JP6731529B1 - 単一画素攻撃サンプルの生成方法、装置、設備及び記憶媒体 - Google Patents

Abstract

【課題】運行時間が短く、数字サンプル画像の１つの画素点を変更するだけで、ニューラルネットワークが数字画像を正確に認識する確率を大幅に低下させる、1ピクセル攻撃サンプルの生成方法を提供する。【解決手段】認識対象画像Ｘを取得して、認識対象画像Ｘの各画素点をトラバースし、各画素点ごとにＫ個の画素値をサンプリングし、それぞれ各数値のプリセットのニューラルネットワークＮにおける認識確率を算出して、認識確率が最も低いときの画素点の位置Ｐを取得し、画素点の位置Ｐでの各画素値をトラバースし、それぞれ各数値のプリセットのニューラルネットワークＮにおける認識確率を算出して、認識確率が最も低いときの画素値Ｖ’を取得し、認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に変更し、敵対標本Ｘ’を取得する。【選択図】図１

Description

本発明は画像認識技術分野に関し、特に単一画素攻撃サンプルの生成方法に関する。

画像認識と分類は現在のコンピュータ科学研究の重要分野であり、数字認識は画像認識の重要なブランチであり、コンピュータが０−９のアラビア数字をスマートに認識することを目的とする。金融市場化の急速な進展に伴い、手形取扱サービスは継続的に発展し、手形取扱量は日々増加し、手書きの数字はそれぞれが異なり、従来のＯＣＲ技術の認識正確性は高くなく、その為に多くの研究学者、企業はディープラーニングの方法を用い、数字認識のニューラルネットワークを構築することで数字を自動的に認識させている。

ディープラーニング、ニューラルネットワーク技術の急速な発展に伴って、ニューラルネットワークは、画像における小さな干渉により生成された敵対的サンプルを追加することで、ニューラルネットワーク分類器が完全に異なる認識結果を得ることになるという欠陥を露呈した。従って、ニューラルネットワーク向けの敵対的攻撃方法も徐々に学者の研究分野になっている。一般的には、元の画像とほとんど違いがない画像を生成し、該生成画像は敵対的サンプルと呼称され、このような敵対的サンプル画像はニューラルネットワークにエラーを発生させることができるが、元の画像と敵対的サンプル画像との違いを裸眼で観察しにくい。

現在、いくつかの数字認識のニューラルネットワーク向けの攻撃方法が存在する。従来の特許における最も近い技術は、勾配降下アイデアを参考にし、従来の畳み込みニューラルネットワークで敵対的サンプルを生成する「敵対的攻撃に基づくナンバープレート攻撃生成方法」（出願番号２０１８１０１８６２９１．６）であり、さらに、画像における１つの画素値を変えるだけで敵対的攻撃を実現することができるというより極端な敵対的攻撃方法であり、論文「Ｏｎｅ ｐｉｘｅｌ ａｔｔａｃｋ ｆｏｒ ｆｏｏｌｉｎｇ ｄｅｅｐ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」（Ｓｕ Ｊ，Ｖａｒｇａｓ Ｄ Ｖ，Ｋｏｕｉｃｈｉ Ｓ．Ｏｎｅ ｐｉｘｅｌ ａｔｔａｃｋ ｆｏｒ ｆｏｏｌｉｎｇ ｄｅｅｐ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ［Ｊ］．２０１７）においては、Ｓｕらは微分進化アルゴリズムを用い、各画像を反復的に修正してサブ画像を生成し、且つ攻撃効果が最も高いサブ画像を敵対的サンプルとして残し、ニューラルネットワークに対する攻撃を実現する。数字ニューラルネットワーク向けの単一画素攻撃は、すなわち元の画像サンプルにおける１つの画素の数値を修正することで、ニューラルネットワークが数字を正確に認識する確率を低減させる。最も簡単な方法はトラバーサル法であり、画像の全ての画素点の画素値（０〜２５５）をトラバーサルし、すなわちトラバーサルが各画素点を選択し、且つ該点の数値を０から２５５まで１つずつ数え上げ、各種の状況でニューラルネットワークが現在の数字を正確に認識する確率を記録し、全ての状況を数え上げた後にニューラルネットワークの認識正確率が最も低いサンプルを単一画素攻撃サンプルとして選択する。

上記敵対的サンプルを生成する技術においては、第１の技術は、ナンバープレート数字に対して敵対的サンプルを生成し、ニューラルネットワークに基づいて認識するナンバープレート分類器の分類精度を大幅に低減させるが、敵対的サンプルを生成する方法の作用主体がナンバープレートにおけるアラビア数字であり、これらの数字の規則性は非常に高く、一方、手書きのアラビア数字のランダム性は非常に高く、一定の規則を有する数字向けの敵対的サンプル生成方法は一般的な状況における数字の敵対的サンプルの生成に適用できない。

第２の技術は論文において使用された微分進化方法であり、該方法は主にカラー写真向けの敵対的サンプル生成を対象とし、且つ数字認識分野を対象とせず、且つアルゴリズムの複雑度が非常に高い。

第３の技術はトラバーサル数え上げによる方法で単一画素敵対的サンプルを効果的に生成することができるが、該方法は全ての画素点を数え上げる必要があり、且つ各画素点の数値は０から２５５まで数え上げる必要があり、計算複雑度が非常に高く、効率が低い。

中国特許出願公開第108446700号明細書

本発明の実施例の目的は単一画素攻撃サンプルの生成方法を提供することであり、該方法は、動作時間が短く、数字サンプル画像の１つの画素点を修正するだけで、ニューラルネットワークが数字画像を正確に認識する確率を大幅に低減させることができる。

上記目的を実現するために、本発明の実施例は単一画素攻撃サンプルの生成方法を提供しており、
認識対象画像Ｘを取得し、前記認識対象画像Ｘの各画素点をトラバーサルし、各画素点においてＫ（２５５≧Ｋ≧１）個の画素値をサンプリングし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素点の位置Ｐを得るステップと、
前記画素点の位置Ｐの各画素値をトラバーサルし、且つ各数値の前記予め設定したニューラルネットワークＮにおける認識確率をそれぞれ計算し、認識確率が最も低い時の画素値Ｖ’を得るステップと、
前記認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に修正し、敵対的サンプルＸ’を得るステップとを含む。

さらに、前記予め設定したニューラルネットワークＮは複数の数字サンプル画像を入力して、各数字を正確に認識するまで認識トレーニングを行い構築してなるものであり、
前記予め設定したニューラルネットワークＮは、入力した数字サンプル写真を認識し、且つ認識結果を出力することに用いられる。

さらに、前記認識結果はａｉであり、ａｉは確率が最大のものと対応する数字であり、０≦ｉ≦９である。

さらに、前記認識結果ａｉの確率はａ０＋ａ１＋ａ２＋ａ３＋ａ４＋ａ５＋ａ６＋ａ７＋ａ８＋ａ９＝１を満たす。

さらに、前記した各数値の予め設定したニューラルネットワークＮにおける認識確率をそれぞれ計算し、認識確率が最も低い時の画素点の位置Ｐを得るステップは、具体的には、
前記認識対象画像Ｘの画素はＭ＊Ｎ個であり、前記Ｍ＊Ｎ個の画素点をトラバーサルし、且つ各画素点においてＫ個の値をサンプリングし、Ｍ＊Ｎ＊Ｋ個の数値を得ることと、
それぞれ前記Ｍ＊Ｎ＊Ｋ個の数値を前記予め設定したニューラルネットワークＮに入力して認識し、Ｍ＊Ｎ＊Ｋ個の出力した認識結果を得ることと、
前記Ｍ＊Ｎ＊Ｋ個の出力した認識結果のうちの最も小さい認識結果ｂｉを取得し、且つ前記認識結果ｂｉに基づき、認識確率が最も低い時の画素点の位置Ｐを得ることとを含む。

さらに、前記Ｋ＝１０。

本発明は、さらに、位置確認モジュール、画素値確認モジュール及び敵対的サンプル生成モジュールを備える単一画素攻撃サンプル生成設備を提供しており、
前記位置確認モジュールは、認識対象画像Ｘを取得し、前記認識対象画像Ｘの各画素点をトラバーサルし、各画素点においてＫ（２５５≧Ｋ≧１）個の画素値をサンプリングし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素点の位置Ｐを得ることに用いられ、
前記画素値確認モジュールは、前記画素点の位置Ｐの各画素値をトラバーサルし、且つそれぞれ各数値の前記予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素値Ｖ’を得ることに用いられ、
前記敵対的サンプル生成モジュールは、前記認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に修正し、敵対的サンプルＸ’を得ることに用いられる。

好適には、前記位置確認モジュールは、画素個数確認ユニット、認識ユニット及び位置認識ユニットを備え、
前記画素個数確認ユニットは、前記認識対象画像Ｘの画素がＭ＊Ｎ個であり、前記Ｍ＊Ｎ個の画素点をトラバーサルし、且つ各画素点においてＫ個の値をサンプリングし、Ｍ＊Ｎ＊Ｋ個の数値を得ることに用いられ、
前記認識ユニットは、それぞれ前記Ｍ＊Ｎ＊Ｋ個の数値を前記予め設定したニューラルネットワークＮに入力して認識し、Ｍ＊Ｎ＊Ｋ個の出力した認識結果を得ることに用いられ、
前記位置認識ユニットは、前記Ｍ＊Ｎ＊Ｋ個の出力した認識結果のうちの最も小さい認識結果ｂｉを取得し、且つ前記認識結果ｂｉに基づき、認識確率が最も低い時の画素点の位置Ｐを得ることに用いられる。

本発明の他実施例は、単一画素攻撃サンプル生成設備を提供している。前記単一画素攻撃サンプル生成設備は、プロセッサ、メモリ及び前記メモリに記憶され且つ前記プロセッサにより実行されるように配置されるコンピュータプログラムを備え、前記プロセッサは前記コンピュータプログラムを実行する場合、上記発明の実施例に記載の単一画素攻撃サンプルの生成方法を実現する。

本発明の他実施例は記憶媒体を提供している。前記コンピュータ読み取り可能記憶媒体は記憶されるコンピュータプログラムを含み、前記コンピュータプログラムが起動する場合、前記コンピュータ読み取り可能記憶媒体の位置する設備が上記発明の実施例に記載の単一画素攻撃サンプルの生成方法を実行するように制御する。

従来技術に比べて、以下の有益な効果を有する。

本発明の実施例に係る単一画素攻撃サンプルの生成方法は、認識対象画像Ｘを取得し、認識対象画像Ｘの各画素点をトラバーサルし、各画素点においてＫ個の画素値をサンプリングし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素点の位置Ｐを得て、画素点の位置Ｐの各画素値をトラバーサルし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素値Ｖ’を得て、認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に修正し、敵対的サンプルＸ’を得るものであり、該方法は動作時間が短く、数字サンプル画像の１つの画素点を修正するだけで、ニューラルネットワークが数字画像を正確に認識する確率を大幅に低減させることができる。

は本発明に係る単一画素攻撃サンプルの生成方法の一実施例のフローチャートである。

は本発明に係る単一画素攻撃サンプルの生成方法の一実施例の全フローチャートである。

は本発明に係る単一画素攻撃サンプルの生成方法の一実施例の具体的なフローチャートである。

は本発明に係る単一画素攻撃サンプルの生成方法の一実施例の具体的なフローチャートである。

は本発明に係る単一画素攻撃サンプル生成装置の一実施例の構造模式図である。

以下、本発明の実施例における図面を参照しながら、本発明の実施例における技術案について明確且つ完全に説明する。無論、説明される実施例は本発明の実施例の単なる一部であり、実施例の全てではない。本発明の実施例に基づき、当業者が進歩性のある労働を必要とせずに得られる他の実施例は、いずれも本発明の保護範囲に属する。

図１に示すように、本発明の実施例は単一画素攻撃サンプルの生成方法を提供しており、ステップＳ１−Ｓ３を含む。

Ｓ１、認識対象画像Ｘを取得し、前記認識対象画像Ｘの各画素点をトラバーサルし、各画素点においてＫ（２５５≧Ｋ≧１）個の画素値をサンプリングし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素点の位置Ｐを得て、
本実施例においては、ステップＳ１は、具体的には、前記認識対象画像Ｘの画素がＭ＊Ｎ個であり、前記Ｍ＊Ｎ個の画素点をトラバーサルし、且つ各画素点においてＫ個の値をサンプリングし、Ｍ＊Ｎ＊Ｋ個の数値を得ることと、それぞれ前記Ｍ＊Ｎ＊Ｋ個の数値を前記予め設定したニューラルネットワークＮに入力して認識し、Ｍ＊Ｎ＊Ｋ個の出力した認識結果を得ることと、前記Ｍ＊Ｎ＊Ｋ個の出力した認識結果のうちの最も小さい認識結果ｂｉを取得し、且つ前記認識結果ｂｉに基づき、認識確率が最も低い時の画素点の位置Ｐを得ることとを含む。

Ｋの値は実際値と関連している。Ｋ値が大きいほど、計算複雑度が高く、必要な時間が長いが、得る結果がより優れ、一方、Ｋ値が小さいほど、動作速度が速いが、効果は僅かに劣る。Ｋ値が２５５であると、トラバーサル方法に相当する。実際のＫは１０、２０、３０等の値となり得る。トラバーサル法を用いると、全ての画素点と全ての値をトラバーサルする必要があり、すなわちＭ＊Ｎ＊２５６回動作する必要があり、計算回数として理解することができる。本手段の方法を用いると、動作回数はＭ＊Ｎ＊Ｋ＋２５６であり、式中、Ｍ＊Ｎ＊Ｋは第１ステップの計算回数であり、２５６を加えると第２ステップにおいて１つの点に対して２５６個の数値をトラバーサルすることとなる。そのため、Ｋが非常に小さいと、計算回数がかなり小さくなるため、本実施例においてＫ値は１０であり、計算回数は１０＊Ｍ＊Ｎ＋２５６であり、トラバーサル方法に比べて向上する計算効率はほぼ２５６／１００＝２５．６倍になる。従って、計算時間を大幅に節約することができ、敵対的サンプルを迅速且つ高効率に生成することができる。

Ｓ２、前記画素点の位置Ｐの各画素値をトラバーサルし、且つそれぞれ各数値の前記予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素値Ｖ’を得て、
Ｓ３、前記認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に修正し、敵対的サンプルＸ’を得る。

本発明の実施例においては、前記予め設定したニューラルネットワークＮは複数の数字サンプル画像を入力して、各数字を正確に認識するまで認識トレーニングして構築されるものであり、
前記予め設定したニューラルネットワークＮは、入力した数字サンプル写真を認識し、且つ認識結果を出力することに用いられる。

前記認識結果はａｉであり、ａｉは確率が最大のものと対応する数字であり、０≦ｉ≦９、ａｉの確率はａ０＋ａ１＋ａ２＋ａ３＋ａ４＋ａ５＋ａ６＋ａ７＋ａ８＋ａ９＝１を満たす。

図２〜図４に示すように、本発明の動作原理についてより良い説明のため、以下、本発明に係る単一画素攻撃サンプルの生成方法のワークフローであり、
図２に示すように、図２は本発明の一好適実施例に係る単一画素攻撃サンプル生成方法の全フローチャートである。

図３に示すように、図３は本発明の単一画素攻撃サンプルの生成方法の第１ステップにおける具体的な実現プロセスであり、すなわち画素点をトラバーサルしてサンプリングする方法で修正する必要がある画素点の位置を検索し、サンプリング方法と組み合わせてＸにおける変更する必要がある画素点の位置を特定する。

認識対象画像Ｘの画素個数はＭ＊Ｎであり、すなわちＭ行、Ｎ列の画素点があり、各画素点の数値範囲は［０，２５５］である。ＰｍｎをＸにおける第ｍ行ｎ列の画素点、Ｖｍｎを該画素点Ｐｍｎの画素値として定義する。先ず各画素点をトラバーサルし、すなわちＭ＊Ｎ個の画素点｛Ｐ００、Ｐ０１、Ｐ０２、…、ＰＭＮ｝を考慮し、各画素点位置においてサンプリング方法で現在の画素値を変更する。たとえば、画素点Ｐｍｎを考慮し、敵対的サンプルＸ’の該点における数値Ｖｍｎ’が［０，２５５］からＫ個の数値を、それぞれ｛Ｖｍｎ１、Ｖｍｎ２、…、ＶｍｎＫ｝としてサンプリングすると仮定し、それぞれ各数値におけるニューラルネットワークＮの敵対的サンプルＸ’に対する認識確率を計算して、（ｂ０、ｂ１、…、ｂ９）として出力し、ｃｉ＝ａｉ−ｂｉで計算し、且つ全てのサンプリング状況でｃｉの最大数値のみを残す。Ｍ＊Ｎ個の画素点をトラバーサルするプロセスにおいて、各点におけるＫ個の数値をサンプリングし、全ての得られたＭ＊Ｎ＊Ｋ個の数値において、毎回のニューラルネットワークＮの現在の敵対的サンプルに対する認識確率を計算し、ｃｉが最も大きい状況を特定し、且つ現在の画素点の位置をＰｘｙ、画素値をＶｘｙ１とする。

図４に示すように、図４は本発明方法の第２ステップにおける具体的な実現プロセスであり、すなわち選択された画素点において［０，２５５］の全ての画素数値をトラバーサルし、最適な画素数値を決定し、ニューラルネットワークが正確に認識する確率を最も低くする。

選択された画素点位置Ｐｘｙに基づき、全ての画素値を数え上げ、最適な敵対的サンプルを検索する。第１ステップではサンプリング方式で点Ｐｘｙを選択し、且つ対応する数値がＶｘｙ１である場合、敵対的サンプルが正確に認識される確率が最も低い。本発明は、Ｐｘｙ位置が確定された場合、第１ステップの数値Ｖｘｙ１を含む全ての数値［０，２５５］を数え上げ、２５６種の状況から毎回のニューラルネットワークＮの現在の敵対的サンプルに対する認識確率を計算し、且つｃｉが最も大きい状況を検索し、ｃｉが最も大きい状況での画素値をＶｘｙ２とする。生成する敵対的サンプルＸ’は、元のサンプルＸの位置Ｐｘｙを修正し、且つ該点の数値をＶｘｙ２に修正する。

具体的には、手書き数字のモノクロ画像ＭＮＩＳＴデータセットをトレーニングして得られたニューラルネットワークＮを実施例とする。ＭＮＩＳＴデータセットにおける各画像のサイズは２８＊２８であり、合計７８４個の画素点であり、各画素点の取得可能な画素値は［０，２５５］である。テスト時に１枚の画像Ｐを入力し、出力結果Ｆ（Ｐ）＝（ａ０、ａ１、…、ａ９）を得て、そのうちの最大結果Ｍａｘ（ａｉ）を選択すると、ｉはテスト画像Ｐに対応する数字となる。

１枚の認識対象画像Ｘを任意に選択し、該画像に対応する数字が６と仮定し、正確に認識する確率ａ６＝０．９として、画像Ｘに対する敵対的サンプルＸ’を生成する実施例は以下のとおりである。

まず、修正する必要がある画素点位置を選択する。画像Ｘの７８４個の画素点をトラバーサルし、各画素点は［０，２５５］からＫ＝１０個の数値をサンプリングし、たとえば［０，２５５］から１０個の点をランダムに選択してもよく、［０，２５，５０，７５，１００，１２５，１５０，１７５，２００，２２５，２５０］の１０個の固定のサンプリングポイントを選択してもよい。各画素点Ｐｍｎに対して、それぞれ１０種の異なるサンプリング値を有するため、７８４＊１０＝７８４０種の異なる敵対的サンプルを生成する。各敵対的サンプル画像に対して、ニューラルネットワークＮを呼び出して数字認識の出力確率を計算し、且つｃ６＝ａ６−ｂ６で計算し、式中、ｂ６は敵対的サンプルが数字６として認識される確率である。全ての７８４０種の状況において、ｃ６が最も大きい場合が画素点Ｐ７，８を選択する場合であると仮定し、画素値Ｖ７，８＝２５の場合、ｂ６＝０．４、ｃ６＝０．５となる。

第２ステップ、画素点Ｐ７，８、すなわち第７行第８列の画素点に対して、全ての［０，２５５］の画素値をトラバーサルし、この２５６種の状況でニューラルネットワークＮを呼び出して数字認識の出力確率を計算し、且つｃ６＝ａ６−ｂ６で計算し、該点の数値が１６である場合、ｃ６＝０．５５が最も高いと仮定すると、ｂ６＝０．３５は、ニューラルネットワークが該敵対的サンプルの数字は６であると認識する確率が０．３５であることを示す。従って、出力する単一画素敵対的サンプルＸ’は、元の画像Ｘを基礎とし、第７行第８列の画素点を画素値１６に修正することである。

従来技術に比べて、本発明に係る単一画素攻撃サンプル生成は、ニューラルネットワークトレーニングプロセス中の損失関数、アクティベーション関数等のニューラルネットワーク内部構造の使用に関するものでなくてもよく、ニューラルネットワークを呼び出して判断すればよく、ニューラルネットワークの出力確率を使用すればよい。

以上のように、本発明は、単一画素攻撃サンプル生成方法を提供しており、認識対象画像Ｘを取得し、認識対象画像Ｘの各画素点をトラバーサルし、各画素点においてＫ個の画素値をサンプリングし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素点の位置Ｐを得て、画素点の位置Ｐにおける各画素値をトラバーサルし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素値Ｖ’を得て、認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に修正し、敵対的サンプルＸ’を得る。該方法は動作時間が短く、数字サンプル画像の１つの画素点を修正するだけで、ニューラルネットワークが数字画像を正確に認識する確率を大幅に低減させることができる。

図５に示すように、本発明の一好適な実施例としては、本発明は、さらに、位置確認モジュール、画素値確認モジュール及び敵対的サンプル生成モジュールを備える単一画素攻撃サンプル生成装置を提供しており、
前記位置確認モジュールは、認識対象画像Ｘを取得し、前記認識対象画像Ｘの各画素点をトラバーサルし、各画素点においてＫ（２５５≧Ｋ≧１）個の画素値をサンプリングし、且つそれぞれ各数値の予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素点の位置Ｐを得ることに用いられ、前記画素値確認モジュールは、前記画素点の位置Ｐの各画素値をトラバーサルし、且つそれぞれ各数値の前記予め設定したニューラルネットワークＮにおける認識確率を計算し、認識確率が最も低い時の画素値Ｖ’を得ることに用いられ、前記敵対的サンプル生成モジュールは、前記認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に修正し、敵対的サンプルＸ’を得ることに用いられる。

本実施例においては、前記位置確認モジュールは、画素個数確認ユニット、認識ユニット及び位置認識ユニットを備え、
前記画素個数確認ユニットは、前記認識対象画像Ｘの画素がＭ＊Ｎ個であり、前記Ｍ＊Ｎ個の画素点をトラバーサルし、且つ各画素点においてＫ個の値をサンプリングし、Ｍ＊Ｎ＊Ｋ個の数値を得ることに用いられ、前記認識ユニットは、それぞれ前記Ｍ＊Ｎ＊Ｋ個の数値を前記予め設定したニューラルネットワークＮに入力して認識し、Ｍ＊Ｎ＊Ｋ個の出力した認識結果を得ることに用いられ、前記位置認識ユニットは、前記Ｍ＊Ｎ＊Ｋ個の出力した認識結果のうちの最も小さい認識結果ｂｉを取得し、且つ前記認識結果ｂｉに基づき、認識確率が最も低い時の画素点の位置Ｐを得ることに用いられる。

本発明の実施例を実施すると、下記有益な効果を有する。

本発明の実施例は、単一画素攻撃サンプル生成装置を提供しており、位置確認モジュールにより認識対象画像Ｘを取得し、認識確率が最も低い時の画素点の位置Ｐを確認し、画素値確認モジュールは前記画素点の位置Ｐに基づき、前記画素点の位置Ｐの各画素値をトラバーサルし、認識確率が最も低い時の画素値Ｖ’を確認し、敵対的サンプル生成モジュールは、前記画素点の位置Ｐと画素値Ｖ’に基づき、前記認識対象画像Ｘを修正し、敵対的サンプルＸ’を生成し、アルゴリズムの時間的複雑度を大幅に低減させ、敵対的サンプルの生成効率を向上させ、且つ最小限に画像を変更し、最大限に人の認識へ影響を与えなくする。

本発明の一実施例に係る単一画素攻撃サンプル生成設備は、プロセッサ、メモリ及び前記メモリに記憶され且つ前記プロセッサにおいて動作可能なコンピュータプログラムを備える。前記プロセッサが前記コンピュータプログラムを実行する場合、上記各単一画素攻撃サンプル生成方法の実施例におけるステップを実現し、たとえば図１に示されるステップＳ１〜Ｓ３である。

いわゆるプロセッサは中央処理ユニット（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、ＣＰＵ）であってもよく、さらにその他の汎用プロセッサ、デジタルシグナルプロセッサ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ、ＤＳＰ）、特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ、ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ、ＦＰＧＡ）又はその他のプログラマブルロジックデバイス、個別ゲート又はトランジスタロジック装置、個別ハードウェアユニット等であってもよい。汎用プロセッサはマイクロプロセッサーであってもよく、又は、任意の通常のプロセッサ等であってもよく、前記プロセッサは前記単一画素攻撃サンプル生成設備のコントロールセンターであり、各種のインタフェースと回路により単一画素攻撃サンプル生成設備全体の各部分を接続する。

前記メモリは、前記コンピュータプログラム及び／又はモジュールを記憶することに用いられ、前記プロセッサは前記メモリ内に記憶されるコンピュータプログラム及び／又はモジュールを動作又は実行し、及びメモリ内に記憶されるデータを呼び出すことで、前記単一画素攻撃サンプル生成設備の様々な機能を実現する。前記メモリは主にプロクラム記憶領域とデータ記憶領域を含むことができ、プロクラム記憶領域はオペレーティングシステム、少なくとも１つの必要な機能であるアプリケーションプログラム（例えば音声再生機能、画像再生機能等）等を記憶することができ、記憶データ領域は、携帯電話の使用に応じて新規作成したデータ（例えば音声データ、電話帳等）等を記憶することができる。また、メモリは、高速ランダムアクセスメモリを含んでもよく、さらに、不揮発性メモリ、たとえばハードディスク、メモリ、プラグインハードドライブ、スマートメディアカード（Ｓｍａｒｔ Ｍｅｄｉａ(登録商標) Ｃａｒｄ、ＳＭＣ）、セキュアデジタル（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ、ＳＤ）カード、フラッシュカード（Ｆｌａｓｈ Ｃａｒｄ）、少なくとも１つのディスクストレージデバイス、フラッシュメモリデバイス、又はその他の揮発性固体記憶装置を含んでもよい。

前記単一画素攻撃サンプル生成設備に集積されるモジュール／ユニットは、ソフトウェア機能ユニットの形態として実現され、個別製品として販売又は使用される時に、コンピュータ読み取り可能な記憶媒体に記憶されてもよい。このような理解に基づき、本発明における上記実施例方法の全て又は一部のプロセスの実現は、コンピュータプログラムにより関連のハードウェアに指令することにより行うこともでき、前記コンピュータプログラムは、コンピュータ読み取り可能な記憶媒体に記憶されてもよい。該コンピュータプログラムがプロセッサで実行される場合、上記各方法実施例のステップを実現してもよい。前記コンピュータプログラムは、ソースコード、オブジェクトコード、実行可能ファイル又はある中間形式等であってもよいコンピュータプログラムコードを含む。前記コンピュータ読み取り可能媒体は、前記コンピュータプログラムコードを携帯可能ないかなるエンティティ又は装置、記録媒体、Ｕディスク、モバイルディスク、磁気ディスク、光ディスク、コンピュータメモリ、読み取り専用メモリ（ＲＯＭ、Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ）、ランダムアクセスメモリ（ＲＡＭ、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、電気搬送波信号、電信信号及びソフトウェアディストリビューション媒体等を含んでもよい。

なお、以上説明した装置の実施例は概略的なもので、前記分離部材として説明されたユニットは物理的に単独であってもなくてもよく、ユニットとして表示された部材が物理ユニットであってもなくてもよい。すなわち一体的なものでもよく、または複数のネットワークユニットに分散してもよい。必要に応じてその一部または全てのモジュールを選択して本発明の技術案の目的を実現することができる。また、本発明に係る装置実施例の図面中、モジュール間の接続関係は、それらの間に通信接続を有することを示し、具体的な実現形態は１本又は複数本の通信バス又は信号線であってもよい。当業者にとっては進歩性のある労働を必要とせずに、理解し実施することができる。

以上は本発明の好適な実施の形態である。ただし、当業者であれば、本発明の原理から逸脱することなく、複数の改良や修正ができ、これらの改良や修正も本発明の保護範囲とすべきである。

Claims (3)

1ピクセル攻撃サンプルの生成方法であって、
認識対象画像Ｘを取得して、前記認識対象画像Ｘの各画素点をトラバースし、各画素点ごとにＫ個の画素値をサンプリングし、それぞれ各数値のプリセットのニューラルネットワークＮにおける認識確率を算出し、認識確率が最も低いときの画素点の位置Ｐを取得し、２５５≧Ｋ≧１であるステップと、
前記画素点の位置Ｐの各画素値をトラバースし、それぞれ各数値の前記プリセットのニューラルネットワークＮにおける認識確率を算出し、認識確率が最も低いときの画素値Ｖ’を取得するステップと、
前記認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に変更して、敵対標本Ｘ’を得るステップとを含むことを特徴とする1ピクセル攻撃サンプルの生成方法。

前記プリセットのニューラルネットワークＮは、全ての数字を正確に認識できるまで複数の数字サンプル画像を入力して認識訓練を行うことによって構築され、
前記プリセットのニューラルネットワークＮは、入力する数字サンプルピクチャを認識して、認識結果を出力することに用いられることを特徴とする請求項１に記載の1ピクセル攻撃サンプルの生成方法。

1ピクセル攻撃サンプルの生成装置であって、位置特定モジュール、画素値決定モジュール及び敵対標本生成モジュールを備え、
前記位置特定モジュールは、認識対象画像Ｘを取得して、前記認識対象画像Ｘの各画素点をトラバースし、各画素点ごとにＫ個の画素値をサンプリングし、それぞれ各数値のプリセットのニューラルネットワークＮにおける認識確率を算出し、認識確率が最も低いときの画素点の位置Ｐを取得することに用いられ、２５５≧Ｋ≧１であり、
前記画素値決定モジュールは、前記画素点の位置Ｐでの各画素値をトラバースし、それぞれ各数値の前記プリセットのニューラルネットワークＮにおける認識確率を算出し、認識確率が最も低いときの画素値Ｖ’を取得することに用いられ、
前記敵対標本生成モジュールは、前記認識対象画像Ｘにおける画素位置Ｐの画素値をＶ’に変更して、敵対標本Ｘ’を得ることに用いられることを特徴とする1ピクセル攻撃サンプルの生成装置。