Semantic Smoothing via Novel View Synthesis for Robust SAR Image Classification

Resumo Técnico: Suavização Semântica via Síntese de Novas Vistas para Classificação Robusta de Imagens SAR

Declaração do Problema
Redes neurais profundas (DNNs) utilizadas para Reconhecimento Automático de Alvos (ATR) em Radar de Abertura Sintética (SAR) são vulneráveis a perturbações adversariais, representando riscos em aplicações críticas para a segurança. Embora a suavização aleatória seja uma defesa fundamentada que melhora a robustez ao agregar previsões sobre entradas ruidosas, ela tipicamente depende de ruído gaussiano isotrópico. Essa abordagem falha em preservar a estrutura semântica das imagens SAR, onde a aparência do objeto depende fortemente da geometria de aquisição (ângulos de azimute e elevação). Consequentemente, o ruído isotrópico frequentemente gera amostras que não correspondem a observações físicas significativas, tornando a defesa menos eficaz contra ataques específicos do domínio que exploram a física do radar (por exemplo, comportamento de espalhamento) em vez de simples ruído no espaço de pixels.

Metodologia
Os autores propõem a Suavização Semântica, um framework de defesa que substitui a injeção de ruído isotrópico por transformações estruturadas e preservadoras de semântica, geradas por um modelo de Síntese de Novas Vistas (NVS).

1. Conceito Central: Em vez de perturbar uma imagem de entrada com ruído aleatório, o método utiliza um modelo generativo para sintetizar múltiplas vistas plausíveis do mesmo objeto sob transformações geométricas aleatórias, porém controladas. As previsões do classificador sobre essas vistas sintetizadas são agregadas (via votação majoritária) para formar uma previsão final robusta.
2. Modelo Generativo (GeNVS): O framework utiliza um Modelo Probabilístico de Difusão com Remoção de Ruído (DDPM) modificado, combinado com uma arquitetura NVS consciente da geometria, adaptada do GeNVS.
   • Processamento de Entrada: Uma imagem SAR de entrada $x_{adv}$ (potencialmente adversarial) e seus parâmetros originais de aquisição (azimute $\phi_{az}$, elevação $\theta_{el}$) são codificados em um volume de características latentes 3D.
   • Síntese de Vistas: O modelo amostra parâmetros de visualização alvo ($t_i = \phi_{target, az}, \theta_{target, el}$) de uma distribuição de transformação $T_D$ (definida como a distribuição uniforme sobre os parâmetros de aquisição de treinamento).
   • Renderização: Raios são lançados através do volume latente para extrair características, que são renderizadas via um MLP estilo NeRF para produzir uma imagem de características.
   • Geração por Difusão: Uma rede de difusão remove ruído gaussiano condicionado à imagem de características renderizada e aos parâmetros alvo para gerar uma imagem SAR de alta fidelidade $x^{NV}_i$ na nova perspectiva.
3. Agregação: Para uma dada entrada, $N$ novas vistas são geradas. Cada vista é passada por um classificador pré-treinado $f_{cls}$. O rótulo final é determinado pela votação majoritária das $N$ previsões.

Principais Contribuições

• Framework de Suavização Semântica: Introdução de uma defesa adversarial novel que alavanca transformações generativas aleatórias para produzir múltiplas vistas preservadoras de semântica, agregando previsões para mitigar artefatos adversariais.
• Instanciação Específica para SAR: Desenvolvimento de um modelo NVS condicionado à geometria para imagens SAR. Ao condicionar nos parâmetros de azimute e elevação, o modelo permite a geração controlada de vistas de radar aleatórias que respeitam as restrições físicas da imageamento SAR.
• Validação Empírica: Experimentos extensivos no conjunto de dados MSTAR demonstrando que a suavização semântica proporciona ganhos substanciais de robustez contra tanto ataques convencionais baseados em gradiente (FGSM, PGD) quanto ataques físicos específicos de SAR fundamentados na física (OTSA, SMGAA).

Resultados
Experimentos no conjunto de dados MSTAR (500 imagens em 10 classes de veículos) compararam o método proposto contra uma linha de base indefesa e a suavização aleatória padrão (usando ruído gaussiano isotrópico com variáveis $\sigma$).

• Ganhos de Robustez: A suavização semântica manteve consistentemente alta precisão em todos os tipos e intensidades de ataques. Por exemplo, sob ataques PGD fortes ($\epsilon=0.005$), o modelo indefeso caiu para 0% de precisão, enquanto a suavização semântica (com $N=10$) alcançou 94,18%.
• Superioridade sobre a Suavização Aleatória: A suavização semântica superou significativamente a suavização aleatória. Enquanto a suavização aleatória mostrou desempenho inconsistente e frequentemente degradou a precisão dependendo da escala de ruído $\sigma$, a suavização semântica forneceu robustez estável e alta sem exigir ajuste cuidadoso de um parâmetro de ruído.
• Melhoria na Precisão Limpa: Ao contrário de muitos mecanismos de defesa que trocam precisão limpa por robustez, a suavização semântica melhorou a precisão de classificação limpa (94,72% vs. 90,00% da linha de base) ao agregar previsões sobre vistas sintetizadas semanticamente consistentes.
• Eficiência vs. Desempenho: Embora a suavização semântica incorra em custos computacionais mais altos devido à etapa de geração ($N \times (C_g + C_f)$) em comparação com a suavização aleatória ($N \times C_f$), o artigo argumenta que essa troca é favorável porque as amostras geradas são semanticamente significativas e significativamente mais informativas do que perturbações de ruído isotrópico.

Significado e Alegações
O artigo alega que a suavização semântica representa uma alternativa promissora ao ruído isotrópico para defesa adversarial em domínios de sensoriamento estruturado como o SAR. Ao deslocar o processo de suavização de uma vizinhança local no nível de pixels para uma variedade de transformações geométricas plausíveis, o método suprime efetivamente artefatos adversariais não semânticos, preservando a identidade do objeto necessária para a classificação. Os autores afirmam que essa abordagem demonstra o valor de alavancar variabilidade semanticamente significativa em vez de ruído arbitrário para alcançar robustez contra tanto ataques adversariais padrão quanto baseados em física.

Trabalho Futuro
Os autores notam que o trabalho futuro deve investigar a propagação de perturbações através do modelo GeNVS, avaliar a robustez do próprio gerador e considerar ataques adaptativos de caixa branca onde o adversário possui conhecimento total do mecanismo de defesa.