Fast and Flexible Robustness Certificates for Semantic Segmentation¶

会议: ECCV 2026
论文: ECCV 2026
领域: 语义分割
关键词: 认证鲁棒性、Lipschitz 网络、语义分割、背包问题、最坏情况分析

一句话总结¶

本文把语义分割的认证鲁棒性做成"一次前向 + 一次排序"：用 Lipschitz 约束网络给出逐像素不变半径，再把"攻击者最多能让多少像素出错"归约成容量为 \((L\epsilon)^2\) 的一维背包问题，从而在 Cityscapes 的 1024×1024 图像上以约 0.1 秒给出像素精度、FNR、稳定性与类别 IoU 的确定性最坏情况下界，比随机平滑快约 600 倍。

研究背景与动机¶

认证鲁棒性在图像分类上已经形成三条成熟路线：形式验证方法（ReLUplex 这类 SMT 求解器、Relaxed Reachability 这类松弛可达性分析）在推理时计算有界扰动下的最坏 logit 变化；随机平滑用蒙特卡洛估计给平滑分类器 \(g\) 概率性的鲁棒证书；Lipschitz-by-design 网络（LipNet）则通过权重重参数化让网络的全局 Lipschitz 常数可控，从而零推理开销地给出确定性的鲁棒半径。但语义分割的认证鲁棒性研究明显滞后，根本障碍是输出维度：分类的输出是 \(|\mathcal{K}|\) 维，分割的输出是 \(|\mathcal{K}|\times H\times W\)，形式和随机化的求解代价都随维度和层数迅速膨胀——形式验证的复杂度随神经元数/层数二次增长，以至于最权威的神经网络验证竞赛 VNN-COMP 的分割任务全部在百万参数以下；随机平滑方向的 SegCertify 把 \(H\times W\) 个像素分类当成一个多重假设检验问题、用 step-down 过程把族错误率控制在 \(\alpha\)，代价是约 \(10^4\) 次蒙特卡洛采样；LocalizedLP 想用分割网络的局部依赖性和网格各向同性高斯平滑降低样本量，结果每张图反而多花约 15 倍采样（Cityscapes 上报告 153600 次 MC、每图 1204 秒）。与此同时，最初提出 LipNet 的工作只把它用于分类/回归的鲁棒半径，从未有人把它推广到更复杂任务的下游证书。

更麻烦的是，"分割的鲁棒性"本身在文献里没有统一定义。攻击一侧，大多数方法是在固定预算 \(\epsilon\) 下最大化某个代理损失以压低像素精度或 mIoU，而 Rony 等的最小范数攻击求的是"让至少 \(\gamma\%\) 像素被翻转"的最小扰动；防御/认证一侧，有的工作认证逐像素的预测（SegCertify），有的认证像素子群的集体鲁棒性（LocalizedLP）。这些说法指向不同的量、无法互相比较，也就很难讲清"一个证书究竟保证了什么"。而且随机平滑的统计保证是针对平滑后的 \(g\) 成立的，并不直接约束实际部署的 \(f\)；平滑参数 \(\sigma\) 与采样数 \(n_{\mathrm{MC}}\) 又把干净精度、可认证半径、运行时间绑成一个三难：想在大 \(\epsilon\) 上便宜地认证，就得用大 \(\sigma\)，干净精度随之下降。

本文的切入角度是：既然分割的所有常用指标（像素精度、FNR、稳定性、类别 IoU）都能写成"在某个像素子集上对逐像素 0/1 判据取平均"这一形式，那么图像级的最坏情况降级就是一个基数最大化问题——攻击者要在预算内让尽可能多的像素出错，而每个像素出错的代价恰好由它自己的鲁棒半径决定。只要模型的 Lipschitz 性质能把"输入的 \(\epsilon\) 球"映射成"输出的 \(L\epsilon\) 球"，每个像素的出价就是可算的，剩下的就只是一个等利润的一维背包问题，按价格升序贪心即最优解。核心 idea：把分割指标的最坏情况认证从"逐像素逐一验证"改写成"按逐像素证书半径升序排序后贪心截断"——半径的平方当重量、\(\epsilon\) 预算的平方当容量，一份排序同时给出最坏情况性能与广义鲁棒半径两类证书，并可整体并行到 GPU，使认证开销相对一次前向可忽略。

方法详解¶

整体框架¶

方法由三层组成，且三层是解耦的：最底层是问题的形式化——把"分割鲁棒性"统一写成性能度量 \(h\) 在攻击预算 \(\epsilon\) 下的最坏值 \(h_\epsilon\)（Q1），以及达到某个退化目标 \(\kappa\) 所需的最小预算 \(R_\kappa\)（Q2）；中间层是证书的计算机制——利用 LipNet 的 \(L\)-Lipschitz 性质把输入空间的搜索降级为输出空间的搜索，得到与真值绑定的逐像素不变半径，再把整个图像指标的降级归约成一维背包并一次性求解；最上层是一个可训练、可扩展的 LipNet 版 DeepLabV3，让整套机制能在 Cityscapes 这种 1024×1024、19 类的真实任务上跑起来。

Q1 与 Q2 的形式化定义就是本文的全部"接口"：

\[h_\epsilon(X,Y) = \min_{\delta\in\mathcal{B}_\epsilon} h\big(f(X+\delta),\,Y\big), \qquad R_\kappa(X,Y) = \inf\big\{\epsilon : \exists\,\delta\in\mathcal{B}_\epsilon,\ \kappa\big[h(f(X+\delta),Y)\big]=1\big\}\]

其中 \(\mathcal{B}_\epsilon\) 是 \(\ell_2\) 半径 \(\epsilon\) 的扰动球，\(\kappa:\mathbb{R}\to\{0,1\}\) 是退化目标（1 表示退化已达成）。注意 \(\kappa\) 也可以定义成同时吃"干净性能"和"受攻击性能"的函数，这样可以表达"精度不得低于原始精度的一半"这类相对退化。给定一张图像 \(X\) 和掩码 \(Y\)，整条流水线是：模型一次前向拿到所有像素的 logit → 每个像素算 top1 与 top2 的间隔并除以 \(\sqrt{2}L\)，得到该像素的不变半径 → 半径平方成"重量"、\((L\epsilon)^2\) 成"容量" → 按半径升序排序后做前缀和、找出最大可行像素数，得到精度类指标的 Q1 下界；同一份排序反过来取最小的 \(n_\gamma\) 个半径，开方即得 Q2 的预算下界。作者强调，Lipschitz 证书给出的界是对逐像素预测的最坏情况，而聚合出的图像级指标下界是另一回事——这与 LocalizedLP 那种"像素子群的集体鲁棒性"不是同一个量，比较时要注意口径。

关键设计¶

1. 用退化目标 κ 统一分割鲁棒性的两种问法

分割鲁棒性的文献乱在"没有一个共同的量"。攻击侧在固定预算下压低像素精度/mIoU，认证侧有的给逐像素证书、有的给群体证书，Rony 等则反过来问"要多大的扰动才能让 \(\gamma\%\) 的像素被翻转"。本文不去新增一个指标，而是先把问法本身抽象成两个正交的维度：性能度量 \(h\)（约定"越高越好"）与退化目标 \(\kappa\)。固定 \(\epsilon\) 求 \(h_\epsilon\) 就是 Q1，固定 \(\kappa\) 求 \(R_\kappa\) 就是 Q2；把 \(h\) 取成像素精度、\(\kappa(z)=\mathbb{1}_{z\le\gamma\%}\)，\(R_\kappa\) 就退化成"让像素精度掉到 \(\gamma\%\) 以下所需的最小预算"，正好覆盖 Rony 等的攻击目标。这一步的价值在于灵活性是可以被定位的：后面 4.2 节里 FNR、稳定性、类别 IoU 的证书之所以不用各写一套算法，是因为它们只是换了 \(h\) 与像素子集 \(S\) 的同一套机制实例——像素精度在 \(S=\Omega\) 上取平均，FNR 在 \(S_1=\{\omega: Y_\omega=1\}\) 上取平均，稳定性则把参考从真值 \(Y\) 换成干净预测 \(\hat{Y}^*\)（这一点在推理时很关键：没有标注也能认证）。因此本文声称的"general"不是又一个指标名字，而是"换指标不动机制"。

2. Lipschitz 传播给出与真值无关的逐像素不变半径

朴素地想，要认证 \(H\times W\) 个像素的类别不变，就得在输入球的每一个方向上都搜一遍，维度灾难无法回避。本文用 \(L\)-Lipschitz 性质把这个问题从输入空间搬到输出空间：输入球 \(\mathcal{B}_\epsilon(X)\) 中任意扰动造成的输出偏移，必然落在输出球 \(\mathcal{B}_{L\epsilon}(f(X))\) 内（这里 Lipschitz 性质是定义在维度为 \(|\mathcal{K}|\cdot|\Omega|\) 的输出向量上的，因此球半径的缩放对整个 logit 图一致成立），于是

\[h_\epsilon(X,Y) = \min_{\delta\in\mathcal{B}_\epsilon} h\big(f(X+\delta),Y\big)\ \ge\ \min_{\alpha\in\mathcal{B}_{L\epsilon}} h\big(f(X)+\alpha,\,Y\big)\]

右边的搜索空间虽然更大（是过近似），但形式变得可解：它是一个"在 logit 图的总偏移能量受限下最大化破坏"的问题。落到单个像素上，只要该像素的 logit 间隔 \(\mathcal{M}_X^\omega = f^{\text{top1}}(X)_\omega - f^{\text{top2}}(X)_\omega\) 够大，就存在一个"攻不破"的半径：

\[\underline{R}^\omega(X,Y) = \mathbb{1}_{\hat{Y}_\omega = Y_\omega}\cdot\frac{\mathcal{M}_X^\omega(f)}{\sqrt{2}\,L}\]

\(\sqrt{2}\) 来自二分类情形下最坏方向对间隔的投影系数。这里要讲清认证的到底是什么性质：\(\underline{R}^\omega\) 是单个像素在 \(\ell_2\) 扰动半径内预测类别不变的下界，且是与真值绑定的（预测错误的像素半径直接定义为 0，不构成任何保证）。它是逐像素的、互相独立的保证，而不是"整幅图的分割区域在某个半径内整体不变"的区域级证书；图像级的量是这些像素半径聚合出来的，两者不能混为一谈。这个"与真值无关"的性质还有额外好处：换用稳定性度量时参考变成干净预测，同一套逐像素半径可以直接复用，推理阶段没有标签也能给出证书。

3. 把最坏情况指标降级归约成一维背包，贪心排序即最优

拿到逐像素半径后，怎么变成"整图像素精度至少还有多少"？作者的观察很干净：最坏情况降级等价于在预算内让尽可能多的像素出错，而第 2 点里那个输出空间能量约束 \(\|\alpha\|_2 \le L\epsilon\) 恰好可以按像素拆成"总代价不超过容量"。对像素精度这类"在 \(S\) 上取 0/1 判据平均"的指标，每个像素被选中的利润都是 1、重量是它的半径平方，问题就变成一个标准的等利润 0/1 背包：

\[\max_{p_\omega\in\{0,1\}}\ \sum_{\omega\in S} p_\omega \quad \text{s.t.}\quad \sum_{\omega\in S} c^{\mathrm{PA}}_\omega\, p_\omega \le \Lambda,\qquad c^{\mathrm{PA}}_\omega=\big(L\,\underline{R}^\omega\big)^2,\ \ \Lambda=(L\epsilon)^2\]

因为所有物品利润相同，最优解就是按重量升序贪心装入、装到容量耗尽为止，复杂度 \(O(|S|\log|S|)\)——一次排序加一次前缀和，且完全可并行到 GPU。用 \(\pi_X\) 表示按半径升序排好的像素次序，可翻转像素数的上界就是最大的前缀长度 \(N_{\mathrm{KP}}\)，而认证像素精度（CRPA）就是

\[\mathrm{CRPA}_\epsilon(X) = \frac{|S| - N_{\mathrm{KP}}(X,\Lambda,S,c)}{|S|}\]

这个形式自动带来一个符合直觉的推论：已经预测错误的像素重量为 0，会被最先选中，对应"攻击者优先打最脆弱的像素"；若干净精度本身就低于阈值，则 Q2 的半径下界退化为 0。Q2 是同一份排序的对偶读法，但不是贪心装满容量，而是"取最小的 \(n_\gamma\) 个半径"，因为要让至少 \(n_\gamma=\lceil\gamma|S|\rceil\) 个像素翻转，最省预算的做法是挑最便宜的一批：

\[\underline{R}_\kappa(X,Y,S,\underline{R}^\omega,n_\gamma) = \sqrt{\sum_{k=1}^{n_\gamma}\underline{R}^{\pi_X(k)}(X,Y)^2}\]

FNR 与稳定性只是把这个背包换了子集与参考（\(S_1\) 只统计前景像素；稳定性用干净预测做参考、把重量换成 \(c^{\text{stab}}_\omega=(L\underline{R}^\omega_{\text{stab}})^2\)，认证稳定性定义为 \(1-N_{\text{stab}}(X,\epsilon)/|S|\)）；类别 IoU 的证书算法更复杂，放在附录 B。"快"就来自这一步：整套认证只剩一次前向、一次排序、一次前缀和，相对网络前向的开销可忽略，而随机平滑必须反复前向采样并在 \(H\times W\) 个像素上做统计校正。

4. 可训练的 LipNet 版 DeepLabV3，让认证边界真正可用

前三个设计全部建立在"网络确实是 \(L\)-Lipschitz"这一前提上，而精确计算一个网络的 Lipschitz 常数是 NP-hard 的，训练中更不可能反复求解。本文沿用 Anil 等的做法：把每个线性层重参数化成几乎处处满足 \(\|\nabla_x f(x)\|_2=1\) 的形式，于是逐层 Lipschitz 常数之积 \(L_f=\prod_{i=1}^{Q}L_{f_i}\) 成为全局常数的可用估计；这些约束是可微的重参数化，训练开销相对无约束网络有限。基座选 DeepLabV3（作者认为它是 CNN 分割方法里性能最强的一档），并明确排除了注意力架构——标准自注意力层不是 Lipschitz 连续的，只有近期工作才开始处理这个限制。实现上用了 orthogonium 与 deel-lip 两个库。代价是干净的像素精度从无约束模型的 94.41% 降到 92.07%，但作者给出的对照是：随机平滑要加高斯噪声从零训练，代价反而更大（Fischer 等报告 HRNetV2 掉 6 个百分点到 87%）。这里还留了一个很实用的旋钮——训练时的 temperature 参数可以显式调节"经验攻击结果"与"证书"之间的差距，代价是少量干净精度，这正好是后面要讲的确定性过近似问题的缓解手段。

一个完整示例¶

以 Cityscapes 上 \(\epsilon=0.1\) 那一行为例走一遍流程（中间量用于示意机制，非论文报告值）：1024×1024 的图像经 LipNet 一次前向得到 19 类的 logit 图，对每个像素取 top1-top2 间隔并除以 \(\sqrt{2}L\)，得到一张"逐像素不变半径图"——干净图上预测正确的像素才有非零半径，边缘和遮挡处半径明显偏小，大片道路/天空区域半径偏大。把半径平方当作每个像素被翻转的重量，按升序排好，容量是 \((L\epsilon)^2\)。前缀和从最脆弱的像素开始累加，累加到某个位置 \(k\) 时刚好超过容量，那么"最多 \(k-1\) 个像素能被攻击成功"，于是这张图的认证像素精度就是 \((|S|-k+1)/|S|\)。整个测试集上这个过程平均下来就得到表中的 CRPA = 81.80%，而它对应的运行时间是单次前向的 \(\approx 0.1\) 秒。若改问 Q2——"要让 30% 的像素翻转需要多大预算"——就把排序后最小的 \(0.3|S|\) 个半径取平方和再开方，直接读出预算下界，前面的排序结果完全复用。

损失函数 / 训练策略¶

主干是 DeepLabV3 + 逐层正交重参数化的 Lipschitz 约束，逐层常数的乘积充当全局常数估计；Cityscapes 上从零训练，随机平滑的对照模型按 Fischer 等的方法在 \(\sigma=0.2\) 的加噪设置下训练。训练时的 temperature 是一个可调旋钮，用来在干净精度与"证书-攻击 gap"之间选工作点。具体的优化器、学习率、训练轮数、网络通道配置等细节写在附录 D 与附录 F，本次缓存中不可见，⚠️ 以原文为准。

实验关键数据¶

主实验¶

在 Cityscapes（1024×1024）上，把本文的 LipNet 版 DeepLabV3 与经过调参的 SegCertify 基线对比，评价指标是认证像素精度 CRPA 与单样本运行时间：

ϵ	方法	CRPA (%) ↑	单样本耗时	前向 / 采样次数
0.1	Lipschitz 证书（本文）	81.80	≈0.1 s	1
0.1	SegCertify (σ = 0.3)	53.48 ± 0.59	59.8 s（×594）	60
0.1	SegCertify (σ = 0.2)	83.13 ± 0.33	62.1 s（×624）	80
0.17	Lipschitz 证书（本文）	77.34	≈0.1 s	1
0.17	SegCertify (σ = 0.4)	38.91 ± 0.53	60.3 s（×594）	60
0.17	SegCertify (σ = 0.2)	84.84 ± 0.73	63.3 s（×683）	120

表中 SegCertify 的失败概率设为 \(\alpha=0.001\)，\(\sigma\) 在 \(\{0.15,0.2,0.25,0.3,0.4,0.5\}\) 中逐配置调优；平滑方法只在 100 张图上评测并重复 5 次取均值±标准差，LipNet 则跑整个测试集。耗时列后缀的 ×594 / ×624 / ×683 是原文表格中与耗时并列标注的倍率数字，表示相对本文单次前向的开销倍数（⚠️ 原文表格排版如此，精确口径以原文为准）。

消融实验¶

分析项	设置	结果	说明
模型无关的紧致度对比	在同一个 LipNet 上跑 SegCertify，Oxford-IIIT Pet，128×128，\(\epsilon=0.1\)，\(\alpha=0.01\)	SegCertify 需约 \(10^3\) 次 MC 采样才追平 Lipschitz 证书	同等证书水平下每张图约 2000 倍更慢
实证紧致性（确定性 gap）	用 ALMA / ASMA / PDPGD 白盒攻击（adversarial-library）对照 CRPA 曲线	gap 随 \(\epsilon\) 增大而变宽	松弛只在输出扰动可实现（局部满射）时才紧，稠密预测中相邻像素 logit 高度相关使该条件结构性难以满足
干净精度代价	Cityscapes	无约束 DeepLabV3 94.41% → LipNet 92.07%	随机平滑从零加噪训练代价更大：HRNetV2 掉到 87%
σ 的三难	Fig. 2 右，\(n_{\mathrm{MC}}=250\)，\(\sigma_{\text{train}}=0.2\)，\(\alpha=0.001\)	高 \(\sigma\) 保住大半径认证但损干净精度；低 \(\sigma\) 保精度与速度但证书塌成 0	效率 / 干净精度 / 认证鲁棒性三者至多取二

安全关键场景（Kvasir-SEG）¶

在 Kvasir-SEG 息肉分割（二分类，内窥镜图像）上认证 FNR，同时给出 Q1 与 Q2 两类证书：

问法	给定条件	证书（下界）
Q1 最坏 FNR	\(\epsilon=0.1\)	0.612
Q1 最坏 FNR	\(\epsilon=0.2\)	0.768
Q1 最坏 FNR	\(\epsilon=0.3\)	0.871
Q2 所需预算	\(\gamma=0.7\)	\(\epsilon=0.423\)
Q2 所需预算	\(\gamma=0.85\)	\(\epsilon=0.563\)
Q2 所需预算	\(\gamma=0.95\)	\(\epsilon=0.675\)

关键发现¶

证书水平相当、代价差两个数量级。在最强调优的配置下（\(\epsilon=0.1\)，σ=0.2），SegCertify 的 83.13% 仅比本文的 81.80% 高约 1.3 个百分点，但耗时 62.1 秒 vs 约 0.1 秒；在 \(\epsilon=0.17\) 时 SegCertify 的最优配置也只到 84.84% 而耗时 63.3 秒。作者的结论是"LipNet 的性能只有用约 600 倍算力的随机平滑才能匹配"。
σ 的敏感性暴露了三难。\(\epsilon=0.17\) 时 SegCertify 的 σ=0.4 配置直接崩到 38.91%，说明平滑方法的证书质量强烈依赖 \(\sigma\) 与 \(\epsilon\) 的匹配；而 LipNet 一份证书覆盖所有 \(\epsilon\)，不需要为每个半径重跑。这是"flexible"在实验上的直接体现。
确定性过近似的 gap 是系统性的、且随 ε 增大。作者罕见地主动报告了证书与攻击之间的差距，并给出机理：Eq.(6) 的松弛只有在"存在输入扰动实现理论最坏输出扰动"（即网络输出局部满射）时才紧，而稠密预测中相邻像素 logit 强相关，这个条件结构上难以成立。缓解手段是调训练 temperature。
模型无关实验隔离出方法本身的价值。把 SegCertify 直接套在同一个 LipNet 上，排除了网络架构差异，结论是随机平滑需要约 \(10^3\) 次采样才值得放弃 Lipschitz 证书，即同等证书水平下每张图约 2000 倍更慢。
安全关键场景暴露了证书的实际含义：\(\epsilon=0.3\) 时最坏 FNR 的下界是 0.871，意味着最坏情况下召回率只能保证到 0.129——这个界虽然不紧，但它是非空泛的（不像形式验证在小网络外常常给出平凡界），且前向只要约 0.05 秒，满足实时约束。

亮点与洞察¶

认证 = 排序 + 前缀和：分割指标都是逐像素 0/1 判据的平均，所以最坏情况降级天然是"在能量预算下最大化被翻转的像素数"这一基数最大化问题；等利润背包有 \(O(n\log n)\) 精确解，于是认证的复杂度与网络层数、像素数都解耦，只剩一次排序。这是本文最"啊哈"的一步。
把预算类比成"能买多少个像素"：证书半径的平方当重量、\((L\epsilon)^2\) 当容量，Q1 与 Q2 于是变成同一份排序的两种读法（贪心装到满 vs 取最小 \(n_\gamma\) 个）。这个对偶关系是"灵活"的技术来源——换指标只换 \(h\) 与子集 \(S\)，换问法只换读法。
证书的定义域是可以设计的：像素精度与 FNR 需要真值，但稳定性度量把参考换成干净预测后，同一套逐像素半径就能在无标注的推理阶段给出证书，这对实际部署很实用。
可迁移：任何"指标 = 逐元素 0/1 判据平均 + Lipschitz 模型 + 范数球扰动"的组合都能套这套降级——检测里的 IoU 阈值指标、深度估计的 \(\delta<1.25\) 阈值精度、逐像素分类的任意指标，只要能把指标写成子集上的 0/1 平均，就能复用一次排序的证书。

局限与展望¶

作者承认的：LipNet 在"性能-推理时间"的 Pareto 前沿占一极（快但界松），随机平滑（尤其配合大规模 MC 或扩散模型）占另一极；框架目前只支持 \(\ell_2\) 认证。正文脚注虽然指出"只要网络在同一范数下 Lipschitz，结论对任意有限 \(p\) 的 \(\ell_p\) 范数成立"，但实现与全部实验都限于 \(\ell_2\)，\(p\neq 2\) 时应视为未验证的推广。
我注意到的：确定性 gap 被观察到但没有给出定量的界或校准方法，缓解手段（训练 temperature）只是经验旋钮，缺少"调 temperature 换来多少紧致度、代价多少精度"的系统消融；干净精度的代价（94.41%→92.07%）只在 Cityscapes 单数据集上报告。
比较口径需要谨慎：平滑基线只在 100 张图上评测、重复 5 次，而 LipNet 跑全测试集，样本量不对等；同时随机平滑的保证是对平滑模型 \(g\) 的统计保证，与本文对 \(f\) 的确定性保证不是同一个量，作者也承认这一点，但表格把它们放在一起比较时容易读成同一口径。
附录依赖偏重：类别 IoU 的证书算法、网络结构细节（附录 D）、训练开销（附录 F）、对照实验细节（附录 E）都在附录里，正文没有给出其准确性与开销，本次缓存不可见，⚠️ 以原文为准。
可改进方向：作者提出给 Eq.(6) 的松弛加入可行性约束（用模型架构与输入依赖收紧界而不牺牲实时性）、引入输入分布假设以获得更快更有意义的证书；此外把逐像素的独立半径升级成考虑像素间相关性的联合证书，也是缩小 gap 的自然方向。

评分¶

新颖性: ⭐⭐⭐⭐ 把已有的 Lipschitz 逐像素证书与背包降级组合成通用分割认证框架，观察漂亮且此前没人做过；单看每一块不算全新理论，但"换指标不动机制 + 一次排序出证书"这个组合是实打实的贡献。
实验充分度: ⭐⭐⭐ 主对比覆盖 Cityscapes 主结果、同架构模型无关对比、Kvasir-SEG 安全关键用例三层分析，还罕见地报告了证书紧致性；但平滑基线只跑 100 张图、部分细节集中在不可见附录，且缺乏对 temperature 的系统消融。
写作质量: ⭐⭐⭐⭐ Q1/Q2 两种问法区分清晰，背包降级讲得干净，对确定性 gap 的成因分析（局部满射、相邻像素 logit 相关性）诚实且有说服力。
价值: ⭐⭐⭐⭐ 首次让语义分割的确定性认证进入实时区间（1024×1024 上约 0.1 秒），且证书对任意指标可复用，对自动驾驶/医学影像这类安全关键部署有直接的工程意义。