Towards Explainable Privacy Preservation in Federated Learning via Shapley Value-Guided Noise Injection

这是一份关于论文《Towards Explainable Privacy Preservation in Federated Learning via Shapley Value-Guided Noise Injection》（基于 Shapley 值引导的噪声注入实现联邦学习中可解释的隐私保护）的详细技术总结。

1. 研究背景与问题定义 (Problem)

背景：
联邦学习（Federated Learning, FL）允许多方在不共享原始数据的情况下协同训练模型，但现有的 FL 系统仍面临模型反演（Model Inversion）和成员推断（Membership Inference）等隐私攻击的威胁。差分隐私（Differential Privacy, DP）是解决这一问题的主流数学框架，通过在模型更新中注入噪声来保护隐私。

核心痛点：
现有的 FL 中的 DP 机制通常基于启发式方法或间接因素（如训练进度、时间调度、参与客户端数量）来确定噪声规模。这种方法存在以下缺陷：

1. 缺乏可解释性： 无法清晰解释为何在特定时刻注入特定量的噪声，噪声水平与实际数据的隐私贡献之间缺乏直接联系。
2. 效用与隐私的权衡不佳： 往往导致两种极端情况：要么注入过多噪声导致模型效用（准确率）大幅下降，要么噪声不足导致隐私保护失效。
3. 动态调整不精准： 未能根据客户端本地数据中不同属性对隐私的实际贡献率进行动态、精细化的调整。

目标：
设计一种可解释的、基于数据属性隐私贡献的动态噪声调度机制，在保证严格隐私承诺的同时，最小化对模型效用的损失。

---

2. 方法论：FedSVA (Methodology)

作者提出了 FedSVA，这是一种将 Shapley 值（合作博弈论概念）与差分隐私相结合的联邦学习隐私保护机制。其核心思想是：注入噪声的量应由私有属性对模型性能的具体贡献率显式引导。

系统架构

FedSVA 在客户端侧包含两个关键模块：

1. 隐私估计模块 (Privacy Estimation, PE)：

   • 数据划分： 客户端将本地数据集 $D_i$ 根据属性划分为私有属性子集 $D_i^p$ 和非私有属性子集 $D_i^a$。
   • Shapley 值计算： 利用 Shapley 值量化每个属性对局部模型训练的贡献。
     • 枚举属性集合的所有子集 $\theta$，构建辅助训练数据集并微调辅助模型。
     • 通过验证集准确率评估效用 $U$。
     • 计算属性 $a$ 的 Shapley 值 $\psi_i^a$。
   • 贡献率计算： 计算私有属性的贡献率 $R_i^p = \frac{\psi_i^p}{\sum_{a \in A} \psi_i^a}$。该值反映了私有数据在本地训练中的重要性。

2. 噪声注入模块 (Noise Injection, NI)：

   • 动态噪声校准： 基于贡献率 $R_i^p$ 动态调整高斯噪声的标准差 $\sigma_i$。
   • 风险容忍度： 定义隐私泄露的风险容忍度 $T_i^p = R_i^p - \ln(\delta^2)$（设有最小基线 $\beta_i$）。
   • 噪声公式： 根据高斯机制，噪声标准差 $\sigma_i = \frac{2C\sqrt{\max(T_i^p, \beta_i)}}{\epsilon |D_i|}$，其中 $C$ 是梯度裁剪界限。
   • 执行： 客户端采样噪声矩阵 $n_i \sim \mathcal{N}(0, \sigma_i^2 I_d)$，将扰动后的更新 $\tilde{w}_i^t = w_i^t + n_i$ 上传至服务器。

理论分析

• 隐私保证： 证明了 FedSVA 在单轮训练中提供 $(\epsilon, \delta')$-DP 保证，在 $T$ 轮后提供 $(T\epsilon, T\delta')$-DP 保证。其中 $\delta'$ 与贡献率 $R_i^p$ 相关，贡献率越高，$\delta'$ 越小（保护越强）。
• 收敛性： 在标准假设（损失函数平滑、弱凸等）下，证明了 FedSVA 的收敛性。收敛误差受注入噪声的影响，且与每轮选择的客户端数量 $K$ 的平方成正比，但整体仍能保证收敛。

---

3. 主要贡献 (Key Contributions)

1. 首创可解释机制： 提出了 FedSVA，是首个将 Shapley 值与差分隐私结合用于联邦学习的机制，实现了基于属性贡献率的可解释噪声注入策略。
2. 严谨的理论分析： 提供了形式化的隐私保证证明以及联邦优化过程的收敛性分析。
3. 优越的实验表现： 在 CIFAR-10 和 FEMNIST 数据集上的实验表明，FedSVA 在隐私 - 效用权衡（Privacy-Utility Trade-off）上优于现有最先进（SOTA）方法，并能有效防御数据重构攻击。

---

4. 实验结果 (Results)

实验在 CIFAR-10 (ResNet-18) 和 FEMNIST (CNN) 数据集上进行，对比了 NbAFL, TV DP, Sens DP, DPA DP 等基线方法。

• 隐私 - 效用权衡 (Privacy-Utility Trade-off)：

  • 在 $\epsilon=0.2$ 的严格隐私预算下，FedSVA 在 CIFAR-10 上的最终 5 轮平均准确率达到 75.98%，显著优于 DPA DP (65.21%) 和 TV DP (61.09%)。
  • 随着 $\epsilon$ 增加至 0.5，FedSVA 准确率进一步提升至 82.14%，始终保持在所有方法中的最高水平。
  • 原因： 当隐私风险较低时，FedSVA 能精准减少不必要的噪声注入。

• 噪声注入与隐私预算分析：

  • FedSVA 注入的累积噪声量显著低于静态方法（如 NbAFL）。
  • 相比其他动态基线，FedSVA 的噪声调度更精准，仅在私有数据贡献显著时注入更多噪声。
  • 累积隐私预算消耗更小，证明了其 tighter 的隐私边界。

• 防御重构攻击 (Defense against Reconstruction Attacks)：

  • 使用 ACGAN 进行数据重构攻击测试。
  • 无 DP 的 FedAvg 模型被严重攻破（FID 分数低，图像可识别）。
  • FedSVA 在减少噪声注入的情况下，依然实现了与基线相当的防御能力（FID 分数比 FedAvg 提高了 149.07%），证明其针对性噪声注入能有效混淆私有信息。

• 属性划分粒度 (Impact of N)：

  • 实验发现，将数据划分为 2 类（私有 vs 非私有，即 $N=2$）在准确率和运行时间之间取得了最佳平衡。
  • 更细的划分（$N>2$）带来的准确率提升微乎其微（<0.22%），但计算开销（Shapley 值计算）呈指数级增长。

---

5. 意义与总结 (Significance)

学术价值：
FedSVA 解决了联邦学习中差分隐私“黑盒”调度的问题，首次建立了数据属性贡献与噪声注入量之间的显式数学联系。它证明了通过可解释的机制（Shapley 值）可以动态优化隐私保护策略，而非依赖经验法则。

实际应用价值：

• 高效性： 在保持高模型准确率的同时提供严格的隐私保护，降低了隐私保护带来的性能损失。
• 灵活性： 允许客户端根据自身数据的敏感程度（私有属性占比）动态调整保护强度。
• 可扩展性： 虽然 Shapley 值计算有开销，但实验表明 $N=2$ 的设定即可满足需求，且计算仅在本地进行，不增加通信开销。

未来展望：
论文指出未来的工作将集中在近似 Shapley 值计算以降低复杂度，从而实现更细粒度的隐私分析并适应大规模实际部署。

总结：
FedSVA 通过引入博弈论中的 Shapley 值，为联邦学习中的差分隐私提供了一种可解释、自适应且高效的解决方案，显著提升了隐私保护与模型效用之间的平衡，是联邦学习隐私保护领域的一项重要进展。