FR 3087028 A1 20200410 FR 1859203 A 20181004 Procédé de classification sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution DOMAINE TECHNIQUE GENERAL La présente invention concerne le domaine de la biométrie, et en particulier un procédé de classification sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution, pour authentification/identification. ETAT DE L'ART Les réseaux de neurones sont massivement utilisés pour la classification de données. Après une phase d'apprentissage automatique (généralement supervisé, c'est-à-dire sur une base de données de référence déjà classifiées), un réseau de neurones « apprend » et devient tout seul capable d'appliquer la même classification à des données inconnues. Les réseaux de neurones à convolution, ou CNN (Convolutional Neural Networks) sont un type de réseau de neurones dans lequel le motif de connexion entre les neurones est inspiré par le cortex visuel des animaux. Ils sont ainsi particulièrement adaptés à un type particulier de classification qui est l'analyse d'image, ils permettent en effet avec efficacité la reconnaissance d'objets ou de personnes dans des images ou des vidéos, en particulier dans des applications de sécurité (surveillance automatique, détection de menace, etc.). On connait tout particulièrement une utilisation des CNN dans le domaine policier et antiterroriste. Plus précisément, des forces de polices disposent de bases de données de photographies par exemple des visages d'individus impliqués dans des affaires. Il est alors possible d'entraîner des CNN à reconnaitre des visages dans des données de vidéo-surveillance, en particulier pour détecter des individus recherchés. Similairement on peut imaginer que des gouvernements disposent de bases de données biométriques par exemple de empreintes digitales de passeports. Il est alors possible d'entraîner des CNN à reconnaitre les empreintes d'individus en particulier. 2 Aujourd'hui, une problématique qui se pose est que ces bases de données sont confidentielles, et restreintes (en particulier nationales). Or il serait souhaitable par exemple que les forces de police de plusieurs états coopèrent et améliorent l'efficacité globale de la reconnaissance, sans pour autant que l'on 5 puisse remonter aux données confidentielles. Cependant cela impliquerait dans tous les cas qu'une entité (par exemple les forces de police d'un état) fassent apprendre leurs CNN sur les bases de données d'une autre entité (les forces de police d'un autre état), i.e. se transmettent en clair les bases de données de photographies ou d'autres traits 10 biométriques, ce qui n'est pas envisageable aujourd'hui. Il a été proposé dans la demande FR1852351 une solution astucieuse permettant malgré la non-existence d'un espace commun de représentation de faire apprendre des « professeurs » sur chacun des sets de données confidentiels, de sorte à pouvoir entrainer conjointement un « étudiant » qui in fine 15 disposera de la connaissance des divers sets de données confidentielles. Plus précisément, les professeurs vont générer une base de données d'apprentissage pour l'étudiant en classifiant des données publiques brutes grâce à un système de « vote » des professeurs, le cas échéant bruité pour éviter de pouvoir remonter aux sets individuels de données confidentielles ayant servi à 20 l'apprentissage des professeurs. Une telle technique apporte entière satisfaction, mais pourrait être encore simplifiée. PRESENTATION DE L'INVENTION 25 Selon un premier aspect, la présente invention concerne un procédé de classification sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution, CNN, le procédé comprenant la mise en oeuvre par des moyens de traitement de données d'au moins un équipement, d'étapes de : 30 (a) Détermination, par application dudit CNN à ladite donnée d'entrée, d'un premier vecteur de classification de ladite donnée d'entrée associant à chacune d'une pluralité de classes potentielles un score entier représentatif de la probabilité d'appartenance de ladite donnée d'entrée à 3 la classe potentielle, le premier vecteur correspondant à un vecteur possible parmi un premier ensemble fini et dénombrable de vecteurs possibles, chaque vecteur possible du premier ensemble associant à chacune de la pluralité de classes potentielles un score entier tel que lesdits scores du vecteur possible constituent une composition d'une valeur totale entière prédéfinie ; (b) Construction à partir du premier vecteur d'un deuxième vecteur de classification de ladite donnée d'entrée, tel que le deuxième vecteur appartienne également au premier espace de vecteurs possibles et présente une distance avec le premier vecteur selon une fonction de distance donnée égale à une distance de référence non-nulle ; et renvoi du deuxième vecteur comme résultat de la classification sécurisée. Selon d'autres caractéristiques avantageuses et non limitatives : lesdites données sont des données biométriques, en particulier des images de visages ; le procédé est un procédé d'authentification ou d'identification d'un individu, ladite donnée d'entrée étant acquise sur l'individu ; l'étape (b) comprend une sous-étape (b1) de sélection d'un troisième vecteur dans un deuxième ensemble fini et dénombrable de vecteurs d'erreur, chaque vecteur d'erreur du deuxième ensemble associant à chacune d'une pluralité de classes potentielles un score entier relatif tel qu'une somme desdits scores du vecteur d'erreur est nulle, et présentant une distance avec le vecteur nul selon la fonction de distance donnée égale à ladite distance de référence non-nulle ; et une sous-étape (b2) de construction du deuxième vecteur comme somme du premier vecteur et du troisième vecteur ; l'étape (b) comprend une sous-étape préalable (b0) de construction dudit deuxième ensemble en fonction de ladite distance de référence ; l'étape (b0) comprend la sélection aléatoire de ladite distance de référence ; la sélection dudit troisième vecteur dans le deuxième espace est aléatoire ; - ladite sélection aléatoire dudit troisième vecteur n'est pas uniforme, et est mise en oeuvre en fonction du premier vecteur en utilisant une base de données réelle de sorte à reproduire un bruit réaliste ; 5 10 15 - - - 20 25 - - 30 - 4 - ladite fonction de distance est la norme L1, ladite distance de référence étant entière ; - le procédé comprenant une étape (a0) d'apprentissage, à partir d'une base de données confidentielles d'apprentissage déjà classifiées, des paramètres dudit 5 CNN. Selon un deuxième et un troisième aspect, l'invention propose un produit programme d'ordinateur comprenant des instructions de code pour l'exécution d'un procédé selon le premier aspect de classification sécurisée d'une donnée 10 d'entrée au moyen d'un réseau de neurones à convolution ; et un moyen de stockage lisible par un équipement informatique sur lequel un produit programme d'ordinateur comprend des instructions de code pour l'exécution d'un procédé selon le premier aspect de classification sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution. 15 PRESENTATION DES FIGURES D'autres caractéristiques et avantages de la présente invention apparaîtront à la lecture de la description qui va suivre d'un mode de réalisation préférentiel. 20 Cette description sera donnée en référence aux dessins annexés dans lesquels : la figure 1 est un schéma d'une architecture pour la mise en oeuvre des procédés selon l'invention la figure 2 représente schématiquement les étapes du procédé de classification sécurisée selon l'invention 25 DESCRIPTION DETAILLEE Principe 30 La présente invention propose un procédé de classification d'une donnée d'entrée utilisant au moins un CNN préalablement appris sur une base de données d'apprentissage, en particulier confidentielle. 5 Ce procédé est mis en oeuvre au sein d'une architecture telle que représentée par la figure 1, grâce à un ou plusieurs serveurs 1 a, 1 b, lc et/ou un terminal 2. Au moins un des serveurs 1 a, 1 b, lc stocke une base de données 5 confidentielles d'apprentissage, i.e. un ensemble de données déjà classifiées (par opposition aux données dites d'entrée que l'on cherche justement à classifier). De façon préférée, on a au moins deux bases de données confidentielles d'apprentissage déjà classifiées, stockées sur deux serveurs distincts (1 a et lb dans la figure 1), sans interactions : le serveur la n'a pas accès à la base du 10 serveur lb et vice-versa. Les serveurs constituent des entités indépendantes. Il s'agit par exemple de bases de données de forces de police nationales de deux états. En effet, les données d'entrée ou d'apprentissage sont avantageusement représentatives d'images (ladite classification étant une reconnaissance d'objet, 15 de visage, etc.) ou de toute autre données biométriques (reconnaissance d'empreintes digitales, de données d'iris, etc.), on comprendra que le visage est un exemple de donnée biométrique. La classification est alors une identification/authentification d'un individu sur lequel est acquise la donnée d'entrée, par exemple filmée par une caméra de surveillance (les classes 20 correspondent à des individus connus). De nombreux modes de réalisation sont possibles. Selon un premier mode de réalisation, chaque serveur 1 a, lb est capable de gérer un classifieur sur sa propre base de données, i.e. d'apprendre un CNN dédié, et d'utiliser le CNN pour classification d'une donnée transmise par exemple depuis le terminal 2, qui a 25 typiquement un rôle de client. On suppose en cas de pluralité de CNN qu'on dispose d'un modèle commun de classes, i.e. qu'une liste exhaustive de classes potentielles est prédéfinie. A noter que le ou les CNN appris peuvent être embarqués sur le terminal 2 pour mise en oeuvre directe du procédé de classification par ce dernier. 30 Selon un deuxième mode, on peut recourir à un mécanisme de professeur/étudiant pour apprendre un CNN « commun » à toutes les base de données. Pour cela, le serveur lc est avantageusement un serveur optionnel qui ne dispose quant à lui pas de base de données d'apprentissage et qui peut 6 justement être dévolu à cette tâche, voir en particulier la demande FR1852351 évoquée précédemment. A noter que le rôle de ce serveur 1 c peut tout à fait être accompli par l'un ou l'autre des serveurs 1 a, 1 b, mais de façon préférée c'est un serveur distinct (i.e. cloisonné) pour éviter tout risque de divulgation des bases de 5 données confidentielles des serveurs 1 a, 1 b. A nouveau, le terminal 2 peut requérir la classification en transmettant la donnée d'entrée, ou embarquer le CNN commun et mettre directement le procédé de classification. On comprendra que la présente invention n'est pas limitée à une pluralité de bases de données, il suffit juste que l'on ait au moins une entité apte à 10 apprendre les paramètres d'au moins un CNN à partir d'au moins une base de données (en particulier confidentielles) d'apprentissage déjà classifiées. Dans le cas de plusieurs CNN, le présent procédé pourra juste être mis en oeuvre autant de fois qu'il y a de CNN Le ou les CNN pourront avoir n'importe quelle architecture connue de 15 l'homme du métier, et l'apprentissage pourra être mis en oeuvre de n'importe quelle manière connue. Dans tous les cas, chaque équipement 1 a, 1 b, lc, 2 est typiquement un équipement informatique distant relié à un réseau étendu 10 tel que le réseau 20 internet pour l'échange des données. Chacun comprend des moyens de traitement de données 11 a, 11 b, 11c, 21 de type processeur, et des moyens de stockage de données 12a, 12b, 12c, 22 telle qu'une mémoire informatique, par exemple un disque. 25 Procédé de classification Mathématiquement, on considère n > 1 entitiés qui chacune : doit répondre à une classification suivant m classes prédéfinies (nt est généralement grand, en particulier en biométrie), 30 a un nombre l de « points » à répartir suivant ces m classes (typiquement, / = 100, pour raisonner en pourcentage), Ainsi, la classification peut, plutôt qu'une simple réponse binaire, graduer les réponses pour obtenir des nuances que l'on pourra exploiter en sachant aussi 7 quelles sont les classes les plus proches, voir le document Geoffrey Hinton, Orbi Vinyals, Jeff Dean: Distilling the Knowledge in a Neural Network. NIPS 2014. Cela signifie simplement que là où une classification classique détermine LA classe qu'il estime être celle d'une donnée d'entrée (par exemple le nom de la personne 5 en photo), la présente classification peut indiquer une ou plusieurs classes potentielles. On définit ainsi un vecteur de classification, de taille m, noté par exemple o = (o1, 02, ..., om): la ième valeur du vecteur est le score associé à la ième classe. On a 1= Er,lot. 10 Par exemple, pour une donnée d'entrée, une première classe peut se voir attribuer 90 points, une deuxième classe 0 points, et une troisième classe 10 points : cela signifie qu'on est sûr que la donnée d'entrée n'est pas de la 2e classe, et a priori de la 1 ère classe, mais il reste 10% de chances qu'elle soit en fait de la 3e classe. 15 Le nombre de points associé à chaque classe potentielle est appelé « score » et dans le cadre de la présente invention il s'agit d'un entier (un entier « naturel », c'est-à-dire un entier positif ou nul, appartenant à N), et non par exemple d'un pourcentage comme on pouvait le trouver dans l'état de l'art. Similairement, le nombre total de points, appelé « valeur totale » est un autre 20 entier (naturel), par exemple au moins 10, voire entre 20 et 200, voire entre 50 et 150, et préférentiellement 100. On comprendra bien entendu que les scores ou la valeur totale peuvent être entier « à un facteur près ». Par exemple, on resterait bien entendu dans la portée de la présente invention en choisissant des scores multiples de 0.5 : on 25 pourrait multiplier tous les scores par deux, ainsi que la valeur totale, pour revenir à des scores multiples de 1, et donc entiers. La classification peut être vue comme la détermination d'un vecteur de classification de ladite donnée d'entrée associant à chacune d'une pluralité de classes potentielles un score entier représentatif de la probabilité d'appartenance 30 de ladite donnée d'entrée à la classe potentielle. Être à valeur dans N fait que les différents scores associés aux classes potentielles constituent ce que l'on appelle une « composition » de la valeur totale 1 8 En combinatoire, une composition d'un entier positif N est une représentation de cet entier comme somme d'une suite d'entiers strictement positifs. Plus précisément, il s'agit d'une suite de k > 1 entiers strictement positifs appelés « parts ». Ainsi, (1,2,1) est une composition de 4=1+2+1. Deux suites qui diffèrent par l'ordre de leurs parts sont considérées comme des compositions différentes. Ainsi, (2,1,1) est une autre composition de l'entier 4. Les huit compositions de 4 sont : (4) ; (1,3) ; (3,1) ; (2,2) ; (1,1,2) ; (1,2,1) ; (2,1,1) ; (1,1,1,1). Les compositions diffèrent donc des partitions d'entiers qui considèrent des 10 suites sans tenir compte de l'ordre de leurs termes Par exemple, on a seulement cinq partions entières de 4. La propriété principale est que le nombre de compositions d'un entier N est égal à 2w-1, et donc est fini et dénombrable. On peut donc définir un premier ensemble fini et dénombrable de vecteurs de classification possibles, chaque 15 vecteur possible du premier ensemble associant à chacune de la pluralité de classes potentielles un score entier tel que lesdits scores du vecteur possible constituent une composition de la valeur totale entière prédéfinie Dans une première étape (a), le procédé comprend la détermination, par 20 application dudit CNN à ladite donnée d'entrée, d'un premier vecteur de classification de ladite donnée d'entrée associant à chacune d'une pluralité de classes potentielles un score entier représentatif de la probabilité d'appartenance de ladite donnée d'entrée à la classe potentielle, le premier vecteur correspondant à un vecteur possible parmi ledit premier ensemble fini et dénombrable de 25 vecteurs possibles. En d'autres termes, on utilise normalement le CNN pour obtenir une classification. On comprend comme expliqué que ce premier vecteur pourrait révéler des informations sur la ou les bases de données d'apprentissage, ce qui à proscrire si 30 la base est confidentielle. Le présent procédé propose d'utiliser astucieusement des mécanismes dit de confidentialité différentielle (en anglais « differential policy ») en se basant sur les propriétés de la composition. 9 La confidentialité différentielle a traditionnellement été utilisée pour les bases de données « anonymisées ». Elle vise à définir une forme de protection de résultats de requêtes faites à ces bases de données en minimisant les risques d'identification des entités qu'elle contient, si possible en maximisant la pertinence 5 des résultats de la requête. Il a par exemple été montré dans le document « Differentially Private Password Frequency Lists, 2016, https://eprintiacrorg/2016/153.pdf » comment obtenir des listes de fréquence bruitées de mots de passe utilisés par des serveurs, de sorte à pouvoir les publier en toute sécurité. 10 Dans le présent procédé, on propose ainsi de renvoyer non pas le premier vecteur de classification, mais un deuxième vecteur différent pour protéger la confidentialité. Le deuxième vecteur constitue une classification « bruitée », qui doit être suffisamment éloignée pour minimiser les risques de compromission de la base de données, mais suffisamment proche pour que ce deuxième vecteur 15 reste fiable, i.e. que les scores qu'il contient restent représentatifs de la probabilité d'appartenance de ladite donnée d'entrée à la classe potentielle. On note que les techniques de confidentialité différentielle jusque-là utilisées considéraient de très grosses structures pour pouvoir réaliser un mécanisme dit de « Laplace » sur les fréquences. Les algorithmes devaient 20 incorporer une partie de programmation dynamique pour pouvoir fonctionner, et il aurait été impossible de les utiliser tel quel en classification. Au contraire, le présent procédé propose dans une étape (b) la construction, à partir du premier vecteur, du deuxième vecteur de classification de 25 ladite donnée d'entrée, tel que le deuxième vecteur appartienne également au premier espace de vecteurs possibles et présente une distance avec le premier vecteur selon une fonction de distance donnée égale à une distance de référence non-nulle. Ici, il est important de comprend que la distance entre les deux vecteurs est 30 égale à la distance de référence (notée cl), et pas juste inférieure à un seuil. Ainsi, on n'est pas dans la seule recherche de vecteurs « proches » mais bien de vecteurs différents. Un vecteur égal ou trop similaire au premier vecteur ne peut pas être obtenu comme deuxième vecteur Cela permet comme on va le voir 10 d'obtenir très facilement le deuxième vecteur, tout en garantissant un niveau de bruit minimum. L'idée est que les scores du deuxième vecteur forment une autre composition de la valeur totale, et ainsi que l'ensemble des vecteurs pouvant 5 constituer un deuxième vecteur acceptable est inclus dans le premier ensemble, dont on rappelle qu'il est fini et dénombrable. Il n'y a alors plus besoin d'aucun mécanisme complexe pour la construction du deuxième vecteur. De nombreuse fonctions de distances peuvent être utilisées, notamment les normes Li, L2, Lx. Les normes L1 et Lx, sont très avantageuses, car si les 10 vecteurs n'ont que des composantes entières, comme c'est présentement le cas, leur distance selon ces normes est également entière. On peut alors choisit la distance de référence d comme une valeur entière (strictement positive). De façon préférée, on choisit comme fonction de distance la norme L1, qui donne d'excellents résultats 15 Si on reprend l'exemple dans lequel pour une donnée d'entrée, une 1e classe se voit attribuer 90 points, une 2e classe 0 points, et une 3e classe 10 points, le premier vecteur vaut (90,0,10). Si on choisit la norme Li comme fonction de distance et une distance de référence d = 5, on pourra par exemple prendre comme deuxième vecteur (87,1,11). On constate que l'information de 20 classification est identique : la donnée d'entrée est a priori de la le classe, et éventuellement de la 3e classe, tout en étant bruitée. On va voir plusieurs façons de réaliser l'étape (b), mais en notant o le premier vecteur et ô le deuxième vecteur, on peut poser ô = o + e, avec e = 25 (e1, e2, un troisième vecteur dit « vecteur d'erreur » (qui correspond à du bruit ajouté). On remarque que : E7 1e = 0, puisque rin_i oi = ErLi =1; et distance(e, 0) = distance(5, o) = ci, où « 0 » est le vecteur nul (tous 30 les scores égaux à zéro). L'ensemble des vecteurs d'erreur forment ainsi un ensemble (dit deuxième ensemble) fini et dénombrable de vecteurs d'erreur, chaque vecteur d'erreur du 11 deuxième ensemble associant à chacune d'une pluralité de classes potentielles un score entier relatif tel qu'une somme desdits scores du vecteur d'erreur est nulle, et présentant une distance avec le vecteur nul selon la fonction de distance donnée égale à ladite distance de référence non-nulle. 5 On comprend que les vecteurs d'erreurs ne sont pas des vecteurs de classification, et présentent des valeurs qui sont des entiers « relatifs », c'est-à-dire possiblement négatives, appartenant à Z. En notant E l'ensemble de tous les vecteurs d'erreurs et Ed le deuxième ensemble, on constate que l'ensemble des Ed (pour d allant de 1 à 2/) forme une 10 partition de E. Comme l'ensemble E est dénombrable, on peut aisément l'ordonner, et a fortiori Ed de sorte qu'un troisième vecteur peut y être choisi, notamment aléatoirement. On procéde avantageusement de la sorte : Dans une première sous-étape (b0), ledit deuxième ensemble est 15 construit en fonction de ladite distance de référence. L'étape (b0) peut comprendre la sélection de ladite distance de référence cl, notamment aléatoirement, en particulier en fonction de ladite valeur totale / prédéfinie. Par exemple, on peut la choisir dans un intervalle donné, par exemple entre 1% et 50%, voire entre 2% et 20%, voire 20 entre 5 et 10%, de la valeur totale 1. A noter que cl peut alternativement être prédéfinie. Dans une deuxième sous-étape (b1), le troisième vecteur est sélectionné, en particulier aléatoirement, dans le deuxième ensemble. 25 Enfin, dans une troisième sous-étape (b2), le deuxième vecteur est construit comme somme du premier vecteur et du troisième vecteur. Le deuxième vecteur peut alors être renvoyé (i.e. publié) comme résultat de la classification. Le premier vecteur n'est pas dévoilé. Malheureusement sur des données réelles un bruit uniforme n'est réaliste. Il 30 y a corrélation entre les différentes coordonnées du premier vecteur et le bruit que l'on doit lui appliquer (le troisième vecteur) ne doit si possible pas être quelconque. Pour ce faire on propose avantageusement d'utiliser une base de données réelle 12 de manière à générer un troisième vecteur qui est réaliste dans la zone de l'espace dans laquelle se situe le premier vecteur. Alternativement à l'utilisation du deuxième ensemble de vecteurs d'erreur, 5 on note qu'il reste possible de construire à l'étape (b) l'ensemble des vecteurs possibles présentant une distance avec le premier vecteur selon ladite fonction de distance donnée égale à la distance de référence non-nulle. On comprend en effet qu'il s'agit d'un sous-ensemble du premier ensemble, donc également fini et dénombrable. 10 On peut alors directement choisir, par exemple aléatoirement, un vecteur de ce sous-ensemble comme deuxième vecteur. Produit programme d'ordinateur 15 Selon un deuxième et un troisième aspects, l'invention concerne un produit programme d'ordinateur comprenant des instructions de code pour l'exécution (en particulier sur les moyens de traitement de données lia, 11 b, 11c1 21 d'un ou plusieurs serveurs la, 1 b, 1 c ou du terminal 2) d'un procédé selon le premier aspect de l'invention de classification sécurisée d'une donnée d'entrée, ainsi que 20 des moyens de stockage lisibles par un équipement informatique (une mémoire 12a, 12b, 12c, 22 d'un ou plusieurs serveurs la, 1 b, 1 c ou du terminal 2) sur lequel on trouve ce produit programme d'ordinateur. REVENDICATIONS1. Procédé de classification sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution, CNN, le procédé comprenant la mise en oeuvre par des moyens de traitement de données (11a, 11b, 11c, 21) d'au moins un équipement (1a, lb, 1c, 2), d'étapes de : (a) Détermination, par application dudit CNN à ladite donnée d'entrée, d'un premier vecteur de classification de ladite donnée d'entrée associant à chacune d'une pluralité de classes potentielles un score entier représentatif de la probabilité d'appartenance de ladite donnée d'entrée à la classe potentielle, le premier vecteur correspondant à un vecteur possible parmi un premier ensemble fini et dénombrable de vecteurs possibles, chaque vecteur possible du premier ensemble associant à chacune de la pluralité de classes potentielles un score entier tel que lesdits scores du vecteur possible constituent une composition d'une valeur totale entière prédéfinie ; (b) Construction à partir du premier vecteur d'un deuxième vecteur de classification de ladite donnée d'entrée, tel que le deuxième vecteur appartienne également au premier espace de vecteurs possibles et présente une distance avec le premier vecteur selon une fonction de distance donnée égale à une distance de référence non-nulle ; et renvoi du deuxième vecteur comme résultat de la classification sécurisée. 2. Procédé selon la revendication 1, dans lequel lesdites données sont des données biométriques, en particulier des images de visages. 3. Procédé selon l'une des revendications 1 et 2, étant un procédé d'authentification ou d'identification d'un individu, ladite donnée d'entrée étant acquise sur l'individu. 4. Procédé selon l'une des revendications 1 à 3, dans lequel l'étape (b) comprend une sous-étape (b1) de sélection d'un troisième vecteur dans 14 un deuxième ensemble fini et dénombrable de vecteurs d'erreur, chaque vecteur d'erreur du deuxième ensemble associant à chacune d'une pluralité de classes potentielles un score entier relatif tel qu'une somme desdits scores du vecteur d'erreur est nulle, et présentant une distance avec le vecteur nul selon la fonction 5 de distance donnée égale à ladite distance de référence non-nulle ; et une sous- étape (b2) de construction du deuxième vecteur comme somme du premier vecteur et du troisième vecteur. 5. Procédé selon la revendication 4, dans lequel l'étape (b) 10 comprend une sous-étape préalable (b0) de construction dudit deuxième ensemble en fonction de ladite distance de référence. 6. Procédé selon la revendication 5, dans lequel l'étape (b0) comprend la sélection aléatoire de ladite distance de référence. 15 7. Procédé selon l'une des revendications 4 à 6, dans lequel la sélection dudit troisième vecteur dans le deuxième espace est aléatoire. 8. Procédé selon la revendication 7, dans lequel ladite sélection 20 aléatoire dudit troisième vecteur n'est pas uniforme, et est mise en oeuvre en fonction du premier vecteur en utilisant une base de données réelle de sorte à reproduire un bruit réaliste. 9. Procédé selon l'une des revendications 1 à 8, dans lequel 25 ladite fonction de distance est la norme L1, ladite distance de référence étant entière. 10. Procédé selon l'une des revendications 1 à 9, comprenant une étape (a0) d'apprentissage, à partir d'une base de données confidentielles 30 d'apprentissage déjà classifiées, des paramètres dudit CNN. 11. Produit programme d'ordinateur comprenant des instructions de code pour l'exécution d'un procédé selon l'une des revendications 1 à 10 de classification sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution, lorsque ledit programme est exécuté par un ordinateur. 15 12. Moyen de stockage lisible par un équipement informatique sur lequel un produit programme d'ordinateur comprend des instructions de code pour l'exécution d'un procédé selon l'une des revendications 1 à 10 de classification 5 sécurisée d'une donnée d'entrée au moyen d'un réseau de neurones à convolution.