[论文解读] Verification of Neural Networks: Enhancing Scalability through Pruning

Dario Guidotti, Francesco Leofante+2 more|arXiv (Cornell University)|Mar 17, 2020

Adversarial Robustness in Machine Learning参考文献 18被引用 6

一句话总结

本文提出了一种训练流水线，通过神经元剪枝和权重剪枝来提升深度神经网络形式化验证的可扩展性。通过在保持准确率和鲁棒性的同时降低网络复杂度，该方法使Marabou、ERAN和MIPVerify等最先进的验证工具能够在10分钟超时内验证此前难以处理的网络，其中神经元剪枝相比权重剪枝表现出显著更高的有效性。

ABSTRACT

Verification of deep neural networks has witnessed a recent surge of interest, fueled by success stories in diverse domains and by abreast concerns about safety and security in envisaged applications. Complexity and sheer size of such networks are challenging for automated formal verification techniques which, on the other hand, could ease the adoption of deep networks in safety- and security-critical contexts. In this paper we focus on enabling state-of-the-art verification tools to deal with neural networks of some practical interest. We propose a new training pipeline based on network pruning with the goal of striking a balance between maintaining accuracy and robustness while making the resulting networks amenable to formal analysis. The results of our experiments with a portfolio of pruning algorithms and verification tools show that our approach is successful for the kind of networks we consider and for some combinations of pruning and verification techniques, thus bringing deep neural networks closer to the reach of formally-grounded methods.

研究动机与目标

• 为解决深度神经网络（DNNs）形式化验证中的可扩展性挑战，该挑战限制了其在安全关键和安全敏感应用中的部署。
• 探究网络剪枝是否能以一种使DNNs更易于形式化验证的方式降低其复杂度，同时不牺牲准确率或鲁棒性。
• 评估神经元剪枝与权重剪枝在提升多种验证工具验证性能方面的有效性。
• 建立一个实用的训练流水线，整合剪枝技术以生成适合正式分析的网络。

提出的方法

• 作者提出一种训练流水线，对在MNIST和Fashion-MNIST数据集上训练的全连接DNN应用神经元剪枝和权重剪枝。
• 神经元剪枝移除整个神经元及其连接，而权重剪枝则将低于阈值的单个权重置零，两者均旨在生成更稀疏、更简单的网络。
• 该方法将剪枝与改进的训练过程相结合，以在剪枝后保持模型的准确率和鲁棒性。
• 验证使用一组工具进行：Marabou（基于SMT）、ERAN（MILP和过度近似）以及MIPVerify（MILP编译），所有工具均用于检查对抗性扰动下的鲁棒性。
• 该方法评估剪枝对验证时间与成功率的影响，并在相同验证查询下比较基线网络、稀疏网络和剪枝网络的表现。
• 性能分析包括记录Gurobi的MILP求解行为，以关联稀疏性与整数变量及约束的减少。

实验结果

研究问题

• RQ1 网络剪枝技术能否提升深度神经网络形式化验证工具的可扩展性？
• RQ2 神经元剪枝与权重剪枝在降低验证复杂度方面的能力有何差异？
• RQ3 剪枝后的网络在多大程度上能保持准确率和鲁棒性，同时在合理时间限制内实现可验证性？
• RQ4 不同验证工具（如基于SMT的与基于MILP的）对剪枝引起的稀疏性响应是否不同？
• RQ5 由于剪枝导致的整数变量与约束的减少是否可直接关联到验证性能的提升？

主要发现

• 在未使用剪枝的情况下，具有约50K条连接和896个神经元的全连接DNN在10分钟CPU时间内验证始终超时。
• 神经元剪枝显著优于权重剪枝，使所有验证工具在某些剪枝参数下均能在超时内验证所有网络实例。
• 仅当剪枝幅度较高时（例如，移除90%的权重），权重剪枝才改善了验证性能，且仅ERAN（完整与非完整版本）显著受益。
• ERAN-非完整版本在权重剪枝网络上的验证速度优于神经元剪枝网络，且加速效果与剪除的权重数量成正比。
• MIPVerify和ERAN利用零权重连接来简化MILP问题，使神经元剪枝和稀疏网络中的整数变量数量减少至原始值的1/4以下。
• 日志分析确认，与权重剪枝网络相比，神经元剪枝使Gurobi的MILP问题中整数变量数量减少了75%以上，从而解释了性能的提升。