WO2021038788A1 - ロバスト性評価装置、ロバスト性評価方法および記録媒体 - Google Patents

ロバスト性評価装置、ロバスト性評価方法および記録媒体 Download PDF

Info

Publication number
WO2021038788A1
WO2021038788A1 PCT/JP2019/033890 JP2019033890W WO2021038788A1 WO 2021038788 A1 WO2021038788 A1 WO 2021038788A1 JP 2019033890 W JP2019033890 W JP 2019033890W WO 2021038788 A1 WO2021038788 A1 WO 2021038788A1
Authority
WO
WIPO (PCT)
Prior art keywords
similarity
robustness
value
authentication model
feature amount
Prior art date
Application number
PCT/JP2019/033890
Other languages
English (en)
French (fr)
Inventor
和也 柿崎
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2021541897A priority Critical patent/JP7255694B2/ja
Priority to PCT/JP2019/033890 priority patent/WO2021038788A1/ja
Priority to US17/637,120 priority patent/US20220343214A1/en
Publication of WO2021038788A1 publication Critical patent/WO2021038788A1/ja
Priority to US18/383,501 priority patent/US20240062109A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V10/00—Arrangements for image or video recognition or understanding
    • G06V10/70—Arrangements for image or video recognition or understanding using pattern recognition or machine learning
    • G06V10/74—Image or video pattern matching; Proximity measures in feature spaces
    • G06V10/75—Organisation of the matching processes, e.g. simultaneous or sequential comparisons of image or video features; Coarse-fine approaches, e.g. multi-scale approaches; using context analysis; Selection of dictionaries
    • G06V10/751—Comparing pixel values or logical combinations thereof, or feature values having positional relevance, e.g. template matching
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/22—Matching criteria, e.g. proximity measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V40/00—Recognition of biometric, human-related or animal-related patterns in image or video data
    • G06V40/10—Human or animal bodies, e.g. vehicle occupants or pedestrians; Body parts, e.g. hands
    • G06V40/16—Human faces, e.g. facial parts, sketches or expressions
    • G06V40/172—Classification, e.g. identification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/11—Complex mathematical operations for solving equations, e.g. nonlinear equations, general mathematical optimization problems

Definitions

  • the present invention relates to a robustness evaluation device, a robustness evaluation method, and a recording medium.
  • AX adversarial examples
  • Non-Patent Document 1 proposes a quantitative robustness evaluation method for a hostile sample targeting a classifier g: R d ⁇ R k.
  • the classifier shown in Non-Patent Document 1 outputs the degree of classification represented by k real numbers corresponding to k classification destination classes for the input data.
  • learning is performed using deep learning so that the classification degree of the correct answer class is the highest for the input data.
  • Non-Patent Document 1 is a method for calculating a robustness evaluation value for a classifier. Therefore, the method described in Non-Patent Document 1 cannot calculate the robustness of an authentication model using a feature extractor, a template of data to be authenticated, and a threshold value for a hostile sample.
  • An example of an object of the present invention is to provide a robustness evaluation device, a robustness evaluation method, and a recording medium capable of solving the above problems.
  • the robustness evaluation device includes a similarity calculation unit that calculates the similarity between the feature amount input to the authentication model and the feature amount of the template, and the input to the authentication model.
  • a local Lipschitz constant estimation unit that estimates the local Lipschitz constant in a sphere centered on the input to the authentication model of a function that calculates the similarity between the feature quantity and the feature quantity of the template, the similarity degree, and the similarity degree. It is provided with an evaluation value estimation unit that estimates the evaluation value of the robustness of the authentication model based on the determination threshold value for the above and the local Lipschitz constant.
  • the robustness evaluation method includes a step of calculating the similarity between the feature amount input to the authentication model and the feature amount of the template, and the feature amount input to the authentication model.
  • the step of estimating the local Lipsitz constant in the sphere centered on the input to the authentication model of the function for calculating the similarity with the feature amount of the template, the similarity, the judgment threshold value for the similarity, and A step of estimating the evaluation value of the robustness of the authentication model based on the local Lipsitz constant is included.
  • the recording medium is a step of calculating the similarity between the feature amount of the input to the authentication model and the feature amount of the template on the computer, and the feature amount of the input to the authentication model.
  • a recording medium recording a program for executing a step of estimating the evaluation value of robustness of the authentication model based on the local Lipsitz constant.
  • the robustness evaluation device According to the robustness evaluation device, the robustness evaluation method, and the recording medium described above, the robustness of the authentication model can be calculated.
  • FIG. 1 is a schematic block diagram showing a configuration example of a robustness evaluation device according to the first embodiment.
  • the robustness evaluation device 100 includes an evaluation value estimation unit 102, a difference calculation unit 104, and a local Lipschitz constant estimation unit 106.
  • the difference calculation unit 104 includes a similarity calculation unit 105.
  • the robustness evaluation device 100 calculates a quantitative evaluation value of the robustness of the authentication model for a hostile sample generated for the purpose of "dodging" the authentication model.
  • Deauthentication means that the authentication model fails to authenticate even though the same authentication target data as the authentication target to be authenticated using the registered template is input. For example, in the case of an authentication model that performs face recognition, the face of the person to be authenticated is the authentication target. When the authentication is removed, the authentication model fails in face authentication even though the face image of the same person as the authentication target person whose face image is registered as a template is input.
  • the evaluation value of the robustness of the authentication model can be used as a reference for constructing a more robust authentication model for a hostile sample. Furthermore, the evaluation value of the robustness of the authentication model can be used as a reference for constructing a system including a more robust authentication model for a hostile sample.
  • the robustness evaluation device 100 targets an authentication model using an index indicating that the smaller the value is, the higher the similarity is, as an index of the similarity between the feature quantities, for the robustness evaluation value calculation.
  • the authentication model determines authentication success if the index value of similarity between features is less than or equal to the threshold value, and authentication failure and authentication result if it is greater than the threshold value. ..
  • An example of such an indicator is the Euclidean distance.
  • the index of similarity used by the authentication model in the first embodiment is not limited to the Euclidean distance, and various indexes indicating that the smaller the value, the higher the similarity can be used.
  • FIG. 2 is a diagram showing an example of an authentication model for which the robustness evaluation device 100 calculates the robustness evaluation value.
  • the authentication model for which the robustness evaluation device 100 calculates the robustness evaluation value is referred to as an authentication model 910.
  • the feature amount extractor of the authentication model 910 is indicated by f
  • the threshold value is indicated by ⁇
  • the template of the authentication target i is indicated by ti.
  • the authentication model 910 uses the Euclidean distance as an index of the similarity of the features.
  • the threshold value ⁇ corresponds to an example of a judgment threshold value for determining whether or not authentication is successful, which is applied to the similarity of features.
  • I is a positive integer indicating an identification number that identifies the authentication target.
  • the feature amount extractor f is shown as f: R d ⁇ R m.
  • R indicates a real number.
  • d and m represent positive integers, respectively.
  • the feature amount extractor f receives the input of the data of the d-dimensional real number vector and outputs the feature amount indicated by the m-dimensional real number vector.
  • the threshold value ⁇ is a real number with ⁇ > 0.
  • Template t i to be authenticated i is data of a real vector of d dimensions. Accordingly, it denoted t i ⁇ R d.
  • the feature amount extractor f outputs a vector (feature amount vector) indicating a similar feature amount for the same authentication target data. For example, when the authentication model 910 performs face recognition, the feature amount extractor f outputs a feature amount vector having a high degree of similarity to different face images of the same person.
  • the form of the feature amount extractor f is not limited to a specific form.
  • the feature amount extractor f may be generated by a deep neural network (DNN) performing deep learning, but the feature amount extractor f is not limited to this.
  • DNN deep neural network
  • authentication model 910 when the data X ⁇ R d is input, authentication model 910, an index indicating the similarity between the feature quantity of template t i and the specified characteristic quantity of the input data x Calculate the value. Then, the authentication model 910 compares the calculated index value with the threshold value ⁇ . When it is determined that the index value is equal to or less than the threshold value ⁇ , the authentication model 910 outputs the authentication result of successful authentication. When it is determined that the index value is larger than the threshold value ⁇ , the authentication model 910 outputs the authentication result of the authentication failure.
  • the robustness evaluation device 100 assumes that the hostile sample x i + ⁇ in which the noise ⁇ ⁇ R d is added to the data x i ⁇ R d of the authentication target i is input to the authentication model 910. Calculate the robustness evaluation value of the authentication model at the time.
  • Robustness evaluation apparatus 100 as robustness evaluation value, to estimate the lower limit beta dod, p l2 of the minimum required to achieve authentication remove perturbation (Perturbation) size ⁇ p, min l2.
  • the minimum perturbation size ⁇ p, min l2 is expressed by Eq. (1).
  • p ” indicates the l p norm.
  • p ” indicates the l p norm of the noise ⁇ ⁇ R d. p may be 1, 2, or ⁇ .
  • “F (x i + ⁇ )” indicates the feature amount of the hostile sample x i + ⁇ in which noise ⁇ is added to the data x i.
  • “F (t i)” indicates the character of the template t i.
  • 2 is the similarity between hostile characteristic of the sample x i + [delta] and the feature quantity of template t i, the index value by l 2 norm Shown.
  • the l 2 norm is also called the Euclidean distance.
  • the authentication model 910 shows a determination criterion that the authentication failed. Therefore, the minimum perturbation size delta p, min l2, of the l p norm of the noise [delta], the minimum of l p norm authentication off occurs. If l p norm of the noise [delta] '
  • robustness evaluation apparatus 100 As robustness evaluation value, to estimate the lower limit beta dod, p l2 minimum perturbation size ⁇ p, min l2. beta dod, since p l2 is the lower limit of the minimum perturbation size ⁇ p, min l2, is represented by equation (2).
  • p" is the minimum perturbation size lower limit beta dod noise [delta], if than p l2 small, authentication off does not occur.
  • Robustness evaluation apparatus 100 includes a feature value extractor f, and the threshold tau, and the template t i ⁇ R d to be authenticated i, the input data x i ⁇ R d to be authenticated i, a parameter epsilon> 0 There when entered, the lower limit beta dod minimum perturbation size delta p, min l2, to estimate p l2, and outputs the robustness evaluation value.
  • Robustness evaluation apparatus 100 the minimum perturbation size lower limit beta dod to the input data x i ⁇ R d authentication model 910, a p l2, calculated using equation (3).
  • the center of the sphere B p i is x i
  • the radius of the sphere B p i is ⁇ .
  • ⁇ indicates a parameter used when obtaining the local Lipschitz constant, and ⁇ > 0.
  • the user of the robustness evaluation device 100 may determine the value of the parameter ⁇ and input it to the robustness evaluation device 100.
  • the robustness evaluation device 100 may store the value of the predetermined parameter ⁇ .
  • the Lipschitz constants in and around a particular x 0 ⁇ R d are referred to as local Lipschitz constants.
  • a local Lipschitz constant L xi, epsilon l2 function h l2 in the sphere B p i around the x i as described above.
  • the Lipschitz constant and the local Lipschitz constant are described in, for example, Non-Patent Document 1.
  • a known method can be used as a method for the robustness evaluation device 100 to calculate the local Lipschitz constants L xi, ⁇ l 2.
  • the robustness evaluation device 100 may calculate the local Lipschitz constants L xi, ⁇ l 2 based on the equation (7).
  • ⁇ indicates the Nabla operator, and ⁇ h (x) is expressed as in equation (8).
  • Q is a positive integer that satisfies equation (9).
  • the difference calculation unit 104 calculates the similarity between the input data x i calculated from the feature value f (x i) and the feature amount f which is calculated from the template t i (t i), obtained by subtracting from the threshold ⁇ difference to calculate the " ⁇ -
  • Similarity calculation unit 105 of the difference calculator 104 the input data x feature quantity is calculated from i f (x i) and the feature amount f (t i) and the similarity calculated from the template t i "
  • the local Lipschitz constant estimation unit 106 calculates the above-mentioned local Lipschitz constants L xi, ⁇ l2.
  • Evaluation value estimation unit 102 a difference calculating unit 104 calculates " ⁇ -
  • Evaluation value estimation unit 102 compares "( ⁇ -
  • FIG. 3 is a flowchart showing an example of a processing procedure in which the robustness evaluation device 100 calculates the robustness evaluation value of the authentication model.
  • the evaluation value estimating unit 102, feature quantity extractor f: and R d ⁇ R m, and the threshold tau> 0 and the template t i ⁇ R d to be authenticated i, the authentication target i
  • the input data x i ⁇ R d and the parameter ⁇ > 0 are accepted (step S101).
  • the difference calculation unit 104 the similarity between the input data x i calculated from the feature value f (x i) and the feature amount f which is calculated from the template t i (t i), subtracted from the threshold value ⁇ the difference " ⁇ -
  • the similarity calculating unit 105 the input data x i calculated from the feature value f (x i) as a template t feature quantity is calculated from i f (t i) and similarity "
  • the evaluation value estimating unit 102 the value of the calculated difference calculating section 104 " ⁇ -
  • Evaluation value estimation unit 102 "( ⁇ -
  • the similarity calculation unit 105 calculates the similarity between the feature amount input to the authentication model and the feature amount of the template.
  • the local Lipschitz constant estimation unit 106 estimates the local Lipschitz constant in the sphere centered on the input to the authentication model of the function that calculates the similarity between the feature amount input to the authentication model and the feature amount of the template.
  • the evaluation value estimation unit 102 estimates the evaluation value of the robustness of the authentication model based on the similarity calculated by the similarity calculation unit 105, the determination threshold value for the similarity, and the local Lipschitz constant.
  • the robustness of the authentication model can be quantitatively evaluated.
  • the classifier that classifies the input data and the authentication model differ in both the problem to be solved and the method of determining the output.
  • the classifier classifies the input data into the class with the highest degree of classification.
  • the authentication model authenticates by comparing the similarity and the threshold value between the feature amount of the input data calculated by using the feature amount extractor and the feature amount of the template. Therefore, it is not possible to calculate the robustness evaluation value for a hostile sample of the authentication model using the formula for calculating the robustness evaluation value of the classifier.
  • the robustness of the authentication model can be quantitatively evaluated.
  • the similarity calculation unit 105 calculates the similarity based on the Euclidean distance.
  • the evaluation value estimation unit 102 evaluates the robustness of the authentication model for deauthentication based on the value obtained by subtracting the similarity calculated by the similarity calculation unit 105 from the determination threshold value by the local Lipschitz constant. To estimate.
  • the robustness evaluation device 100 the robustness of the authentication model for the hostile sample generated for the purpose of decertification can be quantitatively evaluated.
  • FIG. 4 is a schematic block diagram showing a configuration example of the robustness evaluation device according to the second embodiment.
  • the robustness evaluation device 200 includes an evaluation value estimation unit 202, a difference calculation unit 204, and a local Lipschitz constant estimation unit 206.
  • the difference calculation unit 204 includes a similarity calculation unit 205.
  • the robustness evaluation device 200 quantitatively quantitatively evaluates the robustness of the authentication model for a hostile sample generated for the purpose of "dodging" the authentication model, as in the case of the robustness evaluation device 100 (FIG. 1). Calculate the evaluation value.
  • the robustness evaluation device 200 targets an authentication model using an index indicating that the larger the value is, the higher the similarity is, as an index of the similarity between the feature quantities, for the calculation of the robustness evaluation value. In this respect, the robustness evaluation device 200 is different from the robustness evaluation device 100.
  • the authentication model is successful if the index value of the similarity between the features is greater than or equal to the threshold value, and if it is smaller than the threshold value. Determine authentication failure and authentication result.
  • An example of such an index is Cosine Similarity.
  • the index of similarity used by the authentication model in the second embodiment is not limited to the cosine similarity, and various indexes can be used to indicate that the larger the value, the higher the similarity.
  • FIG. 5 is a diagram showing an example of an authentication model for which the robustness evaluation device 200 calculates the robustness evaluation value.
  • the authentication model for which the robustness evaluation device 200 calculates the robustness evaluation value is referred to as an authentication model 920.
  • the feature amount extractor f of the authentication model 920, the threshold value ⁇ , and the template ti of the authentication target i are all the same as in the case of the authentication model 910 (FIG. 2).
  • the specific value of the threshold value ⁇ may be different from that of the authentication model 910.
  • the authentication model 920 differs from the authentication model 910 in that the cosine similarity is used as an index of the similarity of the features. Other than that, the authentication model 920 is similar to the authentication model 910.
  • the template t i "i" is a positive integer indicating the identification number for identifying the authentication object.
  • any one of the plurality of templates is designated, and the authentication model 920 performs authentication using the designated template.
  • the authentication target shown in the input data is the same as the authentication target in which the template is registered, based on the similarity between the feature amount of the input data and the feature amount of the specified template. Authentication is performed by determining whether or not it is an authentication target.
  • authentication model 920 when the data X ⁇ R d is input, authentication model 920, an index indicating the similarity between the feature quantity of template t i and the specified characteristic quantity of the input data x Calculate the value. Then, the authentication model 920 compares the calculated index value with the threshold value ⁇ . When it is determined that the index value is equal to or higher than the threshold value ⁇ , the authentication model 910 outputs the authentication result of successful authentication. When it is determined that the index value is smaller than the threshold value ⁇ , the authentication model 920 outputs the authentication result of the authentication failure.
  • the robustness evaluation device 200 assumes that the hostile sample x i + ⁇ in which the noise ⁇ ⁇ R d is added to the data x i ⁇ R d of the authentication target i is input to the authentication model 920. Calculate the robustness evaluation value of the authentication model at the time.
  • the robustness evaluation device 200 estimates, as the robustness evaluation value, the lower limit ⁇ dod, p cos of the minimum perturbation size ⁇ p, min cos required to achieve the decertification.
  • the minimum perturbation size ⁇ p, min cos is expressed by Eq. (10).
  • Cos (,) is a function that calculates the cosine similarity between two vectors. "Cos (f (x i + ⁇ ), f (t i)) " is characteristic of hostile samples x i + [delta] and "f (x i + ⁇ )", the feature amount of template t i "f (t i) Indicates the cosine similarity with.
  • the authentication model 920 shows a determination criterion that the authentication failed. Therefore, the minimum perturbation size delta p, min cos, of the l p norm of the noise [delta], the minimum of l p norm authentication off occurs. If l p norm of the noise [delta] '
  • the robustness evaluation device 200 estimates the lower limit ⁇ dod, p cos of the minimum perturbation sizes ⁇ p, min cos as the robustness evaluation value. Since ⁇ dod and p cos are the lower limits of the minimum perturbation sizes ⁇ p and min cos , they are expressed as in Eq. (11).
  • p may be 1, 2, or ⁇ . If the l p norm "
  • Robustness evaluation device 200 calculates the lower limit ⁇ dod, p cos of the minimum perturbation size with respect to the input data x i ⁇ R d of the authentication model 920 using the equation (12).
  • a known method can be used as a method for the robustness evaluation device 200 to calculate the local Lipschitz constants L xi, ⁇ cos.
  • the robustness evaluation device 200 may calculate the local Lipschitz constants L xi, ⁇ cos based on the equation (14).
  • Equation (14) differs from equation (7) in that the left side is L xi, ⁇ cos and the function h cos (x) is shown on the right side. Other than that, the equation (14) is the same as the equation (7).
  • the difference calculating unit 204 a feature amount f (x i) which is calculated from the input data x i, the degree of similarity between the feature amount f (t i) calculated from the template t i, obtained by subtracting the threshold ⁇ difference "cos (f (x i), f (t i)) - ⁇ " is calculated. Similarity calculation unit 205 of the difference calculation unit 204, the input data x feature quantity is calculated from i f (x i) and the feature amount f (t i) and the similarity calculated from the template t i "cos (f (x i), f (t i)) "is calculated.
  • the local Lipschitz constant estimation unit 206 calculates the above-mentioned local Lipschitz constants L xi, ⁇ cos.
  • Evaluation value estimation unit 202 calculates a difference calculating unit 204 "cos (f (x i), f (t i)) - ⁇ " and the value of a local Lipschitz constant L xi local Lipschitz constant estimation unit 206 calculates , by using the epsilon cos, "(cos (f (x i) , f (t i)) - ⁇ ) / L xi, ⁇ cos " is calculated.
  • Evaluation value estimation unit 202 "(cos (f (x i) , f (t i)) - ⁇ ) / L xi, ⁇ cos " compares the value of the magnitude of the value of the parameter epsilon, either The smaller value is output as the lower limit ⁇ dod, p cos of the minimum perturbation size ⁇ p, min cos.
  • FIG. 6 is a flowchart showing an example of a processing procedure in which the robustness evaluation device 200 calculates the robustness evaluation value of the authentication model.
  • the input data x i ⁇ R d and the parameter ⁇ > 0 are accepted (step S201).
  • the evaluation value estimation unit 202 calculates and outputs the lower limit ⁇ dod, p cos of the minimum perturbation size ⁇ p, min cos (step S204).
  • the evaluation value estimator 202 was calculated difference calculating section 204 "cos (f (x i), f (t i)) - ⁇ " and the value of a local Lipschitz constant estimation unit 206 has estimated by using the value of the local Lipschitz constant L xi, ⁇ cos "(cos (f (x i) , f (t i)) - ⁇ ) / L xi, ⁇ cos " is calculated.
  • Evaluation value estimation unit 202 "(cos (f (x i) , f (t i)) - ⁇ ) / L xi, ⁇ cos " of the value and the value of the parameter epsilon of any smaller value Is calculated and output as the lower limit ⁇ dod, p cos of the minimum perturbation size ⁇ p, min cos.
  • the robustness evaluation device 200 ends the process of FIG.
  • the similarity calculation unit 205 calculates the cosine similarity.
  • the evaluation value estimation unit 202 determines the evaluation value of the robustness of the authentication model for deauthentication based on the value obtained by subtracting the determination threshold value from the similarity calculated by the similarity calculation unit 205 by the local Lipschitz constant. presume. Thereby, according to the robustness evaluation device 200, the robustness of the authentication model for the hostile sample generated for the purpose of decertification can be quantitatively evaluated.
  • FIG. 7 is a schematic block diagram showing a configuration example of the robustness evaluation device according to the third embodiment.
  • the robustness evaluation device 300 includes an evaluation value estimation unit 302, a difference calculation unit 304, and a local Lipschitz constant estimation unit 306.
  • the difference calculation unit 304 includes a similarity calculation unit 305.
  • the robustness evaluation device 300 calculates a quantitative evaluation value of the robustness of the authentication model for a hostile sample generated for the purpose of "spoofing" the authentication model.
  • Spoofing means that the authentication model succeeds in authentication even though data of an authentication target different from the authentication target authenticated using the registered template is input.
  • the authentication model succeeds in face recognition even though a face image of a person different from the authentication target person whose face image is registered as a template is input. To do.
  • the robustness evaluation device 300 uses an authentication model as an index of similarity between feature quantities, which indicates that the smaller the value, the higher the similarity, and the robustness evaluation value. It is the target of calculation. As described above, when calculating the similarity using such an index, the authentication model determines that the authentication succeeds if the index value of the similarity between the features is less than or equal to the threshold value, and the authentication fails if it is larger than the threshold value. Determine the authentication result.
  • An example of such an indicator is the Euclidean distance.
  • the index of similarity used by the authentication model in the third embodiment is not limited to the Euclidean distance, and can be various indexes indicating that the smaller the value, the higher the similarity.
  • the robustness evaluation device 300 targets the authentication model 910 (FIG. 2) for the robustness evaluation value calculation.
  • the robustness evaluation device 300 assumes that the hostile sample x s + ⁇ in which the noise ⁇ ⁇ R d is added to the data x s ⁇ R d of the authentication target s is input to the authentication model 910. Calculate the robustness evaluation value of the authentication model at the time.
  • s ⁇ i Specifically, consider the case where a hostile sample is generated using the data of the person to be authenticated and the person whose template is registered.
  • the robustness evaluation device 300 estimates the lower limit ⁇ imp, p l2 of the minimum perturbation sizes ⁇ p, imp l2 required to achieve spoofing as the robustness evaluation value.
  • the minimum perturbation size ⁇ p, imp l2 is expressed by Eq. (15).
  • F (x s + ⁇ ) indicates the feature amount of the hostile sample x s + ⁇ in which noise ⁇ is added to the data x s.
  • 2 is the similarity between hostile characteristic of the sample x s + [delta] and the feature quantity of template t i, the index value by l 2 norm Shown.
  • the authentication model 910 shows a determination criterion that the authentication succeeds. Therefore, the minimum perturbation size delta p, imp l2, of the l p norm of the noise [delta], the minimum of l p norm spoofing occurs. If l p norm of the noise [delta] '
  • robustness evaluation device 300 As robustness evaluation value, to estimate the lower limit beta imp, p l2 minimum perturbation size delta p, imp l2. Since ⁇ imp and pl 2 are the lower limits of the minimum perturbation sizes ⁇ p and imp l2 , they are expressed as in Eq. (16).
  • p may be 1, 2, or ⁇ . If the l p norm “
  • Robustness evaluation device 300 calculates the lower limit ⁇ imp, pl 2 of the minimum perturbation size with respect to the input data x s ⁇ R d of the authentication model 910 using the equation (17).
  • the center of the sphere B p s is x s
  • the radius of the sphere B p s is ⁇ .
  • a known method can be used as a method for the robustness evaluation device 300 to calculate the local Lipschitz constants L xs, ⁇ l2.
  • the robustness evaluation device 300 may calculate the local Lipschitz constants L xs, ⁇ l2 based on the equation (19).
  • Equation (19) that the left side is in the L xs, epsilon l2, and in that the sphere shown on the right-hand side is a ball B p s, differs from the formula (7).
  • the equation (19) is the same as the equation (7).
  • the difference calculating unit 304 the similarity between the feature amount f is calculated from the input data x s (x s) and the feature amount f which is calculated from the template t i (t i), obtained by subtracting the threshold ⁇ difference to calculate the "
  • Similarity calculation unit 305 of the difference calculation unit 304 the input data x feature quantity is calculated from s f (x s) and the feature amount f (t i) and the similarity calculated from the template t i "
  • the local Lipschitz constant estimation unit 306 calculates the above-mentioned local Lipschitz constants L xs and ⁇ l2.
  • Evaluation value estimation unit 302 calculates a difference calculating unit 304 and the value of the "
  • Evaluation value estimation unit 302 compares the value of "(
  • FIG. 8 is a flowchart showing an example of a processing procedure in which the robustness evaluation device 300 calculates the robustness evaluation value of the authentication model.
  • the evaluation value estimation unit 302 sets the feature amount extractor f: R d ⁇ R m , the threshold value ⁇ > 0, the template ti ⁇ R d of the authentication target i, and the authentication target s.
  • the input data x s ⁇ R d and the parameter ⁇ > 0 are accepted (step S301).
  • the difference calculation unit 304 the similarity between the feature amount f is calculated from the input data x s (x s) and the feature amount f which is calculated from the template t i (t i), subtracting the threshold ⁇ the difference "
  • the similarity calculation unit 305 the input data x s is calculated from the feature f (x s) and the template t feature quantity is calculated from i f (t i) and similarity "
  • the constants L xs and ⁇ l2 are estimated (step S303).
  • a difference value calculation unit 304 has calculated "
  • Evaluation value estimation unit 302 "(
  • the robustness evaluation device 300 ends the process of FIG.
  • the similarity calculation unit 305 calculates the similarity based on the Euclidean distance.
  • the evaluation value estimation unit 302 estimates the evaluation value of the robustness of the authentication model for spoofing based on the value obtained by subtracting the judgment threshold value from the similarity calculated by the similarity calculation unit 305 by the local Lipschitz constant. To do.
  • the robustness evaluation device 300 the robustness of the authentication model for the hostile sample generated for the purpose of spoofing can be quantitatively evaluated.
  • FIG. 9 is a schematic block diagram showing a configuration example of the robustness evaluation device according to the fourth embodiment.
  • the robustness evaluation device 400 includes an evaluation value estimation unit 402, a difference calculation unit 404, and a local Lipschitz constant estimation unit 406.
  • the difference calculation unit 404 includes a similarity calculation unit 405.
  • the robustness evaluation device 400 calculates the quantitative evaluation value of the robustness of the authentication model for the hostile sample generated for the purpose of "spoofing" the authentication model. Do.
  • the robustness evaluation device 400 targets an authentication model using an index indicating that the larger the value is, the higher the similarity is, as an index of the similarity between the feature quantities, for the robustness evaluation value calculation. In this respect, the robustness evaluation device 400 is different from the robustness evaluation device 300.
  • the authentication model determines that the authentication is successful if the index value of the similarity between the features is equal to or greater than the threshold value. If it is smaller than the threshold value, the authentication failure and the authentication result are determined.
  • An example of such an index is Cosine Similarity.
  • the index of similarity used by the authentication model in the fourth embodiment is not limited to the cosine similarity, and can be various indexes indicating that the larger the value, the higher the similarity.
  • the robustness evaluation device 400 targets the authentication model 920 (FIG. 5) for the robustness evaluation value calculation.
  • the robustness evaluation device 400 assumes that the hostile sample x s + ⁇ in which the noise ⁇ ⁇ R d is added to the data x s ⁇ R d of the authentication target s is input to the authentication model 920. Calculate the robustness evaluation value of the authentication model at the time.
  • the robustness evaluation device 400 estimates the minimum perturbation size ⁇ p, imp cos lower limit ⁇ imp, p cos required to achieve spoofing as the robustness evaluation value.
  • the minimum perturbation size ⁇ p, imp cos is expressed by Eq. (20).
  • Cos (f (x s + ⁇ ), f (t i) indicates the feature amount of hostile samples x s + [delta] and the similarity between the feature quantity of template t i, the index value by the cosine similarity.
  • the robustness evaluation device 400 estimates the lower limit ⁇ imp, p cos of the minimum perturbation size ⁇ p, imp cos as the robustness evaluation value. Since ⁇ imp and p cos are the lower limits of the minimum perturbation size ⁇ p and imp cos , they are expressed as in Eq. (21).
  • p may be 1, 2, or ⁇ . If the l p norm “
  • Robustness evaluation apparatus 400 calculates the lower limit ⁇ imp, p cos of the minimum perturbation size with respect to the input data x s ⁇ R d of the authentication model 920 using the equation (22).
  • ⁇ -cos (f (x i ), f (t i)) is the feature amount f (x i) which is calculated from the input data x i, the feature amount f (t i, which is calculated from the template t i ) Is subtracted from the threshold value ⁇ .
  • L xs, epsilon cos indicates the function h cos (x) represented by the above formula (13), a local Lipschitz constant of the sphere B p s represented by the above formula (18).
  • a known method can be used as a method for the robustness evaluation device 400 to calculate the local Lipschitz constants L xs and ⁇ cos.
  • the robustness evaluation device 400 may calculate the local Lipschitz constants L xi, ⁇ cos based on the equation (23).
  • Equation (23) that the left side is in the L xs, epsilon cos, and in that the sphere shown on the right-hand side is a ball B p s, different from formula (14).
  • equation (23) is the same as the equation (14).
  • a feature value f is calculated from the input data x s (x s), the degree of similarity between the feature amount f (t i) calculated from the template t i, is subtracted from the threshold ⁇ difference " ⁇ -cos (f (x i ), f (t i)) " to calculate.
  • Similarity calculation unit 305 of the difference calculation unit 304, the input data x feature quantity is calculated from s f (x s) and the feature amount f (t i) and the similarity calculated from the template t i "cos (f (x i), f (t i)) "is calculated.
  • the local Lipschitz constant estimation unit 406 calculates the above-mentioned local Lipschitz constants L xs and ⁇ cos.
  • Evaluation value estimation unit 402 calculates a difference calculating unit 404 " ⁇ -cos (f (x i ), f (t i)) " and the value of a local Lipschitz constant L xs local Lipschitz constant estimation unit 206 calculates , by using the epsilon cos, "( ⁇ -cos (f (x i), f (t i))) / L xs, ⁇ cos " is calculated.
  • Evaluation value estimation unit 202 compares the value of "( ⁇ -cos (f (x i), f (t i))) / L xs, ⁇ cos ", the magnitude of the value of the parameter epsilon, either The smaller value is output as the lower limit ⁇ imp, p cos of the minimum perturbation size ⁇ p, imp cos.
  • FIG. 10 is a flowchart showing an example of a processing procedure in which the robustness evaluation device 400 calculates the robustness evaluation value of the authentication model.
  • the evaluation value estimation unit 402 sets the feature amount extractor f: R d ⁇ R m , the threshold value ⁇ > 0, the template ti ⁇ R d of the authentication target i, and the authentication target s.
  • the input data x s ⁇ R d and the parameter ⁇ > 0 are accepted (step S401).
  • a feature value f is calculated from the input data x s (x s), the degree of similarity between the feature amount f (t i) calculated from the template t i, from the threshold ⁇ subtracted difference " ⁇ -cos (f (x s ), f (t i)) " to calculate the (step S402).
  • the similarity calculation unit 405 the input feature value is calculated from the data x s f (x s) and the feature amount f (t i) and the similarity calculated from the template t i "cos (f ( x s), f (t i )) "is calculated.
  • the evaluation value estimation unit 402 calculates and outputs the lower limit ⁇ imp, p cos of the minimum perturbation size ⁇ p, imp cos (step S404).
  • a difference calculating unit 404 calculates the " ⁇ -cos (f (x s ), f (t i)) " and the value of a local Lipschitz constant estimation unit 406 has estimated local Lipschitz constant L xs, by using the value of epsilon cos "( ⁇ -cos (f (x s), f (t i))) / L xs, ⁇ cos " is calculated.
  • Evaluation value estimation unit 402 ( ⁇ -cos (f (x s), f (t i))) / L xs, ⁇ cos "of the value and the value of the parameter epsilon of any smaller value Is calculated and output as the lower limit ⁇ imp, p cos of the minimum perturbation size ⁇ p, imp cos.
  • the robustness evaluation device 400 ends the process of FIG.
  • the similarity calculation unit 405 calculates the cosine similarity.
  • the evaluation value estimation unit 402 estimates the evaluation value of the robustness of the authentication model for spoofing based on the value obtained by subtracting the similarity calculated by the similarity calculation unit 405 from the determination threshold value. As a result, according to the robustness evaluation device 400, the robustness of the authentication model for the hostile sample generated for the purpose of spoofing can be quantitatively evaluated.
  • FIG. 11 is a schematic block diagram showing a configuration example of the local Lipschitz constant estimation device according to the fifth embodiment.
  • the local Lipschitz constant estimation device 500 includes an optimization unit 502 and a determination unit 504.
  • the sphere B p is a sphere represented by the equation (24).
  • Non-Patent Document 1 by sampling a plurality of points from the sphere B p, local Lipschitz constant L xc in a manner dependent on the sampling, to estimate the ⁇ is described.
  • the local Lipschitz constant estimation device 500 estimates the local Lipschitz constants L xx and ⁇ by a method utilizing the gradient method. It is expected that more accurate local Lipschitz constants L xx and ⁇ can be estimated by using the gradient method without depending on sampling.
  • the local Lipschitz constant estimator 500 accepts the function h: R d ⁇ R, the center x c ⁇ R d, and the radius ⁇ > 0 as inputs, and the function h: R d in the sphere B p shown in the equation (24). ⁇ Estimate and output the local Lipschitz constant of R.
  • the local Lipschitz constant estimation device 500 corresponds to the case where p is 2 and the case where p is ⁇ .
  • the local Lipschitz constant estimation device 500 can be used as a local Lipschitz constant estimation unit in any of the robustness evaluation devices 100, 200, 300, and 400.
  • the center x c ⁇ R d is x i ⁇ R d .
  • the optimization unit 502 estimates the local Lipschitz constant by solving the optimization problem shown in equation (26).
  • the optimization unit 502 solves the optimization problem of the above equation (26) by determining the initial point x 0 ⁇ R d and updating the point x n M times based on the equation (27).
  • x n indicates a point updated n times.
  • x n corresponds to an example of calculating a candidate for a local Lipschitz constant value.
  • ⁇ h (x n-1 ) indicates the gradient of the function h at the point x n-1.
  • l indicates the learning rate.
  • the local Lipschitz constant estimation device 500 may accept the learning rate l as an input. Alternatively, the learning rate l may be preset in the local Lipschitz constant estimation device 500.
  • the method for determining the initial point x 0 ⁇ R d is not limited to a specific method.
  • the local Lipschitz constant estimation device 500 may accept the update count M as an input. Alternatively, the update count M may be preset in the local Lipschitz constant estimation device 500.
  • the determination unit 504 determines whether or not x n ⁇ B p is satisfied.
  • the optimization unit 502 makes the following corrections according to p so that x n ⁇ B p is satisfied.
  • the optimization unit 502 modifies the point xn as in Eq. (29).
  • M in equation (29) takes an integer value from 1 to d.
  • x n [m] represents the value of the m-th element of x n.
  • optimization unit 502 when updating M times x n in a manner as described above, a
  • q which is calculated for each of the updated x n , corresponds to an example of a candidate value for a local Lipschitz constant. Then, among the M calculated values, the maximum value shown in the equation (30) is output as an estimated value of the local Lipschitz constants L xx and ⁇ .
  • the determination unit 504 receives the updated x n by the optimization unit 502, determines whether or not x n ⁇ B p is satisfied, and outputs the determination result to the optimization unit 502.
  • the determination unit 504 determines that x n meets the x n ⁇ B p. On the other hand, if the expression (32) is not satisfied, the determination unit 504 determines that x n does not satisfy the x n ⁇ B p.
  • FIG. 12 is a flowchart showing an example of a processing procedure in which the local Lipschitz constant estimation device 500 estimates the local Lipschitz constant.
  • the optimization unit 502 accepts the function h: R d ⁇ R, the center x c ⁇ R d, and the radius ⁇ > 0 as inputs (step S501).
  • step S502 determines the initial point x 0 ⁇ R d (step S502).
  • step S503 the optimization unit 502 starts a loop for performing the optimization calculation.
  • step S504 calculates x n using the equation (27) and outputs x n to the determination unit 504 (step S504).
  • the process of step S504 corresponds to the process of updating xn.
  • the determination unit 504 determines whether or not x n satisfies the constraint, and returns the determination result to the optimization unit 502 (step S505).
  • the optimization unit 502 modifies xn using a modification formula based on the determination result obtained from the determination unit 504. (Step S506). Specifically, if x n has determined that the determination unit 504 does not meet the x n ⁇ B p, optimization unit 502, using either equation (28) or formula (29) in accordance with the p Correct the value of xn.
  • the optimization unit 502 calculates
  • the optimization unit 502 performs the termination processing of the optimization calculation loop (step S508). Specifically, the optimization unit 502 determines whether or not the update has been performed M times. When it is determined that the update has not been performed M times, the optimization unit 502 continues to repeat the processing of the optimization loop. When it is determined that the update has been performed M times, the optimization unit 502 ends the optimization loop.
  • the maximum value of q is output as an estimated value of the local Lipschitz constants L xc and ⁇ (step S509). After step S509, the local Lipschitz constant estimation device 500 completes the process of FIG.
  • the local Lipschitz constant estimation device 500 repeats the process of updating the points included in the sphere according to the slope of the function for calculating the similarity, and the local is calculated for each updated point.
  • the largest candidate for the Lipschitz constant value is estimated to be the local Lipschitz constant value.
  • the local Lipschitz constant estimation device 500 can estimate the local Lipschitz constant. By updating the point at which the candidate for the local Lipschitz constant value is calculated according to the slope of the function that calculates the similarity, for example, more accurate local Lipschitz than when randomly sampling the candidate for the local Lipschitz constant value. It is expected that the constant can be estimated.
  • FIG. 13 is a diagram showing a configuration example of the robustness evaluation device according to the sixth embodiment.
  • the robustness evaluation device 600 includes an evaluation value estimation unit 601, a similarity calculation unit 602, and a local Lipschitz constant estimation unit 603.
  • the similarity calculation unit 602 calculates the similarity between the feature amount input to the authentication model and the feature amount of the template.
  • the local Lipschitz constant estimation unit 603 estimates the local Lipschitz constant in the sphere centered on the input to the authentication model of the function that calculates the similarity between the feature amount input to the authentication model and the feature amount of the template.
  • the evaluation value estimation unit 601 estimates the evaluation value of the robustness of the authentication model based on the similarity calculated by the similarity calculation unit 602, the determination threshold value for the similarity, and the local Lipschitz constant. According to the robustness evaluation device 600, the robustness of the authentication model can be quantitatively evaluated.
  • FIG. 14 is a flowchart showing an example of a processing procedure in the robustness evaluation method according to the seventh embodiment.
  • the robustness evaluation method shown in FIG. 14 includes a similarity calculation step (step S601), a local Lipschitz constant estimation step (step S602), and an evaluation value estimation step (step S603).
  • step S601 the similarity between the feature amount input to the authentication model and the feature amount of the template is calculated.
  • step S602 the local Lipschitz constant in the sphere centered on the input to the authentication model of the function for calculating the similarity between the feature amount input to the authentication model and the feature amount of the template is estimated.
  • step S603 the evaluation value of the robustness of the authentication model is estimated based on the similarity calculated in step S601, the judgment threshold value for the similarity, and the local Lipschitz constant. According to the robustness evaluation method shown in FIG. 14, the robustness of the authentication model can be quantitatively evaluated.
  • FIG. 15 is a schematic block diagram showing the configuration of a computer according to at least one embodiment.
  • the computer 700 includes a CPU (Central Processing Unit) 710, a main storage device 720, an auxiliary storage device 730, and an interface 740.
  • CPU Central Processing Unit
  • any one or more of the above-mentioned robustness evaluation devices 100, 200, 300, 400, 600, and the local Lipschitz constant estimation device 500 may be mounted on the computer 700.
  • the operation of each of the above-mentioned processing units is stored in the auxiliary storage device 730 in the form of a program.
  • the CPU 710 reads the program from the auxiliary storage device 730, expands it to the main storage device 720, and executes the above processing according to the program. Further, the CPU 710 secures a storage area corresponding to each of the above-mentioned storage units in the main storage device 720 according to the program.
  • the robustness evaluation device 100 When the robustness evaluation device 100 is mounted on the computer 700, the operations of the evaluation value estimation unit 102, the difference calculation unit 104, the similarity calculation unit 105, and the local Lipschitz constant estimation unit 106 are assisted in the form of a program. It is stored in the storage device 730.
  • the CPU 710 reads a program from the auxiliary storage device 730, deploys it to the main storage device 720, and executes the operation of each unit according to the program.
  • the output of the evaluation value of the robustness of the authentication model is executed when the interface 740 has an output function such as a communication function or a display function and performs output processing according to the control of the CPU 710.
  • the robustness evaluation device 200 When the robustness evaluation device 200 is mounted on the computer 700, the operations of the evaluation value estimation unit 202, the difference calculation unit 204, the similarity calculation unit 205, and the local Lipschitz constant estimation unit 206 are assisted in the form of a program. It is stored in the storage device 730.
  • the CPU 710 reads a program from the auxiliary storage device 730, deploys it to the main storage device 720, and executes the operation of each unit according to the program.
  • the output of the evaluation value of the robustness of the authentication model is executed when the interface 740 has an output function such as a communication function or a display function and performs output processing according to the control of the CPU 710.
  • the robustness evaluation device 300 When the robustness evaluation device 300 is mounted on the computer 700, the operations of the evaluation value estimation unit 302, the difference calculation unit 304, the similarity calculation unit 305, and the local Lipschitz constant estimation unit 306 are assisted in the form of a program. It is stored in the storage device 730.
  • the CPU 710 reads a program from the auxiliary storage device 730, deploys it to the main storage device 720, and executes the operation of each unit according to the program.
  • the output of the evaluation value of the robustness of the authentication model is executed when the interface 740 has an output function such as a communication function or a display function and performs output processing according to the control of the CPU 710.
  • the operations of the evaluation value estimation unit 402, the difference calculation unit 404, the similarity calculation unit 405, and the local Lipschitz constant estimation unit 406 are assisted in the form of a program. It is stored in the storage device 730.
  • the CPU 710 reads a program from the auxiliary storage device 730, deploys it to the main storage device 720, and executes the operation of each unit according to the program.
  • the output of the evaluation value of the robustness of the authentication model is executed when the interface 740 has an output function such as a communication function or a display function and performs output processing according to the control of the CPU 710.
  • the operations of the optimization unit 502 and the determination unit 504 are stored in the auxiliary storage device 730 in the form of a program.
  • the CPU 710 reads a program from the auxiliary storage device 730, deploys it to the main storage device 720, and executes the operation of each unit according to the program.
  • the output of the estimated value of the local Lipschitz constant is executed when the interface 740 has an output function such as a communication function and performs output processing according to the control of the CPU 710.
  • the operations of the evaluation value estimation unit 601, the similarity calculation unit 602, and the local Lipschitz constant estimation unit 603 are stored in the auxiliary storage device 730 in the form of a program. ing.
  • the CPU 710 reads a program from the auxiliary storage device 730, deploys it to the main storage device 720, and executes the operation of each unit according to the program.
  • the output of the evaluation value of the robustness of the authentication model is executed when the interface 740 has an output function such as a communication function or a display function and performs output processing according to the control of the CPU 710.
  • a program for realizing all or part of the functions of the robustness evaluation devices 100, 200, 300, 400, 600, and the local Lipsitz constant estimation device 500 is recorded on a computer-readable recording medium.
  • the processing of each part may be performed by loading the program recorded on the recording medium into the computer system and executing the program.
  • the term "computer system” as used herein includes hardware such as an OS (operating system) and peripheral devices.
  • "Computer readable recording medium” includes flexible disks, optomagnetic disks, portable media such as ROM (Read Only Memory) and CD-ROM (Compact Disc Read Only Memory), and hard disks built into computer systems.
  • the above-mentioned program may be a program for realizing a part of the above-mentioned functions, and may be a program for realizing the above-mentioned functions in combination with a program already recorded in the computer system.
  • the embodiment of the present invention may be applied to a robustness evaluation device, a robustness evaluation method, and a recording medium.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Mathematical Physics (AREA)
  • Evolutionary Computation (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Artificial Intelligence (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Multimedia (AREA)
  • Health & Medical Sciences (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Algebra (AREA)
  • Computational Mathematics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Oral & Maxillofacial Surgery (AREA)
  • Human Computer Interaction (AREA)
  • Computational Linguistics (AREA)
  • Image Analysis (AREA)
  • Collating Specific Patterns (AREA)

Abstract

ロバスト性評価装置が、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する類似度算出部と、前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定するローカルリプシッツ定数推定部と、前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する評価値推定部と、を備える。

Description

ロバスト性評価装置、ロバスト性評価方法および記録媒体
　本発明は、ロバスト性評価装置、ロバスト性評価方法および記録媒体に関する。
　深層学習など機械学習に関して、学習済みモデルを欺くように精巧に作られた人工的なサンプルである敵対的サンプル（Adversarial Example；ＡＸ）によって、訓練時に設計者が想定していない誤動作が誘引される場合があるという問題が知られている。
　このような敵対的サンプルに関して、非特許文献１では、分類器ｇ：Ｒｄ→Ｒｋを対象とする敵対的サンプルに対する定量的なロバスト性評価方法が提案されている。非特許文献１に示される分類器は、入力されたデータに対して、ｋ個の分類先クラスにそれぞれ対応するｋ個の実数で表される分類度を出力する。この分類器では、入力されたデータに対して正解クラスの分類度が最も高くなるように、深層学習を用いて学習される。
Tsui-Wei Weng、外７名、"EVALUATING THE ROBUSTNESS OF NEURAL NETWORKS: AN EXTREME VALUE THEORY APPROACH"、International Conference on Learning Representations (ICLR)、２０１８年
　非特許文献１に記載された手法は、分類器を対象としたロバスト性評価値の算出手法である。このため、非特許文献１に記載された手法では、特徴量抽出器と認証対象のデータのテンプレートとしきい値とを用いる認証モデルの、敵対的サンプルに対するロバスト性を算出することはできない。
　本発明の目的の一例は、上記の問題を解決することができるロバスト性評価装置、ロバスト性評価方法および記録媒体を提供することである。
　本発明の第１の態様によれば、ロバスト性評価装置は、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する類似度算出部と、前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定するローカルリプシッツ定数推定部と、前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する評価値推定部と、を備える。
　本発明の第２の態様によれば、ロバスト性評価方法は、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する工程と、前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する工程と、前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する工程と、を含む。
　本発明の第３の態様によれば、記録媒体は、コンピュータに、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する工程と、前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する工程と、前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する工程と、を実行させるためのプログラムを記録した記録媒体である。
　上記したロバスト性評価装置、ロバスト性評価方法および記録媒体によれば、認証モデルのロバスト性を算出することができる。
第一実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。 第一実施形態に係るロバスト性評価装置がロバスト性評価値算出の対象とする認証モデルの例を示す図である。 第一実施形態に係るロバスト性評価装置が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。 第二実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。 第二実施形態に係るロバスト性評価装置がロバスト性評価値算出の対象とする認証モデルの例を示す図である。 ロバスト性評価装置が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。 第三実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。 第三実施形態に係るロバスト性評価装置が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。 第四実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。 第四実施形態に係るロバスト性評価装置が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。 第五実施形態に係るローカルリプシッツ定数推定装置の構成例を示す概略ブロック図である。 第五実施形態に係るローカルリプシッツ定数推定装置がローカルリプシッツ定数を推定する処理手順の例を示すフローチャートである。 第六実施形態に係るロバスト性評価装置の構成例を示す図である。 第七実施形態に係るロバスト性評価方法における処理の手順の例を示すフローチャートである。 少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
　以下、本発明の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
＜第一実施形態＞
　図１は、第一実施形態に係るロバスト性（Robustness）評価装置の構成例を示す概略ブロック図である。図１に示す構成で、ロバスト性評価装置１００は、評価値推定部１０２と、差算出部１０４と、ローカルリプシッツ定数推定部１０６と、を備える。差算出部１０４は、類似度算出部１０５を備える。
　ロバスト性評価装置１００は、認証モデルに対する「認証外し」（Dodging）を目的として生成される敵対的サンプルに対する、認証モデルのロバスト性の定量的評価値の算出を行う。
　認証外しとは、登録されたテンプレートを用いて認証される認証対象と同一の認証対象のデータが入力されたにもかかわらず、認証モデルが認証に失敗することである。例えば、顔認証を行う認証モデルの場合、認証対象者の顔が認証対象である。認証外しでは、テンプレートとして顔画像が登録されている認証対象者と同一人物の顔画像が入力されたにもかかわらず、認証モデルが顔認証に失敗する。
　敵対的サンプルに対する認証モデルのロバスト性を定量的に評価することは重要である。認証モデルが「ロバスト」であるとは、あるデータが認証モデルに入力されたときと、そのデータが加工された敵対的サンプルが認証モデルに入力されたときとで、認証モデルによる認証結果が異なるものになりづらいことである。データを加工することを、そのデータにノイズを加えると表記する。加工前のデータをｘとし、ノイズをδとする場合、加工後のデータをｘ＋δで示す。
　認証モデルのロバスト性の定量的な評価が可能になると、ロバスト性の観点で認証モデルを比較可能となる。認証モデルのロバスト性の評価値を、敵対的サンプルに対してよりロバストな認証モデルを構築するための参考とすることができる。さらには、認証モデルのロバスト性の評価値を、敵対的サンプルに対してよりロバストな認証モデルを内包するシステムを構築するための参考とすることができる。
　ロバスト性評価装置１００は、特徴量間の類似度の指標として、値が小さいほど類似度が高いことを表す指標を用いた認証モデルを、ロバスト性評価値算出の対象とする。そのような指標を用いて類似度を計算する場合、認証モデルは特徴量間の類似度の指標値がしきい値以下ならば認証成功、しきい値より大きければ認証失敗と認証結果を決定する。そのような指標の例として、ユークリッド距離が挙げられる。
　第一実施形態では、類似度の指標として、ユークリッド距離を用いた認証モデルがロバスト性評価値算出の対象である場合を例に説明する。ただし、第一実施形態における認証モデルが用いる類似度の指標は、ユークリッド距離に限定されず、値が小さいほど類似度が高いことを示すいろいろな指標とすることができる。
　図２は、ロバスト性評価装置１００がロバスト性評価値算出の対象とする認証モデルの例を示す図である。ロバスト性評価装置１００がロバスト性評価値算出の対象とする認証モデルを、認証モデル９１０と表記する。
　認証モデル９１０の特徴量抽出器をｆで示し、しきい値をτで示し、認証対象ｉのテンプレートをｔｉで示す。また、認証モデル９１０は、特徴量の類似度の指標としてユークリッド距離を用いる。
　しきい値τは、特徴量の類似度に対して適用される、認証に成功したか否かの判定のための判定しきい値の例に該当する。
　ｉは、認証対象を識別する識別番号を示す正の整数である。認証モデル９１０に複数のテンプレートが登録されている場合、複数のテンプレートのうち何れか１つのテンプレートが指定され、認証モデル９１０は、指定されたテンプレートを用いて認証を行う。認証モデル９１０は、入力されたデータの特徴量と指定されたテンプレートの特徴量との類似度に基づいて、入力されたデータに示される認証対象が、テンプレートを登録されている認証対象と同一の認証対象であるか否かを判定することで、認証を行う。
　特徴量抽出器ｆは、ｆ：Ｒｄ→Ｒｍと示される。ここでのＲは、実数を示す。ｄ、ｍはそれぞれ正の整数を示す。特徴量抽出器ｆは、ｄ次元の実数ベクトルのデータの入力を受けてｍ次元の実数ベクトルで示される特徴量を出力する。
　しきい値τは、τ＞０の実数である。
　認証対象ｉのテンプレートｔｉは、ｄ次元の実数ベクトルのデータである。したがって、ｔｉ∈Ｒｄと示される。
　特徴量抽出器ｆは同じ認証対象のデータに対し、類似する特徴量を示すベクトル（特徴量ベクトル）を出力する。例えば、認証モデル９１０が顔認証を行う場合、特徴量抽出器ｆは、同じ人の異なる顔画像に対して類似度が高い特徴量ベクトルを出力する。
　特徴量抽出器ｆの形態は、特定の形態に限定されない。例えば、特徴量抽出器ｆが、ディープニューラルネットワーク（Deep Neural Network；ＤＮＮ）が深層学習（Deep Learning）を行うことによって生成されていてもよいが、これに限定されない。
　１つのテンプレートｔｉが指定され、データｘ∈Ｒｄが入力された場合、認証モデル９１０は、入力されたデータｘの特徴量と指定されたテンプレートｔｉの特徴量との類似度を示す指標値を算出する。そして、認証モデル９１０は、算出した指標値としきい値τとを比較する。指標値がしきい値τ以下であると判定した場合、認証モデル９１０は、認証成功の認証結果を出力する。指標値がしきい値τより大きいと判定した場合、認証モデル９１０は、認証失敗の認証結果を出力する。
　ロバスト性評価装置１００は、認証モデル９１０に対して、認証対象ｉのデータｘｉ∈Ｒｄにノイズδ∈Ｒｄが付加された敵対的サンプルｘｉ＋δが入力されることを想定し、そのときの認証モデルのロバスト性評価値を算出する。ロバスト性評価装置１００は、ロバスト性評価値として、認証外しを達成するために必要な最小摂動（Perturbation）サイズΔｐ，ｍｉｎ ｌ２の下限βｄｏｄ，ｐ ｌ２を推定する。
　最小摂動サイズΔｐ，ｍｉｎ ｌ２は、式（１）のように示される。
Figure JPOXMLDOC01-appb-M000001
　「｜｜　｜｜ｐ」は、ｌｐノルムを示す。「｜｜δ｜｜ｐ」は、ノイズδ∈Ｒｄのｌｐノルムを示す。ｐは１、２、∞のいずれでもよい。
　「ｆ（ｘｉ＋δ）」は、データｘｉにノイズδが加えられた敵対的サンプルｘｉ＋δの特徴量を示す。「ｆ（ｔｉ）」は、テンプレートｔｉの特徴量を示す。
　「｜｜ｆ（ｘｉ＋δ）－ｆ（ｔｉ）｜｜２」は、敵対的サンプルｘｉ＋δの特徴量とテンプレートｔｉの特徴量との類似度の、ｌ２ノルムによる指標値を示す。ｌ２ノルムはユークリッド距離とも称される。
　「｜｜ｆ（ｘｉ＋δ）－ｆ（ｔｉ）｜｜２＞τ」は、認証モデル９１０が認証失敗と判定する判定基準を示す。したがって、最小摂動サイズΔｐ，ｍｉｎ ｌ２は、ノイズδのｌｐノルムのうち、認証外しが生じる最小のｌｐノルムを示す。
　ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｍｉｎ ｌ２よりも小さい場合、認証モデル９１０は、敵対的サンプルｘｉ＋δおよびテンプレートｔｉに基づく認証で、認証成功と判定する。すなわち、ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｍｉｎ ｌ２よりも小さい場合、認証外しは生じない。
　一般的には最小摂動サイズΔｐ，ｍｉｎ ｌ２を算出することは困難である。そこで、ロバスト性評価装置１００は、ロバスト性評価値として、最小摂動サイズΔｐ，ｍｉｎ ｌ２の下限βｄｏｄ，ｐ ｌ２を推定する。βｄｏｄ，ｐ ｌ２が最小摂動サイズΔｐ，ｍｉｎ ｌ２の下限であることから、式（２）のように示される。
Figure JPOXMLDOC01-appb-M000002
　ｐは１、２、∞のいずれでもよい。ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズの下限βｄｏｄ，ｐ ｌ２よりも小さい場合、認証外しは生じない。
　ロバスト性評価装置１００は、特徴量抽出器ｆと、しきい値τと、認証対象ｉのテンプレートｔｉ∈Ｒｄと、認証対象ｉの入力データｘｉ∈Ｒｄと、パラメータε＞０とが入力されたときに、最小摂動サイズΔｐ，ｍｉｎ ｌ２の下限βｄｏｄ，ｐ ｌ２を推定し、ロバスト性評価値として出力する。
　ロバスト性評価装置１００は、認証モデル９１０の入力データｘｉ∈Ｒｄに対する最小摂動サイズの下限βｄｏｄ，ｐ ｌ２を、式（３）を用いて計算する。
Figure JPOXMLDOC01-appb-M000003
　「τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」は、入力データｘｉから計算される特徴量ｆ（ｘｉ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度を、しきい値τから減算した差を示す。
　「Ｌｘｉ，ε ｌ２」は、式（４）で示される関数ｈｌ２（ｘ）の、球Ｂｐ ｉにおけるローカルリプシッツ定数（Local Lipschitz Constant）を示す。
Figure JPOXMLDOC01-appb-M000004
　球Ｂｐ ｉは、式（５）で示される球である。
Figure JPOXMLDOC01-appb-M000005
　球Ｂｐ ｉの中心はｘｉであり、球Ｂｐ ｉの半径はεである。εは、ローカルリプシッツ定数を求める際に用いられるパラメータを示し、ε＞０である。例えば、ロバスト性評価装置１００のユーザがパラメータεの値を決定し、ロバスト性評価装置１００に入力するようにしてもよい。あるいは、ロバスト性評価装置１００が、予め定められたパラメータεの値を記憶しておくようにしてもよい。
　ここで、ローカルリプシッツ定数について説明する。
　Ｓ⊂Ｒｄを、凸状の境界で閉じられた領域とし、関数ｈ（ｘ）を、ｈ（ｘ）：Ｓ→Ｒとする。すなわち、関数ｈ（ｘ）を、領域Ｓ内のｄ次元実数ベクトルを実数に射影する、領域Ｓに関して連続な関数とする。ｘ、ｙをそれぞれ領域Ｓに含まれる任意のｄ次元実数ベクトルとして、式（６）が成り立つ場合、関数ｈ（ｘ）は、リプシッツ定数Ｌｑのリプシッツ関数と称される。
Figure JPOXMLDOC01-appb-M000006
　特に、特定のｘ０∈Ｒｄおよびその周囲におけるリプシッツ定数は、ローカルリプシッツ定数と称される。
　第一実施形態では、上記のようにｘｉを中心とする球Ｂｐ ｉにおける関数ｈｌ２のローカルリプシッツ定数Ｌｘｉ，ε ｌ２を用いる。
　なお、リプシッツ定数、および、ローカルリプシッツ定数については、例えば非特許文献１に記載されている。
　ロバスト性評価装置１００がローカルリプシッツ定数Ｌｘｉ，ε ｌ２を算出する方法として、公知の方法を用いることができる。例えばロバスト性評価装置１００が、式（７）に基づいてローカルリプシッツ定数Ｌｘｉ，ε ｌ２を算出するようにしてもよい。
Figure JPOXMLDOC01-appb-M000007
　∇はナブラ（Nabla）演算子を示し、∇ｈ（ｘ）は式（８）のように示される。
Figure JPOXMLDOC01-appb-M000008
　ｑは、式（９）を満たす正の整数である。
Figure JPOXMLDOC01-appb-M000009
　上記のように、ｐは、１、２、∞の何れかの値をとる。ｐ＝１のとき、ｑ＝∞である。ｐ＝２のとき、ｑ＝２である。ｐ＝∞のとき、ｑ＝１である。
　差算出部１０４は、入力データｘｉから計算される特徴量ｆ（ｘｉ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度を、しきい値τから減算した差「τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」を計算する。
　差算出部１０４の類似度算出部１０５は、入力データｘｉから計算される特徴量ｆ（ｘｉ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」を算出する。
　ローカルリプシッツ定数推定部１０６は、上述したローカルリプシッツ定数Ｌｘｉ，ε ｌ２を算出する。
　評価値推定部１０２は、差算出部１０４が算出する「τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」の値と、ローカルリプシッツ定数推定部１０６が算出するローカルリプシッツ定数Ｌｘｉ，ε ｌ２とを用いて、「（τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２）／Ｌｘｉ，ε ｌ２」を計算する。評価値推定部１０２は、「（τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２）／Ｌｘｉ，ε ｌ２」の値と、パラメータεの値との大小を比較し、何れか値が小さい方を、最小摂動サイズΔｐ，ｍｉｎ ｌ２の下限βｄｏｄ，ｐ ｌ２として出力する。
　図３を参照して、ロバスト性評価装置１００の動作について説明する。
　図３は、ロバスト性評価装置１００が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。
　図３の処理で、評価値推定部１０２は、特徴量抽出器ｆ：Ｒｄ→Ｒｍと、しきい値τ＞０と、認証対象ｉのテンプレートｔｉ∈Ｒｄと、認証対象ｉの入力データｘｉ∈Ｒｄと、パラメータε＞０との入力を受け付ける（ステップＳ１０１）。
　次いで、差算出部１０４は、入力データｘｉから計算される特徴量ｆ（ｘｉ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度を、しきい値τから減算した差「τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」を計算する（ステップＳ１０２）。ステップＳ１０２で、類似度算出部１０５が、入力データｘｉから計算される特徴量ｆ（ｘｉ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」を算出する。
　次いで、ローカルリプシッツ定数推定部１０６は、関数ｈｌ２（ｘ）＝｜｜ｆ（ｘ）－ｆ（ｔｉ）｜｜２の、上記の式（５）で示される球Ｂｐ ｉにおけるローカルリプシッツ定数Ｌｘｉ，ε ｌ２の推定を行う（ステップＳ１０３）。
　次いで、評価値推定部１０２は、最小摂動サイズΔｐ，ｍｉｎ ｌ２の下限βｄｏｄ，ｐ ｌ２を算出し出力する（ステップＳ１０４）。具体的には、評価値推定部１０２は、差算出部１０４が計算した「τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２」の値と、ローカルリプシッツ定数推定部１０６が推定したローカルリプシッツ定数Ｌｘｉ，ε ｌ２の値とを用いて「（τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２）／Ｌｘｉ，ε ｌ２」を計算する。評価値推定部１０２は、「（τ－｜｜ｆ（ｘｉ）－ｆ（ｔｉ）｜｜２）／Ｌｘｉ，ε ｌ２」の値とパラメータεの値とのうち、何れか小さい方の値を、最小摂動サイズΔｐ，ｍｉｎ ｌ２の下限βｄｏｄ，ｐ ｌ２として算出し出力する。
　ステップＳ１０４の後、ロバスト性評価装置１００は、図３の処理を終了する。
　以上のように、類似度算出部１０５は、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する。ローカルリプシッツ定数推定部１０６は、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する。評価値推定部１０２は、類似度算出部１０５が算出する類似度と、その類似度に対する判定閾値と、ローカルリプシッツ定数とに基づいて、認証モデルのロバスト性の評価値を推定する。
　これにより、ロバスト性評価装置１００によれば、認証モデルのロバスト性を定量的に評価することができる。
　ここで、入力データをクラス分けする分類器と認証モデルとでは、それぞれが解く問題、出力を決定する方法の何れも異なる。分類器は入力データを、分類度が最も大きくなるクラスに分類する。これに対して、認証モデルは、特徴量抽出器を用いて算出される入力データの特徴量とテンプレートの特徴量との類似度としきい値の比較により認証を行う。したがって、分類器のロバスト性評価値の計算式を用いて、認証モデルの敵対的サンプルに対するロバスト性評価値を計算することはできない。これに対し、ロバスト性評価装置１００によれば、認証モデルのロバスト性を定量的に評価することができる。
　また、類似度算出部１０５は、ユークリッド距離による類似度を算出する。評価値推定部１０２は、類似度算出部１０５が算出する類似度を判定しきい値から減算した値をローカルリプシッツ定数で減算した値に基づいて、認証外しに対する前記認証モデルのロバスト性の評価値を推定する。
　これにより、ロバスト性評価装置１００によれば、認証はずしを目的として生成される敵対的サンプルに対する認証モデルのロバスト性を定量的に評価することができる。
＜第二実施形態＞
　図４は、第二実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。図４に示す構成で、ロバスト性評価装置２００は、評価値推定部２０２と、差算出部２０４と、ローカルリプシッツ定数推定部２０６と、を備える。差算出部２０４は、類似度算出部２０５を備える。
　ロバスト性評価装置２００は、ロバスト性評価装置１００（図１）の場合と同様、認証モデルに対する「認証外し」（dodging）を目的として生成される敵対的サンプルに対する、認証モデルのロバスト性の定量的評価値の算出を行う。
　一方、ロバスト性評価装置２００は、特徴量間の類似度の指標として、値が大きいほど類似度が高いことを表す指標を用いた認証モデルを、ロバスト性評価値算出の対象とする。この点で、ロバスト性評価装置２００は、ロバスト性評価装置１００と異なる。
　値が大きいほど類似度が高いことを表す指標を用いて類似度を計算する場合、認証モデルは特徴量間の類似度の指標値がしきい値以上ならば認証成功、しきい値より小さければ認証失敗と認証結果を決定する。そのような指標の例として、コサイン類似度（Cosine Similarity）が挙げられる。
　第二実施形態では、類似度の指標として、コサイン類似度を用いた認証モデルがロバスト性評価値算出の対象である場合を例に説明する。ただし、第二実施形態における認証モデルが用いる類似度の指標は、コサイン類似度に限定されず、値が大きいほど類似度が高いことを示すいろいろな指標とすることができる。
　図５は、ロバスト性評価装置２００がロバスト性評価値算出の対象とする認証モデルの例を示す図である。ロバスト性評価装置２００がロバスト性評価値算出の対象とする認証モデルを、認証モデル９２０と表記する。認証モデル９２０の特徴量抽出器ｆ、しきい値τ、認証対象ｉのテンプレートｔｉは、いずれも認証モデル９１０（図２）の場合と同様である。しきい値τの具体的な値は、認証モデル９１０の場合と異なっていてもよい。
　認証モデル９２０は、特徴量の類似度の指標としてコサイン類似度を用いる点で、認証モデル９１０と異なる。それ以外の点では、認証モデル９２０は、認証モデル９１０と同様である。
　第一実施形態の場合と同様、テンプレートｔｉの「ｉ」は、認証対象を識別する識別番号を示す正の整数である。認証モデル９２０に複数のテンプレートが登録されている場合、複数のテンプレートのうち何れか１つのテンプレートが指定され、認証モデル９２０は、指定されたテンプレートを用いて認証を行う。認証モデル９２０は、入力されたデータの特徴量と指定されたテンプレートの特徴量との類似度に基づいて、入力されたデータに示される認証対象が、テンプレートを登録されている認証対象と同一の認証対象であるか否かを判定することで、認証を行う。
　１つのテンプレートｔｉが指定され、データｘ∈Ｒｄが入力された場合、認証モデル９２０は、入力されたデータｘの特徴量と指定されたテンプレートｔｉの特徴量との類似度を示す指標値を算出する。そして、認証モデル９２０は、算出した指標値としきい値τとを比較する。指標値がしきい値τ以上であると判定した場合、認証モデル９１０は、認証成功の認証結果を出力する。指標値がしきい値τより小さいと判定した場合、認証モデル９２０は、認証失敗の認証結果を出力する。
　ロバスト性評価装置２００は、認証モデル９２０に対して、認証対象ｉのデータｘｉ∈Ｒｄにノイズδ∈Ｒｄが付加された敵対的サンプルｘｉ＋δが入力されることを想定し、そのときの認証モデルのロバスト性評価値を算出する。ロバスト性評価装置２００は、ロバスト性評価値として、認証外しを達成するために必要な最小摂動サイズΔｐ，ｍｉｎ ｃｏｓの下限βｄｏｄ，ｐ ｃｏｓを推定する。
　最小摂動サイズΔｐ，ｍｉｎ ｃｏｓは、式（１０）のように示される。
Figure JPOXMLDOC01-appb-M000010
　「ｃｏｓ（　，　）」は、２つのベクトルのコサイン類似度を算出する関数である。「ｃｏｓ（ｆ（ｘｉ＋δ）,ｆ（ｔｉ））」は、敵対的サンプルｘｉ＋δの特徴量「ｆ（ｘｉ＋δ）」と、テンプレートｔｉの特徴量「ｆ（ｔｉ）」とのコサイン類似度を示す。
　「ｃｏｓ（ｆ（ｘｉ＋δ）,ｆ（ｔｉ））＜τ」は、認証モデル９２０が認証失敗と判定する判定基準を示す。したがって、最小摂動サイズΔｐ，ｍｉｎ ｃｏｓは、ノイズδのｌｐノルムのうち、認証外しが生じる最小のｌｐノルムを示す。
　ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｍｉｎ ｃｏｓよりも小さい場合、認証モデル９２０は、敵対的サンプルｘｉ＋δおよびテンプレートｔｉに基づく認証で、認証成功と判定する。すなわち、ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｍｉｎ ｃｏｓよりも小さい場合、認証外しは生じない。
　一般的には最小摂動サイズΔｐ，ｍｉｎ ｃｏｓを算出することは困難である。そこで、ロバスト性評価装置２００は、ロバスト性評価値として、最小摂動サイズΔｐ，ｍｉｎ ｃｏｓの下限βｄｏｄ，ｐ ｃｏｓを推定する。βｄｏｄ，ｐ ｃｏｓが最小摂動サイズΔｐ，ｍｉｎ ｃｏｓの下限であることから、式（１１）のように示される。
Figure JPOXMLDOC01-appb-M000011
　ｐは１、２、∞のいずれでもよい。ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズの下限βｄｏｄ，ｐ ｃｏｓよりも小さい場合、認証外しは生じない。
　ロバスト性評価装置２００は、特徴量抽出器ｆと、しきい値τと、認証対象ｉのテンプレートｔｉ∈Ｒｄと、認証対象ｉの入力データｘｉ∈Ｒｄと、パラメータε＞０とが入力されたときに、最小摂動サイズの下限βｄｏｄ，ｐ ｃｏｓを推定し、ロバスト性評価値として出力する。
　ロバスト性評価装置２００は、認証モデル９２０の入力データｘｉ∈Ｒｄに対する最小摂動サイズの下限βｄｏｄ，ｐ ｃｏｓを、式（１２）を用いて計算する。
Figure JPOXMLDOC01-appb-M000012
　「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ」は、入力データｘｉから計算される特徴量ｆ（ｘｉ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度から、しきい値τを減算した差を示す。
　「Ｌｘｉ，ε ｃｏｓ」は、式（１３）で示される関数ｈｃｏｓ（ｘ）の、式（５）で示される球Ｂｐ ｉにおけるローカルリプシッツ定数を示す。
Figure JPOXMLDOC01-appb-M000013
　ロバスト性評価装置２００がローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓを算出する方法として、公知の方法を用いることができる。例えばロバスト性評価装置２００が、式（１４）に基づいてローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓを算出するようにしてもよい。
Figure JPOXMLDOC01-appb-M000014
　式（１４）は、左辺がＬｘｉ，ε ｃｏｓとなっている点、および、右辺に関数ｈｃｏｓ（ｘ）が示されている点で、式（７）と異なる。それ以外は、式（１４）は、式（７）と同様である。
　差算出部２０４は、入力データｘｉから計算される特徴量ｆ（ｘｉ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度から、しきい値τを減算した差「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ」を計算する。
　差算出部２０４の類似度算出部２０５は、入力データｘｉから計算される特徴量ｆ（ｘｉ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））」を算出する。
　ローカルリプシッツ定数推定部２０６は、上述したローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓを算出する。
　評価値推定部２０２は、差算出部２０４が算出する「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ」の値と、ローカルリプシッツ定数推定部２０６が算出するローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓとを用いて、「（ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ）／Ｌｘｉ，ε ｃｏｓ」を計算する。評価値推定部２０２は、「（ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ）／Ｌｘｉ，ε ｃｏｓ」の値と、パラメータεの値との大小を比較し、何れか値が小さい方を、最小摂動サイズΔｐ，ｍｉｎ ｃｏｓの下限βｄｏｄ，ｐ ｃｏｓとして出力する。
　図６を参照して、ロバスト性評価装置２００の動作について説明する。
　図６は、ロバスト性評価装置２００が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。
　図６の処理で、評価値推定部２０２は、特徴量抽出器ｆ：Ｒｄ→Ｒｍと、しきい値τ＞０と、認証対象ｉのテンプレートｔｉ∈Ｒｄと、認証対象ｉの入力データｘｉ∈Ｒｄと、パラメータε＞０との入力を受け付ける（ステップＳ２０１）。
　次いで、差算出部２０４は、入力データｘｉから計算される特徴量ｆ（ｘｉ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度から、しきい値τを減算した差「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ」を計算する（ステップＳ２０２）。ステップＳ２０２で、類似度算出部２０５が、入力データｘｉから計算される特徴量ｆ（ｘｉ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））」を算出する。
　次いで、ローカルリプシッツ定数推定部２０６は、関数ｈｃｏｓ（ｘ）＝ｃｏｓ（ｆ（ｘ），ｆ（ｔｉ））の、上記の式（５）で示される球Ｂｐ ｉにおけるローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓの推定を行う（ステップＳ２０３）。
　次いで、評価値推定部２０２は、最小摂動サイズΔｐ，ｍｉｎ ｃｏｓの下限βｄｏｄ，ｐ ｃｏｓを算出し出力する（ステップＳ２０４）。具体的には、評価値推定部２０２は、差算出部２０４が計算した「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ」の値と、ローカルリプシッツ定数推定部２０６が推定したローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓの値とを用いて「（ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ）／Ｌｘｉ，ε ｃｏｓ」を計算する。評価値推定部２０２は、「（ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））－τ）／Ｌｘｉ，ε ｃｏｓ」の値とパラメータεの値とのうち、何れか小さい方の値を、最小摂動サイズΔｐ，ｍｉｎ ｃｏｓの下限βｄｏｄ，ｐ ｃｏｓとして算出し出力する。
　ステップＳ２０４の後、ロバスト性評価装置２００は、図６の処理を終了する。
　以上のように、類似度算出部２０５は、コサイン類似度を算出する。評価値推定部２０２は、類似度算出部２０５が算出する類似度から判定しきい値を減算した値をローカルリプシッツ定数で減算した値に基づいて、認証外しに対する認証モデルのロバスト性の評価値を推定する。
　これにより、ロバスト性評価装置２００によれば、認証はずしを目的として生成される敵対的サンプルに対する認証モデルのロバスト性を定量的に評価することができる。
＜第三実施形態＞
図７は、第三実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。図７に示す構成で、ロバスト性評価装置３００は、評価値推定部３０２と、差算出部３０４と、ローカルリプシッツ定数推定部３０６と、を備える。差算出部３０４は、類似度算出部３０５を備える。
　ロバスト性評価装置３００は、認証モデルに対する「なりすまし」を目的として生成される敵対的サンプルに対する認証モデルのロバスト性の定量的評価値の算出を行う。
　なりすましとは、登録されたテンプレートを用いて認証される認証対象と異なる認証対象のデータが入力されたにもかかわらず、認証モデルが認証に成功することである。例えば、顔認証を行う認証モデルの場合、なりすましでは、テンプレートとして顔画像が登録されている認証対象者とは別の人物の顔画像が入力されたにもかかわらず、認証モデルが顔認証に成功する。
　ロバスト性評価装置３００は、ロバスト性評価装置１００の場合と同様、特徴量間の類似度の指標として、値が小さいほど類似度が高いことを表す指標を用いた認証モデルを、ロバスト性評価値算出の対象とする。上述したように、そのような指標を用いて類似度を計算する場合、認証モデルは特徴量間の類似度の指標値がしきい値以下ならば認証成功、しきい値より大きければ認証失敗と認証結果を決定する。そのような指標の例として、ユークリッド距離が挙げられる。
　第三実施形態では、類似度の指標として、ユークリッド距離を用いた認証モデルがロバスト性評価値算出の対象である場合を例に説明する。ただし、第三実施形態における認証モデルが用いる類似度の指標は、ユークリッド距離に限定されず、値が小さいほど類似度が高いことを示すいろいろな指標とすることができる。
　ロバスト性評価装置３００は、ロバスト性評価装置１００の場合と同様、認証モデル９１０（図２）をロバスト性評価値算出の対象とする。
　ロバスト性評価装置３００は、認証モデル９１０に対して、認証対象ｓのデータｘｓ∈Ｒｄにノイズδ∈Ｒｄが付加された敵対的サンプルｘｓ＋δが入力されることを想定し、そのときの認証モデルのロバスト性評価値を算出する。
　ここで、ｓ≠ｉとする。具体的には、テンプレートが登録されている認証対象者と別人のデータを用いて敵対的サンプルを生成する場合を考える。
　ロバスト性評価装置３００は、ロバスト性評価値として、なりすましを達成するために必要な最小摂動サイズΔｐ，ｉｍｐ ｌ２の下限βｉｍｐ，ｐ ｌ２を推定する。
　最小摂動サイズΔｐ，ｉｍｐ ｌ２は、式（１５）のように示される。
Figure JPOXMLDOC01-appb-M000015
　「ｆ（ｘｓ＋δ）」は、データｘｓにノイズδが加えられた敵対的サンプルｘｓ＋δの特徴量を示す。「｜｜ｆ（ｘｓ＋δ）－ｆ（ｔｉ）｜｜２」は、敵対的サンプルｘｓ＋δの特徴量とテンプレートｔｉの特徴量との類似度の、ｌ２ノルムによる指標値を示す。
　「｜｜ｆ（ｘｓ＋δ）－ｆ（ｔｉ）｜｜２≦τ」は、認証モデル９１０が認証成功と判定する判定基準を示す。したがって、最小摂動サイズΔｐ，ｉｍｐ ｌ２は、ノイズδのｌｐノルムのうち、なりすましが生じる最小のｌｐノルムを示す。
　ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｉｍｐ ｌ２よりも小さい場合、認証モデル９１０は、敵対的サンプルｘｓ＋δおよびテンプレートｔｉに基づく認証で、認証失敗と判定する。すなわち、ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｉｍｐ ｌ２よりも小さい場合、なりすましは生じない。
　一般的には最小摂動サイズΔｐ，ｉｍｐ ｌ２を算出することは困難である。そこで、ロバスト性評価装置３００は、ロバスト性評価値として、最小摂動サイズΔｐ，ｉｍｐ ｌ２の下限βｉｍｐ，ｐ ｌ２を推定する。βｉｍｐ，ｐ ｌ２が最小摂動サイズΔｐ，ｉｍｐ ｌ２の下限であることから、式（１６）のように示される。
Figure JPOXMLDOC01-appb-M000016
　ｐは１、２、∞のいずれでもよい。ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズの下限βｉｍｐ，ｐ ｌ２よりも小さい場合、なりすましは生じない。
　ロバスト性評価装置３００は、特徴量抽出器ｆと、しきい値τと、認証対象ｉｓのテンプレートｔｉ∈Ｒｄと、認証対象ｓの入力データｘｓ∈Ｒｄと、パラメータε＞０とが入力されたときに、最小摂動サイズの下限βｉｍｐ，ｐ ｌ２を推定し、ロバスト性評価値として出力する。
　ロバスト性評価装置３００は、認証モデル９１０の入力データｘｓ∈Ｒｄに対する最小摂動サイズの下限βｉｍｐ，ｐ ｌ２を、式（１７）を用いて計算する。
Figure JPOXMLDOC01-appb-M000017
　「τ－｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２」は、入力データｘｓから計算される特徴量ｆ（ｘｓ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度から、しきい値τを減算した差を示す。
　「Ｌｘｓ，ε ｌ２」は、上記の式（４）で示される関数ｈｌ２（ｘ）の、球Ｂｐ ｓにおけるローカルリプシッツ定数を示す。
　球Ｂｐ ｓは、式（１８）で示される球である。
Figure JPOXMLDOC01-appb-M000018
　球Ｂｐ ｓの中心はｘｓであり、球Ｂｐ ｓの半径はεである。
　ロバスト性評価装置３００がローカルリプシッツ定数Ｌｘｓ，ε ｌ２を算出する方法として、公知の方法を用いることができる。例えばロバスト性評価装置３００が、式（１９）に基づいてローカルリプシッツ定数Ｌｘｓ，ε ｌ２を算出するようにしてもよい。
Figure JPOXMLDOC01-appb-M000019
　式（１９）は、左辺がＬｘｓ，ε ｌ２となっている点、および、右辺に示される球が球Ｂｐ ｓである点で、式（７）と異なる。それ以外は、式（１９）は、式（７）と同様である。
　差算出部３０４は、入力データｘｓから計算される特徴量ｆ（ｘｓ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度から、しきい値τを減算した差「｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ」を計算する。
　差算出部３０４の類似度算出部３０５は、入力データｘｓから計算される特徴量ｆ（ｘｓ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２」を算出する。
　ローカルリプシッツ定数推定部３０６は、上述したローカルリプシッツ定数Ｌｘｓ，ε ｌ２を算出する。
　評価値推定部３０２は、差算出部３０４が算出する「｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ」の値と、ローカルリプシッツ定数推定部１０６が算出するローカルリプシッツ定数Ｌｘｓ，ε ｌ２とを用いて、「（｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ）／Ｌｘｓ，ε ｌ２」を計算する。評価値推定部３０２は、「（｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ）／Ｌｘｓ，ε ｌ２」の値と、パラメータεの値との大小を比較し、何れか値が小さい方を、最小摂動サイズΔｐ，ｉｍｐ ｌ２の下限βｉｍｐ，ｐ ｌ２として出力する。
　図８を参照して、ロバスト性評価装置３００の動作について説明する。
　図８は、ロバスト性評価装置３００が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。
　図８の処理で、評価値推定部３０２は、特徴量抽出器ｆ：Ｒｄ→Ｒｍと、しきい値τ＞０と、認証対象ｉのテンプレートｔｉ∈Ｒｄと、認証対象ｓの入力データｘｓ∈Ｒｄと、パラメータε＞０との入力を受け付ける（ステップＳ３０１）。
　次いで、差算出部３０４は、入力データｘｓから計算される特徴量ｆ（ｘｓ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度から、しきい値τを減算した差「｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ」を計算する（ステップＳ３０２）。ステップＳ３０２で、類似度算出部３０５が、入力データｘｓから計算される特徴量ｆ（ｘｓ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２」を算出する。
　次いで、ローカルリプシッツ定数推定部３０６は、関数ｈｌ２（ｘ）＝｜｜ｆ（ｘ）－ｆ（ｔｉ）｜｜２の、上記の式（１８）で示される球Ｂｐ ｓにおけるローカルリプシッツ定数Ｌｘｓ，ε ｌ２の推定を行う（ステップＳ３０３）。
　次いで、評価値推定部３０２は、最小摂動サイズΔｐ，ｉｍｐ ｌ２の下限βｉｍｐ，ｐ ｌ２を算出し出力する（ステップＳ１０４）。具体的には、評価値推定部１０２は、差算出部３０４が計算した「｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ」の値と、ローカルリプシッツ定数推定部３０６が推定したローカルリプシッツ定数Ｌｘｓ，ε ｌ２の値とを用いて「（｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ）／Ｌｘｓ，ε ｌ２」を計算する。評価値推定部３０２は、「（｜｜ｆ（ｘｓ）－ｆ（ｔｉ）｜｜２－τ）／Ｌｘｓ，ε ｌ２」の値とパラメータεの値とのうち、何れか小さい方の値を、最小摂動サイズΔｐ，ｉｍｐ ｌ２の下限βｉｍｐ，ｐ ｌ２として算出し出力する。
　ステップＳ３０４の後、ロバスト性評価装置３００は、図８の処理を終了する。
　以上のように、類似度算出部３０５は、ユークリッド距離による類似度を算出する。評価値推定部３０２は、類似度算出部３０５が算出する類似度から判定しきい値を減算した値をローカルリプシッツ定数で減算した値に基づいて、なりすましに対する認証モデルのロバスト性の評価値を推定する。
　これにより、ロバスト性評価装置３００によれば、なりすましを目的として生成される敵対的サンプルに対する認証モデルのロバスト性を定量的に評価することができる。
＜第四実施形態＞
　図９は、第四実施形態に係るロバスト性評価装置の構成例を示す概略ブロック図である。図９に示す構成で、ロバスト性評価装置４００は、評価値推定部４０２と、差算出部４０４と、ローカルリプシッツ定数推定部４０６と、を備える。差算出部４０４は、類似度算出部４０５を備える。
　ロバスト性評価装置４００は、ロバスト性評価装置３００（図７）の場合と同様、認証モデルに対する「なりすまし」を目的として生成される敵対的サンプルに対する認証モデルのロバスト性の定量的評価値の算出を行う。
　一方、ロバスト性評価装置４００は、特徴量間の類似度の指標として、値が大きいほど類似度が高いことを表す指標を用いた認証モデルを、ロバスト性評価値算出の対象とする。この点で、ロバスト性評価装置４００は、ロバスト性評価装置３００と異なる。
　上述したように、値が大きいほど類似度が高いことを表す指標を用いて類似度を計算する場合、認証モデルは特徴量間の類似度の指標値がしきい値以上ならば認証成功、しきい値より小さければ認証失敗と認証結果を決定する。そのような指標の例として、コサイン類似度（Cosine Similarity）が挙げられる。
　第四実施形態では、類似度の指標として、コサイン類似度を用いた認証モデルがロバスト性評価値算出の対象である場合を例に説明する。ただし、第四実施形態における認証モデルが用いる類似度の指標は、コサイン類似度に限定されず、値が大きいほど類似度が高いことを示すいろいろな指標とすることができる。
　ロバスト性評価装置４００は、ロバスト性評価装置２００の場合と同様、認証モデル９２０（図５）をロバスト性評価値算出の対象とする。
　ロバスト性評価装置４００は、認証モデル９２０に対して、認証対象ｓのデータｘｓ∈Ｒｄにノイズδ∈Ｒｄが付加された敵対的サンプルｘｓ＋δが入力されることを想定し、そのときの認証モデルのロバスト性評価値を算出する。ロバスト性評価装置４００は、ロバスト性評価値として、なりすましを達成するために必要な最小摂動サイズΔｐ，ｉｍｐ ｃｏｓの下限βｉｍｐ，ｐ ｃｏｓを推定する。
　最小摂動サイズΔｐ，ｉｍｐ ｃｏｓは、式（２０）のように示される。
Figure JPOXMLDOC01-appb-M000020
　「ｃｏｓ（ｆ（ｘｓ＋δ），ｆ（ｔｉ）」は、敵対的サンプルｘｓ＋δの特徴量とテンプレートｔｉの特徴量との類似度の、コサイン類似度による指標値を示す。
　「ｃｏｓ（ｆ（ｘｓ＋δ），ｆ（ｔｉ）≧τ」は、認証モデル９１０が認証成功と判定する判定基準を示す。したがって、最小摂動サイズΔｐ，ｉｍｐ ｃｏｓは、ノイズδのｌｐノルムのうち、なりすましが生じる最小のｌｐノルムを示す。
　ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｉｍｐ ｃｏｓよりも小さい場合、認証モデル９２０は、敵対的サンプルｘｓ＋δおよびテンプレートｔｉに基づく認証で、認証失敗と判定する。すなわち、ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズΔｐ，ｉｍｐ ｌ２よりも小さい場合、なりすましは生じない。
　一般的には最小摂動サイズΔｐ，ｉｍｐ ｃｏｓを算出することは困難である。そこで、ロバスト性評価装置４００は、ロバスト性評価値として、最小摂動サイズΔｐ，ｉｍｐ ｃｏｓの下限βｉｍｐ，ｐ ｃｏｓを推定する。βｉｍｐ，ｐ ｃｏｓが最小摂動サイズΔｐ，ｉｍｐ ｃｏｓの下限であることから、式（２１）のように示される。
Figure JPOXMLDOC01-appb-M000021
　ｐは１、２、∞のいずれでもよい。ノイズδのｌｐノルム「｜｜δ｜｜ｐ」が最小摂動サイズの下限βｉｍｐ，ｐ ｃｏｓよりも小さい場合、なりすましは生じない。
　ロバスト性評価装置４００は、特徴量抽出器ｆと、しきい値τと、認証対象ｉｓのテンプレートｔｉ∈Ｒｄと、認証対象ｓの入力データｘｓ∈Ｒｄと、パラメータε＞０とが入力されたときに、最小摂動サイズの下限βｉｍｐ，ｐ ｃｏｓを推定し、ロバスト性評価値として出力する。
　ロバスト性評価装置４００は、認証モデル９２０の入力データｘｓ∈Ｒｄに対する最小摂動サイズの下限βｉｍｐ，ｐ ｃｏｓを、式（２２）を用いて計算する。
Figure JPOXMLDOC01-appb-M000022
　「τ－ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））」は、入力データｘｉから計算される特徴量ｆ（ｘｉ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度を、しきい値τから減算した差を示す。
　「Ｌｘｓ，ε ｃｏｓ」は、上記の式（１３）で示される関数ｈｃｏｓ（ｘ）の、上記の式（１８）で示される球Ｂｐ ｓにおけるローカルリプシッツ定数を示す。
　ロバスト性評価装置４００がローカルリプシッツ定数Ｌｘｓ，ε ｃｏｓを算出する方法として、公知の方法を用いることができる。例えばロバスト性評価装置４００が、式（２３）に基づいてローカルリプシッツ定数Ｌｘｉ，ε ｃｏｓを算出するようにしてもよい。
Figure JPOXMLDOC01-appb-M000023
　式（２３）は、左辺がＬｘｓ，ε ｃｏｓとなっている点、および、右辺に示される球が球Ｂｐ ｓである点で、式（１４）と異なる。それ以外は、式（２３）は、式（１４）と同様である。
　差算出部４０４は、入力データｘｓから計算される特徴量ｆ（ｘｓ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度を、しきい値τから減算した差「τ－ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））」を計算する。
　差算出部３０４の類似度算出部３０５は、入力データｘｓから計算される特徴量ｆ（ｘｓ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））」を算出する。
　ローカルリプシッツ定数推定部４０６は、上述したローカルリプシッツ定数Ｌｘｓ，ε ｃｏｓを算出する。
　評価値推定部４０２は、差算出部４０４が算出する「τ－ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ））」の値と、ローカルリプシッツ定数推定部２０６が算出するローカルリプシッツ定数Ｌｘｓ，ε ｃｏｓとを用いて、「（τ－ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ）））／Ｌｘｓ，ε ｃｏｓ」を計算する。評価値推定部２０２は、「（τ－ｃｏｓ（ｆ（ｘｉ），ｆ（ｔｉ）））／Ｌｘｓ，ε ｃｏｓ」の値と、パラメータεの値との大小を比較し、何れか値が小さい方を、最小摂動サイズΔｐ，ｉｍｐ ｃｏｓの下限βｉｍｐ，ｐ ｃｏｓとして出力する。
　図１０を参照して、ロバスト性評価装置４００の動作について説明する。
　図１０は、ロバスト性評価装置４００が、認証モデルのロバスト性評価値を計算する処理手順の例を示すフローチャートである。
　図１０の処理で、評価値推定部４０２は、特徴量抽出器ｆ：Ｒｄ→Ｒｍと、しきい値τ＞０と、認証対象ｉのテンプレートｔｉ∈Ｒｄと、認証対象ｓの入力データｘｓ∈Ｒｄと、パラメータε＞０との入力を受け付ける（ステップＳ４０１）。
　次いで、差算出部４０４は、入力データｘｓから計算される特徴量ｆ（ｘｓ）と、テンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度を、しきい値τから減算した差「τ－ｃｏｓ（ｆ（ｘｓ），ｆ（ｔｉ））」を計算する（ステップＳ４０２）。ステップＳ４０２で、類似度算出部４０５が、入力データｘｓから計算される特徴量ｆ（ｘｓ）とテンプレートｔｉから計算される特徴量ｆ（ｔｉ）との類似度「ｃｏｓ（ｆ（ｘｓ），ｆ（ｔｉ））」を算出する。
　次いで、ローカルリプシッツ定数推定部４０６は、関数ｈｃｏｓ（ｘ）＝ｃｏｓ（ｆ（ｘ），ｆ（ｔｉ））の、上記の式（１８）で示される球Ｂｐ ｓにおけるローカルリプシッツ定数Ｌｘｓ，ε ｃｏｓの推定を行う（ステップＳ４０３）。
　次いで、評価値推定部４０２は、最小摂動サイズΔｐ，ｉｍｐ ｃｏｓの下限βｉｍｐ，ｐ ｃｏｓを算出し出力する（ステップＳ４０４）。具体的には、評価値推定部４０２は、差算出部４０４が計算した「τ－ｃｏｓ（ｆ（ｘｓ），ｆ（ｔｉ））」の値と、ローカルリプシッツ定数推定部４０６が推定したローカルリプシッツ定数Ｌｘｓ，ε ｃｏｓの値とを用いて「（τ－ｃｏｓ（ｆ（ｘｓ），ｆ（ｔｉ）））／Ｌｘｓ，ε ｃｏｓ」を計算する。評価値推定部４０２は、「（τ－ｃｏｓ（ｆ（ｘｓ），ｆ（ｔｉ）））／Ｌｘｓ，ε ｃｏｓ」の値とパラメータεの値とのうち、何れか小さい方の値を、最小摂動サイズΔｐ，ｉｍｐ ｃｏｓの下限βｉｍｐ，ｐ ｃｏｓとして算出し出力する。
　ステップＳ４０４の後、ロバスト性評価装置４００は、図１０の処理を終了する。
　以上のように、類似度算出部４０５は、コサイン類似度を算出する。評価値推定部４０２は、類似度算出部４０５が算出する類似度を判定しきい値から減算した値に基づいて、なりすましに対する前記認証モデルのロバスト性の評価値を推定する。
　これにより、ロバスト性評価装置４００によれば、なりすましを目的として生成される敵対的サンプルに対する認証モデルのロバスト性を定量的に評価することができる。
＜第五実施形態＞
　第五実施形態では、ローカルリプシッツ定数の推定について説明する。第五実施形態は、第一実施形態から第四実施形態のうち何れかに適用可能である。
　図１１は、第五実施形態に係るローカルリプシッツ定数推定装置の構成例を示す概略ブロック図である。図１１に示す構成で、ローカルリプシッツ定数推定装置５００は、最適化部５０２と、判定部５０４と、を備える。
　ローカルリプシッツ定数の推定方法の例として、非特許文献１に挙げられた方法がある。
　ここで、球Ｂｐを、式（２４）に示される球とする。
Figure JPOXMLDOC01-appb-M000024
　また、ｑは、上記の式（９）を満たす整数であるとする。
　この球Ｂｐにおける関数ｈ：Ｒｄ→Ｒのローカルリプシッツ定数Ｌｘｃ，εは、式（２５）のようになることが知られている。
Figure JPOXMLDOC01-appb-M000025
　非特許文献１では、球Ｂｐから複数の点をサンプリングし、サンプリングに依存した方法でローカルリプシッツ定数Ｌｘｃ，εを推定することが記載されている。
　一方、ローカルリプシッツ定数推定装置５００は、勾配法を活用した方法で、ローカルリプシッツ定数Ｌｘｃ，εの推定を行う。サンプリングに依存せず、勾配法を利用することで、より正確なローカルリプシッツ定数Ｌｘｃ，εを推定できることが期待される。
　ローカルリプシッツ定数推定装置５００は、関数ｈ：Ｒｄ→Ｒと中心ｘｃ∈Ｒｄと半径ε＞０とを入力として受け付け、式（２４）に示される球Ｂｐにおける、関数ｈ：Ｒｄ→Ｒのローカルリプシッツ定数を推定し出力する。ローカルリプシッツ定数推定装置５００は、ｐが２の場合、および、ｐが∞の場合に対応する。
　ローカルリプシッツ定数推定装置５００はロバスト性評価装置１００、２００、３００、４００のいずれにおいても、ローカルリプシッツ定数推定部として用いることができる。例えば、ロバスト性評価装置１００の場合、ローカルリプシッツ定数推定装置５００が入力として受け付ける関数ｈは、ｈ（ｘ）＝｜｜ｆ（ｘ）－ｆ（ｔｉ）｜｜２となり、球Ｂｐの中心ｘｃ∈Ｒｄは、ｘｉ∈Ｒｄとなる。
　最適化部５０２は、式（２６）に示される最適化問題を解くことで、ローカルリプシッツ定数の推定を行う。
Figure JPOXMLDOC01-appb-M000026
　最適化部５０２は、初期点ｘ０∈Ｒｄを決定し、式（２７）に基づいて点ｘｎをＭ回更新することで、上記の式（２６）の最適化問題を解く。
Figure JPOXMLDOC01-appb-M000027
　ｘｎは、ｎ回更新された点を示す。ｘｎは、ローカルリプシッツ定数値の候補を算出する点の例に該当する。∇ｈ（ｘｎ－１）は、点ｘｎ－１における関数ｈの勾配を示す。
　ｌは、学習率を示す。ローカルリプシッツ定数推定装置５００が、学習率ｌを入力として受け付けるようにしてもよい。あるいは、学習率ｌが、ローカルリプシッツ定数推定装置５００に予め設定されていてもよい。
　初期点ｘ０∈Ｒｄの決定方法は、特定の方法に限定されない。
　ローカルリプシッツ定数推定装置５００が、更新回数Ｍを入力として受け付けるようにしてもよい。あるいは、更新回数Ｍが、ローカルリプシッツ定数推定装置５００に予め設定されていてもよい。
　上記のような更新を行うことで最適化問題の解に近づくことが期待される。一方、更新の途中で、最適化問題の制約を満たさなくなる場合がある。具体的には、ｘｎ∈Ｂｐが満たされなくなる場合がある。
　そこで、判定部５０４は、ｘｎ∈Ｂｐが満たされるか否かの判定を行う。最適化部５０２は、ｘｎ∈Ｂｐが満たされないと判定部５０４が判定した場合、ｘｎ∈Ｂｐが満たされるように、ｐに応じて下記のように修正を行う。
　ｐ＝２の場合、最適化部５０２は、点ｘｎを式（２８）のように修正を行う。
Figure JPOXMLDOC01-appb-M000028
　ｐ＝∞の場合、最適化部５０２は、点ｘｎを式（２９）のように修正を行う。
Figure JPOXMLDOC01-appb-M000029
　式（２９）のｍは、１からｄまでの整数の値をとる。ｘｎ［ｍ］は、ｘｎのｍ番目の要素の値を表す。
　式（２８）、式（２９）のいずれの修正も、ｘｎ∈Ｂｐが満たされるようするための修正である。
　最適化部５０２は、上記のような方法でｘｎをＭ回更新する際に、｜｜∇ｈ（ｘｎ）｜｜ｑを、更新されたｘｎのそれぞれについて計算する。更新されたｘｎのそれぞれで計算される｜｜∇ｈ（ｘｎ）｜｜ｑは、ローカルリプシッツ定数の値の候補の例に該当する。
　そして、Ｍ個の計算された値の中で、式（３０）に示される最大の値をローカルリプシッツ定数Ｌｘｃ，εの推定値として出力する。
Figure JPOXMLDOC01-appb-M000030
　判定部５０４は、最適化部５０２にて更新されたｘｎを受け取り、ｘｎ∈Ｂｐを満たしているかどうか判定し、判定結果を最適化部５０２に出力する。
　判定部５０４は、ｐの値に応じた式を用いて、ｘｎ∈Ｂｐを満たしているか否かの判定を行う。ｐ＝２の場合、判定部５０４は、式（３１）を用いて、ｘｎ∈Ｂｐを満たしているか否かの判定を行う。
Figure JPOXMLDOC01-appb-M000031
　式（３１）が満たされる場合、判定部５０４は、ｘｎがｘｎ∈Ｂｐを満たしていると判定する。一方、式（３１）が満たされない場合、判定部５０４は、ｘｎがｘｎ∈Ｂｐを満たしていないと判定する。
　ｐ＝∞の場合、判定部５０４は、式（３２）を用いて、ｘｎ∈Ｂｐを満たしているか否かの判定を行う。
Figure JPOXMLDOC01-appb-M000032
　式（３２）が満たされる場合、判定部５０４は、ｘｎがｘｎ∈Ｂｐを満たしていると判定する。一方、式（３２）が満たされない場合、判定部５０４は、ｘｎがｘｎ∈Ｂｐを満たしていないと判定する。
　図１２を用いてローカルリプシッツ定数推定装置５００の動作について説明する。
　図１２は、ローカルリプシッツ定数推定装置５００がローカルリプシッツ定数を推定する処理手順の例を示すフローチャートである。
　図１２の処理で、最適化部５０２は関数ｈ：Ｒｄ→Ｒと中心ｘｃ∈Ｒｄと半径ε＞０を入力として受け付ける（ステップＳ５０１）。
　次いで、最適化部５０２は、初期点ｘ０∈Ｒｄの決定を行う（ステップＳ５０２）。
　次いで、最適化部５０２は、最適化計算を行うループを開始する（ステップＳ５０３）。
　次いで、最適化部５０２は、式（２７）を用いてｘｎの計算を行い、ｘｎを判定部５０４に出力する（ステップＳ５０４）。ステップＳ５０４の処理は、ｘｎを更新する処理に該当する。
　次いで、判定部５０４は、ｘｎが制約を満たしているかどうかの判定を行い、判定結果を最適化部５０２に返す（ステップＳ５０５）。
　次いで、最適化部５０２は、判定部５０４より得られる判定結果に基づき、修正式を用いてｘｎに修正を加える。（ステップＳ５０６）。具体的には、ｘｎがｘｎ∈Ｂｐを満たしていないと判定部５０４が判定した場合、最適化部５０２は、ｐに応じて式（２８）または式（２９）の何れかを用いてｘｎの値を修正する。
　次いで、最適化部５０２は、｜｜∇ｈ（ｘｎ）｜｜ｑの計算を行い、得られた値を記憶する（ステップＳ５０７）。
　次いで、最適化部５０２は、最適化計算のループの終端処理を行う（ステップＳ５０８）。具体的には、最適化部５０２は、Ｍ回の更新が行われたか否かを判定する。Ｍ回の更新が行われていないと判定した場合、最適化部５０２は、引き続き、最適化のループの処理を繰り返す。Ｍ回の更新が行われたと判定した場合、最適化部５０２は、最適化のループを終了する。
　最適化のループを終了した場合、最適化部５０２は、ｎ＝１，…，Ｍのうち、｜｜∇ｈ（ｘｎ）｜｜ｑの値が最大となるものを判定し、得られた｜｜∇ｈ（ｘｎ）｜｜ｑの最大値をローカルリプシッツ定数Ｌｘｃ，εの推定値として出力する（ステップＳ５０９）。
　ステップＳ５０９の後、ローカルリプシッツ定数推定装置５００は、図１２の処理を完了する。
　以上のように、ローカルリプシッツ定数推定装置５００は、球に含まれる点を、類似度を算出する関数のその点における傾きに応じて更新する処理を繰り返し、更新される点毎に算出されるローカルリプシッツ定数値の候補のうち最大の値を、ローカルリプシッツ定数値と推定する。
　これにより、ローカルリプシッツ定数推定装置５００は、ローカルリプシッツ定数を推定することができる。ローカルリプシッツ定数値の候補を算出する点を、類似度を算出する関数の傾きに応じて更新することで、例えば、ローカルリプシッツ定数値の候補をランダムにサンプリングする場合よりも、より正確なローカルリプシッツ定数を推定できることが期待される。
＜第六実施形態＞
　図１３は、第六実施形態に係るロバスト性評価装置の構成例を示す図である。図１３に示す構成で、ロバスト性評価装置６００は、評価値推定部６０１と、類似度算出部６０２と、ローカルリプシッツ定数推定部６０３とを備える。
　かかる構成で、類似度算出部６０２は、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する。ローカルリプシッツ定数推定部６０３は、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する。評価値推定部６０１は、類似度算出部６０２が算出する類似度と、その類似度に対する判定しきい値と、ローカルリプシッツ定数とに基づいて、認証モデルのロバスト性の評価値を推定する。
　ロバスト性評価装置６００によれば、認証モデルのロバスト性を定量的に評価することができる。
＜第七実施形態＞
　図１４は、第七実施形態に係るロバスト性評価方法における処理の手順の例を示すフローチャートである。
　図１４に示すロバスト性評価方法は、類似度算出工程（ステップＳ６０１）と、ローカルリプシッツ定数推定工程（ステップＳ６０２）と、評価値推定工程（ステップＳ６０３）とを含む。
　類似度算出工程（ステップＳ６０１）では、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する。ローカルリプシッツ定数推定工程（ステップＳ６０２）では、認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する。評価値推定工程（ステップＳ６０３）では、ステップＳ６０１で算出する類似度と、その類似度に対する判定しきい値と、ローカルリプシッツ定数とに基づいて、認証モデルのロバスト性の評価値を推定する。
　図１４に示すロバスト性評価方法によれば、認証モデルのロバスト性を定量的に評価することができる。
　図１５は、少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
　図１５に示す構成で、コンピュータ７００は、ＣＰＵ（Central Processing Unit）７１０と、主記憶装置７２０と、補助記憶装置７３０と、インタフェース７４０とを備える。
　上記のロバスト性評価装置１００、２００、３００、４００、６００、および、ローカルリプシッツ定数推定装置５００のうち何れか１つ以上が、コンピュータ７００に実装されてもよい。その場合、上述した各処理部の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ７１０は、プログラムに従って、上述した各記憶部に対応する記憶領域を主記憶装置７２０に確保する。
　ロバスト性評価装置１００がコンピュータ７００に実装される場合、評価値推定部１０２と、差算出部１０４と、類似度算出部１０５と、ローカルリプシッツ定数推定部１０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
　認証モデルのロバスト性の評価値の出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
　ロバスト性評価装置２００がコンピュータ７００に実装される場合、評価値推定部２０２と、差算出部２０４と、類似度算出部２０５と、ローカルリプシッツ定数推定部２０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
　認証モデルのロバスト性の評価値の出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
　ロバスト性評価装置３００がコンピュータ７００に実装される場合、評価値推定部３０２と、差算出部３０４と、類似度算出部３０５と、ローカルリプシッツ定数推定部３０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
　認証モデルのロバスト性の評価値の出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
　ロバスト性評価装置４００がコンピュータ７００に実装される場合、評価値推定部４０２と、差算出部４０４と、類似度算出部４０５と、ローカルリプシッツ定数推定部４０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
　認証モデルのロバスト性の評価値の出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
　ローカルリプシッツ定数推定装置５００がコンピュータ７００に実装される場合、最適化部５０２と、判定部５０４との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
　ローカルリプシッツ定数の推定値の出力は、インタフェース７４０が、例えば通信機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
　ロバスト性評価装置６００がコンピュータ７００に実装される場合、評価値推定部６０１と、類似度算出部６０２と、ローカルリプシッツ定数推定部６０３との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
　認証モデルのロバスト性の評価値の出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
　なお、ロバスト性評価装置１００、２００、３００、４００、６００、および、ローカルリプシッツ定数推定装置５００の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。ここでいう「コンピュータシステム」とは、ＯＳ（オペレーティングシステム）や周辺機器等のハードウェアを含む。
　「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Read Only Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
　以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。
　本発明の実施形態は、ロバスト性評価装置、ロバスト性評価方法および記録媒体に適用してもよい。
　１００、２００、３００、４００、６００　ロバスト性評価装置
　１０２、２０２、３０２、４０２、６０１　評価値推定部
　１０４、２０４、３０４、４０４　差算出部
　１０５、２０５、３０５、４０５、６０２　類似度算出部
　１０６、２０６、３０６、４０６、６０３　ローカルリプシッツ定数推定部
　５００　ローカルリプシッツ定数推定装置
　５０２　最適化部
　５０４　判定部

Claims (8)

  1. 　認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する類似度算出部と、
    　前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定するローカルリプシッツ定数推定部と、
    　前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する評価値推定部と、
    　を備えるロバスト性評価装置。
  2. 　前記類似度算出部は、ユークリッド距離による類似度を算出し、
    　前記評価値推定部は、前記判定しきい値から前記類似度を減算した値を前記ローカルリプシッツ定数で減算した値に基づいて、認証外しに対する前記認証モデルのロバスト性の評価値を推定する、
    　請求項１に記載のロバスト性評価装置。
  3. 　前記類似度算出部は、コサイン類似度を算出し、
    　前記評価値推定部は、前記類似度から前記判定しきい値を減算した値を前記ローカルリプシッツ定数で減算した値に基づいて、認証外しに対する前記認証モデルのロバスト性の評価値を推定する、
    　請求項１に記載のロバスト性評価装置。
  4. 　前記類似度算出部は、ユークリッド距離による類似度を算出し、
    　前記評価値推定部は、前記類似度から前記判定しきい値を減算した値を前記ローカルリプシッツ定数で減算した値に基づいて、なりすましに対する前記認証モデルのロバスト性の評価値を推定する、
    　請求項１に記載のロバスト性評価装置。
  5. 　前記類似度算出部は、コサイン類似度を算出し、
    　前記評価値推定部は、前記判定しきい値から前記類似度を減算した値を前記ローカルリプシッツ定数で減算した値に基づいて、なりすましに対する前記認証モデルのロバスト性の評価値を推定する、
    　請求項１に記載のロバスト性評価装置。
  6. 　前記ローカルリプシッツ定数推定部は、前記球に含まれる点を、前記類似度を算出する関数のその点における傾きに応じて更新する処理を繰り返し、更新される点毎に算出されるローカルリプシッツ定数値の候補のうち最大の値を、ローカルリプシッツ定数値と推定する、
    　請求項１から５の何れか一項に記載のロバスト性評価装置。
  7. 　認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する工程と、
    　前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する工程と、
    　前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する工程と、
    　を含むロバスト性評価方法。
  8. 　コンピュータに、
    　認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する工程と、
    　前記認証モデルへの入力の特徴量とテンプレートの特徴量との類似度を算出する関数の、前記認証モデルへの入力を中心とする球におけるローカルリプシッツ定数を推定する工程と、
    　前記類似度と、前記類似度に対する判定しきい値と、前記ローカルリプシッツ定数とに基づいて、前記認証モデルのロバスト性の評価値を推定する工程と、
    　を実行させるためのプログラムを記録した記録媒体。
PCT/JP2019/033890 2019-08-29 2019-08-29 ロバスト性評価装置、ロバスト性評価方法および記録媒体 WO2021038788A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2021541897A JP7255694B2 (ja) 2019-08-29 2019-08-29 ロバスト性評価装置、ロバスト性評価方法およびプログラム
PCT/JP2019/033890 WO2021038788A1 (ja) 2019-08-29 2019-08-29 ロバスト性評価装置、ロバスト性評価方法および記録媒体
US17/637,120 US20220343214A1 (en) 2019-08-29 2019-08-29 Robustness evaluation device, robustness evaluation method and recording medium
US18/383,501 US20240062109A1 (en) 2019-08-29 2023-10-25 Robustness evaluation device, robustness evaluation method and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/033890 WO2021038788A1 (ja) 2019-08-29 2019-08-29 ロバスト性評価装置、ロバスト性評価方法および記録媒体

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US17/637,120 A-371-Of-International US20220343214A1 (en) 2019-08-29 2019-08-29 Robustness evaluation device, robustness evaluation method and recording medium
US18/383,501 Continuation US20240062109A1 (en) 2019-08-29 2023-10-25 Robustness evaluation device, robustness evaluation method and recording medium

Publications (1)

Publication Number Publication Date
WO2021038788A1 true WO2021038788A1 (ja) 2021-03-04

Family

ID=74684358

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/033890 WO2021038788A1 (ja) 2019-08-29 2019-08-29 ロバスト性評価装置、ロバスト性評価方法および記録媒体

Country Status (3)

Country Link
US (2) US20220343214A1 (ja)
JP (1) JP7255694B2 (ja)
WO (1) WO2021038788A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220114259A1 (en) * 2020-10-13 2022-04-14 International Business Machines Corporation Adversarial interpolation backdoor detection
WO2023166744A1 (ja) * 2022-03-04 2023-09-07 日本電気株式会社 ロバスト性検証装置、ロバスト性検証方法および記録媒体

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015170317A (ja) * 2014-03-10 2015-09-28 富士通株式会社 識別関数特定装置、識別関数特定プログラム、識別関数特定方法および生体認証装置
JP2018181157A (ja) * 2017-04-19 2018-11-15 株式会社日立製作所 人物認証装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015170317A (ja) * 2014-03-10 2015-09-28 富士通株式会社 識別関数特定装置、識別関数特定プログラム、識別関数特定方法および生体認証装置
JP2018181157A (ja) * 2017-04-19 2018-11-15 株式会社日立製作所 人物認証装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
CARLINI,NICHOLAS ET AL.: "Towards Evaluating the Robustness of Neural Networks", 2017 IEEE SYMPOSIUM ON SECURITY AND PRIVACY (SP), 22 May 2017 (2017-05-22), pages 39 - 57, XP033108086 *
PAPERNOT, NICOLAS ET AL.: "The Limitations of Deep Learning in Adversarial Settings", 2016 IEEE EUROPEAN SYMPOSIUM ON SECURITY AND PRIVACY (EUROS&P), 21 March 2016 (2016-03-21), pages 372 - 387, XP032899541 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220114259A1 (en) * 2020-10-13 2022-04-14 International Business Machines Corporation Adversarial interpolation backdoor detection
US12019747B2 (en) * 2020-10-13 2024-06-25 International Business Machines Corporation Adversarial interpolation backdoor detection
WO2023166744A1 (ja) * 2022-03-04 2023-09-07 日本電気株式会社 ロバスト性検証装置、ロバスト性検証方法および記録媒体

Also Published As

Publication number Publication date
US20240062109A1 (en) 2024-02-22
US20220343214A1 (en) 2022-10-27
JP7255694B2 (ja) 2023-04-11
JPWO2021038788A1 (ja) 2021-03-04

Similar Documents

Publication Publication Date Title
EP3379458A2 (en) Facial verification method and apparatus
US8325999B2 (en) Assisted face recognition tagging
JP4606779B2 (ja) 画像認識装置、画像認識方法およびその方法をコンピュータに実行させるプログラム
CN111079939B (zh) 基于数据隐私保护的机器学习模型特征筛选方法及装置
KR101252454B1 (ko) 대표 지문 템플릿 생성 장치 및 방법
CN109711358B (zh) 神经网络训练方法、人脸识别方法及系统和存储介质
US20210056332A1 (en) Object recognition method and apparatus
US20140341443A1 (en) Joint modeling for facial recognition
US20240062109A1 (en) Robustness evaluation device, robustness evaluation method and recording medium
KR102115150B1 (ko) 얼굴 대칭성 측정 장치 및 방법
US10546106B2 (en) Biometric verification
CN111382791B (zh) 深度学习任务处理方法、图像识别任务处理方法和装置
WO2020230699A1 (ja) 耐性設定装置、耐性設定方法、耐性設定プログラムを記憶する記憶媒体、耐性評価装置、耐性評価方法、耐性評価プログラムを記憶する記憶媒体、演算装置、およびプログラムを記憶する記憶媒体
CN115293235A (zh) 建立风险识别模型的方法及对应装置
US20170364740A1 (en) Signal processing
CN108491885A (zh) 一种基于朴素贝叶斯分类器的autoCAD图块识别方法及装置
JPWO2013132695A1 (ja) 情報処理装置、情報処理方法および記録媒体
KR101152721B1 (ko) 객체 인식 시스템과 그 방법, 및 상기 방법을 구현하는 프로그램이 기록된 기록매체
US20220027677A1 (en) Information processing device, information processing method, and storage medium
JP6954346B2 (ja) パラメータ推定装置、パラメータ推定方法、及びプログラム
JP4187494B2 (ja) 画像認識装置、画像認識方法およびその方法をコンピュータに実行させるプログラム
WO2012032747A1 (ja) 特徴点選択システム、特徴点選択方法および特徴点選択プログラム
WO2023166745A1 (ja) 学習装置、学習方法および記録媒体
JP7318742B2 (ja) 学習装置、顔認証システム、学習方法およびプログラム
WO2023225999A1 (en) Method and apparatus for certifying defense against image transformation

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19943537

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021541897

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19943537

Country of ref document: EP

Kind code of ref document: A1