[논문 리뷰] Maximum Resilience of Artificial Neural Networks

Chih‐Hong Cheng, Georg Nührenberg외 1명|arXiv (Cornell University)|2017. 04. 28.

Adversarial Robustness in Machine Learning참고 문헌 16인용 수 6

한 줄 요약

이 논문은 인공신경망(ANN)의 입력 노이즈 또는 적대적 공격에 대한 저항력을 공식적으로 정량화할 수 있도록, 검증된 최대 편차 한계를 계산하기 위한 새로운 MIP 기반 접근법을 제안한다. 맞춤형 MIP 인코딩 휴리스틱과 병렬화된 브랜치 앤 바운드를 활용하여, 기존의 순수한 MIP 인코딩 대비 최대 두 개의 지수 차수만큼의 속도 향상을 달성하였으며, MNIST 및 로봇 제어 벤치마크에서 확장성도 입증하였다.

ABSTRACT

The deployment of Artificial Neural Networks (ANNs) in safety-critical applications poses a number of new verification and certification challenges. In particular, for ANN-enabled self-driving vehicles it is important to establish properties about the resilience of ANNs to noisy or even maliciously manipulated sensory input. We are addressing these challenges by defining resilience properties of ANN-based classifiers as the maximal amount of input or sensor perturbation which is still tolerated. This problem of computing maximal perturbation bounds for ANNs is then reduced to solving mixed integer optimization problems (MIP). A number of MIP encoding heuristics are developed for drastically reducing MIP-solver runtimes, and using parallelization of MIP-solvers results in an almost linear speed-up in the number (up to a certain limit) of computing cores in our experiments. We demonstrate the effectiveness and scalability of our approach by means of computing maximal resilience bounds for a number of ANN benchmark sets ranging from typical image recognition scenarios to the autonomous maneuvering of robots.

연구 동기 및 목표

• 자율주행 차량의 ANN 기반 인식 시스템을 포함한 안전 중심 AI 시스템에서의 저항력 검증이라는 핵심 과제를 해결하기 위해.
• ANN이 잘못 분류하기 전까지 견딜 수 있는 최대 입력 편차를 공식적으로 정량화하여, 노이즈 또는 적대적 입력에 대한 강건성을 확보하기 위해.
• 최적화를 활용하여 다중 클래스 ANN에 대해 정확하고 검증된 한계를 계산하는 확장성 있고 효율적인 검증 프레임워크를 개발하기 위해.
• 센서 시스템과 신경망 분류기 간의 공식적 assume-guarantee 인터페이스를 제공하여, 센서 설계와 네트워크 설계를 분리하기 위해.
• 다양한 ANN의 입력 편차에 대한 저항력에 기반한 객관적 비교를 가능하게 하여, 모델 선택 및 향상에 기여하기 위해.

제안 방법

• 비선형 활성화 함수(ReLU, max-pooling)를 big-M 선형화 기법을 사용하여 MIP 문제로 변환함으로써, 최대 저항력 계산 문제를 혼합정수계획법(MIP) 문제로 환원한다.
• 최소 big-M 값 계산을 위한 데이터플로우 분석을 도입하여, MIP 솔버의 탐색 공간을 크게 줄이고 성능을 향상시킨다.
• 해법을 신속하게 찾기 위해 간소화된 MIP 하위 문제를 다수 풀이하는 휴리스틱 전략을 적용한다.
• 여러 CPU 코어를 활용한 병렬화된 브랜치 앤 바운드 실행을 통해, 특정 코어 수 이하에서는 거의 선형적인 속도 향상을 달성한다.
• 소프트맥스 출력 신뢰도 기반의 저항력 측도를 정의하며, 편차가 발생하더라도 분류 순서를 유지해야 한다.
• 최대 편차 한계 Φₘ를 입력 변동을 최대화하면서도 클래스 지배력 유지 조건을 만족하는 최적화 문제의 해로 계산한다.

실험 결과

연구 질문

• RQ1 어떻게 공식적이고 정량적으로 훈련된 ANN이 입력 편차(적대적 노이즈 포함)에 대해 견딜 수 있는 최대 저항력을 측정할 수 있는가?
• RQ2 ANN의 강건성 검증을 위한 MIP 인코딩 전략 중에서 솔버 실행 시간을 크게 줄일 수 있는 것은 무엇인가?
• RQ3 브랜치 앤 바운드의 병렬화가 큰 또는 복잡한 ANN 검증 작업의 확장성에 얼마나 기여하는가?
• RQ4 원래 분류의 신뢰도 수준 α가 최대 허용 가능한 편차 한계에 어떤 영향을 미치는가?
• RQ5 계산된 편차 한계가 안전 중심 시스템에서 센서 시스템 설계와 신경망 설계를 분리하기 위한 공식적 인터페이스로 활용될 수 있는가?

주요 결과

• 맞춤형 휴리스틱을 적용한 제안된 MIP 인코딩은 표준 MIP 인코딩 대비 약 두 개의 지수 차수만큼의 속도 향상을 달성하였다.
• 최대 32개의 코어에서 브랜치 앤 바운드의 병렬화는 대부분의 벤치마크 인스턴스에서 거의 선형적인 속도 향상을 보였으며, 특정 문제 유형에서는 32개 코어를 초과하면 성능이 정체되는 경향을 보였다.
• ε=0.01인 MNIST 벤치마크에서, 12개 스레드를 사용해 최대 저항력 Φₘ를 1초 이내에 계산하여 표준 이미지 분류 작업에서의 높은 효율성을 입증하였다.
• 복잡한 로봇 제어 네트워크(예: DeepTraffic)의 경우, 360개 코어에서 Φₘ를 15분 이내에 계산하여 실제 응용 분야로의 확장성을 입증하였다.
• 신뢰도 임계값 α를 높일수록 기대한 바와 같이 더 높은 계산된 편차 한계 Φₘ를 도출하였으며, α가 네트워크가 도달할 수 있는 최대 신뢰도를 초과하면 해가 존재하지 않음을 확인하였다.
• 이 방법은 잘못 분류를 유도하는 최소한의 편차가 가해진 입력을 성공적으로 계산하였으며, 이를 학습 데이터에 추가하여 일반화 능력을 향상시키는 데 활용할 수 있다.