[論文レビュー] Specification-Guided Safety Verification for Feedforward Neural Networks

Weiming Xiang, Hoang-Dung Tran+1 more|arXiv (Cornell University)|Dec 14, 2018

Adversarial Robustness in Machine Learning参考文献 11被引用数 10

ひとこと要約

この論文は、一般の活性化関数を備えたフィードフォワードニューラルネットワークの仕様誘導型安全検証手法を提案する。区間解析を活用して出力区間を効率的に計算し、安全仕様を用いて二分法の意思決定を誘導することで、計算コストを低減する。先行研究と比較して、ロボットアーム制御およびMNIST画像分類タスクで最大93–97%の計算削減を達成した。

ABSTRACT

This paper presents a specification-guided safety verification method for feedforward neural networks with general activation functions. As such feedforward networks are memoryless, they can be abstractly represented as mathematical functions, and the reachability analysis of the neural network amounts to interval analysis problems. In the framework of interval analysis, a computationally efficient formula which can quickly compute the output interval sets of a neural network is developed. Then, a specification-guided reachability algorithm is developed. Specifically, the bisection process in the verification algorithm is completely guided by a given safety specification. Due to the employment of the safety specification, unnecessary computations are avoided and thus the computational cost can be reduced significantly. Experiments show that the proposed method enjoys much more efficiency in safety verification with significantly less computational cost.

研究の動機と目的

• 一般の活性化関数を備えたフィードフォワードニューラルネットワークにおける形式的で安全な検証手法の欠如に対処すること。
• 安全仕様を用いて二分法プロセスを誘導することで、既存の検証手法の高い計算コストを低減すること。
• フィードフォワードネットワークの出力集合に対する計算的に効率的な区間計算式を開発すること。
• ロボット制御や画像認識などの実世界の応用にスケーラブルな安全検証を可能にすること。
• 敵対的ロバストネス保証のもとで、制御システムおよび画像分類タスクの両方で本手法の有効性を実証すること。

提案手法

• ニューラルネットワークの出力を区間集合として表現する区間算術の枠組み内で、安全検証問題を定式化する。
• レイヤー単位での区間伝播を通じて、出力区間集合の高速計算に適した計算的に効率的な式を構築する。
• 計算された出力区間と不安全領域との交差に基づいて、二分法の意思決定を決定する仕様誘導型二分法アルゴリズムを導入する。
• 安全仕様を用いて不要な分割をプルーニングし、冗長な計算を回避することで効率性を向上させる。
• 出力区間が不安全集合と交差する領域のみを再帰的に精錬する。
• 区間算術と区分線形近似を用いて、ReLUや特定の非線形性に制限されない一般の活性化関数を扱う。

実験結果

リサーチクエスチョン

• RQ1 仕様誘導型アプローチは、一般の活性化関数を備えたフィードフォワードニューラルネットワークの安全検証における計算コストを顕著に低減できるか？
• RQ2 本手法は、ロボットアームのような実世界の制御システムにおける安全特性の検証にどの程度有効か？
• RQ3 画像分類タスクにおいて、敵対的摂動に対する耐性をどの程度検証できるか？
• RQ4 本手法は、大規模なネットワークに対しても形式的保証を維持しながら、計算オーバーヘッドを低く保てるか？
• RQ5 従来の非誘導型検証と比較して、仕様誘導型二分法戦略は、効率性と正確性の面でどの程度優れているか？

主な発見

• 提案手法は、[3]のベースライン手法と比較して計算コストをわずか3–7%にまで低減し、計算時間で最大93%の削減を達成した。
• ロボットアームの安全検証タスクでは、ベースライン手法が729個の入力区間を必要としたのに対し、本手法ではわずか15個の入力区間で安全を証明できた。
• 訓練済みMNIST分類器が、画像の左上隅における3×3の摂動すべてに対してロバストであることを検証し、97.5%の精度を維持した。
• 一方で、同じ位置における4×4の摂動に対してはネットワークが非ロバストであることが判明し、本手法が脆弱性を検出できる能力を確認した。
• ロボットアームケースでは、本手法がたった0.27秒で検証を完了し、高い効率性を示した。
• 本手法は、3×3の摂動下で5000枚すべてのMNISTテスト画像についてロバストネスを正当化でき、データセット全体にわたる一般化能力を確認した。