CN113626866B - 一种面向联邦学习的本地化差分隐私保护方法、系统、计算机设备及存储介质 - Google Patents

Abstract

本发明提供了一种面向联邦学习的本地化差分隐私保护方法、系统、计算机设备及存储介质，所述方法包括：由服务器向客户端发送第一模型和第一模型参数；由所述客户端采用本地数据对所述第一模型进行训练，将所述第一模型参数更新为第二模型参数；采用本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数；所述客户端随机选择其部分所述第三模型参数，与其余某个所述客户端对应位置的所述第三模型参数进行交换，生成第四模型参数并发送给所述服务器；本发明不仅对用户的敏感数据提供了强有力的隐私保护的效果，还节省了隐私预算，同时保障了模型的服务质量。

Description

一种面向联邦学习的本地化差分隐私保护方法、系统、计算机 设备及存储介质

技术领域

本发明涉及隐私保护技术领域，尤其涉及一种面向联邦学习的本地化差分隐私保护方法。

背景技术

一般而言，训练性能良好的深度学习模型所需要的数据量是非常庞大的。然而，单个企业或机构能获得的数据通常是有限的，因此在多个数据拥有方之间进行数据共享的需求日益增长。由于用户的隐私保护意识和法律的严格监管，数据碎片化和数据孤岛现象普遍存在。为了应对以上的挑战，多采用的是联邦学习方法，以保护用户隐私数据为前提，在多参与方之间开展高效率的机器学习。

联邦学习(Federated Learning)是一种用来建立机器学习模型的算法框架，由两个以上的参与方在各方数据不出本地的前提下协作训练一个共享的机器学习模型。在联邦学习模型训练过程中，各参与方使用本地数据训练机器学习模型并计算得到梯度。为了防止攻击者从梯度中推断出各参与方的有关原始训练数据集的隐私信息，现有技术把差分隐私技术应用在联邦学习中。各参与方对梯度添加满足差分隐私机制的噪声，然后将加噪后的梯度结果上传给服务器。服务器聚合各用户的梯度并以此建立一个联合模型。差分隐私技术通过在梯度上添加噪声，可减少用户隐私信息泄露的可能性，为数据隐私保护提供了保障。

然而，现有的解决方案没有较好地解决如何平衡隐私预算与模型性能的问题。

根据上述分析，现有技术存在的缺陷为：

(1)隐私预算较大时，加噪后的数据以大概率接近原始值，增加了信息暴露的风险。

(2)由于深度学习模型大多是由大量参数组成的，对于一个合理的隐私预算，应用差分隐私技术训练的深度学习模型的性能不佳。

发明内容

本发明的目的旨在提供一种面向联邦学习的本地化差分隐私保护方法，与现有基于拉普拉斯机制和高斯机制的差分隐私技术不同，本发明在克服现有差分隐私方法由于不合理的隐私预算引起的隐私泄露问题，通过增大受扰动后的数据与原始数据之间的差异，达到了更强的隐私保护效果的同时，克服现有差分隐私技术难以在合理的隐私预算与模型性能之间取得较好的平衡问题，达到了节省隐私预算和保障模型服务质量的效果。

为了实现上述目的，本发明提供一种面向联邦学习的本地化差分隐私保护方法、系统、计算机设备及存储介质。

第一方面，本发明实施例提供了一种面向联邦学习的本地化差分隐私保护方法，所述方法包括以下步骤：

(1)服务器随机选择部分客户端作为联邦学习的参与方，并将预设的第一模型和第一模型参数发送至客户端；其中，所述第一模型参数包括隐私预算；

(2)所述客户端根据各自本地的数据集对所述第一模型进行训练，采用随机梯度下降算法(SGD)将所述第一模型参数更新为第二模型参数；

(3)所述客户端根据每个所述第二模型参数的取值得到所述第二模型参数的取值范围，并设定所述第二模型参数的取值范围的中心c和半径r来限定p_ij的取值范围，使得p_ij∈[c-r,c+r]；

其中，p_ij表示第i个客户端的第j个所述第二模型参数，1≤i≤n,1≤j≤m,n表示客户端的总数，m表示每个客户端所述第二模型参数的总数；

(4)有m个随机变量序列U₁,U₂,…U_m是独立同分布的，且每个随机变量U_i都服从参数为的伯努利分布，所述客户端连续观测这m个随机变量的取值，并分别按顺序记录下来,其中，ε代表隐私预算，由所述服务器下发至所述客户端；

(5)按照以下公式，所述客户端对其所述第二模型参数进行扰动操作，生成第三模型参数；

其中，为p_ij经过本发明提出的本地化差分隐私算法M扰动之后的数值；

(6)第i个所述客户端从其未选择过的所述第三模型参数中随机选择一个所述第三模型参数其中，/>表示第i个所述客户端的第k个所述第三模型参数；

(7)第i个所述客户端从其他所述客户端中随机选择一个客户端，将的值与/>的值进行交换，其中，/>表示第j个所述客户端的第k个所述第三模型参数；

(8)每个所述客户端判断自身已经交换了的所述第三模型参数的数量是否达到自身的所述第三模型参数总数的二分之一，如果是，则停止交换所述第三模型参数，并执行步骤(9)，否则，随机选择一个未完成交换的所述客户端继续执行步骤(6)；

(9)每个所述客户端将其交换之后以及未交换的所有所述第三模型参数组成第四模型参数，并将其发送给所述服务器；

(10)所述服务器对所有所述客户端发送过来的所述第四模型参数进行加权平均，得到聚合后的全局模型，并将聚合后的全局模型参数发送给各所述客户端；

(11)所述客户端从第(2)步开始继续执行，直至全局模型收敛。

第二方面，本发明实施例提供了一种面向联邦学习的本地化差分隐私保护系统，所述系统包括：

模型下发模块，用于由所述服务器向所述客户端发送预设的第一模型和第一模型参数；所述第一模型参数包括隐私预算；

模型训练模块，用于由所述客户端采用本地数据对所述第一模型进行训练，将所述第一模型参数更新为第二模型参数；

差分隐私模块，用于由所述客户端采用本发明提出的本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数；

参数交换模块，用于由所述客户端随机选择部分所述第三模型参数与其余客户端对应位置的部分所述第三模型参数进行交换，得到第四模型参数；

模型聚合模块，用于由所述服务器根据各客户端的权重对所述第四模型参数进行加权平均，得到全局模型。

第三方面，本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。

第四方面，本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述方法的步骤。

上述本申请提供了一种面向联邦学习的本地化差分隐私保护方法、系统、计算机设备及存储介质，通过所述方法，实现了通过服务器向客户端发送第一模型和第一模型参数，由客户端采用本地数据对第一模型进行训练，将第一模型参数更新为第二模型参数，再采用本地化差分隐私算法，由客户端对第二模型参数添加扰动，得到第三模型参数，再由客户端随机选择其部分第三模型参数，与其余某个客户端对应位置的第三模型参数进行交换，生成第四模型参数并发送给服务器，由服务器对所有客户端的第四模型参数进行加权平均得到全局模型，用于根据全局模型提供服务的技术方案。与现有技术相比，该面向联邦学习的本地化差分隐私保护方法，在克服现有差分隐私方法由于不合理的隐私预算引起的隐私泄露问题，通过增大受扰动后的数据与原始数据之间的差异，达到了更强的隐私保护效果的同时，克服现有差分隐私技术难以在合理的隐私预算与模型性能之间取得较好的平衡问题，达到了节省隐私预算和保障模型服务质量的效果。

附图说明

图1是本发明一实施例提供的一种面向联邦学习的本地化差分隐私保护方法的流程示意图；

图2是本发明一实施例提供的一种面向联邦学习的本地化差分隐私保护系统的结构示意图；

图3是本发明一实施例中计算机设备的内部结构示意图。

具体实施方式

为了使本申请的目的、技术方案和有益效果更加清楚明白，下面结合附图及实施例，对本发明作进一步详细说明，显然，以下所描述的实施例是本发明实施例的一部分，仅用于说明本发明，但不用来限制本发明的范围。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在一个实施例中，如图1所示，提供了一种面向联邦学习的本地化差分隐私保护方法，包括以下步骤：

S11、服务器将预设的第一模型和第一模型参数发送至客户端；其中，所述第一模型参数包括隐私预算；

其中，由于联邦学习需要一个服务器和多个客户端参与，服务器可随机选择部分客户端作为联邦学习的参与方，通常可选取客户端的数量为50-500，此处以K个客户端进行联邦学习为例。

本步骤所述的第一模型和第一模型参数是由服务器根据实际任务需求选择，需要客户端在本地完成训练的模型。需要说明的是，在实际中，联邦学习训练需要很多轮迭代才能够得到服务器所需的理想模型，此处的第一模型在第一轮训练时下发的就是一个初始模型，并不是严格意义上的由服务器按照预设规则聚合后的全局模型，在后续迭代训练中，服务器均是将根据客户端权重聚合得到的全局模型作为第一模型下发，但考虑到第一轮训练时，每个客户端初始模型相同，按照权重聚合得到的全局模型仍是该初始模型，因此，不分第几轮迭代训练，由服务器下发的训练模型统称为第一模型，与之相关的模型参数统称为第一模型参数。此外，本说明书实施例中的第一模型对应的输入数据可以包括以下一种：图像、文本、语音。模型训练完成后，可以相应地用于对图像、文本或语音进行分析。最初服务器下发的第一模型可以是机器学习模型或深度学习模型中的任意一种，如线性回归模型或神经网络模型等，第一模型参数包括隐私预算和神经网络模型的网络参数等。

本步骤所述的隐私预算用来衡量所添加噪声量的大小，一般取值为0.5-5.0。服务器可根据各个客户端的训练数据集的数据量的大小预先设置隐私预算，使得客户端可根据相应的隐私预算，根据其训练数据集训练其本地的模型。

S12、所述客户端根据各自本地的数据集对所述第一模型进行训练，将所述第一模型参数更新为第二模型参数；

其中，本地数据指的是每个客户端本地的私有训练数据。每个客户端在本地使用各自的本地数据对服务器下发的第一模型进行一轮迭代训练，采用随机梯度下降算法(SGD)将训练得到的模型参数作为第二模型参数。

S13、采用本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数；

其中，本地化差分隐私算法是指基于不可信第三方的前提下，其将数据隐私化的工作转移到每个用户，用户自己来处理和保护个人数据，极大地降低了隐私泄露的可能性。所述采用本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数的步骤S13包括：

S131、所述客户端根据每个所述第二模型参数的取值得到所述第二模型参数的取值范围，并设定所述第二模型参数的取值范围的中心c和半径r来限定p_ij的取值范围，使得p_ij∈[c-r,c+r]；

其中，p_ij表示第i个客户端的第j个所述第二模型参数，1≤i≤n,1≤j≤m,n表示客户端的总数，m表示每个客户端所述第二模型参数的总数。比如，第i个客户端的每个第二模型参数的取值都在-1到1之间，此时可设定c＝0，r＝1，这样p_ij∈[-1,1]。

S132、有m个随机变量序列U₁,U₂,…U_m是独立同分布的，且每个随机变量U_i都服从参数为的伯努利分布，所述客户端连续观测这m个随机变量的取值，并分别按顺序记录下来；

其中，伯努利分布(Bernoulli distribution)又名两点分布或0-1分布。伯努利试验是只有两种可能结果的单次随机试验。进行一次伯努利试验，如果随机变量X只取0和1两个值，并且P(X＝1)＝q,P(X＝0)＝1-q,0<q<1,则称随机变量X服从参数为q的伯努利分布。U₁,U₂,…U_m这m个随机变量的取值要么是0，要么是1；

S133、按照以下公式，所述客户端对其所述第二模型参数进行扰动操作，生成第三模型参数:

其中，为p_ij经过本发明提出的本地化差分隐私算法M扰动之后的数值，也即/>表示第i个客户端的第j个所述第二模型参数经过本发明提出的本地化差分隐私算法M扰动之后的数值，1≤i≤n,1≤j≤m,n表示客户端的总数，m表示每个客户端所述第二模型参数的总数。每个客户端采用本地化差分隐私算法M对其每个第二模型添加噪声：当客户端观测到U_j的值为1的时候，令/>的值为/>当客户端观测到U_j的值为0的时候，令/>的值为/> 的值只能是这两个离散的值中的其中一个。

S14、由所述客户端随机选择其部分所述第三模型参数，与其余某个所述客户端对应位置的所述第三模型参数进行交换，生成第四模型参数并发送给所述服务器；

下面将结合实施例，对S14的具体步骤说明如下：

S141、第i个所述客户端从其未选择过的所述第三模型参数中随机选择一个所述第三模型参数其中，/>表示第i个所述客户端的第k个所述第三模型参数；

S142、第i个所述客户端从其他所述客户端中随机选择一个客户端，将的值与的值进行交换，其中，/>表示第j个所述客户端的第k个所述第三模型参数；

S143、每个所述客户端判断自身已经交换了的所述第三模型参数的数量是否达到自身的所述第三模型参数总数的二分之一，如果是，则停止交换所述第三模型参数，并执行步骤S15，否则，随机选择一个未完成交换的所述客户端继续执行步骤S141；

假设有两个客户端A、B要进行第三模型参数的交换，A的第三模型参数为(a₁，a₂，a₃，a₄,a₅)，B的第三模型参数为(b₁,b₂,b₃,b₄,b₅)，A随机选择了客户端B，并随机选择了a₂与B对应位置的第三模型参数进行交换，交换后的结果为：A的第三模型参数为(a₁,b₂，a₃,a₄，a₅)，B的第三模型参数为(b₁,a₂,b₃,b₄,b₅)。此时，A通过计算，发现其第三模型参数(a₁,b₂,a₃,a₄,a₅)中已经交换的第三模型参数的数量只有一个，还未达到其所有第三模型参数数量的二分之一，因此需要从S141步骤继续往下执行。

S15、每个所述客户端将其交换之后以及未交换的所有所述第三模型参数组成第四模型参数，并将其发送给所述服务器；

S16、采用如下公式，所述服务器对所有所述客户端发送过来的所述第四模型参数进行加权平均，得到聚合后的全局模型：

其中，W_i表示服务器为第i个客户端分配的权重，服务器可以用第i个客户端的本地数据的数量除以所有参与联邦学习的客户端的总的本地数据的数量来为第i个客户端分配权重。是在第t轮迭代训练中，第i个客户端上传的第四模型参数。g'_t表示聚合后的第t个全局模型。本实施例中，全局模型是基于客户端权重对所有客户端上传的第四模型参数进行加权平均的聚合方法得到，并作为后续迭代时下发给所有客户端进行训练的模型。

通常，联邦学习的训练过程是在服务器与客户端之间迭代进行的。服务器将模型参数发送给所有参与的客户端。各客户端在本地计算模型参数，并使用差分隐私技术对参数信息进行扰动，并将扰动后的结果发送给服务器。服务器聚合所有客户端的模型参数，并将聚合后的结果发送给各客户端。各客户端使用聚合后的结果更新各自的模型参数。上述步骤会持续迭代进行，直到损失函数收敛或者达到允许的迭代次数的上限或允许的训练时间，这种架构独立于特定的机器学习算法，并且所有客户端将会共享最终的模型参数。具体地，可以把停止训练的条件设置为：损失函数值小于指定值(即模型收敛)或者循环执行上述训练过程达到指定的次数，如100次。

在一个实施例中，如图2所示，提供了一种面向联邦学习的本地化差分隐私保护系统，所述系统包括：

模型下发模块11，用于由所述服务器向所述客户端发送预设的第一模型和第一模型参数；所述第一模型参数包括隐私预算；

模型训练模块12，用于由所述客户端采用本地数据对所述第一模型进行训练，将所述第一模型参数更新为第二模型参数；

差分隐私模块13，用于由所述客户端采用本发明提出的本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数；

参数交换模块14，用于由所述客户端随机选择部分所述第三模型参数与其余客户端对应位置的部分所述第三模型参数进行交换，得到第四模型参数；

模型聚合模块15，用于由所述服务器根据各客户端的权重对所述第四模型参数进行加权平均，得到全局模型。

关于面向联邦学习的本地化差分隐私保护系统的具体限定可以参见上文中对于复面向联邦学习的本地化差分隐私保护方法的限定，在此不再赘述。上述面向联邦学习的本地化差分隐私保护系统中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

图3示出一个实施例中计算机设备的内部结构图，该计算机设备具体可以是终端或服务器。如图3所示，该计算机设备包括通过系统总线连接的处理器、存储器、网络接口、显示器和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种复合隐私保护方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

在一个实施例中，提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述方法的步骤。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述方法的步骤。

综上，本发明实施例提供的一种面向联邦学习的本地化差分隐私保护方法、系统、计算机设备及存储介质，其面向联邦学习的本地化差分隐私保护方法通过服务器向客户端发送第一模型和第一模型参数，由客户端采用本地数据对第一模型进行训练，将第一模型参数更新为第二模型参数，再采用本地化差分隐私算法，由客户端对第二模型参数添加扰动，得到第三模型参数，再由客户端随机选择其部分第三模型参数，与其余某个客户端对应位置的第三模型参数进行交换，生成第四模型参数并发送给服务器，由服务器对所有客户端的第四模型参数进行加权平均得到全局模型，用于根据全局模型提供服务的技术方案。与现有技术相比，该面向联邦学习的本地化差分隐私保护方法，在克服现有差分隐私方法由于不合理的隐私预算引起的隐私泄露问题，通过增大受扰动后的数据与原始数据之间的差异，达到了更强的隐私保护效果的同时，克服现有差分隐私技术难以在合理的隐私预算与模型性能之间取得较好的平衡问题，达到了节省隐私预算和保障模型服务质量的效果。

Claims (3)

1.一种面向联邦学习的本地化差分隐私保护方法，其特征在于，所述方法包括以下步骤：

步骤1，服务器随机选择部分客户端作为联邦学习的参与方，并将预设的第一模型和第一模型参数发送至客户端；其中，所述第一模型参数包括隐私预算；

步骤2，所述客户端根据各自本地的数据集对所述第一模型进行训练，采用随机梯度下降算法将所述第一模型参数更新为第二模型参数；

步骤3，采用本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数；

步骤4，由所述客户端随机选择其部分所述第三模型参数，与其余某个所述客户端对应位置的所述第三模型参数进行交换，生成第四模型参数并发送给所述服务器；

步骤5，所述服务器对所有所述客户端的第四模型参数进行加权平均得到全局模型，所述步骤3采用本地化差分隐私算法，由所述客户端对所述第二模型参数添加扰动，得到第三模型参数的步骤包括：

步骤31，所述客户端根据每个所述第二模型参数的取值得到所述第二模型参数的取值范围，并设定所述第二模型参数的取值范围的中心c和半径r来限定的取值范围，使得的取值范围如下：

其中，/>表示第i个所述客户端的第j个所述第二模型参数，1≤i≤n,1≤j≤m, n表示所述客户端的总数，m表示每个所述客户端的所述第二模型参数的总数；步骤32，有m个随机变量序列/>,/>,…/>是独立同分布的，且每个随机变量/>都服从参数为/>的伯努利分布，所述客户端连续观测这m个随机变量的取值，并分别按顺序记录下来,其中，/>代表隐私预算，由所述服务器下发至所述客户端；步骤33，按照以下公式，所述客户端对其所述第二模型参数进行扰动操作并生成第三模型参数：

其中，为/>经过上述的本地化差分隐私算法M扰动之后的数值；

所述由所述客户端随机选择其部分所述第三模型参数，与其余某个所述客户端对应位置的所述第三模型参数进行交换，生成第四模型参数并发送给所述服务器的步骤4包括：

步骤41，第i个所述客户端从其未选择过的所述第三模型参数中随机选择一个所述第三模型参数，其中，/>表示第i个所述客户端的第k个所述第三模型参数；

步骤42，第i个所述客户端从其他所述客户端中随机选择一个客户端，将的值与/>的值进行交换，其中，/>表示第j个所述客户端的第k个所述第三模型参数；

步骤43，每个所述客户端判断自身已经交换了的所述第三模型参数的数量是否达到自身的所述第三模型参数总数的二分之一，如果是，则停止交换所述第三模型参数，并执行步骤44，否则，随机选择一个未完成交换的所述客户端继续执行步骤41；

步骤44，每个所述客户端将其交换之后以及未交换的所有所述第三模型参数组成第四模型参数，并将其发送给所述服务器，所述由所述服务器对所有所述客户端的第四模型参数进行加权平均得到全局模型的步骤之后还包括：

由所述服务器将所述客户端的隐私损失进行汇总，得到全局隐私损失；

根据所述全局隐私损失是否超过预设的隐私预算，判断是否停止迭代；

若所述全局隐私损失未超过预设的隐私预算时，则由所述服务器将所述全局模型发送给所述客户端进行下一轮迭代训练，反之，则停止迭代。

2.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1所述方法的步骤。

3.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1所述方法的步骤。