基于原型校准和源标签修复的个性化联邦学习防御方法

本发明涉及分布式机器学习、计算机安全和人工智能模型训练，具体涉及一种基于原型校准和源标签修复的个性化联邦学习防御方法。

背景技术：

1、联邦学习通过服务器协调多个客户端，在客户端原始数据不集中上传的条件下协同训练模型。面对客户端数据非独立同分布的情形，个性化联邦学习允许各客户端在全局模型基础上进行本地适应，并使客户端特定模型状态跨通信轮次保留，从而提高模型对不同客户端数据分布的适配能力。

2、在后门数据投毒攻击中，恶意客户端可以对部分非目标样本施加特定触发变换，并把这些样本的标签替换为攻击者指定的目标标签。经联邦训练后，全局模型或者客户端个性化模型可能在常规干净样本上保持一定性能，但在出现触发变换时倾向于输出目标标签。

3、现有防御通常重点检查服务器端聚合模型或者修改服务器聚合规则。然而，在具有跨轮次客户端状态的个性化联邦学习系统中，实际部署的客户端个性化模型与聚合后的全局模型是不同的技术对象。不同客户端的数据组成、本地更新和保留状态不同，可能导致触发目标预测集中在少数诚实客户端的上尾，使较低的全局模型攻击成功率与较高的客户端尾部暴露同时存在。

4、另外，仅使用干净本地样本进行适应，不能直接对已经建立的触发变换至目标标签关联施加反向监督。在触发变换和目标标签已经通过协议外的安全分析过程获得时，需要一种能够在客户端侧加入针对性监督、保留个性化状态、同时不引入服务器风险加权的技术方案。

5、因此，需要一种适用于持久状态个性化联邦学习的防御方法：一方面根据本地模型与全局模型的类别原型差异，校准客户端在本地初始化时吸收全局状态的比例；另一方面在已知触发器条件下，对合规客户端的非目标样本加入保留源标签的触发一致性监督；并在标准样本数聚合不变的条件下，降低全局模型和诚实客户端尾部的触发目标预测暴露。

技术实现思路

1、本发明旨在提供一种基于原型校准和源标签修复的个性化联邦学习防御方法，以解决现有技术仅考察全局模型、客户端历史状态与全局状态的吸收比例缺少校准、以及已知触发器条件下缺少直接源标签监督的问题。

2、基于本发明的第一个主要方面，提供一种基于原型校准和源标签修复的个性化联邦学习防御方法，该方法基于一种包括服务器、防御控制端和多个客户端组成的个性化联邦学习防御系统，所述客户端包括合规客户端和恶意客户端；该方法包括如下步骤：

3、在一个通信轮次，服务器向参与客户端发送全局模型参数和与全局模型对应的全局干净类别原型；

4、客户端获取上一通信轮次保留的个性化模型参数，并根据所述个性化模型参数和本地干净样本获得本地干净类别原型；

5、客户端根据本地干净类别原型与全局干净类别原型在重叠类别上的差异，再由校准映射得到全局状态吸收系数；

6、客户端依据全局状态吸收系数融合上一轮保留的个性化模型和本轮获得的全局模型参数，生成本地训练初始模型；

7、防御控制端向参与客户端提供已知触发变换和目标标签；

8、合规客户端从本地非目标样本构造保留源标签的触发样本，并形成固定强度的源标签修复损失；

9、合规客户端从所述本地训练初始模型出发，按照干净样本损失与固定强度的源标签修复损失的组合目标进行本地训练，得到本轮个性化模型参数；

10、合规客户端保留所述本轮个性化模型参数供下一通信轮次使用并向服务器上传；

11、服务器根据各参与客户端的本地样本数对上传的本轮个性化模型参数进行加权聚合，得到下一通信轮次的全局模型参数。

12、在本发明中，首先利用本地与全局类别原型的差异动态校准客户端吸收全局模型的比例，避免中毒全局模型过度覆盖个性化状态；随后在已知触发条件下，强制合规客户端对非目标样本施加触发器并保留原始源标签进行监督训练，直接剪断“触发-目标标签”的关联路径；最后服务器仅按样本数加权聚合，不引入不可靠的风险权重。三者协同，既保留了客户端跨轮次个性化状态，又在不依赖攻击者检测概率的前提下降低了全局和客户端尾部的后门暴露风险。

13、优选的，所述本地干净类别原型由客户端将本地干净样本输入上一通信轮次保留的个性化模型，提取预设特征层的特征向量，并针对每个具有本地样本的类别对所述特征向量求均值得到；

14、所述全局干净类别原型由全局模型对带类别标签的干净样本提取的同一预设特征层的特征向量按类别求均值得到。

15、以上方案通过统一特征空间和提取规则，确保本地原型与全局原型在数学上具有可比性，使后续计算的“原型差异”能够真实、稳定地反映客户端数据分布与全局分布的偏移程度，从而为吸收系数的生成提供可靠依据，避免因特征提取不一致导致校准失真。

16、优选的，所述本地干净类别原型与全局干净类别原型在重叠类别上的差异按照如下方式得到：

17、设为所述本地干净类别原型与所述全局干净类别原型的重叠类别集合，m为特征维数，本地类别c的原型为，相应全局类别原型为，则本地干净类别原型与全局干净类别原型在重叠类别上的差异为：

18、

19、其中，表示集合中的类别数量；为循环索引。

20、以上方案通过逐类别比较并取平均，消除类别缺失或不平衡带来的干扰，使差异度量全面覆盖共有类别；同时除以特征维数进行归一化，使得差异值不受特征维度数量级影响，能够统一衡量不同客户端的分布偏离程度，为后续指数映射提供具有可比性的输入量。

21、进一步的，所述校准映射得到全局状态吸收系数包括：

22、将所述差异输入随差异增大而不增的校准映射，并将映射结果限制在预设下界与预设上界之间，得到所述全局状态吸收系数；

23、其中，较大的全局状态吸收系数表示在所述本地训练初始模型中采用较高比例的全局模型参数；

24、所述全局状态吸收系数按照如下公式确定：

25、

26、其中，；表示自然指数函数；表示校准映射的衰减系数；

27、优选的，，，。

28、在以上方案中，利用指数函数的单调递减特性，使原型差异越大时全局状态吸收比例越低（即保留更多个性化状态），从而自适应地保护偏离全局分布的客户端免受中毒全局模型的负面影响；同时通过上下界截断（如0.2至1），确保即使在极端差异下仍保留最少量的全局通用知识以维持模型基本性能，实现安全性与泛化性的平衡。

29、进一步的，在第一通信轮次不存在上一通信轮次个性化模型及其本地干净类别原型时，令所述全局状态吸收系数为1，使所述本地训练初始模型采用全局模型参数。

30、以上方案主要解决训练启动时的“冷启动”问题，在没有任何客户端历史状态可供参考的初始轮次，全局模型是唯一可用的公共知识来源，强制采用全局参数能够保证训练流程正常启动并建立初始的全局基准，为后续轮次的原型提取和校准奠定基础。

31、进一步的，所述源标签修复损失按照如下公式得到：

32、；

33、 其中，表示数学期望符号，表示对客户端的本地数据集中所有满足真实标签不等于目标标签 的本地干净样本求平均；表示交叉熵损失函数；表示输入样本；表示输入样本的真实标签；表示攻击者指定的目标标签；表示施加触发后的样本；表示已知触发变换；表示客户端当前模型的输出概率分布；

34、所述组合目标按照如下公式得到：

35、；

36、其中，为本地干净样本交叉熵损失，为各合规客户端共同采用的固定修复系数。

37、优选的，固定修复系数为0.2，合规客户端在每个通信轮次执行一个本地训练周期，恶意客户端能够省略所述源标签修复损失而继续执行触发样本目标标签替换训练。

38、以上方案直接利用已知触发器和源标签施加针对性反向监督，使模型在学习触发特征的同时强制输出原始正确标签，从本质上破坏攻击者建立的触发—目标映射；同时采用所有合规客户端统一的固定修复系数，避免了基于不可靠客户端风险评分自适应调整带来的额外安全风险，实现简洁、可控且可复现的防御效果。

39、进一步的，所述服务器根据各参与客户端的本地样本数对上传的本轮个性化模型参数进行加权聚合时，设参与客户端集合为，第i个参与客户端的本地样本数为，所述服务器按照如下公式进行标准样本数加权聚合：

40、

41、其中，表示第 轮的全局模型参数；表示第i个参与客户端在第轮本地训练结束后得到的个性化模型参数；

42、并且，所述服务器不根据客户端攻击风险改变聚合权重。

43、以上方案可以保持联邦平均的原始聚合逻辑，避免将未经充分验证的客户端风险排序或检测结果引入训练路径，从而防止恶意客户端通过操纵风险评分来影响全局模型；同时，源标签修复带来的模型偏移会通过客户端保留的个性化状态传递至下一轮原型差异中，形成跨轮次的自然反馈，使防御效果在不破坏标准聚合框架的前提下持续累积和深化。

44、优选的，还包括：在共享的带触发测试样本集合上分别评估下一通信轮次全局模型和各客户端个性化模型的攻击成功率，并针对诚实客户端个性化模型输出攻击成功率排序分布、预设上分位数和最差诚实客户端攻击成功率。通过在统一的共享触发测试集上逐一评估每一个客户端个性化模型（而不仅仅是全局模型）的攻击成功率，并特别针对诚实客户端输出排序分布，该方案能够将原本隐藏在服务器平均聚合值之下的个体异质性风险显式地暴露出来。实现了对残余后门风险的全景式量化感知，使得防御人员无需依赖对客户端本地数据的直接检查，即可客观掌握后门攻击在群体中的渗透广度和深度，从而为是否暂停训练、调整修复系数或对特定客户端执行额外校准提供决策依据。

45、进一步的，所述共享的带触发测试样本集合由干净标签不等于目标标签的共享测试样本施加所述已知触发变换得到；所述预设上分位数为百分之九十五分位数，所述最差诚实客户端攻击成功率为同一通信轮次内诚实客户端攻击成功率的最大值。95%分位数能够准确捕捉诚实客户端群体中占据前5%的高暴露上尾部分，有效规避了均值被大量低风险客户端拉低带来的掩盖效应；而最大值则直接揭示同一通信轮次内最薄弱环节的绝对风险底线。两者结合使用时，既能识别出群体性的系统性偏移（通过分位数），又能锁定极端个例（通过最大值），确保防御效果评判既不过度乐观，也不因个别离群值而过度保守，为后续安全预警和防御策略调整提供了具有统计学意义且可重复验证的确定性数值锚点。

46、基于本发明的第二个主要方面，提供一种用于实现前述方法的基于原型校准和源标签修复的个性化联邦学习防御系统，包括服务器、防御控制端和多个客户端；

47、所述服务器被配置为广播全局模型参数和全局干净类别原型，并按照客户端本地样本数聚合客户端上传的个性化模型参数；

48、所述防御控制端被配置为获得已知触发变换和目标标签并将其提供给参与客户端；

49、所述客户端被配置为保留跨通信轮次的个性化模型，根据本地干净类别原型与全局干净类别原型的差异确定全局状态吸收系数，利用所述全局状态吸收系数融合上一通信轮次个性化模型与全局模型，针对非目标本地样本构造保留源标签的触发样本，按照干净样本损失与固定强度的源标签修复损失的组合目标完成本地训练，并保留和上传训练所得个性化模型参数。

50、基于本发明的第三个主要方面，提供一种电子设备，包括一个或多个处理器；

51、存储装置，用于存储一个或多个程序；

52、当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器实现如前述的基于原型校准和源标签修复的个性化联邦学习防御方法。其中，电子设备包括服务器、计算机、移动终端等各种硬件实体。

53、基于本发明的第四个主要方面，提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被执行时实现前述的基于原型校准和源标签修复的个性化联邦学习防御方法。其中，可读存储介质包括光盘、硬盘、u盘、rom、prom等。

54、与现有技术相比，本发明至少具有以下有益效果：

55、第一，在不改变服务器样本数聚合规则的前提下，根据全局与本地干净类别原型的差异校准客户端吸收全局模型状态的比例，并保留客户端跨轮次个性化状态；

56、第二，在精确触发变换和目标标签已知时，为非目标本地样本构造保留源标签的触发视图，向模型提供直接的触发一致性监督；

57、第三，采用所有合规客户端统一的固定修复强度，避免把尚未验证的客户端风险排序或服务器风险加权引入正式训练路径；

58、第四，通过同时评估全局模型和诚实客户端上尾指标，能够识别全局模型指标未反映的客户端尾部暴露。

59、本发明并不以完全消除后门或者已经恢复触发样本源标签准确率为必要效果。本发明在相同原型校准吸收协议、攻击配置和标准聚合条件下，降低触发输入被预测为攻击目标标签的比例，并对残余客户端尾部风险进行可见化。