CVPR2022论文速览--On Adversarial Robustness of Trajectory Prediction for Autonomous Vehicles
赞
踩
自动驾驶汽车轨迹预测的对抗鲁棒性
原文链接：
[2201.05057] On Adversarial Robustness of Trajectory Prediction for Autonomous Vehicles (arxiv.org)
图1：欺骗性变道
研究背景
对鲁棒性缺少研究；
缺少对最坏情况(刹车，撞车)预测是否仍然可以安全规划的研究；
研究问题
对抗实验情况Ego是或否会预测不准确或做出危险驾驶决策？
如何分类周边车不容易分别的异常驾驶行为？
发生对抗行为如何减少预测误差？
解决方案
贡献：
黑PSO/白PGD盒(优化问题)对抗性轨迹预测攻击，在正常轨迹上增加了较小的扰动以实现最大化提高预测误差，扰动轨迹需要：
白/黑盒对抗性轨迹预测攻击，该攻击在正常弹道上增加了较小的扰动，以最大限度地提高预测误差。与对抗性攻击的图像/视频分类相比，攻击轨迹预测在两个方面具有独特性，
白盒优化--基于投影梯度下降，优化扰动，产生最优扰动后将原始亲狂转化为预测误差最大的情况黑盒优化--对于梯度下降方法不可行时，Particle Swarm Optimization (PSO)基于粒子群优化的黑盒攻击算法，搜索空间中给定的质量度量迭代改进候选解。
对抗性轨迹输入：攻击方需要分别访问Ego的预测模型。当开始攻击时，首先选择一个未来时段，并预测该时段周围道路上物体的轨迹，然后计算出未来时期的对抗轨迹并延轨迹前进
对抗性例子生成：图2扰动：
由于只考虑当前时间帧的预测，我们将这种攻击称为单帧攻击，然而，现实世界的安全问题通常发生在较长的时间序列。因此，我们将攻击推广到多帧；这些点是在不同时间框架内观察到/预测的轨迹位置。
缓解机制：通过数据增强和轨迹平滑解决预测误差增加问题；
数据增强：由于对抗性训练成本高，攻击目标通用性差，但是训练数据集中轨迹大多平滑，加速度稳定，对抗轨迹有不同的数据分布，因此使用数据增强方法
训练时间轨迹平滑：由于 不稳定的速度或加速度是对抗轨迹的关键模式，可以通过平滑轨迹来部分消除对抗效应。使用基于卷积的线性平滑算法对训练和测试数据都进行了轨迹平滑
基于规则的检测器--我们计算加速度随时间帧的方差，如果方差高于阈值，轨迹被检测为对抗性
效果
在Apolloscape,NuScenes,NGSIM数据集中实验，对抗性扰动可使预测误差大幅提高150%左右。62.2%的攻击导致预测偏离车道宽度的一半以上，这可能会显著改变Ego的导航决策；
提出了改进实施轨迹预测的建议，如利用地图信息和驾驶规则；
对抗轨迹缓解机制减少了28%的攻击下的预测误差；
证明白盒对抗性扰动对所有预测模型都是有效的，ADE/FDE平均增加167%/150%。横向/经度偏差达到2.03/3.84米，62.2%的攻击可能造成现实世界的影响，因为他们的平均偏差大于1.85米
