EP4078239A1 - Verfahren und vorrichtung zum robustifizieren eines neuronalen netzes gegen adversariale störungen - Google Patents

Verfahren und vorrichtung zum robustifizieren eines neuronalen netzes gegen adversariale störungen

Info

Publication number
EP4078239A1
EP4078239A1 EP20829548.5A EP20829548A EP4078239A1 EP 4078239 A1 EP4078239 A1 EP 4078239A1 EP 20829548 A EP20829548 A EP 20829548A EP 4078239 A1 EP4078239 A1 EP 4078239A1
Authority
EP
European Patent Office
Prior art keywords
neural network
data
piece
vehicle
sensor
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP20829548.5A
Other languages
English (en)
French (fr)
Inventor
Peter Schlicht
Fabian HÜGER
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Volkswagen AG
Original Assignee
Volkswagen AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Volkswagen AG filed Critical Volkswagen AG
Publication of EP4078239A1 publication Critical patent/EP4078239A1/de
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S17/00—Systems using the reflection or reradiation of electromagnetic waves other than radio waves, e.g. lidar systems
    • G01S17/88—Lidar systems specially adapted for specific applications
    • G01S17/89—Lidar systems specially adapted for specific applications for mapping or imaging
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S13/00—Systems using the reflection or reradiation of radio waves, e.g. radar systems; Analogous systems using reflection or reradiation of waves whose nature or wavelength is irrelevant or unspecified
    • G01S13/88—Radar or analogous systems specially adapted for specific applications
    • G01S13/89—Radar or analogous systems specially adapted for specific applications for mapping or imaging
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S13/00—Systems using the reflection or reradiation of radio waves, e.g. radar systems; Analogous systems using reflection or reradiation of waves whose nature or wavelength is irrelevant or unspecified
    • G01S13/88—Radar or analogous systems specially adapted for specific applications
    • G01S13/93—Radar or analogous systems specially adapted for specific applications for anti-collision purposes
    • G01S13/931—Radar or analogous systems specially adapted for specific applications for anti-collision purposes of land vehicles
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S17/00—Systems using the reflection or reradiation of electromagnetic waves other than radio waves, e.g. lidar systems
    • G01S17/88—Lidar systems specially adapted for specific applications
    • G01S17/93—Lidar systems specially adapted for specific applications for anti-collision purposes
    • G01S17/931—Lidar systems specially adapted for specific applications for anti-collision purposes of land vehicles
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S7/00—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00
    • G01S7/02—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00 of systems according to group G01S13/00
    • G01S7/36—Means for anti-jamming, e.g. ECCM, i.e. electronic counter-counter measures
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S7/00—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00
    • G01S7/48—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00 of systems according to group G01S17/00
    • G01S7/495—Counter-measures or counter-counter-measures using electronic or electro-optical means
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S15/00—Systems using the reflection or reradiation of acoustic waves, e.g. sonar systems
    • G01S15/86—Combinations of sonar systems with lidar systems; Combinations of sonar systems with systems not using wave reflection
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S15/00—Systems using the reflection or reradiation of acoustic waves, e.g. sonar systems
    • G01S15/88—Sonar systems specially adapted for specific applications
    • G01S15/93—Sonar systems specially adapted for specific applications for anti-collision purposes
    • G01S15/931—Sonar systems specially adapted for specific applications for anti-collision purposes of land vehicles
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S13/00—Systems using the reflection or reradiation of radio waves, e.g. radar systems; Analogous systems using reflection or reradiation of waves whose nature or wavelength is irrelevant or unspecified
    • G01S13/88—Radar or analogous systems specially adapted for specific applications
    • G01S13/93—Radar or analogous systems specially adapted for specific applications for anti-collision purposes
    • G01S13/931—Radar or analogous systems specially adapted for specific applications for anti-collision purposes of land vehicles
    • G01S2013/9323—Alternative operation using light waves
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S13/00—Systems using the reflection or reradiation of radio waves, e.g. radar systems; Analogous systems using reflection or reradiation of waves whose nature or wavelength is irrelevant or unspecified
    • G01S13/88—Radar or analogous systems specially adapted for specific applications
    • G01S13/93—Radar or analogous systems specially adapted for specific applications for anti-collision purposes
    • G01S13/931—Radar or analogous systems specially adapted for specific applications for anti-collision purposes of land vehicles
    • G01S2013/9324—Alternative operation using ultrasonic waves
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S7/00—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00
    • G01S7/02—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00 of systems according to group G01S13/00
    • G01S7/023—Interference mitigation, e.g. reducing or avoiding non-intentional interference with other HF-transmitters, base station transmitters for mobile communication or other radar systems, e.g. using electro-magnetic interference [EMI] reduction techniques
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01S—RADIO DIRECTION-FINDING; RADIO NAVIGATION; DETERMINING DISTANCE OR VELOCITY BY USE OF RADIO WAVES; LOCATING OR PRESENCE-DETECTING BY USE OF THE REFLECTION OR RERADIATION OF RADIO WAVES; ANALOGOUS ARRANGEMENTS USING OTHER WAVES
    • G01S7/00—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00
    • G01S7/02—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00 of systems according to group G01S13/00
    • G01S7/41—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00 of systems according to group G01S13/00 using analysis of echo signal for target characterisation; Target signature; Target cross-section
    • G01S7/417—Details of systems according to groups G01S13/00, G01S15/00, G01S17/00 of systems according to group G01S13/00 using analysis of echo signal for target characterisation; Target signature; Target cross-section involving the use of neural networks

Definitions

  • the invention relates to a method and a device for robustizing a neural network against adversarial disturbances.
  • the invention also relates to a method for operating an assistance system for a vehicle and an assistance system for a vehicle as well as a vehicle, a computer program and a data carrier signal.
  • Machine learning for example based on neural networks, has great potential for use in modern driver assistance systems and automated vehicles.
  • Functions based on deep neural networks process sensor data (e.g. from cameras, radar or lidar sensors) in order to derive relevant information from it.
  • sensor data e.g. from cameras, radar or lidar sensors
  • This information includes, for example, a type and a position of objects in the surroundings of the motor vehicle, a behavior of the objects or a road geometry or topology.
  • CNN convolutional neural networks
  • CNN convolutional neural networks
  • CNN convolutional neural networks
  • input data e.g. image data
  • CNN convolutional neural networks
  • the convolution network independently develops feature maps based on filter channels that process the input data locally in order to derive local properties. These feature cards are then processed again by further filter channels, which derive more valuable feature cards from them.
  • the deep neural network On the basis of this information compressed from the input data, the deep neural network finally derives its decision and makes it available as output data.
  • the invention is based on the object of creating a method and a device for robustizing a neural network against adversarial disturbances.
  • a method for robustizing a neural network against adversarial disturbances with sensor data recorded from at least one sensor being fed to the neural network as input data, with output data of at least one layer of the neural network being replaced piece by piece by means of quilting, and the piece-by-piece replaced output data are fed as input data to at least one subsequent layer of the neural network.
  • a device for robustizing a neural network against adversarial disturbances comprising a computing device, wherein the computing device is set up to provide a neural network or to access a provided neural network, to receive detected sensor data of at least one sensor and to the neural network as To supply input data, to replace output data at least one layer of the neural network piece by piece by means of quilting, and to supply the piece-by-piece replaced output data as input data to at least one subsequent layer of the neural network.
  • the method and the device make it possible to eliminate or at least reduce an effect of adverse disturbances potentially contained in the acquired sensor data on a final output of the neural network.
  • the neural network or a function of the neural network is thereby robustized against adversarial disturbances.
  • the output data of at least one layer of the neural network is replaced piece by piece by means of quilting.
  • the layer is, in particular, an internal layer of the neural network.
  • the output data, which are replaced piece by piece are fed to at least one subsequent layer of the neural network.
  • An effect of Adversarial disturbances on a data flow within the neural network can hereby be eliminated or at least reduced, so that an effect on the final output of the neural network is eliminated or at least reduced.
  • An advantage of the method and the device is that the robustification is in particular independent of a specific embodiment of an adverse disturbance contained in the sensor data, since the piece-wise replacement by means of quilting is independent of the presence of an adverse disturbance and, in particular, independent of a type of adverse disturbance .
  • Another advantage is that the method and the device can be easily integrated into existing neural networks or KI functions provided with them.
  • a structure of the neural network does not have to be adapted, only the output data of the at least one layer of the neural network have to be replaced or exchanged piece by piece by means of quilting.
  • a training phase of the neural network in particular does not have to be adapted or repeated. In this way, effort and costs can be saved despite the robustification achieved.
  • the output data include, in particular, activations of the at least one layer of the neural network.
  • the activations are in particular in the form of an activation map of the layer.
  • the activation map can also be a feature map of a layer of the neural network designed as a convolution layer.
  • Quilting includes, in particular, the piece-wise replacement of output data, which can also be referred to as piece-wise reconstruction of the output data.
  • the output data are divided into several sections.
  • small, in particular rectangular sections also referred to as patches
  • the individual subsections are compared with subsections, hereinafter referred to as output data patches, which are stored in a database, for example.
  • the comparison takes place on the basis of a distance measure which is defined, for example, via a Euclidean distance on picture element vectors.
  • a partial section is linearized as a vector.
  • a distance is then determined using a vector standard, for example using the L2 standard.
  • the partial sections are replaced by the closest or most similar output data patch from the database. It can be provided here that a minimum distance must be maintained or that at least no identity exists between the partial excerpt from the output data and the output data patch may. If the output data have a different form or a different format, the piece-by-piece replacement takes place in an analogous manner.
  • the at least one layer can in principle be any layer in the neural network. It can also be provided that output data from several layers of the neural network are replaced piece by piece by means of quilting. For the output data of each of the layers, in particular output data patches generated and provided individually for each layer are used.
  • the at least one layer is in particular an internal layer of the neural network.
  • the sensor data of the at least one sensor can in principle be one-dimensional or multidimensional, in particular two-dimensional.
  • the sensor data can be two-dimensional camera images from a camera and / or two-dimensional or three-dimensional lidar data from a lidar or radar sensor.
  • a sensor can in particular be a camera, a lidar sensor, a radar sensor, an ultrasonic sensor or some other sensor suitable for detecting the surroundings.
  • An adversarial perturbation is, in particular, a deliberately made disruption of the input data of a neural network, for example provided in the form of sensor data, in which semantic content in the input data is not changed, but the disruption leads to the neuronal Network inferred an incorrect result, that is, for example, a misclassification or an incorrect semantic segmentation of the input data or an incorrect detection or localization of objects in it.
  • a neural network is in particular a deep neural network, in particular a convolutional neural network (CNN).
  • CNN convolutional neural network
  • the neural network is trained for a specific perception function, for example, for the perception of pedestrians or other objects in captured camera images.
  • the method and the device are applied in particular to a (fully) trained neural network.
  • the method can be carried out as a computer-implemented method.
  • the method can be carried out by means of a data processing device.
  • the Data processing device comprises in particular at least one computing device and at least one storage device.
  • a computer program is also created, comprising instructions which, when the computer program is executed by a computer, cause the computer to carry out the method steps of the disclosed method in accordance with any of the described embodiments.
  • a data carrier signal is also created that transmits the aforementioned computer program.
  • the method includes acquiring the sensor data by means of the at least one sensor.
  • a final output of the neural network is fed to at least one control device, in particular a vehicle.
  • the control device can, for example, provide a function for automated driving of a vehicle and / or for driver assistance of the vehicle and / or for environment detection and / or environment perception.
  • the control device can, for example, control or regulate longitudinal and lateral guidance of the vehicle.
  • the method and the device can also be used in other areas of application, for example in industrial production or in medical robots.
  • a vehicle is in particular a motor vehicle.
  • a vehicle can also be another land, rail, water, air or space vehicle, for example a drone or an air taxi.
  • Parts of the device in particular the computing device, can be designed individually or collectively as a combination of hardware and software, for example as program code that is executed on a microcontroller or microprocessor. However, it can also be provided that parts are designed individually or combined as an application-specific integrated circuit (ASIC).
  • ASIC application-specific integrated circuit
  • the neural network provides at least one function for automated or partially automated driving of a vehicle and / or for perception of the surroundings, with a final output of the neural network at least is fed to a control device of the vehicle.
  • the control device of the vehicle is supplied with more reliable and safer input data, so that a function provided by the control device can also be provided more reliably and safely.
  • the control device can, for example, provide an actuator control for an actuator of the vehicle or carry out (higher-value) further processing of the final output of the neural network.
  • a database with output data patches is provided for quilting, the output data patches being or having been generated on the basis of output data of the at least one layer of the neural network which were obtained with the aid of undisturbed input data.
  • the undisturbed input data are selected and compiled in such a way that they have no adverse disturbances with certainty or at least with an increased probability.
  • the output data inferred from the at least one layer of the neural network on the basis of the undisturbed input data are then broken down into sub-sections, each sub-section forming an output data patch.
  • a size of the partial sections is selected depending on a specific application scenario of the method and the device.
  • the output data patches generated in this way are stored in the database.
  • the database is provided, for example, by means of a storage device that can be accessed by the computing device.
  • the output data patches can be stored in the database, for example, linearized as vectors.
  • output data that are provided by the at least one layer of the neural network are then also broken down into partial sections and linearized to form a vector.
  • the respective vectors of the partial sections can then be compared with the vectors of the output data patches stored in the database by means of a vector standard, for example the L2 standard.
  • a partial section of the output data is then replaced by the most similar or closest output data patch, based on the specific distances.
  • the output data are processed in the form of two-dimensional image data, with image sections of the two-dimensional image data being replaced piece by piece by means of the quilting.
  • activation maps (“activation maps”) are used, which represent the at least one layer of the neural network generated as output data, treated as two-dimensional image data or images.
  • the piece-by-piece replacement carried out for quilting takes place via, in particular rectangular, image sections that are replaced.
  • image details can, for example, have a size of 8 ⁇ 8 picture elements (pixels).
  • the output data patches also have a size of 8 ⁇ 8 picture elements each.
  • At least one item of identification information is obtained, the piece-wise replacement during quilting additionally taking into account the at least one identification information item received.
  • Identification information can also be referred to as a tag or label.
  • the entries in the database that is to say output data patches stored therein, can be marked with additional information so that they can be found more quickly later.
  • the database is indexed with the help of a hash function so that a search in the database can be accelerated, since a number of entries in the database is already reduced via a preselection before a comparison with the output data of the at least one layer of the neural network can be.
  • the identification information obtained is or is derived from context information of an environment in which the sensor data of the at least one sensor is or was recorded.
  • Context information can, for example, be a geographical coordinate (e.g. GPS coordinate), a time of day and / or season, a month, a weekday, weather (sun, rain, fog, snow, etc.) and / or a traffic context (city, country , Motorway, pedestrian zone, country road, main road, secondary road etc.).
  • the quality of the output data that is replaced piece-by-piece can be increased, since in the case of piece-by-piece replacement, a context in which the output data were generated by the at least one layer of the neural network can be taken into account.
  • output data patches can be marked (“tagged”) with at least one context information stored in the database.
  • a preselection can be made before the search in the database, so that only entries or output data patches that partially or completely match the at least one identification information are considered during the search or who have at least one context information. This means that the piece-by-piece replacement can be accelerated.
  • the channels can be replaced piece by piece, depending on one another. All channels can either be treated together as one datum and replaced piece by piece, whereby this replacement can take into account the spatial correlation between the channels, or the channels can be replaced independently of one another, with each channel being broken down individually and reconstructed piece by piece using output data patches from its own database becomes.
  • the neural network provides a function for the automated driving of a vehicle and / or for a driver assistance of the vehicle and / or for a surrounding area detection and / or surrounding area perception.
  • a vehicle is in particular a motor vehicle.
  • the vehicle can also be another land, air, water, rail or space vehicle.
  • the method can also be used in other areas, for example in industrial production, e.g. in production robots that have to process sensor data, or in medical robots.
  • a method for operating an assistance system for a vehicle is also provided, with at least one function for automated or partially automated driving of the vehicle and / or for perception of the surroundings being provided by means of the assistance system, with sensor data being recorded by means of at least one sensor, with one method is carried out according to one of the described embodiments, and wherein a final output of the neural network is fed to at least one control device of the vehicle.
  • the control device can, for example, provide an actuator control for an actuator of the vehicle or carry out further processing of the final output of the neural network.
  • an assistance system for a vehicle comprising at least one sensor set up to acquire sensor data, and a device according to one of the described embodiments, the assistance system being set up to perform at least one function for automated or partially automated driving of the vehicle and / or for Provide environment perception, the detected sensor data of the device and to feed a final output of the neural network provided by means of the device to at least one control device of the vehicle.
  • the assistance system can also include the control device.
  • a vehicle is also created, in particular, comprising at least one device according to one of the described embodiments or at least one assistance system according to one of the described embodiments.
  • FIG. 1 shows a schematic representation of an embodiment of the device for robustizing sensor data against adversarial disturbances and an embodiment of an assistance system
  • FIG. 2 shows a schematic representation to illustrate quilting (prior art).
  • FIG. 3 shows a schematic representation to illustrate an embodiment of the
  • the device 1 shows a schematic representation of an embodiment of the device 1 for robustizing a neural network 15 against adversarial disturbances.
  • the device 1 comprises a computing device 2 and a storage device 3.
  • the device 1 carries out the method described in this disclosure for robustizing the neural network 15 against adversarial disturbances.
  • the device 1 can in particular be used in a vehicle 50 in order to robustize a neural network 15 or a function provided by the neural network 15 against adversarial disturbances.
  • the vehicle 50 is in particular a motor vehicle.
  • the vehicle 50 can include an assistance system 200, the assistance system 200 including the device 1.
  • the assistance system 200 further comprises at least one sensor 51 and a control device 52.
  • the embodiment is shown by way of example in connection with a motor vehicle. In principle, however, the method and the device 1 as well as the assistance system 200 can also be used in other vehicles 50.
  • the neural network 15 in particular provides at least one function for automated or partially automated driving of the vehicle 50 and / or for perception of the surroundings.
  • the assistance system 200 in particular at least partially by means of the neural network 15, provides at least one function for automated or partially automated driving of the vehicle 50 and / or for perception of the surroundings.
  • Parts of the device 1, in particular the computing device 2 can be designed individually or collectively as a combination of hardware and software, for example as program code that is executed on a microcontroller or microprocessor.
  • the computing device 2 provides the neural network 15, that is to say it provides a functionality of the neural network 15 and in particular carries out the necessary arithmetic operations for this purpose.
  • a structure and parameters of the neural network 15 are stored in the memory device 3, for example.
  • the computing device 2 can only access a neural network 15 provided in some other way.
  • Acquired sensor data 20 of sensor 51 for example a camera or a lidar sensor of vehicle 50, are fed to computing device 2.
  • the computing device 2 receives the acquired sensor data 20 and feeds them to the neural network 15 as input data. Furthermore, the computing device 2 replaces output data of at least one layer of the neural network 15 piece by piece by means of quilting. The output data replaced piece by piece are then fed as input data to at least one subsequent layer of the neural network 15.
  • a final output 30 of the neural network 15 is output by the computing device 2, for example in the form of a digital data packet.
  • the final output 30 is fed, for example, to the control device 52 of the assistance system 200 or of the vehicle 50, which, for example, starting from the final output 30, controls or regulates a longitudinal and / or lateral guidance of the vehicle 50.
  • the output data replaced piece by piece have the same format as the (original) output data, so that it is possible to insert the method or the device 1 into already existing applications of neural networks 15 and use them.
  • a database 40 with output data patches 60 is provided for quilting, the output data patches 60 being or having been generated on the basis of output data of the at least one layer of the neural network 15, which were obtained with the aid of undisturbed input data.
  • the undisturbed input data are based, for example, on trustworthy training data with which the neural network 15 was trained.
  • the identification information 10 is fed to the computing device 2, for example, and can be used to preselect output data patches 60 of the database 40 used in quilting, so that the quilting can be accelerated.
  • the identification information 10 obtained is or is derived from context information 11 of an environment in which the sensor data 20 of the sensor 51 are or have been recorded.
  • Context information can, for example, be a geographical coordinate (e.g. GPS coordinate), a time of day and / or season, a month, a weekday, weather (sun, rain, fog, snow, etc.) and / or a traffic context (city, country , Motorway, pedestrian zone, country road, main road, secondary road etc.).
  • the context information 11 can, for example, be recorded by means of a context sensor system (not shown) of the vehicle 50 set up for this purpose (e.g. rain sensor, temperature sensor, etc.), but can also be provided by a controller of the vehicle 50 and, for example, via a controller area network (CAN) Bus can be called up and / or provided (e.g. vehicle speed, vehicle orientation, etc.).
  • a context sensor system not shown
  • CAN controller area network
  • FIG. 2 shows a schematic representation to clarify quilting from the prior art using the example of a camera image 22.
  • Sensor data 20, in the present case a camera image 22 are divided into partial sections 23.
  • a sensor data patch 61 in a database 40 is searched for a sensor data patch 61 in a database 40 as part of a quilting step 100, which has the smallest distance to the respective partial section 23 in terms of a distance.
  • a sensor data patch 61 is an image section which has the size of the partial sections 23, that is to say the same number of picture elements (pixels).
  • the distance measure is, for example, the L2 standard, which is applied to vectors that have been generated by linearizing the partial sections 23 or image sections.
  • each partial section 23 or image section is then replaced by the respective sensor data patch 61 with the smallest distance therefrom. It can be provided here that a minimum distance must be maintained. In this way, all partial sections 23 or image sections are replaced by sensor data patches 61 from database 40. Replaced partial sections 24 are created which, taken together, form the replaced sensor data 21 or a replaced camera image 25.
  • FIG. 3 shows a schematic illustration to clarify an embodiment of the method for robustizing a neural network 15 against adversarial disturbances.
  • the neural network 15 comprises several convolutional layers 16-x and fully connected layers 17-x.
  • Sensor data 20 recorded as input data, for example a camera image 22, are fed to the neural network 15.
  • the last convolution layer 16-4 supplies an activation map 19 as output data 18, which can also be referred to as a feature map and in particular can be understood as images with many image channels (i.e. filter channels).
  • the output data 18 or the activation card 19 are replaced piece by piece in a quilting step 100 by means of quilting.
  • the quilting takes place here in principle in the same way as was described in connection with FIG. 2, with the difference that it is not the sensor data 20 that is replaced piece by piece by means of quilting, but rather the output data 18. There is therefore an intervention in a data flow within the neural network 15.
  • the quilting takes place in that partial sections 23 of the output data 18, that is to say image sections of the images of the Activation card 19 can be replaced by output data patches 60 which, with regard to a distance measure, have the smallest distance from the respective partial sections 23 or image sections.
  • the output data patches 60 are stored in a database 40 and are retrieved from this. Since, in particular, several filter channels are included in the activation card 19, the quilting step 100 can also be referred to as multi-channel quilting.
  • replaced partial sections 24 or replaced image sections are available as replaced output data 28 or replaced activation card 29.
  • the replaced output data 28 or the replaced activation card 29 are fed to a subsequent layer 17-1 as input data.
  • an influence or an effect of an adverse disturbance is eliminated or at least reduced compared to the original output data 18 or the original activation card 19.
  • the neural network 15 provides a final output 30 which can contain, for example, object recognition or semantic segmentation on the acquired sensor data 20.
  • the neural network 15 provides a function for automated driving of a vehicle and / or for driver assistance of the vehicle and / or for environment detection and / or environment perception.
  • the final output 30 can, for example, be fed to a control device of the vehicle which, for example, controls or regulates a longitudinal and / or lateral guidance of the vehicle, plans a trajectory or carries out a higher-quality evaluation of the final output 30.
  • the method is shown by way of example for the output data 18 of a single layer 16-4 of the neural network 15. However, it can be provided that the method is carried out for further layers 16-x, 17-x. If the output data of several layers 16-x, 17-x of the neural network 15 are replaced piece by piece by means of quilting, output data patches 60 generated or provided individually for each of the layers 16-x, 17-x are used.
  • the database 40 includes, in particular, output data patches 60 for each individual layer.
  • the method can be embedded in a method for operating an assistance system.
  • LIST OF REFERENCE NUMERALS Device Computing device Storage device Identification information
  • Context information Neural network -x
  • Convolution layer -x Completely connected layer
  • Output data Activation card Sensor data Replaced sensor data
  • Camera image Partial section Replaced partial section Replaced camera image
  • Replaced output data Replaced activation card
  • Final output database Vehicle sensor control device
  • Output data patches Sensor data patch 0 Quilting step 0 Assistance system

Abstract

Die Erfindung betrifft ein Verfahren zum Robustifizieren eines Neuronalen Netzes (15) gegen adversariale Störungen, wobei dem Neuronalen Netz (15) erfasste Sensordaten (20) mindestens eines Sensors (51) als Eingangsdaten zugeführt werden, wobei Ausgabedaten (18) mindestens einer Schicht (16-x,17-x) des Neuronalen Netzes (15) mittels Quilting stückweise ersetzt werden, und wobei die stückweise ersetzten Ausgabedaten (28) als Eingangsdaten mindestens einer nachfolgenden Schicht (16-x,17-x) des Neuronalen Netzes (15) zugeführt werden. Ferner betrifft die Erfindung eine Vorrichtung (1) zum Robustifizieren eines Neuronalen Netzes (15) gegen adversariale Störungen, ein Verfahren zum Betreiben eines Assistenzsystems (200) für ein Fahrzeug (60) und ein Assistenzsystem (200) für ein Fahrzeug (50) sowie ein Fahrzeug (50), ein Computerprogramm und ein Datenträgersignal.

Description

Beschreibung
Verfahren und Vorrichtung zum Robustifizieren eines Neuronalen Netzes gegen adversariale
Störungen
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Robustifizieren eines Neuronalen Netzes gegen adversariale Störungen. Ferner betrifft die Erfindung ein Verfahren zum Betreiben eines Assistenzsystems für ein Fahrzeug und ein Assistenzsystem für ein Fahrzeug sowie ein Fahrzeug, ein Computerprogramm und ein Datenträgersignal.
Maschinelles Lernen, beispielsweise auf Grundlage von Neuronalen Netzen, hat großes Potenzial für eine Anwendung in modernen Fahrerassistenzsystemen und automatisiert fahrenden Kraftfahrzeugen. Auf tiefen Neuronalen Netzen basierende Funktionen verarbeiten hierbei Sensordaten (zum Beispiel von Kameras, Radar- oder Lidarsensoren), um hieraus relevante Informationen abzuleiten. Diese Informationen umfassen zum Beispiel eine Art und eine Position von Objekten in einem Umfeld des Kraftfahrzeugs, ein Verhalten der Objekte oder eine Fahrbahngeometrie oder -topologie.
Unter den Neuronalen Netzen haben sich insbesondere Faltungsnetze (engl. Convolutional Neural Networks, CNN) als besonders geeignet für Anwendungen in der Bildverarbeitung erwiesen. Faltungsnetze extrahieren in unüberwachter Form stufenweise verschiedene hochwertige Merkmale aus Eingangsdaten (z.B. Bilddaten). Das Faltungsnetz entwickelt hierbei während einer Trainingsphase eigenständig Merkmalskarten basierend auf Filterkanälen, die die Eingangsdaten lokal verarbeiten, um hierdurch lokale Eigenschaften abzuleiten. Diese Merkmalskarten werden dann erneut von weiteren Filterkanälen verarbeitet, die daraus höherwertigere Merkmalskarten ableiten. Auf Grundlage dieser derart aus den Eingangsdaten verdichteten Informationen leitet das tiefe Neuronale Netz schließlich seine Entscheidung ab und stellt diese als Ausgabedaten bereit.
Während Faltungsnetze klassische Ansätze an funktionaler Genauigkeit übertreffen, besitzen diese jedoch auch Nachteile. So können beispielsweise auf adversarialen Störungen in den Sensordaten/Eingangsdaten basierende Angriffe dazu führen, dass trotz eines semantisch nicht veränderten Inhalts in den erfassten Sensordaten eine Fehlklassifizierung bzw. eine falsche semantische Segmentierung oder Objektdetektion erfolgt. Aus Chuan Guo et al. , Countering Adversarial Images Using Input Transformations, arXiv: 1711.00117v3 [cs.CV], 25. Jan. 2018, https://arxiv.org/pdf/1711.00117.pdf, ist ein Quilting-
Verfahren zum Beseitigen von adversarialen Störungen in Bilddaten bekannt.
Der Erfindung liegt die Aufgabe zu Grunde, ein Verfahren und eine Vorrichtung zum Robustifizieren eines Neuronalen Netzes gegen adversariale Störungen zu schaffen.
Die Aufgabe wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des Patentanspruchs 1 und eine Vorrichtung mit den Merkmalen des Patentanspruchs 9 gelöst. Vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.
Insbesondere wird ein Verfahren zum Robustifizieren eines Neuronalen Netzes gegen adversariale Störungen zur Verfügung gestellt, wobei dem Neuronalen Netz erfasste Sensordaten mindestens eines Sensors als Eingangsdaten zugeführt werden, wobei Ausgabedaten mindestens einer Schicht des Neuronalen Netzes mittels Quilting stückweise ersetzt werden, und wobei die stückweise ersetzten Ausgabedaten als Eingangsdaten mindestens einer nachfolgenden Schicht des Neuronalen Netzes zugeführt werden.
Ferner wird insbesondere eine Vorrichtung zum Robustifizieren eines Neuronalen Netzes gegen adversariale Störungen geschaffen, umfassend eine Recheneinrichtung, wobei die Recheneinrichtung dazu eingerichtet ist, ein Neuronales Netz bereitzustellen oder auf ein bereitgestelltes Neuronales Netz zuzugreifen, erfasste Sensordaten mindestens eines Sensors zu empfangen und dem Neuronalen Netz als Eingangsdaten zuzuführen, Ausgabedaten mindestens einer Schicht des Neuronalen Netzes mittels Quilting stückweise zu ersetzen, und die stückweise ersetzten Ausgabedaten als Eingangsdaten mindestens einer nachfolgenden Schicht des Neuronalen Netzes zuzuführen.
Das Verfahren und die Vorrichtung ermöglichen es, eine Wirkung von in den erfassten Sensordaten potentiell enthaltenen adversarialen Störungen auf eine Endausgabe des Neuronalen Netzes zu beseitigen oder zumindest zu verringern. Das Neuronale Netz bzw. eine Funktion des Neuronalen Netzes wird hierdurch gegen adversariale Störungen robustifiziert. Hierzu werden die Ausgabedaten mindestens einer Schicht des Neuronalen Netzes mittels Quilting stückweise ersetzt. Bei der Schicht handelt es sich insbesondere um eine innenliegende Schicht des Neuronalen Netzes. Die stückweise ersetzten Ausgabedaten werden mindestens einer nachfolgenden Schicht des Neuronalen Netzes zugeführt. Eine Wirkung von adversarialen Störungen auf einen Datenfluss innerhalb des Neuronalen Netzes kann hierdurch beseitigt oder zumindest verringert werden, sodass eine Wirkung auf die Endausgabe des Neuronalen Netzes beseitigt oder zumindest verringert ist.
Ein Vorteil des Verfahrens und der Vorrichtung ist, dass die Robustifizierung insbesondere unabhängig von einer konkreten Ausgestaltung einer in den Sensordaten enthaltenen adversarialen Störung ist, da das stückweise Ersetzen mittels Quilting unabhängig von einem Vorliegen einer adversarialen Störung und insbesondere unabhängig von einer Art der adversarialen Störung erfolgt. Ein weiterer Vorteil ist, dass das Verfahren und die Vorrichtung auf einfache Weise in bereits bestehende Neuronale Netze bzw. hiermit bereitgestellte Kl- Funktionen integriert werden kann. Eine Struktur des Neuronalen Netzes muss nicht angepasst werden, es müssen lediglich die Ausgabedaten der mindestens einen Schicht des Neuronalen Netzes mittels Quilting stückweise ersetzt bzw. ausgetauscht werden. Ferner muss insbesondere auch eine Trainingsphase des Neuronalen Netzes nicht angepasst oder wiederholt werden. Hierdurch können trotz der erzielten Robustifizierung Aufwand und Kosten eingespart werden.
Die Ausgabedaten umfassen insbesondere Aktivierungen der mindestens einen Schicht des Neuronalen Netzes. Hierbei liegen die Aktivierungen insbesondere in Form einer Aktivierungskarte der Schicht vor. Die Aktivierungskarte kann auch eine Merkmalskarte einer als Faltungsschicht ausgebildeten Schicht des Neuronalen Netzes sein.
Das Quilting umfasst insbesondere das stückweise Ersetzen von Ausgabedaten, welches auch als stückweise Rekonstruktion der Ausgabedaten bezeichnet werden kann. Die Ausgabedaten werden hierzu in mehrere Teilausschnitte unterteilt. Im Falle von zweidimensionalen Ausgabedaten (z.B. in Form von Aktivierungskarten) werden hierzu kleine, insbesondere rechteckige Teilausschnitte (auch als Patches bezeichnet) definiert. Die einzelnen Teilausschnitte werden mit Teilausschnitten, nachfolgend als Ausgabedatenpatches bezeichnet, verglichen, die beispielsweise in einer Datenbank hinterlegt sind. Der Vergleich erfolgt auf Grundlage eines Abstandsmaßes, welches beispielsweise über einen euklidischen Abstand auf Bildelementvektoren definiert ist. Hierzu wird ein Teilausschnitt als Vektor linearisiert. Das Bestimmen eines Abstands erfolgt dann über eine Vektornorm, beispielsweise über die L2-Norm. Zum Quilting werden die Teilausschnitte jeweils durch den nächstliegenden bzw. ähnlichsten Ausgabedatenpatch aus der Datenbank ersetzt. Es kann hierbei vorgesehen sein, dass ein Mindestabstand eingehalten werden muss bzw. dass zumindest keine Identität zwischen dem Teilausschnitt aus den Ausgabedaten und dem Ausgabedatenpatch vorliegen darf. Haben die Ausgabedaten eine andere Form bzw. ein anderes Format, so erfolgt das stückweise Ersetzen in analoger Weise.
Die mindestens eine Schicht kann prinzipiell jede Schicht in dem Neuronalen Netz sein. Es kann auch vorgesehen sein, dass Ausgabedaten von mehreren Schichten des Neuronalen Netzes jeweils mittels Quilting stückweise ersetzt werden. Hierbei werden für die Ausgabedaten jeder der Schichten insbesondere jeweils schichtindividuell erzeugte und bereitgestellte Ausgabedatenpatches verwendet. Die mindestens eine Schicht ist insbesondere eine innenliegende Schicht des Neuronalen Netzes.
Die Sensordaten des mindestens einen Sensors können prinzipiell eindimensional oder mehrdimensional, insbesondere zweidimensional, sein. Beispielsweise können die Sensordaten zweidimensionale Kamerabilder einer Kamera und/oder zweidimensionale oder dreidimensionale Lidardaten eines Lidar- oder Radarsensors sein. Ein Sensor kann insbesondere eine Kamera, ein Lidarsensor, ein Radarsensor, ein Ultraschallsensor oder ein sonstiger zur Umfelderfassung geeigneter Sensor sein.
Eine adversariale Störung (engl adversarial perturbation) ist insbesondere eine gezielt vorgenommene Störung der, beispielsweise in Form von Sensordaten bereitgestellten, Eingangsdaten eines Neuronalen Netzes, bei der ein semantischer Inhalt in den Eingangsdaten zwar nicht verändert wird, die Störung jedoch dazu führt, dass das Neuronale Netz ein falsches Ergebnis inferiert, das heißt beispielsweise eine Fehlklassifikation oder eine falsche semantische Segmentierung der Eingangsdaten oder eine falsche Detektion oder Lokalisierung von Objekten darin vornimmt.
Ein Neuronales Netz ist insbesondere ein tiefes Neuronales Netz, insbesondere ein Faltungsnetz (engl. Convolutional Neural Network, CNN). Das Neuronale Netz ist beispielsweise auf eine bestimmte Wahrnehmungsfunktion trainiert, beispielsweise auf eine Wahrnehmung von Fußgängern oder anderen Objekten in erfassten Kamerabildern.
Das Verfahren und die Vorrichtung werden insbesondere auf ein (vollständig) trainiertes Neuronales Netz angewendet.
Das Verfahren kann als computerimplementiertes Verfahren ausgeführt werden. Insbesondere kann das Verfahren mittels einer Datenverarbeitungseinrichtung ausgeführt werden. Die Datenverarbeitungseinrichtung umfasst insbesondere mindestens eine Recheneinrichtung und mindestens eine Speichereinrichtung.
Es wird insbesondere auch ein Computerprogramm geschaffen, umfassend Befehle, die bei der Ausführung des Computerprogramms durch einen Computer diesen veranlassen, die Verfahrensschritte des offenbarten Verfahrens gemäß einer beliebigen der beschriebenen Ausführungsformen auszuführen.
Darüber hinaus wird insbesondere auch ein Datenträgersignal geschaffen, das das vorgenannte Computerprogramm überträgt.
Es kann vorgesehen sein, dass das Verfahren ein Erfassen der Sensordaten mittels des mindestens einen Sensors umfasst.
Es kann ferner vorgesehen sein, dass eine Endausgabe des Neuronalen Netzes mindestens einer Steuereinrichtung, insbesondere eines Fahrzeugs, zugeführt wird. Die Steuereinrichtung kann beispielsweise eine Funktion für das automatisierte Fahren eines Fahrzeugs und/oder für eine Fahrerassistenz des Fahrzeugs und/oder für eine Umfelderfassung und/oder Umfeldwahrnehmung bereitstellen. Die Steuereinrichtung kann beispielsweise eine Längs- und Querführung des Fahrzeugs steuern oder regeln. Prinzipiell können das Verfahren und die Vorrichtung jedoch auch in anderen Anwendungsgebieten eingesetzt werden, beispielsweise in der industriellen Fertigung oder bei medizinischen Robotern.
Ein Fahrzeug ist insbesondere ein Kraftfahrzeug. Grundsätzlich kann ein Fahrzeug jedoch auch ein anderes Land-, Schienen-, Wasser-, Luft- oder Raumfahrzeug sein, beispielsweise eine Drohne oder ein Lufttaxi.
Teile der Vorrichtung, insbesondere die Recheneinrichtung, können einzeln oder zusammengefasst als eine Kombination von Hardware und Software ausgebildet sein, beispielsweise als Programmcode, der auf einem Mikrocontroller oder Mikroprozessor ausgeführt wird. Es kann jedoch auch vorgesehen sein, dass Teile einzeln oder zusammengefasst als anwendungsspezifische integrierte Schaltung (ASIC) ausgebildet sind.
In einer Ausführungsform ist vorgesehen, dass das Neuronale Netz mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren eines Fahrzeugs und/oder zur Umfeldwahrnehmung bereitstellt, wobei eine Endausgabe des Neuronalen Netzes mindestens einer Steuereinrichtung des Fahrzeugs zugeführt wird. Die Steuereinrichtung des Fahrzeugs bekommt hierdurch zuverlässigere und sicherere Eingangsdaten zugeführt, sodass eine von der Steuereinrichtung bereitgestellte Funktion ebenfalls zuverlässiger und sicherer bereitgestellt werden kann. Die Steuereinrichtung kann beispielsweise eine Aktoriksteuerung für eine Aktorik des Fahrzeugs bereitstellen oder eine (höherwertige) Weiterverarbeitung der Endausgabe des Neuronalen Netzes durchführen.
In einer Ausführungsform ist vorgesehen, dass zum Quilting eine Datenbank mit Ausgabedatenpatches bereitgestellt wird, wobei die Ausgabedaten patches auf Grundlage von Ausgabedaten der mindestens einen Schicht des Neuronalen Netzes erzeugt werden oder erzeugt wurden, welche mit Hilfe von ungestörten Eingangsdaten erhalten wurden. Hierdurch können adversariale Störungen in den Ausgabedaten der mindestens einen Schicht des Neuronalen Netzes sicher entfernt werden, ohne dass eine in den Ausgabedaten enthaltene inhaltliche bzw. semantische Information verloren geht. Die ungestörten Eingangsdaten werden insbesondere derart ausgewählt und zusammengestellt, dass diese mit Sicherheit oder zumindest mit erhöhter Wahrscheinlichkeit keine adversarialen Störungen aufweisen. Die ausgehend von den ungestörten Eingangsdaten von der mindestens einen Schicht des Neuronalen Netzes inferierten Ausgabedaten werden dann in Teilausschnitte zerlegt, wobei jeder Teilausschnitt einen Ausgabedatenpatch bildet. Eine Größe der Teilausschnitte wird hierbei in Abhängigkeit eines konkreten Anwendungsszenarios des Verfahrens und der Vorrichtung gewählt. Die auf diese Weise erzeugten Ausgabedatenpatches werden in der Datenbank hinterlegt. Die Datenbank wird beispielsweise mittels einer Speichereinrichtung bereitgestellt, auf die die Recheneinrichtung zugreifen kann. Die Ausgabedatenpatches können in der Datenbank beispielsweise linearisiert als Vektoren hinterlegt sein. Beim Anwenden des Verfahrens bzw. beim Quilting werden Ausgabedaten, die von der mindestens einen Schicht des Neuronalen Netzes bereitgestellt werden, dann ebenfalls in Teilausschnitte zerlegt und zu einem Vektor linearisiert. Die jeweiligen Vektoren der Teilausschnitte können dann mittels einer Vektornorm, beispielsweise der L2-Norm, mit den in der Datenbank hinterlegten Vektoren der Ausgabedatenpatches verglichen werden. Ein Teilausschnitt der Ausgabedaten wird dann ausgehend von den bestimmten Abständen durch das jeweils ähnlichste bzw. nächstliegende Ausgabedatenpatch ersetzt.
In einer Ausführungsform ist vorgesehen, dass beim Quilting die Ausgabedaten in Form von zweidimensionalen Bilddaten verarbeitet werden, wobei Bildausschnitte der zweidimensionalen Bilddaten mittels des Quiltings stückweise ersetzt werden. Insbesondere werden hierbei Aktivierungskarten („activation maps“), die die mindestens eine Schicht des Neuronalen Netzes als Ausgabedaten erzeugt, als zweidimensionale Bilddaten bzw. Bilder behandelt. Das zum Quilting durchgeführte stückweise Ersetzen erfolgt über, insbesondere rechteckige, Bildausschnitte, die ersetzt werden. Diese Bildausschnitte können beispielsweise eine Größe von 8x8 Bildelementen (Pixeln) aufweisen. Die Ausgabedatenpatches weisen in diesem Beispiel ebenfalls eine Größe von jeweils 8x8 Bildelementen auf.
In einer Ausführungsform ist vorgesehen, dass mindestens eine Kennzeichnungsinformation erhalten wird, wobei das stückweise Ersetzen beim Quilting zusätzlich unter Berücksichtigung der mindestens einen erhaltenen Kennzeichnungsinformation erfolgt. Eine Kennzeichnungsinformation kann auch als Tag oder Label bezeichnet werden. Hierdurch können beispielsweise die Einträge in der Datenbank, das heißt darin hinterlegte Ausgabedatenpatches, mit zusätzlichen Informationen markiert werden, sodass diese später schneller aufgefunden werden können. Insbesondere kann vorgesehen sein, dass die Datenbank mit Hilfe einer Hashfunktion indiziert wird, sodass eine Suche in der Datenbank beschleunigt werden kann, da eine Anzahl von Einträgen der Datenbank bereits vor einem Vergleich mit den Ausgabedaten der mindestens einen Schicht des Neuronalen Netzes über eine Vorauswahl reduziert werden kann.
In einer weiterbildenden Ausführungsform ist vorgesehen, dass die erhaltene Kennzeichnungsinformation von einer Kontextinformation eines Umfelds, in dem die Sensordaten des mindestens einen Sensors erfasst werden oder erfasst wurden, abgeleitet wird oder abgeleitet ist. Eine Kontextinformation kann beispielsweise eine geographische Koordinate (z.B. GPS-Koordinate), eine Tages- und/oder Jahreszeit, einen Monat, einen Wochentag, eine Witterung (Sonne, Regen, Nebel, Schnee etc.) und/oder ein Verkehrskontext (Stadt, Land, Autobahn, Fußgängerzone, Landstraße, Hauptstraße, Nebenstraße etc.) umfassen. Hierdurch kann zum einen eine Qualität der stückweise ersetzten Ausgabedaten erhöht werden, da beim stückweise Ersetzen ein Kontext, in dem die Ausgabedaten von der mindestens einen Schicht des Neuronalen Netzes erzeugt wurden, berücksichtigt werden kann. Insbesondere können Ausgabedatenpatches markiert („getaggt“) mit mindestens einer Kontextinformation in der Datenbank hinterlegt sein. In Abhängigkeit der mindestens einen erhaltenen Kennzeichnungsinformation bzw. der mindestens einen Kontextinformation kann zum anderen vor dem Suchen in der Datenbank eine Vorauswahl getroffen werden, sodass beim Suchen nur noch Einträge bzw. Ausgabedatenpatches berücksichtigt werden, die eine teilweise oder vollständige Übereinstimmung mit der mindestens einen Kennzeichnungsinformation bzw. der mindestens einen Kontextinformation haben. Hierdurch kann das stückweise Ersetzen beschleunigt werden. Werden in einer Schicht des Neuronalen Netzes viele Merkmalskarten mit mehreren Kanälen ausgegeben, so kann das stückweise Ersetzen der Kanäle abhängig voneinander erfolgen. Hierbei können alle Kanäle entweder zusammen als ein Datum behandelt und stückweise ersetzt werden, wobei dieses Ersetzen die räumliche Korrelation zwischen den Kanälen berücksichtigen kann, oder die Kanäle können unabhängig voneinander ersetzt werden, wobei jeder Kanal einzeln zerlegt und stückweise durch Ausgabedatenpatches aus einer eigenen Datenbank rekonstruiert wird.
In einer Ausführungsform ist vorgesehen, dass das Neuronale Netz eine Funktion für das automatisierte Fahren eines Fahrzeugs und/oder für eine Fahrerassistenz des Fahrzeugs und/oder für eine Umfelderfassung und/oder Umfeldwahrnehmung bereitstellt. Ein Fahrzeug ist insbesondere ein Kraftfahrzeug. Prinzipiell kann das Fahrzeug jedoch auch ein anderes Land-, Luft-, Wasser-, Schienen- oder Raumfahrzeug sein. Das Verfahren kann prinzipiell jedoch auch in anderen Bereichen eingesetzt werden, beispielsweise in der industriellen Fertigung, z.B. bei Fertigungsrobotern, die Sensordaten verarbeiten müssen, oder bei medizinischen Robotern.
Merkmale zur Ausgestaltung der Vorrichtung ergeben sich aus der Beschreibung von Ausgestaltungen des Verfahrens. Die Vorteile der Vorrichtung sind hierbei jeweils die gleichen wie bei den Ausgestaltungen des Verfahrens.
Weiter wird auch ein Verfahren zum Betreiben eines Assistenzsystems für ein Fahrzeug zur Verfügung gestellt, wobei mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren des Fahrzeugs und/oder zur Umfeldwahrnehmung mittels des Assistenzsystems bereitgestellt wird, wobei Sensordaten mittels mindestens eines Sensors erfasst werden, wobei ein Verfahren gemäß einer der beschriebenen Ausführungsformen ausgeführt wird, und wobei eine Endausgabe des Neuronalen Netzes mindestens einer Steuereinrichtung des Fahrzeugs zugeführt wird. Die Steuereinrichtung kann beispielsweise eine Aktoriksteuerung für eine Aktorik des Fahrzeugs bereitstellen oder eine Weiterverarbeitung der Endausgabe des Neuronalen Netzes durchführen.
Ferner wird ein Assistenzsystem für ein Fahrzeug geschaffen, umfassend mindestens einen Sensor, eingerichtet zum Erfassen von Sensordaten, und eine Vorrichtung nach einer der beschriebenen Ausführungsformen, wobei das Assistenzsystem dazu eingerichtet ist, mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren des Fahrzeugs und/oder zur Umfeldwahrnehmung bereitzustellen, die erfassten Sensordaten der Vorrichtung zuzuführen, und eine Endausgabe des mittels der Vorrichtung bereitgestellten Neuronalen Netzes mindestens einer Steuereinrichtung des Fahrzeugs zuzuführen. Das Assistenzsystem kann die Steuereinrichtung auch umfassen.
Darüber hinaus wird insbesondere auch ein Fahrzeug geschaffen, umfassend mindestens eine Vorrichtung nach einer der beschriebenen Ausführungsformen oder mindestens ein Assistenzsystem nach einer der beschriebenen Ausführungsformen.
Nachfolgend wird die Erfindung anhand bevorzugter Ausführungsbeispiele unter Bezugnahme auf die Figuren näher erläutert. Hierbei zeigen:
Fig. 1 eine schematische Darstellung einer Ausführungsform der Vorrichtung zum Robustifizieren von Sensordaten gegen adversariale Störungen und einer Ausführungsform eines Assistenzsystems;
Fig. 2 eine schematische Darstellung zur Verdeutlichung des Quilting (Stand der Technik);
Fig. 3 eine schematische Darstellung zur Verdeutlichung einer Ausführungsform des
Verfahrens zum Robustifizieren eines Neuronalen Netzes gegen adversariale Störungen.
In Fig. 1 ist eine schematische Darstellung einer Ausführungsform der Vorrichtung 1 zum Robustifizieren eines Neuronalen Netzes 15 gegen adversariale Störungen gezeigt. Die Vorrichtung 1 umfasst eine Recheneinrichtung 2 und eine Speichereinrichtung 3. Die Vorrichtung 1 führt das in dieser Offenbarung beschriebene Verfahren zum Robustifizieren des Neuronalen Netzes 15 gegen adversariale Störungen aus.
Die Vorrichtung 1 kann insbesondere in einem Fahrzeug 50 zum Einsatz kommen, um ein Neuronalen Netz 15 bzw. eine von dem Neuronalen Netz 15 bereitgestellte Funktion gegen adversariale Störungen zu robustifizieren. Das Fahrzeug 50 ist insbesondere ein Kraftfahrzeug. Insbesondere kann das Fahrzeug 50 ein Assistenzsystem 200 umfassen, wobei das Assistenzsystem 200 die Vorrichtung 1 umfasst. Das Assistenzsystem 200 umfasst ferner mindestens einen Sensor 51 und eine Steuereinrichtung 52. Die Ausführungsform ist beispielhaft im Zusammenhang mit einem Kraftfahrzeug gezeigt. Grundsätzlich können das Verfahren und die Vorrichtung 1 sowie das Assistenzsystem 200 jedoch auch in anderen Fahrzeugen 50 eingesetzt werden.
Das Neuronale Netz 15 stellt insbesondere mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren des Fahrzeugs 50 und/oder zur Umfeldwahrnehmung bereit. Insbesondere stellt das Assistenzsystem 200, insbesondere zumindest teilweise mittels des Neuronalen Netzes 15, mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren des Fahrzeugs 50 und/oder zur Umfeldwahrnehmung bereit.
Teile der Vorrichtung 1, insbesondere die Recheneinrichtung 2, können einzeln oder zusammengefasst als eine Kombination von Hardware und Software ausgebildet sein, beispielsweise als Programmcode, der auf einem Mikrocontroller oder Mikroprozessor ausgeführt wird.
Die Recheneinrichtung 2 stellt das Neuronale Netz 15 bereit, das heißt es stellt eine Funktionalität des Neuronalen Netzes 15 bereit und führt hierzu insbesondere die notwendigen Rechenoperationen aus. Eine Struktur und Parameter des Neuronalen Netzes 15 sind beispielsweise in der Speichereinrichtung 3 hinterlegt. Alternativ kann die Recheneinrichtung 2 lediglich auf ein auf sonstige Weise bereitgestelltes Neuronales Netz 15 zugreifen. Der Recheneinrichtung 2 werden erfasste Sensordaten 20 des Sensors 51, beispielsweise einer Kamera oder eines Lidarsensors des Fahrzeugs 50, zugeführt.
Die Recheneinrichtung 2 empfängt die erfassten Sensordaten 20 und führt diese dem Neuronalen Netz 15 als Eingangsdaten zu. Ferner ersetzt die Recheneinrichtung 2 Ausgabedaten mindestens einer Schicht des Neuronalen Netzes 15 stückweise mittels Quilting. Die stückweise ersetzten Ausgabedaten werden anschließend als Eingangsdaten mindestens einer nachfolgenden Schicht des Neuronalen Netzes 15 zugeführt.
Eine Endausgabe 30 des Neuronalen Netzes 15 wird von der Recheneinrichtung 2 ausgegeben, beispielsweise in Form eines digitalen Datenpakets. Die Endausgabe 30 wird beispielsweise der Steuereinrichtung 52 des Assistenzsystems 200 bzw. des Fahrzeugs 50 zugeführt, welche beispielsweise ausgehend von der Endausgabe 30 eine Längs- und/oder eine Querführung des Fahrzeugs 50 steuert bzw. regelt. Die stückweise ersetzten Ausgabedaten haben nach dem Quilting bzw. nach dem stückweisen Ersetzen das gleiche Format wie die (ursprünglichen) Ausgabedaten, sodass es möglich ist, das Verfahren bzw. die Vorrichtung 1 in bereits bestehende Anwendungen von Neuronalen Netzen 15 einzufügen und zu verwenden.
Insbesondere ist vorgesehen, dass zum Quilting eine Datenbank 40 mit Ausgabedatenpatches 60 bereitgestellt wird, wobei die Ausgabedatenpatches 60 auf Grundlage von Ausgabedaten der mindestens einen Schicht des Neuronalen Netzes 15 erzeugt werden oder erzeugt wurden, welche mit Hilfe von ungestörten Eingangsdaten erhalten wurden. Die ungestörten Eingangsdaten basieren beispielsweise auf vertrauenswürdigen Trainingsdaten, mit denen das Neuronale Netz 15 trainiert wurde.
Es kann vorgesehen sein, dass mindestens eine Kennzeichnungsinformation 10 erhalten wird, wobei das stückweise Ersetzen beim Quilting zusätzlich unter Berücksichtigung der mindestens einen erhaltenen Kennzeichnungsinformation 10 erfolgt. Die Kennzeichnungsinformation 10 wird der Recheneinrichtung 2 beispielsweise zugeführt und kann zur Vorauswahl von beim Quilting verwendeten Ausgabedatenpatches 60 der Datenbank 40 verwendet werden, sodass das Quilting beschleunigt werden kann.
Weiterbildend kann vorgesehen sein, dass die erhaltene Kennzeichnungsinformation 10 von einer Kontextinformation 11 eines Umfelds, in dem die Sensordaten 20 des Sensors 51 erfasst werden oder erfasst wurden, abgeleitet wird oder abgeleitet ist. Eine Kontextinformation kann beispielsweise eine geographische Koordinate (z.B. GPS-Koordinate), eine Tages- und/oder Jahreszeit, einen Monat, einen Wochentag, eine Witterung (Sonne, Regen, Nebel, Schnee etc.) und/oder ein Verkehrskontext (Stadt, Land, Autobahn, Fußgängerzone, Landstraße, Hauptstraße, Nebenstraße etc.) umfassen.
Die Kontextinformation 11 kann beispielsweise mittels einer hierfür eingerichteten Kontextsensorik (nicht gezeigt) des Fahrzeugs 50 erfasst werden (z.B. Regensensor, Temperatursensor etc.), kann aber auch von einer Steuerung des Fahrzeugs 50 bereitgestellt und beispielsweise über einen Controller Area Network-(CAN)-Bus abgerufen und/oder bereitgestellt werden (z.B. Fahrzeuggeschwindigkeit, Fahrzeugausrichtung etc.).
In Fig. 2 ist eine schematische Darstellung zur Verdeutlichung des Quilting aus dem Stand der Technik am Beispiel eines Kamerabildes 22 gezeigt. Sensordaten 20, vorliegend ein Kamerabild 22, werden in Teilausschnitte 23 zerteilt. Für jeden der Teilausschnitte 23 (d.h. Bildausschnitt) des Kamerabildes 22 wird im Rahmen eines Quiltingschritts 100 in einer Datenbank 40 nach einem Sensordatenpatch 61 gesucht, das in Bezug auf ein Abstandsmaß den geringsten Abstand zu dem jeweiligen Teilausschnitt 23 aufweist. Ein Sensordatenpatch 61 ist vorliegend ein Bildausschnitt, der die Größe der Teilausschnitte 23, das heißt dieselbe Anzahl von Bildelementen (Pixeln), aufweist. Das Abstandsmaß ist beispielsweise die L2-Norm, die auf Vektoren angewandt wird, die durch Linearisierung der Teilausschnitte 23 bzw. Bildausschnitte erzeugt wurden. Im Quiltingschritt 100 wird dann jeder Teilausschnitt 23 bzw. Bildausschnitt durch das jeweilige Sensordatenpatch 61 mit dem jeweils hierzu kleinsten Abstand ersetzt. Es kann hierbei vorgesehen sein, dass ein Mindestabstand eingehalten werden muss. Auf diese Weise werden sämtliche Teilausschnitte 23 bzw. Bildausschnitte durch Sensordatenpatches 61 aus der Datenbank 40 ersetzt. Es entstehen ersetzte Teilausschnitte 24, die zusammengenommen die ersetzten Sensordaten 21 bzw. ein ersetztes Kamerabild 25 ausbilden.
In Fig. 3 ist eine schematische Darstellung zur Verdeutlichung einer Ausführungsform des Verfahrens zum Robustifizieren eines Neuronalen Netzes 15 gegen adversariale Störungen gezeigt.
Das Neuronale Netz 15 umfasst in dem gezeigten Beispiel mehrere Faltungsschichten 16-x (engl convolutional layers) und vollständig verbundene Schichten 17-x (engl fully connected layers).
Dem Neuronalen Netz 15 werden als Eingangsdaten erfasste Sensordaten 20, beispielsweise ein Kamerabild 22, zugeführt.
Die letzte Faltungsschicht 16-4 liefert als Ausgabedaten 18 eine Aktivierungskarte 19 (engl activation map), welche auch als Merkmalskarte bezeichnet werden kann und insbesondere als Bilder mit vielen Bildkanälen (d.h. Filterkanälen) aufgefasst werden kann. Die Ausgabedaten 18 bzw. die Aktivierungskarte 19 werden in einem Quiltingschritt 100 mittels Quilting stückweise ersetzt.
Das Quilting erfolgt hierbei prinzipiell auf die gleiche Weise, wie dies in Zusammenhang mit der Fig. 2 beschrieben wurde, mit dem Unterschied, dass nicht die Sensordaten 20 stückweise mittels Quilting ersetzt werden, sondern die Ausgabedaten 18. Es erfolgt also ein Eingriff in einen Datenfluss innerhalb des Neuronalen Netzes 15. Insbesondere erfolgt das Quilting, indem Teilausschnitte 23 der Ausgabedaten 18, das heißt Bildausschnitte der Bilder der Aktivierungskarte 19, durch Ausgabedatenpatches 60 ersetzt werden, welche bezüglich eines Abstandsmaßes den geringsten Abstand zu den jeweiligen Teilausschnitten 23 bzw. Bildausschnitten aufweisen. Die Ausgabedatenpatches 60 sind in einer Datenbank 40 hinterlegt und werden aus dieser abgerufen. Da insbesondere mehrere Filterkanäle von der Aktivierungskarte 19 umfasst sind, kann der Quiltingschritt 100 auch als Vielkanal-Quilting bezeichnet werden.
Nach dem stückweise Ersetzen mittels des Quilting stehen ersetzte Teilausschnitte 24 bzw. ersetzte Bildausschnitte als ersetzte Ausgabedaten 28 bzw. ersetzte Aktivierungskarte 29 zur Verfügung. Die ersetzten Ausgabedaten 28 bzw. die ersetzte Aktivierungskarte 29 werden einer nachfolgenden Schicht 17-1 als Eingangsdaten zugeführt. In den ersetzten Ausgabedaten 28 bzw. der ersetzten Aktivierungskarte 29 ist ein Einfluss bzw. eine Wirkung einer adversarialen Störung beseitigt oder zumindest gegenüber den ursprünglichen Ausgabedaten 18 bzw. der ursprünglichen Aktivierungskarte 19 verringert.
Das Neuronale Netz 15 stellt eine Endausgabe 30 bereit, welche beispielsweise eine Objekterkennung oder eine semantische Segmentierung auf den erfassten Sensordaten 20 beinhalten kann. Insbesondere ist vorgesehen, dass das Neuronale Netz 15 eine Funktion für das automatisierte Fahren eines Fahrzeugs und/oder für eine Fahrerassistenz des Fahrzeugs und/oder für eine Umfelderfassung und/oder Umfeldwahrnehmung bereitstellt.
Die Endausgabe 30 kann beispielsweise einer Steuereinrichtung des Fahrzeugs zugeführt werden, die beispielsweise eine Längs- und/oder Querführung des Fahrzeugs steuert oder regelt, eine Trajektorie plant oder eine höherwertige Auswertung der Endausgabe 30 durchführt.
Das Verfahren ist beispielhaft für die Ausgabedaten 18 einer einzigen Schicht 16-4 des Neuronalen Netzes 15 gezeigt. Es kann jedoch vorgesehen sein, dass das Verfahren für weitere Schichten 16-x, 17-x durchgeführt wird. Werden die Ausgabedaten mehrerer Schichten 16-x, 17-x des Neuronalen Netzes 15 mittels Quilting stückweise ersetzt, so werden insbesondere jeweils schichtindividuell für jede der Schichten 16-x, 17-x erzeugte bzw. bereitgestellte Ausgabedatenpatches 60 verwendet. Die Datenbank 40 umfasst hierfür insbesondere schichtindividuelle Ausgabedatenpatches 60.
Das Verfahren kann eingebettet sein in ein Verfahren zum Betreiben eines Assistenzsystems. Bezugszeichenliste Vorrichtung Recheneinrichtung Speichereinrichtung Kennzeichnungsinformation Kontextinformation Neuronales Netz -x Faltungsschicht -x vollständig verbundene Schicht Ausgabedaten Aktivierungskarte Sensordaten ersetzte Sensordaten Kamerabild Teilausschnitt ersetzter Teilausschnitt ersetztes Kamerabild ersetzte Ausgabedaten ersetzte Aktivierungskarte Endausgabe Datenbank Fahrzeug Sensor Steuereinrichtung Ausgabedatenpatches Sensordatenpatch 0 Quiltingschritt 0 Assistenzsystem

Claims

Patentansprüche
1. Verfahren zum Robustifizieren eines Neuronalen Netzes (15) gegen adversariale Störungen, wobei dem Neuronalen Netz (15) erfasste Sensordaten (20) mindestens eines Sensors (51) als Eingangsdaten zugeführt werden, wobei Ausgabedaten (18) mindestens einer Schicht (16-x,17-x) des Neuronalen Netzes (15) mittels Quilting stückweise ersetzt werden, und wobei die stückweise ersetzten Ausgabedaten (28) als Eingangsdaten mindestens einer nachfolgenden Schicht (16-x,17-x) des Neuronalen Netzes (15) zugeführt werden.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Neuronale Netz (15) mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren eines Fahrzeugs (50) und/oder zur Umfeldwahrnehmung bereitgestellt, wobei eine Endausgabe (30) des Neuronalen Netzes (15) mindestens einer Steuereinrichtung (52) des Fahrzeugs (50) zugeführt wird.
3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass zum Quilting eine Datenbank (40) mit Ausgabedatenpatches (60) bereitgestellt wird, wobei die Ausgabedatenpatches (60) auf Grundlage von Ausgabedaten (18) der mindestens einen Schicht (16-x,17-x) des Neuronalen Netzes (15) erzeugt werden oder erzeugt wurden, welche mit Hilfe von ungestörten Eingangsdaten erhalten wurden.
4. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass beim Quilting die Ausgabedaten (18) in Form von zweidimensionalen Bilddaten verarbeitet werden, wobei Bildausschnitte der zweidimensionalen Bilddaten mittels des Quiltings stückweise ersetzt werden.
5. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass mindestens eine Kennzeichnungsinformation (10) erhalten wird, wobei das stückweise Ersetzen beim Quilting zusätzlich unter Berücksichtigung der mindestens einen erhaltenen Kennzeichnungsinformation (10) erfolgt.
6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass die erhaltene Kennzeichnungsinformation (10) von einer Kontextinformation (11) eines Umfelds, in dem die Sensordaten (20) des mindestens einen Sensors (51) erfasst werden oder erfasst wurden, abgeleitet wird oder abgeleitet ist.
7. Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass das Neuronale Netz (15) eine Funktion für das automatisierte Fahren eines Fahrzeugs und/oder für eine Fahrerassistenz des Fahrzeugs und/oder für eine Umfelderfassung und/oder Umfeldwahrnehmung bereitstellt.
8. Verfahren zum Betreiben eines Assistenzsystems (200) für ein Fahrzeug (50), wobei mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren des Fahrzeugs (50) und/oder zur Umfeldwahrnehmung mittels des Assistenzsystems (200) bereitgestellt wird, wobei Sensordaten (20) mittels mindestens eines Sensors (51) erfasst werden, wobei ein Verfahren gemäß einem der Ansprüche 1 bis 7 ausgeführt wird, und wobei eine Endausgabe (30) des Neuronalen Netzes (15) mindestens einer Steuereinrichtung (52) des Fahrzeugs (50) zugeführt wird.
9. Vorrichtung (1) zum Robustifizieren eines Neuronalen Netzes (15) gegen adversariale Störungen, umfassend eine Recheneinrichtung (2), wobei die Recheneinrichtung (2) dazu eingerichtet ist, ein Neuronales Netz (15) bereitzustellen oder auf ein bereitgestelltes Neuronales Netz (15) zuzugreifen, erfasste Sensordaten (20) mindestens eines Sensors (51) zu empfangen und dem Neuronalen Netz (15) als Eingangsdaten zuzuführen, Ausgabedaten (18) mindestens einer Schicht (16-x,17-x) des Neuronalen Netzes (15) mittels Quilting stückweise zu ersetzen, und die stückweise ersetzten Ausgabedaten (28) als Eingangsdaten mindestens einer nachfolgenden Schicht (16-x,17-x) des Neuronalen Netzes (15) zuzuführen.
10. Assistenzsystem (200) für ein Fahrzeug (50), umfassend: mindestens einen Sensor (51), eingerichtet zum Erfassen von Sensordaten (20), und eine Vorrichtung (1) nach Anspruch 9, wobei das Assistenzsystem (200) dazu eingerichtet ist, mindestens eine Funktion zum automatisierten oder teilautomatisierten Fahren des Fahrzeugs (50) und/oder zur Umfeldwahrnehmung bereitzustellen, die erfassten Sensordaten (20) der Vorrichtung (1) zuzuführen, und eine Endausgabe (30) des mittels der Vorrichtung (1) bereitgestellten Neuronalen Netzes (15) mindestens einer Steuereinrichtung (52) des Fahrzeugs (50) zuzuführen.
11. Fahrzeug (50), umfassend mindestens eine Vorrichtung (1) nach Anspruch 9 oder mindestens ein Assistenzsystem nach Anspruch 10.
12. Computerprogramm, umfassend Befehle, die bei der Ausführung des Computerprogramms durch einen Computer diesen veranlassen, die Verfahrensschritte des Verfahrens nach einem beliebigen der Ansprüche 1 bis 8 auszuführen.
13. Datenträgersignal, das das Computerprogramm nach Anspruch 12 überträgt.
EP20829548.5A 2019-12-17 2020-12-10 Verfahren und vorrichtung zum robustifizieren eines neuronalen netzes gegen adversariale störungen Pending EP4078239A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102019219925.9A DE102019219925A1 (de) 2019-12-17 2019-12-17 Verfahren und Vorrichtung zum Robustifizieren eines Neuronalen Netzes gegen adversariale Störungen
PCT/EP2020/085651 WO2021122339A1 (de) 2019-12-17 2020-12-10 Verfahren und vorrichtung zum robustifizieren eines neuronalen netzes gegen adversariale störungen

Publications (1)

Publication Number Publication Date
EP4078239A1 true EP4078239A1 (de) 2022-10-26

Family

ID=74068255

Family Applications (1)

Application Number Title Priority Date Filing Date
EP20829548.5A Pending EP4078239A1 (de) 2019-12-17 2020-12-10 Verfahren und vorrichtung zum robustifizieren eines neuronalen netzes gegen adversariale störungen

Country Status (4)

Country Link
EP (1) EP4078239A1 (de)
CN (1) CN114787650A (de)
DE (1) DE102019219925A1 (de)
WO (1) WO2021122339A1 (de)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102022205084B3 (de) 2022-05-20 2023-10-12 Volkswagen Aktiengesellschaft Verfahren, Computerprogramm und Vorrichtung zur Umfeldwahrnehmung im Fahrzeug sowie entsprechendes Fahrzeug

Also Published As

Publication number Publication date
DE102019219925A1 (de) 2021-06-17
CN114787650A (zh) 2022-07-22
WO2021122339A1 (de) 2021-06-24

Similar Documents

Publication Publication Date Title
EP3213260B1 (de) Verfahren und vorrichtung zur lokalisierung eines fahrzeugs in seinem umfeld
EP3523168B1 (de) Verfahren und vorrichtung zur fahrdynamikregelung für ein kraftfahrzeug
DE102017105086A1 (de) Aktualisieren einer Landmarkenkarte
WO2020016385A1 (de) Verfahren und system zum bestimmen einer position eines fahrzeugs
DE102018216110A1 (de) Verfahren und Vorrichtung zum Bereitstellen eines Umfeldabbildes eines Umfeldes einer mobilen Einrichtung und Kraftfahrzeug mit einer solchen Vorrichtung
DE102012107886A1 (de) Verfahren zur elektronischen Erkennung von Verkehrszeichen
EP3789926A1 (de) Verfahren zum erkennen einer adversarialen störung in eingangsdaten eines neuronalen netzes
DE102019008093A1 (de) Verfahren zum Fusionieren von Sensordaten einer Vielzahl von Erfassungseinrichtungen mittels eines spärlichen Belegungsgitters, sowie Fahrerassistenzsystem
WO2020061603A1 (de) Verfahren und vorrichtung zur analyse eines sensordatenstroms sowie verfahren zum führen eines fahrzeugs
DE102016215249A1 (de) Verfahren und Vorrichtung zum Unterstützen eines Fahrerassistenzsystems in einem Kraftfahrzeug
EP4078238A1 (de) Verfahren und vorrichtung zum robustifizieren von sensordaten gegen adversariale störungen
DE102018113344A1 (de) Verfahren zum Lokalisieren eines Kraftfahrzeugs in einer Umgebung nach einer Lernfahrt; Steuereinrichtung sowie Fahrassistenzsystem
WO2021122339A1 (de) Verfahren und vorrichtung zum robustifizieren eines neuronalen netzes gegen adversariale störungen
DE102018133457A1 (de) Verfahren und System zum Bereitstellen von Umgebungsdaten
DE102018222202A1 (de) Verfahren und Vorrichtung zum Betreiben eines Maschinenlernmodells
DE102017128082A1 (de) Meta-Architektur-Design für ein CNN-Netzwerk
DE102016225631A1 (de) Verfahren und Vorrichtung zum Entfernen von zumindest einer Landmarkenposition einer Landmarke in einer Radarkarte
DE102019201690A1 (de) Verfahren und Assistenzsystem zur Umfeldüberwachung eines Ego-Fahrzeugs
EP4049186A1 (de) Verfahren zum robustifizieren eines neuronalen netzes gegen adversariale störungen
EP4078237A1 (de) Verfahren und vorrichtung zum erkennen einer entfremdung einer sensordatendomäne von einer referenzdatendomäne
DE102020200876B4 (de) Verfahren zum Verarbeiten von Sensordaten einer Sensorik eines Fahrzeugs
DE102020128952A1 (de) Verfahren und Assistenzeinrichtung zur zweistufigen bildbasierten Szenenerkennung und Kraftfahrzeug
DE112019004315T5 (de) Kartenerzeugungsvorrichtung und kartenerzeugungsverfahren
DE102020200875A1 (de) Verfahren zum Bereitstellen von Sensordaten durch eine Sensorik eines Fahrzeugs
DE102019207580A1 (de) Verfahren zum Betreiben eines tiefen Neuronalen Netzes

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20220718

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)