[論文レビュー] An approach to reachability analysis for feed-forward ReLU neural networks

Alessio Lomuscio, Lalit Maganti|arXiv (Cornell University)|Jun 22, 2017

Adversarial Robustness in Machine Learning参考文献 10被引用数 247

ひとこと要約

この論文は、ネットワークの実行を1レイヤーにつき1つのバイナリ変数を用いた線形計画法にエンコードすることにより、フィードフォワードReLUネットワークの到達可能性解析を形式化し、LPベースの検証と神経制御系のバグ検出を可能にする。

ABSTRACT

We study the reachability problem for systems implemented as feed-forward neural networks whose activation function is implemented via ReLU functions. We draw a correspondence between establishing whether some arbitrary output can ever be outputed by a neural system and linear problems characterising a neural system of interest. We present a methodology to solve cases of practical interest by means of a state-of-the-art linear programs solver. We evaluate the technique presented by discussing the experimental results obtained by analysing reachability properties for a number of benchmarks in the literature.

研究の動機と目的

• 安全 Critical AI システムにおけるニューラルネットワークの形式検証を動機づける。
• FFNN到達可能性をLP可行性へ写像する線形計画法エンコーディングを開発する。
• LPエンコーディングにおける浮動小数点問題をepsilon緩和で処理する方法を示す。
• このアプローチをベンチマーク制御器（倒立振子、 Mountain Car、 Acrobot）および実世界のネット（Reuters、MNIST）に適用する。
• スケーラビリティを評価し、限界と将来の拡張（再帰ネット、合成）について議論する。

提案手法

• ReLU活性化を捉えるために各ニューロンごとに1つのバイナリ指示子を用いて線形制約でFFNNレイヤを表現する。
• レイヤーごとの線形エンコーディングを構築し、実現可能解が到達可能な入力−出力ペアに対応するグローバルLPを生み出す。
• 浮動小数点の不確実性を考慮するためepsilon緩和を組み込み、その和を目的関数で最小化して頑健性を向上させる。
• 入力集合 I から出力集合 O への到達性を、エンコーディング C = Cin ∪ C ∪ Cout を介してLPの実行可能性問題へ翻訳する。
• 結果として得られる混合整数線形計画を解くためにGurobiを使用し、実現可能性を到達可能性として解釈する。
• 標準的な制御問題と大規模データセットでスケーラビリティを評価する。

実験結果

リサーチクエスチョン

• RQ1 線形に定義可能な入力集合から線形に定義可能な出力集合への到達性は、ReLU FFNNエンコーディングから導かれるLP可解性で正確に特徴づけられるか？
• RQ2 浮動小数点の不確かさはLPベース到達解析の健全性にどのように影響し、epsilon緩和はこれをどう緩和するか？
• RQ3 異なるサイズのネットワークや問題に対するLPエンコード到達法の実用的なスケーラビリティは？
• RQ4 このアプローチは、倒立振子、Acrobot などのニューラル制御器におけるバグや安全違反を、合理的な計算時間内に特定できるか？

主な発見

問題	レイヤサイズ	変数 (連続, バイナリ)	時間 (s)
Inv. Pen. 1	4, 16, 16, 16, 2	108, 31	>0.01
Inv. Pen. 2	140, 39	0.02
Inv. Pen. 3	142, 41	0.03
Inv. Pen. 4	143, 42	0.04
Mountain Car 1	2, 50, 190, 3	406, 117	0.06
Mountain Car 2	404, 115	0.04
Mountain Car 3	404, 117	0.02
Mountain Car 4	407, 118	0.04
Pendulum 1	3, 32, 32, 32, 1	154, 41	0.05
Pendulum 2	154, 41	0.02
Pendulum 3	154, 41	0.02
Pendulum 4	161, 48	0.65
Acrobot 1	6, 64, 168, 3	579, 162	0.48 (3 problems)
Acrobot 2	569, 152	0.66 (3 problems)
Acrobot 3	590, 173	3.31
Acrobot 4	609, 192	47.28
Reuters	1000, 512, 46	1546, 526	40.30
MNIST	4608, 128, 10	5002, 128	8.54

• LPエンコードは、FFNNに対して f(x)=y となる入力 I の存在と出力 O の存在がある場合に実行可能解を正確に返し、到達可能性とLP可用性の同値性を確立する。
• 浮動小数点許容誤差は不可欠であり、和を最小化するepsilon緩和を目的関数と組み合わせることで数値的限界内の健全な解析を可能にする。
• ベンチマーク全体で（倒立振子、 Mountain Car、 Pendulum、 Acrobot、 Reuters、 MNIST）、多くのケースで1秒未満に到達性クエリが解け、実用的なスケーラビリティを示す。
• LPを解くことで倒立振子問題の合成ニューラル制御器にバグを発見した事例があり、結果をネットワークにフィードバックして問題を確認できる。
• 状態空間のサイズ、変数数（特にバイナリ変数）、制約数によって性能が変動し、大きな問題では解決時間が長くなる（例: 一部 Acrobot ケースでは数十秒に達する）。
• この方法は数層以上のネットワークおよびかなりの規模にも適用可能であり、実用的な関心を持つディープネットにも適用性を示す。