[논문 리뷰] Differentially Private Federated Learning: A Client Level Perspective

R. Geyer, Tassilo J. Klein외 1명|arXiv (Cornell University)|2017. 12. 20.

Privacy-Preserving Technologies in Data참고 문헌 4인용 수 517

한 줄 요약

이 논문은 참여 클라이언트의 데이터를 숨기면서도 모델 성능을 유지하는 연합 학습을 위한 클라이언트 수준 차등 프라이버시 메커니즘을 제안합니다. 특히 클라이언트 수가 증가할수록 효과가 커집니다.

ABSTRACT

Federated learning is a recent advance in privacy protection. In this context, a trusted curator aggregates parameters optimized in decentralized fashion by multiple clients. The resulting model is then distributed back to all clients, ultimately converging to a joint representative model without explicitly having to share the data. However, the protocol is vulnerable to differential attacks, which could originate from any party contributing during federated optimization. In such an attack, a client's contribution during training and information about their data set is revealed through analyzing the distributed model. We tackle this problem and propose an algorithm for client sided differential privacy preserving federated optimization. The aim is to hide clients' contributions during training, balancing the trade-off between privacy loss and model performance. Empirical studies suggest that given a sufficiently large number of participating clients, our proposed procedure can maintain client-level differential privacy at only a minor cost in model performance.

연구 동기 및 목표

• 연합 학습에서 참여 클라이언트가 드러날 수 있는 프라이버시 우려를 제기한다.
• 연합 최적화 중 전체 클라이언트 데이터 세트를 보호하는 DP 메커니즘을 제안한다.
• 프라이버시 제약 하에서 성능을 개선하기 위한 DP 메커니즘의 동적 적응을 가능하게 한다.
• 참여 클라이언트 수에 따라 프라이버시-유틸리티 트레이드오프를 평가한다.

제안 방법

• 각 라운드마다 클라이언트를 표본화하고 집계된 업데이트를 가우시안 메커니즘으로 왜곡하는 무작위 메커니즘을 도입한다.
• 업데이트의 민감도 S를 사용하여 라운드별 중앙값의 업데이트 노름으로 클리핑한다.
• 평균 업데이트에 분산 S^2 * sigma^2의 가우시안 노이즈를 추가하고, moments accountant로 프라이버시를 계정한다.
• 각 라운드에 대한 왜곡과 프라이버시 손실을 제어하기 위해 비율 sigma^2 / m_t를 사용한다.
• moments accountant를 통해 프라이버시 손실 delta를 추적하고 delta가 임계값 Q를 초과하면 학습을 중단한다.
• 클라이언트 간 분산 V_c와 업데이트 스케일 U_s를 정의하고 모니터링하여 파라미터 선택에 정보를 제공한다.

실험 결과

연구 질문

• RQ1 연합 학습에서 클라이언트 수준의 차등 프라이버시를 수용 가능한 모델 성능으로 달성할 수 있는가?
• RQ2 라운드 간 프라이버시 손실과 정확도 사이의 균형을 맞추기 위해 DP 메커니즘(S, sigma, m)을 어떻게 조정해야 하는가?
• RQ3 참여 클라이언트 수가 프라이버시-유틸리티 트레이드오프에 어떤 영향을 미치는가?

주요 결과

클라이언트	delta'	정확도	CR	CC
비-DP	-	0.97	380	38000
DP	100	e-3	0.78	11	550
DP	1000	e-5	0.92	54	11880
DP	10000	e-6	0.96	412	209500

• 충분히 많은 참여 클라이언트가 있을 때 클라이언트 수준 DP를 모델 성능의 큰 저하 없이 달성할 수 있다.
• 후반 라운드에서 프라이버시 제약에도 불구하고 참여 클라이언트 수를 늘리면 성능이 향상된다.
• 실험에서 DP가 강화된 연합 학습은 클라이언트 수가 증가함에 따라 정확도가 더 높아진다(100 → 1000 → 10000)라는 결과를 보였다.
• 최적의 DP 모델은 100 클라이언트에서 비-DP의 0.97 정확도 대비 0.78–0.96 정확도를 100–10000 클라이언트에서 달성한다.
• 다수의 클라이언트(K=10000)가 참여할 때 비-DP 성능이 DP 성능에 근접한 사례가 관찰된다.
• 프라이버시 예산 delta가 미리 정의된 임계값에 도달하면 학습이 중지되어 DP 보장을 보장한다.