降噪自编码器用于频谱感知对抗防御模型*

杨研蝶，李志刚，张思成，包志达，林云

（哈尔滨工程大学信息与通信工程学院，黑龙江 哈尔滨 150006）

0 引言

随着物联网和6G[1]等通信服务的快速发展，无线频谱使用需求愈发迫切，频谱感知[2]是实现动态频谱接入和高效频谱使用的先决条件。目前，针对频谱感知问题的研究有很多，大多数方法通过研究信号和噪声的不同特征，设计相应的决策统计量来检测信号[3]，并基于人为设计的特征或决策统计来完成决策。然而，设计这些特征分类策略需要广泛的分析，并且依赖于专业领域知识和大量先验信息。深度学习[4]是一种能够从数据中自动学习特征的机器学习方法，已在图像处理[5]、语音识别[6]和无线电信号分类[7]等领域得到了广泛应用。随着深度学习技术的发展，在最近的一些研究中，深度神经网络[8]被用来从数据中自动学习特征以完成频谱感知任务，在单节点频谱感知和协作频谱感知中，利用卷积神经网络（CNN,Convolutional Neural Network）、长短期记忆网络（LSTM,Long Short-Term Memory）等[9-10]深度学习方法可以消除噪声功率不确定等问题的影响，获得比传统方法更好的检测性能。

然而，基于深度学习的频谱感知模型容易受到频谱对抗攻击[11-13]的影响，做出错误的感知决策。Sagduyu等人[14]在短频谱感知周期内，发射伪造的发射机频谱感知数据，使基于深度学习的频谱感知模型产生错误决策。Kim 等人[15]利用信道、发射机输入和分类器架构的信息提出了多种对抗攻击，破坏目标分类器的性能。Zheng 等人[16]在黑盒场景下设计了三种针对深度学习频谱感知模型的频谱对抗攻击，验证了当前基于深度学习频谱感知模型的脆弱性。

目前针对频谱感知所面临的对抗攻击的防御方法研究较少。Sagduyu 等人[17]故意做出错误传输决策以增加攻击者决策错误，保护己方发射机的网络吞吐量。Luo 等人[18]针对智能攻击提出了LEB 方法，保护融合中心免受对抗攻击的影响。但以上防御方法需要在次用户发射机性能和防御效果之间取得平衡。此外，O’Shea 等人[19]研究表明机器学习可用于频谱异常检测问题，并且LSTM 优于卡尔曼时间序列预测器。Li 等人[20]构建深度神经网络（DNN,Deep Neural Network）捕获频谱使用模式，检测故障和误用导致的频谱异常。这些防御方法仅对异常频谱进行检测，并没有判断正确的频谱感知状态。除上述防御方法之外，Lin 等人[21]提出应用于端到端频谱数据识别模型的基于网络量化的对抗防御方法，有效防御了基于梯度的白盒对抗攻击。Sahay 等人[22]设计了一种结合时域特征和频域特征进行识别的无线接收机架构，能够有效防御黑盒对抗攻击。这些防御方法针对特定的攻击模型具有鲁棒性，面对其他攻击模型却显示出脆弱性。

与现有方法不同的是，本文所提出的方法可以兼顾发射机性能和防御效果，去除恶意扰动，在多种攻击模型下，提高频谱感知模型的鲁棒性。本文提出使用降噪自编码器（CLAE,CNN LSTM Auto Encode）作为预训练结构，提取频谱感知数据的鲁棒特征，缓解频谱对抗攻击的干扰，并且在此基础上结合防御蒸馏（DD,Defensive Distillation）提出联合防御（CLAE-DD）的方法，进一步增强感知模型对对抗攻击的防御性能。在灰盒、白盒和黑盒三种攻击模型下，实验验证了所提出的防御模型对多种频谱对抗攻击的有效性。

1 系统模型与问题表述

1.1 基于深度学习的频谱感知方法

频谱感知可以表示为一个二元假设检验问题，如下所示：

其中H1和H0分别表示频谱信道占用和空闲的状态，s(n)表示主用户信号，u(n) 表示均值为0，方差为δ2的高斯白噪声，n表示采样点数，x(n) 表示接收信号，h表示信道增益。

频谱感知的性能通常由检测概率和虚警概率表示，其定义如下：

其中P(·) 表示概率，Pd是指主用户信号存在且成功被检测的概率，Pf是指主用户信号不存在却被错误检测为存在的概率。从攻击的角度评估模型鲁棒性的指标为攻击成功率，其定义如下：

其中SA表示成功误导次用户做出错误决策的攻击次数，N表示攻击尝试次数。

1.2 问题表述

本文所提出的频谱感知防御任务的数学模型可以表示为：

其中δ(n)表示对抗扰动，x(n)表示干净信号，||·||p表示lp范数，ε表示扰动步长，y表示信道状态，fθ表示频谱感知分类器模型，使用输入信号训练感知分类器得到网络参数θ，表示添加CLAE 或CLAE-DD 防御训练后的频谱感知分类器模型，使用输入信号训练降噪自编码器模型以及频谱感知分类器模型得到网络参数攻击方在输入信号中添加小于扰动步长的最小扰动使模型将频谱状态H1误检测为H0，本文的防御方法使防御训练后的模型可以过滤对抗扰动，提升感知模型对对抗信号的信道状态的判断正确率。

本文所提出的防御模型可表示如下：

其中g(·) 表示降噪自编码器，x’(n) 表示CLAE 重构后的信号，fθ’表示经过CLAE-DD 防御训练后的分类器模型，利用该方法对经过CLAE 滤波后的感知信号进行分类，能够达到较好的检测效果。

2 攻击方法

（1）快速梯度符号法（FGSM,Fast Gradient Sign Method）FGSM[23]是一种经典的基于梯度的算法，可以通过一次梯度更新快速产生对抗样本。首先进行梯度计算：

其中Gx(n)表示计算所得的梯度值，表示计算损失函数模型的梯度，θ为分类器模型的参数，y*为攻击者期望的分类器模型的输出类别。那么对抗扰动的生成公式可以表示为：

其中sign(·)表示符号函数。因此FGSM 生成的对抗样本为：

直观上，FGSM 的目的是在模型损失最大的方向上添加ε有界扰动。

（2）基本迭代法（BIM,Basic Iterative Method）

BIM[24]攻击通过迭代优化了FGSM 的攻击效果。BIM 以较小的步长执行FGSM 算法，并将更新后的对抗样本裁剪到有效范围，在BIM 攻击中，应首先进行梯度计算，获得第t次计算的梯度值：

然后将第(t+1)次迭代中的梯度更新为：

其中Clipx(n),ε表示将z裁剪到[x(n)-ε,x(n)-ε]的范围。

（3）映射梯度下降法（PGD,Projected Gradient Descent）

PGD[25]攻击可以被视为BIM 的广义形式，是一种典型的迭代攻击，可以看作随机扰动和FGSM 迭代的组合，在相同的扰动强度下，PGD 被认为是最具对抗性的攻击算法，PGD 的算法公式如下：

其中n表示随机扰动，α表示扰动步长。

3 防御方法

3.1 降噪自编码器

目前有研究表明[26-27]，降噪自编码

提醒您：因为《降噪自编码器用于频谱感知对抗防御模型*》一文较长还有下一页，点击下面数字可以进行阅读！

《降噪自编码器用于频谱感知对抗防御模型*》在线阅读地址：降噪自编码器用于频谱感知对抗防御模型*