기술 요약: FED-FBD

문제 정의

연합 학습(Federated Learning, FL)은 탈중앙화된 의료 데이터를 공유하지 않고도 협력적인 모델 학습을 가능하게 합니다. 그러나 FedAvg, FedProx, FedNova와 같은 지배적인 방식들은 클라이언트를 블랙박스로 취급하며, 이는 실제 의료 현장 배치 시 다음과 같은 세 가지 결정적인 취약점을 초래합니다:

1. 격리 부족(Lack of Isolation): 단 하나의 적대적 또는 잘못 레이블링된 클라이언트가 전체 글로벌 모델을 오염시킬 수 있습니다. 모든 클라이언트의 그래디언트가 모든 파라미터에 기여하기 때문입니다.
2. 취약한 프라이버시 보장: 표준 연합 학습은 내재적인 프라이버시를 제공하지 않으며, 보호는 차분 프라이버시(Differential Privacy)나 보안 집계(Secure Aggregation)와 같은 "덧붙여진(bolt-on)" 메커니즘에 의존합니다.
3. 비효율적인 언러닝(Unlearning): 참가자의 "잊힐 권리"를 준수하기 위해서는 일반적으로 모델을 처음부터 다시 학습시키거나 값비싼 근사법을 사용해야 합니다.

저자들은 이러한 문제들이 공통된 근원에서 비롯된다고 주장합니다: 바로 모든 가중치가 공유 자원이라는 점입니다. 만약 파라미터가 소규모의 알려진 클라이언트 집합에 의해 소유될 수 있다면, 오염은 구조적으로 차단될 수 있고, 기억(memorization)은 구조적으로 제한될 수 있으며, 클라이언트 제거는 집합 연산으로 단순화될 수 있습니다.

방법론: FED-FBD

본 논문은 ResNet 백본을 스템(stem), 4개의 잔차 그룹(residual groups), 그리고 분류 헤드(classification head)의 6개 기능 블록으로 분해하는 모듈형 아키텍처인 **FED-FBD (Federated Functional Block Diversification)**를 제안합니다.

핵심 아키텍처

• 창고(The Warehouse): 서버는 $N$개의 "컬러 변체(colour variants)"(완전한 모델들)를 보유하는 창고를 유지합니다. 각 컬러는 기능적 위치당 하나의 블록으로 조립됩니다.
• 기여자 스탬핑(Contributor Stamping): 각 블록 가중치 텐서에는 고유한 해시와 해당 블록을 업데이트한 특정 클라이언트 ID를 기록하는 훈련 추적(training trace)이 할당됩니다.
• 배송 계획(Shipping Plan): 사전 정의된 계획은 각 클라이언트를 알려진 컬러의 하위 집합으로 제한합니다. 예를 들어, 6명의 클라이언트와 6개의 컬러로 구성된 설정에서, 클라이언트 0은 오직 컬러 $M_0, M_1, M_2$를 위한 블록에만 쓸 수 있습니다. 결과적으로 컬러 $M_3, M_4, M_5$는 클라이언트 0으로부터 아키텍처적으로 격리됩니다.
• 학습 목표: 클라이언트는 크로스 엔트로피 정확도와 쿨백-라이블러(KL) 발산 항을 결합한 손실 함수를 최소화합니다. KL 항은 클라이언트의 예측이 무작위로 선택된, 서로 다르게 매개변수화된 "형제(sibling)" 컬러를 향하도록 유도하여 기능적 다양성을 촉진하고 붕괴를 방지합니다.
• 서버 프로토로콜: 서버는 가중 평균을 수행하는 대신 블록 가중치를 **직접 교체(direct replacement)**합니다. 클라이언트가 업데이트된 블록을 반환하면, 해당 블록-컬러 교차점에 존재하는 기존 텐서를 덮어씁니다.

핵심 메커로 메커니즘

1. 블록 수준 격리: 블록이 직접 덮어씌워지기 때문에, 클라이언트의 배송 계획에서 제외된 블록은 수학적으로 해당 클라이언트의 데이터로부터 유래된 정보를 절대 포함할 수 없음이 보장됩니다.
2. 외과적 언러닝(Surgical Unlearning): 클라이언트를 제거하려면 서버는 클라이언트가 기여자로 참여한 모든 블록을 식별하고, 이를 해당 위치의 나머지 "깨끗한" 컬러들의 평균값으로 교체합니다. 이는 재학습을 필요로 하지 않습니다.
3. 추론 라우팅: 추론 시, 시스템은 샘플당 가장 신뢰할 수 있는 컬러로 예측을 라우팅하거나 앙상블을 평균화할 수 있으며, 사후적으로 오염된 컬러를 제외할 수 있습니다.

주요 기여

1. 아키텍처적 격리: FED-FBD는 완벽한 블록 수준 격리를 제공합니다. 실험 결과, 심각한 적대적 공격(레이블 뒤집기, 노이즈 주입) 상황에서도 "깨끗한" 컬러(공격자가 건드릴 수 없는 컬러)는 $\pm 0.01$ AUC 이내의 편차만을 보였으나, 오염된 컬러는 크게 저하되었습니다.
2. 설계에 의한 프라이버시(Privacy-by-Design): 본 프레임워크는 구조적으로 기억(memorization)을 억제합니다. 명시적인 프라이버시 메커니즘을 적용하기 전에도 멤버십 추론 공격(MIA)의 이점(advantage)은 우연 수준($0.50 \pm 0.01$)과 구별할 수 없는데, 이는 단일 블록이 개별 샘플을 기억할 만큼 충분한 데이터를 보지 못하기 때문입니다.
3. 초 단위 언러닝: 본 논문은 집합 블록 교체를 통한 "외과적" 머신 언러닝을 입증했습니다. 이는 재학습 없이 유틸리티 손실을 $0.25\%$ AUC 미만으로 유지하면서, 서브 세컨드(sub-second)의 실제 시간 내에 클라이언트의 기여를 정확히 제거합니다.
4. 상전이 특성 규명: 저자들은 "클라이언트당 데이터 양 $\times$ 이질성"의 상전이를 식별했습니다. FED-FBD는 클라이언트가 충분한 데이터(예: $\ge 15,000$ 샘플)를 보유하고 높은 이질성($\alpha=0.25$)이 있는 경우에도 FedAvg와 경쟁 가능한 성능(약 $\sim 4\%$ 차이)을 보이지만, 매우 작은 데이터셋과 높은 왜도(skew) 환경에서는 성능이 급격히 하락합니다.

실험 결과

실험은 6개의 MedMNIST-2D 데이터셋, $224\times224$ 해상도의 PathMNIST, 그리고 CIFAR-10을 대상으로 6명의 클라이언트와 100회의 통신 라운드 동안 수행되었습니다.

• 정확도 트레이드오프: 적절한 규모의 데이터셋에서 FED-FBD는 안전 보장을 위해 FedAvg 대비 $0.3\%$–$3.1\%$의 완만한 정확도 차이를 보입니다. PathMNIST ($224\times224$)의 경우 그 차이는 $1.2\%$로 줄어듭니다.
• Non-IID 성능: 완만한 이질성($\alpha=1.0$) 하에서 FED-FBD는 네 개 중 세 개의 데이터셋에서 FedAvg와 $0.8\%$–$4.0\%$ 이내의 차이를 유지합니다. 작은 데이터셋에서의 극심한 왜도 하에서는 성능이 저하되지만, 샘플 수가 증가함에 따라 그 격차는 좁혀집니다.
• 적대적 강건성: 6가지 공격 구성 전반에 걸쳐 깨끗한 컬러들은 격리 상태를 유지했습니다. 검증 손실에 대한 간단한 서버 측 z-score는 낮은 오탐률로 $39\%$–$76\%$의 공격을 탐지했습니다.
• 언러닝 효율성: 언러닝 작업은 1초 미만에 완료되었으며, 유틸리티 손실은 무시할 만한 수준(최악의 경우 $-0.0022$)이었습니다.

의의 및 주장

본 논문은 FED-FBD가 연합 학습의 패러다임을 "확률적" 안전(강건한 집계나 노이즈에 의존)에서 구조적 안전으로 전환한다고 주장합니다. 파라미터 소유권을 세밀하고 명시적으로 만듦으로써:

• 오염은 단지 확률적인 것이 아니라 불가능한 것이 됩니다.
• 언별닝은 최적화 문제가 아니라 조회(lookup) 및 집계 연산이 됩니다.
• 프라이버시는 부가적인 기능이 아니라 아키텍처 자체에 내재됩니다.

저자들은 FED-FBD를 병원 네트워크의 엄격한 데이터 거버넌스 요구사항을 충족하기 위해 설계된 솔루션으로 포지셔닝하며, 이는 비용이 많이 드는 재학습 없이도 오염된 클라이언트나 삭제 요청을 처리할 수 있는 실행 가능한 방법을 제공합니다. 저자들은 고정된 배송 계획과 독점적 소유 블록에 대해서만 정확한 언별닝이 가능하다는 한계를 인정하면서도, 격리와 감사 가능성이 매우 중요한 고위험 의료 애플리케이션에서 이러한 정확도 트레이드오프는 정당하다고 주장합니다.