[論文レビュー] Output Reachable Set Estimation and Verification for Multi-Layer Neural Networks

Weiming Xiang, Hoang-Dung Tran+1 more|arXiv (Cornell University)|Aug 9, 2017

Adversarial Robustness in Machine Learning参考文献 24被引用数 34

ひとこと要約

本稿では、単調な活性化関数を備えた多層パーセプトロン（MLP）の出力到達可能集合推定および安全性検証のためのシミュレーションベースの手法を提案する。最大感度をレイヤー単位の凸最適化問題として導入することで、入力の離散化と到達チューブ構築を用いて出力集合の過剰近似が可能となり、活性化関数の近似や入力範囲の制限なしに健全な安全性検証が実現できる。

ABSTRACT

In this paper, the output reachable estimation and safety verification problems for multi-layer perceptron neural networks are addressed. First, a conception called maximum sensitivity in introduced and, for a class of multi-layer perceptrons whose activation functions are monotonic functions, the maximum sensitivity can be computed via solving convex optimization problems. Then, using a simulation-based method, the output reachable set estimation problem for neural networks is formulated into a chain of optimization problems. Finally, an automated safety verification is developed based on the output reachable set estimation result. An application to the safety verification for a robotic arm model with two joints is presented to show the effectiveness of proposed approaches.

研究の動機と目的

• 非凸かつ非線形な構造のためしばしばブラックボックスと見なされる多層パーセプトロン（MLP）における安全性特性の検証の課題に対処すること。
• 特定の活性化関数（例：ReLU）に依存するか、非線形性の近似に依存する既存の検証手法の限界を克服すること。
• 単調性を満たす限り、広範な活性化関数クラスに適用可能な汎用的な検証フレームワークの構築。
• 孤立した点ではなく連続的な入力領域における安全性検証を可能にし、実世界の応用におけるロバストネス分析を支援すること。
• SMTソルバーやラプラウス安定性解析に依存せずに、シミュレーションと最適化を用いたスケーラブルで自動化された安全性検証手法の提供。

提案手法

• 入力摂動が及ぼす最大出力偏差を定量化するための最大感度の概念を導入し、各レイヤーごとに凸最適化問題として定式化する。
• 活性化関数の単調性を活用することで、凸最適化を用いてレイヤー単位で最大感度を逐次計算する。
• ユーザーが定義する半径δのグリッドにより入力空間を離散化し、有限のシミュレーションを実行して出力到達可能集合を到達チューブの和集合として推定する。
• 最大感度値を用いて各レイヤーを通過する際の境界を伝搬させることで、出力集合の過剰近似を構築する。
• 推定された到達可能集合が不安全領域と交差するかをチェックすることで安全性検証を実行する。
• 到達可能集合推定と安全性チェックを統合した1つのパイプラインとしての自動検証関数（SafetyVeri）を実装する。

実験結果

リサーチクエスチョン

• RQ1 単調な活性化関数を備えたMLPの出力到達可能集合は、シミュレーションベースの手法を用いて効率的かつ健全に推定可能か？
• RQ2 最大感度は、多層パーセプトロンの各レイヤーに対してどのように形式的に定義され、計算可能か？これによりスケーラブルな到達可能性解析が可能か？
• RQ3 本手法は、SMTソルバーや活性化関数の近似に依存せずに、連続的な入力領域における安全性特性をどの程度まで検証可能か？
• RQ4 入力離散化の半径δの選択が、安全性検証の正確さと健全性にどのように影響するか？
• RQ5 本手法は、ロボットアームのような実世界の制御系に効果的に適用可能か？入力の不確実性下でも安全性を保証できるか？

主な発見

• 単調な活性化関数を備えたMLPにおける各レイヤーの最大感度は、凸最適化により計算可能であり、効率的かつスケーラブルな解析が可能である。
• 入力空間の離散化と各グリッド点における最大感度の計算により、出力到達可能集合が推定され、その結果として真の出力集合を過剰近似する到達チューブの和集合が得られる。
• 推定された到達可能集合が不安全領域と交差するかをチェックすることで安全性検証が達成され、交差がなければMLPは安全であると検証される。
• 十分に小さな離散化半径δ = 0.02を用いることで、2ジョイントのロボットアーム用MLPモデルの安全性が正常に検証されたが、δ = 0.05では安全性を結論づけるには不十分であった。
• 本手法は汎用的であり、活性化関数の近似や入力集合の制限を必要とせず、ReLU、シグモイド、tanhを含む広範な活性化関数に適用可能である。
• 数値結果から、5000回のシミュレーションでは安全性を保証できないことが示されたが、本手法は十分に細かい離散化がなされれば、健全で自動化された検証フレームワークを提供し、安全性を明確に証明可能である。