Forgettable Federated Linear Learning with Certified Data Unlearning

技術的概要：証明付きデータ忘却を備えた忘却可能な連合線形学習（F2L2）

問題定義
連合学習（FL）は、データプライバシーを保護しつつ協調的なモデル訓練を可能にするが、「忘れられる権利」や悪意ある貢献（バックドア攻撃からの汚染データなど）の除去に関する重大な課題に直面している。既存の連合忘却（FU）手法は、実世界での採用を妨げる決定的な限界に苦しんでいる：

1. クライアント依存性：多くの手法は、保持されたクライアント（再訓練や微調整のため）または対象クライアント（勾配上昇またはカスタマイズされた最適化のため）の協力を必要とする。これは、クライアントが悪意ある場合や利用できない場合に、通信オーバーヘッドとセキュリティリスクをもたらす。
2. ストレージ非効率性：FedEraser などのアプローチは、すべての歴史的グローバルモデルの保存を必要とし、大規模な深層ニューラルネットワーク（DNN）に対して prohibitively なメモリコストを発生させる。
3. 証明の欠如：DNN の非線形性により、既存の FU 手法のほとんどは、忘却されたモデルがゼロから再訓練されたモデルと区別できないという理論的保証を欠いている。

扱われている核心的な研究課題は以下の通りである：クライアントの協力、対象クライアントの参加、または歴史的モデルの保存を必要とせず、証明された忘却を確保する実用的な FU フレームワークをどのように設計できるか？

手法：F2L2 フレームワーク
著者は、新しい訓練パイプラインとサーバーサイドの忘却メカニズムを統合した**忘却可能な連合線形学習（F2L2）**を提案する。

1. 連合線形訓練（FLT）：

   • 線形化：ニューラルタンジェントカーネル（NTK）およびその事前学習モデルへの拡張に触発され、FLT は事前学習済み重みベクトル $w_p^*$ 周辺で DNN を線形近似する。モデル関数は $f(x; w) \approx f(x; w_p^*) + \langle \nabla_w f(x; w_p^*), w - w_p^* \rangle$ として近似される。
   • 二次損失：この線形化により、損失関数は二次形式（平均二乗誤差）に変換され、凸性が保証される。
   • 訓練プロセス：サーバーは、事前学習済み基盤モデル（FM）または少量の信頼できる公開データセット（$D_p$）で訓練されたモデルを使用してモデルを初期化する。その後、クライアントはこの線形化されたモデルに対して標準的な連合平均（FedAvg）更新を実行する。重要なのは、事前学習済みエンコーダのパラメータは固定されたまま（FM の場合）であり、線形層の重みだけが更新される点である。

2. FedRemoval（証明付き忘却）：

   • ニュートンステップ：損失が二次であるため、対象クライアントのデータ（$D_c$）を除去した後の最適重みは、閉形式のニュートンステップを通じて計算できる：$w^- = w^* - [\nabla^2 L(w^*; D_-)]^{-1} \nabla L(w^*; D_-)$。
   • サーバーサイド実行：分散された残りのデータセット（$D_-$）全体でヘッシアンを反転させる計算コストを回避するため、FedRemoval はサーバー上で利用可能な事前学習データセット $D_p$ を用いてヘッシアンを近似する。
   • 効率性：忘却プロセスには、対象クライアントからの最終勾配（訓練中に既に共有済み）とサーバーのローカルデータのみが必要である。クライアントとの追加通信はゼロであり、歴史的モデルの保存もゼロである。更新は完全にサーバー上で計算される。

主要な貢献

1. 新規フレームワーク：F2L2 は、分散混合線形訓練（FLT）と純粋なサーバーサイド忘却メカニズム（FedRemoval）を組み合わせる最初の連合忘却ソリューションである。これは、忘却時のクライアント協力と歴史的モデルの保存の必要性を排除する。
2. 証明された保証：著者は、FedRemoval によって得られた重みと完全な再訓練によって得られた重みの間の $L_2$ ノルム不一致の理論的上界を導出した。これにより、忘却プロセスが効果的であるという厳密な証明が提供される。
3. 包括的な評価：MNIST、FashionMNIST、CIFAR10、ImageNet、DomainNet、Flowers の 6 つのデータセットと、線形プロービングを使用した基盤モデル（CLIP、BLIP2）を含む 4 つのモデルアーキテクチャで広範な実験が行われた。

実験結果

• 忘却の有効性：F2L2 はバックドア攻撃を正常に除去し、バックドア成功率（BSR）をランダム推測と同等のレベル（各種データセットで約 5-10%）まで低下させつつ、テスト精度（TA）を再訓練された真値に近いレベルに維持する。
• ベースラインとの比較：F2L2 は、TA と BSR の間のより良いトレードオフを達成することで、既存のベースライン（FedEraser、EWSGA、SGA、Flipping、CF など）を上回る。追加の通信や保存を必要とする場合が多いベースラインとは異なり、F2L2 はゼロの追加オーバーヘッドで真値に近い性能を達成する。
• 基盤モデル：この手法は、大規模な基盤モデル（ImageNet/DomainNet 上の CLIP など）に適用された場合にも効果的であり、汚染されたクライアントを効果的に忘却しながら高い TA（約 90-95%）を維持する。
• スケーラビリティと安定性：この手法は、クライアント数（5 から 20）や異なるデータ不均一性設定（Non-IID 分布）の範囲で安定しているが、BSR はより高い不均一性とともにわずかに増加し、それでもランダム推測レベルの近くに留まる。
• 効率性：ヘッシアン近似は計算コスト（FLOPs）を大幅に削減し、忘却フェーズ中の通信オーバーヘッドを排除する。

意義と主張
本論文は、F2L2 が効率的かつ信頼性の高い連合忘却のための有望なパイプラインであると主張する。事前学習済み重み周辺での線形化モデルの数学的性質を活用することで、著者は、通信オーバーヘッド、クライアント協力、または膨大なストレージ要件という従来のトレードオフを伴わずに証明された忘却を達成可能であることを実証している。この研究は、特に基盤モデルの文脈における DNN の線形近似が、ユーザーのプライバシー権利を尊重し、バックドア攻撃のようなセキュリティ脅威を緩和できる、スケーラブルで安全な連合システムへの実現可能な道筋を提供することを示唆している。

著者は、線形近似が効果的である一方で、分類を超えたより広範な FL 設定、生成タスク、または高度に非線形な領域へのフレームワークの拡張は、将来の研究の方向性であると指摘している。