导读：
论文《Adversarial Learning Under Hybrid Perturbations for Robust Acute Lymphoblastic Leukemia Classification》发表于人工智能领域顶级会议AAAI Conference on Artificial Intelligence (AAAI)。
在医疗影像诊断中，模型面临的鲁棒性关乎安全。推断设备噪声和医生操作带来的空间变换，现有的深度学习模型往往表现脆弱。深圳大学的研究团队提出了一种混合扰动对抗训练（HPAT）框架，通过贝叶斯优化生成空间对抗样本，并引入混合批归一化（MixBN），在AAAI-2025上发表了关于提升急性淋巴细胞白血病（ALL）分类鲁棒性的最新研究成果。
引言：
急性淋巴细胞白血病（ALL）是儿童中最常见的癌症之一，也是20岁以下癌症死亡的主要原因之一 。虽然深度学习在医学图像分类上取得了显著进展，但在实际临床场景中，模型的鲁棒性（Robustness）面临巨大挑战。
研究团队发现，现有的ALL分类模型主要面临两类扰动的影响：一个是像素级扰动（Pixel-level perturbation），其源于显微镜等传感设备的测量噪声。另一个则是空间变换扰动（Spatial-transformed perturbation），源于医生在采集图像时不同的拍摄角度（旋转）和位置（平移）。
如图1所示，仅添加微小的随机噪声或进行空间变换，原本被高置信度预测为“良性”的细胞图像就可能被误判为“恶性”，反之亦然 。这可能导致误诊或不恰当的治疗决策。为此，论文提出了一个核心问题：如何在混合扰动下提高ALL分类模型的鲁棒性？
针对上述问题，团队提出了一种称为混合扰动对抗训练（HPAT）的新颖框架，该框架考虑了急性淋巴细胞白血病细胞分类场景中像素级扰动和空间变换扰动的存在。
图一
技术贡献：
1. 提出 HPAT 混合对抗训练框架
首次将像素级扰动（模拟设备噪声）与空间变换扰动（模拟医生操作）结合，提出了 HPAT (Hybrid-Perturbation Adversarial Training) 框架，全面提升模型对异构干扰的鲁棒性。
2. 设计 STBO 高效空间攻击算法
提出“基于贝叶斯优化的空间变换（STBO）”算法，为高效生成最具攻击性的空间变换样本。并利用贝叶斯优化取代低效的网格搜索，能以更少的迭代次数，找到最优的旋转和平移参数。
3. 引入 MixBN 分离归一化机制
引入“混合批归一化（MixBN）”模块，设置独立的 
和 
分支，从而有效解决了对抗训练中，洁净样本和对抗样本分布差异导致的洁净精度下降问题，确保鲁棒性与准确性兼顾。
4. 首次系统性验证了ALL模型的鲁棒性缺陷
通过在公开数据集（C-NMC）上的实验，论文证明了现有模型（如ResNet, EfficientNet等）在面对混合扰动时极易发生误判，而提出的 HPAT 框架能显著降低误判率，提升了模型的鲁棒性。
方法介绍：
如图2所示，团队提出了混合扰动对抗训练（HPAT）框架。该框架通过"对抗样本生成 - 协同训练" 两阶段来实现鲁棒性优化：
1.基于贝叶斯优化的空间变换（STBO）
在生成对抗样本时，传统的像素级攻击（如PGD）无法模拟空间几何变化。而针对空间变换参数（旋转角度、平移距离）的搜索，传统的网格搜索效率极低。
团队提出了一种“基于贝叶斯优化的空间变换（STBO）”算法。STBO利用高斯过程作为先验，通过期望改进（Expected Improvement, EI）采集函数来平衡“探索”与“利用”，从而在极少的迭代次数内高效找到最具攻击性的空间参数s（即导致模型损失最大的旋转和平移参数）。
2.混合批归一化（MixBN）
对抗训练的一个常见副作用是“洁净精度”的下降，这是因为对抗样本与洁净样本的分布存在差异。为了缓解这一问题，HPAT引入了“混合批归一化（MixBN）”模块。该模块包含两个并行的BN分支，一个是
，用来专门处理洁净样本。另一个则是，用来处理混合对抗样本。
通过这种设计，模型能够分别捕获不同分布的特征，有效缓解了因对抗训练导致的洁净样本准确率下降问题。
3.整体训练流程
HPAT的整体架构如图2所示。训练过程中，首先利用PGD生成像素级对抗样本，再通过STBO生成最佳空间变换参数，最终形成混合对抗样本（Hybrid Adversarial Example）。模型通过最小化洁净样本和混合对抗样本的损失总和进行参数更新。
图2
实验结果：
研究团队在公开数据集 C-NMC (IEEE ISBI-2019) 上进行了广泛的实验。具体结果如下：
现有模型的脆弱性：
实验首先评估了ResNet-50、EfficientNet-B3等基准模型。结果如图3所示，在混合对抗环境下，这些模型的准确率（ACC）和不变性率（ROI，衡量鲁棒性的指标）均显著下降。例如，标准训练模型的ROI从100%急剧下降至40%左右。
图3
HPAT的有效性：
与标准训练、仅像素级对抗训练和仅空间对抗训练相比，HPAT展现出了最佳的综合性能。首先是鲁棒性提升，如图4所示，随着干扰强度的增加，HPAT模型的ROI曲线下降最为平缓，表明其对混合扰动具有极强的抵抗力。其次是STBO的高效性，对比实验表明，STBO算法比传统的STM（网格搜索）能找到更具攻击性的样本（更低的ROI），且所需的迭代次数更少。
图4
MixBN的消融实验：
引入MixBN模块后，如表1所示，模型在准确率、F1分数和AUC指标上均有明显提升。这证明了MixBN在处理混合分布时的有效性，成功兼顾了鲁棒性与洁净精度。同时也说明通过将Ad
+ MixBN（即完整的 HPAT 模型）在 ACC、PRE、F1 和 AUC 等所有关键指标上均超越了仅使用像素级扰动 (Ad
) 或仅使用空间变换扰动(Ad
)的模型，实现了最佳的综合性能。
表1
总结展望：
本论文针对急性淋巴细胞白血病分类任务中常见的设备噪声和操作差异，首次提出了HPAT框架。通过结合像素级扰动与基于贝叶斯优化的空间变换扰动，并利用MixBN模块校准分布差异，该方法显著提升了深度诊断模型在现实复杂环境下的鲁棒性。这项工作对于构建更安全、更可靠的医疗AI系统具有重要的参考价值。
思考讨论：
Q：论文提出的 HPAT 框架是如何应对这种“混合干扰”的？
A：HPAT (Hybrid-Perturbation Adversarial Training) 框架通过对抗训练，强制模型学习同时抵抗两种扰动。它使用 PGD 生成像素级对抗样本，并创新性地使用 STBO 生成空间变换对抗样本，两者结合进行训练。
Q：MixBN 模块在 HPAT 中起到了什么关键作用？
A：解决了对抗训练导致的“洁净精度下降”问题。MixBN 引入独立的 BN 分支，分别处理洁净样本和对抗样本的特征分布。这能解耦两者的统计差异，使模型在提升鲁棒性的同时，保持了在正常数据上的高准确率。
