知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-01-15
(45)【発行日】2024-01-23
(54)【発明の名称】情報処理装置、情報処理方法およびプログラム
(51)【国際特許分類】
G06N 20/00 20190101AFI20240116BHJP
G06N 3/094 20230101ALI20240116BHJP
【ＦＩ】
G06N20/00
G06N3/094
【請求項の数】
10
(21)【出願番号】P 2022543212
(86)(22)【出願日】2020-08-20
(86)【国際出願番号】 JP2020031403
(87)【国際公開番号】W WO2022038733
(87)【国際公開日】2022-02-24
【審査請求日】2023-02-03
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100106909
【弁理士】
【氏名又は名称】棚井 澄雄
(74)【代理人】
【識別番号】100134544
【弁理士】
【氏名又は名称】森 隆一郎
(74)【代理人】
【識別番号】100149548
【弁理士】
【氏名又は名称】松沼 泰史
(74)【代理人】
【識別番号】100162868
【弁理士】
【氏名又は名称】伊藤 英輔
(72)【発明者】
【氏名】柿崎 和也
(72)【発明者】
【氏名】シング インダージート
【審査官】坂庭 剛史
(56)【参考文献】
【文献】柿崎和也 ほか，"特徴量抽出器を用いた個人照合に対する敵対的サンプル生成法"，第１１回データ工学と情報マネジメントに関するフォーラム（第１７回日本データベース学会年次大会），2019年03月04日，DEIM Forum 2019 A2-1
【文献】ATHALYE, Anish et al.，"Synthesizing Robust Adversarial Examples"，arXiv [online]，2018年06月07日，[2023年12月07日検索］，インターネット＜ＵＲＬ：https://arxiv.org/abs/1707.07397v3＞，1707.07397v3
【文献】MOOSAVI-DEZFOOLI, Seyed-Mohsen et al.，"Universal adversarial perturbations"，arXiv [online]，2017年03月09日，［2023年12月07日検索］，インターネット＜ＵＲＬ：https://arxiv.org/abs/1610.08401v3＞，1610.08401v3
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｎ ３／０２－ ３／１０
Ｇ０６Ｎ ２０／００－９９／００
(57)【特許請求の範囲】
【請求項1】
１つのターゲットクラスに分類される複数のガイドデータを取得するガイドデータ取得部と、前記複数のガイドデータを用いて１つの敵対的サンプルを生成する敵対的サンプル生成部と、
を備える情報処理装置。
【請求項2】
前記敵対的サンプル生成部は、敵対的サンプル候補の特徴量と前記ガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて前記敵対的サンプルを生成する請求項１に記載の情報処理装置。
【請求項3】
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、敵対的サンプルを検知する検知モデルの学習を行う検知モデル学習部をさらに備える、請求項１または請求項２に記載の情報処理装置。
【請求項4】
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、データのクラス分類用の特徴量抽出モデルの学習を行う特徴量抽出モデル学習部をさらに備える、請求項１から３の何れか一項に記載の情報処理装置。
【請求項5】
前記敵対的サンプル生成部が生成した敵対的サンプルの特徴量と、前記ターゲットクラスのデータの特徴量との類似度を、前記敵対的サンプルによる誤認識のリスクの評価値として計算するリスク評価部をさらに備える、請求項１から４の何れか一項に記載の情報処理装置。
【請求項6】
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する敵対的サンプル生成部を備える情報処理装置。
【請求項7】
１つのターゲットクラスに分類される複数のガイドデータを取得することと、前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、
を含む情報処理方法。
【請求項8】
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成することを含む情報処理方法。
【請求項9】
コンピュータに、１つのターゲットクラスに分類される複数のガイドデータを取得することと、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、
を実行させるためのプログラム。
【請求項10】
コンピュータに、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成すること
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、情報処理装置、情報処理方法およびプログラムに関する。
【背景技術】
【0002】
機械学習によって得られるモデルの脆弱性の１つとして敵対的サンプル（Adversarial Example）が知られている。敵対的サンプルは、例えば画像にノイズを加える等により、人間による認識とモデルによる判定とが食い違うように作られたサンプルである。
【0003】
敵対的サンプルに関連して、特許文献１には、学習データと人工的に生成される擬似データとを区別するための分類装置が記載されている。この分類装置は、例えばランダムなデータを擬似データ生成モデルで変換して擬似データを生成する。そして、この分類装置は、学習データを実在クラスに分類し、擬似データを擬似クラスに分類するように、分類モデルのパラメータを更新する学習を行う。また、この分類装置は、学習データの特徴量の平均値と擬似データの特徴量の平均値との差が小さくなるように擬似データ生成モデルのパラメータを更新する学習を行う。
【0004】
また、特許文献１では、派生する可能性のある新しいクラスのデータを擬似クラスに分類することでユーザに提示することが記載されている。そのために、分類装置が、学習データまたは擬似データをアフィン変換で変換した加工擬似データを生成し、加工擬似データを擬似クラスに分類するように、上記の分類モデルの学習を行う。
特許文献１では、手書き数字画像の「６」を回転した「９」を擬似データとして生成し、クラス９に属するような入力データが入力された場合に擬似クラスに分類してユーザに提示する例が記載されている。
特許文献１では、手書き数字画像の「６」を回転した「９」を擬似データとして生成し、クラス９に属するような入力データが入力された場合に擬似クラスに分類してユーザに提示する例が記載されている。
【0005】
また、特許文献２には、ターゲットクラス以外のクラスへの分類が誘引される可能性が比較的低い敵対的サンプルを生成できる、ＡＸ（敵対的サンプル）生成装置が記載されている。かかる敵対的サンプルを生成するために、特許文献２では、敵対的サンプル候補データの特徴量とターゲットクラスのデータの特徴量との類似度、および、敵対的サンプル候補データの特徴量とターゲットクラス以外のクラスのデータの特徴量との類似度とを考慮した最適化問題が示されている。ＡＸ生成装置は、敵対的サンプル候補データとソースデータとの差異の大きさが許容値以下であるとの制約の下で、この最適化問題を解いて敵対的サンプルを生成する。
【0006】
また、特許文献２には、制約付き最適化問題を解く方法の例として、制約付き最適化問題を目的関数の最小化問題に変換して解を探索することが記載されている。この場合の目的関数として、敵対的サンプル候補が制約を満たす場合に目的関数の値が小さくなり、かつ、最適化問題における敵対的サンプル候補の評価が高い場合に目的関数の値が小さくなる目的関数が示されている。
【先行技術文献】
【特許文献】
【0007】
【文献】日本国特開２０２０－０４６８８３号公報
【文献】国際公開第２０２０／１２１４５０号
【発明の概要】
【発明が解決しようとする課題】
【0008】
機械学習によって得られるモデルの判定で、敵対的サンプルが、ターゲットクラスの特定のデータだけでなく複数のデータに類似すると判定される場合、誤判定が誘引される可能性が高いと考えられる。
例えば、顔照合（Face Verification）システムが、予め登録されている敵対的サンプルの顔画像と、照合対象者の顔の撮影画像とを比較する場合を考える。この場合、照合対象者の顔の撮影条件によって、撮影画像がいろいろな画像になり得る。敵対的サンプルの顔画像が、ターゲットクラスのいろいろな顔画像に類似すると判定されることで、いろいろな撮影条件の場合に、照合対象者を他者と判定する誤判定が誘引され得る。
機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定される敵対的サンプルを得られれば、その敵対的サンプルに騙されにくいモデルの構築などの対策を行い得る。
例えば、顔照合（Face Verification）システムが、予め登録されている敵対的サンプルの顔画像と、照合対象者の顔の撮影画像とを比較する場合を考える。この場合、照合対象者の顔の撮影条件によって、撮影画像がいろいろな画像になり得る。敵対的サンプルの顔画像が、ターゲットクラスのいろいろな顔画像に類似すると判定されることで、いろいろな撮影条件の場合に、照合対象者を他者と判定する誤判定が誘引され得る。
機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定される敵対的サンプルを得られれば、その敵対的サンプルに騙されにくいモデルの構築などの対策を行い得る。
【0009】
本発明の目的の一例は、上記の問題を解決することができる情報処理装置、情報処理方法およびプログラムを提供することである。
【課題を解決するための手段】
【0010】
本発明の第１の態様によれば、情報処理装置は、１つのターゲットクラスに分類される複数のガイドデータを取得するガイドデータ取得部と、前記複数のガイドデータを用いて１つの敵対的サンプルを生成する敵対的サンプル生成部と、を備える。
【0011】
本発明の第２の態様によれば、情報処理装置は、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する敵対的サンプル生成部を備える。
【0012】
本発明の第３の態様によれば、情報処理方法は、１つのターゲットクラスに分類される複数のガイドデータを取得することと、前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、を含む。
【0013】
本発明の第４の態様によれば、情報処理方法は、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成することを含む。
【0014】
本発明の第５の態様によれば、プログラムは、コンピュータに、１つのターゲットクラスに分類される複数のガイドデータを取得することと、前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、を実行させるためのプログラムである。
【0015】
本発明の第６の態様によれば、記録媒体は、コンピュータに、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成することを実行させるためのプログラムである。
【発明の効果】
【0016】
上記した情報処理装置、情報処理方法およびプログラムによれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルを得られる。
【図面の簡単な説明】
【0017】
【図1】第一の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。
【図2】第一の実施形態に係る敵対的サンプル生成装置が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
【図3】第二の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。
【図4】第二の実施形態に係る敵対的サンプル生成装置が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
【図5】第三の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。
【図6】第三の実施形態に係る敵対的サンプル生成装置が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
【図7】第四の実施形態に係る検知モデル学習装置の機能構成の例を示す概略ブロック図である。
【図8】第四の実施形態に係る検知モデル学習装置が検知モデル学習を行う処理手順の例を示すフローチャートである。
【図9】第五の実施形態に係る特徴量抽出モデル学習装置の機能構成の例を示す概略ブロック図である。
【図10】第五の実施形態に係る特徴量抽出モデル学習装置が特徴量抽出モデルｆの学習を行う処理手順の例を示すフローチャートである。
【図11】第六の実施形態に係るリスク評価装置の機能構成の例を示す概略ブロック図である。
【図12】第六の実施形態に係るリスク評価装置が類似度を計算する処理手順の例を示すフローチャートである。
【図13】第七の実施形態に係る情報処理装置の構成例を示すブロック図である。
【図14】第八の実施形態に係る情報処理装置の構成例を示すブロック図である。
【図15】第九の実施形態に係る情報処理方法における処理の手順の例を示す図である。
【図16】第十の実施形態に係る情報処理方法における処理の手順の例を示す図である。
【図17】少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
【発明を実施するための形態】
【0018】
以下、本発明の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
以下では、顔照合の場合を例に説明する。具体的には、顔照合における他者へのなりすましを目的として顔照合システムに敵対的サンプルの顔画像が事前登録される場合を想定し、敵対的サンプルの取得、および、得られる敵対的サンプルを用いた対策について説明する。
以下では、顔照合の場合を例に説明する。具体的には、顔照合における他者へのなりすましを目的として顔照合システムに敵対的サンプルの顔画像が事前登録される場合を想定し、敵対的サンプルの取得、および、得られる敵対的サンプルを用いた対策について説明する。
【0019】
この顔照合システムは、複数の人物それぞれについて事前登録された顔画像と、照合時にカメラにより撮影された顔画像とが同じ人の顔画像か否かを判定する。事前登録される顔画像を登録画像とも称する。顔照合時にカメラで撮影される顔画像を撮影画像とも称する。
【0020】
例えば、この顔照合システムは、１つの登録画像の特徴量と、１つの撮影画像の特徴量との類似度を計算する。そして、顔照合システムは、得られた類似度に基づいて登録画像と撮影画像とが同じ人物の顔画像か否かを判定する。
顔照合システムに顔画像を登録されている人物ごとのクラスが予め設定されており、顔照合システムは、判定結果に応じて撮影画像をクラス分類する。
顔照合システムに顔画像を登録されている人物ごとのクラスが予め設定されており、顔照合システムは、判定結果に応じて撮影画像をクラス分類する。
【0021】
登録画像として、撮影画像と特徴量の類似度が高い敵対的サンプルが登録されることで、他者へのなりすましが誘引される。
一方、撮影時の光の強さ、顔の角度、表情等に依存していろいろな撮影画像が顔照合システムに入力される。このことから、特定の撮影画像とだけ特徴量の類似度が高い敵対的サンプルよりも、いろいろな撮影条件下での撮影画像と特徴量の類似度が高い敵対的サンプルのほうが、なりすましを誘引し易い。
一方、撮影時の光の強さ、顔の角度、表情等に依存していろいろな撮影画像が顔照合システムに入力される。このことから、特定の撮影画像とだけ特徴量の類似度が高い敵対的サンプルよりも、いろいろな撮影条件下での撮影画像と特徴量の類似度が高い敵対的サンプルのほうが、なりすましを誘引し易い。
【0022】
ただし、以下の実施形態の適用対象は顔照合に限定されない。例えば、音声認識（Voice Recognition）、または、指紋認証（Fingerprint Authentication）など、敵対的サンプルを利用し得るいろいろな処理に実施形態を適用し得る。
【0023】
＜第一の実施形態＞
図１は、第一の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。図１に示す構成で、敵対的サンプル生成装置１１０は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、を備える。
図１は、第一の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。図１に示す構成で、敵対的サンプル生成装置１１０は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、を備える。
【0024】
敵対的サンプル生成装置１１０は、ソース画像ｘｓ
ｉと、特徴量抽出モデルｆと、ガイド画像集合Ｇｊと、画像変換関数集合Ｔと、最大摂動サイズδとを入力データとして取得して、敵対的サンプルｘａｄｖを出力する。敵対的サンプル生成装置１１０が他の装置と通信を行って、その装置からこれら入力データを受信するようにしてもよい。あるいは、敵対的サンプル生成装置１１０が画像変換関数集合Ｔおよび最大摂動サイズδを予め記憶しておくなど、これらの入力データの全部または一部を予め取得しておいてもよい。
敵対的サンプル生成装置１１０は、情報処理装置の例に該当する。
敵対的サンプル生成装置１１０は、情報処理装置の例に該当する。
【0025】
ソース画像ｘｓ
ｉは、敵対的サンプルｘａｄｖの生成元となる顔画像である。敵対的サンプルｘａｄｖは、ソース画像ｘｓ
ｉに敵対的摂動（Adversarial Perturbation）を付加して生成される。
ソースデータは、画像に限らず、敵対的サンプルの生成元となるデータである。
ソース画像ｘｓ ｉが属するクラスをクラスｉと表記する。「ｘｓ ｉ」の「ｉ」はクラスｉを示す。
ソースデータは、画像に限らず、敵対的サンプルの生成元となるデータである。
ソース画像ｘｓ ｉが属するクラスをクラスｉと表記する。「ｘｓ ｉ」の「ｉ」はクラスｉを示す。
【0026】
特徴量抽出モデルｆは、顔画像を入力として受け付け、入力された顔画像の特徴量を出力する。特徴量抽出モデルｆが出力する特徴量は、実数を要素として持つベクトルで示される。
ガイド画像集合Ｇｊは、１つ以上のガイド画像ｘｇ ｊの集合である。ガイド画像ｘｇ ｊ∈Ｇｊは、ターゲットクラスに属する顔画像である。ターゲットクラスをクラスｊと表記する。「Ｇｊ」の「ｊ」は、クラスｊを示す。「ｘｇ ｊ」の「ｊ」も、クラスｊを示す。
ガイド画像集合Ｇｊは、１つ以上のガイド画像ｘｇ ｊの集合である。ガイド画像ｘｇ ｊ∈Ｇｊは、ターゲットクラスに属する顔画像である。ターゲットクラスをクラスｊと表記する。「Ｇｊ」の「ｊ」は、クラスｊを示す。「ｘｇ ｊ」の「ｊ」も、クラスｊを示す。
【0027】
ガイド画像ｘｇ
ｊは、敵対的サンプルｘａｄｖが、ターゲットクラスであるクラスｊに誤分類されるようにするためのガイドとして用いられる。具体的には、敵対的サンプル生成装置１１０は、敵対的サンプルｘａｄｖの特徴量が、ガイド画像ｘｇ
ｊの特徴量に類似するように、敵対的摂動を決定する。
ガイドデータは、画像に限らず、敵対的サンプルがターゲットクラスに誤分類されるようにするためのガイドとして用いられるデータである。
ガイドデータは、画像に限らず、敵対的サンプルがターゲットクラスに誤分類されるようにするためのガイドとして用いられるデータである。
【0028】
ガイド画像ｘｇ
ｊは、ガイドデータの例に該当する。ガイドデータは、ガイド画像ｘｇ
ｊについて上述したのと同様に、敵対的サンプルがターゲットクラスに誤分類されるようにするためのガイドとして用いられるデータである。ガイド画像集合Ｇｊは、ガイドデータ集合の例に該当する。ガイドデータ集合は、１つ以上のガイドデータの集合である。
【0029】
画像変換関数集合Ｔは、１つ以上の画像変換関数ｔの集合である。画像変換関数ｔ∈Ｔは、画像を入力として受け付け、変換後の画像を出力する関数である。画像変換関数集合Ｔの要素に、入力された画像をそのまま出力する恒等変換関数が含まれていてもよい。
最大摂動サイズδは、敵対的サンプル生成の際に用いられる摂動（敵対的摂動）の最大サイズである。
最大摂動サイズδは、敵対的サンプル生成の際に用いられる摂動（敵対的摂動）の最大サイズである。
【0030】
ガイド画像取得部１１２は、複数のガイド画像ｘｇ
ｊを取得する。
ガイド画像取得部１１２が、ターゲットクラスに分類される複数の実画像を、複数のガイドデータとして取得するようにしてもよい。ここでいう実画像は、顔照合対象を撮影した生の顔画像、すなわち、加工されていない顔画像である。実画像は、実データの例に該当する。ここでいう実データは、分類対象から得られる生のデータ、すなわち、加工されていないデータである。
ガイド画像取得部１１２が、ターゲットクラスに分類される複数の実画像を、複数のガイドデータとして取得するようにしてもよい。ここでいう実画像は、顔照合対象を撮影した生の顔画像、すなわち、加工されていない顔画像である。実画像は、実データの例に該当する。ここでいう実データは、分類対象から得られる生のデータ、すなわち、加工されていないデータである。
【0031】
敵対的サンプル生成装置１１０が取得するガイド画像集合Ｇｊに、ターゲットクラスに分類される複数の実画像が含まれていてもよい。そして、ガイド画像取得部１１２が、ガイド画像集合Ｇｊからこれら複数の実画像を読み出して、複数のガイド画像ｘｇ
ｊとして用いるようにしてもよい。
【0032】
ただし、敵対的サンプル生成装置１１０が取得するガイド画像集合Ｇｊに含まれるガイド画像ｘｇ
ｊの一部または全部が、加工された顔画像であってもよい。そして、ガイド画像取得部１１２が、ガイド画像集合Ｇｊからこれら複数のガイド画像ｘｇ
ｊを読み出すことで、これら複数のガイド画像ｘｇ
ｊを取得するようにしてもよい。
【0033】
ガイド画像取得部１１２が、１つ以上のガイド画像ｘｇ
ｊを画像変換関数ｔに入力して変換することで、新たなガイド画像ｔ（ｘｇ
ｊ）を生成するようにしてもよい。この場合のガイド画像取得部１１２による新たなガイド画像ｔ（ｘｇ
ｊ）の生成を、ガイド画像のかさ増しとも称する。
【0034】
ガイド画像ｘｇ
ｊを画像変換関数ｔに入力して生成される新たなガイド画像ｔ（ｘｇ
ｊ）を、単にガイド画像ｘｇ
ｊとも表記する。ガイド画像集Ｇｊから読み出されたガイド画像ｘｇ
ｊと、ガイド画像ｘｇ
ｊを画像変換関数ｔに入力して生成される新たなガイド画像ｔ（ｘｇ
ｊ）とを総称して、単にガイド画像ｘｇ
ｊとも表記する。
【0035】
画像変換関数ｔとして、ターゲットクラスに属する画像を、ターゲットクラスに属する画像に変換すると見込まれるいろいろな関数を用いることができる。
特に、画像変換関数ｔとして、照合対象者の顔の撮影条件に対応する関数を用いるようにしてもよい。
特に、画像変換関数ｔとして、照合対象者の顔の撮影条件に対応する関数を用いるようにしてもよい。
【0036】
例えば、撮影時の照明の明るさおよび照合対象者の顔への光の当たり具合に対応して、画像の明るさ（例えば輝度値）を変化させる関数が、画像変換関数集合Ｔに含まれていてもよい。
照合対象者の顔の傾きに対応して、画像を回転させる関数（画像の傾きを変える関数）が、画像変換関数集合Ｔに含まれていてもよい。
照合対象者の顔の傾きに対応して、画像を回転させる関数（画像の傾きを変える関数）が、画像変換関数集合Ｔに含まれていてもよい。
【0037】
カメラと照合対象者の顔との距離に対応して、画像を拡大または縮小する関数が、画像変換関数集合Ｔに含まれていてもよい。
カメラに対する照合対象者の顔の向きに対応して、画像を横方向に拡大または縮小するなど、照合対象者の顔の向きを擬似的に回転させる関数が、画像変換関数集合Ｔに含まれていてもよい。
カメラに対する照合対象者の顔の向きに対応して、画像を横方向に拡大または縮小するなど、照合対象者の顔の向きを擬似的に回転させる関数が、画像変換関数集合Ｔに含まれていてもよい。
【0038】
敵対的サンプル生成装置１１０が取得するガイド画像集合Ｇｊに、１つ以上のガイド画像ｘｇ
ｊが含まれていてもよい。そして、ガイド画像取得部１１２が、ガイド画像集合Ｇｊからガイド画像ｘｇ
ｊを読み出し、画像変換関数ｔに入力して、新たなガイド画像ｘｇ
ｊを生成するようにしてもよい。
【0039】
ガイド画像取得部１１２が、１つ以上のガイド画像ｘｇ
ｊを新たに生成することで、元のガイド画像ｘｇ
ｊと合わせて複数のガイド画像ｘｇ
ｊを得られる。ガイド画像取得部１１２が、新たに生成したガイド画像ｘｇ
ｊを画像変換関数ｔに入力して、さらに新たなガイド画像ｘｇ
ｊを生成するようにしてもよい。
【0040】
ガイド画像取得部１１２が、ガイド画像集合Ｇｊに含まれる全てのガイド画像ｘｇ
ｊと、画像変換関数集合Ｔに含まれる全ての画像変換関数集合ｔとの組み合わせについて、ガイド画像ｘｇ
ｊを新たに生成するようにしてもよい。あるいは、ガイド画像取得部１１２が、これらの組み合わせのうち一部のみについて、ガイド画像ｘｇ
ｊを新たに生成するようにしてもよい。
ガイド画像取得部１１２は、ガイドデータ取得部の例に該当する。
ガイド画像取得部１１２は、ガイドデータ取得部の例に該当する。
【0041】
敵対的サンプル生成部１１１は、ガイド画像取得部１１２が取得する複数のガイド画像ｘｇ
ｊを用いて１つの敵対的サンプルｘａｄｖを生成する。敵対的サンプル生成部１１１が、敵対的サンプルｘａｄｖの生成を繰り返し行って複数の敵対的サンプルｘａｄｖを生成するようにしてもよい。
【0042】
敵対的サンプル生成部１１１が、式（１）で示される最適化問題を解くことで敵対的サンプルｘａｄｖを生成するようにしてもよい。
【0043】
【数1】
【0044】
ａｒｇｍａｘは、その右に示される式（式（１）では、「Ｅｘｇｊ∈ＧｊＥｔ∈ＴＳＩＭ（ｆ（ｘａｄｖ），ｆ（ｔ（ｘｇ
ｊ）））」）の値を最大にする引数（式（１）では「ｘａｄｖ」）の値を出力する関数である。
Ｅは期待値を表す。
Ｅは期待値を表す。
【0045】
ＳＩＭは、類似度を計算する関数である。ＳＩＭとして、コサイン類似度を用いるようにしてもよいが、これに限定されない。引数に示される２つのベクトルが類似しているほど値が大きくなるいろいろな関数をＳＩＭとして用いることができる。
【0046】
式（１）の「ＳＩＭ（ｆ（ｘａｄｖ），ｆ（ｔ（ｘｇ
ｊ）））」は、敵対的サンプルｘａｄｖの特徴量ｆ（ｘａｄｖ）と、ガイド画像ｘｇ
ｊ
ｖを画像変換関数ｔで変換した画像ｔ（ｘｇ
ｊ）の特徴量ｆ（ｔ（ｘｇ
ｊ））との類似度を示す。式（１）は、この類似度の、画像変換関数集合Ｔに含まれる画像変換関数ｔについての期待値、かつ、ガイド画像集合Ｇｊに含まれるガイド画像ｘｇ
ｊについての期待値を最大にする敵対的サンプルｘａｄｖを求める最適化問題を示す。
【0047】
上記のように、ガイド画像集合Ｇｊに含まれるガイド画像ｘｇ
ｊの個数は、１つ以上であればよい。画像変換関数集合Ｔに含まれる画像変換関数ｔの個数は、１つ以上であればよく、画像変換関数ｔが、入力された画像をそのまま出力する恒等変換関数であってもよい。
【0048】
上記のように、ガイド画像取得部１１２が取得する複数のガイド画像ｘｇ
ｊの全部または一部は、画像変換関数ｔを用いないものであってもよい。式（１）で、画像変換関数ｔを用いない場合のガイド画像ｘｇ
ｊを、ｔを恒等変換関数として「ｔ（ｘｇ
ｊ）」と表記するものとする。したがって、式（１）の「ｔ（ｘｇ
ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ
ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ
ｊ」との総称を示す。
【0049】
一方、敵対的サンプル生成部１１１が式（１）で扱うガイド画像ｘｇ
ｊの個数が複数となるための条件が課せられる。具体的には、ガイド画像集合Ｇｊに含まれるガイド画像ｘｇ
ｊの個数が２つ以上であるか、または、画像変換関数集合Ｔに恒等変換関数以外の画像変換関数ｔが含まれるか、あるいはこれらの両方が成立する必要がある。
この条件の下で、敵対的サンプル生成部１１１は、敵対的サンプルｘａｄｖの特徴量が複数のガイド画像ｘｇ ｊの何れの特徴量とも類似するような、敵対的サンプルｘａｄｖを求める。
この条件の下で、敵対的サンプル生成部１１１は、敵対的サンプルｘａｄｖの特徴量が複数のガイド画像ｘｇ ｊの何れの特徴量とも類似するような、敵対的サンプルｘａｄｖを求める。
【0050】
敵対的サンプル生成部１１１が生成する敵対的サンプルｘａｄｖの顔画像を人が見た場合に、ソース画像ｘｓ
ｉと同一人物の顔画像であると認識するように、敵対的摂動の大きさについて制約条件を設けるようにしてもよい。例えば、敵対的サンプル生成部１１１が、式（２）で示される制約条件の下で、上記の式（１）に示される最適化問題を解くようにしてもよい。
【0051】
【数2】
【0052】
「｜｜ ｜｜∞」は、Ｌ∞ノルムを示す。式（２）は、ソース画像ｘｓ
ｉと敵対的サンプルｘａｄｖとの差で示される敵対的摂動のＬ∞ノルムが最大摂動サイズδよりも小さいという条件を示している。
上記の式（１）で示される最適化問題は、式（３）の目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を最大化する最適化問題に勾配法を適用して、近似的に解くことができる。
上記の式（１）で示される最適化問題は、式（３）の目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を最大化する最適化問題に勾配法を適用して、近似的に解くことができる。
【0053】
【数3】
【0054】
｜Ｇｊ｜は、ガイド画像集合Ｇｊの要素の個数を示す。｜Ｔ｜は、画像変換関数集合Ｔの要素の個数を示す。
式（１）で説明したのと同様、式（３）でも、「ｔ（ｘｇ ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ ｊ」との総称を示す。
式（１）で説明したのと同様、式（３）でも、「ｔ（ｘｇ ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ ｊ」との総称を示す。
【0055】
敵対的サンプル生成部１１１が、入力されたソース画像ｘｓ
ｉ、最大摂動サイズδ、および類似度計算部１１４により計算される目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）を元に、式（４）に基づいて敵対的サンプル候補ｘａｄｖ
(h)の値を更新するようにしてもよい。
【0056】
【数4】
【0057】
ｘａｄｖ
（ｈ）は、ｈ回更新された敵対的サンプル候補を示す。ｌは敵対的摂動摂動の更新幅を決める学習率を表す定数係数である。
∇の添字（式（４）では「ｘａｄｖ」）は、添字で示される成分について微分を行うことを示す。
敵対的サンプル生成部１１１は、式（４）に基づいて、目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を最大化するように敵対的サンプル候補ｘａｄｖ （ｈ）を更新する。
∇の添字（式（４）では「ｘａｄｖ」）は、添字で示される成分について微分を行うことを示す。
敵対的サンプル生成部１１１は、式（４）に基づいて、目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を最大化するように敵対的サンプル候補ｘａｄｖ （ｈ）を更新する。
【0058】
敵対的サンプル生成部１１１が、更新された敵対的サンプル候補ｘａｄｖ
（ｈ）が上記の式（２）の制約を満たすように、ｘａｄｖ
（ｈ）の値を変更するようにしてもよい。例えば、敵対的サンプル生成部１１１が、ｘａｄｖ
（ｈ）とｘｓ
ｉとの差のＬ∞ノルムを計算し、Ｌ∞ノルムがδ以上となっている場合、δ以下になるようにｘａｄｖ
（ｈ）の値を変更するようにしてもよい。
【0059】
敵対的サンプル生成部１１１は、式（４）による敵対的サンプル候補の更新作業をＭ１回行う。Ｍ１はＭ１≧１の整数である。Ｍ１の値が予め固定値に設定されていてもよい。あるいは、ユーザがＭ１の値を指定するようにしてもよい。
【0060】
特徴量計算部１１３は、特徴量抽出モデルｆを用いて顔画像の特徴量を計算する。例えば、特徴量計算部１１３は、式（４）の「Ｊ（ｘａｄｖ
（ｈ－１），ｆ，Ｇｊ，Ｔ）」の計算において、敵対的サンプル生成部１１１が更新した敵対的サンプル候補ｘａｄｖ
（ｈ－１）の特徴量ｆ（ｘａｄｖ
（ｈ－１））と、ガイド画像取得部１１２が取得したガイド画像ｔ（ｘｇ
ｊ）の各々の特徴量ｆ（ｔ（ｘｇ
ｊ））とを、特徴量抽出モデルｆを用いて計算する。ここでも「ｔ（ｘｇ
ｊ）」は、「ｔ（ｘｇ
ｊ）」と「ｘｇ
ｊ」との総称を示す。
【0061】
類似度計算部１１４は、特徴量計算部１１３が計算した特徴量に基づいて、２つの画像の特徴量の類似度を計算する。例えば、類似度計算部１１４は、式（３）の「Ｊ（ｘａｄｖ
（ｈ－１），ｆ，Ｇｊ，Ｔ）」の計算において、ＳＩＭ（ｆ（ｘａｄｖ
（ｈ－１）），ｆ（ｔ（ｘｇ
ｊ）））の計算を行う。
上述したように、類似度計算関数ＳＩＭとして、コサイン類似度ｃｏｓ（ｆ（ｘａｄｖ （ｈ－１）），ｆ（ｔ（ｘｇ ｊ）））など、数値が高いほど二つの特徴量の類似度が高いことを表す関数を用いることができる。
また、類似度計算部１１４は、算出した類似度に基づいて、最適化問題の目的関数の値を計算する。例えば、類似度計算部１１４は、式（４）の計算において、目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を式（３）に基づいて計算する。
上述したように、類似度計算関数ＳＩＭとして、コサイン類似度ｃｏｓ（ｆ（ｘａｄｖ （ｈ－１）），ｆ（ｔ（ｘｇ ｊ）））など、数値が高いほど二つの特徴量の類似度が高いことを表す関数を用いることができる。
また、類似度計算部１１４は、算出した類似度に基づいて、最適化問題の目的関数の値を計算する。例えば、類似度計算部１１４は、式（４）の計算において、目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を式（３）に基づいて計算する。
【0062】
（動作の説明）
図２は、敵対的サンプル生成装置１１０が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
図２の処理で、敵対的サンプル生成部１１１は、ソース画像ｘｓ ｉと、特徴量抽出モデルｆと、ガイド画像集合Ｇｊと、画像変換関数集合Ｔと、最大摂動サイズδとを、敵対的サンプル生成装置１１０の外部からの入力データとして取得する（ステップＳ１０１）。
図２は、敵対的サンプル生成装置１１０が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
図２の処理で、敵対的サンプル生成部１１１は、ソース画像ｘｓ ｉと、特徴量抽出モデルｆと、ガイド画像集合Ｇｊと、画像変換関数集合Ｔと、最大摂動サイズδとを、敵対的サンプル生成装置１１０の外部からの入力データとして取得する（ステップＳ１０１）。
【0063】
次に、ガイド画像取得部１１２は、ガイド画像ｘｇ
ｊを複数取得する（ステップＳ１０２）。ガイド画像集合Ｇｊに複数のガイド画像ｘｇ
ｊが含まれガイド画像取得部１１２が、ガイド画像集合Ｇｊから複数のガイド画像ｘｇ
ｊを読み出すようにしてもよい。あるいは、ガイド画像取得部１１２が、ガイド画像ｘｇ
ｊのかさ増しを行うようにしてもよい。あるいは、ガイド画像取得部１１２が、ガイド画像集合Ｇｊからの複数のガイド画像ｘｇ
ｊの読み出しと、ガイド画像ｘｇ
ｊのかさ増しとの両方を行うようにしてもよい。
【0064】
次に、特徴量計算部１１３は、複数のガイド画像ｔ（ｘｇ
ｊ）それぞれを特徴抽出モデルｆに入力して、ガイド画像ｘｇ
ｊそれぞれの特徴量を計算する（ステップＳ１０３）。
次に、敵対的サンプル生成部１１１は、敵対的サンプル候補の初期値ｘａｄｖ （０）を設定する（ステップＳ１０４）。例えば、敵対的サンプル生成部１１１が敵対的サンプル候補の初期値ｘａｄｖ （０）にソース画像ｘｓ ｉの値（画像データ）を代入するようにしてもよい。
次に、敵対的サンプル生成部１１１は、敵対的サンプル候補の初期値ｘａｄｖ （０）を設定する（ステップＳ１０４）。例えば、敵対的サンプル生成部１１１が敵対的サンプル候補の初期値ｘａｄｖ （０）にソース画像ｘｓ ｉの値（画像データ）を代入するようにしてもよい。
【0065】
次に、敵対的サンプル生成装置１１０は、ループＬ１１を開始する（ステップＳ１０５）。
ループＬ１１の処理で、特徴量計算部１１３は、敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量を計算する（ステップＳ１０６）。
ループＬ１１の処理で、特徴量計算部１１３は、敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量を計算する（ステップＳ１０６）。
【0066】
次に、類似度計算部１１４は、敵対的サンプル候補ｘａｄｖ
（ｈ－１）の特徴量ｆ（ｘａｄｖ
（ｈ－１））と、ガイド画像取得部１１２が取得した複数のガイド画像ｘｇ
ｊの特徴量ｆ（ｘｇ
ｊ）の各々との類似度を計算する（ステップＳ１０７）。
次に、類似度計算部１１４が、ステップＳ１０７で計算した類似度に基づいて目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を計算する（ステップＳ１０８）。
次に、敵対的サンプル生成部１１１が、式（４）に基づいて敵対的サンプル候補ｘａｄｖ （ｈ）の値を更新する（ステップＳ１０９）。
次に、類似度計算部１１４が、ステップＳ１０７で計算した類似度に基づいて目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を計算する（ステップＳ１０８）。
次に、敵対的サンプル生成部１１１が、式（４）に基づいて敵対的サンプル候補ｘａｄｖ （ｈ）の値を更新する（ステップＳ１０９）。
【0067】
次に、敵対的サンプル生成装置１１０は、ループＬ１１の終端処理を行う（ステップＳ１１０）。具体的には、敵対的サンプル生成装置１１０は、ループＬ１１の処理をＭ１回繰り返したか否かを判定する。まだループＬ１１の処理をＭ１回繰り返していないと判定した場合、敵対的サンプル生成装置１１０は、引き続き、ループＬ１１の処理を繰り返す。
一方、ループＬ１１の処理をＭ１回繰り返したと判定した場合、敵対的サンプル生成装置１１０は、ループＬ１１を終了する。
一方、ループＬ１１の処理をＭ１回繰り返したと判定した場合、敵対的サンプル生成装置１１０は、ループＬ１１を終了する。
【0068】
ステップＳ１１０で敵対的サンプル生成装置１１０がループＬ１１を終了した場合、敵対的サンプル生成部１１１は、敵対的サンプルｘａｄｖの値を決定する（ステップＳ１１１）。具体的には、敵対的サンプル生成部１１１は、敵対的サンプル候補ｘａｄｖ
（Ｍ１）の値、すなわち敵対的サンプル候補の最新の値を敵対的サンプルｘａｄｖの値として採用する。
ステップＳ１１１の後、敵対的サンプル生成装置１１０は、図２の処理を終了する。
ステップＳ１１１の後、敵対的サンプル生成装置１１０は、図２の処理を終了する。
【0069】
以上のように、ガイド画像取得部１１２は、１つのターゲットクラスに分類される複数のガイド画像ｘｇ
ｊを取得する。敵対的サンプル生成部１１１は、複数のガイド画像ｘｇ
ｊを用いて１つの敵対的サンプルｘａｄｖを生成する。
これにより、敵対的サンプル生成部１１１は、複数のガイド画像ｘｇ ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを生成することができる。この点で、敵対的サンプル生成部１１１は、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖを生成することができる。
これにより、敵対的サンプル生成部１１１は、複数のガイド画像ｘｇ ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを生成することができる。この点で、敵対的サンプル生成部１１１は、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖを生成することができる。
【0070】
このように、敵対的サンプル生成装置１１０によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルｘａｄｖを得られる。
例えば、この敵対的サンプルｘａｄｖを教師データとして用いて、この敵対的サンプルｘａｄｖに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルｘａｄｖを教師データとして用いて、この敵対的サンプルｘａｄｖに騙されにくいモデルを学習するなどの対策を行い得る。
【0071】
上記の式（１）および（２）に示される最適化問題、あるいは、式（２）から（４）に示される最適化問題は、ガイド画像ｘｇ
ｊを学習データとして用いる、敵対的サンプルｘａｄｖの学習モデルと捉えることができる。敵対的サンプル生成装置１１０では、複数のガイド画像ｘｇ
ｊを用いることで、特定のガイド画像ｘｇ
ｊに対する過学習の防止を図ることができる。
【0072】
また、ガイド画像取得部１１２は、ターゲットクラスに分類される複数の実画像を複数のガイド画像として取得する。具体的には、敵対的サンプル生成装置１１０の外部から入力されるガイド画像集合Ｇｊに照合対象者の実画像が複数含まれる。そして、ガイド画像取得部１１２は、ガイド画像集合Ｇｊから複数の実画像を読み出す。
これにより、ガイド画像取得部１１２は、画像変換等の処理を行う必要なしに複数のガイド画像を取得することができる。この点で、ガイド画像取得部１１２の負荷が小さい。
これにより、ガイド画像取得部１１２は、画像変換等の処理を行う必要なしに複数のガイド画像を取得することができる。この点で、ガイド画像取得部１１２の負荷が小さい。
【0073】
また、ガイド画像取得部１１２は、１つ以上のガイド画像を変換することで、新たなガイド画像を生成する。
これにより、ガイド画像取得部１１２は、ガイド画像集合Ｇｊに含まれるガイド画像の個数以上に、ガイド画像を得られる。特に、ガイド画像集合Ｇｊに含まれるガイド画像の個数が１つのみである場合でも、ガイド画像取得部１１２は、複数のガイド画像を取得することができる。
これにより、ガイド画像取得部１１２は、ガイド画像集合Ｇｊに含まれるガイド画像の個数以上に、ガイド画像を得られる。特に、ガイド画像集合Ｇｊに含まれるガイド画像の個数が１つのみである場合でも、ガイド画像取得部１１２は、複数のガイド画像を取得することができる。
【0074】
＜第二の実施形態＞
図３は、第二の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。図３に示す構成で、敵対的サンプル生成装置１２０は、敵対的サンプル生成部１２１と、特徴量計算部１１３と、制約項計算部１２２と、類似度計算部１１４と、を備える。
図３は、第二の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。図３に示す構成で、敵対的サンプル生成装置１２０は、敵対的サンプル生成部１２１と、特徴量計算部１１３と、制約項計算部１２２と、類似度計算部１１４と、を備える。
【0075】
図３の構成で、図１の各部に対応して同様の機能を有する部分には同一の符号（１１３、１１４）を付して、ここでは詳細な説明を省略する。
第二の実施形態に係る敵対的サンプル生成装置１２０は、図１のガイド画像取得部１１２に代えて制約項計算部１２２を備える点で、第一の実施形態に係る敵対的サンプル生成装置１１０の場合と異なる。
第二の実施形態に係る敵対的サンプル生成装置１２０は、図１のガイド画像取得部１１２に代えて制約項計算部１２２を備える点で、第一の実施形態に係る敵対的サンプル生成装置１１０の場合と異なる。
【0076】
敵対的サンプル生成装置１１０が複数のガイド画像ｘｇ
ｊを取得するのに対し、敵対的サンプル生成装置１２０は１つのガイド画像ｘｇ
ｊを取得する。また、敵対的サンプル生成装置１２０は、ガイド画像ｘｇ
ｊのかさ増しは行わない。このため、敵対的サンプル生成装置１２０はガイド画像取得部１１２を備えていない。
【0077】
また、敵対的サンプル生成装置１２０では、敵対的サンプル生成部１２１が行う処理が、敵対的サンプル生成装置１１０の敵対的サンプル生成部１１１の場合と異なる。
これら以外の点では、敵対的サンプル生成装置１２０は、敵対的サンプル生成装置１１０と同様である。
これら以外の点では、敵対的サンプル生成装置１２０は、敵対的サンプル生成装置１１０と同様である。
【0078】
上記のように、敵対的サンプル生成装置１１０では、複数のガイド画像ｘｇ
ｊを用いることで、特定のガイド画像ｘｇ
ｊに対する過学習を防止する。これに対し、敵対的サンプル生成装置１２０では、敵対的サンプルｘａｄｖの生成のための目的関数に、特定のガイド画像ｘｇ
ｊに対する過学習防止のための制約項を設ける。
【0079】
敵対的サンプル生成装置１２０は、ソース画像ｘｓ
ｉと、特徴量抽出モデルｆと、ガイド画像ｘｇ
ｊと、最大摂動サイズδとを入力データとして取得して、敵対的サンプルｘａｄｖを出力する。敵対的サンプル生成装置１２０が他の装置と通信を行って、その装置からこれら入力データを受信するようにしてもよい。あるいは、敵対的サンプル生成装置１２０が最大摂動サイズδを予め記憶しておくなど、これらの入力データの全部または一部を予め取得しておいてもよい。
【0080】
敵対的サンプル生成装置１２０への入力データを、敵対的サンプル生成装置１１０への入力データと比較すると、敵対的サンプル生成装置１１０では、複数のガイド画像ｘｇ
ｊを取得し得るのに対し、敵対的サンプル生成装置１２０では、１つのガイド画像ｘｇ
ｊを取得する。また、敵対的サンプル生成装置１１０が画像変換関数集合Ｔを取得するのに対し、敵対的サンプル生成装置１２０は、画像変換関数集合Ｔは取得しない。
それ以外の点では、敵対的サンプル生成装置１２０への入力データは、敵対的サンプル生成装置１１０への入力データと同様である。
敵対的サンプル生成装置１２０は、情報処理装置の例に該当する。
それ以外の点では、敵対的サンプル生成装置１２０への入力データは、敵対的サンプル生成装置１１０への入力データと同様である。
敵対的サンプル生成装置１２０は、情報処理装置の例に該当する。
【0081】
敵対的サンプル生成部１２１が、式（５）に示される最適化問題を解くことで敵対的サンプルｘａｄｖを生成するようにしてもよい。
【0082】
【数5】
【0083】
式（５）の「ＳＩＭ（ｆ（ｘａｄｖ），ｆ（ｘｇ
ｊ））」の項は、ガイド画像ｘｇ
ｊに対する画像変換関数ｔの適用がない点を除いては、式（１）の「ＳＩＭ（ｆ（ｘａｄｖ），ｆ（ｔ（ｘｇ
ｊ）））」の項と同様である。
式（５）の「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｘｇ ｊ）｜｜ｐ」の項は、特定のガイド画像ｘｇ ｊに対する過学習防止のための制約項である。
式（５）の「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｘｇ ｊ）｜｜ｐ」の項は、特定のガイド画像ｘｇ ｊに対する過学習防止のための制約項である。
【0084】
この制約項の「ｃ」は、「ＳＩＭ（ｆ（ｘａｄｖ），ｆ（ｘｇ
ｊ））」の項に対する制約項の影響の度合いを調節するパラメータであり、ｃ＞０である。パラメータｃの値が予め固定値に設定されていてもよい。あるいは、ユーザがパラメータｃの値を指定するようにしてもよい。
【0085】
「｜｜ ｜｜ｐ」は、Ｌｐノルムを示す。ｐは、１、２、∞の何れかの値をとる。ｐの値が予め固定値に設定されていてもよい。あるいは、ユーザがｐの値を指定するようにしてもよい。
また、この制約項にＨｕｂｅｒ損失を用いるなど、Ｌｐノルム以外の演算を用いるようにしてもよい。
また、この制約項にＨｕｂｅｒ損失を用いるなど、Ｌｐノルム以外の演算を用いるようにしてもよい。
【0086】
敵対的サンプル生成部１２１が生成する敵対的サンプルｘａｄｖの顔画像を人が見た場合に、ソース画像ｘｓ
ｉと同一人物の顔画像であると認識するように、敵対的摂動の大きさについて制約条件を設けるようにしてもよい。この場合の制約条件として、上記の式（２）に示される制約条件を用いることができる。例えば、敵対的サンプル生成部１２１が、上記の式（２）で示される制約条件の下で、上記の式（５）に示される最適化問題を解くようにしてもよい。
【0087】
上記の式（５）で示される最適化問題は、式（６）の目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ
ｊ）の値を最大化する最適化問題に勾配法を適用して、近似的に解くことができる。
【0088】
【数6】
【0089】
敵対的サンプル生成部１２１が、入力されたソース画像ｘｓ
ｉ、最大摂動サイズδ、および類似度計算部１１４により計算される目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ
ｊ）を元に、式（７）に基づいて敵対的サンプル候補ｘａｄｖ
(h)を更新するようにしてもよい。
【0090】
【数7】
【0091】
式（７）では、式（６）に応じて目的関数が「Ｊ（ｘａｄｖ，ｆ，ｘｇ
ｊ）」となっている点以外は、式（４）の場合と同様である。
敵対的サンプル生成部１２１は、式（７）に基づいて、目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ ｊ）の値を最大化するように敵対的サンプル候補ｘａｄｖ （ｈ）を更新する。
敵対的サンプル生成部１２１は、式（７）に基づいて、目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ ｊ）の値を最大化するように敵対的サンプル候補ｘａｄｖ （ｈ）を更新する。
【0092】
敵対的サンプル生成部１２１が、更新された敵対的サンプル候補ｘａｄｖ
（ｈ）が上記の式（２）の制約を満たすように、ｘａｄｖ
（ｈ）の値を変更するようにしてもよい。例えば、敵対的サンプル生成部１２１が、ｘａｄｖ
（ｈ）とｘｓ
ｉとの差のＬ∞ノルムを計算し、Ｌ∞ノルムがδ以上となっている場合、δ以下になるようにｘａｄｖ
（ｈ）の値を変更するようにしてもよい。
【0093】
敵対的サンプル生成部１２１は、式（６）による敵対的サンプル候補の更新作業をＭ２回行う。Ｍ２はＭ２≧１の整数である。Ｍ２の値が予め固定値に設定されていてもよい。あるいは、ユーザがＭ２の値を指定するようにしてもよい。
【0094】
特徴量計算部１１３は、第一実施形態の場合と同様、特徴量抽出モデルｆを用いて顔画像の特徴量を計算する。
第二実施形態では、敵対的サンプル生成装置１２０が１つのガイド画像ｘｇ ｊを取得する。これに伴い、特徴量計算部１１３は、例えば、式（７）の「Ｊ（ｘａｄｖ （ｈ－１），ｆ，ｘｇ ｊ）」の計算において、敵対的サンプル生成部１２１が更新した敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量ｆ（ｘａｄｖ （ｈ－１））と、ガイド画像ｘｇ ｊの特徴量ｆ（ｘｇ ｊ）とを、特徴量抽出モデルｆを用いて計算する。
第二実施形態では、敵対的サンプル生成装置１２０が１つのガイド画像ｘｇ ｊを取得する。これに伴い、特徴量計算部１１３は、例えば、式（７）の「Ｊ（ｘａｄｖ （ｈ－１），ｆ，ｘｇ ｊ）」の計算において、敵対的サンプル生成部１２１が更新した敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量ｆ（ｘａｄｖ （ｈ－１））と、ガイド画像ｘｇ ｊの特徴量ｆ（ｘｇ ｊ）とを、特徴量抽出モデルｆを用いて計算する。
【0095】
制約項計算部１２２は、特徴量計算部１１３で計算された特徴量を用いて制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｘｇ
ｊ）｜｜ｐ」の計算を行う。
【0096】
類似度計算部１１４は、第一実施形態の場合と同様、特徴量計算部１１３が計算した特徴量に基づいて、２つの画像の特徴量の類似度を計算する。また、類似度計算部１１４は、第一実施形態の場合と同様、算出した類似度に基づいて、最適化問題の目的関数の値を計算する。
例えば、類似度計算部１１４は、式（７）の計算において、目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ ｊ）の値を式（６）に基づいて計算する。
例えば、類似度計算部１１４は、式（７）の計算において、目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ ｊ）の値を式（６）に基づいて計算する。
【0097】
（動作の説明）
図４は、敵対的サンプル生成装置１２０が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
図４の処理で、敵対的サンプル生成部１２１は、ソース画像ｘｓ ｉと、特徴量抽出モデルｆと、ガイド画像ｘｇ ｊと、最大摂動サイズδとを、敵対的サンプル生成装置１２０の外部からの入力データとして取得する（ステップＳ１２１）。
図４は、敵対的サンプル生成装置１２０が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
図４の処理で、敵対的サンプル生成部１２１は、ソース画像ｘｓ ｉと、特徴量抽出モデルｆと、ガイド画像ｘｇ ｊと、最大摂動サイズδとを、敵対的サンプル生成装置１２０の外部からの入力データとして取得する（ステップＳ１２１）。
【0098】
次に、特徴量計算部１１３は、ガイド画像ｘｇ
ｊを特徴抽出モデルｆに入力して、ガイド画像ｘｇ
ｊの特徴量を計算する（ステップＳ１２２）。
次に、敵対的サンプル生成部１２１は、敵対的サンプル候補の初期値ｘａｄｖ （０）を設定する（ステップＳ１２３）。例えば、敵対的サンプル生成部１２１が敵対的サンプル候補の初期値ｘａｄｖ （０）にソース画像ｘｓ ｉの値（画像データ）を代入するようにしてもよい。
次に、敵対的サンプル生成部１２１は、敵対的サンプル候補の初期値ｘａｄｖ （０）を設定する（ステップＳ１２３）。例えば、敵対的サンプル生成部１２１が敵対的サンプル候補の初期値ｘａｄｖ （０）にソース画像ｘｓ ｉの値（画像データ）を代入するようにしてもよい。
【0099】
次に、敵対的サンプル生成装置１２０は、ループＬ１２を開始する（ステップＳ１２４）。
ループＬ１２の処理で、特徴量計算部１１３は、敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量を計算する（ステップＳ１２５）。
ループＬ１２の処理で、特徴量計算部１１３は、敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量を計算する（ステップＳ１２５）。
【0100】
次に、制約項計算部１２２は、式（６）の制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｘｇ
ｊ）｜｜ｐ」の値を計算する（ステップＳ１２６）。
次に、類似度計算部１１４は、敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量ｆ（ｘａｄｖ （ｈ－１））と、ガイド画像ｘｇ ｊの特徴量ｆ（ｘｇ ｊ）との類似度を計算する（ステップＳ１２７）。
次に、類似度計算部１１４は、敵対的サンプル候補ｘａｄｖ （ｈ－１）の特徴量ｆ（ｘａｄｖ （ｈ－１））と、ガイド画像ｘｇ ｊの特徴量ｆ（ｘｇ ｊ）との類似度を計算する（ステップＳ１２７）。
【0101】
次に、類似度計算部１１４が、ステップＳ１２７で計算した類似度、および、ステップＳ１２６で制約項計算部１２２が計算した制約項の値に基づいて目的関数Ｊ（ｘａｄｖ，ｆ，ｘｇ
ｊ）の値を計算する（ステップＳ１２８）。
次に、敵対的サンプル生成部１２１が、式（７）に基づいて敵対的サンプル候補ｘａｄｖ （ｈ）の値を更新する（ステップＳ１２９）。
次に、敵対的サンプル生成部１２１が、式（７）に基づいて敵対的サンプル候補ｘａｄｖ （ｈ）の値を更新する（ステップＳ１２９）。
【0102】
次に、敵対的サンプル生成装置１２０は、ループＬ１２の終端処理を行う（ステップＳ１３０）。具体的には、敵対的サンプル生成装置１２０は、ループＬ１２の処理をＭ２回繰り返したか否かを判定する。まだループＬ１２の処理をＭ２回繰り返していないと判定した場合、敵対的サンプル生成装置１２０は、引き続き、ループＬ１２の処理を繰り返す。
一方、ループＬ１２の処理をＭ２回繰り返したと判定した場合、敵対的サンプル生成装置１２０は、ループＬ１２を終了する。
一方、ループＬ１２の処理をＭ２回繰り返したと判定した場合、敵対的サンプル生成装置１２０は、ループＬ１２を終了する。
【0103】
ステップＳ１３０で敵対的サンプル生成装置１２０がループＬ１２を終了した場合、敵対的サンプル生成部１２１は、敵対的サンプルｘａｄｖの値を決定する（ステップＳ１３１）。具体的には、敵対的サンプル生成部１２１は、敵対的サンプル候補ｘａｄｖ
（Ｍ２）の値、すなわち敵対的サンプル候補の最新の値を敵対的サンプルｘａｄｖの値として採用する。
ステップＳ１３１の後、敵対的サンプル生成装置１２０は、図４の処理を終了する。
ステップＳ１３１の後、敵対的サンプル生成装置１２０は、図４の処理を終了する。
【0104】
以上のように、敵対的サンプル生成部１２１は、敵対的サンプル候補ｘａｄｖ
（ｈ－１）の特徴量とガイド画像ｘｇ
ｊの特徴量との類似度を示す項と、敵対的サンプル候補ｘａｄｖ
（ｈ－１）の特徴量とガイド画像ｘｇ
ｊの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する。
【0105】
敵対的サンプル生成部１２１は、この制約項により、特定の１つのガイド画像ｘｇ
ｊだけでなく複数のガイド画像ｘｇ
ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを生成することができる。この点で、敵対的サンプル生成部１２１は、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖを生成することができる。
【0106】
このように、敵対的サンプル生成装置１２０によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルｘａｄｖを得られる。
例えば、この敵対的サンプルｘａｄｖを教師データとして用いて、この敵対的サンプルｘａｄｖに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルｘａｄｖを教師データとして用いて、この敵対的サンプルｘａｄｖに騙されにくいモデルを学習するなどの対策を行い得る。
【0107】
上記の式（２）および（５）に示される最適化問題、あるいは、式（２）、（６）および（７）に示される最適化問題は、ガイド画像ｘｇ
ｊを学習データとして用いる、敵対的サンプルｘａｄｖの学習モデルと捉えることができる。敵対的サンプル生成装置１２０では、最適化問題の目的関数に制約項を設けることで、特定のガイド画像ｘｇ
ｊに対する過学習の防止を図ることができる。
【0108】
＜第三の実施形態＞
第三の実施形態では、第一の実施形態と第二の実施形態とを合わせて実施する場合について説明する。
図５は、第三の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。図５に示す構成で、敵対的サンプル生成装置１３０は、敵対的サンプル生成部１３１と、ガイド画像取得部１１２と、特徴量計算部１１３と、制約項計算部１２２と、類似度計算部１１４と、を備える。
第三の実施形態では、第一の実施形態と第二の実施形態とを合わせて実施する場合について説明する。
図５は、第三の実施形態に係る敵対的サンプル生成装置の機能構成の例を示す概略ブロック図である。図５に示す構成で、敵対的サンプル生成装置１３０は、敵対的サンプル生成部１３１と、ガイド画像取得部１１２と、特徴量計算部１１３と、制約項計算部１２２と、類似度計算部１１４と、を備える。
【0109】
第三の実施形態に係る敵対的サンプル生成装置１３０は、第一の実施形態に係る敵対的サンプル生成装置１１０（図１参照）の各部に加えて制約項計算部１２２を備える。これに伴い、敵対的サンプル生成装置１２０の敵対的サンプル生成部１３１の動作が、敵対的サンプル生成装置１１０の敵対的サンプル生成部１１１の場合と異なる。
これら以外の点では、敵対的サンプル生成装置１３０は、敵対的サンプル生成装置１１０と同様である。
敵対的サンプル生成装置１３０は、情報処理装置の例に該当する。
これら以外の点では、敵対的サンプル生成装置１３０は、敵対的サンプル生成装置１１０と同様である。
敵対的サンプル生成装置１３０は、情報処理装置の例に該当する。
【0110】
敵対的サンプル生成装置１３０のガイド画像取得部１１２、特徴量計算部１１３および類似度計算部１１４は、第一の実施形態で説明したのと同様であり、ここでは詳細な説明を省略する。
敵対的サンプル生成装置１３０の制約項計算部１２２は、第二の実施形態で説明したのと同様であり、ここでは詳細な説明を省略する。
敵対的サンプル生成装置１３０の制約項計算部１２２は、第二の実施形態で説明したのと同様であり、ここでは詳細な説明を省略する。
【0111】
敵対的サンプル生成部１３１は、第一の実施形態における敵対的サンプル生成部１１１が行う処理と同様の処理を行う。さらに、敵対的サンプル生成部１３１は、第二の実施形態における敵対的サンプル生成部１２１と同様、制約項を含む目的関数を用いて敵対的サンプルｘａｄｖを生成する。
敵対的サンプル生成部１３１が、上記の式（１）に代えて式（８）で示される最適化問題を解くことで敵対的サンプルｘａｄｖを生成するようにしてもよい。
敵対的サンプル生成部１３１が、上記の式（１）に代えて式（８）で示される最適化問題を解くことで敵対的サンプルｘａｄｖを生成するようにしてもよい。
【0112】
【数8】
【0113】
式（８）では、式（１）に加えて制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｔ（ｘｇ
ｊ））｜｜ｐ」が設けられている。制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｔ（ｘｇ
ｊ））｜｜ｐ」は、式（５）における制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｘｇ
ｊ）｜｜ｐ」の「ｆ（ｘｇ
ｊ）」を「ｆ（ｔ（ｘｇ
ｊ））」に置き換えたものである。
【0114】
第三実施形態では、第一実施形態の場合と同様、ガイド画像取得部１１２がガイド画像ｘｇ
ｊに画像変換関数ｔを適用し得ることを、制約項に反映させている。
式（８）でも、「ｔ（ｘｇ ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ ｊ」との総称を示す。
式（８）でも、「ｔ（ｘｇ ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ ｊ」との総称を示す。
【0115】
敵対的サンプル生成部１３１が生成する敵対的サンプルｘａｄｖの顔画像を人が見た場合に、ソース画像ｘｓ
ｉと同一人物の顔画像であると認識するように、敵対的摂動の大きさについて制約条件を設けるようにしてもよい。この場合の制約条件として、上記の式（２）に示される制約条件を用いることができる。例えば、敵対的サンプル生成部１３１が、上記の式（２）で示される制約条件の下で、上記の式（８）に示される最適化問題を解くようにしてもよい。
【0116】
上記の式（８）で示される最適化問題は、式（９）の目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を最大化する最適化問題に勾配法を適用して、近似的に解くことができる。
【0117】
【数9】
【0118】
式（９）では、式（３）に加えて、式（８）の場合と同様の制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｔ（ｘｇ
ｊ））｜｜ｐ」が設けられている。
式（９）でも、「ｔ（ｘｇ ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ ｊ」との総称を示す。
式（９）でも、「ｔ（ｘｇ ｊ）」は、ガイド画像取得部１１２が画像変換関数ｔを用いる場合のガイド画像「ｔ（ｘｇ ｊ）」と、ガイド画像取得部１１２が画像変換関数ｔを用いない場合のガイド画像「ｘｇ ｊ」との総称を示す。
【0119】
敵対的サンプル生成部１３１が、入力されたソース画像ｘｓ
ｉ、最大摂動サイズδ、および類似度計算部１１４により計算される目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）を元に、上記の式（４）に基づいて敵対的サンプル候補ｘａｄｖ
(h)の値を更新するようにしてもよい。
【0120】
敵対的サンプル生成部１３１は、式（４）に基づいて、目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を最大化するように敵対的サンプル候補ｘａｄｖ
（ｈ）を更新する。
第三実施形態では、類似度計算部１１４は、式（３）に代えて式（９）を用いて、式（４）の目的関数「Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）」の値を計算する。
第三実施形態では、類似度計算部１１４は、式（３）に代えて式（９）を用いて、式（４）の目的関数「Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）」の値を計算する。
【0121】
敵対的サンプル生成部１３１が、更新された敵対的サンプル候補ｘａｄｖ
（ｈ）が上記の式（２）の制約を満たすように、ｘａｄｖ
（ｈ）の値を変更するようにしてもよい。例えば、敵対的サンプル生成部１３１が、ｘａｄｖ
（ｈ）とｘｓ
ｉとの差のＬ∞ノルムを計算し、Ｌ∞ノルムがδ以上となっている場合、δ以下になるようにｘａｄｖ
（ｈ）の値を変更するようにしてもよい。
【0122】
敵対的サンプル生成部１３１は、式（４）による敵対的サンプル候補の更新作業をＭ３回行う。Ｍ３はＭ３≧１の整数である。Ｍ３の値が予め固定値に設定されていてもよい。あるいは、ユーザがＭ３の値を指定するようにしてもよい。
【0123】
（動作の説明）
図６は、敵対的サンプル生成装置１３０が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
ステップＳ１４１からＳ１４６までは、図２のステップＳ１０１からＳ１０６までと同様である。
図６では、図２の場合の敵対的サンプル生成装置１１０を敵対的サンプル生成装置１３０と読み替え、敵対的サンプル生成部１１１を敵対的サンプル生成部１３１と読み替える。
図６は、敵対的サンプル生成装置１３０が敵対的サンプルを生成する処理手順の例を示すフローチャートである。
ステップＳ１４１からＳ１４６までは、図２のステップＳ１０１からＳ１０６までと同様である。
図６では、図２の場合の敵対的サンプル生成装置１１０を敵対的サンプル生成装置１３０と読み替え、敵対的サンプル生成部１１１を敵対的サンプル生成部１３１と読み替える。
【0124】
ステップＳ１４６の後、制約項計算部１２２は、式（９）の制約項「ｃ｜｜ｆ（ｘａｄｖ）－ｆ（ｔ（ｘｇ
ｊ））｜｜ｐ」の値を計算する（ステップＳ１４７）。
ステップＳ１４８は、図２のステップＳ１０７と同様である。
次に、類似度計算部１１４が、ステップＳ１４８で計算した類似度、および、ステップＳ１４６で制約項計算部１２２が計算した制約項の値に基づいて目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を計算する（ステップＳ１４９）。
次に、敵対的サンプル生成部１３１は、式（４）に基づいて敵対的サンプル候補ｘａｄｖ （ｈ）の値を更新する（ステップＳ１５０）。
ステップＳ１４８は、図２のステップＳ１０７と同様である。
次に、類似度計算部１１４が、ステップＳ１４８で計算した類似度、および、ステップＳ１４６で制約項計算部１２２が計算した制約項の値に基づいて目的関数Ｊ（ｘａｄｖ，ｆ，Ｇｊ，Ｔ）の値を計算する（ステップＳ１４９）。
次に、敵対的サンプル生成部１３１は、式（４）に基づいて敵対的サンプル候補ｘａｄｖ （ｈ）の値を更新する（ステップＳ１５０）。
【0125】
次に、敵対的サンプル生成装置１３０は、ループＬ１３の終端処理を行う（ステップＳ１５１）。具体的には、敵対的サンプル生成装置１３０は、ループＬ１３の処理をＭ３回繰り返したか否かを判定する。まだループＬ１３の処理をＭ３回繰り返していないと判定した場合、敵対的サンプル生成装置１３０は、引き続き、ループＬ１３の処理を繰り返す。
一方、ループＬ１３の処理をＭ３回繰り返したと判定した場合、敵対的サンプル生成装置１３０は、ループＬ１３を終了する。
一方、ループＬ１３の処理をＭ３回繰り返したと判定した場合、敵対的サンプル生成装置１３０は、ループＬ１３を終了する。
【0126】
ステップＳ１５１で敵対的サンプル生成装置１３０がループＬ１３を終了した場合、敵対的サンプル生成部１３１は、敵対的サンプルｘａｄｖの値を決定する（ステップＳ１５２）。具体的には、敵対的サンプル生成部１３１は、敵対的サンプル候補ｘａｄｖ
（Ｍ３）の値、すなわち敵対的サンプル候補の最新の値を敵対的サンプルｘａｄｖの値として採用する。
ステップＳ１５２の後、敵対的サンプル生成装置１３０は、図６の処理を終了する。
ステップＳ１５２の後、敵対的サンプル生成装置１３０は、図６の処理を終了する。
【0127】
以上のように、ガイド画像取得部１１２は、１つのターゲットクラスに分類される複数のガイド画像ｘｇ
ｊを取得する。敵対的サンプル生成部１３１は、複数のガイド画像ｘｇ
ｊを用いて、かつ、敵対的サンプル候補ｘａｄｖ
（ｈ－１）の特徴量とガイド画像ｘｇ
ｊの特徴量との類似度を示す項と、敵対的サンプル候補ｘａｄｖ
（ｈ－１）の特徴量とガイド画像ｘｇ
ｊの特徴量とのノルムを示す項とを含む目的関数を用いて、１つの敵対的サンプルを生成する。
【0128】
これにより、敵対的サンプル生成部１３１は、複数のガイド画像ｘｇ
ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを生成することができる。この点で、敵対的サンプル生成部１３１は、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖを生成することができる。
【0129】
また、敵対的サンプル生成部１３１は、目的関数の制約項により、特定の１つのガイド画像ｘｇ
ｊだけでなく複数のガイド画像ｘｇ
ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを生成することができる。敵対的サンプル生成部１３１は、この点でも、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖを生成することができる。
【0130】
このように、敵対的サンプル生成装置１３０によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルｘａｄｖを得られる。
例えば、この敵対的サンプルｘａｄｖを教師データとして用いて、この敵対的サンプルｘａｄｖに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルｘａｄｖを教師データとして用いて、この敵対的サンプルｘａｄｖに騙されにくいモデルを学習するなどの対策を行い得る。
【0131】
上記の式（２）および（８）に示される最適化問題、あるいは、式（２）、（４）および（９）に示される最適化問題は、ガイド画像ｘｇ
ｊを学習データとして用いる、敵対的サンプルｘａｄｖの学習モデルと捉えることができる。敵対的サンプル生成装置１３０では、複数のガイド画像ｘｇ
ｊを用いること、および、最適化問題の目的関数に制約項を設けることで、特定のガイド画像ｘｇ
ｊに対する過学習の防止を図ることができる。
【0132】
＜第四の実施形態＞
図７は、第四の実施形態に係る検知モデル学習装置の機能構成の例を示す概略ブロック図である。図７に示す構成で、検知モデル学習装置２００は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、訓練データ集合生成部２１１と、検知モデル学習部２１２と、を備える。
図７は、第四の実施形態に係る検知モデル学習装置の機能構成の例を示す概略ブロック図である。図７に示す構成で、検知モデル学習装置２００は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、訓練データ集合生成部２１１と、検知モデル学習部２１２と、を備える。
【0133】
図７の構成で、図１の各部に対応して同様の機能を有する部分には同一の符号（１１１、１１２、１１３、１１４）を付して、ここでは詳細な説明を省略する。
検知モデル学習装置２００は、図１の敵対的サンプル生成装置１１０が備える各部に加えて、さらに訓練データ集合生成部２１１と、検知モデル学習部２１２と、を備える。
検知モデル学習装置２００は、図１の敵対的サンプル生成装置１１０が備える各部に加えて、さらに訓練データ集合生成部２１１と、検知モデル学習部２１２と、を備える。
【0134】
検知モデル学習装置２００は、敵対的サンプル生成部１１１が生成する敵対的サンプルを訓練データとして用いて、敵対的サンプルを検知するためのモデルの学習を行う。敵対的サンプルを検知するためのモデルを検知モデルとも称する。
検知モデルは、入力データを敵対的サンプルのクラス、または、正常データのクラスの何れかに分類する。ここでは、正常データは敵対的サンプル以外のデータである。
この分類により、検知モデルは、敵対的サンプルと正常データとを識別する。すなわち、検知モデルは、入力されるデータが敵対的サンプルであるか正常データであるかを予測する。
検知モデルは、入力データを敵対的サンプルのクラス、または、正常データのクラスの何れかに分類する。ここでは、正常データは敵対的サンプル以外のデータである。
この分類により、検知モデルは、敵対的サンプルと正常データとを識別する。すなわち、検知モデルは、入力されるデータが敵対的サンプルであるか正常データであるかを予測する。
【0135】
第四の実施形態では、第一の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行う場合について説明する。
ただし、第一の実施形態に代えて、第二の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行うようにしてもよい。あるいは、第一の実施形態と第二の実施形態との組み合わせに該当する第三の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行うようにしてもよい。
ただし、第一の実施形態に代えて、第二の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行うようにしてもよい。あるいは、第一の実施形態と第二の実施形態との組み合わせに該当する第三の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行うようにしてもよい。
【0136】
第二の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行う場合、検知モデル学習装置２００が、図１の敵対的サンプル生成部１１１およびガイド画像取得部１１２に代えて、図３の敵対的サンプル生成部１２１および制約項計算部１２２を備えるようにしてもよい。
第三の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行う場合、検知モデル学習装置２００が、図７に示す各部に加えて、さらに制約項計算部１２２を備えるようにしてもよい。
第三の実施形態で得られる敵対的サンプルを用いて検知モデルの学習を行う場合、検知モデル学習装置２００が、図７に示す各部に加えて、さらに制約項計算部１２２を備えるようにしてもよい。
【0137】
検知モデル学習装置２００は、データ集合Ｘと、特徴量抽出モデルｆと、画像変換関数集合Ｔと、最大摂動サイズδとを入力データとして取得して、検知モデルｄを出力する。例えば、検知モデル学習装置２００が、検知モデルｄの学習で得られた検知モデルｄのパラメータの値を出力するようにしてもよい。
【0138】
データ集合Ｘは、ソース画像ｘｓ
ｉとガイド画像集合Ｇｊとのペア（ｘｓ
ｉ，Ｇｊ）を要素とする集合である。
上述したように、特徴量抽出モデルｆは顔画像を入力として受け付け、実数を要素として持つ多次元ベクトルを出力する。
上述したように、画像変換関数集合Ｔは１つ以上の画像処理関数ｔの集合である。
上述したように、特徴量抽出モデルｆは顔画像を入力として受け付け、実数を要素として持つ多次元ベクトルを出力する。
上述したように、画像変換関数集合Ｔは１つ以上の画像処理関数ｔの集合である。
【0139】
検知モデル学習装置２００が他の装置と通信を行って、その装置からこれら入力データを受信するようにしてもよい。あるいは、検知モデル学習装置２００が画像変換関数集合Ｔおよび最大摂動サイズδを予め記憶しておくなど、これらの入力データの全部または一部を予め取得しておいてもよい。
検知モデル学習装置２００は、情報処理装置の例に該当する。
検知モデル学習装置２００は、情報処理装置の例に該当する。
【0140】
訓練データ集合生成部２１１は、検知モデルｄを学習するための訓練データ集合Ｘｔｒを生成する。そのために、訓練データ集合生成部２１１は、まず、データ集合Ｘ内の全てのソース画像ｘｓ
ｉとガイド画像集合Ｇｊとのペア（ｘｓ
ｉ，Ｇｊ）∈Ｘ、特徴量抽出モデルｆ、画像変換関数集合Ｔ、および、最大摂動サイズδを敵対的サンプル生成部１１１に出力する。
【0141】
敵対的サンプル生成部１１１は、訓練データ集合生成部２１１からのデータを用いて、ガイド画像集合Ｇｊとのペア（ｘｓ
ｉ，Ｇｊ）ごとに敵対的サンプルｘａｄｖを生成する。これにより、訓練データ集合生成部２１１は、｜Ｘ｜個の敵対的サンプルｘａｄｖを生成する。｜Ｘ｜は集合Ｘの要素数を表す。
【0142】
そして、訓練データ集合生成部２１１は、データ集合Ｘ内のｘｓ
ｉと、敵対的サンプル生成部１１１が生成した敵対的サンプルとで異なるラベルを付加し、訓練データ集合Ｘｔｒを構築する。訓練データ集合Ｘｔｒの要素の個数は、｜Ｘｔｒ｜＝２｜Ｘ｜である。
【0143】
検知モデル学習部２１２は、訓練データ集合生成部２１１が生成した訓練データ集合Ｘｔｒを用いて検知モデルｄの学習を行う。
例えば、検知モデルｄが、二値分類を行うニューラルネットワークを用いて構成されていてもよい。この場合、例えばクロスエントロピー損失関数を用いて、このニューラルネットワークの学習を行うことができる。
例えば、検知モデルｄが、二値分類を行うニューラルネットワークを用いて構成されていてもよい。この場合、例えばクロスエントロピー損失関数を用いて、このニューラルネットワークの学習を行うことができる。
【0144】
検知モデル学習部２１２が、訓練データ集合ＸｔｒからＢ個の要素をランダムに選択してミニバッチを生成するようにしてもよい。Ｂは、Ｂ≧１の整数である。Ｂの値が予め固定値に設定されていてもよい。あるいは、ユーザがＢの値を指定するようにしてもよい。
【0145】
そして、検知モデル学習部２１２が、ミニバッチを用いて計算された損失関数に勾配法を適用することで、ニューラルネットのパラメータ更新を行うようにしてもよい。
検知モデル学習部２１２が、ミニバッチの生成および検知モデルｄの学習をＭ４回繰り返して行うようにしてもよい。Ｍ４は、Ｍ４≧１の整数である。Ｍ４の値が予め固定値に設定されていてもよい。あるいは、ユーザがＭ４の値を指定するようにしてもよい。
検知モデル学習部２１２が、ミニバッチの生成および検知モデルｄの学習をＭ４回繰り返して行うようにしてもよい。Ｍ４は、Ｍ４≧１の整数である。Ｍ４の値が予め固定値に設定されていてもよい。あるいは、ユーザがＭ４の値を指定するようにしてもよい。
【0146】
ただし、検知モデルｄの学習アルゴリズムは、特定のものに限定されない。検知モデルｄの学習アルゴリズムとして、二値分類を行うニューラルネットワークを学習可能な、いろいろなアルゴリズムを用いることができる。
【0147】
（動作の説明）
図８は、検知モデル学習装置２００が検知モデル学習を行う処理手順の例を示すフローチャートである。
図８の処理で、訓練データ集合生成部２１１は、データ集合Ｘと、特徴量抽出モデルｆと、画像変換関数集合Ｔと、最大摂動サイズδとを、検知モデル学習装置２００の外部からの入力データとして取得する（ステップＳ２０１）。
図８は、検知モデル学習装置２００が検知モデル学習を行う処理手順の例を示すフローチャートである。
図８の処理で、訓練データ集合生成部２１１は、データ集合Ｘと、特徴量抽出モデルｆと、画像変換関数集合Ｔと、最大摂動サイズδとを、検知モデル学習装置２００の外部からの入力データとして取得する（ステップＳ２０１）。
【0148】
次に、検知モデル学習装置２００は、ループＬ２１を開始する（ステップＳ２０２）。
ループＬ２１の処理で、検知モデル学習装置２００は、データ集合Ｘに含まれるデータ（ｘｓ ｉ，Ｇｊ）ごとに、敵対的サンプルｘａｄｖを生成する（ステップＳ２０３）。ステップＳ２０３で、検知モデル学習装置２００は、図２のステップＳ１０２およびそれ以降の処理を行って敵対的サンプルｘａｄｖを生成する。
ループＬ２１の処理で、検知モデル学習装置２００は、データ集合Ｘに含まれるデータ（ｘｓ ｉ，Ｇｊ）ごとに、敵対的サンプルｘａｄｖを生成する（ステップＳ２０３）。ステップＳ２０３で、検知モデル学習装置２００は、図２のステップＳ１０２およびそれ以降の処理を行って敵対的サンプルｘａｄｖを生成する。
【0149】
次に、検知モデル学習装置２００は、ループＬ２１の終端処理を行う（ステップＳ２０４）。具体的には、検知モデル学習装置２００は、データ集合Ｘに含まれる全てのデータ（ｘｓ
ｉ，Ｇｊ）に対してステップＳ２０３での敵対的サンプルｘａｄｖの生成を行ったか否かを判定する。ステップＳ２０３の処理を行っていないデータ（ｘｓ
ｉ，Ｇｊ）があると判定した場合、検知モデル学習装置２００は、引き続き、ステップＳ２０３の処理を行っていないデータ（ｘｓ
ｉ，Ｇｊ）に対してステップＳ２０３の処理を行う。
一方、データ集合Ｘに含まれる全てのデータ（ｘｓ ｉ，Ｇｊ）に対してステップＳ２０３での敵対的サンプルｘａｄｖの生成を行ったと判定した場合、検知モデル学習装置２００は、ループＬ２１を終了する。
一方、データ集合Ｘに含まれる全てのデータ（ｘｓ ｉ，Ｇｊ）に対してステップＳ２０３での敵対的サンプルｘａｄｖの生成を行ったと判定した場合、検知モデル学習装置２００は、ループＬ２１を終了する。
【0150】
ステップＳ２０４で検知モデル学習装置２００がループＬ２１を終了した場合、訓練データ集合生成部２１１は、データ集合Ｘに含まれるガイド画像ｘｓ
ｉと、敵対的サンプル生成部１１１がデータ集合Ｘに含まれるデータ（ｘｓ
ｉ，Ｇｊ）ごとに生成した敵対的サンプルｘａｄｖとを用いて、訓練データ集合Ｘｔｒを生成する（ステップＳ２０５）。
【0151】
次に、検知モデル学習装置２００は、ループＬ２２を開始する（ステップＳ２０６）。
ステップＳ２０６の処理で、検知モデル学習部２１２は、訓練データ集合ＸｔｒからＢ個の要素を選択してミニバッチを生成する（ステップＳ２０７）。
次に、検知モデル学習部２１２は、生成したミニバッチを用いて検知モデルｄの学習を行う。
ステップＳ２０６の処理で、検知モデル学習部２１２は、訓練データ集合ＸｔｒからＢ個の要素を選択してミニバッチを生成する（ステップＳ２０７）。
次に、検知モデル学習部２１２は、生成したミニバッチを用いて検知モデルｄの学習を行う。
【0152】
次に、検知モデル学習装置２００は、ループＬ２２の終端処理を行う（ステップＳ２０９）。具体的には、検知モデル学習装置２００は、ループＬ２２の処理をＭ４回繰り返したか否かを判定する。まだループＬ２２の処理をＭ４回繰り返していないと判定した場合、検知モデル学習装置２００は、引き続き、ループＬ２２の処理を繰り返す。
一方、ループＬ２２の処理をＭ４回繰り返したと判定した場合、検知モデル学習装置２００は、ループＬ２２を終了する。
一方、ループＬ２２の処理をＭ４回繰り返したと判定した場合、検知モデル学習装置２００は、ループＬ２２を終了する。
【0153】
ステップＳ２０９でループＬ２２を終了した場合、検知モデル学習装置２００は、図８の処理を終了する。
【0154】
以上のように、検知モデル学習部２１２は、敵対的サンプル生成部１１１が生成した敵対的サンプルを用いて、敵対的サンプルを検知する検知モデルの学習を行う。
これにより、検知モデル学習部２１２は、複数のガイド画像ｘｇ ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを用いて検知モデルの学習を行うことができる。この点で、検知モデル学習装置２００で得られる検知モデルによれば、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖなど、誤照合が生じるリスクが高い敵対的サンプルを高精度に検知できると期待される。
これにより、検知モデル学習部２１２は、複数のガイド画像ｘｇ ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを用いて検知モデルの学習を行うことができる。この点で、検知モデル学習装置２００で得られる検知モデルによれば、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖなど、誤照合が生じるリスクが高い敵対的サンプルを高精度に検知できると期待される。
【0155】
＜第五の実施形態＞
図９は、第五の実施形態に係る特徴量抽出モデル学習装置の機能構成の例を示す概略ブロック図である。図９に示す構成で、特徴量抽出モデル学習装置３００は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、ミニバッチ生成部３１１と、特徴量抽出モデル学習部３１２と、を備える。
図９は、第五の実施形態に係る特徴量抽出モデル学習装置の機能構成の例を示す概略ブロック図である。図９に示す構成で、特徴量抽出モデル学習装置３００は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、ミニバッチ生成部３１１と、特徴量抽出モデル学習部３１２と、を備える。
【0156】
図９の構成で、図１の各部に対応して同様の機能を有する部分には同一の符号（１１１、１１２、１１３、１１４）を付して、ここでは詳細な説明を省略する。
特徴量抽出モデル学習装置３００は、図１の敵対的サンプル生成装置１１０が備える各部に加えて、さらにミニバッチ生成部３１１と、特徴量抽出モデル学習部３１２と、を備える。
特徴量抽出モデル学習装置３００は、図１の敵対的サンプル生成装置１１０が備える各部に加えて、さらにミニバッチ生成部３１１と、特徴量抽出モデル学習部３１２と、を備える。
【0157】
特徴量抽出モデル学習装置３００は、敵対的サンプル生成部１１１が生成する敵対的サンプルｘａｄｖを訓練データとして用いて、顔照合用の顔画像などの入力データの特徴量を抽出する特徴量抽出モデルｆの学習を行う。
【0158】
第五の実施形態では、第一の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行う場合について説明する。
ただし、第一の実施形態に代えて、第二の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行うようにしてもよい。あるいは、第一の実施形態と第二の実施形態との組み合わせに該当する第三の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行うようにしてもよい。
ただし、第一の実施形態に代えて、第二の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行うようにしてもよい。あるいは、第一の実施形態と第二の実施形態との組み合わせに該当する第三の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行うようにしてもよい。
【0159】
第二の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行う場合、特徴量抽出モデル学習装置３００が、図１の敵対的サンプル生成部１１１およびガイド画像取得部１１２に代えて、図３の敵対的サンプル生成部１２１および制約項計算部１２２を備えるようにしてもよい。
第三の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行う場合、特徴量抽出モデル学習装置３００が、図９に示す各部に加えて、さらに制約項計算部１２２を備えるようにしてもよい。
第三の実施形態で得られる敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行う場合、特徴量抽出モデル学習装置３００が、図９に示す各部に加えて、さらに制約項計算部１２２を備えるようにしてもよい。
【0160】
さらに、第四の実施形態と第五の実施形態とを合わせて実施するようにしてもよい。この場合、特徴量抽出モデル学習装置３００が、図７の訓練データ集合生成部２１１および検知モデル学習部２１２をさらに備えるようにしてもよい。
【0161】
特徴量抽出モデル学習装置３００は、データ集合Ｘ２と、画像変換関数集合Ｔと、最大摂動サイズδとを入力データとして取得して、特徴量抽出モデルｆを出力する。例えば、特徴量抽出モデル学習装置３００が、特徴量抽出モデルｆの学習で得られた特徴量抽出モデルｆのパラメータの値を出力するようにしてもよい。
特徴量抽出モデル学習装置３００は、情報処理装置の例に該当する。
特徴量抽出モデル学習装置３００は、情報処理装置の例に該当する。
【0162】
データ集合Ｘ２は、ソース画像ｘｓ
ｉと、ソース画像ｘｓ
ｉのクラスラベルｙと、ガイド画像集合Ｇｊとの組み合わせ（ｘｓ
ｉ，ｙ，Ｇｊ）を要素とする集合である。
クラスラベルｙは、ソース画像ｘｓ ｉが分類される正解クラスを示すラベルである。すなわち、クラスラベルｙはクラスｉを示す。例えば、ソース画像ｘｓ ｉとして顔画像が事前登録されている人と、クラスとが一対一に対応付けられる場合、クラスラベルｙは、ソース画像ｘｓ ｉに顔が写っている人を識別する識別情報を示す。クラスラベルｙは、例えばワンホットベクトルまたは整数で示されていてもよい。
上述したように、画像変換関数集合Ｔは１つ以上の画像処理関数ｔの集合である。
クラスラベルｙは、ソース画像ｘｓ ｉが分類される正解クラスを示すラベルである。すなわち、クラスラベルｙはクラスｉを示す。例えば、ソース画像ｘｓ ｉとして顔画像が事前登録されている人と、クラスとが一対一に対応付けられる場合、クラスラベルｙは、ソース画像ｘｓ ｉに顔が写っている人を識別する識別情報を示す。クラスラベルｙは、例えばワンホットベクトルまたは整数で示されていてもよい。
上述したように、画像変換関数集合Ｔは１つ以上の画像処理関数ｔの集合である。
【0163】
ミニバッチ生成部３１１は、特徴量抽出モデルｆの学習のためのミニバッチを生成する。特徴量抽出モデル学習部３１２が、特徴量抽出モデルｆの更新を繰り返し、特徴量抽出モデルｆが更新されるごとに、ミニバッチ生成部３１１がミニバッチを生成して特徴量抽出モデル学習部３１２に出力するようにしてもよい。
ミニバッチ生成部３１１は、画像とラベルのペアを要素とし、Ｃ個の要素を有するミニバッチを生成する。Ｃは、Ｃ≧２の整数である。Ｃの値が予め固定値に設定されていてもよい。あるいは、ユーザがＣの値を指定するようにしてもよい。
ミニバッチ生成部３１１は、画像とラベルのペアを要素とし、Ｃ個の要素を有するミニバッチを生成する。Ｃは、Ｃ≧２の整数である。Ｃの値が予め固定値に設定されていてもよい。あるいは、ユーザがＣの値を指定するようにしてもよい。
【0164】
具体的には、ミニバッチ生成部３１１は、データ集合Ｘ２からＣ個の要素を選択し、選択した要素ごとに、ソース画像ｘｓ
ｉとクラスラベルｙとのペア（ｘｓ
ｉ，ｙ）を取得する。そして、ミニバッチ生成部３１１は、得られたＣ個のペアのうちＤ個を選択し、選択したＤ個のペアのソース画像ｘｓ
ｉを敵対的サンプル生成部１１１に出力する。Ｄは、１≦Ｄ＜Ｃの整数である。Ｄの値が予め固定値に設定されていてもよい。あるいは、ユーザがＤの値を指定するようにしてもよい。
【0165】
敵対的サンプル生成部１１１は、ミニバッチ生成部３１１からのＣ個のソース画像ｘｓ
ｉのそれぞれについて敵対的サンプルｘａｄｖを生成してミニバッチ生成部３１１へ出力する。
敵対的サンプル生成部１１１が敵対的サンプルｘａｄｖを生成するための特徴量抽出モデルｆとして、特徴量抽出モデル学習部３１２が更新した最新の特徴量抽出モデルｆを用いるようにしてもよい。
敵対的サンプル生成部１１１が敵対的サンプルｘａｄｖを生成するための特徴量抽出モデルｆとして、特徴量抽出モデル学習部３１２が更新した最新の特徴量抽出モデルｆを用いるようにしてもよい。
【0166】
ガイド画像集合Ｇｊについては、ミニバッチ生成部３１１がソース画像ｘｓ
ｉと共に、敵対的サンプル生成部１１１に出力するようにしてもよい。ミニバッチ生成部３１１が、ソース画像ｘｓ
ｉごとに、データ集合Ｘ２でそのソース画像ｘｓ
ｉと組み合わせられているガイド画像集合Ｇｊを敵対的サンプル生成部１１１に出力するようにしてもよい。
【0167】
画像変換関数集合Ｔおよび最大摂動サイズδについては、敵対的サンプル生成部１１１が、特徴量抽出モデル学習装置３００への入力データに含まれる画像変換関数集合Ｔおよび最大摂動サイズδを用いるようにしてもよい。この場合、ミニバッチ生成部３１１が、特徴量抽出モデル学習装置３００への入力データに含まれる画像変換関数集合Ｔおよび最大摂動サイズδを、敵対的サンプル生成部１１１に出力するようにしてもよい。
【0168】
ミニバッチ生成部３１１は、Ｃ個のペア（ｘｓ
ｉ，ｙ）のうち、敵対的サンプル生成部１１１が敵対的サンプルｘａｄｖを生成したＤ個について、ソース画像ｘｓ
ｉを敵対的サンプルｘａｄｖに置き換える。
ミニバッチ生成部３１１は、Ｄ個のソース画像ｘｓ ｉを敵対的サンプルｘａｄｖに置き換え後のＣ個のペアを学習データのミニバッチとして特徴量抽出モデル学習部３１２に出力する。このミニバッチの各要素では、ソース画像ｘｓ ｉまたは敵対的サンプルｘａｄｖの何れか一方と、正解のクラスを示すクラスラベルｙとが紐付けられている。
ミニバッチ生成部３１１は、Ｄ個のソース画像ｘｓ ｉを敵対的サンプルｘａｄｖに置き換え後のＣ個のペアを学習データのミニバッチとして特徴量抽出モデル学習部３１２に出力する。このミニバッチの各要素では、ソース画像ｘｓ ｉまたは敵対的サンプルｘａｄｖの何れか一方と、正解のクラスを示すクラスラベルｙとが紐付けられている。
【0169】
特徴量抽出モデル学習部３１２は、ミニバッチ生成部３１１が生成するミニバッチを用いて特徴量抽出モデルｆの学習を行う。例えば、特徴量抽出モデル学習部３１２は、学習対象の特徴量抽出モデルｆの評価を示す損失関数を用いた最適化問題を解くことで、その特徴量抽出モデルｆの学習を行う。
【0170】
この場合の損失関数として、例えば、ソース画像ｘｓ
ｉまたは敵対的サンプルｘａｄｖを、学習対象の特徴量抽出モデルｆを用いてクラス分類した場合の分類結果を、正解か否かに応じて評価する損失関数を用いることができる。
特徴量抽出モデル学習部３１２は、ミニバッチを用いて損失関数の計算を行い、損失関数の値が示す損失を最小化する最適化問題に勾配法を適用して解くことで、特徴量抽出モデルｆのパラメータを更新する。
特徴量抽出モデル学習部３１２は、ミニバッチを用いて損失関数の計算を行い、損失関数の値が示す損失を最小化する最適化問題に勾配法を適用して解くことで、特徴量抽出モデルｆのパラメータを更新する。
【0171】
特徴量抽出モデル学習部３１２は、特徴量抽出モデルｆのパラメータの更新をＭ５回繰り返す。Ｍ５は、Ｍ５≧１の整数である。Ｍ５の値が予め固定値に設定されていてもよい。あるいは、ユーザがＭ５の値を指定するようにしてもよい。
ただし、特徴量抽出モデルｆの学習のための損失関数、特徴量抽出モデルのアーキテクチャ、学習アルゴリズム、および、学習率等のメタパラメータは特定のものに限定されず、いろいろなものを用いることができる。
ただし、特徴量抽出モデルｆの学習のための損失関数、特徴量抽出モデルのアーキテクチャ、学習アルゴリズム、および、学習率等のメタパラメータは特定のものに限定されず、いろいろなものを用いることができる。
【0172】
（動作の説明）
図１０は、特徴量抽出モデル学習装置３００が特徴量抽出モデルｆの学習を行う処理手順の例を示すフローチャートである。
図１０の処理で、ミニバッチ生成部３１１は、データ集合Ｘ２と、画像変換関数集合Ｔと、最大摂動サイズδとを、特徴量抽出モデル学習装置３００の外部からの入力データとして取得する（ステップＳ３０１）。
図１０は、特徴量抽出モデル学習装置３００が特徴量抽出モデルｆの学習を行う処理手順の例を示すフローチャートである。
図１０の処理で、ミニバッチ生成部３１１は、データ集合Ｘ２と、画像変換関数集合Ｔと、最大摂動サイズδとを、特徴量抽出モデル学習装置３００の外部からの入力データとして取得する（ステップＳ３０１）。
【0173】
次に、特徴量抽出モデル学習装置３００は、ループＬ３１を開始する（ステップＳ３０２）。
ループＬ３１の処理で、ミニバッチ生成部３１１は、Ｃ個の要素を持つミニバッチを生成する（ステップＳ３０３）。具体的には、ミニバッチ生成部３１１は、データ集合Ｘ２からＣ個の要素を選択し、選択した要素の各々からソース画像ｘｓ ｉとクラスラベルｙとを取得して、ペア（ｘｓ ｉ，ｙ）をミニバッチの要素として用いる。
ループＬ３１の処理で、ミニバッチ生成部３１１は、Ｃ個の要素を持つミニバッチを生成する（ステップＳ３０３）。具体的には、ミニバッチ生成部３１１は、データ集合Ｘ２からＣ個の要素を選択し、選択した要素の各々からソース画像ｘｓ ｉとクラスラベルｙとを取得して、ペア（ｘｓ ｉ，ｙ）をミニバッチの要素として用いる。
【0174】
次に、特徴量抽出モデル学習装置３００は、ループＬ３２を開始する（ステップＳ３０４）。
ループＬ３２の処理で、ミニバッチ生成部３１１は、ミニバッチに含まれる１つのソース画像ｘｓ ｉを敵対的サンプル生成部１１１に出力する（ステップＳ３０５）。
ループＬ３２の処理で、ミニバッチ生成部３１１は、ミニバッチに含まれる１つのソース画像ｘｓ ｉを敵対的サンプル生成部１１１に出力する（ステップＳ３０５）。
【0175】
次に、特徴量抽出モデル学習装置３００は、ミニバッチ生成部３１１からのソース画像ｘｓ
ｉを用いて敵対的サンプルｘａｄｖを生成する（ステップＳ２０６）。特徴量抽出モデル学習装置３００は、ステップＳ３０５で選択したソース画像ｘｓ
ｉと、データ集合Ｘ２でそのソース画像ｘｓ
ｉと組み合わせられているガイド画像集合Ｇｊと、入力データに含まれる画像変換関数集合Ｔおよび最大摂動サイズδとを用いて、敵対的サンプルｘａｄｖを生成する。
ステップＳ３０６で、特徴量抽出モデル学習装置３００は、図２のステップＳ１０２およびそれ以降の処理を行って敵対的サンプルｘａｄｖを生成する。
ステップＳ３０６で、特徴量抽出モデル学習装置３００は、図２のステップＳ１０２およびそれ以降の処理を行って敵対的サンプルｘａｄｖを生成する。
【0176】
次に、ミニバッチ生成部３１１は、ミニバッチに含まれるソース画像ｘｓ
ｉのうちステップＳ３０５で選択したソース画像ｘｓ
ｉを、ステップＳ３０６で得られた敵対的サンプルｘａｄｖに置き換える（ステップＳ３０７）。
【0177】
次に、特徴量抽出モデル学習装置３００は、ループＬ３２の終端処理を行う（ステップＳ３０８）。具体的には、特徴量抽出モデル学習装置３００は、ループＬ３２の処理をＤ回繰り返したか否かを判定する。まだループＬ３２の処理をＤ回繰り返していないと判定した場合、特徴量抽出モデル学習装置３００は、引き続き、ループＬ３２の処理を繰り返す。
一方、ループＬ３２の処理をＤ回繰り返したと判定した場合、特徴量抽出モデル学習装置３００は、ループＬ３２を終了する。
一方、ループＬ３２の処理をＤ回繰り返したと判定した場合、特徴量抽出モデル学習装置３００は、ループＬ３２を終了する。
【0178】
ステップＳ３０８で特徴量抽出モデル学習装置３００がループＬ３２を終了した場合、特徴量抽出モデル学習部３１２は、特徴量抽出モデルｆの学習を行う（ステップＳ３０９）。特徴量抽出モデル学習部３１２は、Ｄ個のソース画像ｘｓ
ｉを敵対的サンプルｘａｄｖに置き換え後のミニバッチを用いて特徴量抽出モデルｆの学習を行い、特徴量抽出モデルｆのパラメータを更新する。
【0179】
次に、特徴量抽出モデル学習装置３００は、ループＬ３１の終端処理を行う（ステップＳ３１０）。具体的には、特徴量抽出モデル学習装置３００は、ループＬ３１の処理をＭ５回繰り返したか否かを判定する。まだループＬ３１の処理をＭ５回繰り返していないと判定した場合、特徴量抽出モデル学習装置３００は、引き続き、ループＬ３１の処理を繰り返す。
一方、ループＬ３１の処理をＭ５回繰り返したと判定した場合、特徴量抽出モデル学習装置３００は、ループＬ３１を終了する。
一方、ループＬ３１の処理をＭ５回繰り返したと判定した場合、特徴量抽出モデル学習装置３００は、ループＬ３１を終了する。
【0180】
ステップＳ３１０でループＬ３１を終了した場合、特徴量抽出モデル学習装置３００は、図１０の処理を終了する。
【0181】
以上のように、特徴量抽出モデル学習部３１２は、敵対的サンプル生成部１１１が生成した敵対的サンプルｘａｄｖを用いて、特徴量抽出モデルｆの学習を行う。
これにより、特徴量抽出モデル学習部３１２は、複数のガイド画像ｘｇ ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行うことができる。この点で、特徴量抽出モデル学習装置３００で得られる検知モデルによれば、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖなど、誤照合が生じるリスクが高い顔画像についても、高精度に顔照合できると期待される。
これにより、特徴量抽出モデル学習部３１２は、複数のガイド画像ｘｇ ｊそれぞれの特徴量に類似する特徴量を有する敵対的サンプルｘａｄｖを用いて特徴量抽出モデルｆの学習を行うことができる。この点で、特徴量抽出モデル学習装置３００で得られる検知モデルによれば、照合時に撮影される多様な撮影画像と特徴量の類似度が高い敵対的サンプルｘａｄｖなど、誤照合が生じるリスクが高い顔画像についても、高精度に顔照合できると期待される。
【0182】
＜第六の実施形態＞
図１１は、第六の実施形態に係るリスク評価装置の機能構成の例を示す概略ブロック図である。図１１に示す構成でリスク評価装置４００は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、リスク評価部４１１と、を備える。
図１１は、第六の実施形態に係るリスク評価装置の機能構成の例を示す概略ブロック図である。図１１に示す構成でリスク評価装置４００は、敵対的サンプル生成部１１１と、ガイド画像取得部１１２と、特徴量計算部１１３と、類似度計算部１１４と、リスク評価部４１１と、を備える。
【0183】
図１１の構成で、図１の各部に対応して同様の機能を有する部分には同一の符号（１１１、１１２、１１３、１１４）を付して、ここでは詳細な説明を省略する。
リスク評価装置４００は、図１の敵対的サンプル生成装置１１０が備える各部に加えて、さらにリスク評価部４１１を備える。
リスク評価装置４００は、図１の敵対的サンプル生成装置１１０が備える各部に加えて、さらにリスク評価部４１１を備える。
【0184】
リスク評価装置４００は、評価用特徴量抽出モデルｆｅを用いた際の、敵対的サンプル生成部１１１が生成する敵対的サンプルｘａｄｖの特徴量と、評価用撮影画像ｘｅ
ｊの特徴量との類似度を計算する。評価用特徴量抽出モデルｆｅおよび評価用撮影画像ｘｅ
ｊは、リスク評価装置４００の外部からリスク評価装置４００に入力される。
【0185】
この類似度を、敵対的サンプルｘａｄｖによる誤照合誘引のリスクの評価指標として用いることができる。類似度が高いほど、誤照合が誘引されるリスクが高いと評価できる。
あるいは、この類似度を、評価用特徴量抽出モデルｆｅについての誤照合誘引のリスクの評価指標として用いることができる。類似度が高いほど、誤照合が誘引されるリスクが高いと評価できる。
あるいは、この類似度を、評価用特徴量抽出モデルｆｅについての誤照合誘引のリスクの評価指標として用いることができる。類似度が高いほど、誤照合が誘引されるリスクが高いと評価できる。
【0186】
第六の実施形態では、第一の実施形態で得られる敵対的サンプルｘａｄｖを用いリスク評価を行う場合について説明する。
ただし、第一の実施形態に代えて、第二の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行うようにしてもよい。あるいは、第一の実施形態と第二の実施形態との組み合わせに該当する第三の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行うようにしてもよい。
ただし、第一の実施形態に代えて、第二の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行うようにしてもよい。あるいは、第一の実施形態と第二の実施形態との組み合わせに該当する第三の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行うようにしてもよい。
【0187】
第二の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行う場合、リスク評価装置４００が、図１の敵対的サンプル生成部１１１およびガイド画像取得部１１２に代えて、図３の敵対的サンプル生成部１２１および制約項計算部１２２を備えるようにしてもよい。
第三の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行う場合、リスク評価装置４００が、図１１に示す各部に加えて、さらに制約項計算部１２２を備えるようにしてもよい。
第三の実施形態で得られる敵対的サンプルｘａｄｖを用いてリスク評価を行う場合、リスク評価装置４００が、図１１に示す各部に加えて、さらに制約項計算部１２２を備えるようにしてもよい。
【0188】
さらに、第四の実施形態および第五の実施形態のうち何れか一方またはこれら両方と、第六の実施形態とを合わせて実施するようにしてもよい。
第四の実施形態と第六の実施形態とを合わせて実施する場合、リスク評価装置４００が、図７の訓練データ集合生成部２１１および検知モデル学習部２１２をさらに備えるようにしてもよい。
第五の実施形態と第六の実施形態とを合わせて実施する場合、リスク評価装置４００が、図９のミニバッチ生成部３１１および特徴量抽出モデル学習部３１２をさらに備えるようにしてもよい。
第四の実施形態と第六の実施形態とを合わせて実施する場合、リスク評価装置４００が、図７の訓練データ集合生成部２１１および検知モデル学習部２１２をさらに備えるようにしてもよい。
第五の実施形態と第六の実施形態とを合わせて実施する場合、リスク評価装置４００が、図９のミニバッチ生成部３１１および特徴量抽出モデル学習部３１２をさらに備えるようにしてもよい。
【0189】
リスク評価装置４００は、ソース画像ｘｓ
ｉと、特徴量抽出モデルｆと、ガイド画像集合Ｇと、画像変換関数集合Ｔと、最大摂動サイズδと、評価用特徴量抽出モデルｆｅと、評価用撮影画像集合Ｘｅ
ｊとを入力データとして取得して、敵対的サンプルｘａｄｖの特徴量と、評価用撮影画像集合Ｘｅ
ｊに含まれる評価用撮影画像ｘｅ
ｊの特徴量との類似度を出力する。
リスク評価装置４００は、情報処理装置の例に該当する。
リスク評価装置４００は、情報処理装置の例に該当する。
【0190】
上述したように、ソース画像ｘｓ
ｉは、敵対的サンプルｘａｄｖの生成元となる顔画像である。敵対的サンプルｘａｄｖは、ソース画像ｘｓ
ｉに敵対的摂動（Adversarial Perturbation）を付加して生成される。ソース画像ｘｓ
ｉが属するクラスをクラスｉと表記する。
【0191】
上述したように、特徴量抽出モデルｆは、顔画像を入力として受け付け、入力された顔画像の特徴量を出力する。特徴量抽出モデルｆが出力する特徴量は、実数を要素として持つベクトルで示される。
上述したように、ガイド画像集合Ｇｊは、１つ以上のガイド画像ｘｇ ｊの集合である。ガイド画像ｘｇ ｊ∈Ｇｊは、ターゲットクラスに属する顔画像である。ターゲットクラスをクラスｊと表記する。「Ｇｊ」の「ｊ」は、クラスｊを示す。「ｘｇ ｊ」の「ｊ」も、クラスｊを示す。
上述したように、ガイド画像集合Ｇｊは、１つ以上のガイド画像ｘｇ ｊの集合である。ガイド画像ｘｇ ｊ∈Ｇｊは、ターゲットクラスに属する顔画像である。ターゲットクラスをクラスｊと表記する。「Ｇｊ」の「ｊ」は、クラスｊを示す。「ｘｇ ｊ」の「ｊ」も、クラスｊを示す。
【0192】
上述したように、画像変換関数集合Ｔは、１つ以上の画像変換関数ｔの集合である。画像変換関数ｔ∈Ｔは、画像を入力として受け付け、変換後の画像を出力する関数である。画像変換関数集合Ｔの要素に、入力された画像をそのまま出力する恒等変換関数が含まれていてもよい。
上述したように、最大摂動サイズδは、敵対的サンプル生成の際に用いられる摂動（敵対的摂動）の最大サイズである。
上述したように、最大摂動サイズδは、敵対的サンプル生成の際に用いられる摂動（敵対的摂動）の最大サイズである。
【0193】
評価用特徴量抽出モデルｆｅは、評価に用いられる特徴量抽出モデルである。特徴量抽出モデルｆと同様、評価用特徴量抽出モデルｆｅは、顔画像を入力として受け付け、入力された顔画像の特徴量を出力する。評価用特徴量抽出モデルｆｅが出力する特徴量は、実数を要素として持つベクトルで示される。
【0194】
評価用撮影画像集合Ｘｅ
ｊは、１つ以上の評価用撮影画像ｘｅ
ｊの集合である。評価用撮影画像ｘｅ
ｊは、評価用の顔画像データ集合である。
評価用撮影画像ｘｅ ｊは、典型的にはターゲットクラスであるクラスｊに属する。「ｘｅ ｊ」の「ｊ」は、ターゲットクラスを示す。
評価用撮影画像ｘｅ ｊは、典型的にはターゲットクラスであるクラスｊに属する。「ｘｅ ｊ」の「ｊ」は、ターゲットクラスを示す。
【0195】
ただし、評価用撮影画像が、ターゲットクラス以外のクラスに属していてもよい。ここで、敵対的サンプルｘａｄｖは、典型的にはターゲットクラスへの誤分類を誘引するが、ターゲットクラス以外のクラスへの誤分類を誘引する可能性もある。評価用撮影画像集合が、ターゲットクラス以外のクラスに属する評価用撮影画像を含むことで、リスク評価装置４００は、ターゲットクラス以外のクラスへの誤分類のリスクを評価し得る。
ターゲットクラス以外のクラスに属する場合も含めて、評価用撮影画像を「ｘｅ ＊」と表記する。ターゲットクラス以外のクラスに属する評価用撮影画像を含む場合も含めて、評価用撮影画像集合を「Ｘｅ ＊」と表記する。
ターゲットクラス以外のクラスに属する場合も含めて、評価用撮影画像を「ｘｅ ＊」と表記する。ターゲットクラス以外のクラスに属する評価用撮影画像を含む場合も含めて、評価用撮影画像集合を「Ｘｅ ＊」と表記する。
【0196】
リスク評価部４１１は、敵対的サンプル生成部１１１が生成する敵対的サンプルｘａｄｖの特徴量と、評価用撮影画像ｘｅ
＊の特徴量との類似度ｒを、評価用特徴量抽出モデルｆｅを用いて計算する。
リスク評価部４１１は、例えば式（１０）に基づいて類似度ｒを計算する。
リスク評価部４１１は、例えば式（１０）に基づいて類似度ｒを計算する。
【0197】
【数10】
【0198】
上述したように、類似度計算関数ＳＩＭとして、コサイン類似度ｃｏｓ（ｆｅ（ｘａｄｖ），ｆｅ（ｘｅ
＊））など、数値が高いほど二つの特徴量の類似度が高いことを表す関数を用いることができる。
評価用撮影画像集合Ｘｅ ＊が複数の評価用撮影画像ｘｅ ＊を含む場合、リスク評価部４１１が、評価用撮影画像集合Ｘｅ ＊に含まれる評価用撮影画像ｘｅ ＊ごとに類似度ｒを計算するようにしてもよい。
評価用撮影画像集合Ｘｅ ＊が複数の評価用撮影画像ｘｅ ＊を含む場合、リスク評価部４１１が、評価用撮影画像集合Ｘｅ ＊に含まれる評価用撮影画像ｘｅ ＊ごとに類似度ｒを計算するようにしてもよい。
【0199】
（動作の説明）
図１２は、リスク評価装置４００が類似度ｒを計算する処理手順の例を示すフローチャートである。
図１２の処理で、敵対的サンプル生成部１１１は、ソース画像ｘｓ ｉと、特徴量抽出モデルｆと、ガイド画像集合Ｇｊと、画像変換関数集合Ｔと、最大摂動サイズδと、評価用特徴量抽出モデルｆｅと、評価用撮影画像集合Ｘｅ ｊとを、リスク評価装置４００の外部からの入力データとして取得する（ステップＳ４０１）。
図１２は、リスク評価装置４００が類似度ｒを計算する処理手順の例を示すフローチャートである。
図１２の処理で、敵対的サンプル生成部１１１は、ソース画像ｘｓ ｉと、特徴量抽出モデルｆと、ガイド画像集合Ｇｊと、画像変換関数集合Ｔと、最大摂動サイズδと、評価用特徴量抽出モデルｆｅと、評価用撮影画像集合Ｘｅ ｊとを、リスク評価装置４００の外部からの入力データとして取得する（ステップＳ４０１）。
【0200】
次に、リスク評価装置４００は、敵対的サンプルｘａｄｖを生成する（ステップＳ４０２）。リスク評価装置４００は、入力データに含まれるソース画像ｘｓ
ｉ、特徴量抽出モデルｆ、ガイド画像集合Ｇｊ、画像変換関数集合Ｔおよび最大摂動サイズδを用いて、敵対的サンプルｘａｄｖを生成する。
ステップＳ４０２で、リスク評価装置４００は、図２のステップＳ１０２およびそれ以降の処理を行って敵対的サンプルｘａｄｖを生成する。
評価用撮影画像集合Ｘｅ ＊が複数の評価用撮影画像ｘｅ ＊を含む場合、リスク評価装置４００は、評価用撮影画像集合Ｘｅ ＊に含まれる評価用撮影画像ｘｅ ＊ごとに、敵対的サンプルｘａｄｖを生成する
ステップＳ４０２で、リスク評価装置４００は、図２のステップＳ１０２およびそれ以降の処理を行って敵対的サンプルｘａｄｖを生成する。
評価用撮影画像集合Ｘｅ ＊が複数の評価用撮影画像ｘｅ ＊を含む場合、リスク評価装置４００は、評価用撮影画像集合Ｘｅ ＊に含まれる評価用撮影画像ｘｅ ＊ごとに、敵対的サンプルｘａｄｖを生成する
【0201】
次に、リスク評価部４１１は、ステップＳ４０２で得られた敵対的サンプルｘａｄｖと、評価用特徴量抽出モデルｆｅと、評価用撮影画像ｘｅ
＊とを用いて類似度ｒを計算する（ステップＳ４０３）。
ステップＳ４０２でリスク評価装置４００が複数の敵対的サンプルｘａｄｖを生成した場合、リスク評価部４１１は、敵対的サンプルｘａｄｖのそれぞれについて類似度ｒを計算する。
ステップＳ４０３の後、リスク評価装置４００は、図１２の処理を終了する。
ステップＳ４０２でリスク評価装置４００が複数の敵対的サンプルｘａｄｖを生成した場合、リスク評価部４１１は、敵対的サンプルｘａｄｖのそれぞれについて類似度ｒを計算する。
ステップＳ４０３の後、リスク評価装置４００は、図１２の処理を終了する。
【0202】
以上のように、リスク評価部４１１は、敵対的サンプル生成部１１１が生成した敵対的サンプルｘａｄｖの特徴量と、ターゲットクラスの顔画像の特徴量との類似度ｒを、敵対的サンプルｘａｄｖによる誤認識のリスクの評価値として計算する。
これにより、リスク評価装置４００は、敵対的サンプルｘａｄｖによる誤認識のリスクの評価値をユーザに提示できる。
これにより、リスク評価装置４００は、敵対的サンプルｘａｄｖによる誤認識のリスクの評価値をユーザに提示できる。
【0203】
あるいは、類似度ｒを、評価用特徴量抽出モデルｆｅを用いる場合の誤認識のリスクの評価値として用いるようにしてもよい。この場合、リスク評価装置４００は、評価用特徴量抽出モデルｆｅを用いる場合の誤認識のリスクの評価値をユーザに提示できる。
【0204】
＜第七の実施形態＞
図１３は、第七の実施形態に係る情報処理装置の構成例を示すブロック図である。図１３に示す構成で、情報処理装置６１０は、ガイドデータ取得部６１１と、敵対的サンプル生成部６１２とを備える。
かかる構成で、ガイドデータ取得部６１１は、１つのターゲットクラスに分類される複数のガイドデータを取得する。敵対的サンプル生成部６１２は、複数のガイドデータを用いて１つの敵対的サンプルを生成する。
図１３は、第七の実施形態に係る情報処理装置の構成例を示すブロック図である。図１３に示す構成で、情報処理装置６１０は、ガイドデータ取得部６１１と、敵対的サンプル生成部６１２とを備える。
かかる構成で、ガイドデータ取得部６１１は、１つのターゲットクラスに分類される複数のガイドデータを取得する。敵対的サンプル生成部６１２は、複数のガイドデータを用いて１つの敵対的サンプルを生成する。
【0205】
これにより、敵対的サンプル生成部６１２は、複数のガイド画像それぞれの特徴量に類似する特徴量を有する敵対的サンプルを生成することができる。この点で、敵対的サンプル生成部６１２は、クラス分類対象から得られる多様なデータと特徴量の類似度が高い敵対的サンプルを生成することができる。
【0206】
このように、情報処理装置６１０によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルを得られる。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
【0207】
【0208】
かかる構成で、敵対的サンプル生成部６２１は、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、敵対的サンプル候補の特徴量とガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する。
【0209】
敵対的サンプル生成部６２１は、ノルムを示す項により、特定の１つのガイド画像だけでなく複数のガイド画像それぞれの特徴量に類似する特徴量を有する敵対的サンプルを生成することができる。この点で、敵対的サンプル生成部６２１は、クラス分類対象から得られる多様なデータと特徴量の類似度が高い敵対的サンプルを生成することができる。
【0210】
このように、情報処理装置６２０によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルを得られる。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
【0211】
＜第九の実施形態＞
図１５は、第九の実施形態に係る情報処理方法における処理の手順の例を示す図である。図１５に示す情報処理方法は、ガイドデータを取得する工程（ステップＳ６１１）と、敵対的サンプルを生成する工程（ステップＳ６１２）とを含む。
ガイドデータを取得する工程（ステップＳ６１１）では、１つのターゲットクラスに分類される複数のガイドデータを取得する。敵対的サンプルを生成する工程（ステップＳ６１２）では、複数のガイドデータを用いて１つの敵対的サンプルを生成する。
図１５は、第九の実施形態に係る情報処理方法における処理の手順の例を示す図である。図１５に示す情報処理方法は、ガイドデータを取得する工程（ステップＳ６１１）と、敵対的サンプルを生成する工程（ステップＳ６１２）とを含む。
ガイドデータを取得する工程（ステップＳ６１１）では、１つのターゲットクラスに分類される複数のガイドデータを取得する。敵対的サンプルを生成する工程（ステップＳ６１２）では、複数のガイドデータを用いて１つの敵対的サンプルを生成する。
【0212】
図１５に示される情報処理方法によれば、複数のガイドデータそれぞれの特徴量に類似する特徴量を有する敵対的サンプルを生成することができる。図１５に示される情報処理方法によれば、この点で、クラス分類対象から得られる多様なデータと特徴量の類似度が高い敵対的サンプルを生成することができる。
【0213】
このように、図１５に示される情報処理方法によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルを得られる。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
【0214】
＜第十の実施形態＞
図１６は、第十の実施形態に係る情報処理方法における処理の手順の例を示す図である。図１６に示す情報処理方法は、敵対的サンプルを生成する工程（ステップＳ６２１）を含む。
敵対的サンプルを生成する工程（ステップＳ６２１）では、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、敵対的サンプル候補の特徴量とガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する。
図１６は、第十の実施形態に係る情報処理方法における処理の手順の例を示す図である。図１６に示す情報処理方法は、敵対的サンプルを生成する工程（ステップＳ６２１）を含む。
敵対的サンプルを生成する工程（ステップＳ６２１）では、敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、敵対的サンプル候補の特徴量とガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する。
【0215】
図１６に示される情報処理方法によれば、ノルムを示す項により、特定の１つのガイドデータだけでなく複数のガイドデータそれぞれの特徴量に類似する特徴量を有する敵対的サンプルを生成することができる。図１６に示される情報処理方法によれば、この点で、クラス分類対象から得られる多様なデータと特徴量の類似度が高い敵対的サンプルを生成することができる。
【0216】
このように、図１６に示される情報処理方法によれば、機械学習によって得られるモデルの判定で、ターゲットクラスの複数のデータに類似すると判定され得る敵対的サンプルを得られる。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
例えば、この敵対的サンプルを教師データとして用いて、この敵対的サンプルに騙されにくいモデルを学習するなどの対策を行い得る。
【0217】
図１７は、少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
図１７に示す構成で、コンピュータ７００は、ＣＰＵ７１０と、主記憶装置７２０と、補助記憶装置７３０と、インタフェース７４０とを備える。
上記の敵対的サンプル生成装置１１０、敵対的サンプル生成装置１２０、敵対的サンプル生成装置１３０、検知モデル学習装置２００、特徴量抽出モデル学習装置３００、リスク評価装置４００、情報処理装置６１０、および、情報処理装置６２０のうち何れか１つ以上が、コンピュータ７００に実装されてもよい。その場合、上述した各処理部の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ７１０は、プログラムに従って、処理に用いられる記憶領域を主記憶装置７２０に確保する。各装置と他の装置との通信は、インタフェース７４０が通信機能を有し、ＣＰＵ７１０の制御に従って通信を行うことで実行される。
図１７に示す構成で、コンピュータ７００は、ＣＰＵ７１０と、主記憶装置７２０と、補助記憶装置７３０と、インタフェース７４０とを備える。
上記の敵対的サンプル生成装置１１０、敵対的サンプル生成装置１２０、敵対的サンプル生成装置１３０、検知モデル学習装置２００、特徴量抽出モデル学習装置３００、リスク評価装置４００、情報処理装置６１０、および、情報処理装置６２０のうち何れか１つ以上が、コンピュータ７００に実装されてもよい。その場合、上述した各処理部の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ７１０は、プログラムに従って、処理に用いられる記憶領域を主記憶装置７２０に確保する。各装置と他の装置との通信は、インタフェース７４０が通信機能を有し、ＣＰＵ７１０の制御に従って通信を行うことで実行される。
【0218】
敵対的サンプル生成装置１１０がコンピュータ７００に実装される場合、敵対的サンプル生成部１１１、ガイド画像取得部１１２、特徴量計算部１１３、および、類似度計算部１１４の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、敵対的サンプル生成装置１１０が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、敵対的サンプル生成装置１１０が用いる記憶領域を主記憶装置７２０に確保する。
【0219】
敵対的サンプル生成装置１１０が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。敵対的サンプル生成装置１１０が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。敵対的サンプル生成装置１１０へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0220】
敵対的サンプル生成装置１２０がコンピュータ７００に実装される場合、敵対的サンプル生成部１２１、特徴量計算部１１３、制約項計算部１２２、および、類似度計算部１１４の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、敵対的サンプル生成装置１２０が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、敵対的サンプル生成装置１２０が用いる記憶領域を主記憶装置７２０に確保する。
【0221】
敵対的サンプル生成装置１２０が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。敵対的サンプル生成装置１２０が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。敵対的サンプル生成装置１２０へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0222】
敵対的サンプル生成装置１３０がコンピュータ７００に実装される場合、敵対的サンプル生成部１３１、ガイド画像取得部１１２、特徴量計算部１１３、制約項計算部１２２、および、類似度計算部１１４の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、敵対的サンプル生成装置１３０が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、敵対的サンプル生成装置１３０が用いる記憶領域を主記憶装置７２０に確保する。
【0223】
敵対的サンプル生成装置１３０が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。敵対的サンプル生成装置１３０が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。敵対的サンプル生成装置１３０へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0224】
検知モデル学習装置２００がコンピュータ７００に実装される場合、敵対的サンプル生成部１１１、ガイド画像取得部１１２、特徴量計算部１１３、類似度計算部１１４、訓練データ集合生成部２１１、および、検知モデル学習部２１２の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、検知モデル学習装置２００が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、検知モデル学習装置２００が用いる記憶領域を主記憶装置７２０に確保する。
【0225】
検知モデル学習装置２００が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。検知モデル学習装置２００が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。検知モデル学習装置２００へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0226】
特徴量抽出モデル学習装置３００がコンピュータ７００に実装される場合、敵対的サンプル生成部１１１、ガイド画像取得部１１２、特徴量計算部１１３、類似度計算部１１４、ミニバッチ生成部３１１、および、特徴量抽出モデル学習部３１２の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、特徴量抽出モデル学習装置３００が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、特徴量抽出モデル学習装置３００が用いる記憶領域を主記憶装置７２０に確保する。
【0227】
特徴量抽出モデル学習装置３００が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。特徴量抽出モデル学習装置３００が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。特徴量抽出モデル学習装置３００へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0228】
リスク評価装置４００がコンピュータ７００に実装される場合、敵対的サンプル生成部１１１、ガイド画像取得部１１２、特徴量計算部１１３、類似度計算部１１４、および、リスク評価部４１１の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、リスク評価装置４００が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、リスク評価装置４００が用いる記憶領域を主記憶装置７２０に確保する。
【0229】
リスク評価装置４００が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。リスク評価装置４００が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。リスク評価装置４００へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0230】
情報処理装置６１０がコンピュータ７００に実装される場合、ガイドデータ取得部６１１、および、敵対的サンプル生成部６１２の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、情報処理装置６１０が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、情報処理装置６１０が用いる記憶領域を主記憶装置７２０に確保する。
【0231】
情報処理装置６１０が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。情報処理装置６１０が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。情報処理装置６１０へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0232】
情報処理装置６２０がコンピュータ７００に実装される場合、敵対的サンプル生成部６２１の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。
また、ＣＰＵ７１０は、プログラムに従って、情報処理装置６２０が用いる記憶領域を主記憶装置７２０に確保する。
また、ＣＰＵ７１０は、プログラムに従って、情報処理装置６２０が用いる記憶領域を主記憶装置７２０に確保する。
【0233】
情報処理装置６２０が行う通信は、インタフェース７４０が通信装置を備え、ＣＰＵ７１０の制御に従って通信を行うことで実行される。情報処理装置６２０が行う画像の表示は、インタフェース７４０が表示装置を備え、ＣＰＵ７１０の制御に従って画像を表示することで実行される。情報処理装置６２０へのユーザ操作の受付は、インタフェース７４０が入力デバイスを備えてユーザ操作を受け付けることで実行される。
【0234】
なお、敵対的サンプル生成装置１１０、敵対的サンプル生成装置１２０、敵対的サンプル生成装置１３０、検知モデル学習装置２００、特徴量抽出モデル学習装置３００、リスク評価装置４００、情報処理装置６１０、および、情報処理装置６２０が行う処理の全部または一部を実行するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Read Only Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。また上記プログラムは、前述した機能の一部を実現するためのものであってもよく、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Read Only Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。また上記プログラムは、前述した機能の一部を実現するためのものであってもよく、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
【0235】
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
また、上記の実施形態の一部又は全部は、以下の付記のようにも記述され得るが、以下に限定されるものではない。
また、上記の実施形態の一部又は全部は、以下の付記のようにも記述され得るが、以下に限定されるものではない。
【0236】
（付記１）
１つのターゲットクラスに分類される複数のガイドデータを取得するガイドデータ取得部と、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成する敵対的サンプル生成部と、
を備える情報処理装置。
１つのターゲットクラスに分類される複数のガイドデータを取得するガイドデータ取得部と、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成する敵対的サンプル生成部と、
を備える情報処理装置。
【0237】
（付記２）
前記ガイドデータ取得部は、前記ターゲットクラスに分類される複数の実データを前記複数のガイドデータとして取得する、
付記１に記載の情報処理装置。
前記ガイドデータ取得部は、前記ターゲットクラスに分類される複数の実データを前記複数のガイドデータとして取得する、
付記１に記載の情報処理装置。
【0238】
（付記３）
前記ガイドデータ取得部は、１つ以上の前記ガイドデータを変換することで、新たなガイドデータを生成する、
付記１または付記２に記載の情報処理装置。
前記ガイドデータ取得部は、１つ以上の前記ガイドデータを変換することで、新たなガイドデータを生成する、
付記１または付記２に記載の情報処理装置。
【0239】
（付記４）
前記敵対的サンプル生成部は、敵対的サンプル候補の特徴量と前記ガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて前記敵対的サンプルを生成する
付記１から３の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部は、敵対的サンプル候補の特徴量と前記ガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて前記敵対的サンプルを生成する
付記１から３の何れか一つに記載の情報処理装置。
【0240】
（付記５）
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、敵対的サンプルを検知する検知モデルの学習を行う検知モデル学習部
をさらに備える、付記１から４の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、敵対的サンプルを検知する検知モデルの学習を行う検知モデル学習部
をさらに備える、付記１から４の何れか一つに記載の情報処理装置。
【0241】
（付記６）
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、データのクラス分類用の特徴量抽出モデルの学習を行う特徴量抽出モデル学習部
をさらに備える、付記１から５の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、データのクラス分類用の特徴量抽出モデルの学習を行う特徴量抽出モデル学習部
をさらに備える、付記１から５の何れか一つに記載の情報処理装置。
【0242】
（付記７）
前記敵対的サンプル生成部が生成した敵対的サンプルの特徴量と、前記ターゲットクラスのデータの特徴量との類似度を、前記敵対的サンプルによる誤認識のリスクの評価値として計算するリスク評価部
をさらに備える、付記１から６の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部が生成した敵対的サンプルの特徴量と、前記ターゲットクラスのデータの特徴量との類似度を、前記敵対的サンプルによる誤認識のリスクの評価値として計算するリスク評価部
をさらに備える、付記１から６の何れか一つに記載の情報処理装置。
【0243】
（付記８）
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する敵対的サンプル生成部
を備える情報処理装置。
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成する敵対的サンプル生成部
を備える情報処理装置。
【0244】
（付記９）
１つのターゲットクラスに分類される複数のガイドデータを取得するガイドデータ取得部をさらに備え、
前記敵対的サンプル生成部は、前記複数のガイドデータを用いて１つの敵対的サンプルを生成する、
付記８に記載の情報処理装置。
１つのターゲットクラスに分類される複数のガイドデータを取得するガイドデータ取得部をさらに備え、
前記敵対的サンプル生成部は、前記複数のガイドデータを用いて１つの敵対的サンプルを生成する、
付記８に記載の情報処理装置。
【0245】
（付記１０）
前記ガイドデータ取得部は、前記ターゲットクラスに分類される複数の実データを前記複数のガイドデータとして取得する、
付記９に記載の情報処理装置。
前記ガイドデータ取得部は、前記ターゲットクラスに分類される複数の実データを前記複数のガイドデータとして取得する、
付記９に記載の情報処理装置。
【0246】
（付記１１）
前記ガイドデータ取得部は、前記ターゲットクラスに分類される実データを変換することで前記ガイドデータを生成する、
付記９または付記１０に記載の情報処理装置。
前記ガイドデータ取得部は、前記ターゲットクラスに分類される実データを変換することで前記ガイドデータを生成する、
付記９または付記１０に記載の情報処理装置。
【0247】
（付記１２）
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、敵対的サンプルを検知する検知モデルの学習を行う検知モデル学習部
をさらに備える、付記８から１１の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、敵対的サンプルを検知する検知モデルの学習を行う検知モデル学習部
をさらに備える、付記８から１１の何れか一つに記載の情報処理装置。
【0248】
（付記１３）
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、データのクラス分類用の特徴量抽出モデルの学習を行う特徴量抽出モデル学習部
をさらに備える、付記８から１２の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部が生成した敵対的サンプルを用いて、データのクラス分類用の特徴量抽出モデルの学習を行う特徴量抽出モデル学習部
をさらに備える、付記８から１２の何れか一つに記載の情報処理装置。
【0249】
（付記１４）
前記敵対的サンプル生成部が生成した敵対的サンプルの特徴量と、前記ターゲットクラスのデータの特徴量との類似度を、前記敵対的サンプルによる誤認識のリスクの評価値として計算するリスク評価部
をさらに備える、付記８から１５の何れか一つに記載の情報処理装置。
前記敵対的サンプル生成部が生成した敵対的サンプルの特徴量と、前記ターゲットクラスのデータの特徴量との類似度を、前記敵対的サンプルによる誤認識のリスクの評価値として計算するリスク評価部
をさらに備える、付記８から１５の何れか一つに記載の情報処理装置。
【0250】
（付記１５）
１つのターゲットクラスに分類される複数のガイドデータを取得することと、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、
を含む情報処理方法。
１つのターゲットクラスに分類される複数のガイドデータを取得することと、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、
を含む情報処理方法。
【0251】
（付記１６）
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成すること
を含む情報処理方法。
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成すること
を含む情報処理方法。
【0252】
（付記１７）
コンピュータに、
１つのターゲットクラスに分類される複数のガイドデータを取得することと、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、
を実行させるためのプログラムを記録する記録媒体。
コンピュータに、
１つのターゲットクラスに分類される複数のガイドデータを取得することと、
前記複数のガイドデータを用いて１つの敵対的サンプルを生成することと、
を実行させるためのプログラムを記録する記録媒体。
【0253】
（付記１８）
コンピュータに、
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成すること
を実行させるためのプログラムを記録する記録媒体。
コンピュータに、
敵対的サンプル候補の特徴量と、ターゲットクラスに分類されるガイドデータの特徴量との類似度を示す項と、前記敵対的サンプル候補の特徴量と前記ガイドデータの特徴量とのノルムを示す項とを含む目的関数を用いて敵対的サンプルを生成すること
を実行させるためのプログラムを記録する記録媒体。
【産業上の利用可能性】
【0254】
本発明の実施形態は、情報処理装置、情報処理方法および記録媒体に適用してもよい。
【符号の説明】
【0255】
１１０、１２０、１３０ 敵対的サンプル生成装置
１１１、１２１、１３１、６１２、６２１ 敵対的サンプル生成部
１１２ ガイド画像取得部
１１３ 特徴量計算部
１１４ 類似度計算部
１２２ 制約項計算部
２００ 検知モデル学習装置
２１１ 訓練データ集合生成部
２１２ 検知モデル学習部
３００ 特徴量抽出モデル学習装置
３１１ ミニバッチ生成部
３１２ 特徴量抽出モデル学習部
４００ リスク評価装置
４１１ リスク評価部
６１０、６２０ 情報処理装置
６１１ ガイドデータ取得部
１１１、１２１、１３１、６１２、６２１ 敵対的サンプル生成部
１１２ ガイド画像取得部
１１３ 特徴量計算部
１１４ 類似度計算部
１２２ 制約項計算部
２００ 検知モデル学習装置
２１１ 訓練データ集合生成部
２１２ 検知モデル学習部
３００ 特徴量抽出モデル学習装置
３１１ ミニバッチ生成部
３１２ 特徴量抽出モデル学習部
４００ リスク評価装置
４１１ リスク評価部
６１０、６２０ 情報処理装置
６１１ ガイドデータ取得部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】