DP-FedSOFIM: Differentially Private Federated Stochastic Optimization using Regularized Fisher Information Matrix

1. Il Problema

L'apprendimento federato (Federated Learning - FL) permette di addestrare modelli su dati distribuiti senza centralizzarli, ma l'integrazione della Privacy Differenziale (DP) per proteggere i dati dei clienti introduce sfide significative:

• Degrado della Convergenza: Per garantire la privacy, i gradienti devono essere "clippati" (limitati) e perturbati con rumore gaussiano. In budget di privacy stretti (es. $\epsilon < 2$), questo rumore domina il segnale del gradiente vero, causando una convergenza lenta o il blocco dell'addestramento.
• Limiti dei Metodi Esistenti:
  • I metodi di primo ordine (come DP-FedAvg/GD) soffrono di convergenza lenta in paesaggi di ottimizzazione mal condizionati.
  • I metodi di secondo ordine (basati su Hessiano o Matrice di Fisher) possono accelerare la convergenza, ma le soluzioni attuali per FL-privato (es. DP-FedNew, DP-FedFC) richiedono che i client calcolino o trasmettano matrici di covarianza delle caratteristiche di dimensione $O(d^2)$. Questo è proibitivo per modelli ad alta dimensionalità e dispositivi edge con risorse limitate.
  • Inoltre, calcolare statistiche di secondo ordine lato client introduce sensibilità aggiuntiva che deve essere gestita nel bilancio della privacy.

2. Metodologia: DP-FedSOFIM

Gli autori propongono DP-FedSOFIM, un metodo di ottimizzazione stocastica federata che utilizza una Matrice di Fisher regolarizzata come precondizionatore, spostando interamente il calcolo della curvatura sul server.

Principi Chiave:

1. Precondizionamento di Secondo Ordine lato Server:

   • I client eseguono esattamente le stesse operazioni di un metodo di primo ordine standard (clipping dei gradienti e aggiunta di rumore gaussiano). Non calcolano alcuna matrice di curvatura.
   • Il server riceve i gradienti aggregati e privatizzati ($G_t$).
   • Il server costruisce un proxy della Matrice di Fisher (FIM) utilizzando un buffer di momento esponenziale ($M_t$) che accumula i gradienti aggregati nel tempo: $M_t = \beta M_{t-1} + (1-\beta)G_t$.
   • Il proxy della curvatura è definito come una matrice di rango uno: $\hat{I}_t = M_t M_t^\top + \rho I_d$, dove $\rho$ è un parametro di regolarizzazione per la stabilità numerica.

2. Aggiornamento Efficiente (Sherman-Morrison):

   • Grazie alla struttura di rango uno, l'inversa della matrice di Fisher ($H_t = \hat{I}_t^{-1}$) può essere calcolata in modo esatto ed efficiente utilizzando l'identità di Sherman-Morrison.
   • Questo riduce la complessità computazionale e di memoria da $O(d^2)$ a $O(d)$ per round, rendendo il metodo scalabile anche per modelli con milioni di parametri.
   • L'aggiornamento del modello globale diventa: $\theta_{t+1} = \theta_t - \eta_t H_t G_t$.

3. Preservazione della Privacy:

   • Poiché tutte le operazioni di precondizionamento (calcolo di $M_t$, inversione, aggiornamento) avvengono sul server utilizzando solo quantità già privatizzate (i gradienti aggregati $G_t$), il teorema del post-processing della Privacy Differenziale garantisce che DP-FedSOFIM non introduca alcun costo di privacy aggiuntivo rispetto al meccanismo di rilascio dei gradienti di base.

3. Contributi Chiave

• Precondizionamento di Secondo Ordine Esclusivo al Server: Elimina la necessità di calcoli di secondo ordine lato client, risolvendo il collo di bottiglia della memoria $O(d^2)$.
• Complessità $O(d)$: L'uso dell'aggiornamento Sherman-Morrison permette di mantenere la complessità computazionale e di comunicazione lineare rispetto alla dimensione del modello, rendendo il metodo pratico per l'FL su larga scala.
• Garanzie di Privacy Invariate: Dimostrazione teorica che il precondizionamento server-side non viola i vincoli $(\epsilon, \delta)$-DP, poiché agisce su dati già rumorosi.
• Analisi di Convergenza: Prove teoriche di convergenza lineare verso un vicinanza di errore determinata dal rumore e dal bias di clipping, sia in scenari convessi forti che sotto la condizione di Polyak-Łojasiewicz.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su CIFAR-10 e PathMNIST (dataset medico) con architetture ResNet-20 (solo l'ultimo strato lineare ottimizzato) e variando il numero di client (20 e 100) e i budget di privacy ($\epsilon \in \{0.5, 1, 2, 5, 10\}$).

• Prestazioni Superiori: DP-FedSOFIM supera costantemente i baseline (DP-FedGD, DP-FedFC, DP-SCAFFOLD) in termini di accuratezza finale e velocità di convergenza.
  • Su CIFAR-10: Miglioramenti fino a +4.05% rispetto a DP-FedGD in setting non privati e +1.26% - 1.45% sotto vincoli di privacy stretti ($\epsilon=1$).
  • Su PathMNIST: I guadagni sono ancora più significativi (fino a +4.86%), suggerendo che i task medici, spesso mal condizionati, beneficiano enormemente dell'informazione di curvatura.
• Convergenza Accelerata: Il metodo raggiunge l'accuratezza target di DP-FedGD fino a 20 round prima, riducendo drasticamente il costo di comunicazione.
• Robustezza alla Privacy Stretta: Anche con $\epsilon = 0.5$, DP-FedSOFIM mantiene un vantaggio significativo, mentre metodi come DP-SCAFFOLD falliscono a causa della corruzione dei variabili di controllo dal rumore elevato.
• Fenomeno di "Recupero": In setting di privacy molto stretta su CIFAR-10, si osserva una lieve instabilità iniziale (round 10-20) dovuta al rumore che corrompe il buffer di momento, ma il metodo recupera rapidamente e supera tutti gli altri entro il round 30 man mano che il segnale si stabilizza.

5. Significato e Impatto

DP-FedSOFIM rappresenta un passo avanti cruciale per l'Apprendimento Federato Differenzialmente Privato (DP-FL):

• Scalabilità: Rende fattibile l'uso di metodi di secondo ordine (natural gradient) in ambienti federati con risorse limitate, eliminando l'overhead di memoria quadratico.
• Efficienza: Riduce il numero di round di comunicazione necessari per raggiungere un'accuratezza desiderabile, un fattore critico per dispositivi mobili e IoT.
• Applicabilità Reale: Offre una soluzione praticabile per settori ad alto rischio come sanità (diagnostica su immagini mediche) e finanza, dove la privacy è obbligatoria ma l'accuratezza del modello è vitale.
• Equilibrio Privacy-Utilità: Dimostra che è possibile ottenere guadagni significativi in termini di utilità del modello senza compromettere le garanzie di privacy formali, superando il tradizionale compromesso (trade-off) tra privacy e performance.

In sintesi, il lavoro dimostra che l'intelligenza geometrica (curvatura) può essere estratta in modo sicuro ed efficiente dai gradienti aggregati rumorosi, aprendo la strada a modelli federati più robusti e performanti in scenari di privacy rigorosa.