[논문 리뷰] Subspace based Federated Unlearning

Guanghao Li, Li Shen외 4명|arXiv (Cornell University)|2023. 02. 24.

Privacy-Preserving Technologies in Data인용 수 7

한 줄 요약

이 논문은 서버가 이전 기울기 저장 없이 다른 클라이언트의 입력 표현의 직교 부분공간에서 기울기 상승을 통해 타겟 클라이언트의 기여를 전역 모델에서 제거할 수 있는 새로운 페더레이티드 언러닝 방법인 서브스페이스 기반 페더레이티드 언러닝(SFU)을 제안한다. SFU는 최소한의 정확도 저하와 높은 복구 속도를 기록하며, MNIST, CIFAR10, CIFAR100에서 기존 방법들을 능가하는 최신 기술 수준의 성능을 달성한다.

ABSTRACT

Federated learning (FL) enables multiple clients to train a machine learning model collaboratively without exchanging their local data. Federated unlearning is an inverse FL process that aims to remove a specified target client's contribution in FL to satisfy the user's right to be forgotten. Most existing federated unlearning algorithms require the server to store the history of the parameter updates, which is not applicable in scenarios where the server storage resource is constrained. In this paper, we propose a simple-yet-effective subspace based federated unlearning method, dubbed SFU, that lets the global model perform gradient ascent in the orthogonal space of input gradient spaces formed by other clients to eliminate the target client's contribution without requiring additional storage. Specifically, the server first collects the gradients generated from the target client after performing gradient ascent, and the input representation matrix is computed locally by the remaining clients. We also design a differential privacy method to protect the privacy of the representation matrix. Then the server merges those representation matrices to get the input gradient subspace and updates the global model in the orthogonal subspace of the input gradient subspace to complete the forgetting task with minimal model performance degradation. Experiments on MNIST, CIFAR10, and CIFAR100 show that SFU outperforms several state-of-the-art (SOTA) federated unlearning algorithms by a large margin in various settings.

연구 동기 및 목표

• 서버가 이전 파라미터 업데이트를 저장할 수 없는 자원이 제한된 환경에서 페더레이티드 언러닝의 과제를 해결한다.
• 재학습이나 원시 데이터 접근 없이도 타겟 클라이언트의 기여를 전역 모델에서 제거할 수 있도록 한다.
• 다른 클라이언트의 입력 표현의 직교 부분공간에 국한하여 기울기 업데이트를 제한함으로써 언러닝 후에도 높은 모델 정확도를 유지한다.
• 클라이언트에서 서버로의 통신 중에 표현 행렬의 기밀성을 보장하기 위해 비밀성 기반 메커니즘을 도입한다.
• 다양한 모델 성숙도 수준과 데이터 이질성 상황에서도 견고한 성능을 달성한다.

제안 방법

• 타겟 클라이언트는 전역 모델에서 국소 기울기 상승을 수행하고, 오직 기울기만 서버로 전송한다.
• 나머지 클라이언트들은 자신의 데이터로부터 국소 표현 행렬을 계산하고, 서버로 전송하여 부분공간을 구성한다.
• 서버는 특이값 분해(SVD)를 사용하여 표현 행렬을 융합하여 입력 기울기 부분공간을 생성한다.
• 서버는 타겟 클라이언트의 기울기를 이 부분공간의 직교 여부공간에 투영하여 언러닝을 수행한다.
• 표현 행렬 내 각 벡터를 흐트려 클라이언트 프라이버시를 통신 중에 보호하는 비밀성 기반 메커니즘을 적용한다.
• 투영된 기울기를 모델에 적용하여 업데이트된 전역 모델을 확보함으로써 성능 저하를 최소화한다.

Figure 1: The pipeline of the SFU.The whole process takes place after the FL model has been trained. The orange client represents the target client whose contribution is to be removed; The blue ones represent other clients. The boxes on the right of the image represent global model updates that happ

실험 결과

연구 질문

• RQ1 서버나 클라이언트에서 이전 기울기를 저장하지 않고도 페더레이티드 언러닝을 달성할 수 있는가?
• RQ2 모델 정확도를 유지하면서 타겟 클라이언트의 기여를 효과적으로 전역 모델에서 제거할 수 있는가?
• RQ3 기울기 업데이트를 다른 클라이언트의 입력 표현의 직교 부분공간으로 제한함으로써 성능 저하를 최소화할 수 있는가?
• RQ4 다양한 수준의 데이터 이질성과 모델 성숙도에서 제안된 방법의 성능은 어떠한가?
• RQ5 모델 복구 속도와 통신 비용 측면에서 언러닝 과정이 효율적으로 작동할 수 있는가?

주요 결과

• SFU는 MNIST, CIFAR10, CIFAR100에서 최신 기술 수준의 페더레이티드 언러닝 방법들을 능가하며, 언러닝 후에도 더 높은 최종 모델 정확도를 달성한다.
• CNN 아키텍처를 사용한 MNIST에서 SFU는 언러닝 후 99.29%의 정확도를 기록하여 UL(42.76%)과 GA(92.33%)를 크게 앞서며 뛰어난 성능을 보였다.
• 언러닝이 초기 학습 단계에서 이루어져도 SFU는 원래 FL 모델과 유사한 정확도를 유지하여 모델 성숙도에 대한 강건성을 입증했다.
• 언러닝 후 SFU는 단 한 번의 페더레이티드 학습 라운드만으로 높은 정확도로 복구되었고, 기준 모델들은 다섯 번 이상의 라운드가 필요했기에 복구 효율성이 뛰어나다는 것을 보여주었다.
• SFU에서 뒷통로 공격 성공률은 항상 낮게 유지되어, 언러닝된 모델이 원래 모델과 분포상 유사하며 악성 복구 공격에 덜 취약하다는 것을 시사한다.
• SFU는 점점 증가하는 데이터 이질성 상황에서도 성능이 안정되었으며, 다른 방법들은 정확도가 크게 하락하는 것과 대비해 강력한 강건성을 보였다.

(a) MNIST