[논문 리뷰] PrivateSNN: Fully Privacy-Preserving Spiking Neural Networks.

Youngeun Kim, Yeshwanth Venkatesha외 1명|arXiv (Cornell University)|2021. 04. 07.

Advanced Memory and Neural Computing참고 문헌 36인용 수 7

한 줄 요약

PrivateSNN는 학습 데이터나 클래스 정보 泄露 없이 사전 훈련된 인공신경망(ANN)을 에너지 효율적인 스파iking 신경망(SNN)으로 변환할 수 있는 완전한 프라이버시 보장 방법을 제안한다. 변환 과정에서 실제 데이터에 대한 직접 접근을 피하기 위해 합성 데이터를 생성하고, SNN 가중치를 암호화하기 위해 시간에 따라 변화하는 스파이크 기반 학습 규칙을 적용함으로써, 정확도 저하가 5% 이내로 거의 동일한 성능를 달성하고, 표준 ANN 대비 최대 60배의 에너지 효율 향상을 이룬다. 이는 데이터 및 클래스 泄露를 방지한다.

ABSTRACT

How can we bring both privacy and energy-efficiency to a neural system on edge devices? In this paper, we propose PrivateSNN, which aims to build low-power Spiking Neural Networks (SNNs) from a pre-trained ANN model without leaking sensitive information contained in a dataset. Here, we tackle two types of leakage problems: 1) Data leakage caused when the networks access real training data during an ANN-SNN conversion process. 2) Class leakage is the concept of leakage caused when class-related features can be reconstructed from network parameters. In order to address the data leakage issue, we generate synthetic images from the pre-trained ANNs and convert ANNs to SNNs using generated images. However, converted SNNs are still vulnerable with respect to the class leakage since the weight parameters have the same (or scaled) value with respect to ANN parameters. Therefore, we encrypt SNN weights by training SNNs with a temporal spike-based learning rule. Updating weight parameters with temporal data makes networks difficult to be interpreted in the spatial domain. We observe that the encrypted PrivateSNN can be implemented not only without the huge performance drop (less than ~5%) but also with significant energy-efficiency gain (about x60 compared to the standard ANN). We conduct extensive experiments on various datasets including CIFAR10, CIFAR100, and TinyImageNet, highlighting the importance of privacy-preserving SNN training.

연구 동기 및 목표

• 사전 훈련된 ANN를 SNN로 변환하는 과정에서 실제 훈련 데이터 접근으로 인한 프라이버시 泄露 문제를 해결한다.
• 클래스 관련 특징이 SNN 가중치 매개변수로부터 재구성될 수 있는 클래스 泄露 문제를 완화한다.
• SNN가 지닌 고유한 에너지 효율성을 유지하면서도 엣지 장치에서 강력한 프라이버시 보장을 확보한다.
• 자원 제약이 있는 엣지 시스템에 안전하게 SNN를 구현할 수 있는 방법을 개발한다. 이는 모델 성능이나 프라이버시를 훼손하지 않는다.

제안 방법

• ANN-에서-SNN로의 변환 과정에서 실제 훈련 데이터 대신 사전 훈련된 ANN에서 유도한 합성 이미지를 생성하여 민감한 데이터에 대한 직접 접근을 제거한다.
• 합성 데이터를 사용해 사전 훈련된 ANN를 SNN로 변환함으로써, 기능적 성능를 유지하면서도 데이터 泄露를 방지한다.
• 시간에 따라 변화하는 스파이크 기반 학습 규칙을 적용해 SNN를 재학습함으로써, 가중치 매개변수의 공간적 해석 가능성을 낮추고 클래스 재구성 가능성을 차단한다.
• 시간에 따라 변화하는 가중치 업데이트를 통해 네트워크 매개변수를 공간 도메인에서 해석하기 어려운 방식으로 변형함으로써 클래스 泄루를 방지한다.
• 시간 동적 특성을 갖는 학습을 통해 가중치 값이 원래 ANN 가중치와 직접적인 상관관계를 가지지 않도록 하여 프라이버시를 강화한다.
• 최종적으로 성능 저하를 최소화하고 에너지 효율 향상을 크게 확보한 PrivateSNN 모델을 구현한다.

실험 결과

연구 질문

• RQ1 실제 훈련 데이터를 합성 데이터로 대체함으로써 ANN-에서-SNN로의 변환 과정에서 데이터 泄루를 완전히 제거할 수 있는가?
• RQ2 사전 훈련된 ANN 가중치에서 파생된 SNN 가중치에서 클래스 泄루는 어느 정도 방지될 수 있는가?
• RQ3 시간에 따라 변화하는 스파이크 기반 학습 규칙은 SNN 가중치의 공간적 해석 가능성을 얼마나 효과적으로 은폐하고 프라이버시를 향상시키는가?
• RQ4 엣지 장치에 배포된 SNN에서 프라이버시, 에너지 효율성, 모델 정확도 간의 상호 갈등은 어떻게 발생하는가?
• RQ5 PrivateSNN는 다양한 데이터셋에서 높은 성능를 유지하면서도 상당한 에너지 절감과 강력한 프라이버시 보장을 동시에 달성할 수 있는가?

주요 결과

• PrivateSNN는 CIFAR10, CIFAR100, TinyImageNet를 포함한 여러 데이터셋에서 원본 ANN 대비 정확도 저하가 5% 이내로 매우 낮게 유지된다.
• 기존 표준 ANN 대비 최대 60배의 에너지 효율 향상을 달성하며, SNN가 지닌 본질적 저전력 특성을 활용한다.
• 변환 과정에서의 합성 데이터 생성은 실제 훈련 데이터에 대한 직접 접근을 제거함으로써 데이터 泄루를 성공적으로 방지한다.
• 시간에 따라 변화하는 스파이크 기반 가중치 학습은 SNN 매개변수의 공간적 해석 가능성을 효과적으로 저해하여 클래스 泄루 위험을 크게 감소시킨다.
• 암호화된 SNN 가중치는 기존에 존재하는 파라미터 분포에서 클래스 관련 특징을 추출할 수 있는 재구성 공격에 저항성이 있다.
• PrivateSNN는 다양한 벤치마크 데이터셋에서 높은 성능와 강력한 프라이버시를 유지하며, 강건성과 일반화 능력을 입증한다.