[论文解读] On the Convergence of Deep Learning with Differential Privacy.

Zhiqi Bu, Hua Wang+2 more|arXiv (Cornell University)|Jun 15, 2021

Privacy-Preserving Technologies in Data参考文献 35被引用 7

一句话总结

本文在神经正切核（NTK）框架下，对差分隐私（DP）深度学习的收敛性进行了分析，提出了一种新颖的全局裁剪方法，该方法在保证隐私的前提下，确保DP-GD的收敛性单调趋近于零损失。研究证明，在梯度流极限下，DP优化器中的噪声不会阻碍收敛，并且理论与实证结果均表明，全局裁剪在收敛性和模型校准方面优于局部裁剪，尤其在训练校准分类器方面表现更优。

ABSTRACT

In deep learning with differential privacy (DP), the neural network achieves the privacy usually at the cost of slower convergence (and thus lower performance) than its non-private counterpart. This work gives the first convergence analysis of the DP deep learning, through the lens of training dynamics and the neural tangent kernel (NTK). Our convergence theory successfully characterizes the effects of two key components in the DP training: the per-sample clipping (flat or layerwise) and the noise addition. Our analysis not only initiates a general principled framework to understand the DP deep learning with any network architecture and loss function, but also motivates a new clipping method -- the global clipping, that significantly improves the convergence while preserving the same privacy guarantee as the existing local clipping. In terms of theoretical results, we establish the precise connection between the per-sample clipping and NTK matrix. We show that in the gradient flow, i.e., with infinitesimal learning rate, the noise level of DP optimizers does not affect the convergence. We prove that DP gradient descent (GD) with global clipping guarantees the monotone convergence to zero loss, which can be violated by the existing DP-GD with local clipping. Notably, our analysis framework easily extends to other optimizers, e.g., DP-Adam. Empirically speaking, DP optimizers equipped with global clipping perform strongly on a wide range of classification and regression tasks. In particular, our global clipping is surprisingly effective at learning calibrated classifiers, in contrast to the existing DP classifiers which are oftentimes over-confident and unreliable. Implementation-wise, the new clipping can be realized by adding one line of code into the Opacus library.

研究动机与目标

• 理解在神经正切核（NTK）框架下，差分隐私深度学习的收敛行为。
• 分析样本级裁剪与噪声添加对DP训练中收敛性的影响。
• 构建一种普适且可推广的框架，适用于任意网络架构与损失函数。
• 提出一种新型裁剪策略——全局裁剪，以在不损害隐私的前提下提升收敛性。
• 通过实证验证，全局裁剪相比现有DP方法能训练出更校准的分类器。

提出的方法

• 利用梯度流极限（无穷小学习率）分析DP训练动力学，以隔离裁剪与噪声的影响。
• 建立样本级裁剪与NTK矩阵之间的精确数学联系，揭示裁剪如何在优化过程中改变核矩阵。
• 提出全局裁剪，即在所有样本和层上全局裁剪梯度，作为对局部裁剪（样本级或层级）的更优替代方案。
• 证明在全局裁剪下，DP-GD可单调收敛至零损失，而这一性质在使用局部裁剪的现有DP-GD中无法保证。
• 将理论框架扩展至其他优化器，如DP-Adam，证明其广泛适用性。
• 通过仅在Opacus库中增加一行代码，实现全局裁剪，支持实际部署。

实验结果

研究问题

• RQ1 在NTK框架下，样本级裁剪如何影响DP深度学习的收敛性？
• RQ2 在梯度流范式下，为差分隐私注入的噪声是否会阻碍收敛？
• RQ3 能否设计一种新的裁剪策略，确保在DP-GD下实现单调收敛至零损失？
• RQ4 在收敛性与模型校准方面，全局裁剪与局部裁剪相比表现如何？
• RQ5 基于梯度流的理论洞察能否推广至DP-Adam等实际优化器？

主要发现

• 在梯度流极限下，DP优化器中的噪声水平不影响收敛性，即收敛性与噪声尺度无关。
• 采用全局裁剪的DP-GD可保证单调收敛至零损失，而现有采用局部裁剪的DP-GD则可能违反此性质。
• 全局裁剪在保持相同隐私保证的前提下，收敛速度显著快于局部裁剪。
• 实证结果表明，采用全局裁剪训练的模型在分类与回归任务中表现更优，尤其在学习校准分类器方面优势明显。
• 所提出的全局裁剪方法仅需在Opacus库中修改一行代码即可实现，便于广泛采用。
• 基于NTK的理论框架为任意架构与损失函数的DP训练动力学提供了通用且原理清晰的理解。