[論文レビュー] Byzantine-Robust Federated Machine Learning through Adaptive Model Averaging

Luis Muñoz-González, Kenneth T. Co+1 more|arXiv (Cornell University)|Sep 11, 2019

Privacy-Preserving Technologies in Data参考文献 25被引用数 161

ひとこと要約

適応型フェデレーテッド平均（AFA）は、Hidden Markov Modelを用いて各クライアントの更新品質を推定し、コサイン類似度に基づくフィルタリングを行うことで、フェデレーテッド学習におけるクライアント更新を頑健に集約し、悪質なクライアントを排除して頑健性と効率を向上させます。

ABSTRACT

Federated learning enables training collaborative machine learning models at scale with many participants whilst preserving the privacy of their datasets. Standard federated learning techniques are vulnerable to Byzantine failures, biased local datasets, and poisoning attacks. In this paper we introduce Adaptive Federated Averaging, a novel algorithm for robust federated learning that is designed to detect failures, attacks, and bad updates provided by participants in a collaborative model. We propose a Hidden Markov Model to model and learn the quality of model updates provided by each participant during training. In contrast to existing robust federated learning schemes, we propose a robust aggregation rule that detects and discards bad or malicious local model updates at each training iteration. This includes a mechanism that blocks unwanted participants, which also increases the computational and communication efficiency. Our experimental evaluation on 4 real datasets show that our algorithm is significantly more robust to faulty, noisy and malicious participants, whilst being computationally more efficient than other state-of-the-art robust federated learning methods such as Multi-KRUM and coordinate-wise median.

研究の動機と目的

• ビザンチン障害とデータの異質性下でも効果的で頑健なフェデレーテッド学習を動機づける。
• 推定された品質とデータ貢献度に基づいてクライアント更新を重み付けするAdaptive Federated Averaging (AFA)を提案する。
• クライアントが良い更新を提供する確率を学習・更新するためのベイズ/Hidden Markov Modelフレームワークを開発する。
• 悪い更新を検出して排除し、問題のあるクライアントをブロックできる頑健な集約ルールを導入する。
• 多様な攻撃シナリオ下で実データセット上でAFAを最先端手法と比較評価する。

提案手法

• データ貢献度と良好な更新の推定確率（p_k）を含む重み付きスキームで更新を集約する。
• w_{t+1}を、選択された良好なクライアントの重み付き和として計算し、N = sum(p_k n_k)で正規化する。
• 各クライアントについて、w_{t+1}とw_{t+1}^kの類似度s_kを計算する（例：コサイン類似度）。
• s_kの標本統計量（平均、中央値、標準偏差）を用いて、xiで制御される閾値で更新を良好/悪化として分類し、反復的に更新（xi増分）。
• 疑わしいクライアントをブロックするために反復（複数回のパスの可能性あり）を行い、良好な集合Gのみを用いて再集約する。
• クライアントの品質をHidden Markov Modelでモデル化し、g_t^kを（観測されていない）品質状態、o_t^kを集約規則の観測結果とする；事後を更新し、p_{k,t} = E[G_t^k | O_{1:t}^k]と設定する。
• Pr(G_t^k | O_{1:t}^k) ≤ 0.5 のとき、そのクライアントをブロックし、Beta-Bernoulli更新（alpha_t^k, beta_t^k）と閾値deltaを用いる。
• 複雑度：コサイン類似度を用いた集約でO(K_t d)、MKRUMのO(K_t^2 d)より低く、いくつかの中央値ベース手法よりも拡張性が高い。
• MNIST、FMNIST、Spambase、CIFAR-10における正常、ビザンチン、ラベル反転、ノイズのあるクライアント場面で実験的に検証し、FA、MKRUM、COMEDと比較する。

実験結果

リサーチクエスチョン

• RQ1 一部のクライアントが不正確な、ノイズのある、または悪意のある更新を提供する場合、フェデレーテッド学習をどのように頑健に保つことができるか。
• RQ2 データ貢献度と更新品質の両方を考慮した適応型重み付けスキームが、過度な計算や通信を伴わずに頑健性を向上させることができるか。
• RQ3 Hidden Markov Modelベースのクライアント更新品質の推定は、実時間で悪いクライアントを効果的に特定およびブロックできるか。
• RQ4 AFAは既存の頑健集約規則（MKRUM、COMED）と精度、収束、効率の面でどう比較されるか。

主な発見

• AFAは、ビザンチン、ラベル反転、ノイズのあるクライアントシナリオの下で4つの実データセットにおいて頑健な性能を発揮し、しばしばMKRUMおよびCOMEDを上回る。
• AFAは不利な条件下でより速く収束し、テスト誤差を低く維持しつつ、MKRUMおよびCOMEDと比べて計算オーバーヘッドが低いまたは同等。
• ベイズモデルは比較的少ない反復数（しばしば約5–10回）で悪質クライアントを検出・ブロックでき、通信を削減する。
• 標準のFederated Averaging (FA)と比較して、AFAは、特にラベル反転やビザンチン攻撃下で、悪意のある入力に対して頑健で、安定性と精度が向上する。
• 悪質クライアントをブロックすることで不要な通信を削減し、悪質ノードが排除される場合サーバ側の計算量を低減できる。
• AFAはMKRUMとCOMEDに比べて集約時間で大幅な効率向上を示しつつ、頑健性も維持する。）