[论文解读] Differentially Private Bayesian Neural Networks on Accuracy, Privacy and Reliability

Qiyiwen Zhang, Zhiqi Bu+2 more|arXiv (Cornell University)|Jul 18, 2021

Privacy-Preserving Technologies in Data参考文献 60被引用 4

一句话总结

本文提出了三种不同的差分隐私贝叶斯神经网络（DP-BNNs）——DP-SGLD、DP-BBP 和 DP-MC Dropout——通过差分隐私实现强隐私保障的同时整合不确定性量化。结果表明，DP-SGLD 在强隐私约束下实现了最先进的准确率和可靠的不确定性校准，揭示了 DP-SGD 与 DP-SGLD 之间的新等价关系，并凸显了两种方法在超参数影响上的显著差异。

ABSTRACT

Bayesian neural network (BNN) allows for uncertainty quantification in prediction, offering an advantage over regular neural networks that has not been explored in the differential privacy (DP) framework. We fill this important gap by leveraging recent development in Bayesian deep learning and privacy accounting to offer a more precise analysis of the trade-off between privacy and accuracy in BNN. We propose three DP-BNNs that characterize the weight uncertainty for the same network architecture in distinct ways, namely DP-SGLD (via the noisy gradient method), DP-BBP (via changing the parameters of interest) and DP-MC Dropout (via the model architecture). Interestingly, we show a new equivalence between DP-SGD and DP-SGLD, implying that some non-Bayesian DP training naturally allows for uncertainty quantification. However, the hyperparameters such as learning rate and batch size, can have different or even opposite effects in DP-SGD and DP-SGLD. Extensive experiments are conducted to compare DP-BNNs, in terms of privacy guarantee, prediction accuracy, uncertainty quantification, calibration, computation speed, and generalizability to network architecture. As a result, we observe a new tradeoff between the privacy and the reliability. When compared to non-DP and non-Bayesian approaches, DP-SGLD is remarkably accurate under strong privacy guarantee, demonstrating the great potential of DP-BNN in real-world tasks.

研究动机与目标

• 通过在私有深度学习中实现不确定性量化，弥合差分隐私与贝叶斯神经网络之间的差距。
• 开发并比较三种不同的 DP-BNN 架构——DP-SGLD、DP-BBP 和 DP-MC Dropout——每种方法使用不同的机制来建模权重不确定性。
• 分析 DP-BNN 中隐私（ε, δ）、预测准确率与可靠性（校准与不确定性量化）之间的权衡。
• 研究 DP-SGD 与 DP-SGLD 之间的理论与实证联系，揭示 DP-SGLD 是 DP-SGD 的子类，但具有不同的超参数敏感性。
• 评估 DP-BNN 在不同隐私预算下，于分类与回归任务中的可扩展性、计算效率与鲁棒性。

提出的方法

• 通过将随机梯度朗之万动力学（SGLD）与差分隐私相结合，提出 DP-SGLD，利用噪声梯度从后验分布中采样。
• 通过将 Bayes-by-Backprop 方法适配于差分隐私约束下，提出 DP-BBP，以优化变分后验参数，实现端到端可微的不确定性建模。
• 通过在差分隐私训练框架中引入 dropout 正则化，提出 DP-MC Dropout，利用随机前向传播估计预测不确定性。
• 采用 μ-GDP（高斯差分隐私）进行隐私会计，精确追踪并组合训练迭代过程中的隐私损失。
• 在网络权重上使用高斯先验，并通过后验预测方差评估不确定性，将其分解为主体性不确定性（模型）与偶然性不确定性（数据）。
• 在所有方法中均以 DP-SGD 作为基础优化器，噪声分别注入梯度（DP-SGLD）、参数（DP-BBP）或前向传播（DP-MC Dropout）中。

实验结果

研究问题

• RQ1 在相同的隐私预算（ε=4.21, δ=1/250）下，不同 DP-BNN 架构（DP-SGLD、DP-BBP、DP-MC Dropout）在预测准确率、不确定性量化与隐私保障方面的表现如何比较？
• RQ2 DP-SGD 与 DP-SGLD 之间存在何种理论关系？学习率与批量大小等超参数如何以不同方式影响其性能？
• RQ3 差分隐私在多大程度上会降低贝叶斯神经网络中的不确定性校准与预测可靠性？
• RQ4 DP-SGD 是否可被解释为一种天然提供不确定性量化的贝叶斯方法？如果是，其适用条件是什么？
• RQ5 在强隐私约束下，先验分布的引入在 DP-BNN 中如何影响校准与不确定性估计？

主要发现

• 在相同的隐私预算（ε=4.21, δ=1/250）下，DP-SGLD 在异方差回归任务上的均方误差为 0.510，显著优于 DP-BBP 和 DP-MC Dropout，表现出更高的预测准确率。
• DP-SGLD 在差分隐私下保持了高质量的不确定性量化，后验与数据不确定性估计的退化程度极低；而 DP-MC Dropout 显示出后验不确定性显著增加且平均预测不稳定。
• 尽管 DP-BBP 和 DP-MC Dropout 在非差分隐私设置下表现优异，但在引入差分隐私后性能显著下降，表明其变分与基于 dropout 的不确定性机制对噪声注入极为敏感。
• 建立了 DP-SGD 与 DP-SGLD 之间的新理论等价关系，表明 DP-SGLD 是 DP-SGD 的子类，但具有不同的超参数效应——例如，更大的批量大小可提升 DP-SGLD 的隐私性，但对 DP-SGD 无此影响。
• 在 DP-SGLD 中使用高斯先验可改善校准并减少可靠性差距，表明先验信息可缓解隐私引入的校准误差。
• DP-SGLD 在不同架构与任务中展现出更优的泛化能力与可靠性，在强隐私约束下，其准确率与不确定性校准均优于非贝叶斯与非私有基线模型。