DEIM Forum 2023 5a-3-3

連合学習におけるローカル差分プライバシーメカニズムのハイパーパラ
メータ調整に関する一考察
前田

若菜†

長谷川

聡†

高橋

翼†

† LINE 株式会社〒 160–0004 東京都新宿区四谷一丁目６番１号四谷タワー２３階
E-mail: †{wakana.maeda,satoshi.hasegawa,tsubasa.takahashi}@linecorp.com
あらまし

ローカル差分プライバシー (LDP) を満たす連合学習では，モデルの更新情報に対してノイズを加算する

メカニズム (LDP メカニズム) を各クライアントに導入する．このとき，LDP メカニズムでは，モデルの更新情報のノルムをある定数以下に制限した上で，この定数 (クリップサイズ) を考慮したノイズの加算が求められる．クリップ
サイズの設定が不適切な場合，ノイズによって学習が発散する，または学習の進行が阻害される，等の不都合が生じることが知られている．本研究では，LDP 下での連合学習を効率よく進行することを目的として，クリップサイズの設定方法や，適応的に変更していく方法に関して，いくつかの実験的な取り組みについて報告する．
キーワード 連合学習, プライバシー, ローカル差分プライバシー
実験結果より，次のことがわかった．

1 はじめに連合学習 [19] は，複数のクライアントとサーバからなる分散型機械学習である．この方式では，クライアントはサーバの持つグローバルモデルを手元の学習データで更新し，サーバはその更新情報を受け取ってグローバルモデルを更新する．サーバ
は学習データを受け取らないものの，受信した更新情報から元の学習データを復元できてしまう恐れが文献 [9] で指摘されている．
この対策として差分プライバシー (DP: Diﬀerential Pri-vacy) [6] の導入が考えられる．DP とはプライバシー漏洩を制限，定量化するための概念である．DP 下の機械学習では，ノイズを加算するメカニズムを導入してプライバシーを保証する．
クライアント側でノイズを加算するローカル差分プライバ
シー (LDP: Local Diﬀerential Privacy) [13] 下の連合学習では，モデルの更新情報に対してノイズを加算するメカニズム (LDP
メカニズム) をクライアントに導入する．このとき，LDP メカ•

学習初期においてはある程度の大きさのクリップサイズ

を用いることで学習を効率化できること•

学習が効率よく進んでいる際にクリップサイズを減衰することで，ノイズによる loss の増加を抑制することができ，結果として学習の阻害を防ぐことができること•

学習初期のクリップサイズが小さい場合，クリップサイ

ズを増幅することで loss の減少を促進し，学習を効率化できること•

LDP を想定していないクリップサイズの設定方針や適応的更新手法は LDP 下の連合学習では有効でない可能性があること
本稿の貢献は，LDP を満たす連合学習におけるクリップサ
イズの調整に関する知見と，LDP 下の連合学習を想定したクリップサイズの適応的更新手法の必要性を示したことにある．

2 関連研究ニズムでは，モデルの更新情報のノルムをある定数以下に制限

連合学習に差分プライバシー (DP) を適用することでプラした上で，この定数 (クリップサイズ) を考慮したノイズの加イバシー保護を強化することを目指す研究が進められてい算が求められる．クリップサイズの設定が不適切な場合，ノイる [8] [10] [11] [15] [17] [18]．連合学習での DP の適用には，セズによって学習が発散する，または学習の進行が阻害される，

ントラル差分プライバシー (CDP) に基づく方法とローカル差等の不都合 [2] が LDP 下の連合学習でも生じると考えられる．

分プライバシー (LDP) に基づく方法が考えられる．CDP に

本稿では，LDP 下での連合学習を効率よく進行することを目基づく方法は，クライアントから集めた更新情報にサーバでノ的として，クリップサイズの設定方法や，適応的に変更する方

イズを加算することでプライバシー保護を達成する．LDP に法に関して，以下のリサーチクエスチョン (RQ) の検証を行う．

基づく方法は，クライアントで更新情報にノイズを加算するこ

RQ1: クリップサイズの値によって学習はどのように変とでプライバシー保護を達成する．LDP に基づく方法はサー

•

化するか

•

RQ2: クリップサイズを学習途中で減衰していくことで学習を効率化できるか•

RQ3: クリップサイズを適応的に増幅・減衰していくことで学習を効率化できるかバに対してもプライバシー保護をするため，更新情報にノイズを加算することから，CDP に基づく方法と比べ，加算されるノイズの総量が大きくなる傾向がある．近年，CDP に基づくアプローチにおいて，セキュアアグリゲーションと組み合わせる方式も提案されている [2] [14] [22]．セキュアアグリゲーショ

ンとは個々の入力データを開示せずに集め，そのデータの集約

3. 1. 1 プライバシーモデル

値を計算をするもので，実現方法の一つに Trusted Execution

DP [6] の二つのプライバシーモデルを定義する．一つはセンEnvironment(TEE) [24] に基づくものがある．これは，ハード

トラル差分プライバシー (CDP) で，サーバが収集したデータ

ウェア上に通常の実行環境から分離された安全な実行環境を構から算出した統計量を公開する際に，統計量に対してノイズを成し，処理するデータとプログラムに対して機密性と完全性を加えることでプライバシーを保護する．もう一方はローカル差保証するものである．

分プライバシー (LDP) [13] で，サーバに送信するデータにノDP を満たす連合学習の手法として，機械学習における DPを満たすための手法である Diﬀerentially Private Stochastic

Gradient Descent (DP-SGD) [1] アルゴリズムに基づくものや，
これを拡張したものがある [2] [10] [17] [18]．DP-SGD では，勾配に対して二つの処理を行う．一つは勾配ノルムをある定数（クリップサイズ）以下になるよう制限する処理（クリッピン
グ）であり，もう一つはクリップサイズとノイズスケールに基づいて生成されたガウスノイズをクリッピングされた勾配に加算する処理である．このクリップサイズが小さすぎると，勾配

イズを加えることでプライバシーを保護する．これらを以下のように定義する．
定義 1. ((ϵ, δ)-CDP [6])．ϵ >= 0 と 0 ≦δ < 1 が与えられたとき，あるランダム化メカニズム M : D → S が (ϵ, δ)-CDP を満たすとは，あらゆる二つの隣接するデータベース D, D ′ ∈ D ，
および任意の出力の部分集合 S ⊆ S について，次式が成り立つときである．

Pr[M(D) ∈ S] ≦ eϵ · Pr[M(D′ ) ∈ S] + δ(1)に含まれる情報の多くが破棄されるためバイアスが大きくなる

定義 2. ((ϵ, δ)-LDP [13])．ϵ >= 0 と 0 ≦δ < 1 が与えられたと可能性がある．一方で，クリップサイズが大きすぎるとガウス

き，あるランダム化メカニズム M : X → S が (ϵ, δ)-LDP を

ノイズの量が大きくなり，学習を阻害する可能性がある．その満たすとは，あらゆる入力の組 x, x′ ∈ X ，および任意の出力ため，適切なクリップサイズを設定する必要がある．

の部分集合 S ⊆ S について，次式が成り立つときである．

では，適切なクリップサイズをどう設定すればいいだろうか．

Pr[M(x) ∈ S] ≦ eϵ · Pr[M(x′ ) ∈ S] + δ

連合学習における先行研究では，更新情報のノルムの分布の(2)

中央値を推奨し，クリップサイズを適応的に更新する手法の提LDP は，直感的に説明すれば，メカニズム M に x, x′ を入案 [2] がある．ただし，これは CDP 下を想定しており，LDP

力したとしてもそれら出力がどちらの入力から得られたものか下でも有効かはわからない．LDP を満たす連合学習における識別できないことを保証している．そのため，LDP を満たす

先行研究 [8] [11] [15] においては，クリップサイズと学習の関係

メカニズムの出力の元である入力が何であったかを推測するこについては議論されておらず，クリップサイズの適応的更新手とは難しい．

法も提案されていない．一方，連合学習を想定していない先行3. 1. 2 ノイズの設計研究においては，クリップサイズを途中で小さくすることでモ(ϵ, δ)-CDP を満たすメカニズムとしてガウスメカニズムがあ

デルの精度が向上した報告 [20] や，勾配ノルムの分布の中央値

る．ガウスメカニズムでは，平均 0，分散 ∆2f · σ 2 で設計されたを推奨するもの [1] がある．これらは，LDP 下の連合学習におガウス分布 N (0, ∆2f · σ 2 ) からノイズをサンプリングし，f のいても有効かはわからない．さらに，クリップサイズを適応的に更新する手法の提案 [12] [23] [25] などがあるものの，LDP 下

出力に加算する．σ はノイズスケールであり，ϵ，δ ∈ (0, 1) が与√えられたとき，σ = 2log(1.25/δ)/ϵ であるガウスメカニズムの連合学習にはそのまま適用できない．

は (ϵ，δ)-CDP を満たす [4]．なお，ϵ > 1 を含む一般的なケース

本研究では，文献 [20] で報告されたようなクリップサイズの減衰による学習の効率化が LDP 下の連合学習でも有効かを検証する．さらに，文献 [2] のクリップサイズの適応的更新手法
や文献 [1] が推奨する勾配ノルムの分布の中央値をクリップサ
イズに用いる方針が LDP 下の連合学習でも有効かを検証する．

3 準

は [4] を参照されたい. ∆f は以下に定義するセンシティビティ
である．
定義 3. (センシティビティ)． あらゆる二つの隣接するデータ
ベース D, D ′ ∈ D に対する関数 f のセンシティビティ∆f は以下のように表される．

∆f = supD,D’ ||f(D) − f(D′ )||p

備

初めに差分プライバシーを定義し，次に連合学習と差分プラ
イバシーを適用した連合学習を説明する．最後に，クリップサ
イズの適応的更新手法を紹介する．

3. 1 差分プライバシー(3)

ガウスメカニズムを用いて (ϵ, δ)-LDP を満たす場合には，

CDP の 2 倍のセンシティビティを用いる必要がある 1 ．
1：これは，CDP と LDP 間で隣接データベースの考え方が異なることに起因している．CDP では隣接データベースの概念を，追加と削除の処理による違い
でデータベース間の距離を考える．そのため，一つの削除あるいは追加による差分プライバシー (DP) の 2 つのプライバシーモデルを定義

データベース間の差分は 1 距離である．一方，LDP における隣接データベース

したのち，ノイズの設計とプライバシー消費の管理について述の概念は，置換の処理による違いで距離を考える．置換の処理は，削除し新たにべる．

追加する 2 処理とみなすことができるため，LDP における隣接データベースの

1 距離は，CDP の観点では 2 距離である．したがって，CDP を想定して考えられたメカニズムを LDP に適用する場合，CDP の 2 倍のセンシティビティを用いる必要がある．

Algorithm 1 FedSGD; server-side

Algorithm 3 Federated LDP-SGD; client-side

Require: leaning rate ηRequire: noise scale σ, training data B, clipping size C, loss

Initialize model θ0function ℓfor each round t = 0, 1, ... do

ClientUpdate(θ):

St ← (sample m clients randomly)g ← ∇ℓ(B; θ)for each client k ∈ St doCḡ ← g · min(1, ||g||)2(k)gt ← ClientUpdate(θt )g̃ ← ḡ + N (0, (Cσ)2 I).

end for▷ Clip gradient▷ Add noise

return Noisy gradient g̃

(k)1
θt+1 ← θt − η mΣk∈St gt

end for

アルゴリズムは，サーバ側は通常の連合学習と同様に Algo-

Algorithm 2 FedSGD; client-side

rithm 1，クライアント側は Algorithm 3 に示したものになる．

Require: training data B, loss function ℓ

クライアントは勾配 g を計算した後，勾配 g の ℓ2 ノルムが最ClientUpdate(θ):

大でもクリップサイズ C になるようにクリッピングを行い，クg ← ∇ℓ(B; θ)

リッピングされた勾配 ḡ を得る．次に，クリッピングされた勾

return Gradient g

配 ḡ にガウスノイズを加算して勾配のランダム化を行い，勾配g̃ を得る．このとき，ガウスノイズのスケールは，クリップサ
3. 1. 3 プライバシー消費の管理

イズ C とノイズスケール σ を用いて，Cσ とする．クライアン

DP では，メカニズムを通してデータにアクセスする度にプトはランダム化された勾配 g̃ をサーバに送信する．

ライバシーを消費すると考える．そのため，全体を通してどのくらいのプライバシー消費があったかを求めるために，消費したプライバシーを合算する必要がある．

3. 4 クリップサイズの適応的更新
まず，DP を適用しない時の adaptive quantile clipping [2]を示し，その後 CDP の満たし方を示す．この手法では，クリッ定理 1. (直列合成定理 [6] [7])．メカニズム列 {Mi }K
i=1 がそれぞ

プサイズ C を更新情報 (FedSGD の場合は勾配) のノルムの分ΣK
れ (ϵi , δi )-DP を満たすとき，メカニズム列は (ΣK
i=1 δi )i=1 ϵi ，布の γ パーセンタイルに収束するよう更新する．例えば，5 つDP を満たす．
なお，直列合成定理は最も単純な合算方法であり，より厳格に消費を見積もる方法が研究されている [3] [21]．

3. 2 連 合 学 習
本稿は連合学習のうち Federated stochastic gradient de-の更新情報のノルムが 1, 2, 3, 4, 5 で γ = 0.5 の時，C = 3 に収束するよう更新する．
サーバはクリップサイズの学習率 ηC とクリップサイズとして指定したい更新情報のノルムの分布のパーセンタイル γ ∈ [0, 1]を指定する．中央値を指定するのであれば，γ = 0.5 とする．
学習 t 回目で抽出されたクライアント k ∈ St は，更新情報にscent(FedSGD) [19] に関して議論する．この方式のアルゴリズ

加えて，更新情報のノルムをクリップしたか否かを表す bt

ムを Algorithm 1，2 に示す．サーバ側は t 回目の学習におい(k)をルのパラメータ θt を送信する．クライアント k ∈ St は，受信(k)送信する．クリップしてないならば bt = 1，クリップしたな(k)(k)
らば bt = 0 とする．サーバは各クライアントから bt を収(k)
集し，この総和 Σk∈St bt を抽出されたクライアント数 |St | でしたパラメータ θt と手元の n 個の d 次元の実数ベクトルから割ることで，クリップされていない割合 b¯t を求める．そして，

dなる学習データ B = {xi }ni=1 (xi ∈R ) を用いて loss 関数 ℓ の(k)
勾配 gt を計算し，これをサーバへ送信する．サーバは，クラ(k)1
イアント集合 St から得た勾配から平均値 m
Σk∈St gt を計算

次式のようにクリップサイズ C を更新する．

て，m クライアントからなる集合 St を取得し，それらにモデし，それに学習率 η を乗算したものを使ってパラメータを θt+1
へ更新する．

3. 3 ローカル差分プライバシーを満たす連合学習
CDP を満たす機械学習にて提案された Diﬀerentially private

Ct+1 = Ct · exp(−ηC (b¯t − γ))(4)

なお，CDP を満たすようにする場合は，b¯t の計算時にノイズを加算する．

4 実

験stochastic gradient descent（DP-SGD) [1] を LDP を満たす連

本研究では，ローカル差分プライバシー (LDP) を満たす連合学習向けに拡張する．この拡張したものを Federated LDP-

合学習において適切なクリップサイズを設定できるようにする

SGD と呼ぶことにする．Federated LDP-SGD は，クライアために以下のリサーチクエスチョン (RQ) の検証を行う．

ントの勾配の計算にガウスメカニズムを適用することで DP を•

RQ1: クリップサイズの値によって学習はどのように満たすことを基本とする．ただし，一般的に勾配は [0, ∞) の値変化するか（実験 1: クリップサイズと学習との関係の探索的を取りうるため，センシティビティが無限になってしまうこと

実験）から，勾配をクリップサイズ C 以下に制限 (クリッピング) す•

ることでセンシティビティを C に抑える．

RQ2: クリップサイズを学習途中で減衰していくこと

で学習を効率化できるか（実験 2: クリップサイズの単純減少

実験）

•

RQ3: クリップサイズを適応的に増幅・減衰していくことで学習を効率化できるか（実験 3: クリップサイズの適応的
更新実験）
以下，基本的な実験設定とプライバシーモデルを説明した後，各実験の詳細設定と結果を述べる．

4. 1 基本的な実験設定
データセット 実験データとして手書き数字のデータセット
図1

MNIST [5] を用いる．これは数字 0〜9 に分類する 10 クラス分

クリップサイズ C における分類精度の推移

類タスクである．クライアントが持つ訓練データの数をクライ
アントによらず一律でそれぞれ 5 つとし，テストデータは 1 つとし，これらを復元抽出によって得る．
学習モデル CNN モデルを用い，そのアーキテクチャは文献 [8] の TABLE XIII を参考にした．モデルの精度評価として，
分類精度 (accuracy) を用いる．
パラメータ 全クライアント数を 10, 000, 000 とし，モデルの更新 1 回につき参加するクライアント数を 1, 000 とする．また，モデルの更新回数 (round) を 10, 000 とする．学習率は DP 非
図2

適用時 (non-private) と LDP 下でそれぞれ 0.1，1 とする．プライバシーパラメータは，(ϵ, δ)=(8, 10−7

クリップサイズ C における loss の推移) とする．

4. 2 プライバシーモデル
実験 1，2 と実験 3 ではプライバシーモデルがやや異なる．
実験 1，2 では LDP モデルであり，実験 3 では LDP モデルとセントラル差分プライバシー (CDP) モデルの混合型となっている．
プライバシーモデルが異なる理由は，クライアントから取得する情報の違いにある．実験 1，2 ではクライアントから勾配

クリップサイズについて以下のことがわかった．

•

学習初期においてはクリップサイズが小さいと学習の進みが遅く，クリップサイズがある程度の大きさだと学習の進みが早い．

•

クリップサイズが小さいと学習が進んでも loss の増加がなく，分類精度が高い．

•

ある程度の大きさのクリップサイズでは学習初期から，

もしくは，学習途中から loss が増加し学習がうまく進まない．

のみを取得するが，実験 3 ではクリップサイズの適応的更新をするために必要な補助情報を追加で取得する．

4. 4 実験２：クリップサイズの単純減少実験

補助情報取得に対して，文献 [2] に合わせて，CDP モデルを

実験 1 では，クリップサイズの大きさによって学習初期とそ適用する．なお，実験 3 でも実験 1，2 と同様に勾配には LDPの後で分類精度，loss の推移に違いがあることがわかった．学

モデルを適用する．

習初期の学習効率を高めつつその後も継続して学習をうまく進4. 3 実験１：クリップサイズと学習との関係の探索的実験
実験 1 ではクリップサイズ C={0.01, 0.05, 0.1, 0.5, 1.0} によって分類精度や loss がどのように変化するかを観測すること
で学習への影響を調査する．図 1，2 はクリップサイズ C を変えた時の分類精度と loss の推移を示したものである．黒の波線
が non-private の結果で，残りが LDP の結果である．
図 1 では，C = 0.01，0.05，0.1 の順で non-private の分類精度に近い値となっている．ただし，これらのうち学習初期においては，C = 0.01 は分類精度の向上が遅く，最も早いのはC = 0.05 だとわかる．C = 0.5，1.0 については，いずれも同じ
ような推移をしており，学習全体を通して分類精度が低かった．
図 2 では，C = 0.01 は loss の減少が進んでいる．一方で，

C = 0.05，0.1 については loss が途中で増加に転換している．
転換の早さは C = 0.1 の方が C = 0.05 より早い．残りのC = 0.5, 1.0 については学習初期から loss の増加が続いており，
うまく学習できていないことがわかる．

める方法として，クリップサイズを学習初期はある程度の大きさにし，その後にクリップサイズを減衰する方法が考えられる．
実験 2 では，クリップサイズを学習途中で減衰していくこと
で継続的に学習がうまく進行するかを検証する．

4. 4. 1 クリップサイズ調整方法
クリップサイズを固定にする方法と更新する方法を比較する．
更新方式は 2 種類あり，一つは学習の一時点でのみクリップサ
イズを小さくする方式 (一時点切替) と，もう一つは学習の度にクリップサイズを減衰する方式 (減衰) である．
ベースラインク リップ サ イ ズ は 固 定 に し ，値 と し て

0.01, 0.05 を用いる．それぞれを clip0.01, clip0.05 とする．
一時点切替

初期値として実験１で初期の分類精度が高かったクリップサイズ 0.05 を用い，最終的な分類精度が高かったク
リップサイズ 0.01 に途中で切り替える方法を考える．切り替
えるタイミングとして，クリップサイズ 0.05 と 0.01 の loss の
高低が逆転した 2, 000 回目と分類精度の高低が逆転した 6, 000

表1

ベースラインと一時点切替の分類精度

clip0.01

clip0.05

0.05to0.01(2000)

0.05to0.01(6000)

Mean

92.98

92.03

93.75

93.35

Std

0.34

0.33

0.09

0.17

表2

図3

減衰の分類精度poly(C0 )0.5

poly(C0 )1.0

pol(C0 )2.0

C0 = 0.01

92.16 ± 0.20

91.40 ± 0.29

89.65 ± 0.20

C0 = 0.05

93.86 ± 0.08

94.04 ± 0.24

93.56 ± 0.11

みると，クリップサイズを切り替えることで増加していた loss

クリップサイズ C の減衰が減少に転換していることがわかる．次に，図 5(b) をみると，loss の減少が clip0.01 よりも減衰方法の方が遅く，学習の効率が落ちていることがわかる．最後に，図 5(c) をみると，減衰方法では poly(0.05)1.0，poly(0.05)0.5 が 0.05to0.01(2000) よりも loss が大きく，poly(0.05)2.0 が 0.05to0.01(2000) よりも僅かに loss が小さかった．これら結果から，クリップサイズの初期値が小さい際にクリップサイズを減少させると学習が遅くなること，クリップサイズの初期値がある程度の大きさの際に
図4

クリップサイズ調整方法と分類精度の推移

更新回数を大きくしてもクリップサイズの更新が適切でないとloss の減少への影響は大きくならないことがわかる．
回目を用いる．2, 000 回目と 6, 000 回目に切り替える方法をそれぞれ 0.05to0.01(2000), 0.05to0.01(6000) とする．

•

減衰 クリップサイズの減衰方法として，学習率減衰方法のpoly learning rate policy [16] [26] を次式のように応用する．
Ct+1 = C0 × (1 −t power)T

これらの実験 2 の結果から，次のことがわかった(5)

Ct は t 回目のクリップサイズ，T は最大ラウンド数である．
C0 = {0.01, 0.05}, power = {0.5, 1.0, 2.0} を用いる．それぞれを初期値と power を使って poly(0.01)0.5 のように表記する．図 3 はクリップサイズの減衰の様子を示したもので，

power = 0.5, 2.0 はラウンドが進むごとに減衰がそれぞれ，大きくなる，小さくなる．一方、power = 1.0 はラウンドに関係なく一定で減衰する．

4. 4. 2 実 験 結 果
クリップサイズ調整方法ごとの分類精度の推移を図 4 に示す．
図 4(a) が示すように，クリップサイズの初期値を 0.05 とし，学習途中で 0.01 に切り替えることで，学習初期とその後の両方で分類精度が向上した．図 4(b) が示すように，クリップサ
イズの初期値を 0.05 とし，毎回減衰させる方法でも同様の結果が得られた．
クリップサイズ調整方法ごとの最大ラウンド時の分類精度の5 試行の平均 (mean) と標準偏差 (std) を表 1，2 に示す．初期値 0.01 について，固定方式の clip0.01 と比較すると，減衰方式はいずれも分類精度は下回った．一方，初期値 0.05 について，固定方式の clip0.05 と比較すると，クリップサイズを更新した方式全ての分類精度が上回った．これらの結果からある程度小さいクリップサイズを減衰していくことは分類精度の向上に有効でなく，ある程度大きいクリップサイズを減衰していく
ことは分類精度の向上に有効であることがわかる．
クリップサイズ調整方法ごとの loss を図 5 に示す．図 5(a) をある程度小さいクリップサイズを減衰していくことは

loss の減少の妨げになり，学習の進みを遅くすること•

ある程度大きいクリップサイズを減衰していくことは

loss の減少に効果があり，学習の効率化につながること•

更新回数を多くしてもクリップサイズの更新が適切でな

いと loss の減少効果は大きくならないこと

4. 5 実験３：クリップサイズの適応的更新実験
実験２では，初期のクリップサイズがある程度の大きさならば学習が進むにつれクリップサイズを適宜小さくすることでより分類精度を向上できるとわかった．一方で，初期のクリップ
サイズが小さい場合には逆効果であることもわかった．そのため，初期のクリップサイズが小さければクリップサイズを大きくするという更新方法も考える必要がある．
実験３では，クリップサイズを適応的に増幅・減衰といった更新をすることで学習を効率化できるかを検証する．
クリップサイズを適応的に更新するには，クライアントから補助情報を取得する必要がある．補助情報の取得に対して，文献 [2] に合わせて CDP モデルを適用する．

4. 5. 1 クリップサイズ調整方法
クリップサイズを固定にする方法として，実験 2 と同様に

clip0.01，clip0.05 を使用する．
適応的更新方法として，adaptive quantile clipping [2] と，ヒストグラムから勾配ノルムの分布の中央値を推定してクリップ
サイズを更新する手法 adaptive median clipping を用いる．

Adaptive quantile clipping [2] では，デフォルト値のノイズ
スケール σ = 5 とクリップサイズの学習率 ηC = 0.2 を用いる．
初期値 C0 = 0.01，パーセンタイル γ = 0.1, 0.5 を用い，それぞれ quantile(0.01)10%，quantile(0.01)50%とする．クリップ図5

クリップサイズ調整方法と loss の推移

サイズは毎回更新を行い，計算過程にはガウスノイズを加算し，これは (0.006, 10−7)-CDP を満たす ．
2

リップサイズが増加し続けていた．
図 9 に adaptive0.01 における各更新ごとの勾配ノルムのヒ

Adaptive median clipping は次節で説明する．

ストグラムを示す．頻度へのノイズ加算前のものが raw，加算

4. 5. 2 Adaptive median clipping

後が noisy とする．ノイズ加算前後でヒストグラムに大きな違

文献 [1] のクリップサイズの設定方針に従い，adaptive me-

いはなく，最も大きな勾配ノルムの値をもつ一番右のビンの頻

dian clipping では勾配ノルムの分布の中央値へクリップサイズ

度が最大かつ過半数を超えていた．このため，adaptive 方式でを更新する．手法の構成を図 6 に示す．まず，信頼できるサーはクリップサイズは初回の更新から最後まで 0.1 に更新されてバにてクライアントから勾配ノルムを集約し，CDP を満たす

いた．学習が進むにつれ，一番右のビン [2−3 , 2−4 ] の頻度は減ヒストグラムを生成する．この時，ヒストグラムのビンは事前

少し，一番左のビン [0, 2−7 ] が増加しつつあるも，それでも一に設定しておく．サーバは CDP を満たすヒストグラムを受け

番右のビンが最も頻度の高いビンとなっている．そのため，勾取り，これに基づいて勾配ノルムの分布の中央値を算出する．

配ノルムの分布の中央値を使ったクリップサイズの更新ではク

そして，得られた中央値へクリップサイズを更新する．なお，

リップサイズが大きくなりやすい可能性がある．

補助情報の集約は Trusted Execution Environment(TEE) [24]などを用いて実装が可能である．
実 験 の 設 定 を 記 述 す る ．ヒ ス ト グ ラ ム の ビ ン と し て ，{[0, 2−7], ..., [2

−4

,2

−3

]} の範囲をもつ 5 つのビンを設定した．

2−3 より大きい値は全て 2−3 の値としてトップコーディング

これらの結果から，学習初期のクリップサイズが小さい場合，
クリップサイズを大きくすることで初期の学習を効率化可能だとわかった．ただし，その後も適切にクリップサイズを更新しなければ学習が阻害され，分類精度が学習初期よりも低下する可能性があることがわかった．

する．ビンの設定は実験１を踏まえており，一番小さい値のビンの中央値が 0.01 の約 1/10，一番大きい値のビンの中央値が約 0.1 になるように設定してある．勾配ノルムの分布の中央値として累積度数が 50% を超えたビンの中央値を用いる．ヒス
トグラムのランダム化メカニズムは (0.8, 10−8 )-CDP を満たすとし，クリップサイズの更新は 1000 回ごとに行う．クリッ
プサイズの初期値を 0.01, 0.05 とし，それぞれ adaptive0.01,

adaptive0.05 と表記する．なお，本実験では TEE を使用していない．

4. 5. 3 実 験 結 果
クリップサイズ調整方法ごとの分類精度を図 7 に，loss を図 8に示す．図 7 にあるように，adaptive0.01 は学習初期の分類精度が clip0.01 や clip0.05 よりも向上しているものの，学習が進
むにつれ adaptive 方式の分類精度は clip 方式よりも下回った．
これら分類精度は，学習初期の最高値に比べて低くなっている．
また，quantile 方式については学習がうまくいかなかった．図

8 では，adaptive0.01 は学習初期の loss の減少が clip0.01 と比べて早くなっているものの，途中から loss が増加に転換し，学習が阻害されていることを示している．一方，adaptive0.05 はclip0.05 よりも loss が増加しており学習がうまく進んでいない．
さらに，quantile 方式では loss が早い段階で発散していた．なお，quantile 方式では 50, 10 のいずれのパーセンタイルでもク
2：Rényi diﬀerential privacy による合成から計算した [3]．

5 考察実験 1 では，クリップサイズの大きさによって学習初期とその後で分類精度，loss の推移に違いがあることがわかった．これは，学習初期においてはクリッピングの影響が大きく，学習が進むにつれてその影響が小さくなり，ノイズの影響が相対的に大きくなるからだと考えられる．各クリップサイズ調整方式
におけるクリッピングとノイズ加算前の勾配ノルムの平均値の推移を図 10 に示す．non-private の勾配ノルムは学習が進むにつれ減少する一方で，LDP の勾配ノルムは値が大きく，クリッ
プサイズの変化がない clip0.01, 0.5 はその値が増幅し続けている．これは，学習が進むにつれてノイズの影響が大きくなり，
学習がうまく進まないのを補うように勾配ノルムが増幅しているからだと考えられる．クリップサイズを途中で切り替える

0.05to0.01(2000) 方式では勾配ノルムの増幅を抑えることができており，このことからクリップサイズを調整することで勾配ノルムの増幅を抑えることができることがわかる．
実験 2 で確認した通り，学習初期においてはクリップサイズ
を大きくすることでクリッピングの影響を小さくして学習初期の進行を早くし，適宜クリップサイズを小さくすることでその後のノイズの影響を小さくすることができると考えられる．ただし，学習初期の進行が遅くなるようなクリップサイズの時にこれを小さくすることは，より学習の進行を遅くし，分類精度

-./01!"#$%&'()*&'(

23,4$1++!"#$%&'(

!
"
#
($
)%
&
'

!
"
#
$
%

)$%*+,

図 6 Adaptive median clipping の構成

クリップサイズになるように設計された専用の適応的更新手法が必要だといえる．

6 おわりに
本研究では，ローカル差分プライバシー (LDP) 下の連合学
習を効率よく進行することを目的とし，クリップサイズの設定
方法や，適応的に更新する方法に関して，いくつかの実験的な取り組みを行なった．実験から，学習初期から継続的に学習を効率よく学習を進めるためには，初期のクリップサイズはある
図7

クリップサイズ調整方法ごとの分類精度の推移

程度大きくし，学習が進むにつれてクリップサイズを減衰することが有効であることがわかった．また，学習初期のクリップ
サイズが小さい場合，クリップサイズを増幅することで初期の学習を効率化可能なことがわかった．そして，LDP 下を想定していないクリップサイズの設定方針や適応的更新手法は LDP
下の連合学習では有効ではない可能性を示した．
今後の課題として，複数のデータセットを用いて今回の実験
結果の一般性を確かめることと，LDP を満たす連合学習向けのクリップサイズの適応的更新手法を確立することがある．

文
図8

クリップサイズ調整方法ごとの loss の推移の低下をまねくことになる．このことから，クリップサイズを小さくする更新だけでなく，クリップサイズが小さい場合には大きくする更新が必要なことがわかる．
実験 3 では，学習初期のクリップサイズが小さい場合，これを大きくすることで初期の学習を効率化可能だとわかった．ただし，その後も適切にクリップサイズを更新しなければ学習が阻害されることがわかった．今回用いたクリップサイズの設定
方針 [1] と適応的更新手法 [2] は，それぞれセントラル差分プラ
イバシー (CDP) 下の機械学習，及び，連合学習で有効とされていたものだが，いずれもローカル差分プライバシー (LDP)
下の連合学習にとっては大きいクリップサイズへ更新していた．
その結果，ノイズの影響が大きくなり学習が阻害されたのだと考えられる．LDP 下の連合学習は CDP 下の学習と異なり，各クライアントの勾配にノイズを加算する必要がある．それゆえ，ノイズの影響を小さくするためには，CDP 下の学習よりも小さいクリップサイズに設定する必要があると考えられる．したがって，LDP 下の連合学習においては CDP 下と比べて小さい

献[1] Martin Abadi, Andy Chu, Ian Goodfellow, H Brendan
McMahan, Ilya Mironov, Kunal Talwar, and Li Zhang. Deeplearning with diﬀerential privacy. In Proceedings of the 2016
ACM SIGSAC conference on computer and communications security, pages 308–318, 2016.
[2] Galen Andrew, Om Thakkar, Brendan McMahan, and Swaroop Ramaswamy. Diﬀerentially private learning with adaptive clipping. Advances in Neural Information Processing
Systems, 34:17455–17466, 2021.
[3] Borja Balle, Gilles Barthe, Marco Gaboardi, Justin Hsu,
and Tetsuya Sato. Hypothesis testing interpretations andrenyi diﬀerential privacy. In International Conferenceon Artiﬁcial Intelligence and Statistics, pages 2496–2506.
PMLR, 2020.
[4] Borja Balle and Yu-Xiang Wang. Improving the gaussianmechanism for diﬀerential privacy: Analytical calibrationand optimal denoising. In International Conference on Machine Learning, pages 394–403. PMLR, 2018.
[5] Li Deng. The mnist database of handwritten digit images
for machine learning research [best of the web]. IEEE signal
processing magazine, 29(6):141–142, 2012.
[6] Cynthia Dwork. Diﬀerential privacy. In Proceedings ofthe 33rd International Conference on Automata, Languages
and Programming - Volume Part II, ICALP’06, page 1–12,
Berlin, Heidelberg, 2006. Springer-Verlag.
[7] Cynthia Dwork, Guy N Rothblum, and Salil Vadhan. Boost-

図9

図 10

各更新ごとの勾配ノルムのヒストグラム

各クリップサイズ調整方式における加工前の勾配ノルムの平均
値の推移

[8]

[9]

[10]

[11]

[12]

[13]

[14]

ing and diﬀerential privacy. In 2010 IEEE 51st Annual Symposium on Foundations of Computer Science, pages 51–60.
IEEE, 2010.
Úlfar Erlingsson, Vitaly Feldman, Ilya Mironov, Ananth
Raghunathan, Shuang Song, Kunal Talwar, and Abhradeep
Thakurta.
Encode, shuﬄe, analyze privacy revisited:
Formalizations and empirical evaluation. arXiv preprint
arXiv:2001.03618, 2020.
Jonas Geiping, Hartmut Bauermeister, Hannah Dröge, andMichael Moeller. Inverting gradients-how easy is it to break
privacy in federated learning? Advances in Neural Information Processing Systems, 33:16937–16947, 2020.
Robin C Geyer, Tassilo Klein, and Moin Nabi. Diﬀerentiallyprivate federated learning: A client level perspective. arXiv
preprint arXiv:1712.07557, 2017.
Antonious M Girgis, Deepesh Data, Suhas Diggavi, Peter
Kairouz, and Ananda Theertha Suresh. Shuﬄed model offederated learning: Privacy, accuracy and communication
trade-oﬀs. IEEE journal on selected areas in information
theory, 2(1):464–478, 2021.
Aditya Golatkar, Alessandro Achille, Yu-Xiang Wang,
Aaron Roth, Michael Kearns, and Stefano Soatto. Mixed
diﬀerential privacy in computer vision. In Proceedings of theIEEE/CVF Conference on Computer Vision and Pattern
Recognition, pages 8376–8386, 2022.
Shiva Prasad Kasiviswanathan, Homin K Lee, Kobbi Nissim, Sofya Raskhodnikova, and Adam Smith. What can welearn privately? SIAM Journal on Computing, 40(3):793–
826, 2011.
Fumiyuki Kato, Yang Cao, and Masatoshi Yoshikawa.
Olive: Oblivious and diﬀerentially private federated learning on trusted execution environment. arXiv preprint
arXiv:2202.07165, 2022.

[15] Muah Kim, Onur Günlü, and Rafael F Schaefer. Federated
learning with local diﬀerential privacy: Trade-oﬀs between
privacy, utility, and communication. In ICASSP 2021-2021
IEEE International Conference on Acoustics, Speech andSignal Processing (ICASSP), pages 2650–2654. IEEE, 2021.
[16] Wei Liu, Andrew Rabinovich, and Alexander C Berg.
Parsenet: Looking wider to see better. arXiv preprint
arXiv:1506.04579, 2015.
[17] Mohammad Malekzadeh, Burak Hasircioglu, Nitish Mital, Kunal Katarya, Mehmet Emre Ozfatura, and Deniz
Gündüz. Dopamine: Diﬀerentially private federated learning on medical data. arXiv preprint arXiv:2101.11693,
2021.
[18] Virendra J Marathe and Pallika Kanani. Subject granular diﬀerential privacy in federated learning. arXiv preprint
arXiv:2206.03617, 2022.
[19] Brendan McMahan, Eider Moore, Daniel Ramage, SethHampson, and Blaise Aguera y Arcas. Communicationeﬃcient learning of deep networks from decentralized data.
In Artiﬁcial intelligence and statistics, pages 1273–1282.
PMLR, 2017.
[20] H Brendan McMahan, Daniel Ramage, Kunal Talwar, and
Li Zhang. Learning diﬀerentially private recurrent language
models. In International Conference on Learning Representations, 2018.
[21] Ilya Mironov. Rényi diﬀerential privacy. In 2017 IEEE 30th
computer security foundations symposium (CSF), pages
263–275. IEEE, 2017.
[22] John Nguyen, Kshitiz Malik, Hongyuan Zhan, Ashkan
Yousefpour, Mike Rabbat, Mani Malek, and Dzmitry Huba.
Federated learning with buﬀered asynchronous aggregation.
In International Conference on Artiﬁcial Intelligence andStatistics, pages 3581–3607. PMLR, 2022.
[23] Venkatadheeraj Pichapati, Ananda Theertha Suresh, Felix X Yu, Sashank J Reddi, and Sanjiv Kumar. Adaclip: Adaptive clipping for private sgd. arXiv preprint
arXiv:1908.07643, 2019.
[24] Mohamed Sabt, Mohammed Achemlal, and Abdelmadjid Bouabdallah. Trusted execution environment: what
it is, and what it is not.
In 2015 IEEE Trustcom/BigDataSE/ISPA, volume 1, pages 57–64. IEEE, 2015.
[25] Jun Wang and Zhi-Hua Zhou. Diﬀerentially private learningwith small public data. In Proceedings of the AAAI Conference on Artiﬁcial Intelligence, volume 34, pages 6219–6226,
2020.
[26] Hengshuang Zhao, Jianping Shi, Xiaojuan Qi, Xiaogang
Wang, and Jiaya Jia. Pyramid scene parsing network. In
Proceedings of the IEEE conference on computer vision andpattern recognition, pages 2881–2890, 2017.