[论文解读] PrivateSNN: Fully Privacy-Preserving Spiking Neural Networks.

Youngeun Kim, Yeshwanth Venkatesha+1 more|arXiv (Cornell University)|Apr 7, 2021

Advanced Memory and Neural Computing参考文献 36被引用 7

一句话总结

PrivateSNN 提出了一种完全隐私保护的方法，将预训练的人工神经网络（ANNs）转换为能效更高的脉冲神经网络（SNNs），而无需暴露训练数据或类别信息。通过在转换过程中生成合成数据，并应用时间域脉冲基学习规则对 SNN 权重进行加密，该方法在保持接近原始准确率（≤5% 下降）的同时，相较于标准 ANNs 实现了高达 60 倍的能效提升，且有效防止了数据和类别信息泄露。

ABSTRACT

How can we bring both privacy and energy-efficiency to a neural system on edge devices? In this paper, we propose PrivateSNN, which aims to build low-power Spiking Neural Networks (SNNs) from a pre-trained ANN model without leaking sensitive information contained in a dataset. Here, we tackle two types of leakage problems: 1) Data leakage caused when the networks access real training data during an ANN-SNN conversion process. 2) Class leakage is the concept of leakage caused when class-related features can be reconstructed from network parameters. In order to address the data leakage issue, we generate synthetic images from the pre-trained ANNs and convert ANNs to SNNs using generated images. However, converted SNNs are still vulnerable with respect to the class leakage since the weight parameters have the same (or scaled) value with respect to ANN parameters. Therefore, we encrypt SNN weights by training SNNs with a temporal spike-based learning rule. Updating weight parameters with temporal data makes networks difficult to be interpreted in the spatial domain. We observe that the encrypted PrivateSNN can be implemented not only without the huge performance drop (less than ~5%) but also with significant energy-efficiency gain (about x60 compared to the standard ANN). We conduct extensive experiments on various datasets including CIFAR10, CIFAR100, and TinyImageNet, highlighting the importance of privacy-preserving SNN training.

研究动机与目标

• 解决在将预训练 ANNs 转换为 SNNs 时出现的隐私泄露问题，特别是因直接访问真实训练数据而导致的数据泄露。
• 缓解类别泄露问题，即从 SNN 权重参数中可重构出与类别相关的特征。
• 在确保边缘设备强隐私保障的前提下，保持 SNN 通常具备的高能效特性。
• 开发一种方法，实现在资源受限的边缘系统上安全部署 SNN，同时不损害模型性能或隐私。

提出的方法

• 从预训练的 ANNs 生成合成图像，以在 ANNs 到 SNNs 的转换过程中替代真实训练数据，从而消除对敏感数据的直接访问。
• 使用合成数据将预训练的 ANNs 转换为 SNNs，在避免数据泄露的同时保持功能性能。
• 应用时间域脉冲基学习规则对 SNN 进行微调，以改变权重参数，使其空间可解释性被模糊化，从而防止类别重构。
• 采用依赖时间的权重更新机制，使网络参数在空间域上难以被解释，从而防范类别泄露。
• 通过引入时间动态训练 SNN，确保权重值不再与原始 ANNs 的权重存在直接关联，进一步增强隐私保护。
• 实现最终的 PrivateSNN 模型，在性能下降极小的同时实现显著的能效提升。

实验结果

研究问题

• RQ1 能否通过用合成数据替代真实训练数据，完全消除 ANNs 到 SNNs 转换过程中的数据泄露？
• RQ2 当 SNN 权重由预训练 ANNs 权重衍生时，类别泄露能在多大程度上被防止？
• RQ3 时间域脉冲基学习规则在模糊 SNN 权重的空间解释性并增强隐私方面有多有效？
• RQ4 在边缘设备上部署 SNN 时，隐私、能效与模型准确率之间的权衡如何？
• RQ5 PrivateSNN 是否能在多种数据集上保持高性能，同时实现显著的能效节省和强隐私保障？

主要发现

• PrivateSNN 在包括 CIFAR10、CIFAR100 和 TinyImageNet 在内的多个数据集上，性能下降均低于 5%。
• 与标准 ANNs 相比，该方法实现了高达 60 倍的能效提升，充分利用了 SNN 本身低功耗的固有特性。
• 在转换过程中生成合成数据，成功通过消除对真实训练数据的直接访问，防止了数据泄露。
• 时间域脉冲基权重训练有效破坏了 SNN 参数的空间可解释性，显著降低了类别泄露风险。
• 经过加密的 SNN 权重对可能从参数分布中提取类别相关特征的重建攻击具有抗性。
• PrivateSNN 在多种基准数据集上均保持了出色的性能与隐私保护，展现出强大的鲁棒性与泛化能力。