An Adaptive Differentially Private Federated Learning Framework

Riepilogo Tecnico: FedDimDP – Un Framework di Federated Learning con Differenziale Privacy Adattiva

Problematica
Il Federated Learning (FL) consente l'addestramento collaborativo di modelli preservando la località dei dati, tuttavia le implementazioni pratiche affrontano due sfide critiche: la eterogeneità statistica (dati Non-IID) e i vincoli della privacy differenziale (DP).

1. Dati Non-IID: Quando le distribuzioni dei dati locali divergono dalla popolazione globale, gli aggiornamenti dei client diventano divergenti in magnitudo e direzione. Ciò porta al client drift, a un'aggregazione distorta e a dinamiche di addestramento instabili.
2. Privacy Differenziale: Per proteggere la privacy, lo standard DP-SGD applica un clipping del gradiente con norma $\ell_2$ fisso seguito dall'iniezione di rumore gaussiano. Tuttavia, le soglie di clipping fisse non riescono ad adattarsi alle distribuzioni dei gradienti variabili nel tempo e dipendenti dal client. Ciò risulta in un over-clipping (perdita di segnale utile) o in un under-clipping (dominanza del rumore iniettato), causando oscillazioni nell'addestramento e una degradazione delle prestazioni del modello.
   L'articolo sostiene che la combinazione del drift Non-IID e dei rigidi meccanismi DP esacerbi questi problemi, portando a una significativa degradazione dell'utilità in contesti eterogenei.

Metodologia: FedDimDP
Gli autori propongono FedDimDP, un framework progettato per migliorare l'efficienza del modello sotto queste sfide accoppiate attraverso tre moduli coordinati:

1. Modulo di Riduzione della Dimensionalità Locale Leggera (LLDM):

   • Obiettivo: Regolarizzare le rappresentazioni intermedie e ridurre la variabilità del gradiente prima dell'iniezione del rumore DP.
   • Meccanismo: Lato client, una matrice di proiezione canalizzata apprendibile riduce la dimensionalità delle mappe di caratteristiche intermedie ($C \to C'$ dove $C' \ll C$). Successivamente, viene applicata la sparsificazione del gradiente durante la backpropagation, azzerando le componenti del gradiente al di sotto di una soglia $\tau_t$ in decadimento dinamico.
   • Effetto: Questo produce gradienti più strutturati e stabili, mitigando l'amplificazione del rumore di privacy durante l'ottimizzazione locale.

2. Clipping del Gradiente con Differenziale Privacy Adattiva (ADPC):

   • Obiettivo: Regolare dinamicamente le soglie di clipping per adattarsi alle scale di aggiornamento in evoluzione, evitando la perdita di segnale o la dominanza del rumore.
   • Meccanismo: Invece di una soglia fissa, il server calcola la norma $\ell_2$ degli aggiornamenti del modello ($\Delta w_i$) da tutti i client partecipanti. La soglia di clipping $C^{(t+1)}$ per il round successivo è impostata sulla mediana di queste norme (limitata da un $C_{min}$).
   • Effetto: Ciò assicura che il vincolo di privacy si allinei con la scala effettiva degli aggiornamenti dei client, stringendo automaticamente la protezione quando gli aggiornamenti sono piccoli e rilassandola quando il drift Non-IID causa aggiornamenti più grandi.

3. Aggregazione Robusta Consapevole dei Vincoli (CRA):

   • Obiettivo: Sopprimere gli aggiornamenti inaffidabili o dominati dal rumore e stabilizzare la direzione della discesa globale.
   • Meccanismo:
     • Pesi Nominali: Il server calcola i pesi iniziali basandosi su un "punteggio di utilità-stabilità", combinando le prestazioni di validazione locale (F1-score) e la stabilità dell'aggiornamento, mediati tramite medie mobili esponenziali.
     • Insieme di Ambiguità: Un approccio di ottimizzazione robusta distribuionalmente definisce un insieme di ambiguità attorno ai pesi nominali, permettendo una deviazione controllata.
     • Ripesatura Sensibile alla Direzione: Il server calcola la deviazione direzionale di ogni aggiornamento del client rispetto alla direzione aggregata nominale. Successivamente, esegue una discesa proiettiva leggera per trovare pesi robusti che minimizzino l'impatto dei client con grandi deviazioni direzionali, rispettando al contempo i vincoli di ambiguità.
   • Effetto: Questo riduce il peso degli aggiornamenti instabili senza richiedere un complesso ciclo di ottimizzazione interna, stabilizzando l'aggregazione globale contro il rumore DP e il drift Non-IID.

Contributi Chiave
L'articolo riassume i suoi contributi come segue:

• Meccanismo DP Adattivo: Una strategia di clipping calibrata sulle statistiche storiche della norma di aggiornamento, che migliora il compromesso utilità-privacy e stabilizza l'ottimizzazione in condizioni eterogenee.
• Aggregazione Robusta Consapevole dei Vincoli: Un nuovo meccanismo di aggregazione per la classificazione di immagini che integra la ripesatura sensibile a stabilità/utilità con la correzione della direzione per sopprimere gli aggiornamenti dominati dal rumore e mitigare il drift Non-IID.
• Validazione Sperimentale: Valutazione completa che dimostra miglioramenti costanti nella stabilità della convergenza e nelle prestazioni di classificazione rispetto ai baseline allo stato dell'arte.

Risultati Sperimentali
Il framework è stato valutato sui dataset CIFAR-10, SVHN e STL-10 sotto partizioni Non-IID (skew dei label basato su Dirichlet) con un budget di privacy $\epsilon=8$.

• Prestazioni: FedDimDP ha raggiunto l'accuratezza e i punteggi F1 più elevati in tutti i dataset.
  • CIFAR-10: 81.1% di accuratezza (rispetto al 74.2% del miglior baseline, DP-FedSAM).
  • SVHN: 89.7% di accuratezza (rispetto a FedACG con 88.0%).
  • STL-10: 65.2% di accuratezza (rispetto a DP-ACDN con 62.3%).
• Studi di Ablazione: La rimozione di uno qualsiasi dei tre componenti principali (LLDM, ADPC o CRA) ha causato una degradazione delle prestazioni. La rimozione dell'Aggregazione Robusta (senza CRA) ha causato il calo più significativo su CIFAR-10 e STL-10, mentre la rimozione di LLDM ha avuto l'impatto maggiore su SVHN, confermando la natura complementare di tutti e tre i moduli.

Significatività e Rivendicazioni
L'articolo afferma che FedDimDP affronta con successo l'instabilità causata dall'intersezione tra la privacy differenziale e l'eterogeneità dei dati. Collegando esplicitamente il clipping del gradiente, l'iniezione di rumore e l'aggregazione lato server, il framework raggiunge un "favorevole compromesso utilità-stabilità". Gli autori sostengono che il loro approccio fornisca un modo rigoroso per gestire l' "oscillazione dell'addestramento" e la "degradazione delle prestazioni del modello" inerenti ai sistemi DP-FL a soglia fissa, particolarmente in scenari edge con risorse limitate dove i dati sono Non-IID. Il lavoro suggerisce che i meccanismi adattivi siano essenziali per mantenere l'utilità del modello quando vengono imposte rigorose garanzie di privacy in implementazioni eterogenee realistiche.