[论文解读] Subspace based Federated Unlearning

Guanghao Li, Li Shen+4 more|arXiv (Cornell University)|Feb 24, 2023

Privacy-Preserving Technologies in Data被引用 7

一句话总结

本文提出了一种基于子空间的联邦遗忘（SFU），这是一种新颖的联邦遗忘方法，通过在其他客户端输入表征的正交子空间中进行梯度上升，使服务器能够在不存储历史梯度的情况下，从全局模型中移除目标客户端的贡献。SFU在MNIST、CIFAR10和CIFAR100上实现了最先进性能，准确率下降最小且恢复速度极快，优于现有方法。

ABSTRACT

Federated learning (FL) enables multiple clients to train a machine learning model collaboratively without exchanging their local data. Federated unlearning is an inverse FL process that aims to remove a specified target client's contribution in FL to satisfy the user's right to be forgotten. Most existing federated unlearning algorithms require the server to store the history of the parameter updates, which is not applicable in scenarios where the server storage resource is constrained. In this paper, we propose a simple-yet-effective subspace based federated unlearning method, dubbed SFU, that lets the global model perform gradient ascent in the orthogonal space of input gradient spaces formed by other clients to eliminate the target client's contribution without requiring additional storage. Specifically, the server first collects the gradients generated from the target client after performing gradient ascent, and the input representation matrix is computed locally by the remaining clients. We also design a differential privacy method to protect the privacy of the representation matrix. Then the server merges those representation matrices to get the input gradient subspace and updates the global model in the orthogonal subspace of the input gradient subspace to complete the forgetting task with minimal model performance degradation. Experiments on MNIST, CIFAR10, and CIFAR100 show that SFU outperforms several state-of-the-art (SOTA) federated unlearning algorithms by a large margin in various settings.

研究动机与目标

• 解决在服务器无法存储历史参数更新的资源受限环境中联邦遗忘的挑战。
• 在无需重新训练或访问原始数据的情况下，实现从全局模型中移除目标客户端贡献的目标。
• 通过将梯度更新限制在其他客户端输入表征的正交子空间内，维持遗忘后的高模型准确率。
• 通过差分隐私机制在客户端到服务器通信过程中保护表征矩阵的隐私。
• 在联邦学习设置中，实现对不同模型成熟度水平和数据异构性的强鲁棒性表现。

提出的方法

• 目标客户端在其全局模型上执行本地梯度上升，并仅将梯度发送至服务器。
• 其余客户端从其数据中计算本地表征矩阵，并将这些矩阵发送至服务器以构建子空间。
• 服务器使用奇异值分解（SVD）将表征矩阵合并为一个输入梯度子空间。
• 服务器将目标客户端的梯度投影到该子空间的正交补空间中，以执行遗忘操作。
• 通过差分隐私机制对表征矩阵中的每个向量进行扰动，以在传输过程中保护客户端隐私。
• 通过将投影后的梯度应用于模型，获得更新后的全局模型，从而最小化性能损失。

Figure 1: The pipeline of the SFU.The whole process takes place after the FL model has been trained. The orange client represents the target client whose contribution is to be removed; The blue ones represent other clients. The boxes on the right of the image represent global model updates that happ

实验结果

研究问题

• RQ1 是否可以在服务器或客户端不存储历史梯度的情况下实现联邦遗忘？
• RQ2 如何有效从全局模型中移除目标客户端的贡献，同时保持模型准确率？
• RQ3 是否可以将梯度更新限制在与其他客户端输入表征正交的子空间内，以最小化性能损失？
• RQ4 所提出方法在不同数据异构程度和模型成熟度水平下的表现如何？
• RQ5 遗忘过程在模型恢复速度和通信成本方面是否具备高效性？

主要发现

• SFU在MNIST、CIFAR10和CIFAR100上均优于最先进联邦遗忘方法，遗忘后达到更高的最终模型准确率。
• 在使用CNN架构的MNIST数据集上，SFU在遗忘后达到99.29%的准确率，显著优于UL（42.76%）和GA（92.33%）。
• 即使在训练早期阶段执行遗忘，SFU仍能将模型准确率维持在接近原始联邦学习模型的水平，表现出对模型成熟度的强鲁棒性。
• 遗忘后，SFU仅需一轮联邦学习训练即可恢复至高准确率，而基线方法则需要五轮或更多轮次，表明其具有卓越的恢复效率。
• SFU的后门攻击成功率始终较低，表明遗忘后的模型在分布上仍接近原始模型，且对对抗性恢复攻击更具鲁棒性。
• 在数据异构性增加的情况下，SFU的性能保持稳定，相比其他方法表现出更强的鲁棒性，后者则出现了显著的准确率下降。

(a) MNIST