[論文レビュー] Voting-based Approaches For Differentially Private Federated Learning

Yuqing Zhu, Xiang Yu+5 more|arXiv (Cornell University)|Oct 9, 2020

Privacy-Preserving Technologies in Data参考文献 40被引用数 6

ひとこと要約

本稿では、勾配平均の代わりにラベルベースの投票を採用することで次元依存のノイズを排除し、通信コストを低減する2つの投票ベースのプライバシー保護型フェデレーテッドラーニング手法、AE-DPFL および kNN-DPFL を提案する。このアプローチは、特に大規模モデルにおいて優れたプライバシー・ユーティリティトレードオフを達成し、投票のマージンが大きい場合には安全なマルチパーティ計算（MPC）を活用してプライバシーを指数関数的に強化する。

ABSTRACT

Differentially Private Federated Learning (DPFL) is an emerging field with many applications. Gradient averaging based DPFL methods require costly communication rounds and hardly work with large-capacity models, due to the explicit dimension dependence in its added noise. In this work, inspired by knowledge transfer non-federated privacy learning from Papernot et al.(2017; 2018), we design two new DPFL schemes, by voting among the data labels returned from each local model, instead of averaging the gradients, which avoids the dimension dependence and significantly reduces the communication cost. Theoretically, by applying secure multi-party computation, we could exponentially amplify the (data-dependent) privacy guarantees when the margin of the voting scores are large. Extensive experiments show that our approaches significantly improve the privacy-utility trade-off over the state-of-the-arts in DPFL.

研究の動機と目的

• 勾配平均法が次元依存のノイズと勾配クリッピングに起因する高コストな通信とスケーラビリティの欠如を抱える、プライバシー保護型フェデレーテッドラーニング（DPFL）における課題を解決する。
• DP-FedAvg や DP-FedSGD などの既存のDPFL手法に見られる、多くの通信ラウンドを要し、モデル容量が大きくなると性能が劣化するという制限を克服する。
• ラベル付きの公開データを用いて知識移譲モデルに従う新しいDPFLフレームワークを設計し、プライバシー・ユーティリティトレードオフを改善する。
• 安全なマルチパーティ計算と投票ベースの集約を用いて、エージェントレベルおよびインスタンスレベルの両方で証明可能な微分プライバシー保証を提供する。
• ラベル投票により勾配クリッピングやノイズ注入の必要性を回避でき、データ分布の変化に対しても収束性とロバスト性が向上することを示す。

提案手法

• 勾配集約をプライベートラベル投票に置き換え：各ローカルモデルが公開のラベルなしデータに対して予測を行い、サーバーが微分プライバシーを満たすボールトカウンティングにより投票を集約する。
• AE-DPFL では、複数のローカルモデルが公開データのラベルについて投票する、プライベート・アグリゲーション・オブ・ティーチャー・エンsembles（PATE）フレームワークをFLに適応する。
• kNN-DPFL では、公開データの特徴埋め込みに基づくk近傍法を用い、プライバシーを確保するための投票数にノイズを追加する。
• 安全なマルチパーティ計算（MPC）を用いて、個々の貢献を露呈せずにプライベートな投票数を計算し、強力なプライバシーの強化を実現する。
• データ依存のプライバシー強化を活用：ラベルの勝利マージンが大きい場合には、MPCを介してプライバシー保証を指数関数的に向上できる。
• 特徴抽出に事前学習済みバックボーン（例：ResNet50、AlexNet）を用い、クライアントデータ上でローカルモデルを学習した後、公開データ上でラベル投票を実行する。

実験結果

リサーチクエスチョン

• RQ1 ラベルベースの投票は、通信コストの低減と次元依存ノイズの排除を実現するために、DPFLにおける勾配平均の代替として可能か？
• RQ2 投票ベースのDPFLは、DP-FedAvg や DP-FedSGD といった勾配ベースの手法に比べ、プライバシー・ユーティリティトレードオフにおいて優れているか？
• RQ3 投票のマージンが大きい場合、安全なマルチパーティ計算（MPC）を用いてDPFLにおけるプライバシーを指数関数的に強化できるか？
• RQ4 投票ベースのDPFLの性能は、モデル容量やデータ分布の変化に対してどのようにスケーリングするか？
• RQ5 強い敵対的攻撃に対しても、エージェントレベルおよびインスタンスレベルの両方で強力なプライバシー保証を維持できるか？

主な発見

• kNN-DPFL は、AlexNet から ResNet50 に切り替えると、10% のユーティリティ向上を達成する一方で、DP-FedSGD は性能が低下し、大規模モデルへのスケーラビリティに優れていることが示された。
• Office-Caltech データセットでは、同じプライバシー予算下で kNN-DPFL は DP-FedSGD より 10% 以上の精度向上を達成するか、同じ精度を達成するためのプライバシーコストを 60% 以上削減できる。
• DomainNet データセットでは、プライバシー予算を同等にした場合、kNN-DPFL は DP-FedSGD より 10% 以上の精度で優れている。
• AE-DPFL および kNN-DPFL は、すべての設定で DP-FedAvg よりも高い精度を達成しており、特にクライアントあたりのデータが少ない場合に顕著な優位性を示す。
• エージェント数が増加しても DP-FedAvg の性能は次第に劣化するが、kNN-DPFL は 800 個のエージェントでも明確な優位性を維持する。
• クライアントあたりのローカルデータが 50 レコード未満の場合、両手法とも性能が劣化する。これは、信頼できるラベル集約が可能な閾値が存在することを示唆している。