Adversarial robustness and confidence miscalibration in emotion-based HRI systems

技術要約：感情ベースのHRIシステムにおける敵対的堅牢性と信頼度の誤校正

問題提起

本論文は、表情感情認識（FER）を利用する人間とロボットの相互作用（HRI）システムにおける、極めて重要なセキュリティ上の欠陥を扱っている。FERモデルは通常、クリーンなデータセットに対する認識精度（精度、再現率、F1スコアなど）に基づいて評価されるが、これらの指標は、予測が物理的なロボット動作をトリガーするのに十分な信頼性を備えているかどうかを評価できない。核心となる問題は、分類器が標準的なデータに対しては正確であっても、環境の劣化や敵対的摂動に対しては脆弱である可能性があることである。決定的なことに、著者らは、最大ソフトマックス確率が閾値を超えた場合にのみシステムが動作するという一般的な緩和策である「信頼度閾値処理（confidence thresholding）」が、正当な入力と敵対的な入力を信頼性を持って区別できるかどうかを調査している。本研究は、もし敵対的攻撃が高信頼度の誤分類を引き起こすならば、セキュリティメカニズムが最も必要とされる瞬間に、信頼度に基づくゲート機能は失敗することを提示している。

手法

著者らは、FER2013データセットの5クラスの部分集合（怒り、喜び、中立、悲しみ、驚き）を用いた制御された実証研究を実施した。

• 評価されたパイプライン: 以下の5つのFERパイプラインを比較した：
  1. DeepFace: オフザシェルフのベースライン（ゼロショット）。
  2. 戦略1: スクラッチから学習させた正則化済みカスタムCNN。
  3. 戦略2: 畳み込み層を凍結し、分類ヘッドのみを学習させたVGG16。
  4. 戦略3: エンドツーエンドでフル再学習させたVGG16（ファインチューニング）。
  5. 戦略4: スクラッチから学習させた深層残差CNN（ResNet）。
• 評価環境: 実世界のロボットへのデプロイメント制約を反映するため、すべての実験はCPUのみのハードウェア上で実施された。
• ストレス条件:
  • 環境的劣化: ガウスノイズ、ブラー、輝度低下、およびJPEG圧縮を5段階の深刻度で適用。
  • 敵対的攻撃: 非標的型のFGSM（Fast Gradient Sign Method）およびPGD（Projected Gradient Descent）攻撃を、摂動予算（$\epsilon$）のスイープを用いて実施。
• 校正分析: ロジットに対して事後的な**温度スケーリング（temperature scaling）**を適用し、再校正によってクリーンな入力と敵対的な入力を分離できるかを検証した。動作ゲートは閾値 $\tau = 0.70$ に固定された。
• 指標: 研究は標準的な精度を超え、作動の健全性（actuation soundness）（予測が受理された際に誤った行動をとるリスク）および、信頼度ゲートの検出性能（Youden指数、AUROC）を測定した。

主な貢献

1. 知覚・行動ゲートの定式化: 本論文は、「作動の健全性」を、一般的な認識精度とは異なる、受理されたサブポピュレーションの特性として定義している。システムは平均的には正確であっても、自身が動作を選択する特定の入力のサブセットに対しては系統的に誤る可能性があることを確立している。
2. クロスアーキテクチャ敵対的評価: 本研究は、共通の摂動予算の下で、多様なアーキテクチャ（カスタムCNN、転移学習、残差ネットワーク）にわたって敵対的脆弱性が共通の特性であることを示している。
3. グローバルな校正の不可能性に関する結果: 著者らは、グローバルな温度スケーリングでは、敵対的攻撃下における信頼度ゲートの失敗を修復できないことを解析的に証明した。最大ソフトマックス確率はロジット差ベクトルに対して厳密に増加関数であり、かつ温度スケーリングはすべての入力に対して同一の変換を適用するため、敵対的な差が支配的な場合、正当な予測（小さな差を持つもの）を受け入れつつ、敵対的な予測（大きな差を持つもの）を拒絶できる単一の温度は存在しない。
4. 検出器の境界: 論文は、信頼度ゲートのYouden指数が敵対的受理率によって制約されることを示す境界を導出し、ゲートが観測された条件下において、クリーンな入力と敵対的な入力を分離する構造的能力を持たないことを証明している。

結果

• クリーン時の性能: 深層残差CNN（戦略4）は、リアルタイムのCPUスループットにおいて、最高のクリーンセット精度（0.760）とマクロF1スコア（0.753）を達成した。
• 環境的堅牢性: 環境的劣化は深刻度に応じて性能低下を引き起こしたが、敵対的攻撃は一様な崩壊を引き起こした。
  • FGSM: すべてのモデルの精度を $\epsilon = 0.01$ において0.16以下に低下させた。
  • PGD: すべてのモデルの精度を $\epsilon \ge 0.02$ においてほぼゼロ（実質的に <0.005）に低下させた。
• 信頼度の誤校正: 精度が崩壊しているにもかかわらず、攻撃を受けたモデルは高い信頼度を維持した。PGD下では、敵対的予測の平均信頼度は0.964に達した。
• 閾値処理の失敗:
  • 温度スケーリング適用後も、96.0% の敵対的予測が動作閾値（$\tau = 0.70$）を超えていた。
  • 信頼度ゲートのAUROCは0.144であり、これは検出器が逆転している（正当な入力よりも敵対的な入力をより多く受理している）ことを示している。
  • Youden指数は**-0.261**と測定され、ゲートが拒絶の必要性と負の相関にあることを裏付けた。
• 校正の不変性: 温度スケーリング（$T=0.982$ で適合）は、クリーンな入力と敵対的な入力の分離に対して無視できる影響しか与えなかった。理論的解析により、順序付けられたランナーアップ構造の仮定の下では、最大ソフトマックススコアのROC曲線は温度スケーリングに対して不変であることが確認された。

意義と主張

本論文は、FERにおける敵対的脆弱性はアーキテクチャ固有のものではなく、高信頼度の誤分類は、再校正によって修正可能な校正のアーティファクトではなく、攻撃の構造的な特徴であると主張している。

• 関心の分離: 著者らは、認識精度と作動の健全性は異なる特性であると論じている。高いクリーンセット精度は、安全な作動を保証するものではない。
• 現在の緩和策の限界: 本研究は、信頼度閾値処理のみに依存することは、セキュリティが重要なHRIにおいては不十分であると結論付けている。「信頼度ゲート」が失敗するのは、敵対的攻撃が、ゲートが通過させるように設計されている高信頼度の領域にエラーを集中させるためである。
• アーキテクチャへの示唆: 本論文は、FERモジュールとロボットの行動ポリシーの間に、システムレベルの検証レイヤーを導入する必要性を動機付けている。このレイヤーは、瞬時的なソフトマックススコアに頼るのではなく、他のエビデンスストリーム（例：時間的持続性、行動レートの制約）と信頼度を統合しなければならない。
• 範囲: 著者らは、新しい堅牢な学習手法やより優れた検出器を提案するのではなく、代わりに、最も一般的にデプロイされている決定ルール（信頼度閾値処理）が敵対的条件下で失敗すること、およびその失敗は事後的な校正によって救済できないことを実証している。これらの知見は、安全な感情誘導型ロボティクスには、分類器の内部信頼度スコアを超えた明示的な検証段階が必要であることを示唆している。