[논문 리뷰] On the Practicality of Differential Privacy in Federated Learning by Tuning Iteration Times

Yao Fu, Yipeng Zhou외 4명|arXiv (Cornell University)|2021. 01. 11.

Privacy-Preserving Technologies in Data참고 문헌 34인용 수 10

한 줄 요약

이 논문은 차별적 프라이버시(DP)의 실용성을 향상시키기 위해 연합학습(FL)에서 국소 반복 수를 조정하는 것을 제안한다. DP 노이즈가 존재하더라도 수렴을 안정화할 수 있는 최적의 국소 반복 수를 보여주며, 이론적으로 가우시안 메커니즘 기반 DP-FedAvg는 유계 오차로 수렴하는 반면, 라플라스 기반 버전은 발산하지만 국소 반복 수를 최적화하면 발산 속도가 감소함을 증명한다.

ABSTRACT

In spite that Federated Learning (FL) is well known for its privacy protection when training machine learning models among distributed clients collaboratively, recent studies have pointed out that the naive FL is susceptible to gradient leakage attacks. In the meanwhile, Differential Privacy (DP) emerges as a promising countermeasure to defend against gradient leakage attacks. However, the adoption of DP by clients in FL may significantly jeopardize the model accuracy. It is still an open problem to understand the practicality of DP from a theoretic perspective. In this paper, we make the first attempt to understand the practicality of DP in FL through tuning the number of conducted iterations. Based on the FedAvg algorithm, we formally derive the convergence rate with DP noises in FL. Then, we theoretically derive: 1) the conditions for the DP based FedAvg to converge as the number of global iterations (GI) approaches infinity; 2) the method to set the number of local iterations (LI) to minimize the negative influence of DP noises. By further substituting the Laplace and Gaussian mechanisms into the derived convergence rate respectively, we show that: 3) The DP based FedAvg with the Laplace mechanism cannot converge, but the divergence rate can be effectively prohibited by setting the number of LIs with our method; 4) The learning error of the DP based FedAvg with the Gaussian mechanism can converge to a constant number finally if we use a fixed number of LIs per GI. To verify our theoretical findings, we conduct extensive experiments using two real-world datasets. The results not only validate our analysis results, but also provide useful guidelines on how to optimize model accuracy when incorporating DP into FL

연구 동기 및 목표

• 차별적 프라이버시(DP)를 연합학습(FL)에 적용할 때 모델 정확도 저하 문제를 해결하기 위해.
• 국소 반복 수(LIs)와 글로벌 반복 수(GIs)가 DP 하에서 수렴과 모델 정확도에 미치는 영향을 조사하기 위해.
• 특히 라플라스 및 가우시안 메커니즘을 사용할 경우 DP 강화 FedAvg가 수렴할 수 있는 이론적 조건을 도출하기 위해.
• DP 노이즈가 FL 모델 수렴에 미치는 부정적 영향을 최소화할 수 있는 원칙적인 국소 반복 수 설정 방법을 제공하기 위해.

제안 방법

• DP 노이즈가 기울기 업데이트에 미치는 영향을 모델링하여 DP 강화 FedAvg의 수렴 속도를 유도한다.
• 글로벌 반복 수에 따라 수렴 행동을 분석하기 위해 시간에 따라 변하는 학습률 ηₖ = α/(k + γ)를 도입한다.
• DP 노이즈 하에서 모델 가중치의 기대 제곱 노름을 경계하여 수렴 조건을 설정한다.
• 귀납법을 사용하여 특정 학습률 및 노이즈 가정 하에 오차 경계 Yₖ ≤ φ/(k+γ) + (α²t)/(k+γ−1)² ω₁ 가 성립함을 증명한다.
• 라플라스 및 가우시안 메커니즘을 수렴 프레임워크에 통합하여 최적의 국소 반복 수에서의 행동을 비교한다.
• 노이즈 영향을 정량화하기 위해 라플라스( Cₘ = 8pbξ₁²/(N²ε²) ) 및 가우시안( Cₘ = 8pc₂²log(1/δ)ξ₂²/(Nε²) ) 메커니즘의 명시적 상수 Cₘ을 유도한다.

실험 결과

연구 질문

• RQ1 글로벌 반복 수가 무한대에 가까워질 때 DP 강화 FedAvg는 어떤 조건에서 수렴하는가?
• RQ2 DP 노이즈가 모델 수렴에 미치는 부정적 영향을 최소화하기 위해 국소 반복 수를 어떻게 최적화할 수 있는가?
• RQ3 라플라스 메커니즘을 사용한 DP 기반 FedAvg는 수렴하는가, 아니면 발산하는가? 그리고 발산 속도를 제어할 수 있는가?
• RQ4 가우시안 메커니즘을 사용한 DP 기반 FedAvg의 학습 오차는 어떤 조건에서 일정한 값으로 수렴하는가?

주요 결과

• 라플라스 메커니즘을 사용한 DP 기반 FedAvg는 글로벌 반복 수가 증가함에 따라 수렴하지 못하지만, 국소 반복 수를 조정함으로써 발산 속도를 크게 줄일 수 있다.
• 고정된 국소 반복 수를 사용할 경우, 가우시안 메커니즘을 사용한 DP 기반 FedAvg의 학습 오차는 일정한 값으로 수렴한다.
• 이론적 수렴 경계는 주요 항으로서 O(1/k)의 감쇠 속도를 보이며, 노이즈 영향을 받는 항으로서 O(t/(k+γ)²)의 감쇠 속도를 보인다. 여기서 t는 DP 노이즈 주입 횟수이다.
• 국소 반복 수를 최적화함으로써 DP 노이즈에 의한 모델 정확도 저하가 최소화되며, 실제 데이터셋에 대한 실험으로 검증되었다.
• 유도된 수렴 조건는 학습률 스케줄과 노이즈 크기에 따라 달라지며, 국소 반복 수를 신중히 선택할 경우 경계가 더욱 날카롭게 된다.
• 분석 결과, 매 국소 반복 후에 노이즈를 주입하는 것은 최적의 전략이 아니며, 마지막 국소 업데이트로 노이즈 주입을 연기할 경우 부정적 영향을 줄일 수 있다.