翻訳結果: Using Frequency Attention to Make Adversarial Patch Powerful Against Person Detector

英語（論文から抽出）	日本語訳	スコア
2 2 0 2 y a M 1 1	2 2 0 2 y a m 1 1 である。	0.54
] V C . s c [	] 略称はC。 sc [	0.39
2 v 8 3 6 4 0	2 v 8 3 6 4 0	0.42
. 5 0 2 2 : v i X r a	. 5 0 2 2 : v i X r a	0.42
USING FREQUENCY ATTENTION TO MAKE ADVERSARIAL PATCH	副鼻腔パッチに対する周波数アテンションの使用	0.30
POWERFUL AGAINST PERSON DETECTOR ∗	人検知器 ∗ に対して強力である	0.27
School of Computer Science and Information Security	コンピュータ科学・情報セキュリティ研究科	0.69
School of Computer Science and Information Security	コンピュータ科学・情報セキュリティ研究科	0.69
Guilin University of Electronic Technology Guilin University of Electronic Technology	ギリン電子工学大学ギリン電子工学大学	0.45
Xiaochun Lei	Xiaochun (複数形 Xiaochuns)	0.16
Chang Lu School of Computer Science and Information Security	チャン・ルコンピュータ科学・情報セキュリティ研究科	0.56
School of Computer Science and Information Security	コンピュータ科学・情報セキュリティ研究科	0.69
Guilin University of Electronic Technology Guilin University of Electronic Technology	ギリン電子工学大学ギリン電子工学大学	0.45
School of Computer Science and Information Security	コンピュータ科学・情報セキュリティ研究科	0.69
School of Computer Science and Information Security	コンピュータ科学・情報セキュリティ研究科	0.69
Guilin University of Electronic Technology Guilin University of Electronic Technology	ギリン電子工学大学ギリン電子工学大学	0.45
China, GuiLin 541010 lxc8125@guet.edu.cn	中国、GuiLin 5410 lxc8125@guet.edu.cn	0.33
Zetao Jiang∗	Zetao Jiang∗	0.44
China, GuiLin 541010	中国、GuiLin541010	0.37
zetaojiang@guet.edu. cn	zetaojiang@guet.edu. cn	0.29
Xiang Cai	Xiang (複数形 Xiangs)	0.32
China, GuiLin 541010 xiangcai@keter.top	中国、GuiLin 541010 xiangcai@keter.top	0.43
China, GuiLin 541010 Changlu@keter.top	中国、GuiLin 541010 Changlu@keter.top	0.43
Zhaoting Gong	Zhaoting Gong	0.43
China, GuiLin 541010 gavin@gong.host	中国、GuiLin 541010gavin@gong.hos t	0.85
Linjun Lu China, GuiLin 541010	林純(りんじゅん) 中国、GuiLin541010	0.31
linjunlu@zerorains.t op	linjunlu@zerorains.t op	0.39
ABSTRACT Deep neural networks (DNNs) are vulnerable to adversarial attacks.	ABSTRACT ディープニューラルネットワーク(DNN)は敵の攻撃に対して脆弱である。	0.53
In particular, object detectors may be attacked by applying a particular adversarial patch to the image.	特に、対象検出器は、画像に特定の逆パッチを適用することで攻撃される。	0.64
However, because the patch shrinks during preprocessing, most existing approaches that employ adversarial patches to attack object detectors would diminish the attack success rate on small and medium targets.	しかし、前処理中にパッチが縮小するので、敵のパッチを用いて物体検出器を攻撃する既存のアプローチは、中小規模のターゲットに対する攻撃成功率を低下させる。	0.61
This paper proposes a Frequency Module(FRAN), a frequency-domain attention module for guiding patch generation.	本稿では、パッチ生成を誘導する周波数領域アテンションモジュールである周波数モジュール(FRAN)を提案する。	0.71
This is the ﬁrst study to introduce frequency domain attention to optimize the attack capabilities of adversarial patches.	敵パッチの攻撃能力を最適化するために周波数領域注意を導入した最初の研究である。	0.67
Our method increases the attack success rates of small and medium targets by 4.18% and 3.89%, respectively, over the state-of-the-art attack method for fooling the human detector while assaulting YOLOv3 without reducing the attack success rate of big targets.	本手法は,大規模標的の攻撃成功率を低下させることなく,ヨーロフ3を攻撃しながら人間検出器を騙すための最先端攻撃法よりも,中小ターゲットの攻撃成功率を4.18%,3.89%向上させる。	0.71
Keywords Adversarial attack · Frequency attention · Object detection · Deep learning	キーワード逆攻撃・周波数注意・物体検出・深層学習	0.79
1 Introduction Deep neural networks (DNNs) have garnered much success in computer vision.	1 はじめにディープニューラルネットワーク(DNN)はコンピュータビジョンにおいて大きな成功を収めている。	0.56
DNNs have proven to be quite effective in data-driven computer vision tasks and multiple areas such as autopilot, aviation, and medicine.	DNNは、データ駆動型コンピュータビジョンタスクやオートパイロット、航空、医療など、複数の分野において非常に効果的であることが証明されている。訳抜け防止モード: DNNはデータ駆動型コンピュータビジョンタスクに非常に効果的であることが証明された自動操縦、航空、医療など	0.71
However, DNNs have shown ﬂaws susceptible to perturbation by adversarial samples in image classiﬁcation, object tracking, and object detection.	しかし、dnnは、画像分類、オブジェクト追跡、およびオブジェクト検出において、逆さまのサンプルによる摂動の影響を受けやすい欠陥を示した。	0.61
Previous researches [1–3] explored attack classiﬁcation networks.	以前の研究[1-3]は攻撃分類網を探索した。	0.58
In the last years, several studies [4–7] have recently demonstrated that object detection networks are similarly susceptible to perturbation by adversarial samples.	過去数年間、いくつかの研究 [4-7] が、対象検出ネットワークが対向検体による摂動に同様に感受性があることを最近証明した。訳抜け防止モード: ここ数年、いくつかの研究 (4-7 ] が最近、物体検出ネットワークも同様に敵のサンプルによる摂動に影響を受けやすい	0.66
Thys et al [4] create a printed adversarial patch that successfully attacked the object detector YOLOv2 [8].	Thys et al [4] は、オブジェクト検出器YOLOv2[8]を攻撃した、印刷された敵パッチを作成する。	0.70
Liu et al [5] successfully render the object detection network incapable of recognizing objects and generating incorrect prediction	Liu et al [5]はオブジェクト認識不能なオブジェクト検出ネットワークをうまくレンダリングし、誤った予測を生成する	0.86
∗The ﬁrst author and the second author have the same contribution to the work.	∗ 第1の著者と第2の著者は同じ貢献をしている。	0.68

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
categories. Wu et al [6] formed wearable clothes for eluding the object detector.	カテゴリー。 Wu et al [6] はオブジェクト検出器を溶かすためのウェアラブルウェアを形成した。	0.66
They use one adversarial patch to attack one-stage [9] and two-stage [10] object detectors.	1段[9]と2段[10]オブジェクト検出器を攻撃するために、1つの敵パッチを使用する。	0.60
Wu et al [6] create wearable clothes for evading the object detector.	Wu et al [6] はオブジェクト検出器を回避するためのウェアラブル服を作成する。	0.70
Xu et al [7] use a thin-plate spline (TPS) base transformer to build a more robust patch that can withstand non-rigid deformation caused by a moving person’s posture changes.	Xu et al [7]は、TPSベーストランスフォーマーを使用して、動く人の姿勢の変化によって引き起こされる非剛性な変形に耐えられる、より堅牢なパッチを構築します。	0.66
Furthermore, network input size, JPEG compression [1], and network processing can all have impacted the efﬁcacy of adversarial patches.	さらに、ネットワーク入力サイズ、JPEG圧縮[1]、ネットワーク処理はすべて、敵パッチの有効性に影響を与える可能性がある。	0.76
When the picture is scaled, the loss of high-frequency signals signiﬁcantly decreases faster than the loss of low-frequency signals.	画像がスケールされると、高周波信号の損失は低周波信号の損失よりも大幅に減少する。	0.81
The reduction in picture size resulted in an overall loss of high-frequency signals, leading to imbalanced representations.	画像サイズの減少は、高周波信号の全体的な損失をもたらし、不均衡な表現につながった。	0.67
High-frequency information is also discarded by JPEG compression.	高周波情報はJPEG圧縮によって破棄される。	0.64
As described, using patches to attack the object detector has an inherent difﬁculty: while patching, we frequently must shrink the patches and then paste them on the objects in the image.	前述のように、オブジェクト検出器を攻撃するパッチを使用することは、本質的に困難である。パッチをパッチする間、パッチを縮小し、イメージ内のオブジェクトにペーストする必要がある。訳抜け防止モード: 前述のように、パッチを使って物体検出器を攻撃する固有の困難がありますパッチを貼っている間はしばしばパッチを縮小し画像のオブジェクトに貼り付けなければなりません	0.79
The patch’s attack ability is reduced due to the reduction in pixels caused by sampling.	パッチのアタック能力は、サンプリングによるピクセルの減少によって低下する。	0.61
This article built the Frequency Module(FRAN), a frequency attention module, to guide the patch generation process.	本稿では、パッチ生成プロセスを導くために、周波数アテンションモジュールである周波数モジュール(FRAN)を構築します。	0.77
This module can determine the relative importance of various locations within the patch frequency domain, allowing the patched attack to rely on low-frequency signals.	このモジュールはパッチ周波数領域内の様々な位置の相対的重要性を決定でき、パッチ攻撃は低周波信号に依存する。	0.80
The attack success rates of medium and small objects in our method are 3.89% and 4.18%, respectively, higher than the current best attack algorithm [4], which uses the patch to fool YOLOv3 while detecting people without affecting the attack success rate of large objects.	本手法における中小対象の攻撃成功率はそれぞれ3.89%と4.18%であり,攻撃成功率に影響を与えることなくYOLOv3を騙し,そのパッチを用いた攻撃成功率は現行のベストアタックアルゴリズム[4]よりも高い。	0.82
Our contributions are summarized as follows:	私たちの貢献は以下の通り要約される。	0.58
1. We used a frequency attention module to guide the patch generation process in the frequency domain, increasing	1. 周波数アテンションモジュールを用いて、周波数領域におけるパッチ生成プロセスをガイドし、増加させた。	0.70
the adversarial patch’s attack success rate against small and medium objects.	敵のパッチは、中小のオブジェクトに対する攻撃成功率を示している。	0.68
2. Our method raises the patch’s robustness when defending against adversarial attacks using JPEG compression	2. JPEG圧縮による敵攻撃に対する防御におけるパッチの堅牢性を高める方法	0.83
technique. 3. We proposed three new indicators, ASRm, ASRl, and ASRs, to measure the patch’s attack effect on objects of	テクニック。 3. 対象物に対するパッチの攻撃効果を測定するために, ASRm, ASRl, ASRsの3つの新しい指標を提案した。	0.75
various sizes. The rest of this paper is structured as follows: Section 2 goes over the related work on adversarial attacks.	様々なサイズ。本論文の残りは次のように構成されている。第2節は、敵攻撃に関する関連研究について述べる。	0.70
Section 3 discusses how we generate patches and how we use the frequency attention module to guide the process of patch generation.	第3節では、パッチの生成方法と、パッチ生成プロセスのガイドに周波数アテンションモジュールを使用する方法について論じています。訳抜け防止モード: 第3節パッチの生成方法と方法我々は、周波数アテンションモジュールを使用してパッチ生成のプロセスをガイドする。	0.73
In Section 4, we test the efﬁcacy of the patch.	第4節ではパッチの有効性を検証した。	0.64
In Section 5, we reach a conclusion and look at the future directions of our research.	第5節では結論に達し,今後の研究の方向性について考察する。	0.74
2 Related work Attacks against object detectors have grown exceedingly prevalent due to the widespread use of object detection networks in various areas.	2関連作品物体検出器に対する攻撃は、様々な領域で物体検出ネットワークが広く利用されているため、非常に多い。	0.72
In this section, we ﬁrst go over the related works of the object detection network and the attacks against the object detection network, and then we go over the present challenges.	本稿では,まずオブジェクト検出ネットワークの関連作業とオブジェクト検出ネットワークに対する攻撃について検討し,その上で現在の課題について考察する。	0.79
2.1 Object detection	2.1 オブジェクト検出	0.77
The popular one-stage object detector and two-stage object detector are the most common types of modern detectors.	一般的な1段物検出器と2段物検出器は、現代の検出器の最も一般的なタイプである。	0.66
The two-stage detector splits the detection task into two parts.	2段階検出器は、検出タスクを2つに分割する。	0.69
In the ﬁrst stage, the objects in the picture are located.	最初の段階では、写真のオブジェクトが配置されます。	0.80
And then, the object detector outputs the categories of the located objects acquired in the ﬁrst stage.	そして、オブジェクト検出器は、第1段階で取得した位置オブジェクトのカテゴリを出力する。	0.83
Faster RCNN [10] is a common two-stage detection network.	高速RCNN[10]は一般的な2段階検出ネットワークである。	0.73
It extracts the region of interest (ROI) using RPN, then produces and classiﬁes detection boxes based on the ROI.	RPNを用いて関心領域(ROI)を抽出し、ROIに基づいて検出ボックスを生成し分類する。	0.73
Although two-stage object detectors have the advantage of accuracy, the detection speed of two-stage object detectors is often slower than that of one-stage object detectors since the prediction process is divided into two stages.	2段階の物体検出器は精度の利点があるが、予測過程が2段階に分けられるため、2段階の物体検出器の検出速度は1段階の物体検出器より遅いことが多い。	0.77
The one-stage detector uses the entire picture as input and outputs the position and category of the detection boxes directly in the output layer.	ワンステージ検出器は画像全体を入力として使用し、検出ボックスの位置及びカテゴリを出力層に直接出力する。	0.85
Yolo-Series algorithms [8, 9, 11] are exceptionally representative one-stage object detectors.	ヨロ系列アルゴリズム [8, 9, 11] は例外的に一段階の物体検出器である。	0.60
To acquire detection boxes, they do not need to extract ROI.	検出ボックスを取得するにはROIを抽出する必要はない。	0.72
Yolo-Series methods have been the most often used object detectors due to their quick detection speed and good detection effect.	ヨーロ系列法は、高速検出速度と良好な検出効果のため、最も頻繁に用いられる物体検出器である。	0.72
In this paper, we target YOLOv3 [9] as the main victim detector.	本稿では, YOLOv3[9]を主な犠牲者検出器とする。	0.77
2.2 Adversarial attacks on object detector	2.2 物体検出器に対する敵攻撃	0.67
According to the methods of adversarial attack, the job of attacking the object detector can be separated into two groups.	対向攻撃法では、対象検出器を攻撃する作業は2つのグループに分けることができる。	0.77
One group is that the object detector can be attacked by rendering an adversarial patch over all of the objects in the picture.	あるグループは、オブジェクト検出器は、画像内のすべてのオブジェクトに対向パッチをレンダリングすることで攻撃することができる。	0.84
The other is to attack the detectors by changing the pixel value of the input image directly.	もう1つは、入力画像の画素値を直接変えて検出器を攻撃することである。	0.73
2	2	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
Figure 1: A overview of the framework.	図1: フレームワークの概要。	0.57
Thys et al [4] ﬁrst proposed using the adversarial patch to attack the object detection network in 2019.	thysら[4]は2019年に、敵のパッチを使ってオブジェクト検出ネットワークを攻撃することを提案した。訳抜け防止モード: Thys et al [ 4 ] が最初に提案された 2019年に敵のパッチを使って物体検出ネットワークを攻撃。	0.78
They use the loss function to guide the patch generation process, gradient descent to update the patch, and eventually, disable YOLOv2 [8] from detecting patched objects.	損失関数を使用してパッチ生成プロセスをガイドし、勾配降下してパッチを更新し、最終的にはパッチ対象の検出からYOLOv2[8]を無効にする。	0.70
Moreover, Thys et al print out the patches to fool the object detector in the physical world by holding a small cardboard plate in front of their body.	さらに、Thysらはパッチをプリントして、体の前に小さな段ボールのプレートを持って、物理的な世界で物体探知機を騙す。	0.68
Liu et al [5] interfere with the detection results of the entire picture by afﬁxing patches to the image’s edge angle and implemented the object-vanishing and object-mislabeling attacks by designing different loss functions in the same year.	liu et al [5]は、画像のエッジアングルにパッチを当てることで画像全体の検出結果に干渉し、同じ年に異なる損失関数を設計することによって、オブジェクトバニッシブおよびオブジェクトミスラベル攻撃を実装した。訳抜け防止モード: Liu et al [ 5 ] は、画像のエッジ角にパッチをアタッチすることで、画像全体の検出結果に干渉するオブジェクト - 消滅とオブジェクト - を実装しました同じ年に異なる損失関数を設計することで	0.79
Wu et al [6] use one adversarial patch to attack one-stage [8, 9] and two-stage [10] object detectors.	Wu et al [6] は、1段 [8, 9] と2段 [10] オブジェクト検出器を攻撃するために、1つの敵パッチを使用する。訳抜け防止モード: Wu et al [ 6 ] は1つの逆パッチを使用する to attack one - stage [ 8, 9 ] and two - stage [ 10 ] object detectors.	0.79
They design wearable clothes that could attack the object detector in the physical world by printing the patch on clothes.	彼らは、服にパッチを印刷することで、物理的世界の物体検出器を攻撃できるウェアラブル服をデザインした。	0.67
Furthermore, they explore how patches’ attack ability can be applied among different detectors.	さらに彼らは、パッチの攻撃能力を異なる検出器間でどのように適用できるかを探っている。	0.56
According to their research, the patch’s attack has strong transferability between networks with the same backbone but is poor between one-stage and two-stage object detection networks.	彼らの研究によると、パッチの攻撃はバックボーンが同じネットワーク間で強い転送性を持つが、1段と2段のオブジェクト検出ネットワーク間では弱い。	0.76
Nevertheless, there are several issues when using adversarial patches to attack surveillance systems in the physical world.	それでも、物理的世界の監視システムを攻撃するために敵パッチを使用する場合、いくつかの問題がある。訳抜け防止モード: それにもかかわらずいくつか問題があります敵のパッチを使って物理的な世界の監視システムを攻撃する	0.61
One issue is that the object detector may observe the adversarial patches from different viewpoints in the physical world.	問題の一つは、物体検出器が物理的世界の異なる視点から敵のパッチを観測することがあることである。訳抜け防止モード: 一つの問題は物体検出器は物理的世界の異なる視点から敵のパッチを観測できる	0.77
There is much work [7, 12, 13] to be done in order for the patch to be sufﬁciently robust from several viewpoints.	いくつかの観点からパッチが十分に堅牢になるためには, [7, 12, 13] やるべき作業がたくさんあります。	0.84
Xu et al [7] utilize a TPS base transformer to model the non-rigid deformation of clothing induced by a moving person’s posture changes to create a more robust adversarial T-shirt.	Xu et al [7]は、TPSベースのトランスフォーマーを使用して、移動者の姿勢変化によって引き起こされる衣服の非剛性変形をモデル化し、より堅牢な対向Tシャツを作成する。	0.72
Lennon et al [13] apply an afﬁne transformation to generate distinct viewpoints of the same patch, fuse the results of computation generated by different viewpoints patches, and then update the patch using gradient descent.	Lennon et al [13] は、アフィン変換を適用して、同じパッチの異なる視点を生成し、異なる視点パッチによって生成された計算結果を融合し、勾配勾配を使ってパッチを更新する。	0.61
As a result, the created patch is more robust from various viewpoints.	その結果、生成されたパッチは様々な観点からより堅牢である。	0.70
In previous research, people directly modiﬁed the picture pixels to attack the object detection network.	これまでの研究では、画像画素を直接修正してオブジェクト検出ネットワークを攻撃した。	0.74
This attack method originates from the study [1] that concerned attack classiﬁcation networks, and its primary purpose is to create a disturbance that is difﬁcult to notice by humans and causes the object detector to be disturbed at the same time.	この攻撃方法は、攻撃分類ネットワークに関する研究([1])を起源とし、その主な目的は、人間の認識が困難で、同時に物体検出器を乱す原因となる外乱を発生させることである。	0.71
DAG [14] is proposed in Xie et al ’s work to attack the object detection network.	DAG[14]は、オブジェクト検出ネットワークを攻撃するためのXie et al の作業で提案されている。	0.79
It focuses on attacking Faster RCNN [10].	Faster RCNN [10] の攻撃に焦点を当てている。	0.73
They ﬁrst give each object an adversarial label selected randomly from other incorrect classes.	彼らはまず、各オブジェクトに他の間違ったクラスからランダムに選択された逆ラベルを与える。	0.58
In the next step, the image will be updated based on the detector’s output.	次のステップでは、画像は検出器の出力に基づいて更新される。	0.71
There was also some work [15] against the transferability of this attack method across networks.	また,ネットワーク間におけるこの攻撃方法の転送可能性に対する対策も検討された。	0.71
According to the latest research, [16] can attack one-stage target detection networks and two-stages as well by changing the picture’s pixels.	最新の研究によると、[16]は画像のピクセルを変更することで、1段階のターゲット検出ネットワークと2段階を攻撃できる。	0.80
Their work describes three Targeted Adversarial Objectness Gradient (TOG) attack methods that can induce object-vanishing, object-fabrication, and object-mislabeling attacks in state-of-the-art object detectors.	彼らの研究は、最先端のオブジェクト検出器において、オブジェクトの消滅、オブジェクトのファブリケーション、オブジェクトのミスラベリング攻撃を誘発できる3つのToG攻撃方法を記述している。	0.54
There is an inherent difﬁculty with the strategy of using patches to attack the object detector: while patching, we frequently need to shrink the patches and then paste them on the objects in the image.	オブジェクト検出器を攻撃するためにパッチを使用する戦略には、固有の困難がある。パッチをパッチする間、頻繁にパッチを縮小し、イメージ内のオブジェクトに貼り付ける必要がある。	0.74
The reduction in pixels caused by sampling will diminish the attack ability of the patches.	サンプリングによるピクセルの削減はパッチの攻撃能力を低下させる。	0.66
As a result, the effect of current attack approaches using the adversarial patch for small and medium target objects needs to be improved.	その結果、中小対象オブジェクトに対する敵パッチを用いた現在の攻撃アプローチの効果が改善される必要がある。	0.76
We guide the frequency domain information of the patch through the frequency attention module, such that the patch’s attack ability depends more on the low-frequency signal.	我々は、パッチの周波数領域情報を周波数アテンションモジュールを通して誘導し、パッチの攻撃能力が低周波信号に依存するようにした。	0.79
Because the low-frequency signal of the picture will lose less than the high-frequency signal during image shrinking, the patch’s aggressiveness will be preserved even more.	画像の低周波信号は、画像の縮小中に高周波信号よりも小さくなるので、パッチのアグレッシブ性はさらに保存される。	0.69
3	3	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
Figure 2: Frequency module.	図2:周波数モジュール。	0.86
First, the patch is converted into YCbCr color space.	まず、パッチはYCbCr色空間に変換される。	0.69
Then, the patch is sent into FFT module to be converted into a spectrum diagram.	その後、パッチはfftモジュールに送信され、スペクトラムダイアグラムに変換される。	0.63
After that, the spectrum diagram multiplies the frequency attention mask.	その後、スペクトル図は周波数注目マスクを乗算する。	0.79
The patch is then delivered to IFFT module, translating from YCbCr to RGB color space to generate FRAN’s	パッチはIFFTモジュールに配信され、YCbCrからRGB色空間に変換されてFRANを生成する。	0.79
output. 3 Generate more robust adversarial patch	出力。 3 より堅牢な敵パッチを生成する	0.71
The current section describes in detail our method for creating adversarial patches.	本項では,敵パッチ作成方法について詳述する。	0.58
Based on the problems outlined in Section 2, we present a solution that employs a frequency attention module to guide the patch generating process.	第2節で概説された問題に基づいて,パッチ生成過程を誘導するための周波数注意モジュールを用いた解を提案する。	0.71
Our method directs the learning of the patch’s frequency information by FRAN.	提案手法は,FRANによるパッチの周波数情報の学習を指示する。	0.85
Figure 1 illustrates the primary process of generating the patche P ∈ Rw×h×3.	図1はパッチ P ∈ Rw×h×3 を生成する主要な過程を示している。	0.79
In Figure 1, Detector is the victim detector [6].	図1では、検出器は被害者検出器 [6] である。	0.68
Frequency Module(FRAN) is the frequency domain attention module and Data is the training data set.	周波数モジュール(FRAN)は周波数領域の注意モジュールであり、データはトレーニングデータセットである。	0.85
We ﬁrst add the patch and FRAN parameters to the optimizer and freeze the detector network parameters before training.	まず,パッチパラメータとfranパラメータをオプティマイザに追加し,トレーニング前に検出ネットワークパラメータを凍結する。	0.73
We solely use gradient descent to update the patch’s pixel value and FRAN’s parameters during the training procedure.	トレーニング中のパッチのピクセル値とFRANのパラメータを更新するために、勾配降下のみを使用します。	0.64
In the training procedure, the patches begin by walking through FRAN with the given data set.	トレーニング手順では、パッチは与えられたデータセットでFRANを通り抜けることから始まる。	0.73
The transformation module will render the rescaled patch over every person from the ground truth in the input image.	変換モジュールは、入力画像の真理からすべての人に再スケールされたパッチを描画する。	0.74
The image is then fed into the victim detector, and the loss function value is calculated based on the detection results.	その後、画像が被害者検出器に供給され、検出結果に基づいて損失関数値が算出される。	0.75
Finally, we update the patch’s pixel value and the FRAN’s parameters based on the calculation result of the loss function.	最後に、損失関数の計算結果に基づいて、パッチの画素値とFRANのパラメータを更新する。	0.66
Our ultimate goal is to create patches that minimize the detection success rate of pedestrians of various sizes throughout a dataset.	最終的な目標は、データセット全体を通じてさまざまなサイズの歩行者の検出成功率を最小限に抑えるパッチを作成することです。訳抜け防止モード: 究極の目標はデータセット全体を通して、様々なサイズの歩行者の検出成功率を最小化するパッチを作成する。	0.73
3.1 Frequency module	3.1周波数モジュール	0.63
FRAN is a frequency domain attention module that assigns different weights in the frequency domain.	FRANは周波数領域の異なる重みを割り当てる周波数領域アテンションモジュールである。	0.77
Figure 2 depicts the construction of FRAN.	図2はFRANの構築を描いている。	0.71
The FRAN’s general procedure entails converting the patch to the frequency domain using Fast Fourier Transform (FFT) [17] and multiplying it by the attention mask.	FRANの一般的な手順では、Fast Fourier Transform (FFT) [17] を使用してパッチを周波数領域に変換し、アテンションマスクでそれを乗算する。	0.83
The output of FRAN is obtained by applying an Inverse Fast Fourier Transform (IFFT) to the results obtained in the previous step.	FRANの出力は、前ステップで得られた結果に逆高速フーリエ変換(IFFT)を適用して得られる。	0.74
More formally, we take Fθ as an attention function in the frequency domain.	より正式には、周波数領域の注意関数として Fθ を用いる。	0.74
The attention function takes the patch P ∈ Rw×h×3 as input and θ ∈ Rw×h×3 as the parameter of the attention module.	注意関数は、パッチ P ∈ Rw×h×3 を入力とし、θ ∈ Rw×h×3 を注目モジュールのパラメータとする。	0.85
F F T (x) is the fast fourier transform while F F T −1(x) represents the inverse fast fourier transform.	F F T (x) は高速フーリエ変換であり、F F T −1(x) は逆高速フーリエ変換を表す。	0.69
Y(x) transforms the patch from RGB to YCbCr color format.	Y(x)はパッチをRGBからYCbCr色に変換する。	0.78
Y−1(x) is the inverse process of Y(x) FRAN’s output Fθ(P) can be stated below:	Y−1(x) は、Y(x) FRAN の出力 Fθ(P) の逆過程である。	0.79
Fθ(P) = Y−1(F F T −1(F F T (Y(P (cid:12) θ))))	Fθ(P) = Y−1(F F T −1(F F T (Y(P (cid:12) θ)))	0.50
(1) Because the image’s high-frequency signal generally loss more than the low-frequency signal during scaling.	(1) なぜなら、画像の高周波信号は、スケーリング中に低周波信号よりも多く失われるからだ。	0.54
Consequently, the attack success rate for small and medium target objects can be enhanced if the patch’s attack ability depends more on the low-frequency signal.	これにより、パッチのアタック能力が低周波信号に依存する場合、中小のターゲットオブジェクトに対するアタック成功率を高めることができる。	0.64
4	4	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
3.2 TV loss	3.2 テレビの損失	0.62
TV loss [4] represents the total variation in the image, resulting in a patch with smooth color transitions and minimal noise.	テレビのロス[4]は画像の総変化を表し、スムーズな色遷移と最小限のノイズを伴うパッチとなる。	0.77
The following formula shows how TV loss is calculated in the previous works [4, 6, 7] of attacking object detectors with adversarial patches.	以下の式は, 対向パッチによる物体検知器の攻撃における, テレビの損失の計算方法を示すものである。	0.67
(pi,j − pi+1,j)2 + (pi,j − pi,j+1)2	(pi,j − pi+1,j)2 + (pi,j − pi,j+1)2	0.50
(2) The pi,j represents the pixel in patch P. This approach only calculates the distance between each pixel and the pixel to its right and the pixel below it.	(2) pi,jはパッチpのピクセルを表す。このアプローチは各ピクセルと右のピクセルとその下のピクセルの間の距離を計算するだけである。	0.62
To better smooth the resulting patch, we compute the distance between each pixel and the eight pixels.	得られたパッチをよりスムーズにするために、各ピクセルと8ピクセルの距離を計算する。	0.77
Thus, we calculate TV loss T V r as following:	したがって、テレビの損失TV rを次のように計算する。	0.70
(cid:88) (cid:115) (cid:88)	(cid:88) (出典:115)(出典:88)	0.47
(cid:88) i,j	(cid:88) i.j.	0.39
k∈{−1,0,1}	k∂{-1,0,1}	0.25
m∈{−1,0,1}	m∂{-1,0,1}	0.25
T Vr = (pi,j − pi+k,j+m)2	T Vr = (pi,j − pi+k,j+m)2	0.43
(3) (cid:88)	(3) (cid:88)	0.41
(cid:114)(cid:16)	(出典:114)(出典:16)	0.60
Ltv = i,j	Ltv = i.j.	0.40
T Vr can better measure the smoothness of a picture since it measures the distance of surrounding pixels among each pixel.	TVrは、各画素間の周囲画素間距離を測定するため、画像の滑らかさをよりよく測定できる。	0.77
3.3 Loss function Our optimization goal is divided into two parts:	3.3 損失関数最適化のゴールは2つに分かれています。	0.64
• T Vr: The image’s total variance; this loss guarantees that the image is smooth and does not cause excessive	• T Vr: 画像の完全なばらつき。この損失は、画像が滑らかで過度に起こらないことを保証します。	0.81
noise. For further information, see Section 3.2.	騒音だ詳細は3.2節を参照。	0.64
• Lobj: The highest objectness score from the prediction.	• Lobj: 予測から最も高い客観性スコア。	0.72
As previously mentioned [4, 6], this loss can lower the detector output’s objectness score while detecting the person.	前述の[4, 6]のように、この損失は、人を検出しながら検出出力の客観性スコアを下げる。	0.74
Set x to be the input image and P to be the patch.	x を入力画像とし、P をパッチとする。	0.60
The transformation function T (x,P) accepts photos and patches as input and scales and afﬁxes the patches to the person in the image.	変換機能T(x,P)は、入力およびスケールとして写真やパッチを受け付け、画像中の人物にパッチを添付する。	0.75
The frequency attention function Fθ was discussed in Section 3.1.	周波数注意関数Fθは3.1節で議論された。	0.63
A detector takes a patched image T (x,Fθ(P)) as its input and outputs the result with objectness scores Di(T (x,Fθ(P))) is deﬁned as follows:	検出器は、パッチ画像T(x,Fθ(P))を入力として、オブジェクト性スコアDi(T(x,Fθ(P))で結果を出力する。訳抜け防止モード: 検出器は、パッチされた画像T(x, Fθ(P ))を入力とする対象性スコアをDi(T ( x , Fθ(P ) ) ) で出力すると、次のようになる。	0.81
(cid:88) Lobj =	(cid:88) ロビ=	0.32
Di(T (x,Fθ(P)))	Di(T(x,Fθ(P))	0.41
Our total loss function is made up of these two parts:	我々の総損失関数は以下の2つの部分から構成される。	0.69
i L = Lobj + αT Vr	私は L = Lobj + αT Vr	0.51
(4) (5) We combine the two losses, scaled by empirically established factors alpha and use Adam [18] to optimize the loss.	(4) (5) 経験的に確立されたα因子によってスケールされた2つの損失を組み合わせ、adam [18]を使って損失を最適化します。	0.47
4 Experiments and results We demonstrate the efﬁciency of our strategy in this section by comparing our attack effect against several object detectors.	4 実験と結果本項では, 攻撃効果を複数の物体検出器と比較することにより, 戦略の有効性を実証する。	0.78
While there are many researches that have optimized the aggressiveness of the patch, their research has focused on optimizing the aggressiveness of the patch in the physical world [6, 7, 13] or generating new attack effects [5, 16].	パッチの攻撃性を最適化した研究は数多くあるが、彼らの研究は、物理的な世界でのパッチの攻撃性を最適化すること [6, 7, 13] や、新たな攻撃効果を生み出すこと [5, 16] に焦点を当てている。	0.69
The core idea to generate the adversarial patch of those researches is still based on the baseline [4].	これらの研究の逆のパッチを生成するための核となるアイデアは、ベースライン [4] に基づいている。	0.64
Thus, we choose the method proposed in [4] as the baseline.	したがって,[4]で提案した手法をベースラインとして選択する。	0.86
We refer to the patch in our methods as P1 and the patch generated by the baseline as P2.	我々は,本手法のパッチをP1と呼び,ベースラインで生成されたパッチをP2と呼ぶ。	0.74
The rest of this section is structured as following.	この部分の残りは以下のとおりである。	0.62
In Section 4.1, we introduce the basic settings of the experiment, including the data set, the attacked object detectors and the evaluation index.	第4節1では,データセット,攻撃対象検出器,評価指標など,実験の基本的設定について紹介する。	0.77
Section 4.2 introduces our method for attacking objects of various sizes and different detectors then evaluates its robustness against JPEG compression resistance.	第4章2節では,様々な大きさの物体を攻撃し,その強靭性をJPEG圧縮抵抗に対して評価する手法を紹介する。	0.63
Finally, we use ablation experiments to illustrate the efﬁciency of our strategy.	最後に,アブレーション実験を用いて戦略の効率を示す。	0.71
Figure 3 depicts several examples of attacking the object detector.	図3は、オブジェクト検出器を攻撃するいくつかの例を示しています。	0.54
We compared four attack methods in the ﬁgure.	図中の4つの攻撃方法を比較した。	0.73
The ﬁrst three methods employ the FRAN to guide the patch generation process, and their impacts on small and medium objects are more signiﬁcant than the Baseline.	最初の3つの方法はパッチ生成プロセスを導くためにFRANを使用し、中小オブジェクトに対する影響はベースラインよりも大きい。	0.69
In the situation of object overlap in a multi-person scene, our method can also have a high	複数人物シーンにおけるオブジェクト重複状況においては,本手法も高い。	0.62
5	5	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
Figure 3: The effectiveness of an adversarial patch in evading YOLOv3 detection.	図3: YOLOv3検出の回避における敵パッチの有効性。	0.80
We classify the images from the test	テストからイメージを分類する	0.61
set into four groups based on the size and number of people.	人数と人数によって4つのグループに分類される。	0.75
Except for the last rows, each row employs a distinct attack method.	最後の行を除いて、各行は異なる攻撃メソッドを使用する。	0.69
First row: use FRAN to direct the generation of adversarial patches in the ﬁrst seven epochs.	最初の行: 最初の7つのエポックにおける敵パッチの生成をFRANで指示する。	0.69
Secend row: use FRAN to direct the generation of adversarial patches in the ﬁrst seven epochs but did not convert the patch to YCbCr color space.	Secend row: 最初の7つのエポックで逆パッチを生成するためにFRANを使用するが、パッチをYCbCr色空間に変換することはなかった。	0.70
Third row: use FRAN throughout the generating process.	3行目:生成プロセス全体でFRANを使用する。	0.78
Fourth row: use the baseline [4] method	4行目:ベースライン[4]メソッドを使用する	0.84
to generate the patch.	パッチを生成します。	0.74
Fifth row: use random generated patch.	5行目:ランダムに生成されたパッチを使用する。	0.52
Sixth row: original image without patch	6列目:パッチなしの原像	0.73
attack success rate. The last two lines of the image show the results of the object detector when detecting the original image and the image with a random patch.	成功率を攻撃。画像の最後の2行は、ランダムなパッチで元の画像と画像を検出する際にオブジェクト検出器の結果を示す。	0.79
People in those images can be successfully detected.	これらの画像の人物はうまく検出できます。	0.66
4.1 Experimental setup 4.1.1 Evaluation metrics	4.1 実験装置 4.1.1評価指標	0.62
This section will introduce the evaluation metrics ASR [19], ASRs, ASRm, and ASRl to analyze adversarial patch attacks.	本節では,asr [19],asr,asrm,asrlの評価基準を導入し,敵のパッチ攻撃を分析する。訳抜け防止モード: 本項では,評価指標ASR[19 ]を紹介する。 ASRs, ASRm, ASRl 敵のパッチ攻撃を分析します	0.76
The attack success rate (ASR) [19] is a metric to better evaluate the attack object detector’s performance.	攻撃成功率 (ASR) [19] は、攻撃対象検出器の性能をよりよく評価するための指標である。	0.90
[19] proposes three different types of ASRs.	[19]は3種類のASRを提案する。	0.74
The ASR is used in this work to counter the object-vanishing attack, which is deﬁned as following:	ASRは、以下のように定義されるオブジェクト消滅攻撃に対抗するためにこの作業で使用される。	0.73
(cid:80) x∈D(cid:80)	(出典:80)x・D(出典:80)	0.53
ˆo∈ ˆO(x) ASR =	シュオ・オ(x) ASR =	0.40
(cid:48) ∈ ˆO (x(cid:48))(cid:0)IO U(cid:0)ˆo, ˆo	(cid:48) ∈ \o (x(cid:48))(cid:0)io u(cid:0)\o,\o) である。	0.63
(cid:49)(cid:104)¬∃ˆo (cid:80) x∈D (cid:107) ˆO(x)(cid:107)	(cid:49)(cid:104)(ci d:80)(cid:107)(cid:1 07)(cid:107)(cid:107 )	0.31
(cid:48)(cid:1) ≤ tIOU	(cid:48)(cid:1)≤ tIOU	0.44
(cid:1)(cid:105)	(cid:1)(cid:105)	0.37
If (cid:49)[condition] is 1 or 0, the condition is satisﬁed.	cid:49)[条件]が1または0であれば、条件は満たされる。	0.81
We consider x as the input image, D as the set of all x.	x を入力像とし、D をすべての x の集合とする。	0.71
x(cid:48) represents the image after adversarial disturbance.	x(cid:48) は逆乱後の画像を表す。	0.76
We use ˆo to denote a ground truth box and ˆo(cid:48) to denote the predicted box.	我々は、接地真理箱を表すのに「o」と予測箱を表すのに「o(cid:48)」を用いる。	0.55
Let (cid:48) ˆO(x) be the set of ground-truth objects of ˆo.	(cid:48) so(x) を so の接地対象の集合とする。	0.64
Similarly, let ˆO(x(cid:48)) be the set of predicted objects of ˆo(cid:48).	同様に、sO(x(cid:48)) を so(cid:48) の予測対象の集合とする。	0.81
IOU (ˆo, ˆo )	IOU(オオ、オオ)	0.72
6 (6)	6 (6)	0.43

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
represents the intersection over union of o and o(cid:48).	o と o(cid:48) の和の交叉を表す。	0.71
tIOU , a speciﬁed super parameter, represents the IOU threshold.	指定されたスーパーパラメータであるtIOUは、IOU閾値を表す。	0.67
For the calculations in the experiment, we choose 0.5 [19].	実験の計算には0.5[19]を選択します。	0.83
However, calculating ASR alone does not account for the attack effect of adversarial patches on objects of numerous sizes; consequently, we proposed ASRs, ASRm, and ASRl based on the ideas of APs, APm, and APl [20].	しかし,APs,APm,APl[20]の考え方に基づいて,ASR,ASRm,ASRlの攻撃効果はASRだけでは説明できない。訳抜け防止モード: しかし、ASRのみを計算する。多数のサイズのオブジェクトに対する敵パッチの攻撃効果を説明できない。我々はAP、APm、APl [20 ]の考え方に基づいて、ASR、ASRm、ASRlを提案しました。	0.59
ASRs, ASRm, and ASRl represent the attack success rates of attacks on small, medium, and large objects, respectively.	ASR、ASRm、ASRlは、それぞれ小、中、大物体に対する攻撃の成功率を表す。	0.62
We utilized height to differentiate between three distinct item sizes.	我々は高さを利用して3つの異なるアイテムサイズを区別した。	0.58
Let H stand for a height function, H(ˆo) for the detection box’s height, and H(x) for a picture’s height.	h を高さ関数、h(o) を検出ボックスの高さ、h(x) を画像の高さ関数とする。	0.64
Next, the height ratio can be deﬁned as follows:	次に、高さ比 s を次のように定義することができる。	0.64
= H( ˆo) H(x)	= H( so) H(x)	0.42
(7) We made two boundaries e0 and e1 to separate detection boxes of different sizes.	(7) 我々は2つの境界 e0 と e1 を作成し、異なるサイズの検出ボックスを分離した。	0.53
Small objects have an e value less than e0, while medium objects have an ee value between e0 and e1.	小オブジェクトはe0未満のe値を持ち、中オブジェクトはe0〜e1間のee値を持つ。	0.75
A big object is one with an ee larger than e1.	大きな物体は e1 よりも大きい e1 を持つ物体である。	0.78
In our research, 0 is 0.3,and 1 is 0.6.	我々の研究では、0は0.3で1は0.6である。	0.67
While dividing the data set, this two values can balance the number of three sizes of objects.	データセットを分割しながら、この2つの値はオブジェクトの3つのサイズの数のバランスをとることができる。	0.66
4.1.2 Data collection	4.1.2 データ収集	0.56
We used two datasets when training the object detector: COCO [20] and VOC [21].	オブジェクト検出器のトレーニングには,COCO[20]とVOC[21]の2つのデータセットを使用しました。	0.66
Similarly, we chose 16000 images from COCO dataset to generate the adversarial patch.	同様に、私たちはCOCOデータセットから16万の画像を選択し、敵パッチを生成しました。	0.52
After randomly shufﬂing the dataset, we used 12000 images as the training dataset and 4000 images as the test dataset.	ランダムにデータセットをシャッフルした後、トレーニングデータセットとして12000イメージ、テストデータセットとして4000イメージを使用しました。	0.60
There is at least one person in each of the images.	各画像には少なくとも1人がいます。	0.77
The number of the small, medium and big size of human boxes is nearly the same in the training and test datasets.	トレーニングデータセットとテストデータセットでは、人間ボックスの小さな、中、大きなサイズの数は、ほぼ同じです。	0.68
We utilized ASR, ASRs, ASRM and ASRl described in Section 4.1.1 as the evaluation metrics of the attack effectiveness.	ASR, ASRs, ASRM, ASRlを攻撃効果の評価指標として利用した。	0.53
4.1.3 Victim object detectors	4.1.3 Victimオブジェクト検出器	0.57
Our work selected YOLOv3 [9], YOLOv4 [22] and RetinaNet [23] as the victim detectors, and the input image size is 3 × 612 × 612.	本研究は, 被害者検出器としてYOLOv3[9], YOLOv4[22], RetinaNet[23]を選択し, 入力画像サイズは3×612×612である。	0.83
We ﬁrst trained pre-training models on the COCO dataset and then trained the ﬁnal models using the VOC dataset.	最初にcocoデータセットで事前トレーニングモデルをトレーニングし、その後vocデータセットを使用して最終モデルをトレーニングしました。	0.55
4.1.4 Implementation details We randomly initialized a 3×950×950 patch in the patch generation process.	4.1.4実装の詳細パッチ生成プロセスで3×950×950パッチをランダムに初期化した。	0.60
We used FRAN to guide patch production in the ﬁrst seven training epochs.	最初の7回のトレーニングでは、FRANを使ってパッチ生産をガイドしました。	0.58
Moreover, Adam [18] was used in our experiments.	さらに,Adam [18] を実験に用いた。	0.74
For training, we used a single Tesla A100.	訓練にはtesla a100を1台使った。	0.64
Our batch size in the training process was four, and the learning rate was set at 0.005.	トレーニングプロセスのバッチサイズは4つで,学習率は0.005と設定された。	0.79
Each training stoped after about 45 hours when ASR rarely rises.	各訓練はASRが稀に上昇する45時間後に停止した。	0.66
We used the patch with the highest ASR in the test dataset as the ﬁnal training result.	最終トレーニング結果として,テストデータセットでASRが最も高いパッチを使用した。	0.73
4.2 Results Our method achieved 93.68% ASR when attacking YOLOv3 [9].	4.2 結果ヨロブ3[9]を攻撃したときのASRは93.68%であった。	0.60
Simultaneously, our method successfully raised ASRm and ASRs without affecting ASRl.	同時に,本手法はASRlに影響を与えずにASRmとASRを上昇させることに成功した。	0.43
Our ASR improved by 2.56%, ASRm increased by 3.89%, and ASRl ampliﬁed by 4.18% compared with the baseline [4].	ASRは2.56%, ASRmは3.89%, ASRlは4.18%向上した。訳抜け防止モード: ASRは2.56%改善した。 ASRmは3.89%増加した。ベースライン [ 4 ] と比較して ASRl は 4.18 % 増幅された。	0.60
4.2.1 Attack on different size objects	4.2.1 異なるサイズオブジェクトへの攻撃	0.66
In this paper, we hope that the patch can successfully attack objects of various sizes, which means that it must remain adversarial even after being shrunk in several times.	本稿では,このパッチが様々な大きさの物体をうまく攻撃できることを期待する。訳抜け防止モード: 本稿では,このパッチが様々なサイズのオブジェクトを攻撃できることを期待している。つまり数回縮小されても敵意を保たなければならない。	0.72
The most commonly used image reduction algorithm is bilinear interpolation.	最もよく使われる画像縮小アルゴリズムは双線形補間である。	0.79
Because this algorithm is a Low-pass ﬁlter, patch’s high-frequency information will be lost during the reduction process.	このアルゴリズムは低パスフィルタであるため、patchの高周波情報は削減プロセス中に失われる。	0.71
As a result, patch attack capability is dwindling.	その結果,パッチ攻撃能力は低下している。	0.77
We used FRAN to guide the patch generation process, and the experimental results demonstrate the workability of the method.	パッチ生成プロセスの導出にFRANを用い,本手法の作業性を示す実験結果を得た。	0.76
ASRm and ASRs can achieve 96.41% and 87.21% for small objects using the mathcalP2 attack the detector.	ASRm と ASR は 96.41% と 87.21% を達成することができる。	0.54
Compared to the baseline, the attack success rate with P1 is only 92.52% and 83.03%.	ベースラインと比較して、P1の攻撃成功率は92.52%と83.03%である。	0.71
For small objects, ASRl of P1 and P2 is 96.75% and 96.98%, respectively.	小天体の場合、P1とP2のASRlはそれぞれ96.75%と96.98%である。	0.65
We improved the attack success rate of small and medium objects while not affecting large objects’ attack success rate.	我々は,中小オブジェクトの攻撃成功率を改善し,大オブジェクトの攻撃成功率に影響を与えなかった。	0.80
Figure 4 depicts the spectrum attention map when attack YOLOv3.	図4は、YOLOv3攻撃時のスペクトル注意マップを描いている。	0.63
Because Cb and Cr channels in YCbCr color space represent color offset, we only show Y channel’s frequency attention mask.	YCbCr色空間におけるCbおよびCrチャネルは色オフセットを表すため、Yチャネルの周波数注意マスクのみを示す。	0.82
7	7	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
Figure 4: Frequency attention mask of the patch.	図4:パッチの周波数注意マスク。	0.73
4.2.2 Attack against different object detectors	4.2.2 異なる物体検出器に対する攻撃	0.60
In this section we compared the result on three object detectors: YOLOv3 [9], YOLOv4 [22] and RetinaNet [23].	本項では, YOLOv3[9], YOLOv4[22], RetinaNet[23]の3つの物体検出器について比較を行った。	0.81
For all these detectors, we used the same dataset and the same training process as described in Section 4.1.3.	これらすべての検出器について、第4.1.3節で述べたように、同じデータセットと同じトレーニングプロセスを使用しました。	0.51
The results were displayed in the table 2.	結果は表2に表示されます。	0.79
Table 1: The ASR (%) of adversarial patches generated from Ours, Ours(non-YCbCr), Ours(keep) and baseline [4] in digital-world against YOLOv3.	表1:Ours、Ours(non-YCbCr)、Ours(keep)およびベースラインから生成される敵パッチのASR(%)が、YOLOv3に対してデジタルワールドで生成される。	0.67
FRAN is the option of whether to use the frequency domain attention mask, YCbCr represents whether to convert the patch into YCbCr color space, Keep use FRAN indicates whether the frequency	FRANは周波数領域アテンションマスクを使用するか、YCbCrはパッチをYCbCr色空間に変換するか、FRANを使うか、周波数を使用するかを示す。	0.83
attention mask is used to guide the generation of patches along all the training process.	注意マスクは、すべてのトレーニングプロセスに沿ってパッチの生成を導くために使用される。	0.67
Ours(non-YCbCr)	我々の(非YCbCr)	0.37
method Ours	Method Ours	0.41
Ours(keep) Baseline Random Clean	Ours(keep)ベースラインランダムクリーン化	0.79
(cid:88) (cid:88)	(cid:88)(cid:88)	0.37
(cid:88) (cid:88) (cid:88)	(出典:88)(出典:88)(出典:88)	0.52
FRAN YCbCr Keep use FRAN ASR(%) ASRl(%) ASRm(%) ASRs(%) 87.21 78.93 77.70 83.03 25.01 20.69	fran ycbcr は fran asr(%) asrl(%) asrm(%) asrs(%) 87.21 78.93 77.70 83.03 25.01 20.69	0.53
93.68 85.33 88.02 91.12 21.76 17.83	93.68 85.33 88.02 91.12 21.76 17.83	0.22
96.41 92.07 90.88 92.52 16.60 13.61	96.41 92.07 90.88 92.52 16.60 13.61	0.22
96.75 89.27 94.29 96.98 23.62 19.26	96.75 89.27 94.29 96.98 23.62 19.26	0.22
(cid:88) Table 2: The ASR(%) against different object detectors.	(cid:88) 表2:異なる物体検出器に対するASR(%)。	0.58
Attacking three object detectors separately and comparing the	3つの物体検出器を別々に攻撃し、比較する	0.63
effect of the two methods (Ours, Baseline [4])	2つの方法の効果(Ours, Baseline [4])	0.79
Detector YOLOv3(Ours)	検出器 YOLOv3(Ours)	0.61
YOLOv3(Baseline) RetinaNet(Ours)	YOLOv3(Baseline)Reti naNet(Ours)	0.47
RetinaNet(Baseline)	retinanet (複数形 retinanets)	0.44
YOLOv4(Ours)	YOLOv4(Ours)	0.49
YOLOv4(Baseline)	YOLOv4(Baseline)	0.49
ASR(%) ASRl(%) ASRm(%) ASRs(%) 87.21 83.03 75.55 72.99 57.12 53.34	ASR(%) ASRl(%) ASRm(%) ASRs(%) 87.21 83.03 75.55 72.99 57.12 53.34	0.39
93.68 91.18 84.31 81.78 63.57 61.44	93.68 91.18 84.31 81.78 63.57 61.44	0.22
96.75 96.98 90.37 90.11 70.43 70.53	96.75 96.98 90.37 90.11 70.43 70.53	0.22
96.41 92.52 85.94 80.85 62.15 56.14	96.41 92.52 85.94 80.85 62.15 56.14	0.22
4.3 Ablation Study	4.3 アブレーション研究	0.71
This section performed additional experiments to better understand our method’s robustness.	本節では,提案手法のロバスト性をよりよく理解するための追加実験を行った。	0.57
In the ﬁrst set of experiments (clean), the images were used without a patch.	最初の実験(クリーン)では、画像はパッチなしで使用された。	0.69
In the second set of experiments (random), the images were used with a random noise patch.	2つ目の実験(ランダム)では、画像はランダムなノイズパッチで使用された。	0.74
The third set of experiments (baseline) employed the baseline [4] method.	3つ目の実験セット(ベースライン)はベースライン[4]メソッドを使用しました。	0.72
The fourth set of experiments (Ours(nonYCbCr)) utilizes FRAN without converting it to YCbCr color space.	4つ目の実験(Ours(nonYCbCr)は、FRANをYCbCr色空間に変換することなく利用する。	0.88
The ﬁfth set of experiments (Ours(keep)) used FRAN throughout the generating process.	5つ目の実験(Ours(keep))では、生成プロセス全体でFRANを使用した。	0.75
The sixth set of experiments (Ours) only utilized FRAN in the ﬁrst seven epochs.	第6の実験セット(ours)は、最初の7つの時代においてフランのみを利用した。	0.60
The results of ablation experiments were depicted in table 1.	アブレーション実験の結果は表1に示されている。	0.78
4.3.1 Robustness against JPEG compression	4.3.1 JPEG圧縮に対するロバスト性	0.55
According to Ian et al , JPEG compression [1], which removes the image’s high-frequency signals, can signiﬁcantly reduce the perturbability of attacks.	Ian氏らによると、画像の高周波信号を除去するJPEG圧縮[1]は、攻撃の摂動性を著しく減少させる。	0.67
The adversarial image’s effectiveness can be lowered by JPEG compression, which removes the image’s high-frequency signals.	逆画像の有効性はJPEG圧縮によって低下し、画像の高周波信号を除去する。	0.69
8	8	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
To identify how JPEG compression affects adversarial patch attacks, we saved the patch in JPEG format and reloaded it to calculate their attack success rates on the test dataset.	JPEG圧縮が敵のパッチ攻撃にどのように影響するかを特定するため、JPEGフォーマットでパッチを保存し、再ロードして、テストデータセットでの攻撃成功率を算出する。	0.67
The results were displayed in the table 3.	結果は表3に表示されます。	0.79
Table 3: The impact of JPEG compression on attacks	表3:JPEG圧縮が攻撃に与える影響	0.78
Methods Ours Ours(JPEG) Baseline [4] Baseline [4](JPEG)	Methods Ours Ours(JPEG) Baseline [4] Baseline [4](JPEG)	0.40
ASR(%) 93.68 (↓5.65)88.03 91.18 (↓7.63)83.55	ASR(%) 93.68(～5.65)88.03 91.18(～7.63)83.55	0.56
ASRl(%) 96.75 (↓2.45)94.30 96.98 (↓4.03)92.95	ASRl(%) 96.75 (シュ2.45)94.30 96.98 (シュ4.03)92.95	0.27
ASRm(%) 96.41 (↓5.53)90.88 92.52 (↓7.55)84.97	ASRm(%)96.41(シュ5.53)90.8892.52(シュ7.55)84.97	0.53
ASRs(%) 87.21 (↓9.51)77.70 83.03 (↓11.81)71.12	asrs(%) 87.21 (/9.51)77.70 83.03 (/11.81)71.12	0.49
The experiment results reveal that our method outperforms the baseline when attacking small and medium-sized objects.	実験の結果,中小のオブジェクトを攻撃した場合,本手法がベースラインを上回ることがわかった。訳抜け防止モード: 実験の結果本手法は,中小のオブジェクトを攻撃した場合のベースラインよりも優れる。	0.67
The attack success rate can be increased by directing patch creation with FRAN.	FRANでパッチ作成を指示することで、攻撃成功率を高めることができる。	0.68
However, the attack success rate decreases if FRAN is used throughout the training process.	しかし、FRANをトレーニングプロセス全体で使用すると、攻撃成功率は低下する。	0.80
The reason is that FRAN suppressed frequency information excessively during the later training period, reducing patch aggression.	その理由は、FRANが後のトレーニング期間中に周波数情報を過剰に抑制し、パッチ攻撃を軽減したからである。訳抜け防止モード: 理由は FRANは、後のトレーニング期間中に周波数情報を過剰に抑制し、パッチ攻撃を低減した。	0.63
So we chose to use FRAN duing the ﬁrst several epochs.	そこで、最初の何回かのエポックでFRANを使うことにしたのです。	0.47
When attacking different detectors we will choose diiferent epoch to stop using FRAN.	異なる検出器を攻撃する際には、FRANの使用を止めるためにダイアリフェレントエポックを選択する。	0.56
At the same time, converting the patch into YCbCr color space and extracting frequency information using Fourier transform during the training phase result in a patch with a greater attack impact.	同時に、パッチをycbcr色空間に変換し、トレーニングフェーズ中にフーリエ変換を用いて周波数情報を抽出することで、攻撃影響が大きいパッチとなる。	0.82
5 Conclusion and Future Work	5 結論と今後の課題	0.79
A frequency attention module is proposed in this work to guide the patch generating process.	本研究では,パッチ生成プロセスのガイドとして,周波数アテンションモジュールを提案する。	0.65
When attacking the YOLOv3 object detector, our attack approach has a success rate of 93.68%.	yolov3オブジェクト検出器を攻撃した場合、攻撃アプローチの成功率は93.68%である。	0.72
The attack success rate of medium and small targets has improved without compromising the attack success rate on big targets.	中小目標の攻撃成功率は,大目標に対する攻撃成功率を損なうことなく改善した。	0.78
Our ﬁndings show that frequency attention can control the frequency distribution when creating patches, resulting in more robust patches.	以上の結果から,パッチ作成時の周波数分布を周波数注意が制御できることが示唆された。	0.78
In the future we would like to extend this work by making it more powerful.	将来的には、より強力にすることで、この作業を拡張したいと考えています。	0.64
One way to do this is optimizing the generating process of frequency attention map.	この方法の1つは、周波数アテンションマップの生成プロセスを最適化することである。	0.68
(i.e. use a generate model to produce the frequency attention map)	(つまり、周波数注意マップを作成するために生成モデルを使用する)	0.80
Another way is to optimize the training process of frequency attention module.	別の方法は、周波数アテンションモジュールのトレーニングプロセスを最適化することです。	0.65
Our current method will suppress too much frequency information, using drnamic weight might improve upon this.	我々の現在の手法では周波数情報の過剰な抑制が可能である。	0.59
References [1] Ian J Goodfellow, Jonathon Shlens, and Christian Szegedy.	参考文献イアン・J・グッドフェロー(Ian J Goodfellow)、ヨナソン・シュレンス(Jonathon Shlens)、クリスチャン・セゲディ(Christian Szegedy)。	0.56
Explaining and harnessing adversarial examples.	敵の例を説明し、活用する。	0.46
arXiv preprint arXiv:1412.6572, 2014.	arxiv プレプリント arxiv:1412.6572, 2014	0.41
[2] Alexey Kurakin, Ian J. Goodfellow, and Samy Bengio.	アレクセイ・クラキン、イアン・J・グッドフェロー、サミー・ベンジオ。	0.40
Adversarial machine learning at scale.	大規模な敵機械学習。	0.61
ArXiv, abs/1611.01236, 2017.	arxiv。 abs/1611.01236、2017年。	0.40
[3] Buu Phan, Fahim Mannan, and Felix Heide.	[3]Buu Phan、Fahim Mannan、Felix Heide。	0.32
Adversarial imaging pipelines.	逆向きのイメージングパイプライン。	0.62
2021 IEEE/CVF Conference on	2021 IEEE/CVF 会議	0.95
Computer Vision and Pattern Recognition (CVPR), pages 16046–16056, 2021.	コンピュータビジョン・パターン認識 (cvpr) 16046-16056, 2021頁。	0.73
[4] Simen Thys, Wiebe Van Ranst, and Toon Goedemé.	Simen Thys、Wiebe Van Ranst、Toon Goedemé。	0.47
Fooling automated surveillance cameras: Adversarial patches to attack person detection.	自動監視カメラ: 人検出を攻撃するための敵パッチ。	0.80
2019 IEEE/CVF Conference on Computer Vision and Pattern Recognition Workshops (CVPRW), pages 49–55, 2019.	2019 IEEE/CVF Conference on Computer Vision and Pattern Recognition Workshops (CVPRW), page 49–55, 2019	0.45
[5] Xin Liu, Huanrui Yang, Ziwei Liu, Linghao Song, Yiran Chen, and Hai Helen Li.	5]シン・リウ、フアンルーイ・ヤン、ジワイ・リウ、リンガオ・ソング、イラン・チェン、ハイ・ヘレン・リ	0.52
Dpatch: An adversarial patch	dpatch: 敵対的なパッチ	0.83
attack on object detectors. arXiv: Computer Vision and Pattern Recognition, 2019.	物体探知機を攻撃。 arXiv: コンピュータビジョンとパターン認識、2019年。	0.80
[6] Zuxuan Wu, Ser-Nam Lim, Larry S Davis, and Tom Goldstein.	Zuxuan Wu氏、Ser-Nam Lim氏、Larry S Davis氏、Tom Goldstein氏。	0.33
Making an invisibility cloak: Real world adversarial attacks on object detectors.	見えないクロークを作る:オブジェクト検出器に対する現実世界の敵攻撃。	0.69
In European Conference on Computer Vision, pages 1–17.	欧州コンピュータビジョン会議』、1-17頁。	0.66
Springer, 2020.	スプリンガー、2020年。	0.59
[7] Kaidi Xu, Gaoyuan Zhang, Sijia Liu, Quanfu Fan, Mengshu Sun, Hongge Chen, Pin-Yu Chen, Yanzhi Wang, and Xue Lin.	7]カイディ・スー、ガユアン・チャン、シジア・リウ、クンフ・ファン、メンジュ・サン、ホンジュ・チェン、ピン・ユ・チェン、ヤンシー・ワン、エク・リン訳抜け防止モード: [7]カイディ・チウ、ガオユアン・チャン、シジア・リュークァンフファン、メングシュ・サン、ホンジュ・チェン、ピン-ユ・チェンヤンジー・ワン(Yanzhi Wang)とXue Lin(Xue Lin)。	0.60
Adversarial t-shirt! evading person detectors in a physical world.	物理的世界における人検知器の回避。	0.54
In European conference on computer vision, pages 665–681.	欧州のコンピュータビジョン会議において、665-681頁。	0.72
Springer, 2020.	スプリンガー、2020年。	0.59
[8] Joseph Redmon and Ali Farhadi.	8] ジョセフ・レッドモンとアリ・ファラディ	0.59
Yolo9000: Better, faster, stronger.	Yolo9000: より良く、より速く、より強く。	0.74
2017 IEEE Conference on Computer Vision	2017 IEEE Conference on Computer Vision	0.43
and Pattern Recognition (CVPR), pages 6517–6525, 2017.	パターン認識(cvpr)、6517-6525頁、2017年。	0.62
[9] Joseph Redmon and Ali Farhadi.	9] ジョセフ・レッドモンとアリ・ファラディ	0.59
Yolov3: An incremental improvement.	Yolov3: 漸進的な改善です。	0.70
ArXiv, abs/1804.02767, 2018.	arxiv、abs/1804.02767、2018年。	0.49
[10] Shaoqing Ren, Kaiming He, Ross B. Girshick, and Jian Sun.	10]shaoqing ren、kaiming he、ross b. girshick、jian sun。	0.49
Faster r-cnn: Towards real-time object detection with region proposal networks.	Faster r-cnn: リージョン提案ネットワークによるリアルタイムオブジェクト検出を目指す。	0.69
IEEE Transactions on Pattern Analysis and Machine Intelligence, 39:1137–1149, 2015.	IEEE Transactions on Pattern Analysis and Machine Intelligence, 39:1137–1149, 2015	0.47
9	9	0.42

英語（論文から抽出）	日本語訳	スコア
Running Title for Header	ヘッダーのランニング・タイトル	0.77
[11] Joseph Redmon, Santosh Kumar Divvala, Ross B. Girshick, and Ali Farhadi.	11]ジョセフ・レッドモン、サントッシュ・クマール・ディヴヴァラ、ロス・b・ギルシック、アリ・ファラディ	0.48
You only look once: Uniﬁed, real-time object detection.	一度だけ見えます: 統一されたリアルタイムオブジェクト検出。	0.70
2016 IEEE Conference on Computer Vision and Pattern Recognition (CVPR), pages 779–788, 2016.	2016 IEEE Conference on Computer Vision and Pattern Recognition (CVPR) 779-788, 2016	0.39
[12] Fred L. Bookstein.	フレッド・L・ブックスタイン(Fred L. Bookstein)	0.45
Principal warps: Thin-plate splines and the decomposition of deformations.	主なワープ:薄板のスプラインと変形の分解。	0.63
IEEE Trans. Pattern Anal.	ieeeトランス。パターンアナル。	0.55
Mach. Intell. , 11:567–585, 1989.	マッハインテリ。 , 11:567–585, 1989.	0.37
[13] Max Lennon, Nathan G. Drenkow, and Philippe Burlina.	13]マックス・レノン、ネイサン・g・ドレンコウ、フィリップ・バーリナ	0.61
Patch attack invariance: How sensitive are patch attacks to 3d pose?	パッチアタックの不変性: 3dポーズに対するパッチアタックはどの程度敏感か?	0.64
2021 IEEE/CVF International Conference on Computer Vision Workshops (ICCVW), pages 112–121, 2021.	2021年、IEEE/CVF International Conference on Computer Vision Workshops (ICCVW)、112-121頁、2021年。	0.74
[14] Cihang Xie, Jianyu Wang, Zhishuai Zhang, Yuyin Zhou, Lingxi Xie, and Alan Loddon Yuille.	14]チアン・シー、ジャンユ・ワン、ジシュアイ・ジン、ユーイン・周、リンキシ・シー、アラン・ロドン・ユイユ訳抜け防止モード: 14 ]チハン・シー、ジャンユ・ワン、ジシュアイ・ジャン、 yuyin zhou、lingxi xie、alan loddon yuille。	0.47
Adversarial examples for semantic segmentation and object detection.	セマンティックセグメンテーションとオブジェクト検出の逆例。	0.64
2017 IEEE International Conference on Computer Vision (ICCV), pages 1378–1387, 2017.	2017 IEEE International Conference on Computer Vision (ICCV), page 1378–1387, 2017	0.41
[15] Xingxing Wei, Siyuan Liang, Xiaochun Cao, and Jun Zhu.	[15]Xing Wei、Siyuan Liang、Xiaochun Cao、Jun Zhu。	0.34
Transferable adversarial attacks for image and video	画像と映像に対する転送可能な逆攻撃	0.72
object detection. In IJCAI, 2019.	物体検出 2019年ijcaiで開催。	0.59
[16] Ka-Ho Chow, Ling Liu, Margaret Loper, Juhyun Bae, Mehmet Emre Gursoy, Stacey Truex, Wenqi Wei, and Yanzhao Wu.	16] Ka-Ho Chow, Ling Liu, Margaret Loper, Juhyun Bae, Mehmet Emre Gursoy, Stacey Truex, Wenqi Wei, Yanzhao Wu。訳抜け防止モード: [16]ka-ho chow、ling liu、margaret loper juhyun bae, mehmet emre gursoy, stacey truex, wenqi wei, そしてヤンザオ・ウー。	0.58
Adversarial objectness gradient attacks in real-time object detection systems.	リアルタイム物体検出システムにおける逆対象性勾配攻撃	0.70
In 2020 Second IEEE International Conference on Trust, Privacy and Security in Intelligent Systems and Applications (TPS-ISA), pages 263–272.	2020年の第2回IEEE International Conference on Trust, Privacy and Security in Intelligent Systems and Applications (TPS-ISA), page 263–272。訳抜け防止モード: 2020年、第2回ieee international conference on trust, privacy and security in intelligent systems and applications (tps - isa) が開催された。 263-272頁。	0.59
IEEE, 2020.	IEEE、2020年。	0.90
[17] James W. Cooley and John W. Tukey.	17] ジェームズ・w・クーリーとジョン・w・タキー	0.63
An algorithm for the machine calculation of complex fourier series.	複素フーリエ級数の計算機計算のためのアルゴリズム	0.65
Mathematics of Computation, 19:297–301, 1965.	計算数学 19:297–301, 1965。	0.77
[18] Diederik P Kingma and Jimmy Ba.	[18]Diederik P KingmaとJimmy Ba。	0.40
Adam: A method for stochastic optimization.	Adam: 確率最適化の方法です。	0.69
arXiv preprint arXiv:1412.6980,	arXiv preprint arXiv:1412.6980,	0.33
2014. [19] Ka-Ho Chow, Ling Liu, Mehmet Emre Gursoy, Stacey Truex, Wenqi Wei, and Yanzhao Wu.	2014. [19] Ka-Ho Chow, Ling Liu, Mehmet Emre Gursoy, Stacey Truex, Wenqi Wei, Yanzhao Wu。	0.41
Understanding object detection through an adversarial lens.	対向レンズによる物体検出の理解	0.72
In European Symposium on Research in Computer Security, pages 460–481.	ヨーロッパコンピュータセキュリティ研究シンポジウム (European Symposium on Research in Computer Security) 460-481頁。	0.69
Springer, 2020.	スプリンガー、2020年。	0.59
[20] Tsung-Yi Lin, Michael Maire, Serge Belongie, James Hays, Pietro Perona, Deva Ramanan, Piotr Dollár, and C. Lawrence Zitnick.	ツン・ヨン、マイケル・ミア、セルゲイ・ベロンギー、ジェームズ・ヘイズ、ピエトロ・ペローナ、デヴァ・ラマナン、ピョートル・ドラール、C・ローレンス・ジトニック。訳抜け防止モード: [20 ]ツン - 李林、マイケル・ミア、セルゲイ・ベロンギー James Hays, Pietro Perona, Deva Ramanan, Piotr Dollár そしてC・ローレンス・ジトニック。	0.78
Microsoft coco: Common objects in context.	Microsoft Coco: コンテキスト内の共通オブジェクト。	0.83
In David Fleet, Tomas Pajdla, Bernt Schiele, and Tinne Tuytelaars, editors, Computer Vision – ECCV 2014, pages 740–755, Cham, 2014.	David Fleet, Tomas Pajdla, Bernt Schiele, Tinne Tuytelaars, editors, Computer Vision – ECCV 2014 page 740–755, Cham, 2014 訳抜け防止モード: デビッド・フリートでは、トマス・ペイドラ、ベルント・シエレ、ティン・トゥイテラーズが出演した。編集部:eccv 2014, pp. 740-755, cham, 2014。	0.42
Springer International Publishing.	Springer International Publishing(英語)	0.71
[21] Mark Everingham, S. M. Ali Eslami, Luc Van Gool, Christopher K. I. Williams, John M. Winn, and Andrew Zisserman.	Mark Everingham氏、S.M. Ali Eslami氏、Luc Van Gool氏、Christopher K.I. Williams氏、John M. Winn氏、Andrew Zisserman氏。	0.79
The pascal visual object classes challenge: A retrospective.	パスカルなビジュアルオブジェクトクラスへの挑戦: レトロスペクティブ。	0.68
International Journal of Computer Vision, 111:98–136, 2014.	International Journal of Computer Vision, 111:98–136, 2014	0.43
[22] Alexey Bochkovskiy, Chien-Yao Wang, and Hong-Yuan Mark Liao.	[22]Alexey Bochkovskiy、Chien-Yao Wang、Hong-Yuan Mark Liao。	0.39
Yolov4: Optimal speed and accuracy of	Yolov4: 最適なスピードと精度	0.90
object detection. ArXiv, abs/2004.10934, 2020.	物体検出 arxiv、abs/2004.10934、2020年。	0.53
[23] Tsung-Yi Lin, Priya Goyal, Ross B. Girshick, Kaiming He, and Piotr Dollár.	[23]通義林、プリヤ・ゴヤル、ロス・B・ギルシック、カイミング・ヘ、ピオトル・ドラール。	0.47
Focal loss for dense object detection.	密度物体検出のための焦点損失	0.79
2017 IEEE International Conference on Computer Vision (ICCV), pages 2999–3007, 2017.	2017 IEEE International Conference on Computer Vision (ICCV), page 2999–3007, 2017	0.41
10	10	0.42

論文の概要、ライセンス

翻訳結果