交通标志识别中对抗攻击与环境退化的统一防御：基于冗余线索分歧检测的SAFER-Sign方法

《Electronics》：One Signature, Two Threats: Grammar Scored Cross-Channel Disagreement for Robust Traffic Sign Recognition

　　交通标志识别（TSR）处于高级驾驶辅助与自动驾驶的关键路径上，然而已部署的分类器在两种性质截然不同的情况下会失效：一种是以往研究大多孤立防御的最坏情况对抗性操纵，从不明显的数字扰动到物理上可实现的贴纸、补丁和轮廓边缘攻击；另一种是平均情况的环境退化，如雾、眩光、运动模糊、褪色和遮挡。我们观察到，尽管来源不同，这两种情况都在标志的过度指定结构上留下了相同的可观察特征：标志的类别由轮廓、颜色方案和中央图案冗余编码，而这些本应独立的线索之间出现空间局部化的分歧，该分歧可根据一组小型、可枚举的物理有效属性元组语法进行评分。我们将鲁棒性重新定义为检测这一特征，而非防御任何单一威胁，并提出SAFER-Sign，该方法集成了四个组件，每个组件均修复了先前方法中已被记录的失效模式：（i）类条件去相关的形状、颜色与字形编码器，使过度指定从名义上的变为真实的；（ii）证据性逐通道不确定性，使退化的线索能够弃权，而非自信地投出错误票；（iii）一种软性、因子化的、置信度门控的标志语法先验，奖励联合一致的元组，而不成为单一属性的攻击面；以及（iv）一个联合训练的空间可靠性门控，锚定在无参数的跨通道分歧信号上，因此不会像解耦的前端那样被抑制。综合来看，这些组件意味着在我们评估的设置中，成功的自适应攻击必须同时应对类别证据、跨通道一致性、语法兼容性、可靠性门控与弃权机制。这增加了耦合攻击目标的数量，但我们强调，这并不意味着所有三个通道都必须被破坏。