深度图像超分辨率对抗攻击的鲁棒性研究

303深度图像超分辨率对抗攻击Jun-Ho Choi1，Huan Zhang2，Jun-Hyuk Kim1，Cho-Jui Hsieh2，and Jong-SeokLee11延世大学{idearibosome，junhyuk.kim，jong-seok.lee}@ yonsei.ac.kr2加州大学洛杉矶分校计算机科学系huanzhang@ucla.educhohsieh@cs.ucla.edu摘要单图像超分辨率是指将低分辨率图像转换为高分辨率图像，是计算机视觉应用中的重要组成部分。本文研究了基于深度学习的超分辨率方法对对抗性攻击的鲁棒性，这些攻击可以显著恶化超分辨率图像，而不会在被攻击的低分辨率图像中产生明显的失真。它表明，国家的最先进的深度超分辨率的方法是非常脆弱的，能够对抗攻击。从理论和实验上分析了不同方法的鲁棒性水平我们还分析了攻击的可转移性，以及针对性攻击和通用攻击的可行性。1. 介绍单帧图像超分辨率，即生成一幅低分辨率图像的高分辨率版本，是近年来的研究热点之一。虽然双线性和双三次放大等简单插值方法已被广泛使用，但基于深度学习的方法的开发（由名为超分辨率卷积神经网络（SRCNN）的简单卷积网络模型触发）[7]提供了更好的放大图像质量。超分辨率技术的改进将其应用扩展到更广泛的领域，包括视频流，监控，医疗诊断和卫星摄影[23]。虽然已经引入了许多基于深度学习的超分辨率方法，但它们对有意攻击的鲁棒性近年来，深度网络的可攻击性一直是一个重要问题，因为各种调查报告称，攻击可以欺骗深层分类模型，并可能导致严重的安全问题[9，17]。对于超分辨率应用也会出现类似的问题，因为输出的恶化会直接影响采用超分辨率作为其关键部件的系统的可靠性和稳定性在本文中，我们研究了基于深度学习的超分辨率对对抗性攻击的鲁棒性，这是我们所知的第一项工作我们的攻击在输入图像中产生扰动，这些扰动在视觉上并不明显，但会大大降低输出的质量。本文的主要贡献可以概括如下。• 我们提出了三种针对超分辨率的对抗性攻击方法，它们稍微扰动了给定的低分辨率，分辨率的图像，但导致显着恶化的输出图像，包括基本，通用和部分攻击。这些方法是基于图像分类任务中广泛使用的方法，并针对超分辨率任务进行了• 我们提出了深入的分析的鲁棒性的超分辨率方法，通过提供实验，使用对抗性攻击方法计算结果。我们采用了各种最先进的基于深度学习的超分辨率方法，这些方法在模型结构、训练目标和模型大小方面具有不同的• 我们进一步研究了鲁棒性与模型性质的关系此外，我们还提供了三个高级主题，包括针对性攻击、攻击不可知的鲁棒性度量和简单的攻击防御方法。2. 相关工作超分辨率近年来，超分辨率研究的趋势已经转向基于深度学习的超分辨率研究。304方法. 其中一个显著的方法是增强型深度超分辨率（EDSR）模型[12]。后来，张某等人[25]提出了一种更 先 进 的 网 络 模 型 ， 称 为 剩 余 通 道 注 意 力 网 络（RCAN），它应用注意力机制来有效地利用图像特征。虽然上述方法专注于在峰值信噪比（PSNR）方面实现高性能，但一些研究人员认为，仅考虑这种失真度量并不一定能提高感知图像质量[5]。为了解决这个问题，提出了一种基于生成对抗网络（GAN）的优化超分辨率方法[8]。最先进的方法之一是增强型超分辨率生成对抗网络（ESRGAN）[19]，即使PSNR值较低，它也会生成比其他传统方法更具视觉吸引力的输出Choi等人 [6]开发了四遍感知增强放大超分辨率（4PP-EUSR）方法，该方法考虑了定量和感知质量，以获得更自然的放大图像。由于超分辨率在移动应用中也是一个有用的组成部分，一些研究集中在节省计算资源，同时保持合理的性能。例如，Ahn等人。 [3]提出了级联残差网络（CARN）及其移动版本（CARN-M），其采用具有共享模型参数的级联残差块。对抗性攻击。最近的研究表明，深度图像分类器容易受到各种对抗性攻击。Szegedy等人。 [18]提出了一种基于优化的攻击方法，旨在通过改变分类器的分类结果好家伙等。[9]发展快速梯度符号法对抗性攻击。Yin等人 [22]采用对超分辨率的对抗攻击来欺骗后续的计算机视觉任务。然而，这些研究调查了对抗性攻击对其他任务的有效性，而不是超分辨率任务本身，包括图像分类，风格转移和图像字幕，其中超分辨率被用作主要任务之前的预处理步骤。因此，本文所研究的超分辨率本身对对抗性攻击的鲁棒性问题，以前没有得到解决。3. 攻击超分辨率3.1. 基本攻击对抗性攻击超分辨率模型的目标是在给定的输入图像中注入少量的扰动，使得扰动在视觉上不可感知，但会导致超分辨率输出的显著恶化。为此，我们开发了一种基于I-FGSM [11]思想的算法，这是分类模型中最广泛使用的强攻击之一令X0表示原始低分辨率输入图像，X表示X0的攻击版本。 从这些图像中，通过给定的超分辨率模型f（·），我们分别得到了超分辨率高分辨率图像f（X0）和f（X）. 我们的目标是最大化超分辨率输出中的恶化量罚款为：L（X，X0）=||f（X）−f（X0）||二、（一）为了找到一个在有界范数约束（<$X−X0<$∞≤α）下最小化（1）的X，我们采用I-FGSM更新规则，通过以下方式.α。ΣΣ（FGSM），其使用从分类器获得的梯度的符号。Kurakin等人[11]将其扩展到Xn+1=clip0，1Xn+ sgn<$L（Xn，X0）不（二）迭代方法（I-FGSM），它显示出更高的成功率比FGSM的攻击。这些攻击被称为强攻击方法，几乎可以欺骗所有最先进的图像分类器，成功率很高[17]。一些研究对深度学习模型的鲁棒性进行了深入分析。Liu等人。 [13]测量对抗图像的可转移性，这是为了找出为分类器发现的扰动是否也适用于另一个分类器。Moosavi-Dezfooli等人 [15]研究了一种通用的扰动，可以应用于给定数据集中的所有图像。Weng等人[20]提出了一种理论上的鲁棒性度量，它不依赖于特定的攻击方法。对抗性攻击超分辨率。最近，将超分辨率任务与对抗性攻击相结合已经出现。Mustafa等人 [16]提出了一种利用超分辨率来防御深度图像分类器Xn+1=clip−α，α（X<$n+1−X0）+X0（3）.Σ其中T是迭代次数，sgn<$L（Xn，X0）是（1）的梯度的符号，以及.Σ剪切a，b（X）= min max（X，a），b.（四）项α不仅控制计算的梯度在每次迭代时提供的贡献量，而且还限制最大扰动量以防止受攻击的输入图像发生明显变化。最后一个对抗性例子由X=XT得到。3.2. 通用攻击尽管如第3.1节所述，可以为每个图像找到对抗图像，但是也可以找到图像不可知的对抗扰动，其可以影响特定超分辨率方法的任何输入图像[15]。我们3050002方法#参数层数基于GAN的4.实验结果EDSR [12]43.1M69-EDSR-基线[12]1.5M37-数据集 我们采用了三个图像数据集，RCAN [25]15.6M815-用于对超分辨率方法进行基准测试：设置5 [4]，4PP-EUSR [6]6.3M95[24]和BSD 100 [14]。 每个数据集由5个，ESRGAN [19]16.7M351C14和100个图像。RRDB [19]16.7M351-超分辨率方法。我们考虑了八个州-CARN [3]1.1M34最先进的基于深度学习的超分辨率方法CARN-M [3]0.3M43-具有各种型号尺寸和性能，包括EDSR表1.超分辨率方法的性质在我们的研究中应用这个概念，通过改变我们的基本攻击的公式如下。假设数据集中有K个图像，其中第k个图像表示为Xk。 用一个普遍的微扰因此，我们可以获得对抗图像：[12]，EDSR-基线[12]，RCAN [25]，4PP-EUSR [6]，[19][表1显示了它们在模型参数数量、卷积层数量以及是否使 用 GAN 进 行 训 练 方 面 的 特 征 。 EDSR-baseline 是EDSR的较小版本，RRDB是在没有GAN的情况下训练的ESRGAN的替代版本，CARN-M是CARN的轻量级版本Xk=剪辑0、1（Xk+ X）。（五）模型参数。此外，我们还考虑了双三次插值，以比较其鲁棒性与然后，我们计算平均恶化量为：对抗性攻击与基于深度学习的方法。我们考虑对于所有的F（）=1ΣKKk=1L（Xk，Xk）.（六）超分辨率方法此外，我们采用了原作者提供的预训练模型。实作详细数据。我们的对抗性攻击冰毒-从φ0= 0开始，更新普适扰动迭代为：.α。ΣΣods在TensorFlow框架上实现[2]。为 所有 的 攻击 方法，设α∈{1/255，2/255，4/255，8/255，16/255，32/255}和T=n+1= clip−α，αn+Tsgn.（七）50块对于普适攻击，需要具有固定空间分辨率的微扰方法，以便将其应用于所有非线性系统。最终的普适微扰可以通过ψ = ψT得到。3.3. 局部攻击第3.1节中的基本攻击发现覆盖给定图像的整个区域的扰动。我们进一步研究了超分辨率方法的鲁棒性，数据集中的年龄。因此，我们以固定的分辨率裁剪每个输入图像的中心区域。对于部分攻击，我们设置掩码M以便攻击输入图像的中心部分，即，.1 如果w≤x3w，h≤y3h只攻击图像的某一部分，但测量未被攻击的区域中的劣化M（x，y）=4 4 40否则四（十）钉好了。通过这个实验，我们可以检查在超分辨率过程中有多少扰动渗透到相邻区域令M表示扰动的二进制掩码，其中只有要攻击的区域被设置为1。屏蔽扰动是M，其中表示逐元素乘法。那么，（2）可以修改为：其中M（x，y）是M在（x，y）处的值，并且w和h是输入图像的宽度和高度。业绩衡量。我们衡量的鲁棒性的超分辨率方法对我们的对抗攻击方法的PSNR。对于低分辨率（LR）图像，我们计算原始图像和攻击图像之间的PSNR值X0和X.对于超分辨率X~。α。在SR图像中，测量输出图像之间的PSNRn+1=剪辑0、 1哪里Xn+ sgn<$LM（Xn，X0）<$M不（八）从原始的和被攻击的输入图像中获得，即，f（X0）和f（X）.我们报告每个数据集的平均PSNR值对于部分攻击，我们计算PSNR.. .ΣL M（X，X0）=.. f（X）− f（X0）..◦ （1−MH）.. .（ 九）值仅用于输出图像的外部区域，该外部区域对应于攻击期间的掩蔽区域。在 （ 9 ） 中 ， MH 是 M 的 高 分 辨 率 对 应 物 。 项（1−MH）确保仅在未扰动区域计算恶化量最后一个对抗性例子由X=XT得到。3064.1. 基本攻击图1比较了I-FGSM攻击的超分辨率方法在PSNR方面307EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三峰值信噪比（dB）峰值信噪比（dB）60504030201001 2 4 8 16 32α（/255）(a) 设置5，LR5060504030201001 2 4 8 16 32α（/255）(b) 组14，LR5060504030201001 2 4 8 16 32α（/255）(c) BSD 100，LR5040 40 4030 30 3020 20 2010 10 1001 2 4 8 16 32α（/255）(d) 第5组，SR01 2 4 8 16 32α（/255）(e) 组14，SR01 2 4 8 16 32α（/255）(f) BSD 100，SR图1.针对Set5 [4]、Set14 [24]和BSD 100 [14]数据集的基本攻击，比较低分辨率（LR）和超分辨率（SR）图像相对于不同α值的PSNR值EDSR-基线RCAN 4PP-EUSRESRGAN RRDB CARN CARN-M双三次图2.直观比较α= 8/255攻击输入的超分辨率输出。在每种情况下，（左上）是Set5 [4]中的原始输入，（右上）是对抗输入，（下）是从对抗输入获得的输出。输入图像被放大两倍以获得更好的可视化效果。在第3.1节中解释。随着α的增加，LR和SR图像的质量退化变得严重。然而，它在SR图像中比在LR图像（即，较低的PSNR值），除了双三次插值。例如，在Set5数据集上，EDSR模型的LR和SR图像的PSNR值为41.37峰值信噪比（dB）峰值信噪比（dB）峰值信噪比（dB）峰值信噪比（dB）308峰值信噪比（dB）30 3025 2520 20151510 1050 10 20 30 40模型参数数（×106）（一）50 200 400 600 800卷积层数（b）第（1）款图3. BSD 100 [14]的SR图像的PSNR值与模型大小的比较（a）模型参数的数量和（b）卷积层的数量（α= 8/255）。蓝色和红色分别表示使用和不使用GAN训练的模型。目标模式l与RRDB相同的结构，但使用不同的峰值信噪比（dB）EDSR- 基线RCAN4PP-EUSRESRGANRRDBCarn CARN-M目标（即，考虑感知质量），ESRGAN比RRDB更显著的脆弱性意味着训练目标的差异影响对抗性攻击的鲁棒性。众所周知，采用GAN的方法往往比其他方法生成更清晰因此，这些方法显著地放大了小扰动，并产生图4.在PSNR方面的可转移性的比较，当α= 8/255时，BSD 100数据集[14]。红色和蓝色分别表示每个目标模型的最低和最高PSNR值（对角单元除外）。当α= 8/255时，平均噪声为17.05dB。注意，具有高于30 dB的PSNR值的两个图像可以被视为视觉上相同的图像[10]。图2示出了用于以下的LR和SR图像的示例：α=8/255。总体而言，对于所有的超分辨率方法，原始图像和扰动输入图像之间没有明显的差异。然而，对于所有方法，在SR图像中可以观察到显著的质量劣化。ESRGAN显示最差的视觉质量，SR图像的所有部分都有退化，这也可以在图1d，1e和1f中观察到最低的PSNR值。对于其他超分辨率模型，观察到指纹状图案。这证明了所有基于深度学习的超分辨率方法都非常容易受到对抗性攻击。相比之下，双三次方法虽然在干净数据上具有较低的超分辨率质量，但与基于深度学习的方法相比要强大得多。与模型目标的关系。ESRGAN和4PP-EUSR采用GAN来考虑感知质量的改善，比其他方法产生更明显的退化输出由于ESRGAN拥有不良纹理，这使得它们比没有GAN的方法更容易与模型尺寸有关。观察到超分辨模型的可分辨性与其模型尺寸有关。例如，EDSR基线（EDSR的较小版本）显示SR图像的PSNR值高于EDSR，如图1d、1e和1f所示这在图3中得到了证实，我们在图3中比较了模型大小的稳健性。该图解释了当采用更多的模型参数或更多的卷积层时，SR图像的PSNR值趋于降低。对这一现象的进一步分析见第4.3节。可转让性。在分类任务中，“转移能力”意味着一个错误分类的对立样本也被另一个分类器错误分类的可能性[13]。我们还研究了对抗性攻击在超分辨率中的可转移性。换句话说，将针对“源”超分辨率模型找到的对抗示例图4总结了BSD 100数据集上基于深度学习的超分辨率模型的可移植性，其中α= 8/255。该图表明，对抗示例在一定程度上可以在不同模型之间转移，并且可转移性的水平取决于源模型和目标模型的组合。CARN和EDSR的对抗性例子-EDSR16.1432.8825.8223.8616.2623.5732.80三十七点七四EDSR基线24.4419.1923.6521.2315.1522.2926.8233.62RCAN30.5735.4915.8926.6018.9429.7435.57四十点四十六4PP-EUSR27.2532.7626.8315.0216.1624.7132.8737.97ESRGAN28.6433.11二十八点五十九分24.289.5733.30三十六点五六RRDB25.5533.0925.3123.7715.8614.5932.9138.11Carn24.1226.0523.8321.4515.2422.1519.40三十三点五一CARN-M27.3428.2027.2023.4916.2726.7728.20二十六点六峰值信噪比（dB）源模式lCARN-MCarnEDSR-basElineRCANEDSr4PP-EUSRRRDBESRGANCARN-MCarnEDSR基础EDSREline4PP-EUSRRRDBRCANESRGAN309EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三60504030201001 2 4 8 16 32α（/255）(a) LR504030201001 2 4 8 16 32α（/255）(b) Sr图5. LR和SR图像的PSNR值相对于BSD 100数据集上的通用攻击的不同α值的比较[14]。(a)（b）（c）（d）（e）（f）图6. RCAN模型在BSD 100数据集[14]上进行α= 4/255的通用攻击的可视化示例。(a)LR（原始）（b）扰动（c）LR（攻击）（d）SR（基线是高度可转移的，而那些RCAN是最小的可转移。结果表明，RCAN在从输入图像中恢复纹理时有其自身的特点，这使得与这些特点相关的扰动在其他超分辨率方法中不那么有效。4.2. 通用攻击图5比较了当应用通用攻击时，针对不同α值该图证实了超分辨率模型也容易受到图像不可知的通用攻击，尽管通用攻击需要输入图像的更大扰动（即，图5a中的PSNR值略低于图1c中的PSNR值）并且比特定于图像的攻击稍微弱（即，图5b中的PSNR值略高于图1f中的PSNR值）。与基本攻击的结果（图1）相比，观察到相同的趋势：ESRGAN和4PP-EUSR都是最脆弱的，双三次插值是最强大的。图6显示了RCAN通用攻击的可视化示例，其中α为4/255。从BSD 100数据集的所有图像中，我们的攻击方法找到了一个通用的扰动（图6b），它将图6a中所示的输入图像更改为图6c中的图像。虽然受攻击的LR图像与原始图像几乎没有明显的差异，但其放大版本包含显著的伪影如图6d所示。在用相同扰动攻击的其他SR图像中可以观察到类似的伪影，如图6e和6f所示。这表明，使用深度学习的最先进的超分辨率方法也容易受到普遍扰动的影响。4.3. 局部攻击图7显示了部分攻击的SR图像相对于不同α值的PSNR值。超分辨率方法在PSNR方面的等级与基本攻击的等级相同，除了部分攻击的PSNR值远高于基本攻击的PSNR值，因为测量PSNR的区域在LR图像中没有直接扰动。这表明，在放大期间扰动到相邻像素的传播说明了不同超分辨率模型的不同水平的可例如，由于部分攻击，ESRGAN的所有PSNR值，除了Set5中的α= 1之外，都低于30 dB。图8显示了从Set 14数据集中的图像获得的示例SR图像，这些图像被α= 8/255部分攻击。由于攻击而导致的降级传播到受攻击区域之外，这对于ESRGAN和RRDB尤其明显。这是因为卷积层的内核不仅对目标位置的像素进行操作此外，由于这种操作引起的扰动的传播进一步扩展通过多个卷积层，峰值信噪比（dB）峰值信噪比（dB）310EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三EDSREDSR-基线RCAN4PP-EUSRESRGANRRDBCARNCARN-M双三n −7060504030201001 2 4 8 16 327060504030201001 248 16 327060504030201001 2 4 8 16 32α（/255）(a) Set5α（/255）(b) 产品14α（/255）(c) BSD100图7.针对部分攻击的不同α值的SR图像的PSNR值的比较EDSR-基线RCAN 4PP-EUSRESRGAN RRDB CARN CARN-M双三次图8.部分对抗攻击的SR图像的视觉比较，α= 8/255在Set 14的图像上[24]。用黄色框标记的区域对应于LR图像中应用攻击的区域。这说明了图3b所示的结果。5. 高级主题5.1. 针对性的攻击在分类任务的情况下，有可能攻击图像，使得分类器错误地将图像分类为特定目标类别。我们提出了一个展示，证明这一概念也可以应用到超分辨率方法。换句话说，目标攻击不是降低输出图像的质量，而是使超分辨率方法生成比原始地面实况图像更类似于目标图像为此，我们将（2）修改为：LR（原始）LR（目标）LR（攻击）HR（原始）HR（目标）SR（攻击）Xn+1=clipXα0、1T.sgnL（Xn ，X）（十一）图9.针对4PP-EUSR [6]使用两帧视频“工头”[1]进行α= 16/255其中X是目标图像。为了演示，我们使用两个相邻的帧，视频名为“工头”[1]。图9显示了4PP-EUSR的结果，其中α= 16/255，T= 50。 图峰值信噪比（dB）峰值信噪比（dB）峰值信噪比（dB）Σ.311表明有针对性的攻击成功：产生扰动以使超分辨率方法产生放大的输出（“SR（攻击）”），其看起来312100000101100图10. BSD 100数据集[14]当α= 1/255时。每个点对应于数据集中的每个图像与 具有 睁 开眼 睛的 原 始地 面 实况 图 像（ “HR （ 原始）”）相比，具有半闭眼睛的此外，我们对20名人类观察者进行了主观测试，其中10人将攻击输出（“SR（攻击）”）识别 这些结果具有严重的安全影响：对超分辨率的攻击不仅会损害超分辨率的基本目标（即，图像质量增强）而且还危害超分辨率图像的进一步手动或自动检查识别监视摄像机中的人或物体、识别图像中的文本等）。5.2. 稳健性测量最近，Weng等人 [20]提出了一种与攻击无关的分类模型鲁棒性度量，称为交叉Lipschitz极值网络鲁棒性（CLEVER），它不依赖于特定的攻击方法。利用极值理论中的交叉Lips-chitz常数来我们将该方法的核心思想应用于超分辨率任务，以便从理论上验证第4节中所示的实验结果。令X0表示原始输入图像。我们首先获得Ns个随机扰动，对于每个像素，这些扰动在[−α，α]设φ（i）表 示 第 i 个 随 机 扰 动 . 然 后 ， 我 们 计 算 bi=||L（X0+||1，其中L在（1）中定义。最后，我们将最大bi视为鲁棒性指数x;dex表示高度脆弱性。我们将Ns和α分别设为1024和1/255图10显示了BSD 100数据集的SR图像的PSNR值和八种基于深度学习的超分辨率方法的鲁棒性指标，其中PSNR值是从具有相同α值的基本攻击中获得的（第4.1节）。结果表明鲁棒性指标与PSNR强相关。例如，ESRGAN具有最大的鲁棒性指数，其显示最低的PSNR值; EDSR基线模型在以下方面具有与CARN模型相似的鲁棒性PSNR和鲁棒性指数。此外，在每种方法中，鲁棒性指数成功地解释了不同图像的相对脆弱性。解释超分辨率方法的鲁棒性的CLEVER方法的适用性意味着对抗性攻击的潜在机制在分类和超分辨率任务之间具有相似性。5.3. 国防我们展示了两种简单的防御攻击的方法。首先，我们采用一种方法[21]，将被攻击的输入图像的大小减小一个像素，然后将其恢复到原始分辨率，然后将其输入到SR模型。由此，α= 8/255的EDSR的PSNR从16.14 dB增加到25.01 dB。其次，我们采用EDSR模型中使用的几何自集成方法[12]。由此，α= 8/255的EDSR的PSNR从16.14 dB增加到23.47 dB。在今后的工作中可以研究更先进的防御方法。6. 结论我们已经研究了基于深度学习的超分辨率方法对对抗性攻击的鲁棒性，其中分类任务的攻击方法针对我们的目标进行了优化。我们的研究结果表明，最先进的基于深度学习的超分辨率方法非常容易受到对抗性攻击，这在很大程度上是由于通过卷积运算的扰动传播使用攻击不可知的鲁棒性度量可以度量不同方法的不同鲁棒性水平。我们还展示了生成通用攻击和跨超分辨率方法转移攻击的可行性。此外，有针对性的攻击可以在超分辨率过程中改变图像的内容确认这项研究得到了MSIT（Ministry）的支持。在韩国信息通信技术规划评估研究所（IITP）的监督下，在“ICT一致性创造计划”（IITP-2019-2017-0-01015）下此外，这项工作还得到了韩国政府（MSIT）资助的IITP赠款的支持（R7124-16-0004，基于上下文感知和人类意图理解的智能交互技术的开发）。稳健性指数000EDSREDSR基线RCAN0004PP-EUSRESRGANRRDB10Carn10 20 304050CARN-M峰值信噪比（dB）313引用[1] YUV 4：2：0视频序列。http://trace.eas的网站。asu.edu/yuv/index.html的网站。7[2] Mart´ın Abadi， Paul Barham ， Jianmin Chen ， ZhifengChen ， Andy Davis ， Jeffrey Dean ， Matthieu Devin ，Sanjay Ghe-mawat，Geoffrey Irving，Michael Isard，etal.TensorFlow：一个大规模机器学习系统。在USENIX操作系统设计与实现研讨会论文集，第265-283页，2016年。3[3] Namhyuk Ahn、Byungkon Kang和Kyung-Ah Sohn。使用级联残差网络实现快速、准确、轻量的超分辨率。在欧洲计算机视觉会议论文集，第252-268页，2018年。二、三[4] Marco Bevilacqua、Aline Roumy、Christine Guillemot和Marie Line Alberi-Morel。基于非负邻域嵌入的低复杂度单幅图像超分辨率英国机器视觉会议论文集，第1-10页，2012年。三、四[5] 约柴·布劳和托莫·麦克利。感知失真的权衡。在IEEE计算机视觉和模式识别会议论文集，第6228-6237页，2018年。二、五[6] Jun-Ho Choi，Jun-Hyuk Kim，Manri Cheon，and Jong-Seok Lee.基于深度学习的图像超分辨率，考虑定量和感知质量。arXiv：1809.04789，2018。二、三、七[7] Chao Dong ， Chen Change Loy ， Kaiming He ， andXiaoou Tang.学习用于图像超分辨率的深度卷积网络。在Proceedings of the European Conference on ComputerVision，第184-199页，2014年。1[8] 伊恩·古德费洛、让·普盖特-阿巴迪、迈赫迪·米尔扎、许冰、大卫·沃德-法利、谢尔吉尔·奥扎尔、阿伦·库维尔和约舒亚·本吉奥。生成性对抗网。神经信息处理系统进展论文集，第2672-2680页，2014年2[9] Ian J. Goodfellow，Jonathon Shlens，Christian Szegedy.解释和利用对抗性的例子。2015年学习表征国际会议论文集。一、二[10] 荣煌和樱井光一。一种基于压缩感知的鲁棒性与压缩结合 的 数 字 图 像 加 密 方 法 。 在 Proceedings of theInternational Conference on Intelligent Information Hidingand Multimedia Signal Processing，第105-108页，2011年。5[11] Alexey Kurakin，Ian Goodfellow，and Samy Bengio.大规模的对抗性机器学习。在2016年国际学习表征会议论文集。2[12] Bee Lim ， Sanghyun Son ， Heewon Kim ， SeungjunNah，and Kyoung Mu Lee.单图像超分辨率的增强深度残差网络。在IEEE计算机视觉和模式识别工作室会议上，第136-144页二、三、八[13] Yanpei Liu，Xinyun Chen，Chang Liu，and Dawn Song.深入研究可转移的对抗性例子和黑盒攻击。在2016年学习代表国际会议论文集。二、五[14] David Martin Charless Fowlkes Doron Tal和Jitendra Malik人类分割自然图像数据库及其在评估分割算法和测量生态统计中的应用在IEEE计算机视觉国际会议论文集，第416- 423页，2001年。三、四、五、六、八[15] Seyed-Mohsen Moosavi-Dezfooli ， Alhussein Fawzi ，Omar Fawzi，and Pascal Frossard.普遍对抗性扰动。在IEEE计算机视觉和模式识别会议论文集，第1765-1773页，2017年。2[16] Aamir Mustafa ， Salman H. Khan ， Munawar Hayat ，Jianbing Shen，and Ling Shao.图像超分辨率作为对抗性攻击的防御。arXiv：1901.01677，2019。2[17] Dong Su，Huan Zhang，Hongge Chen，Jinfeng Yi，Pin-Yu Chen，and Yupeng Gao.鲁棒性是准确性的代价吗？- 对18种深度图像分类模型的鲁棒性进行了全面研究。在欧洲计算机视觉会议论文集，第631-648页，2018年。一、二[18] Christian Szegedy、Wojciech Zaremba、Ilya Sutskever、Joan Bruna 、 Dumitru Erhan 、 Ian Goodfellow 和 RobFergus。神经网络的有趣特性。在2014年学习表征国际会议上。2[19] Xintao Wang，Ke Yu，Shixiang Wu，Jinjin Gu，YihaoLiu ， Chao Dong ， Yu Qiao ， and Chen ChangeLoy.ESRGAN：增强的超分辨率生成对抗网络。在欧洲计算机视觉研讨会会议记录中，第63-79页，2018年。二、三[20] Tsui-Wei Weng ， Huan Zhang ， Pin-Yu Chen ， JinfengYi，Dong Su，Yupeng Gao，Cho-Jui Hsieh，and LucaDaniel.评估神经网络的鲁棒性：极值理论方法。在2018年学习代表国际会议论文集。二、八[21] Cihang Xie ， Jianyu Wang ， Zhishuai Zhang ， ZhouRen，and Alan Yuille.通过随机化减轻对抗效应。在2018年学习代表国际会议论文集。8[22] 尹明浩、张永兵、秀立、王世奇。当深傻瓜遇到深先验：超分辨率网络的对抗性攻击。ACM国际多媒体会议论文集，第1930-1938页，2018年。2[23] Linwei Yue ， Huanfeng Shen ， Jie Li ， QiangqiangYuan，Hanyan Zhang，and Liangpei Zhang.图像超分辨率：技术，应用和未来。信号处理，128：389-408，2016。1[24] Roman Zeyde，Michael Elad，and Matan Protter.关于使用 稀 疏 表 示 的 单 图 像 放 大 在 Proceedings of theInternational Conference on Curves and Surfaces，第711-730页三、四、七[25] Yulun Zhang ， Kunpeng Li ， Kai Li ， Lichen Wang ，Bineng Zhong，and Yun Fu.基于极深残差通道注意力网络的图像超分辨率。在欧洲计算机视觉会议论文集，第286-301页，2018年。二、三