[論文レビュー] Finding plans subject to stipulations on what information they divulge

Yulin Zhang, Dylan A. Shell+1 more|arXiv (Cornell University)|Sep 25, 2018

Optimization and Search Problems参考文献 10被引用数 4

ひとこと要約

本稿は、プライバシー制約下でのロボット計画のための新規フレームワークを提案する。ロボットはタスクを遂行するが、観察者に対して何を露呈するかを戦略的に制御する必要がある。本稿では、プロクラステアン・グラフと悪意ある観察者モデルを用いて、計画と開示ポリシーの共同合成を実現し、機密情報（例：施設の種別）が漏洩しないようにしつつ、タスク目標を達成することを保証する。

ABSTRACT

Motivated by applications where privacy is important, we consider planning problems for robots acting in the presence of an observer. We first formulate and then solve planning problems subject to stipulations on the information divulged during plan execution --- the appropriate solution concept being both a plan and an information disclosure policy. We pose this class of problem under a worst-case model within the framework of procrustean graphs, formulating the disclosure policy as a particular type of map on edge labels. We devise algorithms that, given a planning problem supplemented with an information stipulation, can find a plan, associated disclosure policy, or both if some exists. Both the plan and associated disclosure policy may depend subtlety on additional information available to the observer, such as whether the observer knows the robot's plan (e.g., leaked via a side-channel). Our implementation finds a plan and a suitable disclosure policy, jointly, when any such pair exists, albeit for small problem instances.

研究の動機と目的

• 行動、観察、または状態の開示によって機密情報が漏洩する可能性があるロボットアプリケーションにおけるプライバシー懸念に対処すること。
• 特定の情報（例：タスク関連データ）を公開することを要請する制約と、他の情報（例：施設の種別）を隠蔽することを要請する制約を含む計画を形式化すること。
• 有効な計画と、指定されたプライバシー制約を満たす開示ポリシーを同時に計算する共同合成手法を開発すること。
• 観察者の知識を最悪ケース推論モデルでモデル化し、悪意ある観察者ですら機密情報を特定できないようにすること。
• 小規模な問題に対して本手法を実装・評価し、計算量の高さにもかかわらず実現可能性を示すこと。

提案手法

• エッジに行動と観察がラベル付けされたプロクラステアン・グラフを用いて計画問題を形式化し、開示ポリシーはエッジラベル上の部分的ラベル写像としてモデル化する。
• 観察者の履歴に基づいてロボットの状態を推定する最悪ケース観察者モデルを導入し、観察者が推論できる範囲を制限することでプライバシーを確保する。
• 安全な観察パーティションを用いたプルーニングにより、計画とポリシーの組み合わせを探索するハイブリッドかつ–または探索アルゴリズムを用いる。
• 再帰的木拡張戦略を採用：行動頂点はすべての可能な行動選択と観察パーティションを考慮して拡張され、観察頂点は可能なラベル写像に基づいて拡張される。
• 行動と観察をグループ化する写像として開示ポリシーを計算し、機密な区別（例：施設の種別）が観察者に判別できないようにする。
• Pythonでアルゴリズムを実装し、カスタム探索とnuXmvによるモデル検査を用いて比較検証した。

実験結果

リサーチクエスチョン

• RQ1 観察者が行動と観察を観測しても、施設の種別のような機密情報が推測できないように、ロボットをタスクを遂行させることが可能か？
• RQ2 ロボットが目標を達成しつつプライバシー制約を満たすために、計画と開示ポリシーをどのように共同で合成できるか？
• RQ3 このようなプライバシー制約付き計画問題を解く際の計算量的複雑性は何か？問題サイズに伴いどのようにスケーリングするか？
• RQ4 観察者の事前知識（例：ロボットの計画を把握していること）は、開示ポリシーの実現可能性と設計にどのように影響するか？
• RQ5 核施設点検のような現実的だが小規模なシナリオにおいて、本手法は効果的に実装・検証可能か？

主な発見

• 提案手法は、核施設点検シナリオにおいて、施設の種別を露呈せずに放射能レベルを特定する必要がある状況でも、プライバシー制約を満たす計画と開示ポリシーのペアを効果的に計算できた。
• 核施設点検タスクにおいて、かつ–または探索アルゴリズムは11秒で有効な解を発見したが、CTLベースのアプローチは24秒かかった（ただし、短い計画を優先）。
• より小さな五角形の世界では、Seek x,λ問題の解が得られ、ロボットは少なくとも1回以上ループして位置を隠蔽した。開示ポリシーは行動と観察をグループ化し、状態の区別を隠蔽した。
• 開示ポリシーは h(a₂) = h(a₃) および h(o₁) = h(o₃) となるように設計され、観察者が異なる経路や状態を区別できないようにした。
• 計算量の複雑性は高く、深さdに対して O(2^{d|U||V|}) の上限を持つ。これは、行動選択肢と観察パーティションの指数的増加に起因する。
• 実装により、小規模なインスタンスにおいて本手法の実現可能性が確認されたが、スケーラビリティは依然として大きな課題であり、今後の研究ではヒューリスティックまたはコストに配慮した拡張が必要であると示唆された。