[論文レビュー] Automated Repair of Neural Networks

Dor Cohen, Ofer Strichman|arXiv (Cornell University)|Jul 17, 2022

Adversarial Robustness in Machine Learning被引用数 6

ひとこと要約

この論文は、形式的セーフティ仕様を満たすために、少数の重みのみを変更することで、安全でないニューラルネットワークを自動で修復するSMTベースのフレームワークを提案している。最小限の精度損失で敵対的ロバストネスを達成する。この手法は、修復問題を論理的制約充足タスクとして定式化し、元のネットワークの動作と類似した、証明可能に正しいネットワーク動作を実現する。

ABSTRACT

Over the last decade, Neural Networks (NNs) have been widely used in numerous applications including safety-critical ones such as autonomous systems. Despite their emerging adoption, it is well known that NNs are susceptible to Adversarial Attacks. Hence, it is highly important to provide guarantees that such systems work correctly. To remedy these issues we introduce a framework for repairing unsafe NNs w.r.t. safety specification, that is by utilizing satisfiability modulo theories (SMT) solvers. Our method is able to search for a new, safe NN representation, by modifying only a few of its weight values. In addition, our technique attempts to maximize the similarity to original network with regard to its decision boundaries. We perform extensive experiments which demonstrate the capability of our proposed framework to yield safe NNs w.r.t. the Adversarial Robustness property, with only a mild loss of accuracy (in terms of similarity). Moreover, we compare our method with a naive baseline to empirically prove its effectiveness. To conclude, we provide an algorithm to automatically repair NNs given safety properties, and suggest a few heuristics to improve its computational performance. Currently, by following this approach we are capable of producing small-sized (i.e., with up to few hundreds of parameters) correct NNs, composed of the piecewise linear ReLU activation function. Nevertheless, our framework is general in the sense that it can synthesize NNs w.r.t. any decidable fragment of first-order logic specification.

研究の動機と目的

• 自律システムなどのセーフティクリティカルなアプリケーションで使用されるニューラルネットワークにおけるセーフティを保証するという、重要な課題に対処すること。
• 特に敵対的ロバストネスを満たさないニューラルネットワークに対して、形式的かつ証明可能な修復手法を提供すること。
• 元のネットワークの意思決定境界と精度を保持しつつ、重みの変更数を最小限に抑えること。
• 敵対的ロバストネスに限定されない、任意の決定可能第一階論理仕様に適用可能な一般化可能なフレームワークを開発すること。
• 反復的敵対的訓練の代替手段として、形式的手法を用いて安全で検証済みのネットワークパラメータを直接合成すること。

提案手法

• ニューラルネットワークの修復問題を、論理的制約充足タスクとして定式化し、ネットワーク構造とセーフティ仕様を論理的制約として符号化する。
• 小さな重みサブセット（例：w21, bias21）に対する存在記号を用いて、仕様を満たす有効なパラメータ割り当てを探索する。
• SMT式におけるif-then-else構造を用いてReLU活性化関数を符号化し、区分線形挙動をモデル化する。
• SMTソルバを用いて、安全なパラメータ割り当てが存在するかを判定する。修復が可能であればSATを返し、そうでなければUNSATを返す。
• 探索空間の縮小や最適な重みの選定といったヒューリスティクスを用いて計算効率を向上させる。
• 任意の決定可能第一階論理仕様に一般化可能であり、敵対的ロバストネスを超える応用が可能である。

実験結果

リサーチクエスチョン

• RQ1 SMTソルバは、セーフティ仕様を満たさないニューラルネットワークを自動で修復するために効果的に使用可能か？
• RQ2 修復プロセスは、元のネットワークの精度と意思決定境界をどの程度保持できるか？
• RQ3 提案手法の効果性と効率性は、敵対的訓練やナイーブなベースラインと比べてどうか？
• RQ4 このフレームワークは、より大きなまたはより複雑なニューラルネットワークアーキテクチャに対してもスケーラブルか？
• RQ5 このフレームワークは、敵対的ロバストネスを超える任意の決定可能第一階論理仕様を強制するために一般化可能か？

主な発見

• 提案されたフレームワークは、数パラメータ程度の小さなニューラルネットワーク（数パラメータ未満）を効果的に修復し、わずかな精度損失で敵対的ロバストネスを達成した。
• SMTソルビングを用いて安全な重みを直接合成することで、証明可能に正しいニューラルネットワーク表現を生成し、反復的再訓練を回避した。
• 実験の結果、フレームワークは修復成功確率と精度保持の両面でナイーブベースラインを上回った。
• フレームワークは一般化可能であり、敵対的ロバストネスに限定されない任意の決定可能第一階論理仕様を強制可能である。
• 戦略的重み選択やソルバチューニングなどのヒューリスティクスは計算パフォーマンスを向上させ、より現実的なベンチマークの探索を可能にした。
• SMT符号化は区分線形ReLUネットワークを効果的に捉え、制約充足を通じてセーフティプロパティの形式的検証を可能にした。