自动驾驶多传感器融合感知模型的鲁棒性测试方法及系统与流程

1.本发明涉及智能驾驶技术领域，具体涉及自动驾驶多传感器融合感知模型的鲁棒性测试方法及系统。


背景技术：

2.近些年来，多传感器融合感知技术在自动驾驶领域被广泛应用，不同传感器和不同模态的数据被应用于图像语义分割、目标识别、目标跟踪等自动驾驶场景任务，取得了很好的效果。然而，深度网络模型的作用原理、可解释性研究并不明朗，可能存在奇异或人为恶意制造的场景和数据使得模型受到干扰和欺诈，严重威胁自动驾驶的安全。为此有必要利用对抗机器学习技术，对针对多传感器融合模型的欺诈和防御相关的技术进行研究，以提高多传感器融合模型的鲁棒性。
3.对抗机器学习是近几年深度学习中出现的新方向。对抗机器学习的研究内容是：通过向原始输入数据中加入精心设计的、人类不易察觉的噪声，使测试模型输出错误结果，加入对抗噪声的数据被称为“对抗样本”，也可以被称为“欺诈数据”。与传统的高斯噪声、椒盐噪声等噪声不同，对抗噪声能够较大程度地干扰深度网络模型做出正确预测。对抗样本的存在给现有的应用深度网络模型的系统带来了极大的安全隐患，尤其是像自动驾驶这类对安全性、可靠性要求较高的应用场景。为了提升模型的鲁棒性，最常用的方法是使用多种不同传感器数据作为输入，通过融合感知模型输出最终结果。
4.现有的对抗攻击方法主要是针对单传感器模型，处理数据的类型单一，处理流程也较为简单，很容易攻击成功。然而，这类攻击方法并不能有效地攻击多传感器模型，主要原因是：1)多传感器模型采用多种不同的数据类型作为输入，不同的数据对于输出结果能够产生互补效果；2)同时攻击多个传感器的实现代价太大，且并不能保证物理世界中对抗扰动的可实现性。


技术实现要素：

5.本发明的目的在于克服上述技术缺陷，提出了一种自动驾驶多传感器融合感知模型的鲁棒性测试方法，可以应用于测试和提升多传感器融合感知模型的鲁棒性。
6.为实现上述目的，本发明提出了一种自动驾驶多传感器融合感知模型的鲁棒性测试方法，所述方法包括：
7.同时采集多个车载传感器的数据，并进性相应的预处理；
8.利用预处理后的多个车载传感器的数据，训练得到多传感器融合感知模型；
9.从多个车载传感器中选取一个待攻击传感器；在选择的待攻击传感器采集的数据上生成添加对抗扰动噪声的掩码，由此生成欺诈数据；
10.将欺诈数据与其他传感器正常采集到的数据输入训练好的多传感器融合感知模型，计算欺诈数据生成的损失函数，并进行反向传播；结合损失函数梯度对欺诈数据进行迭代更新，得到最终的欺诈数据；
11.将最终的欺诈数据与其他传感器正常采集到的数据输入到多传感器融合感知模型中，得到多传感器融合感知模型的输出精度，
12.根据输出精度获取多传感器融合感知模型的鲁棒性测试结果。
13.进一步的，所述从多个车载传感器中选取一个待攻击传感器，具体为：根据显著性分析结果选取对结果影响最大的传感器作为待攻击传感器。
14.进一步的，所述将欺诈数据与其他传感器正常采集到的数据输入训练好的多传感器融合感知模型，计算欺诈数据生成的损失函数，并进行反向传播；结合损失函数梯度对欺诈数据进行迭代更新，得到最终的欺诈数据；具体包括：
15.步骤s1)设预处理后的n
‑
1个车载传感器正常采集的数据为 x0,x1,...,x
i
‑1，x
i 1
,...,x
n
‑1，加入的欺诈数据为x
′
i
＝mx
i
，m为对抗扰动噪声的掩码，x
i
为预处理后的第i个车载传感器正常采集的数据；模型的正确标签为l；攻击多传感器网络模型j
θ
(
·
)的数学表达式为：
16.j
θ
(x0,x1,...，x
′
i
,...,x
n
‑1)≠l
17.将上述数学问题建模为下列优化问题：
18.minimized(x
i
,x
′
i
)
19.s.t.j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l
20.x
′
i
∈[0,1]
n
[0021]
d(x
i
,x
′
i
)为x
i
和x
′
i
的欧式距离；
[0022]
构造f(x0,x1,...,x
′
i
,...,x
n
‑1)≤0来等价表示j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l这一条件，f(
·
)函数的具体构造为：
[0023]
f(x)＝(max(z(x)
j
)
‑
z(x)
t
)

,j≠t
[0024]
其中，z(x)
j
为多传感器融合感知模型输出层第j个节点输出的置信度；
[0025]
(max(z(x)
j
)
‑
z(x)
t
)

＝max(max(z(x)
j
)
‑
z(x)
t
,0)，t为正确的标签；
[0026]
上述的优化问题可以转化为以下形式：
[0027]
minimized(x
i
，x
′
i
) λ
·
f(x0，x1，...,x
′
i
，...，x
n
‑1)
[0028]
s.t.x
′
i
∈[0,1]
n
[0029]
其中，λ为参数；
[0030]
步骤s2)将处理后的数据作为输入，输入到多传感器融合网络模型j
θ
(
·
)中，得到j
θ
(
·
)的初始化输出y
k
，根据y
k
计算生成欺诈数据的损失函数；当k＝1时，为第i个车载传感器的第k次迭代的欺诈数据；
[0031]
步骤s3)利用损失函数梯度对欺诈数据进性更新：
[0032][0033]
其中，α为迭代步长，l(
·
)为损失函数，y
true
是多传感器融合网络模型j
θ
(
·
)的正确输出；为损失函数的梯度；
[0034]
步骤s4)当迭代次数k 1达到阈值max_iter或者多传感器融合网络模型j
θ
(
·
)的像素准确率下降到某个临界值thresh_ap；进入步骤s5)；否则，k加1后，转入步骤 s2)；
[0035]
步骤s5)将作为最终的欺诈数据。
[0036]
进一步的，所述根据输出精度获取多传感器融合感知模型的鲁棒性测试结果，具体包括：
[0037]
当多传感器融合网络模型j
θ
(
·
)的输出精度下降幅度在5％以内时，表明多传感器融合网络模型j
θ
(
·
)鲁棒性很强；
[0038]
当多传感器融合网络模型j
θ
(
·
)的输出精度下降幅度在5％～10％时，表明多传感器融合网络模型j
θ
(
·
)鲁棒性较强；
[0039]
当多传感器融合网络模型j
θ
(
·
)的输出精度下降幅度在10％以外时，表明多传感器融合网络模型j
θ
(
·
)鲁棒性较弱。
[0040]
本发明提出了一种自动驾驶多传感器融合感知模型的鲁棒性测试系统，所述系统包括：多个车载传感器、数据采集模块、模型训练模块、欺诈数据数据生成模块和鲁棒性测试模块；
[0041]
所述数据采集模块，用于同时采集多个车载传感器的数据，并进性相应的预处理；
[0042]
所述模型训练模块，用于利用预处理后的多个车载传感器的数据，训练得到多传感器融合感知模型；
[0043]
所述欺诈数据数据生成模块，用于从多个车载传感器中选取一个待攻击传感器；在选择的待攻击传感器采集的数据上生成添加对抗扰动噪声的掩码，由此生成欺诈数据；将欺诈数据与其他传感器正常采集到的数据输入训练好的多传感器融合感知模型，计算欺诈数据生成的损失函数，并进行反向传播；结合损失函数梯度对欺诈数据进行迭代更新，得到最终的欺诈数据；
[0044]
所述鲁棒性测试模块，用于将最终的欺诈数据与其他传感器正常采集到的数据输入到多传感器融合感知模型中，得到多传感器融合感知模型的输出精度，根据输出精度获取多传感器融合感知模型的鲁棒性测试结果。
[0045]
进一步的，所述从多个车载传感器中选取一个待攻击传感器，具体为：根据显著性分析结果选取对结果影响最大的传感器作为待攻击传感器。
[0046]
进一步的，所述将欺诈数据与其他传感器正常采集到的数据输入训练好的多传感器融合感知模型，计算欺诈数据生成的损失函数，并进行反向传播；结合损失函数梯度对欺诈数据进行迭代更新，得到最终的欺诈数据；具体包括：
[0047]
步骤s1)设预处理后的n
‑
1个车载传感器正常采集的数据为 x0,x1,...,x
i
‑1,x
i 1
，...,x
n
‑1，加入的欺诈数据为x
′
i
＝mx
i
，m为对抗扰动噪声的掩码，x
i
为预处理后的第i个车载传感器正常采集的数据；模型的正确标签为l；攻击多传感器网络模型j
θ
(
·
)的数学表达式为：
[0048]
j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l
[0049]
将上述数学问题建模为下列优化问题：
[0050]
minimized(x
i
,x
′
i
)
[0051]
s.t.j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l
[0052]
x
′
i
∈[0,1]
n
[0053]
d(x
i
,x
′
i
)为x
i
和x
′
i
的欧式距离；
[0054]
构造f(x0,x1,...,x
′
i
,...,x
n
‑1)≤0来等价表示j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l这一条件，f(
·
)函数的具体构造为：
[0055]
f(x)＝(max(z(x)
j
)
‑
z(x)
t
)

,j≠t
[0056]
其中，z(x)
j
为多传感器融合感知模型输出层第j个节点输出的置信度；
[0057]
(max(z(x)
j
)
‑
z(x)
t
)

＝max(max(z(x)
j
)
‑
z(x)
t
,0)，t为正确的标签；
[0058]
上述的优化问题可以转化为以下形式：
[0059]
minimized(x
i
，x
′
i
) λ
·
f(x0，x1，...,x
′
i
，...，x
n
‑1)
[0060]
s.t.x
′
i
∈[0,1]
n
[0061]
其中，λ为参数；
[0062]
步骤s2)将处理后的数据作为输入，输入到多传感器融合网络模型j
θ
(
·
)中，得到j
θ
(
·
)的初始化输出y
k
，根据y
k
计算生成欺诈数据的损失函数；当k＝1时，为第i个车载传感器的第k次迭代的欺诈数据；
[0063]
步骤s3)利用损失函数梯度对欺诈数据进性更新：
[0064][0065]
其中，α为迭代步长，l(
·
)为损失函数，y
true
是多传感器融合网络模型j
θ
(
·
)的正确输出；为损失函数的梯度；
[0066]
步骤s4)当迭代次数k 1达到阈值max_iter或者多传感器融合网络模型j
θ
(
·
)的像素准确率下降到某个临界值thresh_ap；进入步骤s5)；否则，k加1后，转入步骤 s2)；
[0067]
步骤s5)将作为最终的欺诈数据。
[0068]
进一步的，所述根据输出精度获取多传感器融合感知模型的鲁棒性测试结果，具体包括：
[0069]
当多传感器融合网络模型j
θ
(
·
)的输出精度下降幅度在5％以内时，表明多传感器融合网络模型j
θ
(
·
)鲁棒性很强；
[0070]
当多传感器融合网络模型j
θ
(
·
)的输出精度下降幅度在5％～10％时，表明多传感器融合网络模型j
θ
(
·
)鲁棒性较强；
[0071]
当多传感器融合网络模型j
θ
(
·
)的输出精度下降幅度在10％以外时，表明多传感器融合网络模型j
θ
(
·
)鲁棒性较弱。
[0072]
本发明的优势在于：
[0073]
本发明方法提出了针对多传感器融合感知模型的鲁棒性测试方法，能够通过有效地实施攻击基于多传感器融合感知模型的任务，如图像分割、目标检测等，从而实现模型的鲁棒性有效测试。
附图说明
[0074]
图1是本发明的实施例1提供的自动驾驶多传感器融合感知模型的鲁棒性测试方法的流程示意图；
[0075]
图2是本发明的实施例1的欺诈数据迭代流程的架构图。
具体实施方式
[0076]
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完
整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
[0077]
在介绍本发明实施例之前首先对本发明实施例中涉及到的相关名词作如下释义：
[0078]
对抗攻击(adversarial attack)：又名逃逸攻击(evasion attack)，是一种在不改变网络模型结构、参数的情况下，通过修改输入样本达到使判别器出错的攻击方式，是ai安全领域中最常见的攻击方法之一。
[0079]
对抗样本(adversarial example)：又可以称为“欺诈数据”。指被加入精心设计的、人类不容易察觉的、微小的扰动噪声，从而使判别器输出错误识别的测试样本。
[0080]
受害模型(victim model)：又可称之为“目标模型”，即接收对抗样本作为输入的网络模型。在本发明中受害模型是多传感器融合感知模型。
[0081]
多传感器模型(multisensor model)：使用多种不同类型传感器收集到的数据作为网络模型输入的深度网络模型。
[0082]
白盒攻击(white
‑
box attack)：能够获取受害模型全部的结构和参数的对抗攻击方式，与之相对应的是不能够获取受害模型全部的结构和参数的黑盒攻击，以及部分获取的灰盒攻击。
[0083]
下面结合附图和实施例对本发明的技术方案进行详细的说明。
[0084]
实施例1
[0085]
如图1所示，本发明的实施例1提供了一种自动驾驶多传感器融合感知模型的鲁棒性测试方法，包括：
[0086]
步骤1)通过n个车载传感器同时采集数据x0,x1,...,x
n
‑1，并进性相应的预处理；
[0087]
x
i
代表第i个传感器采集到的数据。实际应用中，传感器采集到的常见数据类型包括：rgb图像、点云数据、深度图像等。采集完传感器数据后需要进行输入的预处理。
[0088]
以rgb图像和激光雷达点云数据融合为例，获取同一场景的rgb图像和激光雷达点云并进行预处理；具体包括如下步骤：
[0089]
步骤101)通过车载相机获取rgb图像x0；
[0090]
采用安装在行驶车辆上的前向单目相机或前向单目摄像头采集路面图像信息。前向单目相机采集的是行驶车辆的行车方向正前方和路面上方的路面图像信息。即采集的路面图像信息是对应于采集车辆的行车方向的正前方和路面上方的信息的透视图。
[0091]
步骤102)通过车载激光雷达获取原始点云x1；
[0092]
在本实施例中，路面图像信息和路面点云信息是同步采集的。即可以在行驶车辆上安装配置激光雷达和前向单目相机后，标定它们的相对位置姿态，同时开始对同一路面开始路面数据信息采集。
[0093]
车载摄像头采集rgb图像x0，激光雷达采集点云数据x1。
[0094]
为了便于计算，本发明下述实施例中所涉及的点云，均为360
°
点云中正对车辆前方，即图像所在方向的部分。并且，由于相机和激光雷达已经完成标定，可以确定点云投影到像素平面的转换矩阵t，以方便后续点云信息的特征提取。
[0095]
对相机的标定，采用张氏标定法，先设定相机坐标系与世界坐标系，利用相机在预设位置放置的棋盘格上的成像，计算棋盘格的角点位置在成像中的二维坐标，再与棋盘格
角点的真实三维坐标计算出变换矩阵；对激光雷达的标定，先设定激光雷达坐标系与真实世界坐标系，在预设位置放置若干障碍物并对齐进行激光雷达扫描，利用障碍物获得的点云在激光雷达坐标系中的坐标和障碍物在真实世界坐标系中的坐标计算得到两个坐标系的变换矩阵，其余参数，包括激光雷达的扫描分辨率、扫描速度、激光雷达与相机的时间对齐等，由各自的硬件信息与安装时的测量可以获得。标定将获得世界坐标系与相机的成像坐标系、世界坐标系与激光雷达坐标系之间的相互转换矩阵。
[0096]
步骤103)利用转换矩阵t将点云投影到像素平面，更新原始点云图像x1；
[0097]
具体地，考虑激光雷达和前向摄像头已经完成标定工作，且根据标定参数得到了激光雷达三维坐标系和世界三维坐标系的转换矩阵k1，相机二维成像坐标系和世界三维坐标系的转换矩阵k2。假设世界坐标系下有一点p，在世界坐标系下对应的三维坐标为x
10
，在点云所在的雷达坐标系中对应的三维坐标为x
11
，在相机成像坐标系下的二维坐标为u，则u＝k2·
x
10
，x
11
＝k1·
x
10
，因此接着截取二维点云图像和灰度图像对应位置且相同尺寸的部分，每个像素点的取值为对应的反射强度值，再对空缺的部分以0值填补。从而激光雷达点云可以转换为灰度图像对应的二维点云图像，用于取代获取的原始点云，仍记为x1。
[0098]
步骤104)对原始点云图像x1进行插值操作，如近邻插值法等，得到稠密点云图像，仍记为x1；
[0099]
步骤2)利用预处理后的n个传感器的数据，训练得到多传感器融合感知模型 j
θ
(
·
)，其中θ为模型的参数；
[0100]
以rgb图像和激光雷达点云数据融合为例，将rgb图像和稠密点云数据输入融合感知网络进行训练，获得训练好的融合感知模型以作为受害模型。
[0101]
步骤3)从n个车载传感器中选取一个待攻击传感器；在选择的待攻击传感器采集的数据上生成添加对抗扰动噪声的掩码m，生成欺诈数据x
′
i
；
[0102]
输入掩码主要是对欺诈数据进行空间约束，单一传感器输入掩码制作流程具体包括两个步骤：1)选取待攻击传感器；2)在待攻击传感器图像上生成掩码。
[0103]
从这n个车载传感器中选取一个传感器来进行攻击。选取攻击传感器可以根据显著性分析(如person相关分析)结果选取对结果影响最大的传感器，也可以人为地指定任意一个传感器。
[0104]
对选取的攻击传感器，在此传感器图像x
i
上生成掩码。该掩码可以用一个四元组 (x,y,width,height)来表示，用符号记为m。生成掩码有两种方式：一种是通过启发式搜索算法(如遗传算法)确定四元组，另一种是人为定义该四元组。前者产生的四元组与模型、数据、启发式算法有关，实验效果相对于后者更好，但是掩码位置、大小相对难以控制。
[0105]
模型原始的输入为x0,x1,...,x
i
，...,x
n
‑1，经过掩码处理后的多传感器输入数据为：x0,x1,...,m
·
x
i
,...,x
n
‑1。
[0106]
在本实施例中，作为一种示例，选择车载摄像头传感器进行攻击，即产生针对 rgb图像x0的欺诈数据x
′0。
[0107]
在图像区域上选择一个掩码m，确定下来的掩码信息可以表示为(x,y,width, height)。掩码生成完毕后，对选择攻击的rgb图像数据x0进行transform变换(包括随机尺寸变换、空白填充)，得到欺诈数据x
′0。随机尺寸变换是指同时将图像数据x0的长、宽随机缩
小到原尺寸的某个比例(如0.9，0.85，0.8等)，空白填充是指用0把缩小后的图像填充至原尺寸。将进行transform变换后的图像数据x0用掩码相与运算 (取掩码中值为1的坐标，图像上该坐标处的数据保留原值；再取掩码中值为0的坐标，图像上该坐标处的数据值改成0)，从而完成初始化输入数据的操作。
[0108]
步骤4)将x0,x1,...,x
′
i
,...,x
n
‑1输入步骤2)训练好的多传感器融合感知模型 j
θ
(
·
)，计算欺诈数据生成的loss函数，并进行反向传播；
[0109]
欺诈数据loss函数设计具体的流程如下：
[0110]
设多传感器融合感知模型原始输入为x0,x1,
…
,x
n
‑1，加入欺诈数据的传感器记为x
′
i
，模型的正确标签为l。攻击多传感器网络模型的数学表达式为：
[0111]
j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l
[0112]
设d(
·
)为距离度量函数，引入该距离度量函数是因为：在进行攻击时，既希望能够攻击成功，同时又希望产生的欺诈数据与原始数据(如在场景中采集的未经修改的数据)尽可能地小。常用的距离度量函数一般是采用欧几里得距离。本发明将上述数学问题建模为下列优化问题：
[0113]
minimized(x
i
,x
′
i
)
[0114]
s.t.j
θ
(x0,x1,...,x
′
i
,...,x
n
‑1)≠l
[0115]
x
′
i
∈[0,1]
n
[0116]
进一步地，为了方便后续的求解，本发明构造了f(x0,x1,...,x
′
i
,...,x
n
‑1)≤0来等价表示j
θ
(x0，x1，...,x
′
i
,...,x
n
‑1)≠l这一条件，本发明中f(
·
)函数的具体构造为 f(x)＝(max(z(x)
i
)
‑
x(x)
t
)

，i≠t，其中(e)

为max(e,0)的简略表达，t为正确的标签。上述的优化问题可以转化为以下形式：
[0117]
minimized(x
i
,x
′
i
) λ
·
f(x0，x1,...,x
′
i
,...,x
n
‑1)
[0118]
s.t.x
′
i
∈[0，1]
n
[0119]
将处理后的数据x
′0，x1作为输入，输入到多传感器融合网络模型j
θ
(
·
)中，得到 j
θ
(
·
)的初始化输出y，根据y计算生成欺诈数据的loss，借助深度学习框架pytorch 的梯度计算功能完成反向梯度传播。
[0120]
步骤5)结合反向传播梯度对欺诈数据进行迭代更新；
[0121]
利用步骤4)中计算得到的梯度，借助pytorch框架中的adam优化器完成迭代更新。将更新后的x
′
i
和x0,x1,...,x
i
‑1,x
i 1
,...,x
n
‑1重新输入网络模型，再次执行步骤4)的操作，得到网络模型j
θ
(
·
)的输出后判断是否达到迭代终止条件，如果达到则跳出迭代循环，否则继续执行步骤4)的操作。
[0122]
在本发明中，为了提升对抗攻击算法的可迁移性和攻击成功率，在生成欺诈数据之前还会对来自被攻击传感器的数据进行transform变换，记为t(
·
)。transform变换的操作包括：随机尺寸变换、随机空白填充。结合前面对输入进行掩码的操作，上述的优化问题可以表示为下列形式：
[0123]
minimized(x
i
,x
′
i
) λ
·
f(x0,x1,...,m
·
t(x
i
),...,x
n
‑1)
[0124]
s.t.x
′
i
∈[0,1]
n
[0125]
产生的欺诈数据最终集中体现在来自单一传感器的数据上，通过一次迭代生成的欺诈数据的攻击效果往往并不充分，采用迭代式的生成方法就可以产生攻击效果较为充分
的欺诈数据。单一传感器对抗数据的生成迭代的具体流程是：首先从原始的输入x0,x1,...,x
n
‑1选择一个待攻击传感器x
i
，并对其进行transform变换、掩码处理，得到变换后的输入x0,x1,...,x
′
i
,...,x
n
‑1，然后将处理后的数据作为输入作为欺诈对象的多传感器模型j
θ
中，第一次输入到模型j
θ
主要作用是初始化，得到输出然后据此对输入进行迭代，迭代公式如下：
[0126][0127]
其中，为第i个传感器第k次迭代数据，α为迭代步长(一般取1e
‑
3)，l(
·
)为 loss函数(一般选交叉熵损失函数)，y
true
是多传感器模型j
θ
的正确输出。在迭代的过程中涉及到梯度的计算，本发明采取了深度学习框架pytorch 进行反向传播，借助其中的adam优化器可以更快地迭代对抗数据。
[0128]
将每次迭代后的结果输入到多传感器模型j
θ
中，每次迭代都会更新产生的欺诈数据，当迭代次数达到阈值max_iter(如200次)或者多传感器模型j
θ
的像素准确率(ap)下降到某个临界值thresh_ap(如0.5)，即可退出迭代循环，此时得到的迭代结果即为最终的欺诈数据。如图2所示。
[0129]
最终将迭代得到的某一传感器数据与其他传感器正常收集到的数据一并输入到多传感器融合感知模型j
θ
中，这种修改后的输入数据能够使得被攻击的多传感器融合感知模型j
θ
的精度显著下降，从而实现对目标模型的鲁棒性测试。
[0130]
步骤6)将步骤5)得到的最终的欺诈数据与其他传感器正常采集到的数据，一并输入到多传感器融合感知模型j
θ
(
·
)中，得到网络模型j
θ
(
·
)的输出精度，观察输出精度的下降幅度，输出精度下降越大，说明网络模型j
θ
(
·
)的鲁棒性越弱，反之则说明网络模型j
θ
(
·
)的鲁棒性越强。
[0131]
物理干扰载体用于将产生的欺诈数据在现实物理世界中实现，如帆布、画纸、木板等，根据场景生成欺诈数据后添加到物理载体上，实现物理世界的真实干扰。
[0132]
实施例2
[0133]
本发明的实施了2提出了一种自动驾驶多传感器融合感知模型的鲁棒性测试系统，包括：多个车载传感器、数据采集模块、模型训练模块、欺诈数据数据生成模块和鲁棒性测试模块；
[0134]
数据采集模块，用于同时采集多个车载传感器的数据，并进性相应的预处理；
[0135]
模型训练模块，用于利用预处理后的多个车载传感器的数据，训练得到多传感器融合感知模型；
[0136]
欺诈数据数据生成模块，用于从多个车载传感器中选取一个待攻击传感器；在选择的待攻击传感器采集的数据上生成添加对抗扰动噪声的掩码，由此生成欺诈数据；将欺诈数据与其他传感器正常采集到的数据输入训练好的多传感器融合感知模型，计算欺诈数据生成的损失函数，并进行反向传播；结合损失函数梯度对欺诈数据进行迭代更新，得到最终的欺诈数据；
[0137]
鲁棒性测试模块，用于将最终的欺诈数据与其他传感器正常采集到的数据输入到多传感器融合感知模型中，得到多传感器融合感知模型的输出精度，根据输出精度获取多传感器融合感知模型的鲁棒性测试结果。
[0138]
实施例3
[0139]
一种计算机设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现实施例1的方法。
[0140]
实施例4
[0141]
一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序当被处理器执行时使所述处理器执行实施例1的方法。
[0142]
需要说明的是，本技术的实施例以相机和激光雷达获取的数据为例，但不限于上述数据，其他传感器的数据均可通过本方法进行攻击。
[0143]
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
[0144]
最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。