[논문 리뷰] Understanding Clipping for Federated Learning: Convergence and Client-Level Differential Privacy

Xinwei Zhang, Xiangyi Chen외 3명|arXiv (Cornell University)|2021. 06. 25.

Privacy-Preserving Technologies in Data참고 문헌 30인용 수 23

한 줄 요약

이 논문은 클라이언트 수준의 차별적 프라이버시(DP)를 위한 연합학습(FL)에서 모델 클리핑에 대한 최초의 체계적 이론적 및 실증 분석을 제공한다. 차이 클리핑이 모델 클리핑보다 우수한 성능을 보임을 입증하고, 신경망 아키텍처가 클리핑 성능에 상당한 영향을 미친다는 것을 보여준다. 깊고 구조화된 모델은 클라이언트 업데이트를 집중시키며, 프라이버시 노이즈의 영향을 줄이고 강력한 DP 보장을 유지하면서 정확도 손실를 최소화한다.

ABSTRACT

Providing privacy protection has been one of the primary motivations of Federated Learning (FL). Recently, there has been a line of work on incorporating the formal privacy notion of differential privacy with FL. To guarantee the client-level differential privacy in FL algorithms, the clients' transmitted model updates have to be clipped before adding privacy noise. Such clipping operation is substantially different from its counterpart of gradient clipping in the centralized differentially private SGD and has not been well-understood. In this paper, we first empirically demonstrate that the clipped FedAvg can perform surprisingly well even with substantial data heterogeneity when training neural networks, which is partly because the clients' updates become similar for several popular deep architectures. Based on this key observation, we provide the convergence analysis of a differential private (DP) FedAvg algorithm and highlight the relationship between clipping bias and the distribution of the clients' updates. To the best of our knowledge, this is the first work that rigorously investigates theoretical and empirical issues regarding the clipping operation in FL algorithms.

연구 동기 및 목표

• 연합학습(FL)에서 클라이언트 수준의 차별적 프라이버시(DP)를 고려할 때 클리핑이 수렴성과 프라이버시에 미치는 영향을 이해하기 위해.
• 데이터 이질성과 높은 프라이버시 예산 조건에서도 클리핑된 FedAvg가 잘 작동하는 이유를 조사하기 위해.
• 클리핑 편향, 클라이언트 업데이트 분포, DP 기반 FL의 수렴성 간의 이론적 기반을 구축하기 위해.
• 최적화 성능과 프라이버시 보장 측면에서 모델 클리핑과 차이 클리핑 전략을 비교하기 위해.

제안 방법

• 클라이언트 모델 업데이트를 노이즈 추가 이전에 클리핑하여 클라이언트 수준의 DP 보장을 제공하는 DP-FedAvg 알고리즘을 제안한다.
• 전체 모델 업데이트가 아닌 국소 모델과 글로벌 모델 업데이트의 차이를 클리핑하는 차이 클리핑을 도입한다.
• DP-FedAvg의 수렴 분석을 제공하며, 클라이언트 업데이트 분포와 클리핑 편향에 따라 달라지는 경계를 유도한다.
• 이론적 프레임워크를 사용하여 클라이언트 업데이트가 집중될 경우 클리핑 편향이 최소화되며, 이는 깊은 아키텍처에서 더 자주 발생한다는 것을 보여준다.
• 다양한 신경망 아키텍처(MLP, AlexNet, ResNet-18, MobileNetV2)를 EMNIST 및 CIFAR-10에서 다양한 프라이버시 예산 조건 하에서 클리핑 성능을 실증적으로 평가한다.
• 클리핑 임계값을 평균 국소 업데이트 크기의 50%로 설정하고 실험 전반에서 프라이버시 예산 δ=10−5를 고정한다.

실험 결과

연구 질문

• RQ1 클리핑은 DP 기반 FedAvg의 수렴성과 최적화 성능에 어떻게 영향을 미치는가?
• RQ2 클리핑된 FedAvg는 왜 높은 데이터 이질성과 강력한 프라이버시 제약 조건 하에서도 잘 작동하는가?
• RQ3 클라이언트 업데이트의 분포와 FL에서 클리핑의 효과성 간의 관계는 무엇인가?
• RQ4 정확도와 프라이버시 보장 측면에서 모델 클리핑과 차이 클리핑 전략은 어떻게 비교되는가?
• RQ5 어떤 신경망 아키텍처가 DP 제약 조건 하에서 클리핑으로 인한 성능 저하에 가장 강건한가?

주요 결과

• 특히 강력한 프라이버시 예산 조건 하에서, 차이 클리핑이 모델 클리핑보다 수렴성과 정확도 측면에서 뚜렷이 뛰어나다.
• 구조적 구성요소(예: 컨볼루션 레이어, 스킵 연결)를 가진 신경망은 더 집중된 클라이언트 업데이트를 생성하며, 클리핑 편향을 줄이고 성능을 향상시킨다.
• EMNIST에서 ResNet-18는 ε=5 조건에서 DP-FedAvg의 정확도 손실이 FedAvg 대비 단지 3.76%에 그쳐, 프라이버시 노이즈에 매우 강건함을 보였다.
• CIFAR-10에서 MLP는 ε=1.5 조건에서 클리핑 시 7.39%의 정확도 손실이 있었지만, DP 조건에서는 추가로 0.90%만 더 손실을 보여, 노이즈 영향이 적절한 클리핑 전략으로 관리 가능함을 시사한다.
• 이론적 분석을 통해 클라이언트 업데이트가 조밀하게 분포되어 있을 경우 클리핑 편향이 최소화되며, 이는 더 깊고 잘 구조화된 모델에서 더 자주 발생한다는 것을 확인했다.
• 더 큰 모델(예: ResNet-18)은 높은 차원성과 리프시츠 상수로 인해 프라이버시 노이즈에 더 민감할 수 있으나, 구조적 설계가 이 영향을 완화시킨다.