Brevet FR3160495A1 — publié le 20250926

P rocédé de classification de signaux , dispositif et programme d’ordinateur associés Ce procédé de classification de signaux numériques par mise en œuvre d’un modèle de classification entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage, le modèle de classification fournissant, pour un signal numérique d’entrée, un vecteur de classification de taille égale à un nombre prédéfini de classes, chaque composante du vecteur de classification ayant une valeur représentative d’une probabilité d’appartenance du signal numérique d’entrée à une classe correspondante, comporte pour un signal d’entrée à classifier, des étapes de : -calcul (42) d’un score du signal numérique d’entrée à classifier, ledit score étant représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage, -comparaison (44) du score à un seuil prédéterminé, et en cas de dépassement dudit seuil, et - émission (46) d’une alarme afin d’indiquer une présence d’un signal numérique d’entrée supposé corrompu. Figure pour l'abrégé : Figure 3 Procédé de classification de signaux, dispositif et programme d’ordinateur associés La présente invention concerne un procédé de classification de signaux par mise en œuvre d’un modèle de classification entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage. L’invention concerne également un dispositif de classification de signaux numériques associé et un programme d’ordinateur associé. L’invention se situe dans le domaine de la classification de signaux, et plus particulièrement de signaux représentatifs de grandeurs physiques tels des signaux d’images numériques, par utilisation d’apprentissage machine. L’invention s’applique également pour des signaux audio. Un des objectifs de l’invention est de fournir un procédé et un dispositif de classification qui soient robustes à des attaques adverses sur les signaux à classifier, qui sont également connues sous le nom d’attaques par exemples contradictoires, connues en anglais sous le nom de « adversarial examples attacks ». La classification d’images numériques, mise en œuvre par des modèles de classification entraînés par apprentissage machine, par exemple des modèles de classification à base de réseaux de neurones à apprentissage profond, a connu un grand essor les dernières années. De tels modèles de classification sont utilisés dans divers domaines d’application, en particulier dans le domaine des véhicules autonomes ou semi-autonomes, par exemple des véhicules automobiles ou des aéronefs sans pilote à bord. En effet, pour effectuer un déplacement sans pilote à bord, les véhicules sont équipés de capteurs, par exemple des capteurs d’images numériques, ainsi que d’interfaces de communication permettant d’acquérir des signaux, par exemple des images numériques, de systèmes externes au véhicule. Les images numériques reçues sont alors analysées, et en particulier classifiées, notamment pour détecter des obstacles à éviter, et donc réduire le risque d’accident. D’autres domaines d’application incluent le domaine de la supervision de productions industrielles, l’inspection de qualité, ainsi que le domaine de l’imagerie médicale entre autres. Dans tous ces domaines d’application, la précision du résultat de classification est très importante, voire critique pour réaliser la tâche à accomplir. Par exemple, dans le domaine des véhicules autonomes ou semi-autonomes, un résultat de classification erroné peut entraîner une action erronée et potentiellement une collision du véhicule avec un autre véhicule, un piéton etc. La possibilité d’attaquer des modèles de classification d’images numériques entraînés par apprentissage machine a été démontrée. En effet, de tels modèles sont entraînés sur une base de données d’apprentissage, e.g. une base d’images numériques d’apprentissage, qui contiennent des images d’objets appartenant à une pluralité de classes prédéfinies. Le terme « objet » est employé ici au sens large, par exemple dans le cas des véhicules automobiles autonomes les classes d’objets incluent par exemple : voiture, moto, vélo, piéton, panneau de signalisation, poteau etc. Le modèle de classification associe un label de classe à une image numérique d’entrée ou un vecteur contenant des valeurs de probabilité d’appartenance à chacune des classes prédéfinies, ce qui permet de déduire la classe la plus probable. On connaît des attaques dites « attaques par exemples contradictoires », consistant en une modification, imperceptible pour l’œil humain, d’une image numérique, entraînant une mauvaise classification de l’image numérique par le modèle de classification. Le but de l’invention est alors de proposer un procédé de classification de signaux numériques permettant d’améliorer la précision de la classification y compris à partir de signaux qui sont corrompus par une attaque du type évoqué ci-dessus. A cet effet, l’invention a pour objet un procédé de classification de signaux numériques par mise en œuvre d’un modèle de classification entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage, le modèle de classification fournissant, pour un signal numérique d’entrée, un vecteur de classification de taille égale à un nombre prédéfini de classes, chaque composante du vecteur de classification ayant une valeur représentative d’une probabilité d’appartenance du signal numérique d’entrée à une classe correspondante, le procédé étant mis en œuvre par un processeur de calcul d’un dispositif électronique programmable. Ce procédé comporte, pour un signal d’entrée à classifier, des étapes de : -calcul d’un score du signal numérique d’entrée à classifier, ledit score étant représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage, -comparaison du score à un seuil prédéterminé, et en cas de dépassement dudit seuil, et - émission d’une alarme afin d’indiquer une présence d’un signal numérique d’entrée supposé corrompu. Avantageusement, le procédé de classification proposé comprend un calcul de score permettant de détecter si un signal d’entrée à classifier fait partie d’une distribution statistique de l’ensemble des signaux d’apprentissage, et en fonction de ce score, si le signal d’entrée à classifier est supposé corrompu, une alarme est émise. Le procédé de classification de signaux selon l’invention peut également présenter une ou plusieurs des caractéristiques ci-dessous, prises indépendamment ou selon toutes les combinaisons techniquement envisageables. Le modèle de classification met en œuvre un réseau de neurones transformant un signal numérique d’entrée en un vecteur intermédiaire représentatif du signal numérique d’entrée, et un module de prédiction mettant en œuvre une fonction de prédiction associant à chaque vecteur intermédiaire, un vecteur de classification. Le calcul du score met en œuvre un gradient du logarithme d’une densité de probabilité du signal numérique d’entrée. Le score est calculé par la formule suivante : Où est l’opérateur gradient, est la fonction paramétrée mise en œuvre par le réseau de neurones, étant la composante d’indice y du vecteur intermédiaire lorsque le signal numérique d’entrée est le signal X. Le procédé comporte en outre, en cas de dépassement dudit seuil, des étapes de : - transformation du signal d’entrée en un signal transformé, la transformation comportant une application d’une méthode itérative d’échantillonnage statistique de ladite densité de probabilité de l’ensemble de signaux d’apprentissage, et fourniture du signal transformé en entrée du modèle de classification. Avantageusement, le signal d’entrée à classifier est modifié par transformation en un signal transformé qui appartient à la distribution statistique de l’ensemble des signaux d’apprentissage. Par conséquent, la performance de classification est avantageusement améliorée, y compris pour des signaux d’entrée potentiellement corrompus par une attaque adverse. La méthode itérative d’échantillonnage statistique est une méthode d’échantillonnage de Langevin. L’étape de transformation comprend en outre, après application de la méthode itérative d’échantillonnage statistique pour obtenir un premier signal transformé, une projection du premier signal transformé pour obtenir un deuxième signal transformé, le premier signal transformé étant représenté sous forme d’un premier vecteur, le deuxième signal transformé étant représenté sous forme d’un deuxième vecteur, la projection comportant un calcul du deuxième vecteur le plus proche du premier vecteur selon une métrique prédéterminée et appartenant à un ensemble de vecteurs à distance prédéterminée, selon ladite métrique, d’un vecteur d’entrée représentatif du signal numérique d’entrée. La métrique est par exemple la norme infinie. Le seuil prédéterminé est obtenu préalablement en fonction d’au moins une partie des signaux de l’ensemble d’apprentissage et des signaux corrompus simulés Selon un autre aspect, l’invention concerne un dispositif de classification de signaux numériques par mise en œuvre d’un modèle de classification entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage, le modèle de classification fournissant, pour un signal numérique d’entrée, un vecteur de classification de taille égale à un nombre prédéfini de classes, chaque composante du vecteur de classification ayant une valeur représentative d’une probabilité d’appartenance du signal numérique d’entrée à une classe correspondante. Ce dispositif comporte un processeur de calcul configuré pour mettre en œuvre, pour un signal d’entrée à classifier: -un module de calcul d’un score du signal numérique d’entrée à classifier, ledit score étant représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage, -un module de comparaison du score à un seuil prédéterminé, et en cas de dépassement dudit seuil, - un module d’émission d’une alarme afin d’indiquer une présence d’un signal numérique d’entrée supposé corrompu. Selon une variante, le dispositif est configuré pour mettre en œuvre, en outre : - un module de transformation du signal numérique d’entrée en un signal transformé, la transformation comportant une application d’une méthode itérative d’échantillonnage statistique de ladite densité de probabilité de l’ensemble de données d’apprentissage, -un module de fourniture du signal transformé en entrée du modèle de classification. Selon une caractéristique, le module de transformation du signal numérique d’entrée en un signal transformé est en outre configuré pour effectuer, après application de la méthode itérative d’échantillonnage statistique pour obtenir un premier signal transformé, une projection du premier signal transformé pour obtenir un deuxième signal transformé, le premier signal transformé étant représenté sous forme d’un premier vecteur, le deuxième signal transformé étant représenté sous forme d’un deuxième vecteur, la projection comportant un calcul du deuxième vecteur le plus proche du premier vecteur selon une métrique prédéterminée et appartenant à un ensemble de vecteurs à distance prédéterminée, selon ladite métrique, d’un vecteur d’entrée. Selon un autre aspect, l’invention concerne un support d’enregistrement d’informations, sur lequel sont mémorisées des instructions logicielles pour l’exécution d’un procédé de classification de signaux tel que brièvement décrit ci-dessus, lorsque ces instructions sont exécutées par un dispositif électronique programmable. Selon un autre aspect, l’invention concerne un programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont mises en œuvre par un dispositif électronique programmable, mettent en œuvre un procédé de classification de signaux tel que brièvement décrit ci-dessus. D’autres caractéristiques et avantages de l’invention ressortiront de la description qui en est donnée ci-dessous, à titre indicatif et nullement limitatif, en référence aux figures annexées, parmi lesquelles : FIG. 1 la FIG. 1 illustre un système comportant un dispositif de classification selon un mode de réalisation ; FIG. 2 la FIG. 2 représente schématiquement un modèle de classification à réseau de neurones et un vecteur de classification obtenu en sortie ; FIG. 3 la FIG. 3 est un synoptique des principales étapes d’un procédé de classification de signaux numériques selon un mode de réalisation ; FIG. 4 la FIG. 4 est un synoptique des étapes d’une méthode d’échantillonnage statistique mise en œuvre par le procédé de classification de signaux numériques selon un mode de réalisation. La FIG. 1 représente schématiquement un système 2 mettant en œuvre un dispositif 4 de classification de signaux numériques, appelés signaux numériques d’entrée, par mise en œuvre d’un modèle de classification entraîné par apprentissage machine. Par exemple, dans un mode de réalisation, les signaux numériques d’entrée sont des images numériques d’entrée, le procédé s’appliquant alors pour la classification automatique d’images numériques. Le système 2 est par exemple un système de guidage de véhicules autonomes ou semi-autonomes, et comporte également un dispositif 6 de guidage d’un véhicule (non représenté), qui est en communication via une liaison de communication 5, filaire ou sans fil, avec le dispositif 4 de classification de signaux d’entrée, appelé plus simplement dispositif de classification. Le dispositif 4 de classification est un dispositif électronique programmable, e.g un ordinateur, et comporte, dans un mode de réalisation, un ou plusieurs processeurs 8, une unité de mémoire électronique 10, une interface d’entrée/sortie 12 et une interface de communication 14, ces éléments étant configurés pour communiquer entre eux via un bus de communication 15 interne au dispositif 4. L’unité de mémoire électronique 10 est configurée pour mémoriser un modèle de classification 20 préalablement entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage, par exemple sur une base de données d’images numériques d’apprentissage. Selon une variante, le modèle de classification préalablement entraîné est stocké et exécuté sur un serveur distant (non représenté), ou sur un ensemble de serveurs interconnectés de type nuage de serveurs (ou « cloud » en anglais) accessible via une liaison de communication. Dans un mode de réalisation, le modèle de classification met en œuvre un réseau de neurones, par exemple un réseau de neurones à convolution connu sous l’acronyme CNN (pour « convolutional neural network »). De manière connue, un réseau de neurones comporte une succession ordonnée de couches de neurones dont chacune prend ses entrées sur les sorties de la couche précédente. Plus précisément, chaque couche comprend des neurones prenant leurs entrées sur les sorties des neurones de la couche précédente, ou bien sur les variables d’entrée pour la première couche. En variante, des structures de réseaux de neurones plus complexes peuvent être envisagées avec une couche qui peut être reliée à une couche plus lointaine que la couche immédiatement précédente. À chaque neurone est également associée une opération, c’est-à-dire un type de traitement, à effectuer par ledit neurone au sein de la couche de traitement correspondante. Chaque couche est reliée aux autres couches par une pluralité de synapses. Un poids synaptique est associé à chaque synapse, et chaque synapse forme une liaison entre deux neurones. C’est souvent un nombre réel, qui prend des valeurs positives comme négatives. Dans certains cas, le poids synaptique est un nombre complexe. Chaque neurone est propre à effectuer une somme pondérée des valeur(s) reçue(s) de la part des neurones de la couche précédente, chaque valeur étant alors multipliée par le poids synaptique respectif de chaque synapse, ou liaison, entre ledit neurone et les neurones de la couche précédente, puis à appliquer une fonction d’activation, typiquement une fonction non-linéaire, à ladite somme pondérée, et à délivrer en sortie dudit neurone, en particulier aux neurones de la couche suivante qui lui sont connectés, la valeur résultant de l’application de la fonction d’activation. La fonction d’activation permet d’introduire une non-linéarité dans le traitement effectué par chaque neurone. La fonction sigmoïde, la fonction tangente hyperbolique, la fonction de Heaviside sont des exemples de fonction d’activation. En complément facultatif, chaque neurone est également apte à appliquer, en outre, un facteur additif, également appelé biais, avant l’application de la fonction d’activation, et la valeur délivrée en sortie dudit neurone est l’image par la fonction d’activation de la somme de la valeur de biais et de la somme pondérée précédemment réalisée. Dans un réseau de neurones à convolution, chaque neurone d’une même couche présente exactement le même schéma de connexion que ses neurones voisins, mais à différentes positions d'entrée. Le motif de connexion est appelé noyau de convolution ou, plus souvent, « kernel » en référence à la dénomination anglaise correspondante. Une couche de neurones entièrement connectée est une couche dans laquelle les neurones de ladite couche sont chacun connectés à tous les neurones de la couche précédente. Un tel type de couche est plus souvent dénommé selon le terme anglais de « fully connected », et parfois désigné sous la dénomination « couche dense ». Le dispositif de classification 4 est configuré pour effectuer une classification robuste de signaux numériques d’entrée, qui sont typiquement des images numériques 22, une image numérique étant par exemple représentée sous forme de matrice de pixels. Les images numériques sont par exemple captées par des appareils de capture d’images numériques externes au dispositif de classification. Par exemple, dans le cas d’application dans un système 2 de guidage d’un véhicule autonome, les images numériques sont fournies par un ou plusieurs appareils de capture disposés sur le véhicule, ou externes au véhicule. Les images numériques 22 sont temporairement mémorisées dans l’unité de mémoire électronique 10. Le processeur 8 du dispositif 4 de classification de signaux est configuré pour exécuter : -un module 24 calcul d’un score du signal numérique d’entrée à classifier, le score étant représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage ; -un module 26 de comparaison du score à un seuil prédéterminé, -un module 28 d’émission d’une d’alarme, par exemple à destination du dispositif 6, afin d’indiquer, en cas de dépassement du seuil, une présence de signal numérique d’entrée supposé corrompu. Le processeur 8 est également configuré pour exécuter, dans un mode de réalisation : -un module 30 de transformation du signal numérique d’entrée en un signal transformé, la transformation comportant une application d’une méthode itérative d’échantillonnage statistique de ladite densité de probabilité de l’ensemble de données d’apprentissage, et optionnellement une projection, -un module 32 de fourniture du signal transformé en entrée du modèle de classification. Dans un mode de réalisation, les modules 24, 26, 28, 30,32 sont réalisés sous forme d’instructions logicielles formant un programme d’ordinateur, qui, lorsqu’il est exécuté par un dispositif électronique programmable, met en œuvre un procédé de classification de signaux numériques d’entrée tel que décrit. En variante non représentée, les modules 24, 26, 28, 30,32 sont réalisés chacun sous forme de composants logiques programmables, tels que des FPGA (de l’anglais Field Programmable Gate Array ), des microprocesseurs, des composants GPU (de l’anglais General-purpose processing on graphics processing ), ou encore de circuits intégrés dédiés, tels que des ASIC (de l’anglais Application Specific Integrated Circuit ). Le programme d’ordinateur comportant des instructions logicielles est en outre apte à être enregistré sur un support d’enregistrement d’informations, non-transitoire et lisible par ordinateur. Ce support lisible par ordinateur est par exemple, un médium apte à mémoriser les instructions électroniques et à être couplé à un bus d’un système informatique. A titre d’exemple, ce support est un disque optique, un disque magnéto-optique, une mémoire ROM, une mémoire RAM, tout type de mémoire non-volatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou une carte optique. Un mode de réalisation d’un procédé de classification de signaux numériques sera décrit ci-après en référence aux figures 2 et 3. Le procédé met en œuvre un modèle de classification (ou classifieur) de signaux numériques, e.g. d’images numériques, préalablement entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage (ou jeu de données d’apprentissage) pour classifier chaque signal d’entrée selon un nombre K prédéfini de classes, K étant un entier supérieur ou égal à 2. En sortie du modèle de classification est obtenu un vecteur de classification, de taille K égale au nombre de classes, chaque composante du vecteur de classification ayant une valeur représentative d’une probabilité d’appartenance du signal numérique d’entrée à la classe correspondante. Dans un mode de réalisation, tel qu’illustré schématiquement dans la FIG. 2 , le modèle de classification 20 comprend par exemple un réseau de neurones convolutionnel (CNN) 34, paramétré par un ensemble de paramètres dont les valeurs sont calculées lors de la phase préalable d’entraînement, le réseau de neurones 34 fournissant en sortie un vecteur intermédiaire, Vint, de taille K, représentatif du signal numérique d’entrée. Le modèle de classification 20 comprend également un module de prédiction 36 mettant en œuvre une fonction de prédiction associant à chaque vecteur intermédiaire le vecteur de classification correspondant. Considérant que le réseau de neurones 34 est caractérisé par une fonction paramétrée notée , X étant un signal numérique d’entrée, le vecteur intermédiaire V int (X) obtenu a des composantes notées , y étant un indice de classe parmi les K classes. Dans un mode de réalisation, le module de prédiction 36 applique la fonction exponentielle normalisée, également appelée fonction Softmax, qui convertit un vecteur de K nombres réels en une distribution de probabilités sur K choix. Ainsi, le vecteur de classification Vclass correspondant obtenu a pour composantes : En d’autres termes, chaque composante du vecteur de classification Vclass est une probabilité conditionnelle associée à la classe d’indice y connaissant le signal d’entrée X (ou probabilité du label y pour la donnée d’entrée X), qui s’écrit également selon la formule mathématique exprimée ci-dessus en fonction des composantes du vecteur intermédiaire Vint : La FIG. 3 est un synoptique des principales étapes d’un procédé de classification de signaux numériques selon un mode de réalisation. Un signal numérique d’entrée E 0 est fourni en entrée du procédé. Le procédé comprend alors une étape 40 de classification du signal numérique d’entrée E 0 , en appliquant un modèle de classification (ou classifieur) de signaux numériques préalablement entraîné, tel que décrit ci-dessus. Le procédé comporte ensuite une étape 42 de calcul d’un score relatif à la classification du signal numérique d’entrée E 0 , le score calculé est représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage de la fonction paramétrée . En d’autres termes, le score est calculé en fonction d’une densité de probabilité de l’ensemble des signaux d’apprentissage. De préférence, le calcul du score est effectué en appliquant une métrique connue sous le nom de masse approximative (en anglais « approximate mass »), tel que décrit dans l’article « Your classifier is secretely an energy based model and you should treat it like one » de W. Grathwohl et al, publié dans ICLR 2020. La formule de calcul du score est : Où est l’opérateur gradient, et le logarithme de la densité de probabilité , également appelé log vraisemblance, du signal numérique E 0 , également appelé exemple E 0 . En effet, en comme cela a été montré dans l’article « Your classifier is secretely an energy based model and you should treat it like one » de W. Grathwohl et al, publié dans ICLR 2020, la formule suivante s’applique, considérant [MATH 2] : Où est la probabilité d’appartenance du signal X à une distribution statistique des signaux d’apprentissage de la fonction paramétrée , également appelée la vraisemblance de X, et Z(θ) est une constante. Etant donnée la difficulté de calcul de la constante Z(θ), la dérivée de la log vraisemblance est utilisée, comme cela est montré dans la formule [MATH 3] : la constante Z(θ) est alors éliminée. Le score S(E 0 ) ainsi calculé, ou la masse approximative de E 0 , est représentatif de d’appartenance du signal E 0 à une distribution statistique des signaux d’apprentissage de la fonction paramétrée , et plus généralement d’une probabilité que le signal E 0 soit une donnée dite saine, non corrompue par une attaque adverse. Selon la formule de calcul du score appliquée, plus le score S(E 0 ) est grand, plus la probabilité que le signal E 0 soit non corrompu est élevée. Le procédé comprend alors une comparaison 44 du score calculé à l’étape 42 à un seuil τ préalablement déterminé. Par exemple, le seuil τ est calculé sur un jeu de signaux de validation distinct du jeu de signaux d’apprentissage, de sorte à maximiser la précision de classification. Selon une variante, le seuil τ est calculé sur un jeu de signaux comprenant au moins une partie des signaux de l’ensemble d’apprentissage et des signaux corrompus simulés. Si le score S(E 0 ) calculé est supérieur au seuil τ préalablement déterminé, une émission d’alarme 46 est mise en œuvre. Par exemple, une information d’alarme est transmise à un dispositif externe, par exemple au dispositif 6, afin d’indiquer une présence de signal d’entrée supposé corrompu. Si le score S(E 0 ) calculé est inférieur au seuil τ, l’étape 44 de comparaison est suivie de la classification d’un nouveau signal d’entrée. Si le score S(E 0 ) calculé est supérieur au seuil τ le procédé comporte en outre, selon un mode de réalisation, une transformation 48 du signal numérique d’entrée E 0 en un signal transformé E r , de manière à transformer le signal d’entrée E 0 en un signal E r « sain », dont la classification par le modèle de classification préalablement entraîné fournit un résultat correct. De préférence, la transformation 48 comprend une étape 50 d’échantillonnage itératif par la méthode d’échantillonnage de Langevin, qui est un échantillonnage statistique selon ladite densité de probabilité . Dans un mode de réalisation illustré à la FIG. 4 , l’échantillonnage itératif 50 comporte, partant d’un signal initial X 0 (également appelé échantillon initial) les étapes suivantes : initialiser 52 un compteur d’itérations t à t=0, puis calculer 54 l’échantillon à t+1 par la formule suivante, exprimée sur un signal X t+1 en fonction du signal X t , la formule s’appliquant à chaque composante des signaux respectifs : Ce qui s’écrit également : Où δ est un paramètre représentant le pas de la montée du gradient, et Z t est une Gaussienne centrée réduite (i.e. de moyenne nulle et de variance égale à 1). Par exemple, la valeur du paramètre δ est comprise entre 1/256 et 8/256 pour une image numérique dans laquelle chaque pixel est codé sur 8 bits. Il est alors vérifié à l’étape 56 de vérification si une condition d’arrêt est validée. Par exemple, la condition d’arrêt porte sur le nombre d’itérations, et le compteur d’itérations t est alors comparé à un nombre maximal Nmax d’itérations. Par exemple, Nmax est supérieur ou égal à 1000, et par exemple égal à 100000 selon la complexité des signaux traités. Par exemple, pour des images numériques, plus les images sont grandes, plus Nmax est élevé. Par exemple des images MNIST (noir et blanc, 28x28 pixels) ne nécessiteront pas autant d’itérations qu’un ensemble d’images numériques comme cifar10 (images couleur RGB, 32x32 pixels). Si le nombre maximal Nmax d’itérations est atteint, alors le procédé se poursuit par l’étape 60 décrite ci-après. Si le nombre maximal Nmax d’itérations n’est pas atteint, alors le procédé se poursuit par une mise à jour 58 du compteur d’itérations (i.e. la valeur de t est augmentée de un), et un retour à l’étape 54 de calcul d’un échantillon suivant. Ainsi, à l’issue de l’étape 50 d’échantillonnage itératif le signal d’entrée est transformé en un premier signal transformé. De retour à la FIG. 3 , l’étape de transformation 48 comprend en plus, de préférence, une étape 60 de projection du premier signal transformé pour obtenir un deuxième signal transformé. Selon un mode de réalisation, l’étape 60 de projection met en œuvre une projection mathématique selon la norme infinie sur une boule de rayon ε autour du signal d’entrée E 0 , représenté sous forme d’un vecteur d’entrée V 0 . Par exemple, la valeur du paramètre ε est comprise entre 1/256 (0,0039) et 8/256 (0,031) pour une image numérique dans laquelle chaque pixel est codé sur 8 bits. Le premier signal transformé étant représenté sous forme d’un premier vecteur V 1 et le deuxième signal transformé étant également représenté sous forme d’un deuxième vecteur V 2 , la projection s’écrit: La relation suivante est vérifiée : Où dist() est la distance selon la métrique choisie. Pour la métrique dite norme infinie, chacun des vecteurs ayant des composantes et , la relation [MATH 8] s’écrit : Selon des variantes, d’autres normes que la norme infinie peuvent être utilisées, par exemple la norme Euclidienne (ou norme L2) ou la norme L1 (somme des valeurs absolues des composantes du vecteur). Le deuxième signal transformé est alors à nouveau fourni en entrée du classifieur à l’étape de classification 40, et une classification correcte est alors effectuée. L’étape 60 de projection permet avantageusement d’obtenir un deuxième signal transformé qui est plus proche, au sens d’une métrique choisie, du signal d’entrée. En particulier, pour des signaux d’images, cela se traduit par une proximité perceptuelle. En effet, l’échantillonnage statistique fournit, dans de nombreux cas, un premier signal transformé qui est distant perceptuellement du signal d’entrée. Or les attaques adverses consistent à générer des signaux corrompus proches perceptuellement des signaux initiaux, de manière justement à dissimuler l’attaque pour un observateur humain. Ainsi, un signal transformé distant perceptuellement du signal d’entrée n’est pas un bon candidat en tant que signal sain correspondant. L’étape de projection permet de remédier à cet inconvénient de l’échantillonnage statistique et de fournir un deuxième signal transformé, obtenu à partir du premier signal transformé et perceptuellement plus proche du signal d’entrée que le premier signal transformé. L’invention a été décrite ci-dessus dans le cas d’un modèle de classification mettant en œuvre un réseau de neurones convolutif et un module de prédiction, mais elle n’est pas limitée à ce cas d’application. L’invention s’applique également avec un modèle de classification dit hybride, constitué d’un modèle génératif et d’un classifieur, lorsque la fonction d’entraînement du modèle hybride est modifiée comme cela a été proposé dans l’article « Improving Normalizing Flows With the Approximate Mass for Out-of-Distribution Detection » de Samy Chali et al, publié au CVPR Workshop 2023. Avantageusement, pour plusieurs types de modèles de classification, l’invention permet de détecter des signaux d’entrée corrompus, alors que la corruption appliquée par un tiers malveillant n’est pas perceptible pour un humain, et permet également de transformer de tels signaux d’entrée corrompus en signaux sains qui sont alors classifiables correctement par le modèle de classification. Ainsi, avantageusement, l’attaque adverse appliquée est contrecarrée. Procédé de classification de signaux numériques par mise en œuvre d’un modèle de classification entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage, le modèle de classification fournissant, pour un signal numérique d’entrée, un vecteur de classification de taille égale à un nombre prédéfini de classes, chaque composante du vecteur de classification ayant une valeur représentative d’une probabilité d’appartenance du signal numérique d’entrée à une classe correspondante, le procédé étant mis en œuvre par un processeur de calcul d’un dispositif électronique programmable et étant caractérisé en ce qu’il comporte, pour un signal d’entrée à classifier, des étapes de : -calcul (42) d’un score du signal numérique d’entrée à classifier, ledit score étant représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage, -comparaison (44) du score à un seuil prédéterminé, et en cas de dépassement dudit seuil, et - émission (46) d’une alarme afin d’indiquer une présence d’un signal numérique d’entrée supposé corrompu. Procédé selon la revendication 1, dans lequel le modèle de classification met en œuvre un réseau de neurones (34) transformant un signal numérique d’entrée en un vecteur intermédiaire représentatif du signal numérique d’entrée, et un module de prédiction (36) mettant en œuvre une fonction de prédiction associant à chaque vecteur intermédiaire, un vecteur de classification. Procédé selon la revendication 2, dans lequel le calcul (42) du score met en œuvre un gradient du logarithme d’une densité de probabilité du signal numérique d’entrée. Procédé selon la revendication 3, dans lequel ledit score est calculé par la formule suivante : Où est l’opérateur gradient, est la fonction paramétrée mise en œuvre par le réseau de neurones, étant la composante d’indice y du vecteur intermédiaire lorsque le signal numérique d’entrée est le signal X. Procédé selon l’une quelconque des revendications 1 à 4, comportant en outre, en cas de dépassement dudit seuil, des étapes de : - transformation (48) du signal numérique d’entrée en un signal transformé, la transformation comportant une application d’une méthode itérative d’échantillonnage statistique selon ladite distribution statistique de l’ensemble de signaux d’apprentissage, - fourniture du signal transformé en entrée du modèle de classification. Procédé selon la revendication 5, dans lequel la méthode itérative d’échantillonnage statistique est une méthode d’échantillonnage de Langevin. Procédé selon l’une quelconque des revendications 5 ou 6, dans lequel l’étape de transformation (48) comprend en outre, après application de la méthode itérative d’échantillonnage statistique pour obtenir un premier signal transformé, une projection (60) du premier signal transformé pour obtenir un deuxième signal transformé, le premier signal transformé étant représenté sous forme d’un premier vecteur, le deuxième signal transformé étant représenté sous forme d’un deuxième vecteur, la projection (60) comportant un calcul du deuxième vecteur le plus proche du premier vecteur selon une métrique prédéterminée et appartenant à un ensemble de vecteurs à distance prédéterminée, selon ladite métrique, d’un vecteur d’entrée. Procédé selon la revendication 7 dans lequel ladite métrique est la norme infinie. Procédé selon l’une des revendications 1 à 8, dans lequel ledit seuil prédéterminé est obtenu préalablement en fonction d’au moins une partie des signaux de l’ensemble d’apprentissage et des signaux corrompus simulés. Programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un dispositif électronique programmable, mettent en œuvre un procédé de classification de signaux conforme aux revendications 1 à 9. Dispositif de classification de signaux numériques par mise en œuvre d’un modèle de classification entraîné par apprentissage machine sur un ensemble de signaux d’apprentissage, le modèle de classification fournissant, pour un signal numérique d’entrée, un vecteur de classification de taille égale à un nombre prédéfini de classes, chaque composante du vecteur de classification ayant une valeur représentative d’une probabilité d’appartenance du signal numérique d’entrée à une classe correspondante, le dispositif étant caractérisé en ce qu’il comporte un processeur de calcul configuré pour mettre en œuvre, pour un signal d’entrée à classifier: -un module de calcul (24) d’un score du signal numérique d’entrée à classifier, ledit score étant représentatif d’une probabilité d’appartenance du signal numérique d’entrée à une distribution statistique des signaux d’apprentissage, -un module de comparaison (26) du score à un seuil prédéterminé, et en cas de dépassement dudit seuil, - un module d’émission (28) d’une alarme afin d’indiquer une présence d’un signal numérique d’entrée supposé corrompu. Dispositif selon la revendication 11, configuré pour mettre en œuvre, en outre : - un module (30) de transformation du signal numérique d’entrée en un signal transformé, la transformation comportant une application d’une méthode itérative d’échantillonnage statistique de ladite densité de probabilité de l’ensemble de données d’apprentissage, -un module (32) de fourniture du signal transformé en entrée du modèle de classification. Dispositif selon la revendication 12, dans lequel le module de transformation du signal numérique d’entrée en un signal transformé est en outre configuré pour effectuer, après application de la méthode itérative d’échantillonnage statistique pour obtenir un premier signal transformé, une projection du premier signal transformé pour obtenir un deuxième signal transformé, le premier signal transformé étant représenté sous forme d’un premier vecteur, le deuxième signal transformé étant représenté sous forme d’un deuxième vecteur, la projection comportant un calcul du deuxième vecteur le plus proche du premier vecteur selon une métrique prédéterminée et appartenant à un ensemble de vecteurs à distance prédéterminée, selon ladite métrique, d’un vecteur d’entrée.