[논문 리뷰] PrivateSNN: Privacy-Preserving Spiking Neural Networks

Youngeun Kim, Yeshwanth Venkatesha외 1명|arXiv (Cornell University)|2021. 04. 07.

Advanced Memory and Neural Computing인용 수 5

한 줄 요약

PrivateSNN는 민감한 훈련 데이터나 클래스 정보를暴露하지 않으면서 사전 훈련된 인공신경망(ANN)을 에너지 효율적인 스파iking 신경망(SNN)으로 변환하기 위한 개인정보 보호 프레임워크를 제안한다. 데이터 없는 변환 기반으로 합성 데이터 생성을 사용하고, 시간적 스파이크 기반 학습을 적용하여 SNN 가중치를 암호화함으로써, 정확도는 약 ~2% 이내의 하락만을 보이며 기존 ANN 대비 55배의 에너지 효율 향상을 달성한다. 또한 데이터 유출 및 클래스 유출 위험을 완전히 제거한다.

ABSTRACT

How can we bring both privacy and energy-efficiency to a neural system? In this paper, we propose PrivateSNN, which aims to build low-power Spiking Neural Networks (SNNs) from a pre-trained ANN model without leaking sensitive information contained in a dataset. Here, we tackle two types of leakage problems: 1) Data leakage is caused when the networks access real training data during an ANN-SNN conversion process. 2) Class leakage is caused when class-related features can be reconstructed from network parameters. In order to address the data leakage issue, we generate synthetic images from the pre-trained ANNs and convert ANNs to SNNs using the generated images. However, converted SNNs remain vulnerable to class leakage since the weight parameters have the same (or scaled) value with respect to ANN parameters. Therefore, we encrypt SNN weights by training SNNs with a temporal spike-based learning rule. Updating weight parameters with temporal data makes SNNs difficult to be interpreted in the spatial domain. We observe that the encrypted PrivateSNN eliminates data and class leakage issues with a slight performance drop (less than ~2) and significant energy-efficiency gain (about 55x) compared to the standard ANN. We conduct extensive experiments on various datasets including CIFAR10, CIFAR100, and TinyImageNet, highlighting the importance of privacy-preserving SNN training.

연구 동기 및 목표

• 실제 훈련 데이터가 변환 과정 중에 접근되는 경우 발생하는 개인정보 유출 취약성을 해결하기 위해.
• 기울기 기반 방법을 사용해 SNN 파rameter로부터 클래스별 특징을 재구성할 수 있는 클래스 유출 문제를 완화하기 위해.
• 자원이 제한된 엣지 환경에서도 개인정보 보호 변환에도 불구하고 높은 모델 정확도와 에너지 효율을 유지하기 위해.
• 원본 훈련 데이터에 접근이 필요 없는 안전한 데이터 없는 SNN 변환 파이프라인을 개발하기 위해.

제안 방법

• 실제 훈련 데이터가 필요 없도록 사전 훈련된 ANN에서 합성 훈련 데이터를 생성하여 SNN 변환 과정에서의 데이터 유출을 방지한다.
• 시간적 스파이크 기반 학습 규칙을 적용하여 SNN 가중치를 암호화함으로써, 비가역적 스파이크 활성화로 인해 공간 영역에서의 해석이 어려워지게 한다.
• 사전 훈련된 ANN로부터 지식 증류를 사용하여 최소한의 실제 데이터로도 SNN 훈련을 안정화시키며, 소규모 데이터셋에서도 견고한 성능을 달성한다.
• 스파iking LIF 뉴런을 사용해 시간을 거슬러 내려가는 역전파를 적용함으로써 정확한 기울기 계산이 불가능하게 하여 공간 영역에서의 재구성 공격를 방지한다.
• 스파이크 기반 계산의 본질적 희소성에 기반해 계층 간 스파이크 레이트를 최소화하여 에너지 효율성을 향상시킨다.
• 세 단계 파이프라인인 데이터 없는 변환(DC), 클래스 암호화 훈련(CET), 출력 증류(OD)를 적용하여 개인정보 보호, 정확도, 에너지 효율성 간의 균형을 확보한다.

실험 결과

연구 질문

• RQ1 원본 훈련 데이터셋에 접근하지 않고도 ANN에서 SNN로의 변환 과정에서 데이터 유출을 완전히 제거할 수 있는가?
• RQ2 시간적 스파이크 기반 학습이 기울기 역전파 공격을 통한 클래스 유출을 어느 정도 방지할 수 있는가?
• RQ3 합성 데이터 생성과 스파이크 기반 가중치 암호화의 조합이 모델 정확도와 에너지 효율성에 어떤 영향을 미치는가?
• RQ4 지식 증류가 암호화 단계에서 최소한의 실제 데이터로도 안정적이고 정확한 SNN 훈련을 가능하게 하는가?
• RQ5 기본 ANN과 비교했을 때 SNN에서 개인정보 보호, 정확도, 에너지 효율성 간의 상호 상충 관계는 어떠한가?

주요 결과

• PrivateSNN는 합성 데이터 생성을 통해 원본 훈련 데이터에 접근이 필요 없도록 하여 데이터 유출을 완전히 제거한다.
• 시간적 스파이크 기반 학습을 사용함으로써 클래스 유출을 효과적으로 방지함을 입증하였으며, 예를 들어 공격 시나리오 1에서 448.2의 높은 프리셰트 인ception 거리(FID) 점수를 기록하여 생성된 이미지와 실제 클래스 이미지 간의 특징 유사도가 극히 낮음을 확인하였다.
• VGG16-CIFAR10에서 기존 ANN 대비 55.8배의 에너지 효율 향상을 달성하였으며, 추론 에너지 소모는 기존 ANN 및 표준 SNN 변환 방법보다도著격히 낮았다.
• 모델는 원래 ANN 대비 약 ~2%의 성능 저하만을 보이며 높은 정확도를 유지하였으며, CIFAR10에서 상위-1 정확도 89.2%를 달성하였다.
• 기울기 기반 재구성 공격(공격 시나리오 1)과 기울기 근사 공격(공격 시나리오 2) 양쪽 모두에 대해 강건한 저항성을 보였으며, 암호화된 SNN는 시각화 결과에서 의미 있는 클래스 특징 복구가 이루어지지 않았다.
• CIFAR10, CIFAR100, TinyImageNet 등 다양한 데이터셋에서 강력한 개인정보 보호 보장을 입증하였으며, 이는 본 방법의 일반화 능력을 확인한다.