[論文レビュー] PrivateSNN: Privacy-Preserving Spiking Neural Networks

Youngeun Kim, Yeshwanth Venkatesha+1 more|arXiv (Cornell University)|Apr 7, 2021

Advanced Memory and Neural Computing被引用数 5

ひとこと要約

PrivateSNN は、機密的なトレーニングデータやクラス情報を露呈せずに、事前学習済みの人工ニューラルネットワーク（ANN）をエネルギー効率の高いスパイクニューラルネットワーク（SNN）に変換するプライバシー保護フレームワークを提案する。データフリー変換と合成データ生成を用い、時間的スパイクベースの学習を適用してSNN重みを暗号化することで、元のANNとほぼ同等の精度（約2%以内の低下）と標準ANN比55倍のエネルギー効率向上を達成するとともに、データおよびクラス漏洩のリスクを排除する。

ABSTRACT

How can we bring both privacy and energy-efficiency to a neural system? In this paper, we propose PrivateSNN, which aims to build low-power Spiking Neural Networks (SNNs) from a pre-trained ANN model without leaking sensitive information contained in a dataset. Here, we tackle two types of leakage problems: 1) Data leakage is caused when the networks access real training data during an ANN-SNN conversion process. 2) Class leakage is caused when class-related features can be reconstructed from network parameters. In order to address the data leakage issue, we generate synthetic images from the pre-trained ANNs and convert ANNs to SNNs using the generated images. However, converted SNNs remain vulnerable to class leakage since the weight parameters have the same (or scaled) value with respect to ANN parameters. Therefore, we encrypt SNN weights by training SNNs with a temporal spike-based learning rule. Updating weight parameters with temporal data makes SNNs difficult to be interpreted in the spatial domain. We observe that the encrypted PrivateSNN eliminates data and class leakage issues with a slight performance drop (less than ~2) and significant energy-efficiency gain (about 55x) compared to the standard ANN. We conduct extensive experiments on various datasets including CIFAR10, CIFAR100, and TinyImageNet, highlighting the importance of privacy-preserving SNN training.

研究の動機と目的

• 実際のトレーニングデータが変換中にアクセスされる場合のANNからSNNへの変換におけるプライバシー脆弱性、特にデータ漏洩を是正すること。
• 勾配ベースの手法を用いてSNNパラメータからクラス固有の特徴を再構築可能なクラス漏洩を軽減すること。
• リソース制限のあるエッジ環境においても、プライバシー保護変換を施しても高いモデル精度とエネルギー効率を維持すること。
• 元のトレーニングデータへのアクセスを一切不要とする安全でデータフリーのSNN変換パイプラインの開発

提案手法

• 変換中に本物のトレーニングデータを必要としないため、データ漏洩を防止するため、事前学習済みANNから合成トレーニングデータを生成する。
• SNN重みを暗号化するために時間的スパイクベースの学習ルールを適用し、非微分可能なスパイク活性化のため、空間ドメインで解釈が困難になるようにする。
• 事前学習済みANNからの知識蒸留を用いて、最小限の本物データでSNN学習を安定化させ、小規模データセットでも頑健な性能を達成する。
• スパイクLIFニューロンを用いた時間軸を跨ぐバックプロパゲーションによりSNNを学習させ、正確な勾配計算を防ぎ、空間ドメインでの再構築を阻害する。
• スパイクベース計算の固有のスパarsityを活用して、層全体でスパイクレートを低く抑える最適化により、エネルギー効率を向上させる。
• 三段階パイプライン（データフリー変換（DC）、クラス暗号化学習（CET）、出力蒸留（OD））を適用し、プライバシー、精度、効率のバランスを図る。

実験結果

リサーチクエスチョン

• RQ1 元のトレーニングデータセットにアクセスせずに、ANNからSNNへの変換中にデータ漏洩を完全に排除できるか？
• RQ2 時間的スパイクベースの学習は、勾配逆転攻撃によるクラス漏洩をどの程度防止できるか？
• RQ3 合成データ生成とスパイクベース重み暗号化の組み合わせが、モデルの精度およびエネルギー効率にどのような影響を与えるか？
• RQ4 知識蒸留は、暗号化段階で最小限の本物データで安定的かつ正確なSNN学習を可能にするか？
• RQ5 標準ANNと比較して、SNNにおけるプライバシー、精度、エネルギー効率のトレードオフはいかなるものか？

主な発見

• PrivateSNN は、合成データ生成により変換中に本物のトレーニングデータへのアクセスを完全に排除することで、データ漏洩を低減した。
• 時間的スパイクベースの学習の適用により、クラス漏洩が効果的に防止された。具体的には、攻撃シナリオ1における高いFrechet Inception Distance（FID）スコア（例：448.2）が、生成画像と本物のクラス画像との間で特徴の類似度が極めて低いことを示しており、類似性がほとんどないことを裏付けている。
• VGG16-CIFAR10において、標準ANN比55.8倍のエネルギー効率向上を達成した。推論時のエネルギー消費は、両方のANNおよび標準SNN変換手法よりも顕著に低かった。
• 高い精度を維持しており、元のANNと比較して約2%の性能低下にとどまり、CIFAR10ではトップ1正解率89.2%を達成した。
• 勾配ベースの再構築攻撃（攻撃シナリオ1）および勾配近似攻撃（攻撃シナリオ2）の両方に対して、暗号化されたSNNは視覚化において有意義なクラス特徴の回復を示さなかったため、強力な耐性を示した。
• CIFAR10、CIFAR100、TinyImageNetを含む複数のデータセットで、強力なプライバシー保証を示し、汎用性が検証された。