中更新模型参数， 提高模型对抗噪声鲁棒性和自然噪声鲁棒性， 同时也提升了模型 的泛化能力， 增强了该方法的可用性。 0091 进一步地， 本发明还提供一种渐进式的对抗训练装置。 如图2所示， 包括处理器和 说。

30、明书 6/8 页 9 CN 111178527 A 9 存储器， 还可以根据实际需要进一步包括通信组件、 传感器组件、 电源组件、 多媒体组件及 输入/输出接口。 其中， 存储器、 通信组件、 传感器组件、 电源组件、 多媒体组件及输入/输出 接口均与该处理器连接。 前已述及， 节点设备中的存储器可以是静态随机存取存储器 (SRAM)、 电可擦除可编程只读存储器(EEPROM)、 可擦除可编程只读存储器(EPROM)、 可编程 只读存储器(PROM)、 只读存储器(ROM)、 磁存储器、 快闪存储器等， 处理器可以是中央处理器 (CPU)、 图形处理器(GPU)、 现场可编程逻辑门阵列(FPG。

31、A)、 专用集成电路(ASIC)、 数字信号 处理(DSP)芯片等。 其它通信组件、 传感器组件、 电源组件、 多媒体组件等均可以采用现有智 能手机中的通用部件实现， 在此就不具体说明了。 0092 另一方面， 在该对抗训练装置中， 所述处理器读取所述存储器中的计算机程序， 用 于执行以下操作： 设定预定迭代次数， 针对每组训练数据的每次迭代过程： 0093 计算当前训练数据对应迭代过程的近似局部最优扰动； 0094 将所述近似局部最优扰动加入当前训练数据， 作为下一轮迭代过程的训练数据进 行迭代。 0095 针对于每一个批数据， 处理器执行如表1： 0096 0097 与现有技术相比较， 本。

32、发明在每个训练步骤的几次迭代中逐渐注入对抗噪声， 可 以增加数据的复杂性和多样性， 从而提升深度学习模型在输入对抗样本和自然噪声数据时 的分类准确率。 与通过使用更多普通训练数据来实现模型鲁棒性的传统方法不同， 在渐进 式的对抗训练方法中， 本发明所提供的对抗训练方法通过计算该过程中近似局部最坏情况 的扰动并叠加到当前训练的批数据， 实现对抗噪声的多样性， 并在迭代过程中更新模型参 数， 提高深度学习模型对抗噪声鲁棒性和自然噪声鲁棒性， 同时也提升了深度学习模型的 泛化能力， 增强了该方法的可用性。 0098 上面对本发明所提供的渐进式的对抗训练方法及装置进行了详细的说明。 对本领 域的一般技术人员而言， 在不背离本发明实质内容的前提下对它所做的任何显而易见的改 说明书 7/8 页 10 CN 111178527 A 10 动， 都将构成对本发明专利权的侵犯， 将承担相应的法律责任。 说明书 8/8 页 11 CN 111178527 A 11 图1 图2 说明书附图 1/1 页 12 CN 111178527 A 12 。