技术摘要：通用联邦学习的收敛性差分隐私分析

1. 问题陈述

联邦学习（FL）与差分隐私（DP）相结合，提供了一种在无需直接泄露数据的情况下，利用大规模私有客户端数据训练模型的范式。然而，现有的 FL-DP 框架理论分析严重依赖于复合定理（例如 $(\epsilon, \delta)$-DP 或 Rényi-DP）。这些传统方法通常得出的隐私界限会随着通信轮数 $T$ 的增加而发散（变得任意宽松）。

这种发散性暗示了一个反直觉且缺乏实证支持的结论：在长期训练过程中，FL-DP 框架在恒定水平的噪声扰动下，最终可能会丧失所有隐私保护能力。这导致理论预测（表明隐私必然失效）与实验结果（通常显示隐私稳定）之间存在显著差异。核心挑战在于分析具有非凸目标函数和异构本地更新的 FL 方法的隐私性，其中多步本地训练引入了有偏模型，使得标准敏感性分析变得复杂。

2. 方法论

作者提出了一种基于 $f$-差分隐私（$f$-DP） 的综合分析，具体利用了高斯差分隐私（GDP），该定义通过假设检验中 I 类错误和 II 类错误之间的权衡，提供了信息论意义上无损的隐私定义。

关键的方法论组成部分包括：

• 移位插值技术（Shifted Interpolation Technique）： 为了避免与标准迭代隐私放大相关的宽松界限，本文采用了移位插值序列。作者没有分析 $T$ 轮内相邻数据集上全局模型之间的直接关系，而是定义了一个辅助序列 $\tilde{w}_t$，该序列在两个相邻数据集的轨迹之间进行插值。这使得在特定区间 $[t_0, T]$ 上能够进行更紧密的隐私放大分析。
• 全局敏感性分解： 全局敏感性项 $\|\phi(w_t) - \phi'(\tilde{w}_t)\|$ 被分解为两个分量：
  1. 数据敏感性： 从相同初始化开始，在不同数据集上训练所产生的误差。
  2. 模型敏感性： 从不同初始化开始，在同一数据集上训练所产生的误差。
     作者推导了 Noisy-FedAvg 和 Noisy-FedProx 算法下这些敏感性的具体界限。
• 插值系数优化： 隐私界限被表述为关于插值系数 $\lambda_t$ 和起始轮次 $t_0$ 的最小化问题。为了确保收敛，作者通过设置 $t_0 = 0$ 来松弛该问题，消除了由初始稳定性差距引起的发散，同时保持对累积敏感性的紧密界限。
• 学习率策略： 该分析涵盖了四种不同的学习率衰减策略：恒定、循环衰减、分阶段衰减和迭代衰减。

3. 主要贡献

本文提供了非凸和平滑目标函数下通用 FL-DP 方法的首个收敛性隐私分析。具体贡献如下：

• Noisy-FedAvg 的收敛性隐私： 作者证明了 Noisy-FedAvg 的最坏情况隐私不会随通信轮数 $T$ 的增加而发散。他们为四种不同的学习率衰减策略提供了紧密的收敛界限。这挑战了长期以来认为隐私预算必须随训练时长无限增加的观点。
• Noisy-FedProx 的稳定性隐私： 通过分析 Noisy-FedProx 中的近端项，作者证明了最坏隐私收敛到一个通用的常数下界。他们表明，近端系数 $\alpha$ 充当正则化项，可以将隐私与本地训练间隔 $K$ 解耦，前提是 $\alpha > L$（其中 $L$ 是平滑常数）。
• 框架无关性： 推导出的 $f$-DP 界限可以无损地转换为其他标准框架，包括 $(\epsilon, \delta)$-DP 和 Rényi-DP（RDP），为现有的 FL-DP 系统提供了细粒度的理解。
• 理论差异的解决： 该分析解决了理论发散与实证稳定性之间的差距，证明了恒定水平的噪声足以在 FL 中维持收敛的隐私保证。

4. 结果

理论发现总结在论文的表 1 和表 3 中：

• Noisy-FedAvg：
  • 在恒定学习率下，隐私界限收敛到一个依赖于 $K$、$m$（客户端规模）和 $\sigma$（噪声）的值，但随着 $T \to \infty$ 保持有界。
  • 在分阶段和迭代衰减学习率下，隐私界限收敛到与 $\sqrt{2 - 1/T}$ 成正比的形式，确保收敛。
  • 这些界限比之前的工作更紧密，之前的工作通常要求噪声方差 $\sigma^2$ 随 $T$ 或 $TK$ 缩放。
• Noisy-FedProx：
  • 隐私界限收敛到一个与 $T$ 和 $K$ 无关的常数下界。
  • 该界限与 $\sqrt{\alpha}$ 成反比，表明更大的近端系数 $\alpha$ 可以显著改善隐私（降低敏感性），而无需增加噪声。
• 实证验证：
  • 在 MNIST 和 CIFAR-10 上使用 LeNet-5 和 ResNet-18 进行的实验证实，无论 $T$ 或 $K$ 如何，全局敏感性都会随着训练的进展而稳定。
  • 敏感性研究表明，增加客户端数量（$m$）会降低敏感性（$O(1/\sqrt{m})$），而本地间隔 $K$ 影响收敛速度但不影响渐近界限。
  • 成员推断和梯度反转攻击证实，在恒定噪声下，攻击成功率趋于稳定而非接近 100%，验证了收敛性隐私理论。

5. 意义

本文声称建立了 FL-DP 框架中隐私可靠性的坚实理论基础。其意义在于：

1. 纠正理论误区： 它反驳了 FL-DP 在恒定噪声下长期训练必然丧失隐私保护的推论，使理论与实证观察保持一致。
2. 实现长期训练： 通过证明收敛界限，该工作表明 FL 系统可以在不需要无限制增加噪声强度（否则会损害模型效用）的情况下运行更长时间。
3. 优化 - 隐私权衡： 对 Noisy-FedProx 的分析表明，本地正则化（近端项）可以作为一种机制，实现“双赢”解决方案，同时提高优化稳定性和隐私保证。
4. 设计指导： 结果为设计 FL 系统提供了可操作的见解，例如更大客户端规模的好处，以及策略性地选择学习率衰减和近端系数以在不损害收敛性的前提下最大化隐私。

作者总结道，他们的工作填补了一个关键的理论空白，证明了 FL 中结构良好的本地和全局交互可以在不根本损害学习框架的前提下，保持严格的隐私保证。