特開 2024-11942 学習装置、学習方法及び学習プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024011942

(43)【公開日】2024-01-25

(54)【発明の名称】学習装置、学習方法及び学習プログラム

(51)【国際特許分類】

   G06T 7/00 20170101AFI20240118BHJP

   G06N 3/08 20230101ALI20240118BHJP

   G06V 10/82 20220101ALI20240118BHJP

   G06V 10/774 20220101ALI20240118BHJP

【ＦＩ】

G06T7/00 350C

G06N3/08

G06V10/82

G06V10/774

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2022114304

(22)【出願日】2022-07-15

(71)【出願人】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(71)【出願人】

【識別番号】504133110

【氏名又は名称】国立大学法人電気通信大学

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】鈴木 聡志

(72)【発明者】

【氏名】増村 亮

(72)【発明者】

【氏名】澤田 雅人

(72)【発明者】

【氏名】安藤 厚志

(72)【発明者】

【氏名】牧島 直輝

(72)【発明者】

【氏名】庄野 逸

【テーマコード（参考）】

5L096

【Ｆターム（参考）】

5L096AA06

5L096EA39

5L096FA77

5L096GA34

5L096GA51

5L096HA11

5L096JA05

5L096JA22

5L096KA04

(57)【要約】

【課題】クリーン画像への精度を保持しながら、敵対的学習によるロバスト性を高めた画像識別モデルを提供する。
【解決手段】学習装置２１０は、第１のクリーン画像を基に摂動を生成した摂動を、第１のクリーン画像に重畳した重畳画像を生成する敵対的摂動生成部１３と、複数のクリーン画像を学習した第１のＣＮＮ２１６１を用いて第１のクリーン画像に対して画像識別を行い、第１のＣＮＮ２１６１の中間出力を第１の中間出力として出力する原画像識別部２１６と、第２のＣＮＮ２１４１を用いて重畳画像に対して画像識別を行い、第２のＣＮＮ２１４１の中間出力を第２の中間出力として出力する画像識別部２１４と、重畳画像に対する画像識別結果と第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、第１の中間出力と第２の中間出力との差分が小さくなるように、第２のＣＮＮ２１４１のパラメータを最適化する最適化部２１５と、を有する。
【選択図】図１１

【特許請求の範囲】

【請求項1】

正解ラベルが付された第１のクリーン画像を基に摂動を生成し、生成した摂動を、前記第１のクリーン画像に重畳した重畳画像を生成する生成部と、
複数のクリーン画像を学習データとして画像識別を学習した第１のＮＮ（Neural Network）を用いて、前記第１のクリーン画像に対して画像識別を行い、前記第１のＮＮの中間出力を第１の中間出力として出力する第１の画像識別部と、
前記第１のＮＮのモデルパラメータが初期パラメータとして設定された第２のＮＮを用いて、前記重畳画像に対して画像識別を行い、前記第２のＮＮの中間出力を第２の中間出力として出力する第２の画像識別部と、
前記第２の画像識別部による前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、前記第１の中間出力と前記第２の中間出力との差分が小さくなるように、前記第２のＮＮのパラメータを最適化することによって、前記第２のＮＮの学習を実行する学習部と、
を有することを特徴とする学習装置。

【請求項2】

前記学習部は、前記第２の画像識別部による前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分を示す第１の損失関数と、前記第１の中間出力と前記第２の中間出力との差分を示す第２の損失関数との重みづけ和である損失関数を用いて、前記第２のＮＮのパラメータを最適化することを特徴とする請求項１に記載の学習装置。

【請求項3】

前記生成部は、前記第１のクリーン画像に対する画像識別結果から、正解ラベル以外で最も出力値が大きいカテゴリを探索し、探索したカテゴリに対する損失が最も小さくなるように前記摂動を生成することを特徴とする請求項１に記載の学習装置。

【請求項4】

学習装置が実行する学習方法であって、
正解ラベルが付された第１のクリーン画像を基に摂動を生成し、生成した摂動を、前記第１のクリーン画像に重畳した重畳画像を生成する工程と、
複数のクリーン画像を学習データとして画像識別を学習した第１のＮＮ（Neural Network）を用いて、前記第１のクリーン画像に対して画像識別を行い、前記第１のＮＮの中間出力を第１の中間出力として出力する工程と、
前記第１のＮＮのモデルパラメータが初期パラメータとして設定された第２のＮＮを用いて、前記重畳画像に対して画像識別を行い、前記第２のＮＮの中間出力を第２の中間出力として出力する工程と、
前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、前記第１の中間出力と前記第２の中間出力との差分が小さくなるように、前記第２のＮＮのパラメータを最適化することによって、前記第２のＮＮの学習を実行する工程と、
を含んだことを特徴とする学習方法。

【請求項5】

正解ラベルが付された第１のクリーン画像を基に摂動を生成し、生成した摂動を、前記第１のクリーン画像に重畳した重畳画像を生成するステップと、
複数のクリーン画像を学習データとして画像識別を学習した第１のＮＮ（Neural Network）を用いて、前記第１のクリーン画像に対して画像識別を行い、前記第１のＮＮの中間出力を第１の中間出力として出力するステップと、
前記第１のＮＮのモデルパラメータが初期パラメータとして設定された第２のＮＮを用いて、前記重畳画像に対して画像識別を行い、前記第２のＮＮの中間出力を第２の中間出力として出力するステップと、
前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、前記第１の中間出力と前記第２の中間出力との差分が小さくなるように、前記第２のＮＮのパラメータを最適化することによって、前記第２のＮＮの学習を実行するステップと、
をコンピュータに実行させるための学習プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、学習装置、学習方法及び学習プログラムに関する。

【背景技術】

【0002】

近年、機械学習技術、特に、畳み込みニューラルネットワーク（Convolutional Neural Network：ＣＮＮ）を用いた、画像内の被写体の識別や検出、領域分割等の技術の精度向上が著しい。これらの機械学習技術を用いた、各種業務における目視工程の自動化を推進する技術が注目を集めている。

【0003】

例えば、撮像された画像を処理することで業務の目視工程自動化を推進していく場合、ＣＮＮの画像処理は、目視工程を行っている人間の直感に沿った処理であることが望ましい。ＣＮＮの画像処理は、例えば、画像識別の際に識別対象に多少のノイズ等が付与されていても、識別結果は不変である、などの性質をもっていることが望ましい。

【0004】

ＣＮＮは、人間の視覚構造と類似する機構を持つモデルとして知られており、上記のようなノイズに対しても人間と同様の不変性を持つと考えられてきた。

【0005】

しかしながら、近年、ＣＮＮの画像処理は人間が知覚できないような微小なノイズに対して不変性を有さないことが明らかになってきた。特に、敵対的摂動と呼ばれる脆弱性攻撃は、人間はほとんど感知できない微小なノイズでありながらも、何も対策を講じていない場合、ＣＮＮの画像識別をほぼ100％の確率で誤らせること、すなわち、人間から見れば犬が映っているのにも関わらず車と識別する、といったことを可能にすることが明らかになっている。

【0006】

このような人間の直感と異なる敵対的摂動に対するＣＮＮの挙動は、実用上大きな課題となり得る。したがって、敵対的摂動に対してロバストなＣＮＮモデルを構築することは、ＣＮＮの実用上、重要な課題である。

【0007】

ここで、敵対的摂動による攻撃に対してロバストなＣＮＮを構築する手法として、様々な手法が提案されてきた。しかしながら、これらの多くの手法は、後に開発された新たな攻撃手法に対して、脆弱性が発見されている。

【0008】

ただし、ロバストなＣＮＮを構築する手法のうち、敵対的学習（非特許文献１）と呼ばれる手法は、最新の攻撃手法に対しても、大きく識別精度を落とすことが無く、ロバストなＣＮＮモデルを作成するための方法論として知られている。

【0009】

敵対的学習は、学習を行うＣＮＮモデルを最大限攻撃する敵対的摂動を作りだし、その摂動が加えられた画像を正しく識別できるように学習を行う。敵対的学習は、この学習を繰り返し行うことによって、ロバストなＣＮＮモデルを構築するというものである。

【先行技術文献】

【非特許文献】

【0010】

【非特許文献1】M A. Madry, A. Makelov, L. Schmidt, D. Tsipras, and A. Vladu, “Towards Deep Learning Models Resistant to Adversarial Attacks”, [online], arXiv:1706.06083v4 [stat.ML], 2019年9月, [２０２２年６月２日検索]、インターネット＜URL: https://arxiv.org/pdf/1706.06083.pdf＞

【発明の概要】

【発明が解決しようとする課題】

【0011】

敵対的学習は、ロバスト性を高めるという目的に対しては、経験的に有効な手法であるのに対し、敵対的摂動が適用されていない画像（以下、クリーン画像）に対する識別精度が、クリーン画像のみを学習したＣＮＮ（以下、通常学習ＣＮＮ）よりも大幅に低いという課題がある。

【0012】

例えば、CIFAR-10という画像データセットにおいてWideResNet-34-10というアーキテクチャを採用した場合、通常ＣＮＮモデルは通常画像に対して95%程度の精度を実現するが、敵対的学習を行ったモデルは85%程度の精度となる。敵対的学習を行ったモデルは、通常ＣＮＮモデルよりも、10ポイントもの精度低下が起こる。

【0013】

悪意のある第三者からの敵対的摂動による攻撃に対するロバスト性の向上は重要な課題である一方、通常画像の精度も実用上は非常に重要である。このため、ロバスト性を高めるために、通常画像の精度を大きく低下させることは、実用上好ましくない。

【0014】

本発明は、上記に鑑みてなされたものであって、クリーン画像への精度を保持しながら、敵対的学習によるロバスト性を高めた画像識別モデルを提供する学習装置、学習方法及び学習プログラムを提供することを目的とする。

【課題を解決するための手段】

【0015】

上述した課題を解決し、目的を達成するために、本発明に係る学習装置は、正解ラベルが付された第１のクリーン画像を基に摂動を生成し、生成した摂動を、前記第１のクリーン画像に重畳した重畳画像を生成する生成部と、複数のクリーン画像を学習データとして画像識別を学習した第１のＮＮ（Neural Network）を用いて、前記第１のクリーン画像に対して画像識別を行い、前記第１のＮＮの中間出力を第１の中間出力として出力する第１の画像識別部と、前記第１のＮＮのモデルパラメータが初期パラメータとして設定された第２のＮＮを用いて、前記重畳画像に対して画像識別を行い、前記第２のＮＮの中間出力を第２の中間出力として出力する第２の画像識別部と、前記第２の画像識別部による前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、前記第１の中間出力と前記第２の中間出力との差分が小さくなるように、前記第２のＮＮのパラメータを最適化することによって、前記第２のＮＮの学習を実行する学習部と、を有することを特徴とする。

【発明の効果】

【0016】

本発明によれば、クリーン画像への精度を保持しながら、敵対的学習によるロバスト性を高めた画像識別モデルを提供することができる。

【図面の簡単な説明】

【0017】

【図1】図１は、正解ラベルが付されたクリーン画像のみを学習したＣＮＮと、敵対的学習を行ったＣＮＮとにおける中間層の出力を説明する図である。

【図2】図２は、実施の形態１における学習方法を説明する図である。

【図3】図３は、実施の形態１に係る学習装置の構成の一例を模式的に示す図である。

【図4】図４は、実施の形態１に係る学習処理の処理手順を示すフローチャートである。

【図5】図５は、図４に示す敵対的画像生成処理の処理手順を示すフローチャートである。

【図6】図６は、図４に示す画像識別処理の処理手順を示すフローチャートである。

【図7】図７は、図４に示す最適化処理の処理手順を示すフローチャートである。

【図8】図８は、図４に示すスケジュール処理の処理手順を示すフローチャートである。

【図9】図９は、図４に示す敵対的画像生成処理の他の処理手順を示すフローチャートである。

【図10】図１０は、実施の形態２における学習方法を説明する図である。

【図11】図１１は、実施の形態２に係る学習装置の構成の一例を模式的に示す図である。

【図12】図１２は、実施の形態２に係る学習処理の処理手順を示すフローチャートである。

【図13】図１３は、図１２に示す画像識別処理の処理手順を示すフローチャートである。

【図14】図１４は、図１２に示す原画像識別処理の処理手順を示すフローチャートである。

【図15】図１５は、図１２に示す最適化処理の処理手順を示すフローチャートである。

【図16】図１６は、実施の形態３に係る学習装置の構成の一例を模式的に示す図である。

【図17】図１７は、実施の形態３に係る学習処理の処理手順を示すフローチャートである。

【図18】図１８は、プログラムが実行されることにより、学習装置が実現されるコンピュータの一例を示す図である。

【発明を実施するための形態】

【0018】

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

【0019】

［実施の形態１］
実施の形態１では、敵対的摂動が重畳されていない画像（以下、クリーン画像）に対する画像識別精度を保持しながら、敵対的学習によるロバスト性を高めたＣＮＮ（Convolutional Neural Network）の学習について説明する。ＣＮＮは、画像識別モデルである。

【0020】

図１は、正解ラベルが付されたクリーン画像のみを学習したＣＮＮ（以下、通常学習ＣＮＮ）（第１のＮＮ）と、敵対的学習（Adversarial Training：ＡＴ）を行ったＣＮＮとにおける中間層の出力を説明する図である。図１は、CIFAR-10のデータセットを使用し、WideResNet28-10の27層目の表現を用いた調査結果である。

【0021】

図１に示すように、通常学習ＣＮＮモデルによって得られる中間層の出力（特徴表現）（図１の（１））と、敵対的学習を行ったＣＮＮモデルにおいて得られる中間層の出力とは、Cos類似度で0.2546程度しか一致せず、大きく異なることがわかった。

【0022】

この結果は、通常学習ＣＮＮでうまく行えていた特徴抽出が、ＡＴを行ったＣＮＮモデルでは行えなくなり、大幅な精度低下が起こることを示唆している。実施の形態１では、ＡＴにおいて、通常学習時に獲得するクリーン画像に対する特徴表現と同等の特徴表現を獲得できるように、言い換えると、通常学習ＣＮＮと同じような特徴抽出を行えるように、制約を加える。

【0023】

図２は、実施の形態１における学習方法を説明する図である。実施の形態１では、正解ラベルが付されたクリーン画像ｘ^{ｃｌｅａｎ}（ｘ）に、敵対的摂動δを重畳した敵対的画像ｘ^ａｄｖ（ｘ＋δ）（重畳画像）の学習の際、敵対的摂動δの大きさに基づくカリキュラム学習を行う（図２の（１））。言い換えると、実施の形態１では、敵対的摂動δの大きさが段階的に上がるように敵対的摂動δを生成することで、敵対的画像ｘ^ａｄｖに対するＡＴ－ＣＮＮ（第２のＮＮ）のカリキュラム学習を行う。

【0024】

例えば、損失関数として、式（１）を用いて、ＡＴ－ＣＮＮのパラメータの最適化を行う。

【0025】

【数1】

【0026】

ここで、ｆ（θ,ｘ＋δ）は、（ｘ＋δ）（敵対的画像ｘ^ａｄｖ）が入力された際のＡＴ－ＣＮＮ（モデルパラメータθ）が出力するラベルを表す。式（１）は、ＡＴ－ＣＮＮが出力するラベルと、クリーン画像ｘ^{ｃｌｅａｎ}（ｘ）に付された正解ラベルとの誤差を示す損失関数である。

【0027】

そして、式（１）をテーラー展開すると、式（２）のように近似できる。

【0028】

【数2】

【0029】

式（２）に示すように、右辺の第１項は、クリーン画像ｘが入力された際のＡＴ－ＣＮＮが出力するラベルと、当該クリーン画像の正解ラベルｙとの誤差を示す損失関数である。右辺の第１項は、クリーン画像に対する識別結果とクリーン画像の正解ラベルとの誤差を示す項である。

【0030】

そして、式（２）の右辺の第２項以降は、敵対的摂動δに関する項であり、クリーン画像に対する識別結果とクリーン画像の正解ラベルとの誤差に対する影響度を示すものといえる。言い換えると、式（２）の右辺の第２項以降の影響の大きさは、敵対的摂動δによって支配されており、ＡＴに特異な項といえる。

【0031】

そして、実施の形態１では、敵対的摂動δの大きさ｜δ｜_∞によるカリキュラム学習を行う。言い換えると、実施の形態１では、大きさ０（δ＝０は通常学習と同値）から、徐々に｜δ｜_∞を大きくするという制約を設ける。すなわち、実施の形態１では、式（２）の右辺の第２項以降における、敵対的摂動δのクリーン画像に対する識別結果とクリーン画像の正解ラベルとの誤差に対する影響度が段階的に上がるように敵対的摂動δを生成する。

【0032】

これによって、実施の形態１では、敵対的画像ｘ^ａｄｖに対するＡＴ－ＣＮＮ（第２のＮＮ）の敵対的摂動δによる影響度に対する段階的な学習を実行させることで、カリキュラム学習を行う。

【0033】

［学習装置］
次に、実施の形態１に係る学習装置について説明する。図３は、実施の形態１に係る学習装置の構成の一例を模式的に示す図である。

【0034】

実施の形態に係る学習装置１０は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＣＰＵ（Central Processing Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、学習装置１０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。学習装置１０は、ワークステーションやパソコン等の汎用コンピュータで実現される。

【0035】

学習装置１０は、図３に示すように、画像記憶部１１、初期化部１２、敵対的摂動生成部１３（生成部）、画像識別部１４、最適化部１５（学習部）及びスケジュール部１６（制御部）を有する。

【0036】

画像記憶部１１は、クリーン画像と、このクリーン画像の被写体のカテゴリを示す正解ラベルとの組を、複数記憶する。

【0037】

初期化部１２は、画像識別モデルであるＣＮＮ１４１の初期パラメータを保持する。初期パラメータは、クリーン画像を学習データとして画像識別を予め学習したＣＮＮ（第１のＮＮ）のモデルパラメータである。なお、初期パラメータは、クリーン画像を適切に識別できるモデルのモデルパラメータであれば足りる。

【0038】

敵対的摂動生成部１３は、処理対象として、画像記憶部１１から出力されたクリーン画像（第１のクリーン画像）を基に敵対的摂動（摂動）を生成し、生成した敵対的摂動を、第１のクリーン画像に重畳した重畳画像を生成する。

【0039】

敵対的摂動生成部１３は、スケジュール部１６によるスケジュール結果、最適化部１５が最適化したＣＮＮ１４１（後述）のモデルパラメータ、第１のクリーン画像、及び、第１のクリーン画像の正解ラベルを基に、第１のクリーン画像への敵対的摂動を生成する。敵対的摂動生成部１３は、生成した重畳画像を、敵対的画像として画像識別部１４へ出力する。

【0040】

スケジュール結果は、敵対的摂動の大きさがＣＮＮ１４１の学習段階に応じて段階的に上がるように、敵対的摂動を生成させるように設定される。スケジュール結果は、例えば、敵対的摂動の摂動のノルムなどのパラメータを制御する制御情報である。スケジュール結果の制御対象は、ＣＮＮ１４１の特徴表現学習を大きく損ねないようにするパラメータであれば摂動のノルムに限らない。

【0041】

画像識別部１４は、敵対的摂動生成部１３から、識別対象の敵対的画像を受け付け、ＣＮＮ１４１を用いて、敵対的画像に対して画像識別を行う。まず、学習開始時には、ＣＮＮ１４１には、クリーン画像を学習データとして画像識別を予め学習したＣＮＮのモデルパラメータが初期パラメータとして設定される。そして、学習が進むと、ＣＮＮ１４１には、最適化部１５が最適化したＣＮＮ１４１のモデルパラメータが設定される。画像識別部１４は、得られた出力（画像識別結果）をモデル出力として最適化部１５に出力する。

【0042】

最適化部１５は、モデル出力と正解ラベルとを基に、ＣＮＮ１４１の評価と、ＣＮＮ１４１のモデルパラメータの最適化を行う。最適化部１５は、敵対的画像に対するモデル出力が、第１のクリーン画像の正解ラベルに近づくようにＣＮＮ１４１のモデルパラメータを最適化することによって、ＣＮＮ１４１の学習を実行する。

【0043】

最適化部１５部は、前述の式（２）の損失関数を用いて、ＣＮＮ１４１のパラメータを最適化する。式（２）は、前述したように、第１のクリーン画像に対する識別結果と第１のクリーン画像の正解ラベルとの誤差を示す項と、この誤差に対する敵対的摂動の影響度を示す項とを有する。最適化部１５は、スケジュール部１６の制御によって、ＣＮＮ１４１の、第１のクリーン画像に対する識別結果と第１のクリーン画像の正解ラベルとの誤差に対する敵対的摂動の影響度に対する段階的な学習を行う。

【0044】

最適化部１５は、ＣＮＮ１４１の評価結果をスケジュール部１６に出力する。最適化部１５は、最適化後のＣＮＮ１４１のモデルパラメータを、敵対的摂動生成部１３と画像識別部１４とに出力する。

【0045】

スケジュール部１６は、ＣＮＮ１４１の評価結果を基に、敵対的摂動生成部１３が生成する敵対的摂動の生成パラメータを決定する。スケジュール部１６は、決定した生成パラメータを、スケジュール結果として、敵対的摂動生成部１３に出力する。

【0046】

スケジュール部１６は、敵対的摂動生成部１３に、敵対的摂動の大きさが段階的に上がるように、敵対的摂動を生成させる。スケジュール部１６は、敵対的摂動の大きさがＣＮＮ１４１の学習段階に応じて段階的に上がるように、敵対的摂動生成部１３に敵対的摂動を生成させ、最適化部１５に、ＣＮＮの、第１のクリーン画像に対する識別結果と第１のクリーン画像の正解ラベルとの誤差に対する敵対的摂動の影響度に対する段階的な学習を実行させる。

【0047】

スケジュール部１６は、学習を終了すると判定した場合には、最適化部１５において最適化されたＣＮＮ１４１のモデルパラメータを学習済みパラメータとして出力する。

【0048】

［学習処理］
次に、実施の形態１に係る学習処理について説明する。図４は、実施の形態１に係る学習処理の処理手順を示すフローチャートである。

【0049】

図４に示すように、学習装置１０では、まず、初期化部１２が、ＣＮＮ１４１のパラメータ初期化のため、ＣＮＮ１４１の初期パラメータを、敵対的摂動生成部１３及び画像識別部１４に出力する（ステップＳ１）。

【0050】

学習装置１０は、画像記憶部１１の中から、１組の第１のクリーン画像と、この第１のクリーン画像に対応する正解ラベルとを取り出し、第１のクリーン画像と正解ラベルとを敵対的摂動生成部１３に送信し、正解ラベルを最適化部１５へ送信する（ステップＳ２）。

【0051】

敵対的摂動生成部１３は、敵対的画像生成処理を行う（ステップＳ３）。敵対的画像は、第１のクリーン画像に敵対的摂動生を重畳した画像である。

【0052】

画像識別部１４は、ＣＮＮ１４１を用いて、敵対的摂動生成部１３が生成した敵対的画像に対する画像識別処理を行う（ステップＳ４）。

【0053】

最適化部１５は、モデル出力と正解ラベルとを基に、ＣＮＮ１４１の評価と、ＣＮＮ１４１のモデルパラメータの最適化を行う最適化処理を行う（ステップＳ５）。

【0054】

スケジュール部１６は、ＣＮＮ１４１の評価結果を基に、敵対的摂動生成部１３が生成する敵対的摂動の大きさがＣＮＮ１４１の学習段階に応じて段階的に上がるように、敵対的摂動の生成パラメータを決定するスケジュール処理を行う（ステップＳ６）。

【0055】

学習装置１０は、学習処理を終了するか否かを判定する（ステップＳ７）。学習処理を終了しないと判定した場合（ステップＳ７：Ｎｏ）、学習装置１０では、ステップＳ２に戻り、ＣＮＮ１４１の学習を継続する。学習処理を終了すると判定した場合（ステップＳ７：Ｙｅｓ）、学習装置１０は、スケジュール部１６を介して、最適化後のＣＮＮ１４１のモデルパラメータを学習済みパラメータとして取得する（ステップＳ８）。

【0056】

［敵対的画像生成処理］
次に、敵対的画像生成処理（ステップＳ３）について説明する。図５は、図４に示す敵対的画像生成処理の処理手順を示すフローチャートである。

【0057】

まず、敵対的摂動生成部１３は、学習の開始時か否かを判定する（ステップＳ１１）。

【0058】

学習の開始時の場合（ステップＳ１１：Ｙｅｓ）、敵対的摂動生成部１３は、初期化部１２から初期パラメータを取得する（ステップＳ１２）。初期パラメータは、クリーン画像を学習データとして画像識別を予め学習したＣＮＮのモデルパラメータであるが、クリーン画像を適切に識別できるモデルのモデルパラメータであれば足りる。敵対的摂動生成部１３は、スケジュール結果を初期化する（ステップＳ１３）。

【0059】

学習の開始時ではない場合（ステップＳ１１：Ｎｏ）、敵対的摂動生成部１３は、スケジュール部１６からスケジュール結果を取得する（ステップＳ１４）。スケジュール結果は、敵対的摂動の摂動のノルムなどのパラメータを制御する制御情報であるが、ＣＮＮ１４１の特徴表現学習を大きく損ねないようにするパラメータであれば摂動のノルムに限らない。敵対的摂動生成部１３は、最適化部１５から最適化後のＣＮＮ１４１のモデルパラメータを取得し（ステップＳ１５）、以降、画像識別パラメータとして用いる。

【0060】

敵対的摂動生成部１３は、画像記憶部１１から、処理対象の第１のクリーン画像と、該第１のクリーン画像の正解ラベルとを取得する（ステップＳ１６）。

【0061】

敵対的摂動生成部１３は、スケジュール結果、第１のクリーン画像の正解ラベル、第１のクリーン画像、及び、ステップＳ１２またはステップＳ１５において取得したＣＮＮ１４１のモデルパラメータを基に、敵対的摂動を生成する（ステップＳ１７）。ここで、敵対的摂動の生成として、正解ラベルに対する損失を最大化させるような手法を用いることが一般的である。また、敵対的摂動の生成手法として、Projected Gradient Descent（非特許文献１）を用いることを想定しているが、適切に敵対的摂動を生成できるのであれば、他の手法を用いてもよい。

【0062】

敵対的摂動生成部１３は、第１のクリーン画像に、生成した敵対的摂動を重畳し、敵対的画像として画像識別部１４へ出力する（ステップＳ１８）。

【0063】

［画像識別処理］
次に、画像識別処理（ステップＳ４）について説明する。図６は、図４に示す画像識別処理の処理手順を示すフローチャートである。

【0064】

図６に示すように、画像識別部１４は、学習の開始時か否かを判定する（ステップＳ２１）。

【0065】

学習の開始時の場合（ステップＳ２１：Ｙｅｓ）、画像識別部１４は、初期化部１２から初期パラメータを取得する（ステップＳ２２）。この初期パラメータは、ステップＳ１２において敵対的摂動生成部１３が取得した初期パラメータと同様のものであることを想定しているが、異なるパラメータであっても、類似の効果を得ることができる。

【0066】

学習の開始時ではない場合（ステップＳ２１：Ｎｏ）、画像識別部１４は、最適化部１５から最適化後のＣＮＮ１４１のモデルパラメータを取得し（ステップＳ２３）、以降、画像識別パラメータとして用いる。

【0067】

画像識別部１４は、敵対的摂動生成部１３からステップＳ１８の処理によって出力された敵対的画像を取得する（ステップＳ２４）。画像識別部１４は、敵対的画像に対して、最適化後のＣＮＮ１４１のモデルパラメータに基づく画像識別を適用する（ステップＳ２５）。画像識別部１４は、ステップＳ２２またはステップＳ２３において取得したモデルパラメータが設定されたＣＮＮ１４１を用いて、敵対的画像に対して、画像識別処理を実行する。

【0068】

画像識別部１４は、ステップＳ２５の処理によって得られた出力分布をモデル出力として最適化部１５へ出力する（ステップＳ２６）。

【0069】

［最適化処理］
次に、最適化処理（ステップＳ５）について説明する。図７は、図４に示す最適化処理の処理手順を示すフローチャートである。

【0070】

図７に示すように、最適化部１５は、学習の開始時か否かを判定する（ステップＳ３１）。

【0071】

学習の開始時の場合（ステップＳ３１：Ｙｅｓ）、最適化部１５は、初期化部１２から初期パラメータを取得する（ステップＳ３２）。

【0072】

学習の開始時ではない場合（ステップＳ３１：Ｎｏ）、または、ステップＳ３２終了後、最適化部１５は、画像記憶部１１から、処理対象の第１のクリーン画像の正解ラベルを取得する（ステップＳ３３）。最適化部１５は、画像識別部１４から、モデル出力を出力する（ステップＳ３４）。

【0073】

最適化部１５は、モデル出力ｘと正解ラベルｙとの差分が小さくなるように、ＣＮＮ１４１のモデルパラメータを最適化し、最適化後パラメータとして出力する（ステップＳ３５）。最適化部１５は、式（２）に示す損失関数を使用して、パラメータを最適化する。

【0074】

また、最適化部１５は、モデル出力ｘと正解ラベルｙとの差分を小さくするような画像識別ロスによって画像識別パラメータを最適化し、最適化後パラメータを出力してもよい。なお、この画像識別ロスは、式（３）に示す交差エントロピ等が一般に用いられるが、所望の識別タスクにおいて適切な目的関数であれば、平均二乗誤差などでも同様の効果を奏する。

【0075】

【数3】

【0076】

最適化部１５は、モデル出力がどの程度正解ラベルに近いか評価し、評価結果を出力する（ステップＳ３６）。この評価には、モデル出力のargmaxを取った結果と正解ラベルとが一致しているか否か、などのほか、適切な評価指標であればどのような指標を用いてもよい。

【0077】

［スケジュール処理］
次に、スケジュール処理（ステップＳ６）について説明する。図８は、図４に示すスケジュール処理の処理手順を示すフローチャートである。

【0078】

図８に示すように、スケジュール部１６は、最適化部１５がステップＳ３６において記出力した評価結果を取得する（ステップＳ４１）。スケジュール部１６は、ステップＳ４１において取得した評価結果が基準値以上であるか否かを判定する（ステップＳ４２）。

【0079】

評価結果が基準値以上である場合（ステップＳ４２：Ｙｅｓ）、スケジュール部１６は、所定の終了条件を基に、ＣＮＮ１４１の学習を終了するか否かを判定する（ステップＳ４３）。学習の終了条件は、例えば、敵対的摂動を生成するパラメータが所望の値まで到達している場合、ＣＮＮ１４１のパラメータの更新回数が所定の回数に到達した場合、パラメータ更新量が所定の閾値以下となった場合、最適化部１５が算出した損失が所定の閾値以下となった場合、などである。

【0080】

スケジュール部１６が、ＣＮＮ１４１の学習を終了すると判定した場合（ステップＳ４３：Ｙｅｓ）、学習装置１０は、ＣＮＮ１４１の学習を終了する。

【0081】

スケジュール部１６は、ＣＮＮ１４１の学習を終了しないと判定した場合（ステップＳ４３：Ｎｏ）、これまで用いていたパラメータを更新した新たな敵対的摂動生成のためのパラメータをスケジュール結果として敵対的摂動生成部１３へ出力する（ステップＳ４４）。

【0082】

ＣＮＮ１４１に敵対的摂動による影響度を段階的に学習させるために、敵対的摂動は、学習段階に応じて、段階的に大きくなるように設定されている。このため、スケジュール部１６は、例えば、検証対象の敵対的画像に対する画像識別の精度が10epoch飽和したら、敵対的摂動の摂動のノルムを、現段階から、現段階の次の段階の大きさに増加させたスケジュール結果を出力する。

【0083】

評価結果が基準値未満である場合（ステップＳ４２：Ｎｏ）、スケジュール部１６は、敵対的摂動の生成に関して、現状のパラメータを維持するようなスケジュール結果を敵対的摂動生成部１３へ出力する（ステップＳ４５）。

【0084】

［実施の形態１の効果］
このように、実施の形態１では、クリーン画像を学習済みである通常ＣＮＮから特徴表現が大きく外れないように、敵対的摂動の大きさを段階的に大きくするという制約を加えて、ＣＮＮ１４１の学習を行う。

【0085】

これによって、実施の形態１では、ＣＮＮ１４１に敵対的摂動による影響度を段階的に学習させることで、クリーン画像への精度を保持しながら、敵対的学習によるロバスト性を高めた画像識別モデルを提供することができる。

【0086】

［実施の形態１の変形例］
また、敵対的摂動生成部１３は、敵対的摂動の生成において、Most confusing attackを適用してもよい。図９は、図４に示す敵対的画像生成処理の他の処理手順を示すフローチャートである。

【0087】

図９のステップＳ５１～ステップＳ５６は、図５に示すステップＳ１１～ステップＳ１６と同じ処理である。

【0088】

敵対的摂動生成部１３は、第１のクリーン画像を、ステップＳ５５において取得した最適化後のモデルパラメータに基づくＣＮＮを用いて画像識別処理を行い、その出力結果から、第１のクリーン画像の正解ラベル以外で最も出力値が大きい（Most confusing）カテゴリを探索する（ステップＳ５７）。なお、敵対的摂動生成部１３は、最適化後のモデルパラメータに基づくＣＮＮを用いた第１のクリーン画像に対する画像識別結果を取得すれば足りるため、このＣＮＮは、敵対的摂動生成部１３が有する構成に限らず、他の構成要素が有していてもよい。

【0089】

敵対的摂動生成部１３は、スケジュール結果、第１のクリーン画像、ステップＳ５７において取得したMost confusingカテゴリ、ＣＮＮ１４１のモデルパラメータを基に敵対的摂動を作成する（ステップＳ５８）。この際、敵対的摂動生成部１３は、Most confusingカテゴリに対する損失が最も小さくなるように敵対的摂動を生成する。生成手法として、Projected Gradient Descent（非特許文献１）を用いることを想定しているが、適切に敵対的摂動を生成できるのであれば、他の手法を用いてもよい。

【0090】

図９に示すステップＳ５９は、図５に示すステップＳ１８と同じ処理である。

【0091】

Most confusingカテゴリは、正解ラベル以外で最も高い確信度を示すクラスであるため、このMost confusingカテゴリを基に生成した敵対的摂動は、最も近い決定境界のデータ点に対応するため、第１のクリーン画像に重畳しても、第１のクリーン画像の特徴表現を大きく変えないような攻撃となる。例えば、図５に示す処理手順にて生成した敵対的摂動画像と第１のクリーン画像との特徴表現とのcos類似度が、0.3896であるのに対し、Most confusingカテゴリを基に生成した敵対的画像と第１のクリーン画像との特徴表現のcos類似度は、0.4485と近くなる。

【0092】

実施の形態１の変形例によれば、Most confusingカテゴリを基に生成した敵対的画像をＣＮＮ１４１に学習させることで、敵対的摂動による影響度のより段階的な学習を実現することができる。

【0093】

［実施の形態２］
次に、実施の形態２について説明する。図１０は、実施の形態２における学習方法を説明する図である。

【0094】

実施の形態２では、通常学習ＣＮＮ（第１のＮＮ）の特徴表現から、ＡＴ－ＣＮＮ（第２のＮＮ）の特徴表現が変わらないように制約をかけることで、ＡＴ－ＣＮＮが、通常学習ＣＮＮと異なる特徴表現を獲得しないようにする。

【0095】

具体的には、実施の形態２では、ＡＴ－ＣＮＮの学習として、通常学習ＣＮＮを教師とした知識蒸留を行う（図１０の（１））。ここで、ＣＮＮの出力層からの知識蒸留は、正則化効果のみである。このため、実施の形態２では、中間層の出力を直接的に制約することで、ＡＴ－ＣＮＮが通常学習ＣＮＮと同じような特徴抽出を行えるように学習を実行する。実施の形態２では、制約の損失関数として、例えば、cos類似度を用いて、学習を実行する。

【0096】

［学習装置］
次に、実施の形態２に係る学習装置について説明する。図１１は、実施の形態２に係る学習装置の構成の一例を模式的に示す図である。

【0097】

図１１に示すように、実施の形態２に係る学習装置２１０は、図３に示す学習装置１０と比して、スケジュール部１６を削除した構成を有する。そして、学習装置２１０は、学習装置１０と比して、画像識別部１４及び最適化部１５に代えて画像識別部２１４（第２の画像識別部）及び最適化部２１５を有する。学習装置２１０は、さらに、原画像識別部２１６（第１の画像識別部）を有する。

【0098】

原画像識別部２１６は、複数のクリーン画像を学習データとして画像識別を学習した第１のＣＮＮ２１６１（第１のＮＮ）を用いて、第１のクリーン画像に対して画像識別を行う。原画像識別部２１６は、第１のＣＮＮ２１６１の中間出力を、原画像中間出力（第１の中間出力）として、最適化部２１５に出力する。なお、中間出力とは、第１のＣＮＮ２１６１の最終層ではない階層の処理結果の数値を想定しているが、画像識別のための適切な特徴表現であれば他の出力でもよい。

【0099】

画像識別部２１４は、学習対象の第２のＣＮＮ２１４１を有し、画像識別部１４と同様の機能を有する。第２のＣＮＮ２１４１は、第１のＣＮＮ２１６１のモデルパラメータが初期パラメータとして設定される。画像識別部２１４は、第２のＣＮＮ２１４１のモデル出力とともに、第２のＣＮＮ２１４１の中間出力（第２の中間出力）を最適化部１５に出力する。中間出力は、原画像中間出力の処理階層と同階層の処理結果の数値である。また、中間出力は、原画像中間出力と同様に、画像識別のための適切な特徴表現であれば他の出力でもよい。

【0100】

最適化部２１５は、画像識別部２１４による敵対的画像に対する画像識別結果と第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、原画像中間出力と第２のＣＮＮ２１４１の中間出力との差分が小さくなるように、第２のＣＮＮ２１４１のパラメータを最適化することによって、第２のＣＮＮ２１４１の学習を実行する。

【0101】

最適化部２１５は、式（４）に示すように、第１の損失関数Ｌ_１と第２の損失関数Ｌ_２との重みづけ和である損失関数Ｌを用いて、第２のＣＮＮ２１４１のパラメータを最適化する。

【0102】

【数4】

【0103】

式（４）のうち、第１の損失関数Ｌ_１は、画像識別部２１４による敵対的画像に対する画像識別結果と第１のクリーン画像の正解ラベルとの差分を示す損失関数である。第２の損失関数Ｌ_２は、原画像中間出力と第２のＣＮＮ２１４１の中間出力との差分を示す損失関数である。αは、ハイパーパラメータである。

【0104】

［学習処理］
次に、実施の形態２に係る学習処理について説明する。図１２は、実施の形態２に係る学習処理の処理手順を示すフローチャートである。

【0105】

図１２に示すステップＳ２０１～ステップＳ２０３は、図４に示すステップＳ１～ステップＳ３と同じ処理である。なお、ステップＳ２０３において、敵対的摂動生成部１３は、Most confusing attack（図９）を適用して敵対的摂動を生成してもよい。

【0106】

画像識別部２１４は、第２のＣＮＮ２１４１を用いて、敵対的摂動生成部１３が生成した敵対的画像に対する画像識別処理を行い（ステップＳ２０４）、モデル出力及び中間出力を最適化部２１５に出力する。

【0107】

原画像識別部２１６は、第１のＣＮＮ２１６１を用いて、第１のクリーン画像に対して画像識別を行う原画像識別処理を行い（ステップＳ２０５）、原画像中間出力を最適化部２１５に出力する。

【0108】

最適化部２１５は、画像識別部２１４による敵対的画像に対する画像識別結果と第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、原画像中間出力と第２のＣＮＮ２１４１の中間出力との差分が小さくなるように、第２のＣＮＮ２１４１のパラメータを最適化する最適化処理を行う（ステップＳ２０６）。

【0109】

ステップＳ２０７及びステップＳ２０８は、図４に示すステップＳ７及びステップＳ８と同じ処理である。

【0110】

［画像識別処理］
次に、画像識別処理（ステップＳ２０４）について説明する。図１３は、図１２に示す画像識別処理の処理手順を示すフローチャートである。

【0111】

図１３に示すステップＳ２１１～ステップＳ２１５は、図６に示すステップＳ２１～ステップＳ２５と同じ処理である。画像識別部２１４は、ステップＳ２１５の処理によって得られたモデル出力と、第２のＣＮＮ２１４１の中間出力を最適化部１５に出力する（ステップＳ２１６）。

【0112】

［原画像識別処理］
次に、原画像識別処理（ステップＳ２０５）について説明する。図１４は、図１２に示す原画像識別処理の処理手順を示すフローチャートである。

【0113】

原画像識別部２１６は、学習の開始時か否かを判定する（ステップＳ２２１）。学習の開始時の場合（ステップＳ２２１：Ｙｅｓ）、原画像識別部２１６は、初期化部１２から初期パラメータを取得する（ステップＳ２２２）。

【0114】

学習の開始時ではない場合（ステップＳ２２１：Ｎｏ）、または、ステップＳ２２２終了後、原画像識別部２１６は、第１のクリーン画像を取得し（ステップＳ２２３）、クリーン画像に対して、モデルパラメータ（初期化パラメータ）に基づく画像識別を適用する（ステップＳ２２４）。ステップＳ２２４において、原画像識別部２１６は、第１のＣＮＮ２１６１を用いて、第１のクリーン画像に対して画像識別を行う。

【0115】

原画像識別部２１６は、第１のＣＮＮ２１６１の中間出力を、原画像中間出力として、最適化部２１５に出力する（ステップＳ２２５）。

【0116】

［最適化処理］
次に、最適化処理（ステップＳ２０６）について説明する。図１５は、図１２に示す最適化処理の処理手順を示すフローチャートである。

【0117】

図１５に示すステップＳ２３１～ステップＳ２３３は、図７に示すステップＳ３１～ステップＳ３３と同じ処理である。最適化部１５は、画像識別部２１４からモデル出力と中間出力とを取得し（ステップＳ２３４）、原画像識別部２１６から原画像中間出力を取得
する（ステップＳ２３５）。

【0118】

そして、最適化部２１５は、画像識別部２１４から出力されたモデル出力と第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、原画像中間出力と第２のＣＮＮ２１４１の中間出力との差分が小さくなるように、第２のＣＮＮ２１４１のモデルパラメータを最適化し、最適化後パラメータとして、敵対的摂動生成部１３及び画像識別部２１４に出力する（ステップＳ２３６）。

【0119】

なお、最適化部２１５は、式（４）に示すような、モデル出力ｘと正解ラベルｙとの差分を小さくするような画像識別ロスと、第２のＣＮＮ２１４１の中間出力と原画像中間出力との差分を小さくするような中間出力ロスとによって画像識別パラメータを最適化し、最適化後パラメータを出力すればよい。

【0120】

なお、画像識別ロスは、式（４）に示す交差エントロピ等が一般に用いられるが、所望の識別タスクにおいて適切な目的関数であれば、平均二乗誤差などでも同様の効果を奏する。中間出力ロスも最小二乗誤差関数やコサイン距離関数を想定しているが、適切な目的関数であればよい。

【0121】

最適化部２１５は、モデル出力がどの程度正解ラベルに近いか評価し、評価結果を出力する（ステップＳ２３７）。この評価には、モデル出力のargmaxを取った結果と正解ラベルとが一致しているか否か、などのほか、適切な評価指標であればどのような指標を用いてもよい。

【0122】

［実施の形態２の効果］
このように、実施の形態２では、第１のＣＮＮ２１６１特徴表現から、第２のＣＮＮ２１４１の特徴表現が変わらないように、中間層の出力を直接的に制約することによって、クリーン画像への精度を保持しながら、敵対的学習によるロバスト性を高めた画像識別モデルを提供することができる。

【0123】

［実施の形態３］
次に、実施の形態３について説明する。実施の形態３は、実施の形態１と実施の形態２との組み合わせた場合について説明する。

【0124】

図１６は、実施の形態３に係る学習装置の構成の一例を模式的に示す図である。図１６に示すように、実施の形態３に係る学習装置３１０は、図３に示す学習装置１０と比して、原画像識別部２１６をさらに有する構成を有する。そして、学習装置３１０は、図３に示す学習装置１０と比して画像識別部１４及び最適化部１５に代えて、画像識別部２１４及び最適化部２１５を有する。

【0125】

図１７は、実施の形態３に係る学習処理の処理手順を示すフローチャートである。図１７に示すステップＳ３０１～ステップＳ３０３は、図４に示すステップＳ１～ステップＳ３と同じ処理である。なお、ステップＳ３０３において、敵対的摂動生成部１３は、Most confusing attack（図９）を適用して敵対的摂動を生成してもよい。

【0126】

図１７に示すステップＳ３０４～ステップＳ３０６は、図１２に示すステップＳ２０４～ステップＳ２０６と同じ処理である。図１７に示すステップＳ３０７～ステップＳ３０９は、図４に示すステップＳ６～ステップＳ８と同じ処理である。

【0127】

この実施の形態３に示すように、敵対的摂動の大きさが段階的に上がるように敵対的摂動を生成させるカリキュラム学習を行いながら、画像識別部２１４による敵対的画像に対する画像識別結果と第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、第２のＣＮＮ２１４１の中間出力と原画像中間出力との差分が小さくなるように、第２のＣＮＮ２１４１のパラメータを最適化してもよい。前記第２のＮＮの学習を実行する。

【0128】

［評価結果］
実施の形態１～３において学習したＣＮＮ１４１、第２のＣＮＮ２１４１の画像識別性能を評価した結果を表１に示す。比較として、クリーン画像のみを学習したＣＮＮ（Ｓｔａｎｄａｒｄ）と、敵対的画像のみを学習したＣＮＮ（ＡＴ）の評価結果も示す。Ｃｌｅａｎは、クリーン画像に対する結果である。ＦＧＳＭ，ＢＩＭ（７），ＰＧＣ（２０），ＣＷ（２０）は、敵対的画像の生成手法である。

【0129】

【表1】

【0130】

表１に示すように、実施の形態１～３に係る学習方法を用いて学習したＣＮＮ１４１、第２のＣＮＮ２１４１は、いずれも、クリーン画像に対し、敵対的画像のみを学習したＣＮＮ（ＡＴ）よりも、高い画像識別精度を示す。そして、実施の形態１～３に係る学習方法を用いて学習したＣＮＮ１４１、第２のＣＮＮ２１４１は、いずれも、敵対的画像に対し、クリーン画像のみを学習したＣＮＮ（Ｓｔａｎｄａｒｄ）及び敵対的画像のみを学習したＣＮＮ（ＡＴ）よりも、高い画像識別精度を示す。このため、実施の形態１～３に係る学習方法を用いることで、クリーン画像への精度を保持しながら、敵対的学習によるロバスト性をより高めた画像識別モデルを実現できることが分かった。

【0131】

さらに、実施の形態３に係る学習方法を用いて学習した第２のＣＮＮ２１４１は、実施の形態１，２に係る学習方法を用いて学習したＣＮＮ１４１、第２のＣＮＮ２１４１と比して、クリーン画像及び敵対的画像のいずれについても、高い画像識別精度を示す。このため、実施の形態３のように、カリキュラム学習と、中間層の出力を直接的に制約する知識蒸留の組み合わることで、クリーン画像への精度を保持しながら、敵対的学習によるロバスト性をより高めた画像識別モデルを実現できることが分かった。

【0132】

本実施の形態に係る学習装置は、非特許文献１に記載のような従来の学習方法に対して特定の改善を提供するものであり、画像識別に係る技術分野の向上を示すものである。

【0133】

［実施の形態のシステム構成について］
学習装置１０，２１０，３１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、学習装置１０，２１０，３１０の機能の分散及び統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散または統合して構成することができる。

【0134】

また、学習装置１０，２１０，３１０においておこなわれる各処理は、全部または任意の一部が、ＣＰＵ、ＧＰＵ（Graphics Processing Unit）、及び、ＣＰＵ、ＧＰＵにより解析実行されるプログラムにて実現されてもよい。また、学習装置１０，２１０，３１０においておこなわれる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。

【0135】

また、実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともできる。もしくは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述及び図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。

【0136】

［プログラム］
図１８は、プログラムが実行されることにより、学習装置１０，２１０，３１０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

【0137】

メモリ１０１０は、ＲＯＭ１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

【0138】

ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習装置１０，２１０，３１０の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習装置１０，２１０，３１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

【0139】

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

【0140】

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してCPU１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

【0141】

以上の実施形態に関し、更に以下の付記を開示する。

【0142】

（付記項１）
メモリと、
前記メモリに接続された少なくとも１つのプロセッサと、
を含み、
前記プロセッサは、
正解ラベルが付された第１のクリーン画像を基に摂動を生成し、生成した摂動を、前記第１のクリーン画像に重畳した重畳画像を生成し、
複数のクリーン画像を学習データとして画像識別を学習した第１のＮＮ（Neural Network）を用いて、前記第１のクリーン画像に対して画像識別を行い、前記第１のＮＮの中間出力を第１の中間出力として出力し、
前記第１のＮＮのモデルパラメータが初期パラメータとして設定された第２のＮＮを用いて、前記重畳画像に対して画像識別を行い、前記第２のＮＮの中間出力を第２の中間出力として出力し、
前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分が小さくなり、かつ、前記第１の中間出力と前記第２の中間出力との差分が小さくなるように、前記第２のＮＮのパラメータを最適化することによって、前記第２のＮＮの学習を実行する
学習装置。

【0143】

（付記項２）
付記項１に記載の学習装置であって、
前記学習することは、前記第２の画像識別部による前記重畳画像に対する画像識別結果と前記第１のクリーン画像の正解ラベルとの差分を示す第１の損失関数と、前記第１の中間出力と前記第２の中間出力との差分を示す第２の損失関数との重みづけ和である損失関数を用いて、前記第２のＮＮのパラメータを最適化する
学習装置。

【0144】

（付記項３）
付記項１に記載の学習装置であって、
前記生成することは、前記第１のクリーン画像に対する画像識別結果から、正解ラベル以外で最も出力値が大きいカテゴリを探索し、探索したカテゴリに対する損失が最も小さくなるように前記摂動を生成する
学習装置。

【0145】

（付記項５）
コンピュータを付記項１～３に記載の学習装置として機能させるための学習プログラムを格納した記憶媒体。

【0146】

以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

【符号の説明】

【0147】

１０，２１０，３１０ 学習装置
１１ 画像記憶部
１２ 初期化部
１３ 敵対的摂動生成部
１４，２１４ 画像識別部
１５，２１５ 最適化部
１６ スケジュール部
１４１ ＣＮＮ
２１６ 原画像識別部
２１４１ 第２のＣＮＮ
２１６１ 第１のＣＮＮ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】