语义分割中的局部对抗攻击触发故障: Out-Of-Distribution检测

0.511.521475808590951157010通过学习语义分割中的局部对抗攻击来触发故障：Out-Of-Distribution检测0Victor Besnier 1 , 3 , 4 Andrei Bursuc 2 David Picard 3 Alexandre Briot 101. Valeo，Cr´eteil，法国 2. Valeo.ai，巴黎，法国 3. LIGM，Ecole desPonts，Univ Gustave Eiffel，CNRS，Marne-la-Vall´ee，法国 4. ETISUMR8051，CY Universit´e，ENSEA，CNRS，Cergy France0摘要0在本文中，我们解决了语义分割中的异常检测问题。通过分析文献，我们发现当前的方法要么准确但速度慢，要么速度快但准确性不高，这限制了它们在实际应用中的可用性。为了兼顾这两个方面的优点，我们提出了四个设计原则来解决常见的缺点：将OOD检测与分割任务分离，观察整个分割网络而不仅仅是其输出，通过利用分割网络中的盲点生成OOD检测器的训练数据，并将生成的数据集中在图像的局部区域以模拟OOD对象。我们的主要贡献是一种名为ObsNet的新型OOD检测架构，以及基于局部对抗攻击（LAA）的专用训练方案。我们通过大量的消融研究验证了我们方法的合理性。我们还展示了与文献中的十种最新方法相比，它在速度和准确性方面都取得了最佳性能，这是在三个不同的数据集上进行的。01. 引言0对于像自动驾驶车辆这样的实际决策系统，准确性并不是唯一的性能要求，而且通常次于可靠性、鲁棒性和安全性等问题[40]，因为任何故障都会带来严重的后果。这类系统的组件模块经常依赖于深度神经网络（DNNs），在许多任务和基准测试中，DNNs已成为一种主导方法[59, 21,20]。然而，一个主要的关注点是与DNNs的数据驱动性相关的，因为它们并不总是能够推广到训练数据中未见过的对象。简单的不确定性估计技术，例如softmax预测的熵[11]，在现代DNNs上不太有效，因为它们在域内[19]和域外（OOD）数据样本上都表现出一致的过度自信[46, 25,23]。这提示了0ObsNet+ LAA0Deep Ensemble0MC Dropout0Gauss. Pert.0MCP0Void0Con�dNet ODIN0TFLOPs0AuRoc0950图1：在CamVidOOD上评估精度与测试时间计算成本。语义分割中的OOD检测现有方法要么准确但速度慢（例如MC Dropout [17]，Deep Ensemble[30]），要么速度快但准确性不高（例如最大类别预测[25]）。相比之下，我们的方法Ob-sNet+LAA既准确又快速。在第4.3节中提供了额外的基线和评估数据集。0进一步提高依赖于它们预测的下游组件的性能。成功处理“未知未知”（例如，通过发出警报或优雅地失败）至关重要。0在这项工作中，我们解决了自动驾驶车辆中视觉感知的一个重要而常见的任务，即语义分割的OOD检测。我们考虑“分布之外”的像素，即没有与之相关联的训练标签的区域。这包括未见过的对象，以及噪声或图像变化。对于OOD检测任务，最有效的方法来自两个主要类别的方法：集成和辅助错误预测模块。DeepEnsemble（DE）[30]是一种著名且简单的集成方法，通过测量个体DNN之间的不一致性来暴露可能不可靠的预测。尽管性能出色，但DE是一种157020对于训练和测试来说，这两种方法在计算上都是很耗费资源的，并且在实时车载使用方面是禁止的。对于后一种情况，给定一个训练好的主任务网络，可以在第二阶段训练一个简单的模型来检测其错误或估计其置信度[10, 22,4]。这种方法计算较轻，然而，在DNN的背景下，一个意外的缺点与缺乏足够的负样本（即失败）来正确训练错误检测器有关[10]。这是由于多种原因的累积：该模块的训练集的大小减小（基本上是一个用于保留足够数量的训练主预测器的迷你验证集），主DNNs所做的错误很少，因此负样本很少。0在这项工作中，我们提出了在语义分割环境中使用现代深度学习工具重新审视两阶段方法。鉴于应用背景，即有限的硬件和高性能要求，我们旨在实现可靠的OOD检测（见图1），而不会影响预测准确性和计算时间。为此，我们提出了四个设计原则，旨在减轻最常见的陷阱并涵盖两个主要方面，即(i)架构和(ii)训练：0(i.a)将下游分割任务中的准确性与对OOD的鲁棒性进行交换的陷阱可以通过将OOD检测与分割解耦来缓解。(i.b)由于分割网络执行的处理旨在识别已知对象，而不是适应OOD对象，因此通过观察整个分割网络而不仅仅是其输出，可以显著提高OOD检测的准确性。(ii.a)训练OOD检测器需要额外的数据，可以通过利用分割网络中的盲点生成。(ii.b)生成的数据应该集中在图像的局部区域，以模拟OOD的未知对象。0根据这些原则，我们提出了一种名为ObsNet的新型OOD检测架构及其基于局部对抗攻击（LAA）的训练方案。我们通过实验证明，我们的ObsNet+LAA方法在三个语义分割数据集（CamVid [9]，StreetHazards [24]和BDD-Anomaly[24]）上的OOD检测性能优于大量方法1。贡献总结如下：我们提出了一种基于四个设计原则的新型语义分割OOD检测方法：(i.a)将OOD检测与分割任务解耦；(i.b)观察整个分割网络而不仅仅是输出；(ii.a)利用分割网络的盲点生成OOD检测的训练数据；(ii.b)将对抗攻击集中在图像的局部区域以模拟未知对象。我们在一种名为ObsNet的新架构及其相关的基于局部对抗攻击（LAA）的训练方案中实现了这四个原则。01 代码和数据可在https://github.com/valeoai/obsnet上获得0我们对这些原则进行了广泛的实验验证。我们将我们的方法与文献中的10种不同方法在三个数据集（CamVidOOD，StreetHazards，BDDAnomaly）上进行比较，并展示了它在准确性和速度方面的最佳性能。0我们方法的优点和缺点是：0它可以与任何预训练的分割网络一起使用，而不会改变它们的性能，也不需要对它们进行微调（我们只训练辅助模块）。0只需要进行一次额外的前向传递，因此速度很快。与文献中的10种非常不同的方法在三个不同的数据集上进行比较，表明它非常有效。0预训练的分割网络必须允许对抗攻击，这是常用深度神经网络的情况。0我们的观察者网络的内存/计算开销与分割网络相当，这对于实时应用来说并不理想，但远远小于MCDropout或深度集成方法。在下一节中，我们将介绍我们的工作与现有文献的关系。02. 相关工作0在深度学习时代之前，数据样本超出原始训练分布的问题在各种应用中已经得到了长时间的研究，只是名称和角度略有不同：异常值[8]、新颖性[55]、异常检测[34]，以及最近的OOD检测[25,27]。在广泛采用DNN的背景下，这个领域出现了一波新的方法，基于输入重构[54, 3, 33, 63]、预测不确定性[17, 29,39]、集成[30, 15]、对抗攻击[32,31]、使用空白或背景类别[51, 35]或数据集[5, 27,39]等等。我们在这里仅概述了与我们方法直接相关的一些方法，并将它们分组在表1中进行比较总结。0通过重构进行异常检测。在语义分割中，可以通过在内部分布数据上训练（通常是变分）自编码器[12, 3,62]或生成模型[54, 33,63]来检测异常。由于OOD样本在训练过程中包含了未见过的模式，因此预期它们会导致错误和不可靠的重构。在高分辨率和复杂的城市图像上，自编码器的性能不佳，而更复杂的生成模型则需要大量的数据才能达到稳健的重构或具有重新合成和比较模块的丰富流程。0贝叶斯方法和集成。BNNs [45,7]可以通过学习网络权重上的分布来捕捉预测不确定性，但不易扩展[14]并且是近似的157030类型 示例 OOD准确性 快速推理 内存效率 训练规范0Softmax MCP [25] - � � 无 贝叶斯学习 MC Dropout [17] � - � 降低IoU精度 重构GAN [63] � � � 不稳定的训练 集成DeepEnsemble [30] � - - 昂贵的训练 辅助网络 Con�dNet [10] - � � 不平衡的训练集 测试时攻击 ODIN [32] -* - �额外的OOD集 先验网络 Dirichlet [39] � � � 额外的OOD集0观察者 ObsNet + LAA � � � 否0表1：适用于语义分割的各种OOD检测方法的总结。对于实时安全性，OOD检测器的关键要求是准确性、速度、易于训练和内存效率。我们的方法满足所有要求。我们的LAA只在训练时执行，可以减轻观察者训练数据的不平衡问题。*对于语义分割不准确0在实践中，首选解决方案是DE[30]，这是一种非常有效但昂贵的方法，它训练了一组具有不同初始化种子的DNNs。伪集成方法[16, 37, 15,41]是DE的实用替代方法，它们绕过了训练多个网络并从不同的随机神经元子集[16,58]或从近似权重分布中采样的网络[37, 15,41]生成预测。然而，它们都需要多次前向传递和/或在内存中存储额外的网络。我们的ObsNet比集成更快，只需要相当于两次前向传递的计算量。一些方法放弃集成，提出了可以输出预测分布的确定性网络[39, 56, 50,61]。它们通常在计算效率上进行了权衡，结果可以与MCDropout [17]的不确定性估计相匹配。0通过测试时对抗攻击进行OOD检测。在ODIN中，Liang等人[32]利用温度缩放和输入上的小的对抗扰动来预测内部和外部分布的样本。Lee等人[31]在此基础上提出了一种基于类条件马氏距离的置信度评分方法，该方法基于隐藏激活图。这两种方法在调整时都需要训练OOD数据，但这并不能保证对其他OOD数据集的泛化性[57]。与我们相反，ODIN在测试时使用对抗攻击作为检测OOD的方法。然而，到目前为止，这种方法在结构化输出任务中尚未显示出有效性，因为测试成本可能会急剧增加，因为每个像素都需要对抗性扰动。相比之下，我们建议在训练期间使用对抗攻击作为OOD训练样本的代理，而不需要额外的测试时间成本。0学习错误预测。受模型校准文献中早期方法的启发[49, 66,67, 43,44]，一些方法提出为任务网络增加错误预测分支，以便自我评估预测性能。这个分支可以与主网络一起训练[13,64]，但是更好的学习效果需要更复杂的训练策略。0通过两阶段的顺序训练实现了稳定性和结果的提升[10, 22,4,52]。我们的ObsNet也使用了辅助网络，并且通过两个阶段的训练使其能够从任务网络的失败模式中学习。而[10, 22,4,52]专注于处理分布内错误，我们则针对没有可用训练数据的OOD检测进行处理。与这些方法不同的是，它们在缺乏足够的负样本数据进行学习时遇到困难，而我们则设计了一种有效的策略来生成失败样本，进一步实现对OOD检测的泛化。我们重新设计了训练过程和辅助网络的架构，以处理OOD示例，引入了局部对抗攻击（LAA）。0通用方法。最后，我们提到一组与OOD检测无直接关系但在这个任务上表现良好的方法。尽管存在过度自信的病态效应，但使用来自softmax预测的最大类别概率可以用于OOD检测[25, 48]。温度缩放[19,49]是一种使用专用验证集对softmax预测进行后处理校准的强大策略。如果预测经过校准，可以通过阈值来检测OOD样本。使用对抗攻击图像进行预训练[26]也已被证明可以得到更好的校准预测和良好的图像分类OOD检测。我们将这些简单但有效的方法作为基准来验证我们的贡献的实用性。03.提出的方法0在分析相关工作后，我们将我们的OOD语义分割方法基于两个方面的类别进行：（i）架构：OOD检测必须与分割预测解耦，以保持分割和OOD任务的最大准确性（第3.1节）；（ii）训练：在没有OOD数据的情况下训练OOD检测器是困难的，但可以通过精心设计的对抗攻击生成训练数据来实现（第3.2节）。0这两个方面都需要仔细设计才能发挥有效作用。̸̸̸̸̸157040我们在接下来的部分详细介绍了这些方面，并通过实验证实了它们的有效性（第4节）。03.1. ObsNet：专用OOD检测器0修改分割网络以考虑OOD预计会影响其准确性，正如我们在实验中所展示的那样。此外，这也阻止了使用现成的预训练分割网络，这些网络具有出色的分割准确性。因此，我们采用了一个两阶段的方法，其中一个额外的预测器处理OOD检测，而分割网络保持不变。在文献中，两阶段方法通常与校准[49, 66, 67, 43,44]相关，其中分割网络的输出被映射到归一化得分。然而，这对于分割任务来说并不适用，因为它没有使用附近预测中包含的空间信息。我们在实验中展示，仅使用分割网络的输出是不足以获得准确的OOD检测结果的。因此，在架构方面，我们在工作中遵循了两个设计原则：0（i.a）OOD检测应该与分割预测解耦，以避免对分割任务准确性的负面影响。0（i.b）OOD检测器应该观察完整的分割网络，而不仅仅是输出。0因此，我们设计了一个名为ObsNet的观察者网络，其架构与分割网络类似，并关注分割网络的输入、输出和中间特征图，如图2所示。我们通过实验证明，这些设计选择可以提高OOD检测的准确性（见第4.2节）。更具体地说，观察者网络（表示为Obs）被训练成预测分割网络（表示为Seg）的输出与正确类别y不一致的概率。0Obs（x，Segr（x））≈Pr [Seg（x）�= y]，（1）0其中x是输入图像，Segr是Seg的中间特征图的跳跃连接。为此，我们训练ObsNet以最小化二元交叉熵损失函数：0LObs（x，y）=（1 Seg（x）�=y−1）log（1−Ob0− 1 Seg（x）�= y logObs（x，Segr（x））（2）0其中1 Seg（x）�= y是Seg（x）�= y的指示函数。0讨论。由于观察者网络同时处理图像和来自分割网络的跳跃连接，它具有观察Seg的内部行为和动态的能力，这在处理OOD样本时已被证明与处理其他样本时不同（例如，通过Mahalanobis距离在特征图上测量）。0特征图上的距离[31]或特征图上的高阶Gram矩阵）。我们强调我们的方法相对于先前方法的一个优点，即与低计算复杂性相关，因为我们只需要通过分割网络和观察者网络进行一次前向传递。在GeForce RTX 2080Ti上，ObsNet的实验性速度比MCDropout进行50次前向传递快21倍，同时表现更好（见第4节）。此外，我们的方法可以直接用于最先进的预训练网络，而无需重新训练甚至微调它们。03.2.通过触发失败来训练ObsNet0如果没有专门的标记OOD样本的训练集，可以认为ObsNet是一个错误检测器（类似于[10]），而不是OOD检测器，并且由于预训练的分割网络可能会产生很少的错误，因此很难进行训练。我们提出通过遵循两个设计原则来解决这两个问题：0（ii.a）应通过生成触发分割网络失败的训练样本来解决训练数据不足的问题，我们可以使用对抗攻击来获得这些样本。0（ii.b）对抗攻击应该在空间上局部化，因为在分割上下文中的OOD检测对应于未知对象。0我们建议通过对输入图像执行局部对抗攻击（LAA）来生成训练ObsNet架构所需的附加数据。在实践中，我们使用随机形状选择图像中的一个区域，并执行快速梯度符号方法（FSGM）[18]攻击，使其被分割网络错误分类：0˜x = x + LAA（Seg，x）（3）0LAA（Seg，x）= ϵ sign（�xL（Seg（x），y））Ω（x）（4）0其中步骤ϵ，L（∙）是分类交叉熵，Ω（x）是随机形状的二进制掩码。我们在Figure 3中展示了LAA示例，并在Figure2中描述了训练过程。0LAA的推理背后有两个原因。首先，通过控制攻击的形状，我们可以确保生成的示例不会意外地属于训练集的分布。其次，利用对抗攻击使我们能够将训练重点放在预测类别的边界上，这些边界由于DNN的高容量和过度自信而往往远离训练数据，就像OOD对象一样。我们在实验中表明，LAA为学习检测OOD示例提供了一个良好的训练集。实践中，我们发现生成随机形状对于获得良好的性能至关重要，与非局部对抗攻击相比。这些随机形状与LAA结合在一起，可以模拟未知对象或对象部分，暴露出分割网络面对它们时的常见行为模式。我们在第4.2节的消融研究中验证了我们的方法。157050图2：我们方法的概述。训练（蓝色箭头）冻结分割网络。输入图像通过局部对抗攻击进行扰动。然后，观察者网络通过给定图像和一些额外的跳跃连接来训练以预测分割网络的错误。测试（红色箭头）不执行数据增强。观察者网络突出显示了分布之外的样本，这里是一辆摩托车。为了计算不确定性图，观察者网络与标准分割预测相比只需要进行一次额外的前向传递。0讨论。我们指出，通过使用LAA触发故障，我们解决了分割网络低错误率的问题。实际上，我们可以生成所需数量的类似OOD的示例，以平衡方程式2中的正（即正确预测）和负（即错误预测）项，以训练观察者网络。因此，即使分割网络在训练集上达到几乎完美的性能，我们仍然能够训练ObsNet来检测分割网络预测不可靠的地方。有人可能会问，为什么不像之前的工作[18，42，26]那样使用LAA来训练更强大和可靠的分割网络，而不是添加和训练观察者网络。使用对抗性示例进行训练可以提高分割网络的鲁棒性，但会降低准确性（见§4.2），但它不会使其变得绝对可靠，因为网络的多百万维参数空间中仍然存在许多盲点。它还阻止使用预训练的最先进分割网络。在这里，我们更感兴趣的是捕捉分割网络的主要故障模式，以使ObsNet能够在OOD对象上学习和识别它们。0最后，有人可能会问为什么不在测试时执行对抗性攻击，就像ODIN[32]中所做的那样。测试时执行对抗性攻击有两个主要缺点。首先，在测试时它需要大量的反向传播，即每个像素一个攻击。其次，它对分割不适用，因为单个像素的扰动可能会对大面积产生影响（例如，一个像素攻击），从而阻碍完全有效预测的检测准确性。0预测。我们在§4.3中展示了我们的训练方案在准确性和速度上的表现优于测试时攻击。04. 实验0在本节中，我们进行了大量实验证明，我们提出的观察者网络结合局部对抗攻击在三个不同的基准测试上优于一组非常不同的方法。04.1. 数据集和度量0为了突出我们的结果，我们选择了三个测试集中带有异常的城市街景语义分割数据集。异常对应于在训练时未见过的分布外对象。CamVid OOD：我们设计了CamVid[9]的自定义版本，在图像的随机部分中插入来自[36]的随机动物。该数据集包含367个训练图像和233个测试图像。有19种不同的动物物种，每个测试图像中有一只动物。这个设置类似于Fishyscapes[6]，其主要优点是不需要使用外部评估服务器，并且我们提供了各种各样的基准2。StreetHazards：这是来自Carla模拟器的合成数据集[24]。它由5125个训练图像和1500个测试图像组成，收集于六个虚拟城镇。有250种不同的异常类型（如UFO、恐龙、直升机等），每个图像至少有一个异常。0为了确保我们的工作易于复制和扩展，我们公开发布了数据集生成和模型评估的代码，网址为https://github.com/valeoai/obsnet。157060(a) 无攻击0(b) 所有像素0(c) 按类别0(d) 正方形0(e) 随机形状0图3：对抗性攻击示例。顶部：放大的扰动25×；中部：带有攻击的输入图像；底部：SegNet预测。0BDD异常：由真实图像组成，该数据集来源于BDD100K语义分割数据集[65]。在这里，摩托车和火车被选为异常对象，并且所有包含这些对象的图像都从训练集中删除。剩余的数据集包含6688个训练图像和361个测试图像。为了评估每种方法在这些数据集上的性能，我们选择了三个用于检测错误分类和超出分布示例的度量标准以及一个用于校准的度量标准：0◦fpr95tpr[32]：当真阳性率等于95%时，它衡量了假阳性率。目标是在保证检测到一定数量的错误的同时获得尽可0◦接收器操作特性曲线下面积（AuRoc）[25]：这是一个无阈值的指标，表示某个示例具有比不确定示例更高的值的0◦精确率-召回率曲线下面积（AuPR）[25]：也是一个无阈值的指标。与AuRoc相比，AuPR对不平衡的数据集不太敏感。0◦自适应校准误差（ACE）[47]：与固定区间的标准校准指标相比，ACE调整每个区间的范围，更加关注大多数预测发生的区域。对于我们所有的分割实验，我们使用贝叶斯SegNet[2]，[28]作为主网络。因此，我们的ObsNet遵循与该SegNet相同的架构。ObsNet的架构、超参数和训练细节的消融研究可以在补充材料中找到。04.2.消融研究0首先，为了验证局部对抗攻击对改善观察者网络的贡献，我们在表2中展示了每个数据集上每个指标的性能差距。0数据集 Adv fpr95tpr  ↓  AuPR  ↑  AuRoc  ↑0CamVid OOD � 54.2 97.1 89.1 � 44.6 97.6 90.90StreetHazards � 50.1 98.3 89.7 � 44.7 98.9 92.70BDD异常 � 62.4 95.9 81.7 � 60.3 96.2 82.80表2：对每个数据集进行局部对抗攻击的评估。0这验证了使用LAA来训练观察者网络的原则（ii.a）。LAA可以看作是在ObsNet训练期间执行的数据增强。我们强调，这种类型的数据增强对于主网络的训练没有益处，这被称为鲁棒训练[38]，并且它需要一个外部的观察者网络。实际上，表3说明了当使用与对抗性增强相同的方式训练主网络时准确性的下降，因为深度神经网络的准确性和鲁棒性之间存在权衡[60]。相反，我们的方法在ObsNet训练期间保持主网络冻结，因此类别预测和准确性保持不变，验证了原则（i.a）。在表4中，我们通过改变噪声类型（在攻击所有像素、随机像素、来自特定类别的像素、在正方形区域内的像素和在随机形状内的像素之间变化）对LAA进行了消融研究，结果显示对随机形状区域进行的局部攻击产生了最佳的OOD检测代理（详细结果请参见补充材料），验证了原则（ii.b）。在表5中，我们对ObsNet的架构进行了多项消融研究。主要结论是模仿-Methodfpr95tpr↓ AuPR ↑ AuRoc ↑ ACE ↓Softmax [25]65.494.983.20.510Void [6]66.693.980.20.532AE [25]93.087.159.30.745MCDA [1]66.594.682.10.477Temp. Scale [19]63.894.983.70.356ODIN [32]60.095.485.30.500ConfidNet [10]60.996.285.10.450Gauss Pert. [15, 41]59.296.086.40.520Deep Ensemble [30] 56.296.687.70.459MC Dropout [17]49.397.390.10.463ObsNet + LAA44.697.690.90.446Methodfpr95tpr ↓ AuPR ↑ AuRoc ↑ ACE ↓Softmax [25]65.594.780.80.463Void [6]69.393.673.50.492AE [25]84.692.767.30.712MCDA [1]69.997.182.70.409Temp. Scale [19]65.394.981.60.323ODIN [32]61.395.082.30.414ConfidNet [10]60.198.190.30.399Gauss Pert. [15, 41]48.798.590.70.449Deep Ensemble [30]51.798.388.90.437MC Dropout [17]45.798.892.20.429ObsNet + LAA44.798.992.70.383157070数据集鲁棒平均IoU  ↑ 全局准确率  ↑0Camvid ODD - 49.6 81.8 � 41.6 73.90StreetHazards - 44.3 87.9 � 37.8 85.10Bdd异常 - 42.9 87.0 � 41.5 85.90表3：鲁棒训练对准确性的影响。0类型 fpr95tpr  ↓ AuPR  ↑ AuRoc  ↑0所有像素 51.9 97.1 89.6 稀疏像素 54.2 97.289.6 类别像素 46.8 97.2 89.9 正方形补丁 45.597.4 90.5 随机形状 44.6 97.4 90.60表4：通过改变被攻击区域进行的LAA消融研究。0方法 fpr95tpr  ↓ AuPR  ↑ AuRoc  ↑0较小的架构 60.3 95.8 85.3 ObsNet无跳跃 81.3 92.074.4 ObsNet无输入图像 57.0 96.9 88.2 ObsNet54.2 97.1 89.10表5：ObsNet架构消融研究。0从主网络的架构中选择并添加几个中间特征图的跳跃连接是获得最佳性能的关键（请参阅补充材料中的完整结果），验证了原则（i.b）。04.3. 定量和定性结果0我们在表6、表7和表8上报告了结果，包括上述所有指标。我们比较了几种方法：0◦  MCP  [ 25 ]: 最大类别预测。一减去最大预测值。0◦  AE  [ 25 ]: 自编码器基线。重构误差是不确定性度量。0◦  Void  [ 6 ]: 分割网络的Void/背景类别预测。0◦  MCDA  [ 1 ]:推理时添加几何和颜色变换等数据增强。我们使用25次前向传递的熵。0◦  MC Dropout  [ 17 ]:使用带有dropout的平均softmax预测的熵。我们对所有实验使用50次前向传递。0◦  Gaussian Perturbation Ensemble  [ 15 ,  41 ]:我们采用预训练网络，并用随机正态分布扰动其权重。这导致了以预训练模型为中心的网络集合。0◦  Con�dNet  [ 10 ]: Con�dNet是一个观察者网络，0Table 6:CamVid-ODD评估（最佳方法加粗，次佳方法下划线）。0Table 7:  StreetHazard评估（最佳方法加粗，次佳方法下划线）。0已经训练了以预测真实类别分数。我们使用在线可用的代码，并修改数据加载器以在我们的实验设置中测试C0◦  Temperature Scaling  [ 19 ]:我们选择超参数Temp以在验证集上获得最佳校准。然后，像MCP一样，我们使用缩放预测的最大值的一减。0◦  ODIN  [ 32 ]:ODIN对主网络进行测试时的对抗攻击。我们寻找最佳的超参数Temp和ϵ以在验证集上获得最佳性能。准则是最大预测值的一减。0◦  Deep ensemble  [ 30 ]:一个由3个网络组成的小型集合。我们使用平均前向传递的熵。从这些表中可以看出，ObsNet在所有三个数据集上在检测指标上明显优于所有其他方法。此外，ACE还显示我们在获得良好的校准值方面取得了成功。为了显示不确定性的定位，我们在测试集上勾画出不确定性地图（见图4）。我们可以看到，我们的方法不仅能够正确检测OODMethodfpr95tpr ↓ AuPR ↑ AuRoc ↑ ACE ↓Softmax [25]63.595.480.10.633Void [6]68.192.475.30.499AE [25]92.188.053.10.832MCDA [1]61.995.882.00.411Temp. Scale [19]61.895.881.90.287ODIN [32]60.695.781.70.353ConfidNet [10]61.695.981.90.367Gauss Pert. [15, 41]61.396.082.50.384Deep Ensemble [30]60.396.182.30.375MC Dropout [17]61.196.082.60.394ObsNet + LAA60.396.282.80.345157080Figure 4:  不确定性地图可视化。第一列：我们突出显示OOD对象的真实位置以帮助可视化它们（红色边界框）。第二列：SegNet的分割地图。第三到第五列：黄色突出显示的不确定性地图。与其他方法相比，我们的方法在OOD区域产生更强的响应，同时在常规错误区域（例如边界）上也很强。0表8: BddAnomaly上的评估结果(最佳方法用粗体表示，次佳方法用下划线表示).0对象，还可以突出预测错误的区域0错误(边缘、小物体和远处物体等)。最后，通过图1展示了准确性和速度之间的权衡，我们在不牺牲速度的情况下获得了出色的准确性。05. 结论0在本文中，我们提出了一种名为ObsNet的观察者网络，通过从触发的故障中学习来解决语义分割中的OOD检测问题。我们使用跳跃连接允许观察者网络在主网络内部寻找异常行为。我们使用局部对抗攻击来触发分割网络中的故障，并在这些样本上训练观察者网络。我们在三个不同的分割数据集上展示了我们将观察者网络与局部对抗攻击相结合的策略是快速、准确且能够检测未知对象的。157090参考文献0[1]  Murat Se c¸ kin Ayhan和Philipp Berens.用于深度神经网络中异方差Aleatoric不确定性估计的测试时数据增强. Medical Imaging with Deep Learning, 2018.  7 ,  80[2]  Vijay Badrinarayanan, Alex Kendall和Roberto Cipolla.Segnet: 一种用于图像分割的深度卷积编码器-解码器架构. IEEETrans. PAMI, 2017.  60[3]  Christoph Baur, Benedikt Wiestler, ShadiAlbarqouni和Nassir Navab.用于无监督异常分割的深度自编码模型在脑MR图像中的应用.在国际MICCAI Brainlesion Workshop上, 页码161-169.Springer, 2018.  20[4]  Victor Besnier, David Picard和Alexandre Briot.在自动驾驶中学习安全导向的语义分割的不确定性.arXiv预印本arXiv:2105.13688, 2021.  2 , 30[5]  Petra Bevandi ´ c, Ivan Kre ˇ so, Marin Or ˇ si ´ c和Sini ˇ saˇ Segvi ´ c. 在领域转移情况下同时进行语义分割和异常检测.在GCPR, 2019.  20[6]  Hermann Blum, Paul-Edouard Sarlin, Juan Nieto, RolandSiegwart和Cesar Cadena. Fishyscapes基准测试:测量语义分割的盲区. arXiv, 2019. 5 ,  7 ,  80[7]  Charles Blundell, Julien Cornebise, KorayKavukcuoglu和Daan Wierstra. 神经网络中的权重不确定性.ICML, 2015.  20[8]  Markus M Breunig, Hans-Peter Kriegel, Raymond T Ng和J¨ org Sander. Lof: 识别基于密度的局部异常值. 在2000年ACMSIGMOD国际数据管理会议上, 页码93-104, 2000.  20[9]  Gabriel J. Brostow, Julien Fauqueur和Roberto Cipolla.视频中的语义对象类别: 一个高清真实数据库. PatternRecognition Letters, 2008.  2 ,  50[10]  Charles Corbi ` ere, Nicolas Thome, Avner Bar-Hen, MatthieuCord和Patrick P ´ erez. 通过学习模型置信度来解决故障预测问题.在NeurIPS, 2019.  2 ,  3 ,  4 ,  7 ,  80[11]  Thomas M Cover. 信息论基础. John Wiley & Sons, 1999.10[12]  Clement Creusot和Asim Munawar.使用压缩RBM道路重建在高速公路上进行实时小障碍物检测.在2015年IEEE智能车辆研讨会(IV)上, 页码162-167. IEEE, 2015.  20[13]  Terrance DeVries和Graham W Taylor.学习神经网络中的ODD检测的置信度. arXiv, 2018.  30[14]  Michael W. Dusenberry, Ghassen Jerfel, Yeming Wen,Yian Ma, Jasper Snoek, Katherine Heller, Balaji Lakshmi-narayanan, and Dustin Tran.高效且可扩展的贝叶斯神经网络与一阶因子. 在ICML, 2020.  20[15]  Gianni Franchi, Andrei Bursuc, Emanuel Aldea, S ´ everineDubuisson和Isabelle Bloch. Tradi: 跟踪深度神经网络的权重分布.在ECCV, 2020.  2 ,  3 ,  7 ,  80[16] Yarin Gal。深度学习中的不确定性。博士学位，2016年。3[17] Yarin Gal和ZoubinGhahramani。Dropout作为贝叶斯近似：在深度学习中表示模型不确定性。在ICML，2016年。1，2，3，7，80[18] Ian J. Goodfellow，Jonathon Shlens和ChristianSzegedy。解释和利用对抗性示例。ICLR，2015年。4，50[19] Chuan Guo，Geoff Pleiss，Yu Sun和Kilian Q.Weinberger。关于现代神经网络的校准。ICML，2017年。1，3，7，80[20] Kaiming He，Georgia Gkioxari，Piotr Doll´ar和RossGirshick。Mask R-CNN。在ICCV，2017年。10[21] Kaiming He，Xiangyu Zhang，Shaoqing Ren和JianSun。用于图像识别的深度残差学习。在CVPR，2016年。10[22] Simon Hecker，Dengxin Dai和Luc VanGool。自动驾驶的故障预测。在2018IEEE智能车辆研讨会（IV）上，页1792-1799。IEEE，2018年。2，30[23] Matthias Hein，Maksym Andriushchenko和JulianBitterwolf。为什么ReLU网络在远离训练数据的地方产生高置信度预测，以及如何缓解这个问题。在CVPR，2019年。10[24] Dan Hendrycks，Steven Basart，Mantas Mazeika，Moham-madreza Mostajabi，Jacob Steinhardt和DawnSong。异常分割的基准。ArXiv，2019年。2，50[25] Dan Hendrycks和KevinGimpel。在神经网络中检测错误分类和超出分布的示例的基准。在ICLR，2017年。1，2，3，6，7，80[26] Dan Hendrycks，Kimin Lee和MantasMazeika。使用预训练可以提高模型的鲁棒性和不确定性。在ICML，2019年。