Byzantine-Robust Aggregation for Securing Decentralized Federated Learning

技術要約：分散型フェデレーテッドラーニングのセキュリティ確保のためのビザンチン耐性集約

問題提起

分散型フェデレーテッドラーニング（DFL）は、中央サーバーを排除することで、単一障害点を回避し、スケーラビリティ、フォールトトレランス、およびプライバシーを向上させることで、フェデレーテッドラーニング（FL）のパラダイムを拡張するものである。しかし、この分散化は、重大なセキュリティ上の脆弱性を導入する。特に、悪意のあるクライアント（ビザンチンノード）が、任意の、あるいはポイズニングされたモデル更新を送信して学習プロセスを妨害しようとするビザンチン故障に関するものである。

中央集約型FL（CFL）には、数多くのビザンチン耐性集約アルゴリズムが存在するが、本論文では、それらの多くが中央集約型のシナリオ向けに設計されており、分散型環境においては必ずしも同様に効率的ではないことが指摘されている。DFLにおいては、中央コーディネーターの不在が統一的なセキュリティアルゴリズムの実装を複雑にし、動的な分散型トポロジーやノード能力の不均一性が、特有の課題を生み出している。既存の文献には、空間的および時間的な統計の両方を考慮して設計された、DFL専用のビザンチン耐性集約アルゴリズムに関する記述が不足している。

手法

著者らは、DFL環境向けに特別に設計された新しいビザンチン耐性集約アルゴリズムであるWFAggを提案する。本手法の中核は、各ノードが隣接ノードから受信したモデルに基づいて実行される、多段階のフィルタリングと加重集約プロセスである。

1. システム構成:
システムは、$N$個のクライアントが無向グラフ$G$上で協力するクロスデバイス・シナリオとしてモデル化されている。クライアントは、訓練されたモデルをすべての隣接ノードに転送するゴシップに着想を得たプロトコルを介して通信する。目標は、中央サーバーなしで、ネットワーク全体の経験損失関数を最小化することである。

2. WFAggアルゴリズム:
WFAggは、悪意のあるモデルを特定し緩和するために、3つのフィルターを用いたアプローチを採用している。モデルは、これらすべてのフィルターにおいて特定の基準を通過した場合のみ「良性」とみなされる。フィルターは逐次的に動作する：

• WFAgg-D (距離ベース): 各受信モデルと、受信したモデルのメディアン（中央値）との間のユークリッド距離を計算する。そして、$K$を受信したモデルの数、$f$を推定される悪意のあるノードの数としたとき、$K-f-1$個の最小距離を持つモデルを選択する。
• WFAgg-C (類似度ベース): 受信モデルとメディアンモデルとの間のコサイン距離を計算する。また、メディアンの大きさに基づくマグニチュード・クリッピングも採用している。これにより、方向性が大きく逸脱しているモデルを効果的にフィルタリングするため、$K-f-1$個の最小コサイン距離を持つモデルを選択する。
• WFAgg-T (時間ベース): モデル更新の時間的な進化を分析する。隣接ノードの現在の更新を、その過去の更新のタイムウィンドウ（ユークリッド距離およびコサイン類似度を使用）と比較する。指数移動平均（EWMA）を利用して、平均と標準偏差の閾値を設定する。これらの閾値を外れる更新は、急激かつ潜在的に悪意があるものとしてフラグが立てられる。

3. 加重集約 (WFAgg-E):
フィルターが良性モデルのサブセット（$T_1, T_2, T_3$）を特定した後、アルゴリズムは、受信した各モデルがいくつのフィルターによって良性と判定されたかに基づいて重みを割り当てる。

• 3つのフィルターすべてによって良性と判定されたモデルには、最高の重み（$\tau_1 + \tau_2 + \tau_3$）が与えられる。
• 1つのフィルターのみによって良性と判定されたモデルには、ゼロの重みが割り当てられる（拒絶される）。
• 2つのフィルターによって良性と判定されたモデルには、部分的な重みが割り当てられる。
  最終的な集約には、平滑化係数$\alpha$によって制御される、座標ごとの加重平均（FedAvgに似ているが、ローカルモデルと隣接モデルに対して異なる重み付けを行う）を使用する。

主な貢献

本論文は、4つの主要な貢献を概説している：

1. 新規アルゴリズム設計: 空間的（距離/類似度）および時間的フィルタリング技術を統合した、DFL専用のビザンチン耐性集約アルゴリズムであるWFAggの開発。
2. 比較評価: 最先端（SOTA）の中央集約型ビザンチン耐性アルゴリズム（Mean, Median, Trimmed-Mean, Krum, Multi-Krum, Clustering）を分散環境に適用した際の体系的な評価を行い、その限界を明らかにすること。
3. 実証的検証: 様々なビザンチン攻撃シナリオ（Noise, Sign-Flipping, Label-Flipping, ALIE, IPM）におけるIID画像分類タスク（MNIST）を用いた広範な実験により、WFAggが分散環境において中央集約型スキームを凌駕することを実証すること。
4. シミュレーションフレームワーク: これらの実験を実施するための、中央集約型および分散型のトポロジーの両方をサポートするPythonベースのDFLシミュレータの実装。

結果

実験は、20個のノード（10%が悪意のあるノード）を用いた8-レギュラーグラフ・トポロジー上で実施された。結果は以下を示している：

• 攻撃に対する堅牢性: WFAggは、中央集約型および分散型の両方のシナリオにおいて、テストされたすべての攻撃（Noise, Sign-Flipping, Label-Flipping, ALIE, およびIPM-100のバリアントを含む）を効果的に緩和した。
• SOTAとの比較:
  • MeanやTrimmed-Meanのような標準的な中央集約型アルゴリズムは、分散環境におけるNoiseおよびIPM-100攻撃の下では、収束に失敗するか、大幅な精度の低下を招いた。
  • 距離ベースのアルゴリズム（Krum, Multi-Krum）は、微細な方向の変化を区別できないため、分散環境におけるIPM-0.5攻撃に苦戦した。
  • クラスタリングベースの手法は、分散環境におけるNoise攻撃の下で失敗した。
  • WFAggは高い精度（例：様々なシナリオで約95-98%）を維持し、テストされた分散環境のSOTAアルゴリズムと比較して、より速い収束を達成した。
• モデルの一貫性: 良性ノード間のローカルモデルの類似性を測定する$R^2$指標を用いると、WFAggは、ノードが異なるモデルのサブセットを選択するために低い$R^2$値を示したKrumやClusteringのようなフィルタリングベースのSOTAアルゴリズムと比較して、優れた収束の一貫性を示した。
• 個別ノードの性能: 個別ノードの精度進化の分析によれば、良性ノードは、悪意のある隣接ノードに囲まれていても数ラウンド以内に高い精度に収束したが、悪意のあるノードは加重メカニズムによって効果的に隔離された。

意義および主張

本論文は、空間的および時間的統計の両方を考慮することで、ビザンチン耐性を明示的に扱う初めての事例として、WFAggが文献における新しいアプローチであることを主張している。著者らは、複数の軽量なフィルターの統合により、システムが動的かつ敵対的なIoT環境に適応できることを主張している。

本研究は、既存の中央集約型堅牢集約スキームはある程度の保護を提供するものの、DFLの特定の課題に対しては不十分であると結論付けている。提案されたWFAggアルゴリズムは、より効率的で堅牢な代替手段を提供し、多様なビザンチン攻撃が存在する場合でもモデルの精度と収束を保証する。著者らは、今後の研究として、これらの分散型学習プロセスにおけるオーバーヘッドとレイテンシをさらに削減するために、通信ネットワーク（例：ソフトウェア定義ネットワーク）の最適化に焦点を当てるべきであると示唆している。