一种基于梯度引导关键区域扰动的联邦学习隐私保护方法

本发明属于联邦学习领域，更具体地，涉及一种基于梯度引导关键区域扰动的联邦学习隐私保护方法。

背景技术：

1、联邦学习（federated learning, fl）作为一种革命性的分布式机器学习范式，允许在不共享本地原始数据的情况下协作训练全局模型。这一架构在医疗健康这类对数据隐私要求极高的领域具有巨大潜力，能够有效应对hipaa、gdpr等严格的数据监管法规所造成的“数据孤岛”问题。然而，尽管联邦学习避免了原始数据的直接暴露，近期的研究表明，其分布式架构仍存在严重的安全漏洞。攻击者可以利用共享的梯度信息发动梯度泄露攻击（gradient leakage attacks, glas，如深度梯度泄露dlg等），以极高的保真度反向重建出客户端的敏感训练样本。

2、现有的为了缓解上述隐私泄露风险防御机制在实际应用中均存在难以克服的局限性：

3、1.密码学方法面临落地瓶颈：现有的同态加密（he）和安全多方计算（smc）等技术虽然在理论上能在通信和聚合过程中提供隐私保障。然而，这些技术会引入极高的计算复杂度和通信开销，难以在现实世界的大规模联邦学习系统中有效部署。

4、2.传统差分隐私（dp）面临“隐私-效用”的失衡：差分隐私是目前最广泛采用的防御手段，其通过向模型更新或梯度中注入校准噪声（如局部差分隐私ldp或集中式差分隐私cdp）来抵御攻击。然而，这种方法存在缺陷：更强的隐私保护往往以严重牺牲模型效用（如分类准确率）为代价。

5、3.“全局加噪”忽略了数据的空间异质性（核心缺陷）：现有的基于扰动的隐私保护方法（包括部分在数据空间注入结构化扰动的方法）都存在一个关键局限：它们在应用噪声时，未考虑图像不同区域信息密度的空间异质性。这种一刀切的全局加噪策略在处理医疗图像这类稀疏数据时尤为致命。在医疗图像中，具有诊断价值的敏感特征通常高度集中在特定的解剖区域或病灶区域，而大面积的背景组织往往是同质且缺乏判别价值的。对整幅图像进行无差别的全局噪声注入，会导致两个极其负面的后果：一方面，对非关键背景区域的过度扰动引入了不必要的效用降级；另一方面，被平摊的噪声可能无法为高信息密度区域（敏感区域）提供足够的保护强度，使其在面对复杂的重建攻击时依然脆弱。

技术实现思路

1、针对现有技术的以上缺陷或改进需求，本发明提供了一种基于梯度引导关键区域扰动的联邦学习隐私保护方法，该方法考虑到医疗图像具有稀疏特性的特点，通过将防御性噪声精准注入到对任务最关键的数据区域，能够在有效抵御梯度泄露攻击的同时，最大程度保留全局模型的效用。

2、为实现上述目的，按照本发明的第一方面，提供了一种基于梯度引导关键区域扰动的联邦学习隐私保护方法，包括：

3、s1，中心服务器初始化全局模型参数，并将其下发至参与当前轮次训练的客户端；

4、s2，所述客户端将本地模型参数初始化为中心服务器下发的全局模型参数；

5、s3，所述客户端计算损失函数关于叠加了当前扰动的输入样本的梯度矩阵，并通过对应的掩码阈值生成与梯度矩阵对应的二值掩码矩阵，将梯度矩阵与二值掩码矩阵逐元素相乘得到被掩码屏蔽的梯度信息，通过所述梯度信息对所述扰动进行更新；其中，所述输入样本为医学图像，扰动的初值为0；

6、s4，将更新后的扰动作为当前扰动，返回s3，直至达到最大迭代次数，将最新的扰动作为最优扰动，进入s5；

7、s5，所述客户端将所述最优扰动与输入样本叠加得到受保护数据，利用所述受保护数据进行前向与反向传播以计算本地模型的参数梯度并上传至中心服务器；

8、s6，中心服务器对各所述客户端上传的参数梯度进行加权求和得到全局梯度，并结合全局学习率更新全局模型，将更新后的全局模型下发至参与下一轮次训练的各客户端，返回s2，直至达到最大通信轮次。

9、按照本发明的第二方面，提供了一种联邦学习系统，包括：中心服务器端和客户端，中心服务器端和客户端用于执行如第一方面所述的基于梯度引导关键区域扰动的联邦学习隐私保护方法。

10、按照本发明的第三方面，提供了一种医疗图像分类方法，用于客户端，包括：采用训练好的本地模型对待分类医疗图像进行分类；

11、其中，本地模型采用第一方面所述的基于梯度引导关键区域扰动的联邦学习隐私保护方法训练得到。

12、按照本发明的第四方面，提供了一种客户端，包括：存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时执行第三方面所述的医疗图像分类方法。

13、按照本发明的第五方面，提供了一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行如第一方面所述的基于梯度引导关键区域扰动的联邦学习隐私保护方法或如第三方面所述的医疗图像分类方法。

14、总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

15、1、实现细粒度防护，打破“隐私-效用”权衡的传统瓶颈：传统的差分隐私（dp）等全局加噪机制会盲目破坏整个数据空间。本发明创新性地采用梯度敏感性分析，将扰动严格限制在高信息密度的任务关键区域，不仅为易受攻击的敏感局部提供了更高强度的噪声保护，而且避免了对非关键背景区域的不必要破坏，实现了极高的模型效用保留。

16、2、高度契合医疗图像等稀疏数据的内在特性：医疗图像数据具有强烈的空间稀疏性，即诊断特征往往集中在微小的病灶区域。本发明的动态掩码机制能够自适应地定位这些解剖学或病理学上的敏感区域，使得隐私保护策略与数据的内在稀疏分布完美对齐。

17、3、对抗高级重建攻击的卓越鲁棒性：本发明生成的非均匀、基于优化的掩码噪声提高了损失平面的非凸性。相较于现有的fedem或dp算法，在应对深度梯度泄露等高级攻击时，本发明显著增加了攻击者反向推导原始像素的难度，在feature mse和psnr等隐私评估指标上展现出较优的防护水平。

18、综上，本发明提供的方法，通过动态掩码定位高信息密度区域，并结合投影梯度下降对局部区域进行精确的噪声注入，以防御模型训练过程中的梯度泄露攻击，能够在有效保护本地训练数据（尤其是医疗图像等稀疏数据）隐私的同时，最大限度地维持全局模型的效用与准确率。

1.一种基于梯度引导关键区域扰动的联邦学习隐私保护方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于，第个客户端第次迭代时，所述损失函数关于叠加了当前扰动的输入样本的梯度矩阵的计算公式为：

3.如权利要求2所述的方法，其特征在于，第个客户端第次迭代时，所述扰动的更新公式为：

4.如权利要求1所述的方法，其特征在于，第个客户端第次迭代时，所述对应的掩码阈值的获取方式为：

5.如权利要求1所述的方法，其特征在于，第轮通信时，所述全局梯度的计算公式为：

6.一种联邦学习系统，其特征在于，包括：中心服务器端和客户端，中心服务器端和客户端用于执行权利要求1-5任意一项所述的基于梯度引导关键区域扰动的联邦学习隐私保护方法。

7.一种医疗图像分类方法，其特征在于，用于客户端，包括：采用训练好的本地模型对待分类医疗图像进行分类；

8.一种客户端，其特征在于，包括：存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时执行权利要求7所述的医疗图像分类方法。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行如权利要求1-6任意一项所述的基于梯度引导关键区域扰动的联邦学习隐私保护方法或如权利要求7所述的医疗图像分类方法。