田中 俊昭

分散型の機械学習手法である連合学習では，クライアントが自身のデータセットを保持したままローカルで学習し，サーバに学習結果の更新情報を送ることでグローバルモデルを共同で構築する．このとき，信頼できないクライアント（ビザンチンクライアント）が存在し，それらが偽の学習結果を送信することで，グローバルモデルの信頼性や性能を脅かす可能性がある（ビザンチン攻撃）．本稿では，ビザンチン攻撃に耐性のある連合学習を実現するために，クライアントの行動に基づく監視メカニズムを提案する．提案手法は，クライアントが送信する更新情報から時間的な一貫性や空間的な類似性を評価するために，収束，重みの変動，空間的分布の3つの観点を監視することで，クライアントの異常な行動を検出する．評価実験では，クライアントが保有するデータ分布をIIDおよび非IIDの2条件で設定し，偽装攻撃，シビル攻撃，およびデータポイズニングを組み合わせたビザンチン攻撃性能を実験で検証する．その結果，IID条件下では，提案手法を用いることで，全攻撃パターンにおいてビザンチン攻撃を検出し，ビザンチンクライアントが存在しない場合と同程度の精度を持つグローバルモデルを構築できることを明らかにする．一方，非IID条件下では，提案手法の対応可能な攻撃パターンが限定的であることが判明し，学習の安定性が損なわれやすい環境下での課題を明確にする．これらの結果をもとに，非IID条件下での連合学習を対象とした拡張の必要性を示し，今後の研究課題を議論する． Federated learning (FL) is a privacy-aware decentralized machine learning approach. In FL, clients perform local training on their datasets and send the model updates to the central server to build the global model. In FL environments, there may exist malicious clients, called Byzantine clients, that aims to corrupt the reliability and the performance of the global model. In this paper, we propose a monitoring mechanism based on client tracking to realize the Byzantine resilience in FL. The proposed method detects anomalous client behavior by monitoring three aspects: convergence, weight variation and spatial distribution, in order to assess temporal consistency and spatial similarity from the updates sent by the clients. In the evaluation experiments, client data distributions are configured under two conditions: IID and non-IID. The effectiveness of the proposed method in detecting Byzantine attacks, which involve a combination of Pretence, Sybil, and data poisoning, is empirically assessed. The results indicate that under IID condition, the proposed method successfully detected Byzantine attacks across all evaluated attack patterns and enabled the construction of a global model with accuracy comparable to that achieved in the absence of Byzantine clients. In contrast, under non-IID condition, the method exhibit limitations in the range of attack patterns it could effectively mitigate, revealing challenges in maintaining learning stability in such conditions. These findings underscore the necessity of extending FL methodologies to better accommodate non-IID condition, and future research directions are discussed accordingly.