技術要約: TL++: 分散型インテリジェントシステムのための精度およびプライバシー保護型トラバーサル学習

1. 問題提起

分散型インテリジェントシステム（臨床モニター、自律走行フリートなど）は、三者択一の課題に直面しています。すなわち、中央集権的勾配への等価性（非IIDデータによる収束性の低下を防ぐため）、通信効率（フルモデルの交換を避けるため）、および中間計算のセキュリティ（活性化値や勾配の漏洩を防ぐため）を同時に満たす必要があります。

既存のパラダイムは、これら3つを同時に満たすことができません：

• 連合学習 (Federated Learning: FL): データをローカルに保持しますが、非IIDデータ下での勾配の乖離に苦しみ、フルモデルの交換による高い通信コストが発生します。セキュアな集約は更新値は保護しますが、スプリット学習の中間計算は保護しません。
• スプリット学習 (Split Learning: SL): カットレイヤーの活性化値を送信することで通信量を削減しますが、サンプルを逐次的に処理するため（参加者間のクロス・グラディエント集約が不可能）、また活性化値や勾配をプレーンテキストで送信するため、インバージョン攻撃に対して脆弱です。
• トラバーサル学習 (Traversal Learning: TL): 中央集権的なトレーニングを模倣するためにノード間で仮想バッチを構築することで、精度と通信の問題を解決します。しかし、標準的なTLは中間値をプレーンテキストで送信するため、セミ・オネスト（半誠実）なサーバーに対するプライバシー保証がありません。

2. 手法: TL++ フレームワーク

著者らは、加法的な秘密分散を用いて、プライバシー保護機能を拡張した2モードのトラバーサル学習フレームワークである**TL++**を提案しています。

システムアーキテクチャ

システムは、$N$ 個のクライアントノード、1 つのオーケストレーター（サーバー）、および 1 つのヘルパー（サーバー）で構成されます。

• ノード: ローカルデータセットとニューラルネットワークの「下部」部分 ($f_{node}$) を保持します。
• オーケストレーター: ネットワークの「上部」部分 ($f_{server}$) を保持し、仮想バッチを構築してトレーニングを調整します。
• ヘルパー: 非共謀の第三者であり、オーケストレーターが単独でプレーンテキストのテンソルを再構成できないように、機密データの第2シェアを保持します。

2つの動作モード

1. ベースモード (Base Mode - 信頼環境用):

   • 標準的なトラバーサル学習と同一の機能を提供します。
   • ノードはカットレイヤーの活性化値をプレーンテキストでオーケストレーターに送信します。
   • オーケストレーターはフォワードパス、損失を計算し、勾配をバックプロパゲーションします。
   • 目的: 通信量を抑えつつ（フルモデルではなく活性化値を送信）、中央集権的勾配への等価性を達成すること。

2. セキュアモード (Secure Mode - プライバシー保護用):

   • 加法的な秘密分散: ノードは各カットレイヤーの活性化 $a$ を、2つのシェア $a^{(1)}$（オーケストレーターへ送信）と $a^{(2)} = a - a^{(1)}$（ヘルパーへ送信）に分割します。
   • 独立した処理: 両方のサーバーは、それぞれのシェアに対してサーバーモデル $f_{server}$ を独立して適用します。
   • 再構成: オーケストレーターは出力 $\hat{y} = \hat{y}^{(1)} + \hat{y}^{(2)}$ を再構成し、ラベルを用いて損失を計算します。
   • 勾配の分解: カットレイヤーの勾配は加法的に分解されます ($G = G^{(1)} + G^{(2)}$)。どちらのサーバーも完全なプレーンテキストの勾配を見ることはできません。

理論的制約と厳密性

本論文の重要な貢献は、セキュアモードが**厳密（exact）**となる条件を定式化したことです：

• 線形条件: セキュアプロトコルが厳密であるのは、シェアに対して行われる操作が線形またはアフィンである場合に限られます。
• 非線形性の取り扱い: もし $f_{server}$ が（セキュアな非線形プロトコルであるガボール回路などを用いずに）シェアに対して直接非線形操作（ReLU、プーリング、ソフトマックスなど）を行う場合、結果は近似となります。
• 示唆: 評価されたCNNアーキテクチャにおいて、Cut 3（最初の全結合層の後、最終分類の前）は、サーバーパスが線形であるため、厳密なセキュア評価が可能です。Cut 1 および Cut 2 は、カットより上に非線形層が含まれているため、追加のセキュアな非線形プロトコルを採用しない限り、セキュアモードの結果は近似となります。

3. 主な貢献

1. 2モードフレームワーク: TL++ は、信頼できる環境用のベースモードと、非共謀のヘルパーと加法的な秘密分散を用いて中間的な活性化値と勾配を保護するセキュアモードをサポートします。
2. 厳密性の条件: 著者らは、TL++ の仮想バッチのフォワードおよびバックプロパースが、加法的なシェアに対して厳密であるための条件は、シェアごとのサーバーパスが線形またはアフィンである場合のみであることを証明しました。これは、アーキテクチャの選択（非線形な $f_{server}$ はベースモードでは有効）とプロトコルの制約（セキュアモードは厳密性のために線形性を必要とする）を区別するものです。
3. 限定的なプライバシー: 本システムは、どちらのサーバーもプレーンテキストの中間値を見ることができない活性化レベルのプライバシーを提供しますが、オーケストレーターが損失計算のためにラベルと出力値を見る必要があるという限界も認めています。
4. 通信分析: 論文では、カットの深さ、ペイロードサイズ、および同期コストのトレードオフを分析しており、深いカットほど活性化のサイズは小さくなるものの、ノード側の同期オーバーヘッドが増加する場合があることを示しています。

4. 実験結果

フレーム・ワークは、CIFAR-10（画像分類）および BioGPT/PubMedQA（LoRAを用いた生物医学NLP）を用いて評価されました。

精度 (CIFAR-10)

• 中央集権的ベースライン: 精度 92.03%
• TL++ Base (Cut 1): 91.41% (差 0.62%)
• TL++ Secure (Cut 3 - 厳密): 90.93% (差 1.10%)
• 比較: TL++ は FL のベースライン（例：FedAvg の 74.56%）や標準的なスプリット学習（78.88%）を大幅に上回っており、仮想バッチの構築によって非IID条件下でも中央集権的な有用性を回復できることを示しています。
• Secure vs. Base: 厳密な設定（Cut 3）は高い精度を維持していますが、近似的な設定（Cuts 1 & 2）は非線形近似により、やや大きな差が生じています。

通信効率

• ペイロード削減: TL++ Base Cut 1 は、フルモデル同期（FedAvg）と比較して、ステップあたりの通信ペイロードを 13.1倍 削減します。
• セキュアなオーバーヘッド: セキュアモードはシェアリングによりカットパスのトラフィックをほぼ倍増させますが、それでもフルモデルの FL（例：Secure Cut 1 は FedAvg より 4.2倍小さい）よりはるかに効率的です。
• レイテンシ: ペイロードは削減されますが、セキュアモードはサーバー間の調整を導入します。ただし、並列計算によりクリティカルパスの計算時間は低く保たれます（約120ms）。ただし、セキュアな構成ではネットワーク時間が長くなります。

BioGPT/PubMedQA

• TL++ Base および Secure モードは、中央集権的なファインチューニング（約 81-83%）に匹敵する精度を達成し、FL および標準的な SL ベースラインを大幅に上回りました。これにより、パラメータ効率の高いチューニング（LoRA）を用いた NLP タスクにおける本手法の妥当性が検証されました。

5. 意義と主張

本論文は、TL++ が分散型AIにおけるFederated Learning と Split Learning の中間領域を提供すると主張しています。

• 有用性: 仮想バッチを通じて正確なミニバッチ勾配挙動を回復することで、中央集権的なレベルの有用性に接近し、非IIDデータ下での FL に見られる精度低下の問題を解決します。
• 効率性: フルモデルのパラメータではなく、カットレイヤーの活性化値と勾配を送信することで、通信コストを削減します。
• プライバシー: 中間テンソルを秘密分散することで、非共謀のヘルパーが存在することを前提として、単一のセミ・オネストなサーバーから保護する、構成可能なプライバシー層を導入しています。

限界と範囲:
著者らは、プライバシー保証の範囲について以下のように述べています：

• 脅威モデル: セキュリティは、セミ・オネストかつ非共謀の2サーバー設定に限定されます。共謀するサーバー、悪意のある逸脱、またはサイドチャネル攻撃（タイミング、メタデータ）に対しては保護されません。
• ラベルの開示: 現在のプロトコルでは、損失計算のためにオーケストレーターがラベルと出力値を見る必要があります。
• 厳密性: 厳密なセキュアトレーニングには線形なサーバーパスが必要です。非線形操作には、追加のセキュアMPCプロトコルを用いるか、近似を受け入れる必要があります。
• 展開: 本システムは、通信がボトルネックであり、かつデータの不均一性が標準的な FL を信頼できなくさせる場合に最も効果的です。

要約すると、TL++ は、特定のアーキテクチャおよび信頼の仮定（非共謀、厳密性のための線形なシェアパス）が満たされる場合に、精度の損失なし、通信の効率性、および限定的な中間値のプライバシーを組み合わせることが可能であることを示しています。