[论文解读] PrivateSNN: Privacy-Preserving Spiking Neural Networks

Youngeun Kim, Yeshwanth Venkatesha+1 more|arXiv (Cornell University)|Apr 7, 2021

Advanced Memory and Neural Computing被引用 5

一句话总结

PrivateSNN 提出了一种隐私保护框架，可在不暴露敏感训练数据或类别信息的情况下，将预训练的人工神经网络（ANNs）转换为能效更高的脉冲神经网络（SNNs）。该方法采用无需数据的转换方式，通过生成合成数据，并应用基于时间脉冲的权重加密学习，实现与原始模型相近的准确率（误差在~2%以内），同时相比标准 ANNs 实现 55 倍的能效提升，且完全消除数据和类别泄露风险。

ABSTRACT

How can we bring both privacy and energy-efficiency to a neural system? In this paper, we propose PrivateSNN, which aims to build low-power Spiking Neural Networks (SNNs) from a pre-trained ANN model without leaking sensitive information contained in a dataset. Here, we tackle two types of leakage problems: 1) Data leakage is caused when the networks access real training data during an ANN-SNN conversion process. 2) Class leakage is caused when class-related features can be reconstructed from network parameters. In order to address the data leakage issue, we generate synthetic images from the pre-trained ANNs and convert ANNs to SNNs using the generated images. However, converted SNNs remain vulnerable to class leakage since the weight parameters have the same (or scaled) value with respect to ANN parameters. Therefore, we encrypt SNN weights by training SNNs with a temporal spike-based learning rule. Updating weight parameters with temporal data makes SNNs difficult to be interpreted in the spatial domain. We observe that the encrypted PrivateSNN eliminates data and class leakage issues with a slight performance drop (less than ~2) and significant energy-efficiency gain (about 55x) compared to the standard ANN. We conduct extensive experiments on various datasets including CIFAR10, CIFAR100, and TinyImageNet, highlighting the importance of privacy-preserving SNN training.

研究动机与目标

• 为解决 ANN 到 SNN 转换中的隐私漏洞，特别是当转换过程中访问真实训练数据时可能引发的数据泄露问题。
• 缓解类别泄露问题，即攻击者可通过基于梯度的方法从 SNN 参数中重构出特定类别的特征。
• 在资源受限的边缘环境中，尽管经过隐私保护转换，仍保持高模型准确率和能效。
• 开发一种安全的、无需数据的 SNN 转换流程，无需访问原始训练数据。

提出的方法

• 从预训练的 ANN 生成合成训练数据，以在 SNN 转换过程中完全避免使用真实训练数据，从而防止数据泄露。
• 应用基于时间脉冲的学习规则对 SNN 权重进行加密，由于脉冲激活函数不可微，使得权重在空间域难以被解释。
• 利用来自预训练 ANN 的知识蒸馏技术，以最小量的真实数据稳定 SNN 训练，实现在小样本数据集上的鲁棒性能。
• 使用通过时间反向传播训练 SNN，结合脉冲 LIF 神经元，避免精确梯度计算，从而阻止在空间域进行参数重构。
• 优化 SNN 以在各层实现低脉冲频率，提升能效，充分利用脉冲计算的固有稀疏性。
• 采用三阶段流程：无数据转换（DC）、类别加密训练（CET）和输出蒸馏（OD），以平衡隐私、准确率与能效。

实验结果

研究问题

• RQ1 我们能否在不访问原始训练数据集的情况下，完全消除 ANN 到 SNN 转换过程中的数据泄露？
• RQ2 基于时间脉冲的学习在多大程度上能通过梯度反演攻击防止类别泄露？
• RQ3 合成数据生成与基于脉冲的权重加密相结合，对模型准确率和能效有何影响？
• RQ4 知识蒸馏是否能在加密阶段使用极少的真实数据，实现稳定且准确的 SNN 训练？
• RQ5 与标准 ANNs 相比，SNN 在隐私、准确率与能效之间的权衡如何？

主要发现

• PrivateSNN 通过合成数据生成，消除了转换过程中对真实训练数据的需求，从而有效降低数据泄露风险。
• 基于时间脉冲的学习有效防止了类别泄露，表现为高 Fréchet Inception Distance（FID）分数（例如，在攻击场景 1 中 FID 达 448.2），表明生成图像与真实类别图像之间的特征相似度极低。
• 在 VGG16-CIFAR10 上，PrivateSNN 相较于标准 ANNs 实现了 55.8 倍的能效提升，其推理能耗显著低于 ANNs 及标准 SNN 转换方法。
• 模型保持了高准确率，与原始 ANN 相比仅出现约 2% 的性能下降，在 CIFAR10 上达到 89.2% 的 top-1 准确率。
• 该方法对基于梯度的重构攻击（攻击场景 1）和梯度近似攻击（攻击场景 2）均表现出强鲁棒性，加密后的 SNN 在可视化中未显示出有意义的类别特征恢复。
• 该框架在多个数据集（包括 CIFAR10、CIFAR100 和 TinyImageNet）上均表现出强大的隐私保障能力，验证了其通用性。