面向跨机构数据共享的自适应安全保护方法

本发明涉及网络安全领域，涉及面向跨机构数据共享的联邦学习模型融合自适应安全保护方法。

背景技术：

1、随着数字经济的快速发展，金融、医疗、政务等领域的机构间数据共享需求日益迫切。跨机构数据融合与ai技术的深度结合，能够打破数据孤岛，为精准风控、辅助诊断、智能决策等场景创造颠覆性价值。然而，数据的分布式存储特性、跨域传输的高昂成本，以及《个人信息保护法》《数据安全法》等法规对隐私保护的严格要求，形成了“数据价值挖掘与隐私安全保护”的核心矛盾。如何在合规前提下实现跨机构数据的高效共享与价值释放，成为行业亟待解决的关键问题。

2、联邦学习(federated learning，fl)作为一种隐私保护的分布式机器学习范式，恰好能够破解这一“数据价值挖掘与隐私安全保护”的矛盾困境，其核心优势在于参与方仅共享模型参数而非原始数据，显著降低了数据泄露风险。然而，传统中心化联邦学习(centralized federated learning，cfl)依赖单一中心服务器进行模型聚合，存在单点故障、通信瓶颈及信任依赖等固有缺陷。

3、针对传统中心化联邦学习的上述问题，去中心化联邦学习(decentralizedfederated learning，dfl)作为其优化升级架构应运而生，相较于传统cfl，dfl在系统鲁棒性、通信效率、信任机制及可扩展性等方面展现出显著优势，能够有效弥补传统cfl的应用短板。dfl摒弃了对单一中心服务器的依赖，采用点对点(peer-to-peer，p2p)的分布式通信架构，不存在唯一的核心枢纽节点，即便部分节点出现故障或退出训练，仅会影响其直接连接的邻居节点，不会导致整个联邦学习系统瘫痪。同时，在缓解通信瓶颈方面，dfl中的每个节点仅需与自身直接连接的邻居节点进行模型参数的传输与聚合，将原本集中于中心服务器的巨大通信负载，均匀分散至系统中的所有节点，显著降低了单节点的通信压力。去中心化架构在提升系统韧性的同时，也带来了新的安全挑战——对投毒攻击的脆弱性显著提升。在跨机构数据共享场景中，攻击者可通过控制部分恶意机构节点，上传篡改后的模型参数，误导全局模型训练方向，导致模型性能下降甚至完全失效。由于dfl缺乏中心节点的全局监控，攻击行为更具隐蔽性，传统基于中心校验的防御机制难以适用。如何在去中心化网络中构建高效的自适应抗攻击方法，成为保障跨机构数据共享中ai模型安全的紧迫课题。

4、现有dfl投毒防御方法主要是通过模型更新之间的相似度来来识别和排除恶意节点，它们接收模型相似度高的节点的更新，减少恶意更新并增强联邦模型的鲁棒性，常见相似度指标包括：统计特征(如均值、中位数)、欧几里得距离、余弦相似度。尽管这些方法在某些情况下表现较好，但它们都是基于黑箱参数相似度的比较来进行投毒识别，而模型参数相似度与模型具体行为之间并不呈强相关关系，这具体表现在：在神经网络模型中，两个模型的参数可能会有显著差异，但预测结果可能相同。这意味着，即使两个模型在参数上有很大的不同，它们的输出(预测)可能仍然是相似的，这将会导致一些良性模型被误判为恶意模型。此外，投毒者可能会操纵模型参数，使得投毒模型的更新看起来与良性节点的更新相似，但其输出(预测)可能已经被投毒。例如，攻击者可能只修改模型的某一层(如输出层)中的某些参数，使得其他层保持与良性模型相同，但最终输出被投毒。这种情况下，即使模型被投毒，基于模型参数的相似度检测方法可能仍然无法检测到投毒，因为模型参数的相似度很高。

5、造成以上问题的原因在于基于黑箱参数相似性的方法缺乏可解释性，而可解释性的缺失意味着有很大可能造成一些良性模型被误伤或恶意模型攻击被遗漏。这在医学诊断、金融、自动驾驶、军事等对安全和隐私要求较高的领域，显然是一个巨大的问题。在这些高风险决策领域，一旦错误地将恶意模型识别为良性模型，造成的损失将是无法估量的。在这些应用场景中，人类应该理解针对dfl投毒攻击做出的防御措施，并且应该为dfl网络对投毒者采取的必要行动提供适当的证据和理由。因此，可解释性将是一个关键要求。如果能为每一次“恶意节点”的判断提供清晰的证据链和逻辑解释，将大大提高dfl系统的可靠性。

6、针对跨机构数据共享场景下的安全痛点，传统防御机制基于“本地节点绝对可信”的假设，仅针对外部攻击设计防护策略，完全忽视了内部节点的潜在风险，导致防御体系存在明显漏洞。传统防御机制“黑箱”决策的问题，无法满足跨机构数据共享场景下对安全、可信、可审计的核心需求。因此，有必要打破“本地节点绝对可信”的固有假设，构建基于信任权重动态优化的自适应抗攻击框架，以期抵御外部投毒攻击，并防范内部节点的恶意行为，实现对攻击的全场景覆盖。同时，有必要为每一次防御决策提供清晰的证据链和逻辑依据，以保证了防御全流程的可审计性。

技术实现思路

1、本发明所要解决的技术问题是，针对现有技术不足，提出一种面向跨机构数据共享的自适应安全保护方法。本发明的技术方案为：

2、一种面向跨机构数据共享的自适应安全保护方法，其特征在于，包括以下步骤：

3、(1)准备阶段：多个节点组建网络；各个节点基于去中心化联邦学习，相互协作完成模型更新；各个节点都同时扮演接收方和发送方两个角色；作为接收方，节点接收来自其他节点的模型；作为发送方，节点将模型发送给其他节点；各个节点独立地进行模型训练和模型融合操作；

4、(2)计算信任权重：信任权重α决定了本地节点历史错误率与邻居节点平均错误率的权重分配；信任权重α的值越大，表示对本地节点的信任度越高；信任权重α通过基于强化学习方法进行自适应调整；

5、(3)模型加权融合：节点为本地模型及接收到的每一个邻居节点模型分别计算惩罚系数；各个节点依据惩罚系数，为本地模型及接收到的每一个邻居节点模型分别计算融合权重；各个节点以融合权重为基础，对本地模型和邻居模型进行加权融合，得到融合更新后的本地模型。

6、作为进一步优化，所述步骤(2)具体步骤如下：

7、(2.1)马尔可夫决策过程(mdp)建模：mdp建模严格遵循去中心化约束，所有要素均基于节点本地可获取的信息定义，五要素定义如下：

8、状态空间状态向量st包含节点本地可完整计算的特征集，完整刻画当前训练与防御场景，定义为

9、st＝[acc,errlocal，errnei_mean，nnei，ttrain，fprlast，fnrlast]

10、st中各变量分别对应上一轮聚合得到模型的准确率、本地模型测试错误率、邻居模型平均错误率、邻居节点数量、各邻居参与本地节点训练的轮次、上一轮防御的假阳性率、上一轮防御的假阴性率；

11、动作空间动作at定义为本轮训练的本地信任权重α的取值，采用连续动作空间at∈[0，1]，让rl自主学习全场景下的最优取值范围；

12、状态转移函数定义为即节点执行动作at完成本轮防御与训练后，环境状态从st转移到st+1，满足马尔可夫性，下一轮状态仅与当前状态与动作相关奖励函数采用多目标加权奖励函数，平衡防御性能与主任务性能，同时加入平滑性约束避免训练震荡，定义为

13、rt＝η1acc+η2tpr+η3(1-fpr)-λ|αt-αt-1|

14、其中，acc为主任务测试准确率，tpr为恶意检测真阳性率，fpr为假阳性率；η1，η2，η3为权重系数，满足η1+η2+η3＝1；λ为平滑性惩罚系数，避免α的剧烈波动；

15、(2.2)自适应优化算法设计：

16、网络结构设计：采用actor-critic双网络架构，actor策略网络与critic价值网络均采用2层全连接层，隐藏层维度设置为64，激活函数采用relu，actor网络输出层采用tanh激活函数，保证α输出在[0，1]区间内；

17、去中心化训练逻辑：每个节点独立维护一套actor-critic网络，仅用本地可获取的状态、动作、奖励数据完成在线训练，无需与其他节点共享网络参数或训练数据，无隐私泄露风险，不改变p2p通信逻辑；

18、算法执行流程：每一轮训练中，节点将当前状态st输入actor网络，输出本轮最优信任权重at；完成本轮防御后，ri模块根据本轮防御效果(acc、tpr、fpr)计算奖励值rt；在下一轮训练开始前，节点重新采集本地与邻居的特征信息，构建得到新的环境状态st+1。随后将经验样本(st，at,rt，st+1)存入经验回放池，利用ppo算法的目标函数完成策略网络与价值网络的同步参数更新，实现本轮经验的学习闭环；

19、完成本轮防御与模型训练后，计算奖励值rt与下一轮状态st+1，将(st，at,rt，st+1)存入经验回放池，完成ppo算法的策略更新；

20、(2.3)rl策略的可解释性蒸馏：

21、蒸馏流程：采集训练过程中生成的若干组(st，at)样本对，以状态向量st为输入，以actor网络输出的α值为标签，训练cart决策树模型，实现对rl策略的高精度拟合；

22、可解释性输出：蒸馏后的决策树可输出清晰的“if-then”决策规则，明确回答“在什么场景下，α应该调高/调低”；同时输出状态变量的特征重要性排序。

23、作为进一步优化，所述步骤(3)具体步骤如下：

24、(3.1)计算惩罚系数：惩罚系数βj是调整聚合权重的一个参数，惩罚系数越小聚合权重越小；对于可疑分数超过阈值τ的节点，判断为恶意，其惩罚系数设置为0，对于可疑分数未超过阈值τ的节点，惩罚系数随着可疑分数的增大而减小；具体计算公式：

25、

26、由于本地节点未计算可疑分数，其惩罚系数设置为

27、(3.2)聚合权重归一化：恶意节点其在聚合的过程中权重为0，其他邻居节点则根据可疑分数的大小适当调整聚合权重；计算公式为

28、

29、其中，为节点nk的本地样本大小；

30、(3.3)模型加权聚合：对fedavg进行修改，引入权重参数，聚合函数公式为

31、

32、有益效果：

33、本发明针对跨机构数据共享场景下ai模型的安全防御难题，创新性地构建了基于强化学习的自适应抗攻击框架，突破了传统联邦学习中“本地节点绝对可信”的固有假设。跨机构数据共享场景中，参与方节点可能因数据污染、恶意操作或外部攻击导致模型参数异常，传统防御机制因缺乏动态信任评估能力，难以有效区分良性波动与恶意攻击，存在误判率高、防御针对性弱的缺陷。本发明通过引入动态信任权重优化机制，实现了对节点行为的实时量化评估，为精准防御提供了核心依据。

34、本发明将节点信任评估问题建模为马尔可夫决策过程，以节点历史行为数据、模型性能波动、跨机构交互记录等为状态输入，以全局模型的鲁棒性和准确性为奖励信号，通过近端策略优化(ppo)算法实现信任权重的在线动态调整。同时，为满足跨机构数据共享场景下的可审计需求，通过决策树蒸馏技术对强化学习策略进行规则提取，将黑箱决策转化为可解释的逻辑规则，使防御过程透明可追溯。这一机制不仅能够有效识别恶意节点，还能根据攻击态势动态调整防御策略，实现智能化、自适应的抗攻击防御。

35、理论分析和实验结果表明，本发明在跨机构数据共享场景下展现出优异的抗攻击性能：一方面，通过动态信任评估机制，能够精准识别投毒攻击节点，大幅降低防御过程中的误判率，避免了传统防御机制对良性节点的误排斥；另一方面，在完成抗攻击防御后，全局ai模型仍能保持较高的预测性能与泛化能力，有效平衡了模型安全性与实用性的关系。此外，本发明的可解释性设计满足了跨机构数据共享场景下的审计监管需求，为ai模型在金融、医疗、政务等敏感领域的应用提供了可靠保障，具有广阔的应用前景与推广价值。