知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-03-04
(45)【発行日】2024-03-12
(54)【発明の名称】機械学習方法、機械学習システム及びプログラム
(51)【国際特許分類】
G06N 20/00 20190101AFI20240305BHJP
G06F 21/62 20130101ALI20240305BHJP
【ＦＩ】
G06N20/00 130
G06F21/62 354
【請求項の数】
9
(21)【出願番号】P 2022522158
(86)(22)【出願日】2020-05-13
(86)【国際出願番号】 JP2020019065
(87)【国際公開番号】W WO2021229706
(87)【国際公開日】2021-11-18
【審査請求日】2022-11-11
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100080816
【弁理士】
【氏名又は名称】加藤 朝道
(74)【代理人】
【識別番号】100098648
【弁理士】
【氏名又は名称】内田 潔人
(72)【発明者】
【氏名】寺西 勇
(72)【発明者】
【氏名】土田 光
【審査官】坂庭 剛史
(56)【参考文献】
【文献】米国特許第１０２２５２７７（ＵＳ，Ｂ１）
【文献】岩澤有祐、松尾 豊，類似度学習を用いた敵対的訓練による特徴表現の検閲，２０１８年度人工知能学会全国大会（第３２回）論文集ＤＶＤ［ＤＶＤ－ＲＯＭ］，日本，一般社団法人 人工知能学会，2018年06月08日，［３Ａ１－０５］，ｐｐ．１－４
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｎ ２０／００
Ｇ０６Ｆ ２１／６２
(57)【特許請求の範囲】
【請求項1】
教師ラベル付きの第１のデータ集合を学習用データとして用いて機械学習を行ってパラメータθを持つ学習モデルｆを作成する学習第１フェーズと、前記第１のデータ集合又は第２のデータ集合のいずれかをランダムに選択し、
前記第１、第２のデータ集合のデータを前記学習モデルｆに入力した結果を、パラメータωを持つ識別器ｈに入力し、
前記識別器ｈに入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果と、正解データと、を用いて機械学習を行って、前記識別器ｈのパラメータωを学習するとともに、
前記第１のデータ集合を選択した場合に、前記学習モデルｆの出力を修正するパラメータτを持つ防御器ｕに対し、前記第１のデータ集合のデータを前記学習モデルｆに入力した結果を入力し、前記防御器ｕを経由した前記識別器ｈの出力を用いて、前記防御器ｕのパラメータτを学習する学習第２フェーズと、を含む、
機械学習方法。
【請求項2】
前記学習第２フェーズにおいて、前記防御器ｕが、前記学習モデルｆに、前記第２のデータ集合を入力したときの出力と、
前記学習モデルｆに、前記第１のデータ集合を入力したときの出力をさらに、前記防御器ｕに入力したときの出力とが区別がつかないように前記防御器ｕのパラメータτを学習する請求項１の機械学習方法。
【請求項3】
前記学習第２フェーズにおいて、さらに、任意のデータ集合のデータを前記学習モデルｆに入力した結果と、前記データ集合のデータとを前記防御器ｕに入力し、前記任意のデータ集合のデータの推論結果をそのまま出力するよう、前記防御器ｕのパラメータτを学習するステップを含む、請求項１又は２の機械学習方法。
【請求項4】
前記ステップで用いるデータ集合として、前記第１のデータ集合のデータを含まないデータの集合を用いる請求項３の機械学習方法。【請求項5】
前記ステップにおいて、前記学習モデルｆに前記第２のデータ集合のデータを入力して得られた出力ｙと、前記防御器ｕに前記出力ｙを入力して得られたｙ’とが同一になるように、前記防御器ｕの前記パラメータτを学習する請求項３又は４の機械学習方法。
【請求項6】
前記防御器ｕは、推論フェーズにおいて、前記学習モデルｆから出力されたデータに所定の防御処理を実施する請求項１から５いずれか一の機械学習方法。【請求項7】
教師ラベル付きの第１のデータ集合を学習用データとして用いて機械学習を行ってパラメータθ１を持つ学習モデルＦを作成する学習第１フェーズと、前記第１のデータ集合又は第２のデータ集合のいずれかをランダムに選択し、
前記第１のデータ集合を選択した場合、パラメータθ２を持つ学習モデルＨに前記第１のデータ集合を入力して得られた結果を、所定の識別器Ｄに入力し、入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果を用いて機械学習を行って、前記識別器Ｄのパラメータ及び前記学習モデルＨのパラメータθ２を学習し、
前記第２のデータ集合を選択した場合、前記パラメータθ１を持つ学習モデルＦに前記第２のデータ集合を入力して得られた結果を、前記所定の識別器Ｄに入力し、入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果を用いて機械学習を行って、前記識別器Ｄのパラメータを学習する学習第２フェーズと、
前記第１のデータ集合又は第２のデータ集合のいずれかをランダムに選択し、
前記第１のデータ集合を選択した場合、前記学習モデルＨに前記第１のデータ集合を入力し、前記第２のデータ集合を選択した場合、前記学習モデルＦに前記第２のデータ集合を入力し、
所定の疑似攻撃器Ｓに、前記学習モデルＨ及び前記学習モデルＦが出力した推論結果と、前記学習モデルＨ及び前記学習モデルＦにそれぞれ入力されたデータとを入力することで、前記出力した前記所定の疑似攻撃器Ｓのパラメータを学習する学習第３フェーズとを含む機械学習方法。
【請求項8】
教師ラベル付きの第１のデータ集合を学習用データとして用いて機械学習を行ってパラメータθを持つ学習モデルｆを作成する学習第１フェーズと、前記第１のデータ集合又は第２のデータ集合のいずれかをランダムに選択し、
前記第１、第２のデータ集合のデータを前記学習モデルｆに入力した結果を、パラメータωを持つ識別器ｈに入力し、
前記識別器ｈに入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果と、正解データと、を用いて機械学習を行って、前記識別器ｈのパラメータωを学習するとともに、
前記第１のデータ集合を選択した場合に、前記学習モデルｆの出力を修正するパラメータτを持つ防御器ｕに対し、前記第１のデータ集合のデータを前記学習モデルｆに入力した結果を入力し、前記防御器ｕを経由した前記識別器ｈの出力を用いて、前記防御器ｕのパラメータτを学習する学習第２フェーズと、を実行可能な制御部を備える、
機械学習システム。
【請求項9】
コンピュータに、教師ラベル付きの第１のデータ集合を学習用データとして用いて機械学習を行ってパラメータθを持つ学習モデルｆを作成する学習第１フェーズと、
前記第１のデータ集合又は第２のデータ集合のいずれかをランダムに選択し、
前記第１、第２のデータ集合のデータを前記学習モデルｆに入力した結果を、パラメータωを持つ識別器ｈに入力し、
前記識別器ｈに入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果と、正解データと、を用いて機械学習を行って、前記識別器ｈのパラメータωを学習するとともに、
前記第１のデータ集合を選択した場合に、前記学習モデルｆの出力を修正するパラメータτを持つ防御器ｕに対し、前記第１のデータ集合のデータを前記学習モデルｆに入力した結果を入力し、前記防御器ｕを経由した前記識別器ｈの出力を用いて、前記防御器ｕのパラメータτを学習する学習第２フェーズと、を実行させる、
プログラムを記録したプログラム記録媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、機械学習方法、機械学習システム及びプログラムに関する。
【背景技術】
【0002】
機械学習の学習済みパラメータから学習に用いた秘密情報（例：顧客情報、企業秘密など）を漏洩させるＭｅｍｂｅｒｓｈｉｐ Ｉｎｆｅｒｅｎｃｅ攻撃（ＭＩ攻撃）が知られている（非特許文献１、２参照）。例えば、非特許文献１には、推論アルゴリズムへのアクセスが可能であるとの条件下で、ＭＩ攻撃の方法が開示されている。ＭＩ攻撃は、機械学習の「過学習」という現象を利用して実行する。過学習とは学習に用いたデータに対して機械学習が過剰に適合してしまう現象の事で、これが原因となり推論アルゴリズムの入力に学習に用いたデータを入力した場合とそうでないデータを入力した場合の出力の傾向が異なってしまう。ＭＩ攻撃の攻撃者はこの傾向の違いを悪用する事で、手元にあるデータが学習に用いられたものなのかそうでないのかを判別する。
【0003】
非特許文献３は、ＭＩ攻撃に耐性のある学習アルゴリズムを提案する文献である。具体的には、非特許文献３では、任意の既知の機械学習の推論アルゴリズムｆと、ｆに入力されたデータがｆの学習に用いられたデータか否かを識別する識別器ｈを用いて、それぞれのパラメータを敵対的に学習させ、推論アルゴリズムｆの推論精度と、ＭＩ攻撃に対する耐性を引き上げる方法が採用されている。
【0004】
非特許文献４には、攻撃対象の推論アルゴリズムの学習済みパラメータが知られていないとの条件下でのブラックボックス攻撃に対する対策として、攻撃者の分類器を誤解させる処理を行う、ＭｅｍＧｕａｒｄという方法が開示されている。
【0005】
特許文献１には、敵対的ネットワークを用いて学習用データに類似するデータを生成する生成モデル学習方法において、ユーザにとって好ましくないデータの生成を抑制することができるという方法が開示されている。
【先行技術文献】
【特許文献】
【0006】
【文献】特開２０１８－６３５０４号公報
【非特許文献】
【0007】
【文献】Reza Shokri, Marco Stronati, Congzheng Song, Vitaly Shmatikov: “Membership Inference Attacks Against Machine Learning Models” 、 IEEE Symposium on Security and Privacy 2017: 3-18、［online］、［令和2年4月9日検索］、インターネット〈URL：https://arxiv.org/pdf/1610.05820.pdf〉
【文献】Ahmed Salem, Yang Zhang, Mathias Humbert, Pascal Berrang, Mario Fritz, Michael Backes: “ML-Leaks: Model and Data IndependentMembership Inference Attacks and Defenses onMachine Learning Models” 、［online］、［令和2年4月9日検索］、インターネット〈URL：https://arxiv.org/abs/1806.01246〉
【文献】Milad Nasr, Reza Shokri, Amir Houmansadr、“Machine Learning with Membership Privacy using Adversarial Regularization”、［online］、［令和2年4月9日検索］、インターネット〈URL：https://arxiv.org/pdf/1807.05852.pdf〉
【文献】Jinyuan Jia, Ahmed Salem, Michael Backes, Yang Zhang, Neil Zhenqiang Gong、“MemGuard：Defending against Black-Box Membership Inference Attacks via Adversarial Examples”、［online］、［令和2年4月9日検索］、インターネット〈URL：https://arxiv.org/pdf/1909.10594.pdf〉
【発明の概要】
【発明が解決しようとする課題】
【0008】
以下の分析は、本発明者によって与えられたものである。ＭＩ攻撃に対する対策として、非特許文献３の方法における推論アルゴリズムのパラメータθの更新方法は次式［数１］のｍｉｎ－ｍａｘ問題として把握される（非特許文献３の５ページ、数（７）参照）。
【数1】
【0009】
ここで、［数１］のｏｐｔｉｍａｌ Ｉｎｆｅｒｅｎｃｅ項は、推論アルゴリズムｆが与えられた上での識別器ｈの性能（ゲインＧ）を最大化することを表している。また、［数１］のカッコ内ＬＤ（ｆ）は、推論アルゴリズムｆにデータ集合に属する任意のデータを損失関数に入力して得られるＥｍｐｉｔｉｃａｌ Ｌｏｓｓを表している。［数１］の全体のｏｐｔｉｍａｌ ｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇ ｃｌａｓｓｆｉｃａｔｉｏｎは、所要のゲインＧを持つ識別器ｈが与えられた上での推論アルゴリズムｆの最適パラメータを探索することを表している。換言すると、［数１］は、推論アルゴリズムｆの精度と攻撃耐性がトレードオフの関係にあることを示しており、λは、そのトレードオフの度合いを決めるパラメータと位置付けられる。
【0010】
従って、非特許文献３の方式では、［数１］のパラメータλを大きくし、識別器ｈの性能（ゲインＧ）を重視しようとすると、推論アルゴリズムｆの精度をある程度犠牲にしなければならなくなってしまっている。
【0011】
また、非特許文献４の方式は、推論結果にノイズを載せることで防御しているため、防御性能に関係なく、推論結果にノイズの影響が及んでしまうという問題点がある。
【0012】
本発明は、上記したＭＩ攻撃に対する防御性能と推論アルゴリズムの精度とをそれぞれ所要のレベルに向上させることに貢献できる機械学習方法、機械学習システム及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【0013】
第１の視点によれば、教師ラベル付きの第１のデータ集合を学習用データとして用いて機械学習を行ってパラメータθを持つ学習モデルｆを作成する学習第１フェーズと、前記第１のデータ集合又は第２の集合のいずれかをランダムに選択し、前記第１、第２のデータ集合のデータを前記学習モデルｆに入力した結果を、パラメータωを持つ識別器ｈに入力し、前記識別器ｈに入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果と、正解データと、を用いて機械学習を行って、前記識別器ｈのパラメータωを学習するとともに、前記第１のデータ集合を選択した場合に、前記学習モデルｆの出力を修正するパラメータτを持つ防御器ｕに対し、前記第１のデータ集合のデータを前記学習モデルｆに入力した結果を入力し、前記防御器ｕを経由した前記識別器ｈの出力を用いて、前記防御器ｕのパラメータτを学習する学習第２フェーズと、を含む、機械学習方法が提供される。上記した方法は、訓練データを入力として学習モデルｆを更新するコンピュータという、特定の機械に結びつけられている。
【0014】
第２の視点によれば、教師ラベル付きの第１のデータ集合を学習用データとして用いて機械学習を行ってパラメータθを持つ学習モデルｆを作成する学習第１フェーズと、前記第１のデータ集合又は第２の集合のいずれかをランダムに選択し、前記第１、第２のデータ集合のデータを前記学習モデルｆに入力した結果を、パラメータωを持つ識別器ｈに入力し、前記識別器ｈに入力データが第１、第２のデータ集合のいずれかに属するかを識別させた結果と、正解データと、を用いて機械学習を行って、前記識別器ｈのパラメータωを学習するとともに、前記第１のデータ集合を選択した場合に、前記学習モデルｆの出力を修正するパラメータτを持つ防御器ｕに対し、前記第１のデータ集合のデータを前記学習モデルｆに入力した結果を入力し、前記防御器ｕを経由した前記識別器ｈの出力を用いて、前記防御器ｕのパラメータτを学習する学習第２フェーズと、を実行可能な制御部を備える、機械学習システムが提供される。
【0015】
第３の視点によれば、上記したコンピュータの機能を実現するためのコンピュータプログラムが提供される。プログラムは、コンピュータ装置に入力装置又は外部から通信インターフェースを介して入力され、記憶装置に記憶されて、プロセッサを所定のステップないし処理に従って駆動させ、必要に応じ中間状態を含めその処理結果を段階毎に表示装置を介して表示することができ、あるいは通信インターフェースを介して、外部と交信することができる。そのためのコンピュータ装置は、一例として、典型的には互いにバスによって接続可能なプロセッサ、記憶装置、入力装置、通信インターフェース、及び必要に応じ表示装置を備える。また、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。
【発明の効果】
【0016】
本発明によれば、上記したＭＩ攻撃に対する防御性能と推論アルゴリズムの精度とをそれぞれ所要のレベルに向上させた機械学習を実行することに貢献することが可能となる。
【図面の簡単な説明】
【0017】
【図1】本発明の第１の実施形態の機械学習方法の流れを表したフローチャートである。
【図2】本発明の第１の実施形態の推論フェーズの詳細を説明するための図である。
【図3】本発明の第１の実施形態の学習各フェーズの詳細を説明するための図である。
【図4】本発明の第２の実施形態の機械学習方法の流れを表したフローチャートである。
【図5】本発明の第２の実施形態の学習第２フェーズのステップＳＴ１の詳細を説明するための図である。
【図6】本発明の第２の実施形態の学習第２フェーズのステップＳＴ２の詳細を説明するための図である。
【図7】本発明の第３の実施形態の推論フェーズの詳細を説明するための図である。
【図8】本発明の第３の実施形態の機械学習方法の流れを表したフローチャートである。
【図9】本発明の第３の実施形態の学習第１フェーズ及び学習第２フェーズの詳細を説明するための図である。
【図10】本発明の第３の実施形態の学習第３フェーズの詳細を説明するための図である。
【図11】本発明の機械学習システムを構成するコンピュータの構成を示す図である。
【発明を実施するための形態】
【0018】
［第１の実施形態］
はじめに本発明の第１の実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。プログラムはコンピュータ装置を介して実行され、コンピュータ装置は、例えば、プロセッサ、記憶装置、入力装置、通信インターフェース、及び必要に応じ表示装置を備える。また、このコンピュータ装置は、通信インターフェースを介して装置内又は外部の機器（コンピュータを含む）と、有線、無線を問わず、通信可能に構成される。また、図中の各ブロックの入出力の接続点には、ポート乃至インターフェースがあるが図示省略する。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ又はＢ、又はＡ及びＢという意味で用いる。
はじめに本発明の第１の実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。プログラムはコンピュータ装置を介して実行され、コンピュータ装置は、例えば、プロセッサ、記憶装置、入力装置、通信インターフェース、及び必要に応じ表示装置を備える。また、このコンピュータ装置は、通信インターフェースを介して装置内又は外部の機器（コンピュータを含む）と、有線、無線を問わず、通信可能に構成される。また、図中の各ブロックの入出力の接続点には、ポート乃至インターフェースがあるが図示省略する。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ又はＢ、又はＡ及びＢという意味で用いる。
【0019】
図１は、第１の実施形態の機械学習方法の流れを表したフローチャートである。図１に示すように、第１の実施形態の機械学習方法は、学習第１フェーズと、学習第２フェーズと、それぞれ実行して、学習モデルｆ（以下、「推論ｆ」と記す）のパラメータと、防御器ｕ、識別器ｈのパラメータと、を学習する機械学習方法として構成される。これらのフェーズは畳み込みニューラルネットワーク（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ、以下「ＣＮＮ」）などを用いて構成することが可能であり、各パラメータは、ＣＮＮを構成する畳み込み層や全結合層で用いられる重みやバイアス値に相当する。
【0020】
図２は、推論ｆと、防御器ｕとを用いた推論フェーズを表した図である。推論ｆは、推論の対象データが入力されると、対象データに関する推論結果を出力する。防御器ｕは、推論ｆの出力に対し、推論ｆの学習に用いた学習用データに対する推論ｆの推論結果と、学習に用いていないデータに対する推論ｆの推論結果と、の区別がつかないように推論ｆの出力を修正する。これにより、推論ｆに任意のデータを入力し、その結果により推論ｆのパラメータを推測する形態の攻撃を行う攻撃者にとって、任意データから学習用データに関する有意な情報を取り出すことは困難となる。最終的には、攻撃者による推論ｆのパラメータの推測を困難化させることができる。
【0021】
図３を参照して、本実施形態の機械学習システム１０による、上記のような性質を持つ推論ｆ、防御器ｕ、識別器ｈのパラメータを学習する方法について詳細に説明する。
【0022】
［学習第１フェーズ］
学習第１フェーズでは、任意のデータに対し、教師ラベル（以下、単に「ラベル」とも記す。）を付して事前に作成した学習用データＳ１を用いて、推論ｆのパラメータθの機械学習を行う（パラメータ学習部１０１参照）。ここでの推論ｆのパラメータθの学習では、ＭＩ攻撃に対する防御性能は考慮しなくてよいため、学習用データＳ１を用いた精度を追求することができる。
学習第１フェーズでは、任意のデータに対し、教師ラベル（以下、単に「ラベル」とも記す。）を付して事前に作成した学習用データＳ１を用いて、推論ｆのパラメータθの機械学習を行う（パラメータ学習部１０１参照）。ここでの推論ｆのパラメータθの学習では、ＭＩ攻撃に対する防御性能は考慮しなくてよいため、学習用データＳ１を用いた精度を追求することができる。
【0023】
［学習第２フェーズ］
学習第２フェーズでは、データ選択部２０１にて、学習用データＳ１と、学習用データＳ１とは異なる学習用データＳ０とのいずれかから学習用データのランダムな選択を行う。学習用データＳ１は、ＭＩ攻撃におけるｍｅｍｂｅｒｓと呼ばれているデータ、学習用データＳ０は、ｎｏｎ－ｍｅｍｂｅｒｓと呼ばれているデータに相当する。
学習第２フェーズでは、データ選択部２０１にて、学習用データＳ１と、学習用データＳ１とは異なる学習用データＳ０とのいずれかから学習用データのランダムな選択を行う。学習用データＳ１は、ＭＩ攻撃におけるｍｅｍｂｅｒｓと呼ばれているデータ、学習用データＳ０は、ｎｏｎ－ｍｅｍｂｅｒｓと呼ばれているデータに相当する。
【0024】
学習用データＳ１を選択した場合、データ選択部２０１は、推論ｆ ２０２ａに学習用データＳ１を入力し、推論ｆ ２０２ａの出力に防御器ｕ更新部２０３を経由させる。
【0025】
一方、学習用データＳ０を選択した場合、データ選択部２０１は、推論ｆ ２０２ｂに学習用データＳ０を入力し、推論ｆ ２０２ｂの出力をそのまま識別器ｈ更新部２０４に出力させる。
【0026】
また、学習用データＳ１、Ｓ０のいずれかを選択したかに拘わらず、データ選択部２０１は、選択したデータ及びラベルを、防御器ｕ更新部２０３と識別器ｈ更新部２０４にそれぞれ入力する。
【0027】
推論ｆ ２０２ａ、２０２ｂは、学習用データが入力されると、それぞれ推論結果を出力する。なお、推論ｆ ２０２ａ、２０２ｂには、それぞれ学習第１フェーズで学習した同一のパラメータθが設定されている。図３の上では、説明を簡単にするため、推論ｆ ２０２ａと推論ｆ ２０２ｂとをそれぞれ独立した処理ブロックとして記載しているが、両者を共通の処理ブロックとして構成することもできる。
【0028】
防御器ｕ更新部２０３は、識別器ｈ更新部２０４に保持されている識別器ｈが学習用データＳ１、Ｓ０のいずれかを区別できないように推論ｆ ２０２ａから推論結果を修正する防御器ｕを保持し、修正後の推論結果を識別器ｈ更新部２０４に出力する。例えば、学習用データＳ１に属するあるデータに対して、推論ｆ ２０２ａは、極めて高い推論結果を出力することがある。その場合、防御器ｕは、その出力が、学習用データＳ１に属するあるデータであるか、学習用データＳ０であるかの区別が付かないように、推論ｆ ２０２ａの出力を修正することになる。また、防御器ｕ更新部２０３は、識別器ｈ更新部２０４における識別結果及びデータ選択部２０１から受け取った正解データ（データ、ラベル）を用いて、防御器ｕのパラメータを更新する。
【0029】
識別器ｈ更新部２０４は、防御器ｕ経由の推論ｆ ２０２ａの出力、推論ｆ ２０２ｂのいずれかの推論結果が入力されると、受け取った推論結果が、学習用データＳ１、Ｓ０のいずれの推論結果であるかを識別し、その結果を、防御器ｕ更新部２０３に出力する。さらに、識別器ｈ更新部２０４は、受け取った推論結果に対する自身の識別結果と、データ選択部２０１から受け取った正解データ（データ、ラベル）を用いて、識別器ｈのパラメータを更新する。
【0030】
従って、防御器ｕ更新部２０３と識別器ｈ更新部２０４とは、いわゆる敵対的学習を行って、防御器ｕ及び識別器ｈのそれぞれのパラメータを更新し、性能を向上させていく。これにより、防御器ｕ経由の推論ｆ ２０２ａの出力と、防御器を経由しない推論ｆ ２０２ｂの出力との区別を困難とするような高い防御性能を持つ防御器ｕが得られる。
【0031】
［推論］
図２に示すように、上記学習第１フェーズで得られた推論ｆに、実データ（対象データ）を入力した後、その出力を、学習第２フェーズで得られた防御器ｕに入力することで、推論結果が得られる。上述したように、推論ｆには、学習用データＳ１を用いて安全性（ＭＩ攻撃に対する防御性能）を考慮せずに精度のよいパラメータθが設定されている。そして、防御器ｕには、推論ｆに学習用データＳ１が入力されたときにその安全性（ＭＩ攻撃に対する防御性能）を確保できるようなパラメータが設定されている。従って、本実施形態によれば、精度と、安全性（ＭＩ攻撃に対する防御性能）とがそれぞれ向上された推論システムを構築することができる。
図２に示すように、上記学習第１フェーズで得られた推論ｆに、実データ（対象データ）を入力した後、その出力を、学習第２フェーズで得られた防御器ｕに入力することで、推論結果が得られる。上述したように、推論ｆには、学習用データＳ１を用いて安全性（ＭＩ攻撃に対する防御性能）を考慮せずに精度のよいパラメータθが設定されている。そして、防御器ｕには、推論ｆに学習用データＳ１が入力されたときにその安全性（ＭＩ攻撃に対する防御性能）を確保できるようなパラメータが設定されている。従って、本実施形態によれば、精度と、安全性（ＭＩ攻撃に対する防御性能）とがそれぞれ向上された推論システムを構築することができる。
【0032】
［第２の実施形態］
続いて、上記した第１の実施形態の学習第２フェーズに防御器ｕの性能を引き上げるステップを追加した第２の実施形態について説明する。図４は、本発明の第２の実施形態の機械学習方法の流れを表したフローチャートである。図１に示した第１の実施形態との相違点は、学習第２フェーズに、ステップＳＴ２（Ｓ１０３）が追加されている点である。その他の構成は第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
続いて、上記した第１の実施形態の学習第２フェーズに防御器ｕの性能を引き上げるステップを追加した第２の実施形態について説明する。図４は、本発明の第２の実施形態の機械学習方法の流れを表したフローチャートである。図１に示した第１の実施形態との相違点は、学習第２フェーズに、ステップＳＴ２（Ｓ１０３）が追加されている点である。その他の構成は第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
【0033】
［学習第２フェーズ］
図５は、本実施形態の機械学習システム１０ａによる、第２の実施形態の学習第２フェーズのステップＳＴ１の詳細を説明するための図である。第２の実施形態の学習第２フェーズのステップＳＴ１は、第１の実施形態の学習第２フェーズと同様であるが、アルゴリズム等を含めてより詳細に説明する。
図５は、本実施形態の機械学習システム１０ａによる、第２の実施形態の学習第２フェーズのステップＳＴ１の詳細を説明するための図である。第２の実施形態の学習第２フェーズのステップＳＴ１は、第１の実施形態の学習第２フェーズと同様であるが、アルゴリズム等を含めてより詳細に説明する。
【0034】
［学習第２フェーズのステップＳＴ１］
制御部１００は、図５に表された各処理を順次実行する。まず、制御部１００は、それぞれラベル付きの学習用データＳ１及び学習用データＳ０のうちいずれかをランダムに選択する。ここで、学習用データＳ１は、学習第１フェーズで推論ｆの学習に用いたデータであり、学習用データＳ０は、学習第１フェーズで推論ｆの学習に用いていないデータである。
制御部１００は、図５に表された各処理を順次実行する。まず、制御部１００は、それぞれラベル付きの学習用データＳ１及び学習用データＳ０のうちいずれかをランダムに選択する。ここで、学習用データＳ１は、学習第１フェーズで推論ｆの学習に用いたデータであり、学習用データＳ０は、学習第１フェーズで推論ｆの学習に用いていないデータである。
【0035】
学習用データＳ１を選択した場合、制御部１００は、図５の手順１を実行する。具体的には、制御部１００は、ラベルとデータを取り出し、データを推論ｆθと、防御器ｕτと、に入力する。以下、パラメータθを持つ推論を推論ｆθ、パラメータτを持つ防御器を防御器ｕτ、パラメータωを持つ識別器を識別器ｈω、と表す。
【0036】
推論ｆθは、入力された学習用データＳ１に対する推論結果を計算する。推論ｆθにおける推論結果は、防御器ｕτに入力される。
【0037】
防御器ｕτは、推論ｆθにおける推論結果に対して、学習用データＳ０を推論ｆθに入力したときの推論結果と区別が付かないように、推論結果を修正する防御処理を行う。
【0038】
一方、学習用データＳ０を選択した場合、制御部１００は、図５の手順０を実行する。具体的には、制御部１００は、ラベルとデータを取り出し、データを推論ｆθに入力する。
【0039】
推論ｆθは、入力された学習用データＳ０に対する推論結果を計算する。
【0040】
上記手順１、０のいずれかを実行すると、ラベル、データに加えて、防御器ｕτ経由の学習用データＳ１の推論結果又は学習用データＳ０の推論結果が得られる。制御部１００は、識別器ｈωに、これら３つのデータを入力し、推論の対象となったデータが、推論ｆθの学習に用いられた学習用データＳ１か、そうでない学習用データＳ０かの識別を行わせる。
【0041】
制御部１００は、この識別結果と、正解データ（データ及びラベル）を用いて、識別器ｈωのパラメータωを更新する。さらに、制御部１００は、識別器ｈωの識別結果と、正解データ（データ及びラベル）を用いて、防御器ｕτのパラメータτを更新する。
【0042】
制御部１００は、以上の処理を所定回数繰り返すことで、識別器ｈωのパラメータωと、防御器ｕτのパラメータτとをそれぞれ更新する。この処理は、以下のアルゴリズムで実現することができる。
【0043】
（１）それぞれ所定数の学習用データＳ１と学習用データＳ０とを入力として受け取る。
（２）以下（１０）、（２０）をｌ１回繰り返す。ここで、ｌ１、ｋｈ、ｍｈ、ｋｕ、ｍｕは事前に定められた定数である。
（１０）以下（１１）～（１３）をｋｈ回繰り返す。
（１１）学習用データＳ０から、ｍｈ個のデータとそのラベルの組（ｘ１，ｙ１），・・・，（ｘｍｈ，ｙｍｈ）をランダムに選ぶ。
（１２）学習用データＳ１から、ｍｈ個のデータとそのラベルの組（ｘ’１，ｙ’１），・・・，（ｘ’ｍｈ，ｙ’ｍｈ）をランダムに選ぶ。
（１３）次式［数２］が大きくなる方向にωを更新する。なお、以下、［数２］、［数３］の∇は、ナブラ（＝成分毎の微分）を表す。
（２０）以下（２１）～（２２）をｋｕ回繰り返す。
（２１）学習用データＳ１から、ｍｕ個のデータとそのラベルの組（ｘ’１，ｙ’１），・・・，（ｘ’ｍｕ，ｙ’ｍｕ）をランダムに選ぶ。
（２２）次式［数３］が小さくなる方向にτを更新する。
（３）ｌ１回、上記（１０）、（２０）を実行して得られたω、τを出力する。
（２）以下（１０）、（２０）をｌ１回繰り返す。ここで、ｌ１、ｋｈ、ｍｈ、ｋｕ、ｍｕは事前に定められた定数である。
（１０）以下（１１）～（１３）をｋｈ回繰り返す。
（１１）学習用データＳ０から、ｍｈ個のデータとそのラベルの組（ｘ１，ｙ１），・・・，（ｘｍｈ，ｙｍｈ）をランダムに選ぶ。
（１２）学習用データＳ１から、ｍｈ個のデータとそのラベルの組（ｘ’１，ｙ’１），・・・，（ｘ’ｍｈ，ｙ’ｍｈ）をランダムに選ぶ。
（１３）次式［数２］が大きくなる方向にωを更新する。なお、以下、［数２］、［数３］の∇は、ナブラ（＝成分毎の微分）を表す。
【数2】
（２１）学習用データＳ１から、ｍｕ個のデータとそのラベルの組（ｘ’１，ｙ’１），・・・，（ｘ’ｍｕ，ｙ’ｍｕ）をランダムに選ぶ。
（２２）次式［数３］が小さくなる方向にτを更新する。
【数3】
【0044】
以上の学習第２フェーズのステップＳＴ１により、識別器ｈωのパラメータωと、防御器ｕτのパラメータτとがそれぞれ更新される。
【0045】
［学習第２フェーズのステップＳＴ２］
図６は、本発明の第２の実施形態の学習第２フェーズのステップＳＴ２の詳細を説明するための図である。第２の実施形態では、上記のようにパラメータτを持つ防御器ｕτに対し、以下の機械学習を追加で行う。
図６は、本発明の第２の実施形態の学習第２フェーズのステップＳＴ２の詳細を説明するための図である。第２の実施形態では、上記のようにパラメータτを持つ防御器ｕτに対し、以下の機械学習を追加で行う。
【0046】
図６に示すように、まず、学習用データＳ２を用意する。この学習用データＳ２は、学習用データＳ１と異なるデータであればよい。例えば、学習第２フェーズのステップＳＴ１で用いた学習用データＳ０であってもよい。また、学習用データＳ２はラベルがなくてもよい。
【0047】
制御部１００は、このような学習用データＳ２を、学習第１フェーズで更新したパラメータθを持つ推論ｆθに入力し、その結果を取得する。
【0048】
そして、制御部１００は、前述の防御器ｕτに、推論ｆθの出力と、学習用データＳ２とを入力し、学習用データＳ２が推論ｆθに入力されているときに、推論ｆθの出力をそのまま出力するように、防御器ｕτのパラメータτをさらに更新する。この処理は、以下のアルゴリズムで実現することができる。
【0049】
（４）それぞれ所定数の学習用データＳ２（ラベルは不要）を入力として受け取る。
（５）以下、（３０）をｌ２回繰り返す。ここで、ｌ２、ｍは事前に定められた定数である。また、Ｌは事前に定められた損失関数を示す。
（３０）以下（３１）～（３２）をｌ２回繰り返す。
（３１）学習用データＳ２から、ｍ個のデータｘ１，・・・，ｘｍをランダムに選ぶ。
（３２）次式［数４］が小さくなる方向にτを更新する。なお、以下、［数４］の∇は、ナブラ（＝成分毎の微分）を表す。
（６）ｌ２回、上記（３０）を実行して得られたτを出力する。
（５）以下、（３０）をｌ２回繰り返す。ここで、ｌ２、ｍは事前に定められた定数である。また、Ｌは事前に定められた損失関数を示す。
（３０）以下（３１）～（３２）をｌ２回繰り返す。
（３１）学習用データＳ２から、ｍ個のデータｘ１，・・・，ｘｍをランダムに選ぶ。
（３２）次式［数４］が小さくなる方向にτを更新する。なお、以下、［数４］の∇は、ナブラ（＝成分毎の微分）を表す。
【数4】
【0050】
以上の学習第２フェーズのステップＳＴ２により、防御器ｕτのパラメータτがさらに更新される。
【0051】
上記の結果、以下の（ａ）～（ｃ）の推論結果の区別が困難化される。
（ａ）学習に用いた学習用データＳ１を、防御器ｕτ付きの推論ｕτｆθに入れたときの出力
（ｂ）学習に用いていないデータＳ０を、防御器ｕτなしの推論ｆθに入れたときの出力
（ｃ）学習に用いていないデータＳ０を、防御器ｕτ付きの推論ｕτｆθに入れたときの出力
（ａ）学習に用いた学習用データＳ１を、防御器ｕτ付きの推論ｕτｆθに入れたときの出力
（ｂ）学習に用いていないデータＳ０を、防御器ｕτなしの推論ｆθに入れたときの出力
（ｃ）学習に用いていないデータＳ０を、防御器ｕτ付きの推論ｕτｆθに入れたときの出力
【0052】
第１の実施形態では、上記（ａ）と（ｂ）の区別の困難化を行った。第２の実施形態では、上記学習第２フェーズのステップＳＴ２を追加することにより、上記（ｂ）と（ｃ）の区別を困難化するように、防御器ｕτのパラメータτを最適化している。結果として、図２に示す防御器ｕτ付きの推論ｕτｆθの出力から、その推論結果の元となった入力が学習に用いられたデータであるか否かを見分けることができなくなる。
【0053】
さらに、本実施形態では、上記学習第１、第２フェーズで説明したとおり、推論ｆθは、学習用データＳ１を用いて所要の精度が得られるまで最適化され、その推論ｆθをそのまま防御器ｕτの機械学習に用いる構成を採用している。従って、防御器ｕτ付きの推論ｕτｆθの推論精度は、学習に用いていないデータに対する防御器なし推論ｆθの推論精度とほぼ同等とみなすことができる。このように、本実施形態では、防御器なしの構成における推論精度と同程度の推論精度の確保に成功している。この点が、背景技術で説明した、推論精度と安全性とがトレードオフの関係にある非特許文献３の方式に対する、本実施形態のアドバンテージとなる。
【0054】
また、非特許文献４との対比においても、本実施形態は、学習データを入力しない限りは、防御器ｕτ付きの推論ｕτｆθの出力は、防御器なしの推論ｆθと同じになるようにパラメータτが更新されているため、推論結果にノイズの影響が及んでしまうこともない。また、非特許文献４の方式は、ノイズを載せるものの、極端に高いスコアは、高いスコアとして出力されるため、非特許文献２の攻撃に脆弱である。これに対し、本実施形態は、上記したとおり、推論結果が極端に高いスコアであってもそれが、学習に使われたデータから得られたものであるのか、学習に使われていないデータから得られたものであるのか区別できない。このため、本実施形態は、非特許文献２の攻撃に対しても安全性が確保されている。
【0055】
［第３の実施形態］
続いて、上記第１、第２の実施形態とは異なるアプローチで、第１、第２の実施形態と同等の推論システムが得られるようにした第３の実施形態について説明する。
続いて、上記第１、第２の実施形態とは異なるアプローチで、第１、第２の実施形態と同等の推論システムが得られるようにした第３の実施形態について説明する。
【0056】
図７は、入力データに応じて、２つの異なる推論Ｆ，Ｈを選択して推論結果を出力する疑似攻撃器Ｓを用いた推論システムの構成が示されている。図７の疑似攻撃器Ｓは、入力データがＮｏＭ、即ち、推論Ｆの学習に用いられていないデータであると判定した場合、推論Ｆによる入力データの推論結果を出力する。一方、入力データがＭｅＭ、即ち、推論Ｆの学習に用いられたデータであると判定した場合、推論Ｈによる入力データの推論結果を出力する。本実施形態の機械学習方法は、このような構成にて推論精度と安全性を両立できる推論Ｆ及び推論Ｈを作成する。以下、その方法について詳細に説明する。
【0057】
図８は、第３の実施形態の機械学習方法の流れを表したフローチャートである。第３の実施形態の機械学習方法は、学習第１フェーズと、学習第２フェーズと、学習第３フェーズと、それぞれ実行して、推論Ｆのパラメータと、推論Ｈと識別器Ｄ、疑似攻撃器Ｓのパラメータと、を学習する機械学習方法として構成される。
【0058】
［学習第１フェーズ］
図９は、本実施形態の機械学習システム１０ｂによる、第３の実施形態の学習第１フェーズ及び学習第２フェーズの詳細を説明するための図である。学習第１フェーズでは、任意のデータに対し、教師ラベルを付して事前に作成した学習用データＳ１（Ｍｅｍ）を用いて、推論Ｆのパラメータθ１の機械学習を行う（パラメータ学習部３０１参照）。ここでの推論Ｆのパラメータθ１の学習では、ＭＩ攻撃に対する防御性能は考慮しなくてよいため、学習用データＳ１（Ｍｅｍ）を用いた精度を追求することができる。この点は、第１、第２の実施形態と同様である。
図９は、本実施形態の機械学習システム１０ｂによる、第３の実施形態の学習第１フェーズ及び学習第２フェーズの詳細を説明するための図である。学習第１フェーズでは、任意のデータに対し、教師ラベルを付して事前に作成した学習用データＳ１（Ｍｅｍ）を用いて、推論Ｆのパラメータθ１の機械学習を行う（パラメータ学習部３０１参照）。ここでの推論Ｆのパラメータθ１の学習では、ＭＩ攻撃に対する防御性能は考慮しなくてよいため、学習用データＳ１（Ｍｅｍ）を用いた精度を追求することができる。この点は、第１、第２の実施形態と同様である。
【0059】
［学習第２フェーズ］
学習第２フェーズでは、データ選択部４０１にて、学習用データＳ１（Ｍｅｍ）と、学習用データＳ１とは異なる学習用データＳ０（ＮｏＭ）とのいずれかから学習用データのランダムな選択を行う。ここでＭｅｍはメンバ、Ｎｏｍは非メンバを表す。
学習第２フェーズでは、データ選択部４０１にて、学習用データＳ１（Ｍｅｍ）と、学習用データＳ１とは異なる学習用データＳ０（ＮｏＭ）とのいずれかから学習用データのランダムな選択を行う。ここでＭｅｍはメンバ、Ｎｏｍは非メンバを表す。
【0060】
学習用データＳ１（Ｍｅｍ）を選択した場合、データ選択部４０１は、推論Ｈ更新部４０２に学習用データＳ１（Ｍｅｍ）を入力する。
【0061】
一方、学習用データＳ０（ＮｏＭ）を選択した場合、データ選択部４０１は、学習第１フェーズで学習したパラメータθ１を持つ推論Ｆ４０３に学習用データＳ０（ＮｏＭ）を入力する。
【0062】
また、学習用データＳ１（Ｍｅｍ）、Ｓ０（ＮｏＭ）のいずれかを選択したかに拘わらず、データ選択部４０１は、選択したデータ及びラベルを、識別器Ｄ更新部４０４に入力する。
【0063】
推論Ｈ更新部４０２は、推論Ｈを用いて、入力されたデータの推論結果を出力するとともに、識別器Ｄ更新部４０４に保持されている識別器Ｄが学習用データＳ１（Ｍｅｍ）、Ｓ０（ＮｏＭ）のいずれかを区別できないように推論Ｈのパラメータθ２を更新する。具体的には、推論Ｈ更新部４０２は、識別器Ｄ更新部４０４における識別結果及びデータ選択部４０１から受け取った正解データ（データ、ラベル）を用いて、推論Ｈのパラメータθ２を更新する。
【0064】
識別器Ｄ更新部４０４は、推論Ｈ更新部４０２の出力、推論Ｆ４０３のいずれかの推論結果が入力されると、受け取った推論結果が、学習用データＳ１（Ｍｅｍ）、Ｓ０（ＮｏＭ）のいずれの推論結果であるかを識別し、その結果を、推論Ｈ更新部４０２に出力する。さらに、識別器Ｄ更新部４０４は、受け取った推論結果に対する自身の識別結果と、データ選択部４０１から受け取った正解データ（データ、ラベル）を用いて、識別器Ｄのパラメータを更新する。
【0065】
従って、推論Ｈ更新部４０２と識別器Ｄ更新部４０４とは、いわゆる敵対的学習を行って、推論Ｈ及び識別器Ｄのそれぞれのパラメータを更新する。これにより、推論Ｈの出力と、推論Ｆ４０３の出力との区別を困難とするような高い防御性能を持つ推論Ｈが得られる。
【0066】
［学習第３フェーズ］
次に、推論システムで用いられる疑似攻撃器Ｓのパラメータの学習が行われる。図１０は、本発明の第３の実施形態の学習第３フェーズの詳細を説明するための図である。
次に、推論システムで用いられる疑似攻撃器Ｓのパラメータの学習が行われる。図１０は、本発明の第３の実施形態の学習第３フェーズの詳細を説明するための図である。
【0067】
図１０に示すように、学習第３フェーズでは、データ選択部５０１にて、学習用データＳ１（Ｍｅｍ）と、学習用データＳ１とは異なる学習用データＳ０（ＮｏＭ）とのいずれかから学習用データのランダムな選択を行う。また、データ選択部５０１は、選択したデータを正解データとして、疑似攻撃器Ｓ更新部５０４に送る。
【0068】
学習用データＳ１（Ｍｅｍ）を選択した場合、データ選択部５０１は、学習第２フェーズのステップＳＴ１で学習したパラメータθ２を持つ推論Ｈ５０２に学習用データＳ１（Ｍｅｍ）を入力する。
【0069】
一方、学習用データＳ０（ＮｏＭ）を選択した場合、データ選択部５０１は、学習第１フェーズで学習したパラメータθ１を持つ推論Ｆ５０３に学習用データＳ０（ＮｏＭ）を入力する。
【0070】
疑似攻撃器Ｓ更新部５０４は、学習用データＳ１（Ｍｅｍ）が入力された推論Ｈ５０２の推論結果、又は、学習用データＳ０（ＮｏＭ）が入力された推論Ｆ５０３の推論結果を受け取るとともに、データ選択部５０１から送られた正解データを用いて、推論結果から、学習用データＳ１（Ｍｅｍ）と学習用データＳ０（ＮｏＭ）とを区別できるよう疑似攻撃器Ｓのパラメータを更新する。
【0071】
以上のようにして、十分な精度を持った推論Ｈ５０２、推論Ｆ５０３、疑似攻撃器Ｓ６０１を得ることができる。
【0072】
［推論］
図７に示すように、疑似攻撃器Ｓ６０１は、入力データが推論Ｆの学習に用いられていないデータ（ＮｏＭ）であると判定した場合、推論Ｆ５０３による入力データの推論結果を出力する。一方、入力データが、推論Ｆの学習に用いられたデータ（Ｍｅｍ）であると判定した場合、推論Ｈ５０２による入力データの推論結果を出力する。
図７に示すように、疑似攻撃器Ｓ６０１は、入力データが推論Ｆの学習に用いられていないデータ（ＮｏＭ）であると判定した場合、推論Ｆ５０３による入力データの推論結果を出力する。一方、入力データが、推論Ｆの学習に用いられたデータ（Ｍｅｍ）であると判定した場合、推論Ｈ５０２による入力データの推論結果を出力する。
【0073】
結果として、第３の実施形態においても、入力データに応じて、推論Ｈ５０２と、推論Ｆ５０３とを使い分ける疑似攻撃器Ｓの出力から、その推論結果の元となった入力が学習に用いられたデータであるか否かを見分けることができなくなる。
【0074】
上述したように、推論Ｆ５０３には、学習用データＳ１を用いて安全性（ＭＩ攻撃に対する防御性能）を考慮せずに精度のよいパラメータθ１が設定されている。そして、推論Ｈ５０２には、学習用データＳ１が入力されたときにその安全性（ＭＩ攻撃に対する防御性能）を確保できるようなパラメータθ２が設定されている。従って、本実施形態によれば、精度と、安全性（ＭＩ攻撃に対する防御性能）とがそれぞれ向上された推論システムを構築することができる。
【0075】
従って本実施形態においても、以下の（ａ）～（ｃ）の推論結果の区別が困難化されている。
（ａ）学習に用いた学習用データＳ１を、推論Ｈ５０２に入れたときの出力
（ｂ）学習に用いていないデータＳ０を、推論Ｆ５０３に入れたときの出力
（ｃ）学習に用いていないデータＳ０を、推論Ｈ５０２に入れたときの出力
このように、本実施形態においても推論精度と安全性とがトレードオフの関係にある非特許文献３の方式に対するアドバンテージが達成されている。
（ａ）学習に用いた学習用データＳ１を、推論Ｈ５０２に入れたときの出力
（ｂ）学習に用いていないデータＳ０を、推論Ｆ５０３に入れたときの出力
（ｃ）学習に用いていないデータＳ０を、推論Ｈ５０２に入れたときの出力
このように、本実施形態においても推論精度と安全性とがトレードオフの関係にある非特許文献３の方式に対するアドバンテージが達成されている。
【0076】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したシステム構成、各要素の構成、データ等の表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。
【0077】
上記した実施形態に示した手順は、機械学習システムとして機能するコンピュータ（図１１の９０００）に、同装置としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図１１のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９０１０、通信インターフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図１１のＣＰＵ９０１０にて、機械学習プログラムや暗復号プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメータの更新処理を実施させればよい。
【0078】
即ち、上記した実施形態に示した機械学習システムの学習処理やこの学習によって得られた推論処理は、これらの装置に搭載されたプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。
【0079】
なお、上記の特許文献および非特許文献の各開示は、本書に引用をもって繰り込み記載されているものとし、必要に応じて本発明の基礎ないし一部として用いることが出来るものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。
【符号の説明】
【0080】
１０、１０ａ、１０ｂ 機械学習システム
１００ 制御部
１０１、３０１ パラメータ学習部
２０１、４０１、５０１ データ選択部
２０２ａ、２０２ｂ 推論ｆ
２０３ 防御器ｕ更新部
２０４ 識別器ｈ更新部
４０２ 推論Ｈ更新部
４０３、５０３ 推論Ｆ
４０４ 識別器Ｄ更新部
５０２ 推論Ｈ
６０１ 疑似攻撃器Ｓ
Ｓ０、Ｓ１、Ｓ２ 学習用データ
９０００ コンピュータ
９０１０ ＣＰＵ
９０２０ 通信インターフェース
９０３０ メモリ
９０４０ 補助記憶装置
１００ 制御部
１０１、３０１ パラメータ学習部
２０１、４０１、５０１ データ選択部
２０２ａ、２０２ｂ 推論ｆ
２０３ 防御器ｕ更新部
２０４ 識別器ｈ更新部
４０２ 推論Ｈ更新部
４０３、５０３ 推論Ｆ
４０４ 識別器Ｄ更新部
５０２ 推論Ｈ
６０１ 疑似攻撃器Ｓ
Ｓ０、Ｓ１、Ｓ２ 学習用データ
９０００ コンピュータ
９０１０ ＣＰＵ
９０２０ 通信インターフェース
９０３０ メモリ
９０４０ 補助記憶装置
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】