一种面向深度神经网络的隐私数据泄露风险动态监测系统的制作方法

本技术涉及联邦学习与深度学习安全，具体而言，涉及一种面向深度神经网络的隐私数据泄露风险动态监测系统。

背景技术：

1、在跨组织联邦学习的实际应用场景中，各参与方在完成联邦训练后会获得相同的模型副本，并约定以训练结束时的模型隐私保护性能作为统一的公共风险基线。各参与方将模型独立部署于自身业务系统内进行推理服务时，监测系统通常独立运行，通过计算模型对特定查询的响应异常度并与公共基线对比，来评估是否发生隐私泄露。

2、然而，在多参与方独立部署的实际场景中，各参与方往往会因为自身业务数据分布与联邦训练数据分布存在差异，对模型进行本地适配微调以提升准确率。此时，监测系统仍沿用联邦训练结束时的统一公共基线。由于公共基线无法刻画各参与方本地模型版本的个性化隐私边界，当模型参数因本地适配发生局部但关键的漂移时，微调后的模型对本地特定数据的正常响应行为变化，会被监测系统错误地判定为异常高风险，从而持续触发误报。这种因基线僵化导致的风险甄别能力丧失，使得安全运维人员对告警失去信任，严重影响了联邦学习在多参与方独立运维环境下的安全监测效能。

3、针对上述问题，现有技术亟需改进。

技术实现思路

1、为了解决现有技术的不足，本技术公开了一种面向深度神经网络的隐私数据泄露风险动态监测系统，旨在解决跨组织联邦学习场景下，因模型本地适配导致的个性化行为变化被僵化的公共基线错误判定为隐私泄露风险，从而引发频繁误报的技术问题。

2、本技术的技术方案如下：

3、第一方面，本技术公开了一种面向深度神经网络的隐私数据泄露风险动态监测系统，应用于联邦学习参与方节点，以对由联邦学习中心节点下发的共享模型通过本地适配更新后形成的模型副本进行风险判定，该系统包括：

4、基线构建模块，用于获取共享模型在初始状态下的参数分布及对标准输入的响应行为，构建具备全局标识的初始参考基线；

5、特征生成模块，用于通过比对当前更新后的模型副本中的参数与初始状态下的参数分布，并量化共享模型在特征空间的漂移方向与幅度，生成反映模型版本演化的状态特征；

6、行为特征提取模块，用于在共享模型推理过程中，提取反映输出不确定性、概率偏离度及敏感响应强度的特征，生成当前监测周期的行为特征向量；

7、向量分解模块，用于利用状态特征构建投影矩阵，并在投影矩阵中，将行为特征向量相对于初始参考基线的原始偏离向量分解为与共享模型适配方向一致的迁移分量，以及适配方向不一致的异常游离分量；

8、边界适配模块，用于利用迁移分量对初始参考基线的分布指标进行补偿，生成与当前模型版本对应的适配参考边界；

9、评估处置模块，用于分别计算行为特征向量相对于适配参考边界的局部偏离得分，以及相对于初始参考基线的全局偏离得分，将异常游离分量作为惩罚权重，通过加权融合算法确定最终的隐私泄露风险等级，并根据隐私泄露风险等级执行对应的参考边界更新或安全告警处置。

10、可选地，获取共享模型在初始状态下的参数分布及对标准输入的响应行为，构建具备全局标识的初始参考基线，包括：

11、获取共享模型在下发时的全局参数快照，全局参数快照包括各网络层的权重矩阵和偏置向量；

12、采集共享模型对预设的代表性公共校验数据集的响应行为数据，响应行为数据包括输出置信度分布、隐藏层激活值分布、节点响应稀疏度以及特征映射张量的统计特征；

13、基于全局参数快照和响应行为数据，构建包含期望分布模型、敏感特征激活强度容忍上限、用于衡量共享模型内部处理逻辑状态的预设基准路径以及隐私保护性能基准指标的初始参考基线。

14、可选地，状态特征包括权重漂移矩阵和特征空间漂移向量；

15、通过比对当前更新后的模型副本中的参数与初始状态下的参数分布，并量化共享模型在特征空间的漂移方向与幅度，生成反映模型版本演化的状态特征，包括：

16、计算更新后的模型副本中的参数与初始状态下的参数分布的层级变化量，并基于层级变化量提取权重漂移矩阵；

17、计算更新后的模型副本内部的特征响应图谱与初始参考基线中记录的基准内部响应特征之间的分布差异，并基于分布差异提取特征空间漂移向量；

18、将权重漂移矩阵、特征空间漂移向量、本地版本号以及时间戳封装为版本演化状态记录，作为状态特征。

19、可选地，在共享模型推理过程中，提取反映输出不确定性、概率偏离度及敏感响应强度的特征，生成当前监测周期的行为特征向量，包括：

20、采集在预设的时间滑动窗口内共享模型对输入请求的响应数据，响应数据包括预测类别数据、敏感类别数据以及置信度得分向量；

21、计算时间滑动窗口内置信度得分向量各维度的响应熵值、预测类别数据的概率偏离度以及敏感类别数据的激活强度频率；

22、基于响应熵值、概率偏离度以及激活强度频率，生成行为特征向量。

23、可选地，在将行为特征向量相对于初始参考基线的原始偏离向量分解为与共享模型适配方向一致的迁移分量，以及适配方向不一致的异常游离分量之前，还包括：

24、计算行为特征向量与初始参考基线的期望分布模型之间的马氏距离，作为初步偏离度；

25、根据状态特征中的权重漂移矩阵的范数，设定偏离阈值；

26、若初步偏离度大于偏离阈值，则继续将行为特征向量相对于初始参考基线的原始偏离向量分解为与共享模型适配方向一致的迁移分量，以及适配方向不一致的异常游离分量；

27、若初步偏离度小于或等于偏离阈值，则判定当前监测周期为低风险并结束当前监测流程。

28、可选地，利用迁移分量对初始参考基线的分布指标进行补偿，生成与当前模型版本对应的适配参考边界，包括：

29、将迁移分量叠加至初始参考基线的期望分布模型上，生成本地期望分布模型；

30、结合状态特征中的权重漂移矩阵，对初始参考基线中的敏感特征激活强度容忍上限进行修正，生成本地化响应阈值；

31、基于本地期望分布模型和本地化响应阈值生成适配参考边界。

32、可选地，分别计算行为特征向量相对于适配参考边界的局部偏离得分，以及相对于初始参考基线的全局偏离得分，将异常游离分量作为惩罚权重，通过加权融合算法确定最终的隐私泄露风险等级，包括：

33、计算行为特征向量与适配参考边界中的本地期望分布模型之间的马氏距离，得到局部偏离得分；

34、计算行为特征向量与初始参考基线中的公共数据集输出置信度的期望分布模型之间的马氏距离，得到全局偏离得分；

35、将局部偏离得分与全局偏离得分进行加权求和，得到基础风险分值；

36、利用异常游离分量确定惩罚权重对基础风险分值进行修正，以输出最终的隐私泄露风险等级。

37、可选地，通过加权融合算法确定最终的隐私泄露风险等级，还包括：

38、对历次模型版本迭代产生的偏移向量进行矢量累加，得到版本累计合法迁移量，偏移向量为适配参考边界相对于初始参考基线在各个特征维度上的偏移量的向量；

39、在计算全局偏离得分时，从行为特征向量相对于初始参考基线的原始偏离距离中减去版本累计合法迁移量，得到净游离偏离度；

40、根据版本累计合法迁移量的模长计算衰减系数，利用衰减系数降低全局偏离得分的权重系数，并同步调高局部偏离得分的权重系数。

41、可选地，生成当前监测周期的行为特征向量，还包括：

42、获取模型副本在处理当前输入请求时的节点激活路径，并提取节点激活路径中各节点的贡献度权重，生成路径激活向量；

43、计算路径激活向量与初始参考基线中预设基准路径之间的余弦相似度；

44、将余弦相似度作为敏感响应强度的权重调节因子，对行为特征向量进行非线性映射增强，以提升行为特征向量对特定样本诱导型隐私泄露的捕捉灵敏度。

45、可选地，分别计算行为特征向量相对于适配参考边界的局部偏离得分，以及相对于初始参考基线的全局偏离得分，将异常游离分量作为惩罚权重，通过加权融合算法确定最终的隐私泄露风险等级，还包括：

46、根据路径激活向量定位模型副本中的敏感节点子集，敏感节点子集为对输入扰动响应极值超出预设范围的节点集合；

47、计算敏感节点子集在异常游离分量作用下的激活增益值；

48、若激活增益值超过预设的隐私溢出阈值，则判定存在针对特定样本的定向隐私嗅探风险，并根据激活增益值的量级提升隐私泄露风险等级的惩罚权重。

49、综合而言，本技术提供的一种面向深度神经网络的隐私数据泄露风险动态监测系统，通过构建具备全局标识的初始参考基线，并引入特征生成模块与向量分解模块，实现了对模型本地适配引起的合理参数漂移与潜在隐私泄露风险的有效解耦。通过将行为特征向量分解为迁移分量与异常游离分量，并利用迁移分量动态更新适配参考边界，系统能够自动适应各参与方微调后的模型版本，从而消除了因基线僵化导致的误报问题。同时，通过加权融合算法与惩罚机制，系统能够精准识别针对特定样本的定向隐私嗅探风险，在保障模型本地化应用灵活性的同时，显著提升了联邦学习环境下的隐私监测精度与安全运维效率。