[論文レビュー] Robust Federated Learning against both Data Heterogeneity and Poisoning Attack via Aggregation Optimization

Yueqi Xie, Weizhong Zhang+5 more|arXiv (Cornell University)|Nov 10, 2022

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

SmartFL は、少量のプロキシデータを用いて部分空間トレーニングによりグローバルモデルのアグリゲーションを最適化することで、ロバストなフェデレーテッドラーニングの統合フレームワークを提案する。クライアントモデルの凸包内でアグリゲーション重みを調整することにより、データの非イ.i.d.性とポイズン攻撃の両方に対して最先端のロバスト性を達成し、最小限のプロキシデータと低い計算コストで実現する。

ABSTRACT

Non-IID data distribution across clients and poisoning attacks are two main challenges in real-world federated learning (FL) systems. While both of them have attracted great research interest with specific strategies developed, no known solution manages to address them in a unified framework. To universally overcome both challenges, we propose SmartFL, a generic approach that optimizes the server-side aggregation process with a small amount of proxy data collected by the service provider itself via a subspace training technique. Specifically, the aggregation weight of each participating client at each round is optimized using the server-collected proxy data, which is essentially the optimization of the global model in the convex hull spanned by client models. Since at each round, the number of tunable parameters optimized on the server side equals the number of participating clients (thus independent of the model size), we are able to train a global model with massive parameters using only a small amount of proxy data (e.g., around one hundred samples). With optimized aggregation, SmartFL ensures robustness against both heterogeneous and malicious clients, which is desirable in real-world FL where either or both problems may occur. We provide theoretical analyses of the convergence and generalization capacity for SmartFL. Empirically, SmartFL achieves state-of-the-art performance on both FL with non-IID data distribution and FL with malicious clients. The source code will be released.

研究の動機と目的

• 実世界のフェデレーテッドラーニングシステムにおけるデータ非イ.i.d.性とポイズン攻撃の二重の課題に対処すること。
• ヒューリスティクスやタスク固有の設計に依存せずに、両方の問題を同時に緩和する統合フレームワークを構築すること。
• クライアントモデルが生成する低次元部分空間で最適化することで、大規模なプロキシデータセットへの依存を低減すること。
• 悪意あるクライアントや非イ.i.d.データ分布が存在する状況でも、安定した収束と一般化を保証すること。
• クライアントモデルの重みのみを最適化することで、計算オーバーヘッドを最小限に抑え、効率的かつスケーラブルなアグリゲーションを実現すること。

提案手法

• サーバーが収集したプロキシデータを用いて、クライアントモデルの最適な凸結合を見つけることで、グローバルモデルのアグリゲーションを最適化する。
• クライアントモデルパラメータの凸包内にグローバルモデルを訓練することで、モデルサイズに依存せず、チューナブルパラメータ数をクライアント数に制限する。
• クライアントモデルのスパンに制限された更新を課すことにより、プロキシデータに適合するグローバルモデルを部分空間トレーニング技術で学習する。
• 各通信ラウンドでプロキシデータを用いてクライアントの寄与度を動的に再重み付けすることで、外れ値や非イ.i.d.データに対するロバスト性を向上させる。
• モード接続性の知見を活用し、部分空間が高品質なグローバルモデルを含むことを正当化する。
• アンサンブルログティスを用いた知識蒸留を統合することで、異種アーキテクチャへの適用可能性を拡張する。

実験結果

リサーチクエスチョン

• RQ1 単一のアグリゲーション戦略が、フェデレーテッドラーニングにおいてデータ非イ.i.d.性とポイズン攻撃の両方をロバストに扱えるか？
• RQ2 クライアントモデルの低次元部分空間内で最適化することで、最小限のプロキシデータでロバスト性を達成できるか？
• RQ3 部分空間ベースのアグリゲーションは、一般化性能と収束安定性の面で、フルスケールのファインチューニングを上回るか？
• RQ4 極端なデータ非イ.i.d.分布と高い攻撃率下でも、この手法はどのように性能を発揮するか？
• RQ5 クライアントモデルが異なるアーキテクチャを持つ場合でも、このアプローチは安定性と効果性を維持できるか？

主な発見

• SmartFL は、非イ.i.d.データとポイズン攻撃のベンチマークで最先端のパフォーマンスを達成し、FedAVG、Sageflow、FLTrust、FedDF を上回る。
• わずか100程度のプロキシサンプルで十分であり、SmartFL はオーバーフィッティングを回避し、高水準の一般化性能を維持するが、フルスケールファインチューニング手法とは対照的である。
• 高い攻撃率（最大70％）と極端なデータ非イ.i.d.性（α=0.01）下でも、安定した収束とロバスト性を示す。
• MNIST および CIFAR-10 における実験では、オムニスコピック攻撃やラベルフリップ攻撃を含む、あらゆる攻撃タイプでベースラインを一貫して上回る。
• 異種アーキテクチャ（ResNet-8、MobileNet、ShuffleNet）でも、SmartFL は FedDF よりも高いアンサンブル精度を達成し、部分空間最適化による効果的な知識移譲を示している。
• 部分空間ベースのアプローチは収束性と一般化性を保証しており、理論的保証が実証的検証によって裏付けられている。