4. 鲁棒性的基本类型

在模型验证中，鲁棒性并不是一个单一指标，而是一组针对不同扰动来源的能力集合。一个模型在干净测试集上表现优秀，并不意味着它能承受恶意攻击、传感器噪声、字段缺失或环境漂移。理解鲁棒性的基本类型，是设计验证方案、选择加固手段和评估外推风险的前提。本节将鲁棒性拆分为五类：对抗鲁棒性、噪声鲁棒性、缺失值鲁棒性、异常值鲁棒性与环境变化鲁棒性，并给出可操作的验证思路。

一、核心原理：扰动来源决定鲁棒性类型

鲁棒性的本质是模型在输入分布发生偏移时，输出仍保持可接受的能力。不同扰动具有不同的结构：对抗扰动是人为优化出的、方向性极强的微小修改；噪声通常是随机、无方向、幅度较小的干扰；缺失值是信息通道被切断；异常值是少量但幅度极大的偏离；环境变化则是整体数据生成机制随时间、地点或人群发生迁移。因此，验证方法必须与扰动类型匹配，不能用同一种测试覆盖所有风险。

二、五类鲁棒性的定义与验证方法

1. 对抗鲁棒性

对抗鲁棒性衡量模型抵御恶意构造输入的能力。攻击者通过优化输入使损失增大或预测翻转，常见方法包括FGSM、PGD、C&W等。验证时通常报告不同扰动预算下的准确率曲线，而不是单一数值。

# 以PGD为例的对抗验证参数
epsilon = 8/255        # 扰动预算
alpha = 2/255          # 单步步长
steps = 10             # 迭代次数
attack = PGD(model, eps=epsilon, alpha=alpha, steps=steps)
robust_acc = evaluate(model, attack(dataset))

对抗鲁棒性通常与标准准确率存在权衡。过度追求对抗鲁棒性可能降低干净样本性能，因此需要根据业务场景确定可接受的折中点。

2. 噪声鲁棒性

噪声鲁棒性针对随机扰动，如高斯噪声、椒盐噪声、传感器漂移。验证方法是向输入或特征注入不同信噪比的噪声，观察性能衰减速度。噪声鲁棒性好的模型通常具有平滑的决策边界或较强的正则化。

3. 缺失值鲁棒性

缺失值鲁棒性衡量模型在部分特征不可用时的表现。验证时可按比例随机屏蔽特征，或模拟真实缺失模式（如某传感器整段失效）。常见策略包括缺失指示变量、多重插补、以及原生支持缺失的树模型。

4. 异常值鲁棒性

异常值鲁棒性关注少量极端值对模型的影响。线性模型和基于均值的统计量对异常值敏感，而基于中位数、分位数或Huber损失的模型更稳健。验证时可注入极端值并观察预测偏移。

5. 环境变化鲁棒性

环境变化鲁棒性又称分布外泛化或领域适应能力，指模型在时间、地点、设备、人群变化后仍保持性能。验证需要按时间切分、按群体切分或使用多个外部数据集进行交叉评估。

三、五类鲁棒性对比清单

四、案例与场景：信贷风控中的多类型鲁棒性

假设一个信贷违约预测模型上线后，需要同时面对多种扰动。第一，黑产可能伪造收入字段，属于对抗鲁棒性问题；第二，用户填写时存在随机误差，属于噪声鲁棒性；第三，部分用户不提供学历信息，属于缺失值鲁棒性；第四，少数用户收入极高，属于异常值鲁棒性；第五，经济周期变化导致整体违约率漂移，属于环境变化鲁棒性。若只验证其中一类，模型上线后仍可能在其他维度失效。

五、误区与复盘

• 误区一：用噪声鲁棒性代替对抗鲁棒性。随机噪声测试通过，不代表能抵御定向攻击。两者扰动结构完全不同。
• 误区二：只报告平均性能。环境变化下，平均准确率可能掩盖最差群体的严重退化，应同时报告最差群体指标。
• 误区三：缺失值全部插补后再验证。插补会引入人为信息，掩盖模型原生缺失处理能力的不足，应保留真实缺失模式。
• 误区四：异常值直接删除。删除会改变部署时的真实分布，导致验证结果过于乐观，应保留并评估模型对异常值的敏感度。

综上，五类鲁棒性分别对应不同的扰动机制和验证方法。只有将它们纳入统一的验证框架，才能全面评估模型在真实世界中的稳定性与外推风险。