差分プライバシー入門：DP-SGD、DP-SAM、および安全な集約の解説
執筆：Wendy Frey
差分プライバシー（DP）は、ユーザーデータ保護がオプションではなく必須である現代の機械学習システムの中核的な構成要素となっています。信頼に依存するのではなく、DPは個々のデータポイントが最終モデルに大きな影響を与えないことを数学的に保証します。
簡単に言えば、たとえ1人のユーザーデータが削除されたり変更されたりしても、モデルの出力はほぼ変わらないはずです。
このアイデアは通常、2つのパラメータを通じて形式化されます：
- ε (イプシロン), 個人に関する情報が漏えいする量（小さいほど良い）
- δ (デルタ), この保証が完璧に成立しない小さな確率
実際の機械学習における課題はDPを定義することではなく、モデルのパフォーマンスを損なうことなくそれを効率的に機能させることです。
DP-SGD：差分プライバシーの作業馬
ほとんどの実用的なDPシステムは、**DP-SGD（差分プライベート確率的勾配降下法）**の上に構築されています。これは、標準的なSGDを2つの重要な方法で修正します。
DP-SGDの仕組み
各トレーニング例からの生の勾配を直接使用するのではなく、DP-SGDは以下を適用します：
- 勾配クリッピング, 単一のサンプルの影響を制限します。
- ノイズ注入, 各個人の貢献を隠すためにガウスノイズを追加します。
この組み合わせにより、単一のデータポイントが学習過程を支配することができなくなります。
DP-SGDの主要なパラメータ
| パラメータ | 制御する内容 | 重要な理由 |
|---|---|---|
| クリッピングノルム | サンプルごとの最大勾配サイズ | 外れ値が更新を支配するのを防ぐ |
| ノイズ乗数 | 追加されるガウスノイズの量 | プライバシー-ユーティリティトレードオフに直接影響 |
| サンプリング率 | ステップごとのデータの割合 | プライバシー予算の消費に影響 |
| エポック | トレーニングパスの数 | エポックが多いほどプライバシーコストが高くなる |
1つの重要な実用的な注意点：イプシロンは感覚で「選んで」はいけません。それはトレーニング中の累積プライバシー損失を追跡するプライバシーアカウンタを使用して計算されます。
安全な集約と差分プライバシー
この2つの概念はしばしば混同されますが、異なる問題を解決します。 安全な集約は、データの送信中に保護し、差分プライバシーは最終モデル出力を保護します。
| 特徴 | 安全な集約 | 差分プライバシー |
|---|---|---|
| 保護するもの | クライアントの更新内容 | モデルからの情報漏えい |
| 適用されるタイミング | 通信中 | トレーニング後 |
| 主な目的 | 個別の勾配を隠す | どのユーザーの影響も制限する |
| 脅威モデル | サーバーは集約データのみを見る | モデル出力は情報を漏えいしないこと |
生産システムでは、これらはしばしば一緒に使用されます：
安全な集約 + DP = より強力なエンドツーエンドのプライバシー
DP-SAM：プライバシー制約下での精度向上
DP-SGDの最大の欠点の1つはノイズによる性能低下です。ここで**DP-SAM（差分プライベートシャープネス・アウェア最小化）**が役立ちます。
DP-SAMのアイデアはシンプルですが強力です： モデルを鋭い最小点（敏感な領域）で学習するのではなく、フラットな最小点に最適化を推進します。
これは、
- フラットな領域ではノイズの影響が少ない
- モデルがDP制約の下でより良く一般化される
- 標準的なDP-SGDと比較して精度の損失が減少する
トレードオフは計算コストです。なぜなら、SAMスタイルのトレーニングには追加の最適化ステップが必要だからです。
比較：DP-SGD vs DP-SAM
| 側面 | DP-SGD | DP-SAM |
|---|---|---|
| プライバシー保証 | 強い | 強い |
| 最適化目標 | 標準的なトレーニング | フラットな最小点の最適化 |
| DP下の精度 | よく低い | 通常は高い |
| 計算コスト | 低い | 高い |
| 最適な使用ケース | ベースラインDPトレーニング | 生産品質のDPモデル |
DPトレーニングの実用的なワークフロー
実際のデプロイメントでは、DPを実装するのは理論よりも注意深い調整とモニタリングに関することです。 典型的なワークフローは次のようになります：
- プライバシーターゲットを定義する（ε, δ）
- DP-SGDを使用してベースラインモデルをトレーニングする
- ユーティリティとプライバシーのトレードオフを評価する
- 安全な集約を適用する（フェデレート設定の場合）
- 精度が不十分な場合はDP-SAMを試す
- 最終検証のためにプライバシーアカウンタを使用する
- コンプライアンスと監査可能性のために結果を文書化する
最終的なポイント
差分プライバシーは単一の技術ではなく、システム設計アプローチです。 DP-SGDは基盤を提供し、安全な集約はインフラストラクチャのセキュリティを強化し、DP-SAMはプライバシーノイズが高すぎる場合にパフォーマンスを回復するのに役立ちます。 実際には、ほとんどの現実のシステムは、単一の方法ではなく、これら3つ全ての組み合わせに依存しています。
