CN111523651A - 用于评估神经网络的方法和装置 - Google Patents

用于评估神经网络的方法和装置 Download PDF

Info

Publication number
CN111523651A
CN111523651A CN202010631978.3A CN202010631978A CN111523651A CN 111523651 A CN111523651 A CN 111523651A CN 202010631978 A CN202010631978 A CN 202010631978A CN 111523651 A CN111523651 A CN 111523651A
Authority
CN
China
Prior art keywords
sample
factor
objective function
distance
challenge
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010631978.3A
Other languages
English (en)
Inventor
吕乐
周璟
陆毅成
宝鹏庆
赵闻飙
王维强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alipay Hangzhou Information Technology Co Ltd
Original Assignee
Alipay Hangzhou Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alipay Hangzhou Information Technology Co Ltd filed Critical Alipay Hangzhou Information Technology Co Ltd
Priority to CN202010631978.3A priority Critical patent/CN111523651A/zh
Publication of CN111523651A publication Critical patent/CN111523651A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/047—Probabilistic or stochastic networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Evolutionary Computation (AREA)
  • Molecular Biology (AREA)
  • Artificial Intelligence (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Probability & Statistics with Applications (AREA)
  • Image Analysis (AREA)

Abstract

本说明书的实施例提供了用于评估神经网络的方法、装置、计算设备和机器可读存储介质。该方法可以包括：生成针对神经网络的原始样本的多个对抗样本，其中：每个对抗样本是基于距离因素和类别差异因素来生成的，距离因素用于表示该对抗样本与原始样本之间的距离，类别差异因素用于表示神经网络对该对抗样本的预测类别与对抗样本目标类别之间的差异；对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式是不同于另一对抗样本的；使用多个对抗样本对神经网络进行评估。

Description

用于评估神经网络的方法和装置
技术领域
本说明书的实施例涉及机器学习领域，更具体地，涉及用于评估神经网络的方法、装置、计算设备和机器可读存储介质。
背景技术
目前，随着机器学习等技术的快速发展，神经网络已被广泛地应用到各种领域，例如，在图像识别、语音识别、自然语言处理等。尽管神经网络已经达到很高的准确率，但是在某些情况下，神经网络可能受到人类视觉系统几乎无法察觉的小扰动造成的对抗攻击，这种攻击可能使神经网络完全改变预测结果。因此，评估神经网络的鲁棒性变得尤为重要。
发明内容
考虑到现有技术，本说明书的实施例提供了用于评估神经网络的方法、装置、计算设备和机器可读存储介质。
一方面，本说明书的实施例提供了一种用于评估神经网络的方法，包括：生成针对神经网络的原始样本的多个对抗样本，其中：每个对抗样本是基于距离因素和类别差异因素来生成的，所述距离因素用于表示该对抗样本与所述原始样本之间的距离，所述类别差异因素用于表示所述神经网络对该对抗样本的预测类别与对抗样本目标类别之间的差异；对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式是不同于另一对抗样本的；使用所述多个对抗样本对所述神经网络进行评估。
另一方面，本说明书的实施例提供了一种用于评估神经网络的装置，包括：生成单元，其生成针对神经网络的原始样本的多个对抗样本，其中：每个对抗样本是基于距离因素和类别差异因素来生成的，所述距离因素用于表示该对抗样本与所述原始样本之间的距离，所述类别差异因素用于表示所述神经网络对该对抗样本的预测类别与对抗样本目标类别之间的差异；对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式是不同于另一对抗样本的；评估单元，其使用所述多个对抗样本对所述神经网络进行评估。
另一方面，本说明书的实施例提供了一种计算设备，包括：至少一个处理器；与所述至少一个处理器进行通信的存储器，其上存储有可执行代码，所述可执行代码在被所述至少一个处理器执行时使得所述至少一个处理器实现上述方法。
另一方面，本说明书的实施例提供了一种机器可读存储介质，其存储有可执行代码，所述可执行代码在被执行时使得机器执行上述方法。
附图说明
通过结合附图对本说明书的实施例的更详细的描述，本说明书的实施例的上述以及其它目的、特征和优势将变得更加显而易见，其中，在本说明书的实施例中，相同的附图标记通常代表相同的元素。
图1是根据一个实施例的神经网络的原始样本和对抗样本的示意性说明图。
图2是根据一个实施例的用于评估神经网络的方法的示意性流程图。
图3是根据一个实施例的用于评估神经网络的装置的示意性流程图。
图4是根据一个实施例的用于评估神经网络的计算设备的硬件结构图。
具体实施方式
现在将参考各个实施例讨论本文描述的主题。应当理解的是，讨论这些实施例仅是为了使得本领域技术人员能够更好地理解并且实现本文描述的主题，并非是对权利要求书中所阐述的保护范围、适用性或者示例的限制。可以在不脱离权利要求书的保护范围的情况下，对所讨论的元素的功能和排列进行改变。各个实施例可以根据需要，省略、替换或者添加各种过程或组件。
如本文中使用的，术语“包括”及其变型可以表示开放的术语，含义是“包括但不限于”。术语“基于”可以表示“至少部分地基于”。术语“一个实施例”和“一实施例”可以表示“至少一个实施例”。术语“另一个实施例”可以表示“至少一个其它实施例”。术语“第一”、“第二”等可以指代不同的或相同的对象。下文可以包括其它术语的定义，无论是明确的还是隐含的，除非上下文中明确地指明，否则一个术语的定义在整个说明书中是一致的。
神经网络通常可以表示为一种非线性函数y=F(x)。其可以接收输入样本
Figure 534405DEST_PATH_IMAGE001
，并且可以产生输出结果
Figure 451545DEST_PATH_IMAGE002
。神经网络可以理解为m类分类器。输出向量y一般满足
Figure 90337DEST_PATH_IMAGE003
，
Figure 485546DEST_PATH_IMAGE004
。输出向量y的分量
Figure 299919DEST_PATH_IMAGE005
可以表示输入样本x属于第j类的概率。
虽然神经网络已经达到很高的准确度，但是在某些情况下，人类视觉系统几乎无法察觉的小扰动可能使得神经网络完全改变预测结果。
例如，参考图1，假设原始样本为x，神经网络对原始样本x的预测类别为
Figure 591223DEST_PATH_IMAGE006
。原始样本x的真实类别为
Figure 858256DEST_PATH_IMAGE007
。
通过一些方法，可能找到与x非常相似的样本
Figure 57156DEST_PATH_IMAGE008
，比如
Figure 726035DEST_PATH_IMAGE008
=
Figure 266869DEST_PATH_IMAGE009
，使得神经网络对样本
Figure 21198DEST_PATH_IMAGE008
的预测类别为
Figure 758210DEST_PATH_IMAGE010
，其中
Figure 875071DEST_PATH_IMAGE011
。
Figure 304915DEST_PATH_IMAGE012
通常被称为对抗样本。
例如，目前神经网络可以广泛应用于风控系统，以判断给定行为是否为恶意攻击行为。比如样本x可以表示某种恶意攻击行为，神经网络能够将其识别为恶意攻击行为；而在对样本x进行微小调整之后得到样本
Figure 546540DEST_PATH_IMAGE013
，神经网络却将样本
Figure 821664DEST_PATH_IMAGE013
识别为正常行为，由此回避了检测拦截。那么，这种样本
Figure 199556DEST_PATH_IMAGE013
即为对抗样本，这样的攻击方式可以被称为对抗攻击。
从另一方面而言，对抗样本可以用来对神经网络进行模拟攻击，从而评估神经网络的鲁棒性，在此基础上可以对神经网络进一步防御增强。
鉴于此，本文提供了一种基于对抗样本来评估神经网络的技术方案。在该技术方案中，通过组合不同的方式生成多个对抗样本，使得多个对抗样本可以具有不同的攻击性，从而能够更加全面有效地评估神经网络。
下面将结合具体实施例来描述该技术方案。
图2是根据一个实施例的用于评估神经网络的方法的示意性流程图。
在步骤202中，生成针对神经网络的原始样本的多个对抗样本。
每个对抗样本可以是基于距离因素和类别差异因素这两者来生成的。例如，距离因素可以表示该对抗样本与原始样本之间的距离，类别差异因素可以用于表示神经网络对该对抗样本的预测类别与对抗样本目标类别（比如，可以表示为前述t）之间的差异。
此外，对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式可以是不同于另一对抗样本的。也就是说，对于任何两个对抗样本，针对一个对抗样本的距离因素的度量方式可以是不同于另一对抗样本的，或者针对一个对抗样本的类别差异因素的度量方式可以是不同于另一对抗样本的，或者针对一个对抗样本的距离因素和类别差异因素两者的度量方式都是不同于另一对抗样本的。
然后，在步骤204中，可以使用多个对抗样本对神经网络进行评估。
从上述可以看出，由于各个对抗样本是使用针对距离因素和/或类别差异因素的不同度量方式来生成的，所以各个对抗样本可以具有不同的攻击性，这样使用这些对抗样本能够更加全面有效地评估神经网络的鲁棒性。而基于评估结果，可以相应地增强神经网络的防御能力。
另外，本文中得到的对抗样本也可以用于对其它不同的神经网络进行迁移测试，具有较强的迁移性。比如，在神经网络进行防御技术增强之后，可以使用本文的对抗样本进行攻击测试，以确定防御技术是否确实增强了神经网络的鲁棒性。
在本文中，可以通过目标函数来生成对抗样本，目标函数可以是利用距离因素和类别差异因素来构造的，目标函数是要使得两个因素均最小化。
为了便于说明，下面将通过上述多个对抗样本中的任何一个对抗样本的生成过程进行描述。为了便于引用，任何一个对抗样本在本文中可以被称为第一对抗样本，针对第一对抗样本的距离因素可以被称为第一距离因素，针对第一对抗样本的类别差异因素可以被称为第一类别差异因素。
在一个实施例中，在步骤202中，可以对第一目标函数进行优化，得到第一对抗样本。第一目标函数可以是基于针对第一对抗样本的第一距离因素和第一类别差异因素来构造的。第一目标函数可以是要使得第一距离因素和第一类别差异因素均最小化。
这样，通过基于距离因素和类别差异因素来构造目标函数，并对目标函数进一步优化得到对抗样本，能够有效地简化对抗样本的生成过程。
本文中提到的目标函数可以采用各种适用的优化算法来进行优化。比如，在一个实施例中，可以采用投影梯度下降法、截断梯度下降法、变量替换法等中的任何一种来对第一目标函数进行优化。
另外，从上述可以理解，距离因素实际上表示样本之间的距离。通常，可以使用各种适用的方式来度量样本之间的距离。比如，在一个实施例中，第一距离因素可以使用L p范数测量方式中的一种方式来度量，其中p的取值范围为
Figure 534722DEST_PATH_IMAGE014
。
L p范数测量方式可以如下定义：
Figure 263644DEST_PATH_IMAGE015
其中，如前所述，x可以表示原始样本，
Figure 889928DEST_PATH_IMAGE013
可以表示对抗样本，n可以表示样本的向量维数。
通常，常用的L p范数测量方式可以包括
Figure 387906DEST_PATH_IMAGE016
、
Figure 159552DEST_PATH_IMAGE017
、
Figure 703666DEST_PATH_IMAGE018
范数测量三种方式。
可以理解的是，在对抗样本生成过程中，针对距离因素的不同度量方式可以相应地产生具有不同攻击性的对抗样本，这样能够更加综合地评估神经网络。
在使用
Figure 586172DEST_PATH_IMAGE017
范数测量方式来度量距离因素时，目标函数可以采用上述各种适用的优化算法来优化，此处不再详细介绍。
在使用
Figure 938656DEST_PATH_IMAGE016
范数测量方式来度量距离因素时，由于
Figure 881204DEST_PATH_IMAGE016
范数是不可微的，因此需要考虑适当的方式来优化目标函数。
例如，在一个实施例中，假设第一距离因素是
Figure 53559DEST_PATH_IMAGE016
范数测量方式来度量的。那么，可以通过结合
Figure 474176DEST_PATH_IMAGE017
范数的迭代过程来对第一目标函数进行优化，从而高效地得到基于
Figure 946746DEST_PATH_IMAGE016
范数测量方式的对抗样本。
比如，可以重复执行以下过程，直到达到收敛，得到第一调整变量（例如，前述
Figure 404403DEST_PATH_IMAGE019
），第一对抗样本可以是利用第一调整变量对原始样本进行调整得到的：
可以对第二目标函数进行优化，得到第二目标函数的最优解。此处，第二目标函数是基于第二距离因素和第二类别差异因素来构造的，第二距离因素是使用
Figure 329634DEST_PATH_IMAGE017
范数测量方式来度量的，第二类别差异因素是使用与第一类别差异因素相同的方式来度量的；当然，如果无法得到第二目标函数的最优解，则迭代过程将退出；
可以基于第二目标函数的最优解，确定与第二类别差异因素相关联的梯度；
可以基于该梯度，确定对第二类别差异因素影响最小的样本特征分量；
在保持样本特征分量不变的情况下，可以再次对第二目标函数进行优化。
例如，第二目标函数可以是采用投影梯度下降法、截断梯度下降法、或变量替换法来优化的。
可以明白的是，上述迭代过程的主要思想是确定对神经网络的预测输出影响较小的样本特征分量，之后保持其不变，而通过基于
Figure 553942DEST_PATH_IMAGE017
范数测量方式构造的第二目标函数来调整其它样本特征分量。随着迭代过程的不断进行，保持不变的特征分量逐渐增多，直到达到收敛得到最终的调整变量为止，从而有效地得到对抗样本。
当使用
Figure 615439DEST_PATH_IMAGE020
范数测量方式来度量距离因素时，
Figure 696527DEST_PATH_IMAGE020
范数不是完全可微的，因此需要考虑适当的方式来优化目标函数。
比如，在一个实施例中，第一距离因素可以是使用
Figure 109054DEST_PATH_IMAGE020
范数测量方式来度量的，那么可以通过多次迭代来对第一目标函数进行优化。比如，优化算法依然可以采用上述投影梯度下降法、截断梯度下降法、或变量替换法。
在该实施例中，在第一目标函数中，第一距离因素可以通过第一调整变量（例如，前述
Figure 137053DEST_PATH_IMAGE019
）和针对第一调整变量的可调整参数（比如，该参数可以表示为
Figure 787477DEST_PATH_IMAGE021
）来表示。类似于前述过程，第一对抗样本可以是利用第一调整变量对原始样本进行调整得到的。在每次迭代之后，可调整参数可以基于该次迭代的结果而被调整。比如，如果
Figure 977150DEST_PATH_IMAGE022
，可以将
Figure 876973DEST_PATH_IMAGE021
的值减小，比如减小为该次迭代使用的
Figure 52870DEST_PATH_IMAGE021
的值的0.9倍，此处与前述内容一致，i小于或等于向量维数n。
这样，能够有效地对基于
Figure 354539DEST_PATH_IMAGE020
范数测量方式的目标函数进行优化，进而得到对抗样本。
除了距离因素之后，本文中提到的类别差异因素也可以采用各种适用的方式来度量。
例如，第一类别差异因素是使用类别差异函数来度量的，类别差异函数可以是基于多分类损失函数得到的。
此处，多分类损失函数可以包括各种适用的损失函数，比如交叉熵损失函数、合页损失函数或softplus损失函数。
在一个实施例中，类别差异函数可以是通过对多分类损失函数进行调整得到的。
比如，可以通过以下方式来对多分类损失函数调整得到类别差异函数，从而更加合理地度量类别差异因素：
基于预测概率对交叉熵损失函数进行调整，此处，预测概率可以表示神经网络针对于对抗样本目标类别的预测概率；
基于预测概率对合页损失函数进行调整；
基于logits向量对合页损失函数进行调整；
基于预测概率对softplus损失函数进行调整；
基于logits向量对softplus损失函数进行调整。
应当明白的是，此处仅是举例说明了几种对多分类损失函数进行调整的方式，本文中还可以采用任何其它适用的方式来对任何其它适用的损失函数进行调整，得到类别差异函数。
从上述可以理解的是，如果将距离因素的各种度量方式和类别差异因素的各种度量方式进行组合，可以得到一组目标函数实例，由此生成具有不同攻击性的一组对抗样本。利用这样的一组对抗样本，能够更加综合有效地评估神经网络的鲁棒性。而且，这组对抗样本具有较强的迁移性，能够良好地评估针对神经网络的防御算法的有效性。
为了便于理解，下面将通过具体示例来说明本文的技术方案。应当明白的是，下文出现的各种等式表示仅是举例，本文可以采用其它任何适用的等式形式。
如前所述，假设原始样本为x，神经网络对原始样本x的预测类别为
Figure 715113DEST_PATH_IMAGE023
。原始样本x的真实类别为
Figure 102232DEST_PATH_IMAGE007
。可能存在与x相似的对抗样本
Figure 268771DEST_PATH_IMAGE013
（即，
Figure 159367DEST_PATH_IMAGE013
=
Figure 956421DEST_PATH_IMAGE024
，使得神经网络对样本
Figure 34099DEST_PATH_IMAGE013
的预测类别为
Figure 207591DEST_PATH_IMAGE025
，其中
Figure 218272DEST_PATH_IMAGE011
，t可以是预先指定的对抗样本目标类别。基于此，对抗样本的生成问题可以定义如下：
Figure 796015DEST_PATH_IMAGE026
Figure 892147DEST_PATH_IMAGE027
该问题的目标是找到
Figure 603751DEST_PATH_IMAGE019
使得
Figure 468939DEST_PATH_IMAGE028
最小。也可以理解为，通过找到微小的变量
Figure 76638DEST_PATH_IMAGE019
来调整原始样本
Figure 660066DEST_PATH_IMAGE029
，使得神经网络的预测结果发生改变。此处，D可以表示距离因素的度量方式。
可以理解的是，
Figure 909782DEST_PATH_IMAGE030
和
Figure 691793DEST_PATH_IMAGE031
通常表示的都是离散的类别信息，因此
Figure 1552DEST_PATH_IMAGE032
这一约束条件是高度非线性的。那么，约束条件函数
Figure 72276DEST_PATH_IMAGE033
并不适于评估神经网络的预测准确性，因为这二者之间的运算通常是无意义的。鉴于上述问题难以直接优化，在本文中将对上述问题进行调整，得到便于进行优化的目标函数。
首先，可以重新定义约束条件函数
Figure 125683DEST_PATH_IMAGE034
，使其满足当且仅当
Figure 309670DEST_PATH_IMAGE035
时，
Figure 790330DEST_PATH_IMAGE032
。这样，能够更加合理地评估
Figure 82771DEST_PATH_IMAGE036
与
Figure 674290DEST_PATH_IMAGE031
之间的差异。此外，可以使用拉格朗日乘法将这种约束条件带入上述目标函数时，通过合理的设置拉格朗日乘数c的值，可以保证在目标函数取最小值时，
Figure 368576DEST_PATH_IMAGE032
必然成立。
由此，上述生成问题通过拉格朗日数乘法可以转化为以下形式的目标函数：
Figure 20137DEST_PATH_IMAGE037
Figure 658929DEST_PATH_IMAGE038
在该目标函数中，第一项可以表示距离因素，第二项可以表示类别差异因素。
Figure 54138DEST_PATH_IMAGE039
可以表示超参数，例如可以使用网格搜索来选择
Figure 602931DEST_PATH_IMAGE039
的最优值。那么，该目标函数可以理解为使得对抗样本与原始样本之间的距离最小化并且使得神经网络对于对抗样本的预测类别尽可能接近对抗样本目标类别。
该目标函数可以使用各种适用的优化算法进行优化，比如投影梯度下降法、截断梯度下降法、或变量替换法。
例如，在投影梯度下降法中，可以在每次梯度下降之后对
Figure 690973DEST_PATH_IMAGE040
的值进行投影。
在截断梯度下降法中，可以将
Figure 505477DEST_PATH_IMAGE041
替换为
Figure 704377DEST_PATH_IMAGE042
。
在变量替换法中，可以将
Figure 107676DEST_PATH_IMAGE019
进行如下形式的替换，并且优化新引入的变量
Figure 101040DEST_PATH_IMAGE043
：
Figure 855369DEST_PATH_IMAGE044
。
另外，在上述目标函数中，距离因素可以使用任何合适的方式来度量，比如L p范数测量方式。常用的L p范数测量方式可以包括
Figure 592381DEST_PATH_IMAGE016
、
Figure 115766DEST_PATH_IMAGE017
、
Figure 139086DEST_PATH_IMAGE020
这三种方式。
此外，关于类别差异因素，函数
Figure 115132DEST_PATH_IMAGE034
可以基于多分类损失函数来得到。比如，可以对多分类损失函数进行适应性调整来得到函数
Figure 655835DEST_PATH_IMAGE034
。在一个实施例中，多分类损失函数可以包括交叉熵损失函数、合页损失函数、或softplus损失函数。下面举例说明如何对多分类损失函数进行调整来得到本文的函数
Figure 846776DEST_PATH_IMAGE034
，但是应当明白的是，本文对多分类损失函数的调整方式并不限于以下具体示例。
交叉熵损失函数可以有效地评估对抗样本目标类别与神经网络对于对抗样本的预测类别的多项分布之间的差异性，但是交叉熵损失函数大于0，因此需要对其进行调整。
在一个示例中，可以在满足
Figure 181943DEST_PATH_IMAGE045
的同时，要求神经网络对于对抗样本目标类别产生的预测概率应当足够大。比如，可以要求对抗样本目标类别的预测概率大于0.5，这样，可以对交叉熵损失函数引入
Figure 910864DEST_PATH_IMAGE046
的偏置，比如可以使用如下等式来表示：
Figure 989679DEST_PATH_IMAGE047
。
其中，
Figure 956498DEST_PATH_IMAGE048
可以表示
Figure 462565DEST_PATH_IMAGE029
的交叉熵损失函数。
此外，还可以对合页损失函数或softplus损失函数进行调整，得到函数
Figure 678783DEST_PATH_IMAGE034
。比如，可以基于预测概率进行调整。再比如，预测概率通常与logits向量正相关，因此也可以基于logits向量进行调整。下面举几个具体示例来说明这些调整。
Figure 420343DEST_PATH_IMAGE049
Figure 772827DEST_PATH_IMAGE050
Figure 715375DEST_PATH_IMAGE051
Figure 622151DEST_PATH_IMAGE052
Figure 42768DEST_PATH_IMAGE053
其中，
Figure 515338DEST_PATH_IMAGE054
可以是基于预测概率对合页损失函数调整得到的，
Figure 363208DEST_PATH_IMAGE055
、
Figure 835909DEST_PATH_IMAGE056
分别可以是基于预测概率、logits向量对合页损失函数调整得到的，
Figure 60217DEST_PATH_IMAGE057
、
Figure 387293DEST_PATH_IMAGE058
分别可以是基于预测概率、logits向量对softplus损失函数调整得到的。
另外，在上述各个等式中，
Figure 265119DEST_PATH_IMAGE059
可以表示函数
Figure 677646DEST_PATH_IMAGE060
，
Figure 440066DEST_PATH_IMAGE061
，
Figure 356069DEST_PATH_IMAGE062
可以表示输入到神经网络的softmax函数的logits向量。
可见，在该实施例中，如果将三种常用的
Figure 811321DEST_PATH_IMAGE016
、
Figure 711144DEST_PATH_IMAGE017
、
Figure 277255DEST_PATH_IMAGE020
范数测量方式和上述六种函数
Figure 860814DEST_PATH_IMAGE034
分别进行组合，可以得到18个目标函数实例，那么可以生成具有不同攻击性的18种对抗样本。使用这样的一组对抗样本，将能够更加全面地评估神经网络的鲁棒性。而且，这样的对抗样本也具有良好的迁移性，能够高效地评估针对神经网络的防御技术的有效性。
为了便于理解，下面举例说明几种对抗样本的具体生成过程。
示例1：在该示例中，距离因素可以使用
Figure 486967DEST_PATH_IMAGE017
范数测量方式来度量，而类别差异因素可以使用函数
Figure 874086DEST_PATH_IMAGE056
来度量，并且使用变量替换法来对目标函数进行优化。那么，上述目标函数的可以具体表示为：
Figure 571784DEST_PATH_IMAGE063
其中，
Figure 727959DEST_PATH_IMAGE064
。
示例二：在该示例中，距离因素可以使用
Figure 525013DEST_PATH_IMAGE016
范数测量方式来度量的。类别差异因素可以使用上述任何一种方式来度量。由于
Figure 868270DEST_PATH_IMAGE016
范数不可微，因此需要考虑适用的迭代方式来对目标函数进行优化。为了便于描述，将使用
Figure 41762DEST_PATH_IMAGE016
范数测量方式的该目标函数称为目标函数1。
在该优化过程，将结合另一目标函数（称为目标函数2）来进行迭代。目标函数2中的距离因素可以是使用
Figure 52444DEST_PATH_IMAGE017
范数测量方式来度量的，目标函数1和目标函数2可以采用相同的函数
Figure 20400DEST_PATH_IMAGE034
。具体迭代过程可以如下：
（1）可以对目标函数2进行优化，比如采用投影梯度下降法、截断梯度下降法、或变量替换法来进行优化，得到最优解。如果没有得到最优解，则该过程退出。此处，可以理解的是，目标函数2的最优解可以表示为
Figure 460739DEST_PATH_IMAGE019
。
（2）可以计算函数
Figure 906764DEST_PATH_IMAGE034
的梯度
Figure 37531DEST_PATH_IMAGE065
。
（3）可以确定对函数
Figure 973126DEST_PATH_IMAGE034
影响最小的样本特征分量
Figure 556554DEST_PATH_IMAGE066
。
（4）将该特征分量固定不变，继续执行步骤（1）-（3），直到达到收敛得到最终的
Figure 806270DEST_PATH_IMAGE019
，依据该最终的
Figure 791544DEST_PATH_IMAGE019
，可以得到基于目标函数1的对抗样本。
可见，迭代过程的主要思想是确定对神经网络的预测输出影响较小的特征分量，保持这些特征分量不变，并且利用目标函数2对其它特征分量进行调整。随着迭代的不断进行，固定不变的特征分量逐渐增多，直到收敛得到
Figure 570144DEST_PATH_IMAGE019
。
示例3：在该示例中，距离因素可以使用
Figure 640868DEST_PATH_IMAGE020
范数测量方式来度量。类别差异因素可以使用上述任何一种方式来度量。由于
Figure 694275DEST_PATH_IMAGE020
范数不是完全可微，因此在每次迭代过程中，可以对目标函数进行调整。比如，目标函数可以表示为：
Figure 143842DEST_PATH_IMAGE067
其中，
Figure 624502DEST_PATH_IMAGE021
为可调整参数。在每次迭代之后，如果任意分量
Figure 916943DEST_PATH_IMAGE068
，可以对
Figure 570778DEST_PATH_IMAGE021
进行调整。比如，可以将
Figure 265064DEST_PATH_IMAGE021
的值减小为该次迭代中的
Figure 916626DEST_PATH_IMAGE021
的值的0.9倍。
可见，通过本文的技术方案，能够得到当前隐蔽性最强的对抗样本，从而有效评估神经网络的鲁棒性。
图3是根据一个实施例的用于评估神经网络的装置的示意性框图。
如图3所示，装置300可以包括生成单元302和评估单元304。
生成单元302可以生成针对神经网络的原始样本的多个对抗样本。
每个对抗样本可以是基于距离因素和类别差异因素来生成的。距离因素可以用于表示该对抗样本与原始样本之间的距离，类别差异因素可以用于表示神经网络对该对抗样本的预测类别与对抗样本目标类别之间的差异。
对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式是不同于另一对抗样本的。
评估单元304可以使用多个对抗样本对神经网络进行评估。
装置300的各个单元可以执行图2的方法实施例中的相应步骤，因此，为了描述的简洁，装置300的各个单元的具体操作和功能此处不再赘述。
例如，在一个实施例中，针对第一对抗样本而言，第一对抗样本是多个对抗样本中的任一者：生成单元302可以对第一目标函数进行优化，得到第一对抗样本。第一目标函数可以是基于针对第一对抗样本的第一距离因素和第一类别差异因素来构造的。第一目标函数可以使得第一距离因素和第一类别差异因素均最小化。
在一个实施例中，生成单元302可以采用以下优化算法中的一种算法对第一目标函数进行优化：投影梯度下降法、截断梯度下降法、或变量替换法。
在一个实施例中，第一距离因素可以是使用L p范数测量方式中的一种方式来度量的，其中p的取值范围为
Figure 961942DEST_PATH_IMAGE014
。
在一个实施例中，第一距离因素可以是使用L 0范数测量方式来度量的。在这种情况下，生成单元302可以重复执行以下过程，直到达到收敛，得到第一调整变量，其中第一对抗样本是利用第一调整变量对原始样本进行调整得到的：
对第二目标函数进行优化，得到第二目标函数的最优解，其中，第二目标函数是基于第二距离因素和第二类别差异因素来构造的，第二距离因素是使用L 2范数测量方式来度量的，第二类别差异因素是使用与第一类别差异因素相同的方式来度量的；
基于第二目标函数的最优解，确定与第二类别差异因素相关联的梯度；
基于该梯度，确定对第二类别差异因素影响最小的样本特征分量；
在保持样本特征分量不变的情况下，再次对第二目标函数进行优化。
在一个实施例中，第一距离因素是使用
Figure 825993DEST_PATH_IMAGE020
范数测量方式来度量的。在这种情况下，生成单元302可以通过多次迭代，对第一目标函数进行优化，其中，第一距离因素是通过第一调整变量和可调整参数来表示的，第一对抗样本是利用第一调整变量对原始样本进行调整得到的。在每次迭代之后，可调整参数基于该次迭代的结果而被调整。
在一个实施例中，第一类别差异因素可以是使用类别差异函数来度量的，类别差异函数是基于多分类损失函数得到的。
在一个实施例中，多分类损失函数可以包括交叉熵损失函数、合页损失函数、或softplus损失函数。
在一个实施例中，类别差异函数可以是通过以下方式中的一种方式得到的：
基于预测概率对交叉熵损失函数进行调整，其中，预测概率表示神经网络对于对抗样本目标类别的预测概率；
基于预测概率对合页损失函数进行调整；
基于logits向量对合页损失函数进行调整；
基于预测概率对softplus损失函数进行调整；
基于logits向量对softplus损失函数进行调整。
上述装置300可以采用硬件实现，也可以采用软件实现，或者可以通过软硬件的组合来实现。例如，装置300在采用软件实现时，其可以通过其所在设备的处理器将存储器（比如非易失性存储器）中对应的可执行代码读取到内存中运行来形成。
图4是根据一个实施例的用于评估神经网络的计算设备的硬件结构图。如图4所示，计算设备400可以包括至少一个处理器402、存储器404、内存406和通信接口408，并且至少一个处理器402、存储器404、内存406和通信接口408经由总线410连接在一起。至少一个处理器402执行在存储器404中存储或编码的至少一个可执行代码（即，上述以软件形式实现的元素）。
在一个实施例中，在存储器404中存储的可执行代码在被至少一个处理器402执行时，使得计算设备实现以上结合图1-2描述的各种过程。
计算设备400可以采用本领域任何适用的形式来实现，例如，其包括但不限于台式计算机、膝上型计算机、智能电话、平板计算机、消费电子设备、可穿戴智能设备等等。
本说明书的实施例还提供了一种机器可读存储介质。该机器可读存储介质可以存储有可执行代码，可执行代码在被机器执行时使得机器实现上面参照图1-2描述的方法实施例的具体过程 。
例如，上述机器可读存储介质可以包括但不限于随机存取存储器（Random AccessMemory，RAM）、只读存储器（Read-Only Memory，ROM）、电可擦除可编程只读存储器（Electrically-Erasable Programmable Read-Only Memory，EEPROM）、静态随机存取存储器（Static Random Access Memory，SRAM）、硬盘、闪存等等。
应当理解的是，本说明书中的各个实施例均采用递进的方式来描述，各个实施例之间相同或相似的部分相互参见即可，每个实施例重点说明的都是与其它实施例的不同之处。例如，对于上述关于装置的实施例、关于计算设备的实施例以及关于机器可读存储介质的实施例而言，由于它们基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
上文对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
上述各流程和各系统结构图中不是所有的步骤和单元都是必须的，可以根据实际的需要忽略某些步骤或单元。上述各实施例中描述的装置结构可以是物理结构，也可以是逻辑结构，即，有些单元可能由同一物理实体实现，或者，有些单元可能分别由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。
在整个本说明书中使用的术语“示例性”意味着“用作例子、实例或例示”，并不意味着比其它实施例“优选”或“具有优势”。出于提供对所描述技术的理解的目的，具体实施方式包括具体细节。然而，可以在没有这些具体细节的情况下实施这些技术。在一些实例中，为了避免对所描述的实施例的概念造成难以理解，公知的结构和装置以框图形式示出。
以上结合附图详细描述了本公开内容的实施例的可选实施方式，但是，本公开内容的实施例并不限于上述实施方式中的具体细节，在本公开内容的实施例的技术构思范围内，可以对本公开内容的实施例的技术方案进行多种变型，这些变型均属于本公开内容的实施例的保护范围。
本公开内容的上述描述被提供来使得本领域任何普通技术人员能够实现或者使用本公开内容。对于本领域普通技术人员来说，对本公开内容进行的各种修改是显而易见的，并且，也可以在不脱离本公开内容的保护范围的情况下，将本文所定义的一般性原理应用于其它变型。因此，本公开内容并不限于本文所描述的例子和设计，而是与符合本文公开的原理和新颖性特征的最广范围相一致。

Claims (20)

1.一种用于评估神经网络的方法，包括：
生成针对神经网络的原始样本的多个对抗样本，其中：
每个对抗样本是基于距离因素和类别差异因素来生成的，所述距离因素用于表示该对抗样本与所述原始样本之间的距离，所述类别差异因素用于表示所述神经网络对该对抗样本的预测类别与对抗样本目标类别之间的差异；
对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式是不同于另一对抗样本的；
使用所述多个对抗样本对所述神经网络进行评估。
2.根据权利要求1所述的方法，其中，生成针对神经网络的原始样本的多个对抗样本，包括：
针对第一对抗样本而言，所述第一对抗样本是所述多个对抗样本中的任一者：
对第一目标函数进行优化，得到所述第一对抗样本，其中，所述第一目标函数是基于针对所述第一对抗样本的第一距离因素和第一类别差异因素来构造的，所述第一目标函数使得所述第一距离因素和所述第一类别差异因素均最小化。
3.根据权利要求2所述的方法，其中，对第一目标函数进行优化，包括：
采用以下优化算法中的一种算法对所述第一目标函数进行优化：投影梯度下降法、截断梯度下降法、或变量替换法。
4.根据权利要求2或3所述的方法，其中，所述第一距离因素是使用L p范数测量方式中的一种方式来度量的，其中p的取值范围为
Figure 494534DEST_PATH_IMAGE002
。
5.根据权利要求4所述的方法，其中，所述第一距离因素是使用L 0范数测量方式来度量的；
对第一目标函数进行优化包括：重复执行以下过程，直到达到收敛，得到第一调整变量，其中所述第一对抗样本是利用所述第一调整变量对所述原始样本进行调整得到的：
对第二目标函数进行优化，得到所述第二目标函数的最优解，其中，所述第二目标函数是基于第二距离因素和第二类别差异因素来构造的，所述第二距离因素是使用L 2范数测量方式来度量的，所述第二类别差异因素是使用与所述第一类别差异因素相同的方式来度量的；
基于所述第二目标函数的最优解，确定与所述第二类别差异因素相关联的梯度；
基于所述梯度，确定对所述第二类别差异因素影响最小的样本特征分量；
在保持所述样本特征分量不变的情况下，再次对所述第二目标函数进行优化。
6.根据权利要求4所述的方法，其中，所述第一距离因素是使用
Figure 349357DEST_PATH_IMAGE004
范数测量方式来度量的；
对第一目标函数进行优化包括：
通过多次迭代，对所述第一目标函数进行优化，
其中，所述第一距离因素是通过第一调整变量和可调整参数来表示的，所述第一对抗样本是利用所述第一调整变量对所述原始样本进行调整得到的，并且在每次迭代之后，所述可调整参数基于该次迭代的结果而被调整。
7.根据权利要求2或3所述的方法，其中，所述第一类别差异因素是使用类别差异函数来度量的，所述类别差异函数是基于多分类损失函数得到的。
8.根据权利要求7所述的方法，其中，所述多分类损失函数包括交叉熵损失函数、合页损失函数、或softplus损失函数。
9.根据权利要求8所述的方法，其中，所述类别差异函数是通过以下方式中的一种方式得到的：
基于预测概率对所述交叉熵损失函数进行调整，其中，所述预测概率表示所述神经网络对所述对抗样本目标类别的预测概率；
基于所述预测概率对所述合页损失函数进行调整；
基于logits向量对所述合页损失函数进行调整；
基于所述预测概率对所述softplus损失函数进行调整；
基于logits向量对所述softplus损失函数进行调整。
10.一种用于评估神经网络的装置，包括：
生成单元，其生成针对神经网络的原始样本的多个对抗样本，其中：
每个对抗样本是基于距离因素和类别差异因素来生成的，所述距离因素用于表示该对抗样本与所述原始样本之间的距离，所述类别差异因素用于表示所述神经网络对该对抗样本的预测类别与对抗样本目标类别之间的差异；
对于任何两个对抗样本而言，针对一个对抗样本的距离因素和类别差异因素中的至少一者的度量方式是不同于另一对抗样本的；
评估单元，其使用所述多个对抗样本对所述神经网络进行评估。
11.根据权利要求10所述的装置，其中，所述生成单元在生成所述多个对抗样本时执行以下操作：
针对第一对抗样本而言，所述第一对抗样本是所述多个对抗样本中的任一者：对第一目标函数进行优化，得到所述第一对抗样本，其中，所述第一目标函数是基于针对所述第一对抗样本的第一距离因素和第一类别差异因素来构造的，所述第一目标函数使得所述第一距离因素和所述第一类别差异因素均最小化。
12.根据权利要求11所述的装置，其中，所述生成单元在对第一目标函数进行优化时执行以下操作：
采用以下优化算法中的一种算法对所述第一目标函数进行优化：投影梯度下降法、截断梯度下降法、或变量替换法。
13.根据权利要求11或12所述的装置，其中，所述第一距离因素是使用L p范数测量方式中的一种方式来度量的，其中p的取值范围为
Figure 316045DEST_PATH_IMAGE002
。
14.根据权利要求13所述的装置，其中，所述第一距离因素是使用L 0范数测量方式来度量的；
所述生成单元在对第一目标函数进行优化时执行以下操作：重复执行以下过程，直到达到收敛，得到第一调整变量，其中所述第一对抗样本是利用所述第一调整变量对所述原始样本进行调整得到的：
对第二目标函数进行优化，得到所述第二目标函数的最优解，其中，所述第二目标函数是基于第二距离因素和第二类别差异因素来构造的，所述第二距离因素是使用L 2范数测量方式来度量的，所述第二类别差异因素是使用与所述第一类别差异因素相同的方式来度量的；
基于所述第二目标函数的最优解，确定与所述第二类别差异因素相关联的梯度；
基于所述梯度，确定对所述第二类别差异因素影响最小的样本特征分量；
在保持所述样本特征分量不变的情况下，再次对所述第二目标函数进行优化。
15.根据权利要求13所述的装置，其中，所述第一距离因素是使用
Figure 648937DEST_PATH_IMAGE004
范数测量方式来度量的；
所述生成单元在对第一目标函数进行优化时执行以下操作：
通过多次迭代，对所述第一目标函数进行优化，
其中，所述第一距离因素是通过第一调整变量和可调整参数来表示的，所述第一对抗样本是利用所述第一调整变量对所述原始样本进行调整得到的，并且在每次迭代之后，所述可调整参数基于该次迭代的结果而被调整。
16.根据权利要求11或12所述的装置，其中，所述第一类别差异因素是使用类别差异函数来度量的，所述类别差异函数是基于多分类损失函数得到的。
17.根据权利要求16所述的装置，其中，所述多分类损失函数包括交叉熵损失函数、合页损失函数、或softplus损失函数。
18.根据权利要求17所述的装置，其中，所述类别差异函数是通过以下方式中的一种方式得到的：
基于预测概率对所述交叉熵损失函数进行调整，其中，所述预测概率表示所述神经网络对所述对抗样本目标类别的预测概率；
基于所述预测概率对所述合页损失函数进行调整；
基于logits向量对所述合页损失函数进行调整；
基于所述预测概率对所述softplus损失函数进行调整；
基于logits向量对所述softplus损失函数进行调整。
19.一种计算设备，包括：
至少一个处理器；
与所述至少一个处理器进行通信的存储器，其上存储有可执行代码，所述可执行代码在被所述至少一个处理器执行时使得所述至少一个处理器实现根据权利要求1至9中任一项所述的方法。
20.一种机器可读存储介质，其存储有可执行代码，所述可执行代码在被执行时使得机器执行根据权利要求1至9中任一项所述的方法。
CN202010631978.3A 2020-07-03 2020-07-03 用于评估神经网络的方法和装置 Pending CN111523651A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010631978.3A CN111523651A (zh) 2020-07-03 2020-07-03 用于评估神经网络的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010631978.3A CN111523651A (zh) 2020-07-03 2020-07-03 用于评估神经网络的方法和装置

Publications (1)

Publication Number Publication Date
CN111523651A true CN111523651A (zh) 2020-08-11

Family

ID=71911764

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010631978.3A Pending CN111523651A (zh) 2020-07-03 2020-07-03 用于评估神经网络的方法和装置

Country Status (1)

Country Link
CN (1) CN111523651A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113220553A (zh) * 2021-05-13 2021-08-06 支付宝(杭州)信息技术有限公司 一种文本预测模型性能的评估方法和装置
CN114118413A (zh) * 2021-11-30 2022-03-01 上海商汤临港智能科技有限公司 网络训练及设备的控制方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110222831A (zh) * 2019-06-13 2019-09-10 百度在线网络技术（北京）有限公司 深度学习模型的鲁棒性评估方法、装置及存储介质
CN110569916A (zh) * 2019-09-16 2019-12-13 电子科技大学 用于人工智能分类的对抗样本防御系统及方法
CN110941824A (zh) * 2019-12-12 2020-03-31 支付宝(杭州)信息技术有限公司 一种基于对抗样本增强模型抗攻击能力的方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110222831A (zh) * 2019-06-13 2019-09-10 百度在线网络技术（北京）有限公司 深度学习模型的鲁棒性评估方法、装置及存储介质
CN110569916A (zh) * 2019-09-16 2019-12-13 电子科技大学 用于人工智能分类的对抗样本防御系统及方法
CN110941824A (zh) * 2019-12-12 2020-03-31 支付宝(杭州)信息技术有限公司 一种基于对抗样本增强模型抗攻击能力的方法和系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
NICHOLAS CARLINI等: "Towards Evaluating the Robustness of Neural Networks", 《2017 IEEE SYMPOSIUM ON SECURITY AND PRIVACY (SP)》 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113220553A (zh) * 2021-05-13 2021-08-06 支付宝(杭州)信息技术有限公司 一种文本预测模型性能的评估方法和装置
CN113220553B (zh) * 2021-05-13 2022-06-17 支付宝(杭州)信息技术有限公司 一种文本预测模型性能的评估方法和装置
CN114118413A (zh) * 2021-11-30 2022-03-01 上海商汤临港智能科技有限公司 网络训练及设备的控制方法、装置、设备及存储介质

Similar Documents

Publication Publication Date Title
Botev et al. Practical Gauss-Newton optimisation for deep learning
Cheung et al. Objective extraction for many-objective optimization problems: Algorithm and test problems
US10460236B2 (en) Neural network learning device
Li et al. Multi-class learning: From theory to algorithm
Ross et al. Normalized online learning
CN110799995A (zh) 数据识别器训练方法、数据识别器训练装置、程序及训练方法
CN112364915A (zh) 一种不可察觉的对抗补丁生成方法及应用
Nishiyama et al. Hilbert space embeddings of POMDPs
CN111523651A (zh) 用于评估神经网络的方法和装置
US8626676B2 (en) Regularized dual averaging method for stochastic and online learning
AU2021290143B2 (en) Machine learning module training using input reconstruction techniques and unlabeled transactions
Liu et al. A modified gradient learning algorithm with smoothing L1/2 regularization for Takagi–Sugeno fuzzy models
CN117940936A (zh) 用于评估对抗鲁棒性的方法和装置
KR102093080B1 (ko) 레이블 데이터 및 비레이블 데이터를 이용한 생성적 적대 신경망 기반의 분류 시스템 및 방법
Moon et al. Meta learning of bounds on the Bayes classifier error
Lai et al. FTS: A Framework to Find a Faithful TimeSieve
Saporito et al. PDGM: a neural network approach to solve path-dependent partial differential equations
Bi Multi-objective programming in SVMs
Zhang et al. Alleviating robust overfitting of adversarial training with consistency regularization
CN116883736A (zh) 一种基于难度引导可变攻击策略的对抗防御方法
Rodner et al. Large-scale gaussian process inference with generalized histogram intersection kernels for visual recognition tasks
Shakib et al. Kernel-based learning of stable nonlinear state-space models
Ghosh et al. Towards Achieving Sub-linear Regret and Hard Constraint Violation in Model-free RL
CN114492800A (zh) 基于鲁棒结构搜索的对抗样本防御方法及装置
DARVAY et al. AN INFEASIBLE FULL-NEWTON STEP ALGORITHM FOR LINEAR OPTIMIZATION WITH ONE CENTERING STEP IN MAJOR ITERATION.

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20200811

RJ01 Rejection of invention patent application after publication