WO2022014047A1 - 学習装置、学習方法および学習プログラム - Google Patents

学習装置、学習方法および学習プログラム Download PDF

Info

Publication number
WO2022014047A1
WO2022014047A1 PCT/JP2020/027875 JP2020027875W WO2022014047A1 WO 2022014047 A1 WO2022014047 A1 WO 2022014047A1 JP 2020027875 W JP2020027875 W JP 2020027875W WO 2022014047 A1 WO2022014047 A1 WO 2022014047A1
Authority
WO
WIPO (PCT)
Prior art keywords
learning
data
model
label
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/027875
Other languages
English (en)
French (fr)
Inventor
真徳 山田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to PCT/JP2020/027875 priority Critical patent/WO2022014047A1/ja
Priority to US18/014,343 priority patent/US20230259819A1/en
Priority to JP2022536099A priority patent/JP7416255B2/ja
Publication of WO2022014047A1 publication Critical patent/WO2022014047A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/094—Adversarial learning
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/0464—Convolutional networks [CNN, ConvNet]

Definitions

  • the present invention relates to a learning device, a learning method and a learning program.
  • Non-Patent Documents 1 and 2 As a promising measure against such an Adversarial Exchange, a method called TRADES (TRadeoff-inspired Adversarial DEfense via Surrogate-loss minimization) that utilizes surrogate loss has been proposed (see Non-Patent Documents 1 and 2).
  • TRADES TRadeoff-inspired Adversarial DEfense via Surrogate-loss minimization
  • the present invention has been made in view of the above, and an object of the present invention is to learn a robust model for an Adversarial Expert.
  • the learning device has the acquisition unit for acquiring the data for predicting the label and the model representing the probability distribution of the label of the acquired data. It is characterized by having a learning unit for learning the model using an eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for data.
  • FIG. 1 is a schematic diagram illustrating a schematic configuration of a learning device.
  • FIG. 2 is a flowchart showing a learning processing procedure.
  • FIG. 3 is a flowchart showing the detection processing procedure.
  • FIG. 4 is a diagram for explaining an embodiment.
  • FIG. 5 is a diagram for explaining an embodiment.
  • FIG. 6 is a diagram illustrating a computer that executes a learning program.
  • FIG. 1 is a schematic diagram illustrating a schematic configuration of a learning device.
  • the learning device 10 is realized by a general-purpose computer such as a personal computer, and includes an input unit 11, an output unit 12, a communication control unit 13, a storage unit 14, and a control unit 15.
  • the input unit 11 is realized by using an input device such as a keyboard or a mouse, and inputs various instruction information such as processing start to the control unit 15 in response to an input operation by the operator.
  • the output unit 12 is realized by a display device such as a liquid crystal display, a printing device such as a printer, or the like.
  • the communication control unit 13 is realized by a NIC (Network Interface Card) or the like, and controls communication between an external device such as a server via a network and the control unit 15. For example, the communication control unit 13 controls communication between the control device 15 and the management device that manages the data to be learned.
  • NIC Network Interface Card
  • the storage unit 14 is realized by a semiconductor memory element such as RAM (Random Access Memory) and flash memory (Flash Memory), or a storage device such as a hard disk and an optical disk, and parameters of a model learned by a learning process described later are used. It will be remembered.
  • the storage unit 14 may be configured to communicate with the control unit 15 via the communication control unit 13.
  • the control unit 15 is realized by using a CPU (Central Processing Unit) or the like, and executes a processing program stored in a memory. As a result, the control unit 15 functions as an acquisition unit 15a, a learning unit 15b, and a detection unit 15c, as illustrated in FIG. It should be noted that these functional parts may be implemented in different hardware in whole or in part.
  • the learning unit 15b and the detection unit 15c may be mounted as separate devices.
  • the acquisition unit 15a may be mounted on a device different from the learning unit 15b and the detection unit 15c.
  • the control unit 15 may include other functional units.
  • the acquisition unit 15a acquires data for predicting the label. For example, the acquisition unit 15a acquires data used for the learning process and the detection process described later via the input unit 11 or the communication control unit 13. Further, the acquisition unit 15a may store the acquired data in the storage unit 14. The acquisition unit 15a may transfer these information to the learning unit 15b or the detection unit 15c without storing the information in the storage unit 14.
  • the learning unit 15b learns the model using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for the data in the model representing the probability distribution of the label of the acquired data. Specifically, the learning unit 15b searches for a model that minimizes the loss function by using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for the data as the initial value of the noise to be added to the data in the loss function. By learning the model.
  • the model representing the probability distribution of the label y of the data x is expressed by the following equation (1) using the parameter ⁇ .
  • f is a vector representing a label output by the model.
  • the learning unit 15b learns the model by determining the parameter ⁇ of the model so that the loss function represented by the following equation (2) becomes small.
  • x) represents a true probability.
  • the learning unit 15b trains the model so that the label can be correctly predicted for the Advanced Express shown in the following equation (3) in which the noise ⁇ is placed on the data x.
  • the learning unit 15b learns a robust model for the Adversarial Exmplle by searching for and determining ⁇ that minimizes the loss function shown in the following equation (4).
  • ⁇ is a constant.
  • the loss function of the above equation (4) can be transformed as in the following equation (6) by using the Fisher information matrix G and its eigenvalue ⁇ .
  • the learning unit 15b of the present embodiment learns the model using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix G with respect to the data x. Specifically, in the above equation (5), as shown in the following equation (7), the learning unit 15b sets the initial value ⁇ 0 of the noise ⁇ to be put on the data x as the Fisher information matrix G for the data x. The eigenvector ⁇ eig corresponding to the maximum eigenvalue is used. Then, the model is learned by searching for ⁇ that minimizes the loss function shown in the above equation (4).
  • the learning unit 15b can learn a model that is robust to the Advanced Excellent.
  • the detection unit 15c predicts the label of the acquired data using the trained model. In this case, the detection unit 15c calculates the probability of each label of the newly acquired data by applying the learned parameter ⁇ to the above equation (1), and outputs the label with the highest probability. As a result, for example, even when the data is Advanced Excellent, the correct label can be output. In this way, the detection unit 15c can withstand the blend spot attack and can predict the correct label for the Advanced Excellent.
  • FIG. 2 is a flowchart showing a learning processing procedure.
  • the flowchart of FIG. 2 is started, for example, at the timing when there is an operation input instructing the start of the learning process.
  • the acquisition unit 15a acquires data for predicting the label (step S1).
  • the learning unit 15b learns a model representing the probability distribution of the label of the acquired data (step S1). At that time, the learning unit 15b learns the model by using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for the data in the model. Specifically, the learning unit 15b searches for a model that minimizes the loss function by using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for the data as the initial value of the noise to be added to the data in the loss function. By learning the model. As a result, a series of learning processes are completed.
  • FIG. 3 is a flowchart showing the detection processing procedure.
  • the flowchart of FIG. 3 is started, for example, at the timing when there is an operation input instructing the start of the detection process.
  • the acquisition unit 15a acquires new data for predicting the label in the same manner as in the process of step S1 of FIG. 2 described above (step S11).
  • the detection unit 15c predicts the label of the acquired data using the trained model (step S12).
  • the detection unit 15c calculates p (x') of the newly acquired data x'by applying the learned parameter ⁇ to the above equation (1), and obtains the label with the highest probability. Output.
  • the correct label can be output even when the data x'is Advanced Character. This ends a series of detection processes.
  • the acquisition unit 15a acquires the data for predicting the label.
  • the learning unit 15b learns the model using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for the data in the model representing the probability distribution of the label of the acquired data. Specifically, the learning unit 15b searches for a model that minimizes the loss function by using the eigenvector corresponding to the maximum eigenvalue of the Fisher information matrix for the data as the initial value of the noise to be added to the data in the loss function. ..
  • the learning device 10 can learn a model that is robust to the Advanced Single.
  • the detection unit 15c predicts the label of the acquired data using the trained model. As a result, the detection unit 15c can withstand the blend spot attack and can predict the correct label for the Advanced Excellent.
  • Example 4 and 5 are diagrams for explaining an embodiment of the present invention.
  • the accuracy of the model of the above embodiment was evaluated using an image data set: Cifar10 and a deep learning model: Resnet18.
  • the model of the above embodiment which was learned by changing ⁇ of the loss function shown in the above equation (4) using the test data and the Adversarial Exchange generated from the test data by a method called PGD.
  • PGD Adversarial Exchange
  • FIG. 4 illustrates the relationship between robust acc and ⁇ .
  • FIG. 5 illustrates the relationship between natural acc and ⁇ .
  • the prediction accuracy for the Adversarial Exchange does not depend on ⁇ in both the model of the present invention (embodiment) and the model of the conventional method.
  • the prediction accuracy for ordinary data decreases in both the model of the present invention and the model of the conventional method.
  • the first term of the above equation (4) is a part representing a loss function for ordinary data
  • the second term is a part representing a loss function for Adversarial Exchange, so that the larger ⁇ is, the more This is because the influence of the second term becomes large.
  • the learning device 10 can be implemented by installing a learning program that executes the above learning process as package software or online software on a desired computer.
  • the information processing device can be made to function as the learning device 10.
  • the information processing device includes smartphones, mobile phones, mobile communication terminals such as PHS (Personal Handyphone System), and slate terminals such as PDAs (Personal Digital Assistants).
  • the function of the learning device 10 may be implemented in the cloud server.
  • FIG. 6 is a diagram showing an example of a computer that executes a learning program.
  • the computer 1000 has, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. Each of these parts is connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031.
  • the disk drive interface 1040 is connected to the disk drive 1041.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • a mouse 1051 and a keyboard 1052 are connected to the serial port interface 1050.
  • a display 1061 is connected to the video adapter 1060.
  • the hard disk drive 1031 stores, for example, the OS 1091, the application program 1092, the program module 1093, and the program data 1094. Each of the information described in the above embodiment is stored in, for example, the hard disk drive 1031 or the memory 1010.
  • the learning program is stored in the hard disk drive 1031 as, for example, a program module 1093 in which a command executed by the computer 1000 is described.
  • the program module 1093 in which each process executed by the learning device 10 described in the above embodiment is described is stored in the hard disk drive 1031.
  • the data used for information processing by the learning program is stored as program data 1094 in, for example, the hard disk drive 1031.
  • the CPU 1020 reads the program module 1093 and the program data 1094 stored in the hard disk drive 1031 into the RAM 1012 as needed, and executes each of the above-mentioned procedures.
  • the program module 1093 and the program data 1094 related to the learning program are not limited to the case where they are stored in the hard disk drive 1031. For example, they are stored in a removable storage medium and read by the CPU 1020 via the disk drive 1041 or the like. May be done.
  • the program module 1093 and the program data 1094 related to the learning program are stored in another computer connected via a network such as a LAN (Local Area Network) or WAN (Wide Area Network), and are stored in another computer connected via a network, and are stored via the network interface 1070. It may be read by the CPU 1020.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Biomedical Technology (AREA)
  • Molecular Biology (AREA)
  • General Health & Medical Sciences (AREA)
  • Computational Linguistics (AREA)
  • Biophysics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Machine Translation (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

取得部（１５ａ）が、ラベルを予測するデータを取得する。学習部（１５ｂ）が、取得されたデータのラベルの確率分布を表すモデルにおいて、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する。

Description

学習装置、学習方法および学習プログラム
　本発明は、学習装置、学習方法および学習プログラムに関する。
　近年、機械学習は、大きな成功を収めている。特に深層学習の登場により、画像や自然言語の分野では、機械学習が主流の方法となっている。
　一方、深層学習は、悪意のあるノイズが乗せられたＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅによる攻撃に対して脆弱であることが知られている。このようなＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対する有力な対策として、代理損失を利用するＴＲＡＤＥＳ（TRadeoff-inspired　Adversarial　DEfense　via　Surrogate-loss　minimization）とい呼ばれる手法が提案されている（非特許文献１、２参照）。
A.Madry　et　al.,　"Towards　Deep　Learning　Models　Resistant　to　Adversarial　Attacks",　[online],　　arXiv:1706.06083v4　[stat.ML],　2019年9月,　[２０２０年６月２５日検索]、インターネット＜URL:　https://arxiv.org/pdf/1706.06083.pdf＞ H.Zhang　et　al.,　"Theoretically　Principled　Trade-off　between　Robustness　and　Accuracy",　[online],　　arXiv:1901.08573v3　[cs.LG]　,2019年6月,　[２０２０年６月２５日検索]、インターネット＜URL:　https://arxiv.org/pdf/1901.08573.pdf＞
　しかしながら、従来のＴＲＡＤＥＳでは、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対する汎化性能を向上させることが困難な場合がある。つまり、代理損失で近似して最適なモデルを探索する際に、従来、微分を実行できない点を回避するように、初期値に乱数を用いているため、汎化性能を向上させることが困難な場合がある。
　本発明は、上記に鑑みてなされたものであって、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対して頑健なモデルを学習することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る学習装置は、ラベルを予測するデータを取得する取得部と、取得された前記データのラベルの確率分布を表すモデルにおいて、前記データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する学習部と、を有することを特徴とする。
　本発明によれば、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対して頑健なモデルを学習することが可能となる。
図１は、学習装置の概略構成を例示する模式図である。 図２は、学習処理手順を示すフローチャートである。 図３は、検知処理手順を示すフローチャートである。 図４は、実施例を説明するための図である。 図５は、実施例を説明するための図である。 図６は、学習プログラムを実行するコンピュータを例示する図である。
　以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［学習装置の構成］
　図１は、学習装置の概略構成を例示する模式図である。図１に例示するように、学習装置１０は、パソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。
　入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置等によって実現される。
　通信制御部１３は、ＮＩＣ（Network　Interface　Card）等で実現され、ネットワークを介したサーバ等の外部の装置と制御部１５との通信を制御する。例えば、通信制御部１３は、学習対象のデータを管理する管理装置等と制御部１５との通信を制御する。
　記憶部１４は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、後述する学習処理により学習されたモデルのパラメータ等が記憶される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。
　制御部１５は、ＣＰＵ（Central　Processing　Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図１に例示するように、取得部１５ａ、学習部１５ｂおよび検知部１５ｃとして機能する。なお、これらの機能部は、それぞれあるいは一部が異なるハードウェアに実装されてもよい。例えば、学習部１５ｂと検知部１５ｃとは、別々の装置として実装されてもよい。あるいは、取得部１５ａは、学習部１５ｂおよび検知部１５ｃとは別の装置に実装されてもよい。また、制御部１５は、その他の機能部を備えてもよい。
　取得部１５ａは、ラベルを予測するデータを取得する。例えば、取得部１５ａは、後述する学習処理および検知処理に用いるデータを、入力部１１あるいは通信制御部１３を介して取得する。また、取得部１５ａは、取得したデータを記憶部１４に記憶させてもよい。なお、取得部１５ａは、これらの情報を記憶部１４に記憶させずに、学習部１５ｂまたは検知部１５ｃに転送してもよい。
　学習部１５ｂは、取得されたデータのラベルの確率分布を表すモデルにおいて、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する。具体的には、学習部１５ｂは、損失関数においてデータに対して乗せるノイズの初期値として、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、損失関数を最小化するモデルを探索することにより、モデルを学習する。
　ここで、データｘのラベルｙの確率分布を表すモデルは、パラメータθを用いて次式（１）で表される。ｆは、モデルが出力するラベルを表すベクトルである。
Figure JPOXMLDOC01-appb-M000001
　学習部１５ｂは、次式（２）で表される損失関数が小さくなるように、モデルのパラメータθを決定することにより、モデルの学習を行う。ここで、ｐ（ｙ｜ｘ）は、真の確率を表す。
Figure JPOXMLDOC01-appb-M000002
　また、学習部１５ｂは、データｘにノイズηが乗せられた、次式（３）に示すＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対して正しくラベルを予測できるように、モデルの学習を行う。
Figure JPOXMLDOC01-appb-M000003
　学習部１５ｂは、次式（４）に示す損失関数を最小化するθを探索して決定することにより、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘｚｍｐｌｅに頑強なモデルを学習する。ここで、βは定数である。
Figure JPOXMLDOC01-appb-M000004
　上記式（４）の損失関数を最小化するためには、次式（５）に示すように、上記式（４）の第２項を微分して探索を行う。
Figure JPOXMLDOC01-appb-M000005
　ここで、式（４）の第２項においてノイズηを変えながらその最大値を探索する際に、ηの初期値η０を０とすると、ｘ’＝ｘとなるため、式（４）の第２項の微分を実行することができない。
　そこで、従来のＴＲＡＤＥＳでは、ノイズηの初期値η０を乱数ηｒａｎｄとしている。そうすると、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対する汎化性能を十分に向上させることが困難な場合がある。
　ここで、上記式（４）の損失関数は、フィッシャー情報行列Ｇとその固有値λとを用いて、次式（６）のように変形することができる。
Figure JPOXMLDOC01-appb-M000006
　そこで、本実施形態の学習部１５ｂは、データｘに対するフィッシャー情報行列Ｇの最大固有値に対応する固有ベクトルを用いて、該モデルを学習する。具体的には、学習部１５ｂは、上記式（５）において、次式（７）に示すように、データｘに対して乗せるノイズηの初期値η０として、データｘに対するフィッシャー情報行列Ｇの最大固有値に対応する固有ベクトルηｅｉｇを用いる。そして、上記式（４）に示した損失関数を最小化するθを探索することにより、モデルを学習する。
Figure JPOXMLDOC01-appb-M000007
　これにより、学習部１５ｂは、損失関数を最小化するパラメータθの探索を精度高く行うことが可能となる。したがって、学習部１５ｂは、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対して頑健なモデルの学習が可能となる。
　検知部１５ｃは、学習されたモデルを用いて、取得されたデータのラベルを予測する。この場合に、検知部１５ｃは、学習されたパラメータθを上記式（１）に適用することより、新たに取得されたデータの各ラベルの確率を算出し、最も確率が高いラベルを出力する。これにより、例えば、データがＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅであった場合にも、正しいラベルを出力することができる。このように、検知部１５ｃは、ｂｌｉｎｄ　ｓｐｏｔ　ａｔｔａｃｋに耐えて、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに正しいラベルを予測することが可能となる。
［学習処理］
　次に、図２を参照して、本実施形態に係る学習装置１０による学習処理について説明する。図２は、学習処理手順を示すフローチャートである。図２のフローチャートは、例えば、学習処理の開始を指示する操作入力があったタイミングで開始される。
　まず、取得部１５ａが、ラベルを予測するデータを取得する（ステップＳ１）。
　次に、学習部１５ｂが、取得されたデータのラベルの確率分布を表すモデルを学習する（ステップＳ１）。その際に、学習部１５ｂは、モデルにおいて、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する。具体的には、学習部１５ｂは、損失関数においてデータに対して乗せるノイズの初期値として、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、損失関数を最小化するモデルを探索することにより、モデルを学習する。これにより、一連の学習処理が終了する。
［検知処理］
　次に、図３を参照して、本実施形態に係る学習装置１０による検知処理について説明する。図３は、検知処理手順を示すフローチャートである。図３のフローチャートは、例えば、検知処理の開始を指示する操作入力があったタイミングで開始される。
　まず、取得部１５ａが、上記した図２のステップＳ１の処理と同様に、ラベルを予測する新たなデータを取得する（ステップＳ１１）。
　次に、検知部１５ｃが、学習されたモデルを用いて、取得されたデータのラベルを予測する（ステップＳ１２）。この場合に、検知部１５ｃは、学習されたパラメータθを上記式（１）に適用することより、新たに取得されたデータｘ’のｐ（ｘ’）を算出し、最も確率が高いラベルを出力する。例えば、データｘ’がＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅであった場合にも、正しいラベルを出力することができる。これにより、一連の検知処理が終了する。
　以上、説明したように、取得部１５ａが、ラベルを予測するデータを取得する。学習部１５ｂが、取得されたデータのラベルの確率分布を表すモデルにおいて、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する。具体的には、学習部１５ｂは、損失関数においてデータに対して乗せるノイズの初期値として、データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、損失関数を最小化するモデルを探索する。
　これにより、学習装置１０は、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対して頑健なモデルの学習が可能となる。
　また、検知部１５ｃが、学習されたモデルを用いて、取得されたデータのラベルを予測する。これにより、検知部１５ｃは、ｂｌｉｎｄ　ｓｐｏｔ　ａｔｔａｃｋに耐えて、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対しても正しいラベルを予測することが可能となる。
［実施例］
　図４および図５は、本発明の実施例について説明するための図である。本実施例では、画像のデータセット：Ｃｉｆａｒ１０、深層学習モデル：Ｒｅｓｎｅｔ１８を用いて、上記実施形態のモデルの正確性の評価を行った。具体的には、テストデータと、ＰＧＤと呼ばれる手法でテストデータから生成したＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅとを用いて、上記式（４）に示した損失関数のβを変えて学習した、上記実施形態のモデルと従来手法のモデルとの評価を行った。
　ＰＧＤのパラメータとして、ｅｓｐ＝８／２５５、ｔｒａｉｎ＿ｉｔｅｒ＝７、ｅｖａｌ＿ｉｔｅｒ＝２０、ｅｐｓ＿ｉｔｅｒ＝０．０１、ｒａｎｄ＿ｉｎｉｔ＝Ｔｒｕｅ、ｃｌｉｐ＿ｍｉｎ＝０．０、ｃｌｉｐ＿ｍａｘ＝１．０を用いた。
　そして、テストデータに対するｔｏｐ１の正解率（以下、ｎａｔｕｒａｌ　ａｃｃと記す）と、テストデータから生成したＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対するｔｏｐ１の正解率（以下、ｒｏｂｕｓｔ　ａｃｃと記す）とを算出した。
　図４には、ｒｏｂｕｓｔ　ａｃｃとβとの関係が例示されている。また、図５には、ｎａｔｕｒａｌ　ａｃｃとβとの関係が例示されている。図４に示すように、本発明（実施形態）のモデル、従来手法のモデルとも、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対する予測精度は、βに依存しないことがわかる。これに対し、図５に示すように、βが大きくなるほど、本発明のモデル、従来手法のモデルとも、通常のデータに対する予測精度が低下する。これは、上記式（４）の第１項が通常のデータに対する損失関数を表す部分であり、第２項がＡｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対する損失関数を表す部分であることに起因して、βが大きいほど、第２項の影響が大きくなるためである。
　そこで、ｒｏｂｕｓｔ　ａｃｃが高い場合のβを採用して、各モデルの正確性を比較する。その結果、従来手法のモデルでは、β＝２０　Ｒｏｂｕｓｔ　Ａｃｃ＝５６．８７、Ｎａｔｕｒａｌ　Ａｃｃ＝９５．７５であった。また、本発明のモデルでは、β＝１０、Ｒｏｂｕｓｔ　Ａｃｃ＝６１．６２、Ｎａｔｕｒａｌ　Ａｃｃ＝９５．８４であった。このように、βによらず、本発明のモデルが従来手法のモデルより高いことがわかる。このように、実施形態のモデルは、上記式（４）の第２項に対応して、Ａｄｖｅｒｓａｒｉａｌ　Ｅｘａｍｐｌｅに対して頑強なモデルを学習できることが確認された。
［プログラム］
　上記実施形態に係る学習装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、学習装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の学習処理を実行する学習プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の学習プログラムを情報処理装置に実行させることにより、情報処理装置を学習装置１０として機能させることができる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。また、学習装置１０の機能を、クラウドサーバに実装してもよい。
　図６は、学習プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
　ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
　また、学習プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した学習装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
　また、学習プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、学習プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、学習プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local　Area　Network）やＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１０　学習装置
　１１　入力部
　１２　出力部
　１３　通信制御部
　１４　記憶部
　１５　制御部
　１５ａ　取得部
　１５ｂ　学習部
　１５ｃ　検知部

Claims (5)

  1. 　ラベルを予測するデータを取得する取得部と、
    　取得された前記データのラベルの確率分布を表すモデルにおいて、前記データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する学習部と、
    　を有することを特徴とする学習装置。
  2. 　前記学習部は、損失関数において前記データに対して乗せるノイズの初期値として、前記固有ベクトルを用いることを特徴とする請求項１に記載の学習装置。
  3. 　学習された前記モデルを用いて、取得された前記データのラベルを予測する検知部を、さらに備えることを特徴とする請求項１に記載の学習装置。
  4. 　学習装置で実行される学習方法であって、
    　ラベルを予測するデータを取得する取得工程と、
    　取得された前記データのラベルの確率分布を表すモデルにおいて、前記データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する学習工程と、
    　を含んだことを特徴とする学習方法。
  5. 　ラベルを予測するデータを取得する取得ステップと、
    　取得された前記データのラベルの確率分布を表すモデルにおいて、前記データに対するフィッシャー情報行列の最大固有値に対応する固有ベクトルを用いて、該モデルを学習する学習ステップと、
    　をコンピュータに実行させるための学習プログラム。
PCT/JP2020/027875 2020-07-17 2020-07-17 学習装置、学習方法および学習プログラム Ceased WO2022014047A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2020/027875 WO2022014047A1 (ja) 2020-07-17 2020-07-17 学習装置、学習方法および学習プログラム
US18/014,343 US20230259819A1 (en) 2020-07-17 2020-07-17 Learning device, learning method and learning program
JP2022536099A JP7416255B2 (ja) 2020-07-17 2020-07-17 学習装置、学習方法および学習プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/027875 WO2022014047A1 (ja) 2020-07-17 2020-07-17 学習装置、学習方法および学習プログラム

Publications (1)

Publication Number Publication Date
WO2022014047A1 true WO2022014047A1 (ja) 2022-01-20

Family

ID=79554603

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/027875 Ceased WO2022014047A1 (ja) 2020-07-17 2020-07-17 学習装置、学習方法および学習プログラム

Country Status (3)

Country Link
US (1) US20230259819A1 (ja)
JP (1) JP7416255B2 (ja)
WO (1) WO2022014047A1 (ja)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7961956B1 (en) * 2009-09-03 2011-06-14 Thomas Cecil Minter Adaptive fisher's linear discriminant
US8590061B1 (en) * 2011-03-22 2013-11-19 Iowa State University Research Foundation, Inc. Optimal excitation force design indentation-based rapid broadband nanomechanical spectroscopy
US11580383B2 (en) * 2017-03-16 2023-02-14 Nec Corporation Neural network learning device, method, and program

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CHAOMIN SHEN; YAXIN PENG; GUIXU ZHANG; JINSONG FAN: "Defending Against Adversarial Attacks by Suppressing the Largest Eigenvalue of Fisher Information Matrix", ARXIV.ORG, CORNELL UNIVERSITY LIBRARY, 201 OLIN LIBRARY CORNELL UNIVERSITY ITHACA, NY 14853, 13 September 2019 (2019-09-13), 201 Olin Library Cornell University Ithaca, NY 14853 , XP081476848 *

Also Published As

Publication number Publication date
JP7416255B2 (ja) 2024-01-17
US20230259819A1 (en) 2023-08-17
JPWO2022014047A1 (ja) 2022-01-20

Similar Documents

Publication Publication Date Title
US11853882B2 (en) Methods, apparatus, and storage medium for classifying graph nodes
US20200160212A1 (en) Method and system for transfer learning to random target dataset and model structure based on meta learning
CN111461226A (zh) 对抗样本生成方法、装置、终端及可读存储介质
WO2023019456A1 (en) Method and apparatus for evaluation of adversarial robustness
WO2019109743A1 (zh) Url攻击检测方法、装置以及电子设备
CN107958286A (zh) 一种领域适应性网络的深度迁移学习方法
WO2023051140A1 (zh) 用于图像特征表示生成的方法、设备、装置和介质
US11960574B2 (en) Image generation using adversarial attacks for imbalanced datasets
CN114463798A (zh) 人脸识别模型的训练方法、装置、设备及存储介质
CN112329762A (zh) 图像处理方法、模型训练方法、装置、计算机设备和介质
WO2020075462A1 (ja) 学習器推定装置、学習器推定方法、リスク評価装置、リスク評価方法、プログラム
WO2021100184A1 (ja) 学習装置、推定装置、学習方法および学習プログラム
JP2018200524A (ja) 分類装置、分類方法および分類プログラム
JP7529159B2 (ja) 学習装置、学習方法、および、学習プログラム
KR101700030B1 (ko) 사전 정보를 이용한 영상 물체 탐색 방법 및 이를 수행하는 장치
US20220277195A1 (en) Automated data augmentation in deep learning
WO2021161423A1 (ja) 検知装置、検知方法および検知プログラム
US11416775B2 (en) Training robust machine learning models
US20240202322A1 (en) Efficient prototyping of adversarial attacks and defenses on transfer learning settings
CN115346072B (zh) 图像分类模型的训练方法及装置、电子设备和存储介质
CN114612688B (zh) 对抗样本生成方法、模型训练方法、处理方法及电子设备
CN111373416B (zh) 通过离散神经网络输入来增强神经网络的安全性
CN120493239B (zh) 保护模型安全的方法、装置、设备和存储介质
JP2019016324A (ja) 予測装置、予測方法および予測プログラム
WO2023238246A1 (ja) 統合モデル生成方法、統合モデル生成装置および統合モデル生成プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20945574

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022536099

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20945574

Country of ref document: EP

Kind code of ref document: A1