[论文解读] Subject Granular Differential Privacy in Federated Learning

Virendra J. Marathe, Pallika Kanani+2 more|arXiv (Cornell University)|Jun 7, 2022

Privacy-Preserving Technologies in Data被引用 6

一句话总结

本文在联邦学习中引入了主体粒度的差分隐私（DP），其中主体的数据分布在多个用户之间。提出两种新算法——\localgroupdp 和 \higradavg，分别在用户端本地强制执行主体级DP，其中 \localgroupdp 在隐私与模型效用之间实现了最佳权衡，在FEMNIST和Shakespeare数据集上的实证评估中优于用户级和项级DP基线方法。

ABSTRACT

This paper considers subject level privacy in the FL setting, where a subject is an individual whose private information is embodied by several data items either confined within a single federation user or distributed across multiple federation users. We propose two new algorithms that enforce subject level DP at each federation user locally. Our first algorithm, called LocalGroupDP, is a straightforward application of group differential privacy in the popular DP-SGD algorithm. Our second algorithm is based on a novel idea of hierarchical gradient averaging (HiGradAvgDP) for subjects participating in a training mini-batch. We also show that user level Local Differential Privacy (LDP) naturally guarantees subject level DP. We observe the problem of horizontal composition of subject level privacy loss in FL - subject level privacy loss incurred at individual users composes across the federation. We formally prove the subject level DP guarantee for our algorithms, and also show their effect on model utility loss. Our empirical evaluation on FEMNIST and Shakespeare datasets shows that LocalGroupDP delivers the best performance among our algorithms. However, its model utility lags behind that of models trained using a DP-SGD based algorithm that provides a weaker item level privacy guarantee. Privacy loss amplification due to subject sampling fractions and horizontal composition remain key challenges for model utility.

研究动机与目标

• 填补联邦学习（FL）隐私方面的空白，通过引入主体级差分隐私，其中主体的数据被分散在多个用户之间。
• 在联邦学习中正式定义主体级DP，将其与项级和用户级隐私保障区分开来。
• 开发并分析两种新算法——\\localgroupdp 和 \\higradavg，实现在联邦学习用户端的主体级DP。
• 证明用户级本地差分隐私（LDP）自然蕴含主体级DP，为比较提供基线。
• 研究隐私损失的水平组合与主体数据分布对主体级DP设置中模型效用的影响。

提出的方法

• 提出 \\localgroupdp，作为在DP-SGD框架内对群体差分隐私的本地应用，其中每个用户对其属于同一主体的所有数据项的梯度应用DP。
• 提出 \\higradavg，一种分层梯度平均技术，通过基于主体基数在多个层级上聚合梯度，来模糊主体级贡献。
• 使用组合定理，正式证明在凸损失函数下，\\localgroupdp 和 \\higradavg 均具备主体级DP保障。
• 利用主体采样比例实现隐私放大，以降低噪声尺度，噪声根据每个小批量中最大主体组规模进行校准。
• 对梯度应用标准的DP-SGD噪声机制（高斯机制），隐私预算按主体组分配，而非按每个数据项或用户分配。
• 将用户级LDP集成作为基线，表明其因模糊了单个用户贡献而天然满足主体级DP。

实验结果

研究问题

• RQ1 在数据分布在多个用户之间的联邦学习环境中，如何正式定义并保障主体级差分隐私？
• RQ2 在模型效用方面，主体级DP算法与现有项级或用户级DP基线相比，性能权衡如何？
• RQ3 联邦用户之间主体数据分布的非均匀性如何影响主体级DP中的隐私-效用权衡？
• RQ4 在主体级DP中，隐私损失在用户间的水平组合对模型效用有何影响？
• RQ5 分层梯度平均能否有效降低噪声放大，同时在联邦学习中保持主体级隐私？

主要发现

• \localgroupdp 算法在所提方法中实现了最佳模型效用，在FEMNIST上性能下降15%，在Shakespeare上下降18%，相比非私有的FedAvg。
• 尽管在项级隐私保障上较弱，LocalItemDP在效用上优于 \localgroupdp，在FEMNIST上仅下降8%，在Shakespeare上下降22%。
• 用户级LDP导致的效用损失显著高于 \localgroupdp，表现为更高的观测损失和更低的测试准确率。
• \higradavg 表现劣于 \localgroupdp，因噪声尺度放大达一个数量级，尤其在Shakespeare等主体基数较高的数据集中更为明显。
• 主体数据分布不均会增加小批量中的组规模，减少隐私预算，从而降低 \localgroupdp 的性能，在FEMNIST中当 α=16 时测试准确率降至50%以下。
• 主体级隐私损失的水平组合限制了训练时长，并进一步降低模型效用，凸显了实际部署中的关键挑战。