[논문 리뷰] Noisy Computations during Inference: Harmful or Helpful?

Minghai Qin, Dejan Vučinić|arXiv (Cornell University)|2018. 11. 26.

Adversarial Robustness in Machine Learning참고 문헌 23인용 수 5

한 줄 요약

이 논문은 신경망의 하드웨어 유도 인fer 노이즈와 블랙박스 적대적 공격에 대한 강건성을 향상시키기 위해 노이즈 주입 훈련 및 추론 투표 기법을 제안한다. 노이즈가 있는 MNIST 추론에서 거의 완벽한 정확도(최대 99.5%)를 달성하고, 추론 중 다중 노이즈를 적용함으로써 적대적 강건성을 0.5–1.13% 향상시켜, 노이즈가 딥 러닝 시스템에서 유익하게 활용될 수 있음을 보여준다.

ABSTRACT

We study two aspects of noisy computations during inference. The first aspect is how to mitigate their side effects for naturally trained deep learning systems. One of the motivations for looking into this problem is to reduce the high power cost of conventional computing of neural networks through the use of analog neuromorphic circuits. Traditional GPU/CPU-centered deep learning architectures exhibit bottlenecks in power-restricted applications (e.g., embedded systems). The use of specialized neuromorphic circuits, where analog signals passed through memory-cell arrays are sensed to accomplish matrix-vector multiplications, promises large power savings and speed gains but brings with it the problems of limited precision of computations and unavoidable analog noise. We manage to improve inference accuracy from 21.1% to 99.5% for MNIST images, from 29.9% to 89.1% for CIFAR10, and from 15.5% to 89.6% for MNIST stroke sequences with the presence of strong noise (with signal-to-noise power ratio being 0 dB) by noise-injected training and a voting method. This observation promises neural networks that are insensitive to inference noise, which reduces the quality requirements on neuromorphic circuits and is crucial for their practical usage. The second aspect is how to utilize the noisy inference as a defensive architecture against black-box adversarial attacks. During inference, by injecting proper noise to signals in the neural networks, the robustness of adversarially-trained neural networks against black-box attacks has been further enhanced by 0.5% and 1.13% for two adversarially trained models for MNIST and CIFAR10, respectively.

연구 동기 및 목표

• 신경형 추론에서의 노이즈 유도 손상 효과를 줄이기 위해, 특히 저전력 임베디드 시스템에서의 적용을 목적으로 한다.
• 노이즈가 있는 추론이 블랙박스 적대적 공격에 대한 강건성을 향상시킬 수 있는지 탐색한다.
• 노이즈에 강건한 네트워크를 훈련시켜 신경형 하드웨어의 정밀도와 전력 소모 요구 사항을 줄인다.
• 지연 시간이나 전력 오버헤드 없이 강한 아날로그 노이즈 조건에서도 신경망 성능을 향상시키는 알고리즘적 해결책을 개발한다.

제안 방법

• 노이즈 주입 훈련: 백프로파게이션 중 표준편차 σ를 가진 곱셈 노이즈를 활성화에 추가하여 추론 노이즈를 시뮬레이션한다.
• 투표 기반 추론: 입력당 여러 번의 노이즈가 포함된 전방 전파를 수행하고, 다수결 예측을 취해 강건성을 향상시킨다.
• 곱셈 노이즈 모델: 노이즈는 x' = x × (1 + ε)로 적용되며, 여기서 ε ~ N(0, σ²)로 아날로그 회로의 변동성을 시뮬레이션한다.
• 적대적 훈련 설정: 두 개의 별도 네트워크를 훈련시는데, 하나는 적대적 예제를 생성하기 위한 (NN_adv), 다른 하나는 강건성을 검증하기 위한 (NN_val) 것으로, NN_val에서 추론 시 노이즈를 주입한다.
• 블랙박스 공격 평가: 반복적 FGSM과 PGD, 그리고 여러 번의 재시작을 사용하여, 노이즈가 있는가 없는가에 관계없이 네트워크 간 적대적 예제의 전이 가능성을 테스트한다.
• 정량적 비교: 노이즈 수준(σ ∈ [0.0, 0.4])을 다양하게 설정하여 정확도를 측정함으로써 노이즈와 강건성 간의 트레이드오���을 평가한다.

실험 결과

연구 질문

• RQ1 노이즈 주입 훈련과 투표 기반 추론이 뉴로모픽 하드웨어에서 강한 노이즈 조건 하에서도 정확도를 크게 향상시킬 수 있는가?
• RQ2 추론 중 노이즈를 도입하면 뉴로모픽 회로에서 고정밀도 아날로그 구성 요소의 필요성을 줄일 수 있는가?
• RQ3 노이즈가 있는 추론이 적대적으로 훈련된 네트워크의 블랙박스 적대적 공격에 대한 강건성을 향상시킬 수 있는가?
• RQ4 전이 가능한 적대적 예제에 대한 방어를 최대화하는 최적의 추론 노이즈 수준은 무엇인가?
• RQ5 피해자 네트워크가 노이즈가 있는 추론을 사용할 경우, 적대적 예제의 전이 가능성은 어떻게 변화하는가?

주요 결과

• 노이즈 주입 훈련과 투표 기반 추론을 조합함으로써, 강한 노이즈 조건(SNR = 0 dB) 하에서 MNIST 추론 정확도가 21.1%에서 99.5%로 향상되어 하드웨어 노이즈에 대한 높은 강건성을 입증했다.
• CIFAR10에서도 동일한 노이즈 조건에서 정확도가 29.9%에서 89.1%로 상승하여 다양한 데이터셋에 대한 일반화 능력을 입증했다.
• MNIST 스트로크 시퀀스에서는 정확도가 15.5%에서 89.6%로 상승하여 순차적 데이터에 대한 효과를 확인했다.
• 낮은~중간 수준의 노이즈(σ ≤ 0.4) 조건에서, 노이즈 주입 훈련만으로도 MNIST에서 정확도가 95.8%에서 99.4%로 향상되었으며, 추가 지연 또는 전력 비용 없이 이루어졌다.
• 노이즈가 있는 추론은 적대적으로 훈련된 모델에서 MNIST에서 0.5%, CIFAR10에서 1.13%의 적대적 강건성을 향상시켜, 블랙박스 공격에 대한 방어 성능 향상을 시사했다.
• 최적의 노이즈 수준은 MNIST의 경우 σ = 0.2, CIFAR10의 경우 σ = 0.1였으며, 이를 초과하면 과도한 노이즈로 인해 성능이 저하되었다.