[論文レビュー] On Robustness of Lane Detection Models to Physical-World Adversarial Attacks in Autonomous Driving

Takami Sato, Qi Alfred Chen|arXiv (Cornell University)|Jul 6, 2021

Adversarial Robustness in Machine Learning参考文献 46被引用数 4

ひとこと要約

本論文は、自動運転における物理的攻撃に対する最先端のレーン検出モデルの耐性について、初めての大規模な実証的調査を実施した。その結果、従来の精度およびF1スコア指標で最も優れた性能を示すモデルが、エンドツーエンドの自動運転シナリオではしばしば最も耐性が低いことが判明し、現実の安全性およびセキュリティを反映するための現在の評価基準の不適切さが浮き彫りになった。

ABSTRACT

After the 2017 TuSimple Lane Detection Challenge, its evaluation based on accuracy and F1 score has become the de facto standard to measure the performance of lane detection methods. In this work, we conduct the first large-scale empirical study to evaluate the robustness of state-of-the-art lane detection methods under physical-world adversarial attacks in autonomous driving. We evaluate 4 major types of lane detection approaches with the conventional evaluation and end-to-end evaluation in autonomous driving scenarios and then discuss the security proprieties of each lane detection model. We demonstrate that the conventional evaluation fails to reflect the robustness in end-to-end autonomous driving scenarios. Our results show that the most robust model on the conventional metrics is the least robust in the end-to-end evaluation. Although the competition dataset and its metrics have played a substantial role in developing performant lane detection methods along with the rapid development of deep neural networks, the conventional evaluation is becoming obsolete and the gap between the metrics and practicality is critical. We hope that our study will help the community make further progress in building a more comprehensive framework to evaluate lane detection models.

研究の動機と目的

• 自動運転における現実世界の物理的敵対的攻撃に対するレーン検出モデルの耐性を評価すること。
• エンドツーエンドの自動運転システムにおける実用的耐性を反映しない従来の評価指標（精度、F1スコア）の限界を特定すること。
• OpenPilotを用いてレーン検出モデルと車両の横方向制御を統合し、モデルと実車両制御を橋渡しする公平な評価手法を開発すること。
• 物理的攻撃の3種類（白ボックス微分可能パッチ（DRP）、ブラックボックスDRP、描画レーンライン攻撃）に対して、4つの主要なレーン検出アプローチの脆弱性を評価すること。
• 現実の安全性およびセキュリティ要件をよりよく反映する包括的な評価フレームワークの導入を提唱すること。

提案手法

• 最先端のDNNベースのレーン検出モデルを4つのカテゴリに分類：セグメンテーション、ロウワイズ分類、アンカーベース、キーポイントベース。
• OpenPilotの横方向制御システムとレーン検出出力を統合することで、エンドツーエンドの評価パイプラインを構築し、実際の自動運転行動をシミュレートした。
• 3種類の物理的攻撃を適用：白ボックス微分可能パッチ（DRP）、ブラックボックスDRP、描画レーンライン攻撃。
• ステルス性制約（例：グレースケール、限定された摂動領域）の下で、勾配フリー最適化（NESベース）を用いてブラックボックス物理的敵対パッチを生成した。
• 従来の指標（精度、F1）とエンドツーエンドの運転性能（横方向偏差）の両方でモデルのパフォーマンスを評価した。
• 同一の攻撃条件下でモデル間の耐性を公平に比較できるように、制御された実験設定を設計した。

実験結果

リサーチクエスチョン

• RQ1 従来の評価指標（精度、F1スコア）とエンドツーエンドの自動運転シナリオにおける耐性の相関関係はいかほどか？
• RQ2 現実の走行条件下で、どのレーン検出モデルアーキテクチャが物理的攻撃に対して最も脆弱であるか？
• RQ3 物理的敵対攻撃におけるステルス性制約が、クエリベース（ブラックボックス）攻撃の効果をどの程度低下させるか？
• RQ4 実際の車両制御システム（OpenPilot）とレーン検出出力を統合することで、従来のベンチマークでは見えなかった隠れた脆弱性がどのように明らかになるか？
• RQ5 単純で実装可能な攻撃（例：レーンラインの描画）に対して、モデルレベルまたはセンサーフュージョン防御はリスクを軽減できるか？

主な発見

• 従来の精度およびF1スコア指標で最も耐性が高いとされたモデルが、エンドツーエンド評価では最も脆弱であることが判明し、標準ベンチマークと現実世界のパフォーマンスの間で深刻な乖離が生じていることが示された。
• 白ボックスDRP攻撃は、すべてのモデルで高い成功率を示し、攻撃者がモデルに完全にアクセス可能な場合の高い脆弱性を示している。
• ブラックボックスDRP攻撃は想定よりも効果が低く、勾配推定の複雑さ（例：グレースケール、限定された摂動領域）に起因する可能性が高い。
• 描画レーンライン攻撃は特に効果的で、容易に実装可能であり、LaneATTは特に脆弱である可能性がある。これはおそらくアンカーベース構造に起因する。
• 単純で低コストな物理的攻撃（例：レーンラインの描画）に対する脆弱性は、実装の容易さを鑑みれば、深刻な現実世界のセキュリティリスクをもたらす。
• 現在の従来の評価方法は、自動運転の安全性に直接影響を与える重要な耐性の問題を捉えていないため、もはや陳腐化している。