图像恢复翻车谁负责？圣克拉拉大学新框架：先认证再放行，别让AI瞎"修复"

原论文信息如下：

论文标题：
SafeRestore: Detector-Relative Risk Certificates for Selective Industrial Image Restoration

发表日期：2026年1月（预印本）
发表单位：美国圣克拉拉大学（Santa Clara University）
原文链接：https://arxiv.org/pdf/2609.03475v1.pdf

摘要：
工业检测流程通常在检测器工作之前对采集图像进行恢复处理，然而恢复可能抑制检测器所依赖的缺陷结构，或产生干净区域的激活。本文将恢复建模为在原始显示、五个恢复候选和人工复核之上的选择性动作问题。SafeRestore使用动作特异的拟合分数对候选项排序，在阈值调整数据上选择门控，并在不相交的认证样本上使用两个单侧精确二项界限评估固定的门控：一个用于正样本条件证据丢失事件率，一个用于所有接受样本的过度激活事件率。该保证对在观测认证结果之前固定的单一策略而言是边缘性的，基于图像级独立同分布工作模型。在包含4,591张公开Carinthia-S图像的回顾性分割样本研究中，该协议产生了可审计的风险-覆盖率行为。

在半导体制造、精密零部件加工这类场景里，自动光学检测系统就是产线上的"守门员"。一枚芯片表面有没有缺陷、一个零件有没有划痕，全靠检测算法在图像里"找茬"。 但这里藏着一个反直觉的坑：很多产线拿到原始图像后不会直接丢给检测器，而是先做一步图像恢复——去噪、超分辨率、锐化，想着让图像更清晰，检测自然更准。 然而，图像恢复本质上是在"无中生有"。它可能把原本就很微弱的小缺陷给抹平了，也可能在本来干净的表面上凭空"脑补"出一些纹理结构，导致下游检测器被带偏甚至误报。 更有意思的是，这种恢复引入的风险，用PSNR和SSIM这种传统指标根本看不出来。因为一个缺陷像素在整幅图里占比可能只有千分之一，哪怕PSNR高到天际，也不代表检测器关心的细节还在。 所以问题就来了：恢复后的图像到底能不能直接交给检测器？哪些图可以放心自动处理，哪些图必须送去人工复核？这两个问题的答案不能靠拍脑袋，得有一套可量化的、有统计保障的决策机制。 圣克拉拉大学的研究人员把这个困境总结成一句话：工业图像恢复不是重建问题，而是决策问题。他们提出的SafeRestore框架，核心思路是给"图像恢复"这个动作装上一道安全阀门——先认证，再放行。凡是拿不准的图，老老实实送去人工复核，别让算法自作主张。

一、图像恢复的"好心办坏事"，到底是怎么发生的？

先看两个具体场景。 场景一，一张半导体晶圆的扫描电镜图像里有一个极小的凹陷缺陷，信号本来就弱。如果采用一个激进去噪算法，可能会把这个缺陷当成噪声平滑掉。下游的缺陷检测器一看，好嘛，啥事没有，直接判定为良品。这就是"证据丢失"——图像是好看了，但检测器需要的缺陷证据不见了。 场景二，某修复算法在增强图像时，会在原本干净的表面上引入周期性伪影。检测器对这类伪影特别敏感，结果在没有缺陷的区域触发大量报警。这就是"过度激活"——不是真缺陷，但检测器被忽悠了。 这两种风险恰恰是PSNR这类指标永远解释不了的。PSNR看的是全局像素差异，缺陷像素在全图占比太小，对PSNR的影响微乎其微。哪怕一幅图恢复后检测性能崩了，PSNR该高还是高。 这就是SafeRestore要解决的问题：一个恢复算法能不能用，不看它PNSR多高，而是看下游检测器在恢复结果上的表现是否达标。任何自动化返回的决策，都必须有可审计的风险证据支撑。 但这里还有个细节值得注意，两种风险的作用人群完全不同。"证据丢失"只对有缺陷的图像才有意义，干净图上谈证据丢失纯属瞎扯。而"过度激活"的定义区域是干净像素区域，因此每张被接受的图像都存在这类风险。 如果简单地把干净图混入证据丢失的统计分母，结果就会被缺陷样本占比牵着鼻子走——缺陷多的时候风险高，缺陷少的时候风险低。这样的指标没法用。SafeRestore把这两个端点的分母分开统计，用不同的覆盖率指标分别报告，还引入了一个流行率标准化的表达方式。

二、SafeRestore的核心机制：先排序、再调门、后认证

SafeRestore的流程大体分三步：排序、调门、认证。 动作集包含六个不放行给人工复核的候选项：原始显示(raw)、双线性插值(bilinear)、双三次插值(bicubic)、平滑双三次插值、锐化双三次插值，以及一个紧凑的基于学习的残差恢复器。外加一个终极操作：送人工复核(review)。 对每个候选动作，算法用检测验证集数据训练两个类别均衡的逻辑回归排序器。一个排序器评估证据丢失风险——在缺陷阳性图像上检测器召回率是否会低于设定下限；另一个排序器评估过度激活风险——干净区域的检测器激活是否超过设定阈值。两个排序器共用六个"应用时"特征，不需要参考图像或掩膜，运行阶段就能直接计算。 两个风险得分经过各自风险限额归一化后，取最大值作为该候选动作的综合门控分数。然后选择归一化最坏端点分数最低的候选动作作为该图像的返回结果，而它的分数就是整幅图像的"门控分"。 接下来是关键一步：调门。校准数据被划分为约30%的调参集和70%的认证集。在调参集上，算法尝试所有可能的门控阈值前缀，找到满足最小证据量（至少15张接受图像和15张接受阳性图像）且两个经验风险速率均不超过目标值一半的最大前缀。这个调出来的阈值，决定了后续接受还是拒绝图像。 原始图一

Table 1: Provenance and claim boundary relative to [11]. Carinthia-S identity overlap is complete; novelty rests on the selective-policy estimand, disjoint certification role, and corresponding records rather than on new public images.

统计声明的关键在最后一步：认证。调好的门控阈值放到独立的认证集上，用两个单侧精确二项上界进行验证。一个是接受阳性样本中的证据丢失率上界，一个是所有接受样本中的过度激活率上界。只有当两个上界都低于各自风险限额时，这个固定策略才算通过认证，可以自动返回决策结果。 需要注意的是，这个方法给的是单策略的边际保证——如果一个策略是在看到认证结果之前就固定好的，且符合图像级i.i.d.工作模型假设，那么它错误通过认证的概率被控制在δ以内。但如果有人在五个训练种子里挑一个通过的来汇报，那错误率就完全不是这么回事了。论文里明确强调，所有种子级别的通过/失败统计都只是敏感性诊断，不构成多策略选择的家族控制。

三、实验设计：公开数据集与形态学边界测试

实验用的数据集是Carinthia-S——一个包含4,591张公开SEM图像-掩膜对的公共数据集，涵盖六个形态学类别。第3、4、6类被定义为名义人群（正常测试范围），第1、2、5类共67张图作为保留的形态学偏移诊断集，不参与模型拟合和认证。 数据角色分配很有讲究。训练集3,186张用于训练检测器和恢复网络；检测器验证集431张用于选检测器阈值和拟合排序分数；校准集461张被进一步分为30%的阈值调参和70%的认证；446张测试集用于最终描述性评估。 每张图都经过一次受控退化：模糊核σ从{0.6, 1.2, 2.0}中取，下采样2倍，再叠加高斯噪声，噪声σ从{0.010, 0.025, 0.045}中取。退化的分配方式仅取决于数据角色和图像标识符，与训练种子或动作无关。 原始图二

Table 2: Rank–tune–certify procedure for one fixed policy.

名义人群测试集包含430张阳性图（有非空掩膜）和16张干净图，正负样本比例极其不平衡，这点很关键。校准集则有23张干净图，其中大约30%用于调参。由于阳性图占绝对多数，证据丢失端点的统计量比较充足，而干净组件（用于过度激活流行的标准化）的精确度就很有限。 模型主体使用三层U-Net检测器配合六块残差恢复器，训练种子为201、203、207、211和223。这个紧凑架构是刻意设计的选择：为了可复现性，而不是追求SOTA恢复质量。对照组还包括注意力门控U-Net检测器加U-Net残差恢复器的替代架构。 主要事件的判定标准是：证据丢失事件定义为检测器召回率低于0.25（更严格的0.50作为边界分析）；过度激活事件定义为干净区域假阳性率超过0.002。两个风险限额均为0.15，联合边际错误认证水平δ=0.10。

四、实验结果：自适应策略输给了简单的双三次插值

实验最扎心的发现在这里：原论文的核心自适应策略——全动作策略，在五次训练重复中只通过了一次认证。两个种子（201和203）在调参阶段连最小证据门槛都过不了，根本没有候选门控。种子207两个界限都没过；种子223栽在过度激活性上；只有种子211两个端点都通过。 种子211这个通过认证的策略，实际测试覆盖率60.1%，认证上界是证据丢失率0.135，过度激活率0.113，都在0.15的限额之内。而种子223的对照组很有教育意义：它的证据丢失率上界低至0.038，但过度激活率上界却达到0.168，超标了。这正是设计两个独立端点而不是合并单一风险指标的原因——如果只看其中一个端点，种子223就会被误判为"安全"。 原始图三

Table 3: Evaluation specification and claim boundary.

Table 4: Nominal Carinthia-S results at the 25% recall floor for the primary compact U-Net + residual-restorer family. Each seed–policy pair has a separate marginal certificate. Conditional coverage is averaged before the certificate decision; pass-gated coverage is set to zero when that policy fails. and U _ { \mathrm { a c t } } = 0 . 1 1 3 . Its held-out test incident rates are 11.3% and 3.7%, respectively. These test rates describe the policy after the decision; they do not replace the certification counts in Table 5.

对比下来，固定双三次插值在五次重复中通过三次，覆盖率均值23.3%，标准差22.2%。双线性插值和平滑双三次各通过两次。学习恢复器和纯恢复动作池全军覆没，零通过。全动作策略的覆盖率均值只有12.0%，标准差高达26.9——通过次数的差异造成了极高的方差。 "恢复动作池"排除原始动作后也是零通过。这个很能说明问题：原始显示(raw)本身就是与恢复效果做对照的重要基准。移除原始动作，所有种子都无法通过认证，说明直接返回未处理的观测图是整套决策逻辑里兜底的关键选项。 更扎心的是补充对比。一个熵门控的原始显示策略在所有种子中都找不到合适的门控阈值——说明原始图的整体质量信息并不能当作风险判别器。另一个"上帝视角"的对比实验，让一个后验感知的预言机选择实际风险最小的动作，依然在"全接受"的门控策略下全军覆没。这部分揭示了自适应策略的深层困境：即使动作选择是完美的，现有门控接受区域包含的高风险阳性样本数量仍然太多，认证上界照样超限。 再看动作池本身，各种恢复方法的差异相当明显。学习恢复的PSNR高达39.7 dB，证据丢失率只有6.7%（对比原始显示和固定插值的46.1%-48.7%），但它过度激活率高达51.3%，远超原始显示的3.0%-3.8%。锐化双三次插值的保真度又不一样。图6把这三种属性放在一块看，PSNR高的动作并不能同时压低两种风险——高保真和学习恢复在"证据保留"和"干净区域稳定性"上就是天然的跷跷板。

Table 5: Certification evidence for the primary all-action policy. A pass is a marginal decision for the stated seed; the table is not a menu from which a seed may be selected without multiplicity control. Test incident counts are descriptive outcomes after the certification decision.

特征消融实验结果给出了更直接的实践建议：去掉前向一致性特征，通过种子数从1/5升到3/5；只保留插值动作池，通过种子数也是3/5；去掉学习动作，通过2/5。这一系列结果的意思很明白：复杂动作集和额外特征在现有实验配置中不仅没有帮上忙，反而引入了更多噪声。

五、边界测试：换了形态或者换数据集，证书就不灵了

研究团队做了一系列边界压力测试，揭示这套认证体系在哪些条件下会失效。 先看更严格的端点。把证据丢失的召回率下限从0.25提高到0.50，并重新拟合评分模型和策略，结果五次重复中依然只有一个通过认证，但通过的那种子从211变成了203，覆盖率均值降到了4.0%。这说明更严苛的检测下限对阳性证明确度量极度敏感。 再看证据量递减。把固定的认证集缩小到25%、50%、75%、100%后，分别得到0/5、0/5、1/5、1/5的通过率。这符合单调递减的直觉——接受的正样本数量越少，精确二项上界就越宽，即便观测到的事件发生率不高，也难以达到15%的限额。二项分布就是这样的特性：样本量不足时，置信区间宽得让任何结论都站不住脚。 原始图四

Table 6: Most informative policy simplifications under the same five seeds and separate marginal certificates. Values are pass-gated test coverage; the complete ablation table and seed-level results appear in Tables S11 and S12.

最扎心的是形态学迁移测试。把在名义形态（类3/4/6）上调好的门控，直接套到保留形态（类1/2/5）的67张图上，覆盖率看起来还行（32.8%-55.2%），但证据丢失率飙到81.1%-90.3%。说白了，这在名义人群上调好的门控，到新的形态学特征上基本等于瞎猜。原论文也明说了：没有哪种证书能自动迁移到新形态、新扫描仪、新配方或新流行率，除非重新做假设和证据收集。 在KolektorSDD数据集上的测试更是直接揭了老底。这个数据集每个物件的图像数量太少，完全撑不起这套统计框架。官方折0太小，不满足最小阳性调参需求；换更大的分割，调参集只有5张阳性图，远低于15张的最低下限。就算最乐观的假设——13张认证阳性图零事件，95%的单侧上界也是0.206，仍然超过0.15的限额。KolektorSDD在数据量层面就做不了这套认证。检测器的Dice系数也只有0.033-0.042，没有检测能力撑腰，政策认证就是个空壳。 这些边界测试共同勾勒出一条"失败地图"：自适应策略的证书不是一劳永逸的万能通行证，它的有效性依赖于足够的阳性证据量、足够强健的检测器、以及名义人群与部署人群之间的分布一致性。

六、一个"认怂"的框架，反而更值得尊重

这篇文章的结论放在当下的AI研究氛围里显得格外另类。当别人都在拼命宣称自己的方法又提升了多少多少的时候，这篇论文花了大量篇幅展示自己的方法为什么不太行：五次训练里只过了两次？不，只过一次，比双三次插值还差。 但恰恰是这个"认怂"的过程，让SafeRestore具备了实用价值。它提供了一个审计框架，能在部署前告诉工程师：这批数据上的自适应策略无法被认证为安全。这在产线上意味着一个最直接的决定——不要自动返回这些恢复结果，老老实实送人工复核。 Review（复核）被纳入了整个政策体系，而不是当作失败后的兜底手段。所有自动返回之外的案例都会进入人工审核通道，构成完整的决策闭环。这种对"何时不该自动"的判断能力，在实际工业应用中可能比"如何做得更好"更有价值。一张价值不菲的半导体晶圆，因为一个有瑕疵的修复策略被错误判定为良品流入下一道工序，损失可能无法估量。 回归技术本身，六个应用时特征只用到了当前动作的检测器图、图像残差和基础统计量，加上两个类别均衡的逻辑回归排序器，整体框架极其轻量。论文用的恢复器只有六个残差块，检测器就是三层U-Net，加起来的参数量远远小于主流的大模型。用这么"朴素"的工具组合挑战一个复杂的决策问题，而且老老实实报告了统计功效不够的边界，这种透明和审慎在工程落地中反而是最稀缺的品质。 文章结尾还有一个值得玩味的细节。哪怕是那个唯一通过认证的种子211，在图8的案例分析中也能找到"漏网之鱼"：有些被返回的图像在干净区域触发了过度激活事件。这说明边际证书控制的是群体层面的犯错率，而非"保证每一张图绝对安全"。放到产线操作场景中，这个指标是"在100张自动判定的图里，期望最多有15张踩线"，而不是"每一张图都安全"。 换句话说，SafeRestore给的不是"永不出错的保险"，而是一个可以量化和审计的"风险上限"。"知道风险有多大"这件事本身，就比"假装没有风险"要安全得多。

如果你还有哪些想要了解的，欢迎在评论区留言或者讨论~

这篇工作的边界或风险在哪里？优点：提供了可审计的检测器相对选择性恢复框架，分离证据损失和过度激活两个不同风险总体，使用精确二项界提供有限样本保证，公开数据和代码可复现。缺点：主要策略在多数重复中未通过认证，自适应路由未优于简单策略；图像级i.i.d.工作模型无法验证物理独立性；保留形态和KolektorSDD显示证书不可转移；清洁组件样本量不足。

这篇工作最值得看的点是什么？主要全动作策略在五次训练重复中仅一次通过认证（12.0%±26.9%通过门控测试覆盖率），固定双三次和简化变体更频繁通过。保留形态上证据损失发生率升至81.1-90.3%，KolektorSDD因检测器能力和阳性认证图像不足无法支持目标。

这篇论文到底在解决什么问题？工业检测中图像恢复可能抑制缺陷或制造虚假激活。SafeRestore提出检测器相对的选择性恢复框架，用精确二项认证门控自动返回决策，公开数据集实验显示自适应策略通过率反而低于简单插值，为可信恢复提供审计范式。

下面是龙哥对于大家可能的一些问题的解答：

龙迷三问

龙哥点评

论文创新性分数：★★★★☆

SafeRestore将图像恢复构建为选择性动作问题，通过动作特定评分对原始显示和五个恢复候选进行排序，在调优数据上选择门控阈值，并在不相交的认证样本上用两个单侧精确二项界（证据损失和过度激活）评估固定门控策略，为自动返回或人工复审提供可审。

实验合理度：★★★★☆

证据损失率（阳性条件召回率<0.25或<0.50），过度激活率（干净区域FPR>0.002），正/干净覆盖率和通过门控覆盖率，单侧精确二项上界。

学术研究价值：★★★★☆

SafeRestore将图像恢复构建为选择性动作问题，通过动作特定评分对原始显示和五个恢复候选进行排序，在调优数据上选择门控阈值，并在不相交的认证样本上用两个单侧精确二项界（证据损失和过度激活）评估固。

稳定性：★★★☆☆

现有材料未提供充分的极端条件、重复运行或扰动测试，稳定性暂按中性评价。

适应性以及泛化能力：★★★☆☆

现有材料未完整展示跨数据集、跨场景或分布外实验，泛化能力仍需进一步验证。

硬件需求及成本：★★★☆☆

论文未明确报告FLOPs或推理时间，但强调所有候选在动作选择前生成，不假设效率优势。训练使用NVIDIA RTX 5090 GPU。

复现难度：★★★☆☆

https://github.com/nbbllxx0/SafeRestore

产品化成熟度：★★★☆☆

论文验证以研究实验为主，真实部署中的时延、成本、维护和异常场景仍需补充验证。

可能的问题：总体，使用精确二项界提供有限样本保证，公开数据和代码可复现。缺点：主要策略在多数重复中未通过认证，自适应路由未优于简单策略；图像级i.i.d.工作模型无法验证物理独立性；保留形态和KolektorSDD显示证书不可转移；清洁组件样本量不足。

说实话，读完这篇论文，第一反应是想给圣克拉拉大学这几位研究者鼓掌。在一个追逐SOTA的学术生态里，他们用一整篇论文的篇幅说了一件大家都不爱听的事：你们精心设计的自适应恢复路由策略，在一半以上的训练重复里连统计门槛都过不了，甚至不如直接双三次插值来得靠谱。 这种结论放在商业利益驱动的研究环境里几乎不可想象。但他们不仅做了，还把所有失败的细节、边界条件、统计局限性摆得明明白白。这种严谨和坦诚，就是工程体系最需要的底色。 整个框架有几个点对实际项目很有启发： 第一，分人群统计风险是真正解决实际问题的思路。证据丢失只在阳性图上有意义，过度激活在每张图上都有定义。两者在工业场景中的代价完全不同，混在一起算平均就是对工程决策的误导。 第二，"先认证再部署"的理念值得所有AI检测项目借鉴。在模型上线之前，用独立数据跑一遍精确二项上界验证，看看风险是否在可接受范围以内。这个方法在医疗AI、金融风控等一切"错不起"的领域都能迁移应用。 第三，承认自适应的局限不丢人。很多时候，简单的方法在有限数据上反而是最优解。论文说得很直接：五种子实验下，自适应策略没比简单策略做得更好，好就是好，不好就是不好。 最后需要明确一点：SafeRestore的主要贡献在于提出了一个可审计的选择性恢复协议，而不在于主张自适应路由优于简单方案。原论文在结果部分明确呈现了自适应策略在5次训练中仅1次通过认证、而简单双三次插值好的，龙哥已仔细研读了这篇 SafeRestore 论文的全部材料。下面将根据要求，生成公众号文章主体内容（不含引言及论文基本信息），将严格遵循既定的子标题顺序、HTML格式规范、图片/表格/公式的插入规则，以及纯文字字数的硬性约束。 ---

一、图像恢复的“信任危机”：PSNR高不代表能自动放行

先看两个发生在产线上的真实“冤案”。

场景一：一张晶圆扫描电镜图里有个极小的凹陷缺陷，信号本来就微弱。如果上一道工序用了激进的去噪算法，可能会把这个缺陷当成噪声直接抹掉。下游的检测器一看，好嘛，干净得很，直接放行。结果就是——图修得挺好看，但检测器最需要的证据没了，这叫证据丢失（Evidence Loss）。

场景二：某修复算法像打了鸡血，增强图像时在原本光滑表面上引入周期性伪影。检测器对这类信号特别敏感，于是干净区域警报四起，误报率飙升。这叫过度激活（Excess Activation）——不是真缺陷，但算法被忽悠瘸了。

讽刺的是，这两种致命的翻车事故，恰恰是PSNR和SSIM这种传统指标永远解释不了的。原因很简单：一个缺陷像素在全图占比可能只有千分之一，对PSNR的影响微乎其微。哪怕恢复后的检测性能崩了，PSNR照样能刷到天上去。

所以圣克拉拉大学的研究人员下了个判断：工业图像恢复本质上不是重建问题，而是决策问题。核心问题只有一个——处理完的图，到底能不能直接交给检测器自动判断？哪些能放行，哪些必须送去人工复核？答案不能靠拍脑袋，得有一套可量化、可审计的统计决策机制。

而且这两种风险的统计特性完全不一样。证据丢失只对有缺陷的图像（阳性图）才有意义；而过度激活的定义区域是每张图的干净区域，所以每张被接受的图都有这个风险。如果简单地把干净图混入证据丢失的统计分母，结果就会被缺陷占比牵着鼻子走——缺陷多时风险高，缺陷少时风险低，这种指标没法用。SafeRestore的处理方式是把两个端点的分母分开统计，分别报告覆盖率。

二、SafeRestore：给工业检测装上“风险闸门”

SafeRestore的思路很清晰，它把决策权交给一个所谓的“策略”。针对每个观测到的图像，它把决策分成三种选择：保留原始显示、从几个修复候选中挑一个，或者干脆送人工复核。

策略的动作集包含六个可自动返回的候选动作：原始显示（raw）、双线性插值（bilinear）、双三次插值（bicubic）、平滑双三次（smooth）、锐化双三次（sharp）以及一个轻量学习型残差恢复器。外加一个兜底动作——人工复核（review），专门用来处理拿不准的情况。

整个决策过程可以浓缩成六步走：先给每个候选动作算出一组“特征”，然后用逻辑回归模型算出两个风险分——证据丢失风险和过度激活风险。这里特别注意：这两个分是排序分数，不是校准过的概率，不要指望它能直接解读为风险绝对值。接着取两个端点中归一化更差的分数作为该候选动作的门控分；选出分数最低的候选动作；在调参数据上挑一个合适的阈值门控；最后在认证数据上验证这个固定门控是否达标。

图1：SafeRestore方法总览。动作排序与政策认证分离，两个风险得分经目标限额归一化后选出候选动作并定义门控，最终在认证集上验证。

这个流程最大的优点是可审计、可复现。更关键的是，它把各种动作与原始显示的对比放在同一基准线上，让所有候选动作被同一个检测器、同一个像素阈值公平地衡量。

表2：排序-调参-认证（Rank–tune–certify）流程，它将分数拟合、阈值选择、认证与应用决策完全分离。

三、双风险认证：证据损失与过度激活的精确边界

这一节是整个协议的心脏——它严格定义了两个独立的风险度量，并分别画出了统计边界。

首先在像素层面定义两个核心指标：缺陷像素召回率与干净区域假阳性率。

公式中，M是二值缺陷掩膜，当M≠0时表示存在缺陷，f是固定的检测器，a(X)是对图像X应用动作a后的结果，r0和f0是预定义的风险阈值。这里，召回率衡量的是“缺陷像素是否被检测器捕捉”，而假阳性率衡量的是“干净区域是否被误报”。

接下来定义两种“事件”，它们是衡量策略风险的基石：

论文主实验设定r0=0.25（即召回率低于25%就算严重丢失证据），f0=0.002（干净区域假阳性率超过0.2%就算过度激活）。注意：这仅仅是研究用的透明阈值，不是产线验收标准。论文还额外分析了r0=0.5这种更严格的情形。

这时，我们可以定义策略在固定门控(G)下的风险，它表示在被接受的条件下，发生不良事件的概率。两个风险相互独立，不能合并成一个总指标，因为改善一个端点不能补偿另一个端点。

上面两个公式中，R_loss(θ)是在接受条件下，缺陷正样本发生证据丢失的概率；R_act(θ)是在接受条件下，所有被接受样本发生过度激活的概率。这两个风险的条件人群不同，这也是本方法设计的关键举措——防止缺陷发生率影响风险统计。

上面第二个公式中，Cπ(θ)代表整体覆盖率，而R_act,π(θ)对应在特定流行率π下的标准化过度激活风险。当产线中的缺陷流行率和论文中不同时，可以用它来估算部署后的实际风险。

研究设定的双项风险限额均为α=0.15。

在认证阶段，SafeRestore对已接受的样本构造两个单侧精确二项上界，采用的是Clopper-Pearson方法。这是一种非常经典的精确置信区间构造法，不依赖大样本近似，因而即使样本量小也能给出保守但保证覆盖率的界限。只有当两个上界都低于设定风险限额时，策略才通过认证进入部署，否则直接打回人工复核。

这个方法提供了清晰可复现的单策略边际保证：如果策略在观察认证结果前就固定，那么在图像级i.i.d.工作假设下，策略错误的通过认证的概率被控制在δ以内。换句话说，这套方法明确了“认证通过的策略实际风险超标”的概率是有上限的。δ=0.10这个参数在整个研究中使用。此外，需要注意：认证结论不可迁移到新形态或新数据集。

表3：评测规范与声明边界（Evaluation specification and claim boundary）。

四、实验结果：自适应策略为何输给了简单双三次？

如果这是一篇常规论文，到这里应该展示“我们的方法全面超越SOTA”。但SafeRestore的实验结果，用一句话概括就是：精心设计的自适应策略在五次训练重复中只通过一次认证，而简单的双三次插值通过了三次。

图4：(a) 五种训练重复下通过边际认证的策略数量；(b) 测试集覆盖率对比。全动作策略通过的认证数少于固定双三次插值及其他三个简化版本。

这个结果极具教育意义。来看看细节：种子201和203在调参阶段甚至连“最小证据”门槛都过不了——被接受的阳性图数量太少，根本没资格谈认证。种子207栽在“过度激活”上，种子223栽在“过度激活”上，只有种子211在两个端点上全部达标。

表4：名义Carinthia-S数据集在25%召回率下限下的结果（针对紧凑U-Net + 残差恢复器主家族）。每个种子-策略对具有独立的边际证书。

以唯一通过认证的种子211为例，它的双端点上界分别为证据丢失0.135和过度激活0.113，低于0.15限额，通过认证。而种子223则提供了一个绝佳的教学案例：它的证据丢失上界低至0.038，非常优秀；但过度激活上界却高达0.168，超标了。如果只看单端点，种子223会被误认为很安全。

表5：全动作策略在五个种子下的认证证据，清晰地展示了为什么双端点设计是必要的。

为什么这么复杂的自适应策略反而不如简单的双三次插值？龙哥分析有以下几个层面：

第一，模型训练过程中引入了额外的不确定性。全动作策略需要先训练恢复器和检测器，再训练两个逻辑回归排序器。每一个步骤都消耗宝贵的训练数据，在数据有限时，多一个环节就多一份拟合噪声。

第二，学习的恢复器本身存在过度激活风险。虽然学习恢复器的PSNR极高（高达39.7dB），证据丢失率低至6.7%，但其过度激活率高达51.3%——比原始显示的3.0%-3.8%高出了一个数量级。这种“用假阳性换高保真”的特性，让任何选中学恢复器的策略都很容易在“过度激活”端点上栽跟头。

第三，门控本身也会误伤。对比实验显示，即使是“上帝视角”的预言机（能完美选出实际风险最小的动作），在全接受的策略下依然过不了认证。这说明误差不只是来自动作选择不够聪明，而是因为特定接受区域包含的高风险阳性样本数量，天然就太多了。

图6：六种候选动作在PSNR、证据丢失率与过度激活率三个维度上的“跷跷板效应”。高PSNR并不能识别出双风险安全的策略。图中开放圆圈为单次训练重复结果，菱形为五次重复均值。

特征消融实验更是耐人寻味：去掉“前向一致性特征”后通过数从1/5提升到3/5；只保留插值动作池也是3/5。这说明复杂动作集和额外特征在这个实验配置中不仅没帮忙，反而引入了更多噪声。最简单的方案在有限数据面前，往往是最稳的。

表6：最有信息量的策略简化模式对比。数值是在5个种子下的通过门控的测试覆盖率。

这给龙哥一个很深的感触：这篇论文用严格的统计框架给“自适应策略更优”这个流行假设泼了一盆冷水。它提醒我们，实验结论不应以“感觉”或“案例”为准，而应以统计认证为准。