[論文レビュー] Sound and Complete Neural Network Repair with Minimality and Locality Guarantees

Feisi Fu, Wenchao Li|arXiv (Cornell University)|Oct 14, 2021

Adversarial Robustness in Machine Learning参考文献 21被引用数 7

ひとこと要約

本稿では、バグのある入力の線形領域に特化したパッチネットワークを構築することで、最小限で局所的な関数空間の変更を保証する、ReLUネットワーク向けの健全かつ完全なニューラルネットワーク修復手法REASSUREを提案する。この手法は、バグのある入力に対して正しく修正を加える一方で、他のすべての入力に対しては元の動作を維持し、既存手法に比べて局所性と副作用の最小化において優れている。

ABSTRACT

We present a novel methodology for repairing neural networks that use ReLU activation functions. Unlike existing methods that rely on modifying the weights of a neural network which can induce a global change in the function space, our approach applies only a localized change in the function space while still guaranteeing the removal of the buggy behavior. By leveraging the piecewise linear nature of ReLU networks, our approach can efficiently construct a patch network tailored to the linear region where the buggy input resides, which when combined with the original network, provably corrects the behavior on the buggy input. Our method is both sound and complete -- the repaired network is guaranteed to fix the buggy input, and a patch is guaranteed to be found for any buggy input. Moreover, our approach preserves the continuous piecewise linear nature of ReLU networks, automatically generalizes the repair to all the points including other undetected buggy inputs inside the repair region, is minimal in terms of changes in the function space, and guarantees that outputs on inputs away from the repair region are unaltered. On several benchmarks, we show that our approach significantly outperforms existing methods in terms of locality and limiting negative side effects. Our code is available on GitHub: https://github.com/BU-DEPEND-Lab/REASSURE.

研究の動機と目的

• 既存のニューラルネットワーク修復手法に形式的保証が欠けていること、特にバグのない入力における正しい動作の維持が不十分であることを是正すること。
• バグのある入力が含まれる線形領域に限定して関数空間への変更を制限する修復手法の開発。
• 修復が健全（バグのある入力を正しく修正）かつ完全（任意のバグのある入力に対して修復が存在）であることを保証すること。
• 修復領域外のすべての入力について、元のネットワークの性能を維持し、壊滅的忘却や意図しない副作用を避けること。
• 再訓練や元の学習データへのアクセスを必要とせず、効率的かつスケーラブルな修復を可能とすること。

提案手法

• ReLUネットワークの連続的区分線形（CPWL）性質を活用し、各バグのある入力が属する線形領域を特定する。
• バグのある入力の線形領域に特化したパッチネットワークを構築し、ReLUネットワークの活性化パターンから導出された線形制約を用いる。
• パッチネットワークと元のネットワークを重み付き和で結合することで、バグのある入力に対して出力が証明可能に正しいことを保証する。
• 線形計画法を用いてパッチネットワークを合成することで、関数空間における変更を最小限に抑え、修復領域外の入力の出力を維持する。
• ポイントワイズ修復とエリアワイズ修復をサポートし、パrameterオーバーヘッドを低減するためのオプションとして特徴空間修復を提供する。
• マックスプーリング層をReLUベースの線形演算に表現することで、一般のCPWLネットワーク（CNNなど）にも適用可能となる。

実験結果

リサーチクエスチョン

• RQ1 再訓練を必要とせず、バグのある入力を正しく修正する際に健全性と完全性を保証できるニューラルネットワーク修復手法は可能か？
• RQ2 関数空間への修復をどの程度局所化できるか、バグのない入力への意図しない副作用を最小限に抑えるにはどうすればよいか？
• RQ3 関数空間への変更を最小限に抑えつつ、元のネットワークの動作を維持できる修復プロセスは実現可能か？
• RQ4 同じ線形領域内にある他の入力へも、修復がどの程度一般化可能か？
• RQ5 高次元入力空間において、修復のパrameterオーバーヘッドは既存アーキテクチャと比較してどの程度か？

主な発見

• REASSUREは健全性と完全性を保証する：すべてのバグのある入力が修復可能であり、有効なパッチが常に構築可能である。
• バグのある入力の線形領域内の関数空間のみを変更することで、局所性を確保し、他のすべての入力は変更されない。
• ImageNetベンチマークでは、検証データで平均 $L_{∞}$ 範囲差が0.0015にとどまり、82.5%の精度を達成。再訓練やファインチューニングに比べ、精度と副作用制御の両面で優れている。
• ポイントワイズ修復では、特徴空間修復を用いることで平均で500kの新しいパラメータしか追加せず、入力空間修復の0.1%にとどまる。これは顕著な効率性の向上を示している。
• HCASベンチマークでは、1つの修復領域あたりの制約数が平均3.28にまで減少（元の125の3%に相当）し、重複する制約の削除によってパラメータオーバーヘッドを最小化した。
• 非バグ入力における $L_{∞}$ および $L_{2}$ 範囲差の観点で、REASSUREはPRDNNおよびファインチューニングを上回り、より優れた局所性と耐性を示している。