[論文レビュー] PDA: Progressive Data Augmentation for General Robustness of Deep Neural Networks

Hang Yu, Aishan Liu+6 more|arXiv (Cornell University)|Sep 11, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用数 9

ひとこと要約

本論文は、訓練中に段階的に多様な adversarial ノイズを注入することで、深層ニューラルネットワークのロバストネスを向上させる Progressive Data Augmentation (PDA) を提案する。PDA は、CIFAR-10-C および ImageNet-C において、従来手法と比較してクリーンな正確度を約 3% 向上させ、平均 Corruption Error (mCE) を約 10% 減少させることで、敵対的攻撃および汚染一般化の両面で最先端の性能を達成する。

ABSTRACT

Adversarial images are designed to mislead deep neural networks (DNNs), attracting great attention in recent years. Although several defense strategies achieved encouraging robustness against adversarial samples, most of them fail to improve the robustness on common corruptions such as noise, blur, and weather/digital effects (e.g. frost, pixelate). To address this problem, we propose a simple yet effective method, named Progressive Data Augmentation (PDA), which enables general robustness of DNNs by progressively injecting diverse adversarial noises during training. In other words, DNNs trained with PDA are able to obtain more robustness against both adversarial attacks as well as common corruptions than the recent state-of-the-art methods. We also find that PDA is more efficient than prior arts and able to prevent accuracy drop on clean samples without being attacked. Furthermore, we theoretically show that PDA can control the perturbation bound and guarantee better generalization ability than existing work. Extensive experiments on many benchmarks such as CIFAR-10, SVHN, and ImageNet demonstrate that PDA significantly outperforms its counterparts in various experimental setups.

研究の動機と目的

• 敵対的攻撃と一般的な画像汚染（例：ぼやけ、ノイズ、天候効果）の両方に対する防御のギャップを埋める統合フレームワークを提供すること。
• クリーンな正確度を犠牲にしてロバストネスを得るという従来の防御手法の限界を克服し、汚染タイプの間で一般化できない問題を解消すること。
• 多様な摂動に対して高いクリーンな正確度を維持しながら、ロバストネスを向上させる訓練戦略を開発すること。
• PDA が摂動の境界を制御し、従来のデータ拡張手法と比較して一般化性能を向上させることを示す理論的分析。

提案手法

• 反復的摂動ステップを用いて、訓練中に段階的に多様な adversarial ノイズを生成・注入する。
• 複数の方向にわたるノイズサンプルを段階的に集約・注入する戦略を採用し、データの多様性を向上させる。
• 勾配の遮断問題を避けるために、標準的な adversarial training に adversarial ノイズ注入を統合する。
• 周波数ベースの分析を用いて、さまざまな空間周波数におけるロバストネスを評価する。
• クリーン、敵対的、汚染済みのサンプルを組み合わせた混合テストプロトコルを適用し、一般化能力を公平に評価する。
• 勾配の可視化により、人間の視覚認識と整合しているかどうかを評価し、ロバストネスの向上を示す。

実験結果

リサーチクエスチョン

• RQ1 統合的なデータ拡張戦略は、敵対的攻撃および一般的な画像汚染の両方に対するロバストネスを向上させることができるか？
• RQ2 訓練中に段階的なノイズ注入を実施することで、クリーンな正確度を損なうことなくモデルの一般化性能が向上するか？
• RQ3 PDA は、多様な汚染タイプおよび敵対的攻撃において、PGD や GDA と比較してどの程度ロバストネスに優れているか？
• RQ4 PDA は、モデルの勾配が人間の視覚認識とどの程度整合しているか、すなわち知覚的ロバストネスがどの程度向上するか？
• RQ5 ロバストネス、正確度、計算コストのバランスを最適化するための段階的イテレーションの最適数は何か？

主な発見

• CIFAR-10 において、PDA は PGD と同等の敵対的ロバストネスを維持しながら、約 3% の高いクリーンな正確度を達成する。
• CIFAR-10-C および ImageNet-C において、PDA は GDA と比較して平均 Corruption Error (mCE) を約 10% 減少させる。
• クリーン、敵対的、汚染済みの画像を組み合わせた混合テストシナリオにおいて、CIFAR-10 で 80.48% の正確度を達成し、PGD や GDA を上回る。
• PDA で訓練されたモデルは、人間の視覚認識と最も高い勾配整合性を示し、知覚的ロバストネスの向上を示している。
• 最適な段階的イテレーション数は k=3 であり、ロバストネス、正確度、訓練効率のバランスを最適に保つ。
• 理論的分析により、PDA が摂動の境界を制御し、既存の手法と比較して一般化性能を向上させることを確認した。