[论文解读] SafeAMC: Adversarial training for robust modulation recognition models

Javier Maroto, Gérôme Bovet+1 more|arXiv (Cornell University)|May 28, 2021

Wireless Signal Modulation Classification参考文献 28被引用 8

一句话总结

本文提出SafeAMC，一种新颖的对抗训练框架，旨在提升基于深度学习的自动调制识别（AMC）模型对难以察觉的对抗扰动的鲁棒性。通过在最大化误分类的对抗样本上微调模型，SafeAMC增强了模型的抗干扰能力，并使学习到的特征更接近贝叶斯最优决策边界，如扰动将星座点朝向正确调制类别移动的方式与最大似然方法一致所示。

ABSTRACT

In communication systems, there are many tasks, like modulation recognition, which rely on Deep Neural Networks (DNNs) models. However, these models have been shown to be susceptible to adversarial perturbations, namely imperceptible additive noise crafted to induce misclassification. This raises questions about the security but also the general trust in model predictions. We propose to use adversarial training, which consists of fine-tuning the model with adversarial perturbations, to increase the robustness of automatic modulation recognition (AMC) models. We show that current state-of-the-art models benefit from adversarial training, which mitigates the robustness issues for some families of modulations. We use adversarial perturbations to visualize the features learned, and we found that in robust models the signal symbols are shifted towards the nearest classes in constellation space, like maximum likelihood methods. This confirms that robust models not only are more secure, but also more interpretable, building their decisions on signal statistics that are relevant to modulation recognition.

研究动机与目标

• 解决基于深度神经网络（DNN）的自动调制识别（AMC）模型对对抗扰动的脆弱性，此类扰动可在输入变化极小时导致误分类。
• 开发一种专门针对AMC设计的防御机制——对抗训练，以提升模型在真实通信场景中的鲁棒性。
• 通过设计反映无线通信系统中真实对抗条件的框架，区分AMC中的实际安全与鲁棒性。
• 分析对抗训练如何影响AMC模型所学习的特征，特别是星座图空间中的特征，以评估可解释性与最优决策边界的对齐程度。
• 推广鲁棒性评估的最佳实践，例如将扰动归一化至信号能量，以确保公平且有意义的鲁棒性评估。

提出的方法

• 通过使用投影梯度下降（PGD）并采用目标损失函数生成对抗样本，对最先进AMC模型（如VT_CNN2_BF）应用对抗训练，以最大化预测特定目标调制的概率。
• 设计一种自定义评估框架，模拟无线通信中的真实对抗条件，包括相对于信号能量的信号-扰动比（SPR）归一化。
• 使用星座图可视化分析对抗扰动对信号符号的影响，比较标准模型与对抗训练模型的表现。
• 在受控对抗攻击下，于主流AMC数据集上评估模型的鲁棒性，测量性能退化与扰动影响。
• 将对抗扰动在星座空间中的方向与大小与理论上的贝叶斯最优偏移进行比较，以评估特征对齐程度。
• 通过使用信号能量归一化的范数（如20 dB SPR）来约束对抗扰动，以确保模型鲁棒性评估的现实性与公平性。

实验结果

研究问题

• RQ1 对抗训练能否在真实通信环境中有效提升基于深度学习的AMC模型对难以察觉的对抗扰动的鲁棒性？
• RQ2 标准模型与对抗训练模型生成的对抗扰动在星座图上的影响有何不同？这揭示了模型所学习特征的哪些信息？
• RQ3 通过对抗训练获得的鲁棒模型，在多大程度上学习到了与最大似然方法最优决策边界对齐的特征？
• RQ4 通过对抗训练获得的鲁棒性是否能转化为在分布偏移（如不同信道条件）下的更好泛化能力？
• RQ5 在AMC中，应如何公平评估对抗鲁棒性，特别是扰动能量相对于信号能量的归一化方式？

主要发现

• 对抗训练显著提升了最先进AMC模型的鲁棒性，降低了其对微小输入扰动的针对性对抗攻击的敏感性。
• 对抗训练模型生成的扰动会使星座点朝向最近的合法调制状态（如BPSK）移动，其行为与贝叶斯最优最大似然方法一致。
• 相比之下，标准模型生成的对抗扰动会使符号向随机方向移动，增加模型置信度但未与最优决策边界对齐。
• 星座空间中扰动的方向揭示了对抗训练模型学习到了更具可解释性与任务相关性的特征，尤其在BPSK和QPSK信号的正 quadrature 分量中表现明显。
• 鲁棒模型在分布偏移下表现出更好的迁移能力，表明对抗训练增强了模型对未见信道条件的泛化能力。
• 本研究强调了将对抗扰动相对于信号能量进行归一化（如使用SPR）的重要性，以确保在AMC中实现公平且现实的鲁棒性评估。