面向机场生物识别值机的隐私保护多级联邦学习架构设计与评估

《Future Generation Computer Systems》：Design and Evaluation of a Privacy-Preserving Multi-Level Federated Learning Architecture for Airport Biometric Check-in

本文针对机场人脸识别值机系统中集中式深度学习模型存在的隐私泄露风险，研究了联邦学习(FL)在生物特征识别中的应用。研究人员设计并比较了集中式、单级FL和两级FL三种架构，利用Privacy Meter工具定量评估了成员推理攻击(MIA)风险，并结合数据保护影响评估(DPIA)进行定性分析。结果表明，FL能显著降低隐私风险，而两级FL架构在增强模型泛化能力的同时引入了新的安全挑战，需结合差分隐私(DP)等策略进行缓解。该研究为大规模生物识别系统的隐私保护提供了重要的理论与实践参考。

　　

在当今数字化时代，机场值机流程正经历着深刻的变革。传统的证件核对和人工查验方式，逐渐被基于人脸识别等生物特征技术的自动化系统所取代。从旧金山国际机场的"Smart Path"技术到米兰利纳特机场的"FaceBoarding"服务，全球各大机场纷纷引入生物识别系统，旨在优化旅客流线、缩短等待时间，并提升机场区域的安全性。然而，这种便利性背后隐藏着巨大的隐私风险。这些系统通常依赖于集中式的深度学习模型，需要将采集自边缘设备（如值机柜台摄像头）的生物特征数据传送到中央服务器进行处理和模型训练。这种数据集中化模式带来了多重隐患：它可能成为网络攻击的目标，导致大规模敏感生物信息泄露；它构成了单点故障，一旦服务器出现问题，整个系统可能瘫痪；此外，数据在传输和存储过程中面临被未授权访问的风险。

随着《通用数据保护条例》(GDPR)等法规的实施，生物特征数据作为特殊类别的个人信息，其处理受到严格限制。如何在享受技术便利的同时，有效保护个人隐私，成为亟待解决的关键问题。正是在这样的背景下，Lelio Campanile、Maria Stella De Biase和Fiammetta Marulli等研究人员在《Future Generation Computer Systems》上发表了他们的研究成果，对三种不同的机场生物识别值机架构进行了深入的隐私保护评估。

为了系统评估不同架构的隐私保护效果，研究人员采用了多种关键技术方法。他们使用Labeled Faces in the Wild (LFW)人脸数据集进行模型训练和测试，该数据集包含5749个人的13233张图像，能够模拟真实场景下的人脸识别任务。研究团队基于PyTorch框架构建了卷积神经网络(CNN)作为基础识别模型，并通过OpenFL框架实现联邦学习环境。隐私风险评估方面，他们利用Privacy Meter工具定量分析成员推理攻击(MIA)风险，同时采用数据保护影响评估(DPIA)方法进行定性分析。对于更高级的隐私保护，研究还引入了差分隐私(DP)技术，通过Opacus库在模型训练过程中添加 calibrated 噪声。

提出的架构

研究人员设计并比较了三种不同的架构方案。第一种是传统的集中式网络，所有人脸图像数据都被传输到中央服务器进行模型训练和身份验证。这种架构虽然计算效率高，但存在明显的单点故障风险，且容易受到成员推理攻击。第二种是单级联邦学习网络，各个航空公司的边缘设备在本地训练模型，只将模型权重更新而非原始数据发送到聚合器。这种方式显著降低了原始数据泄露的风险，但模型更新本身仍可能泄露信息。第三种是两级联邦学习网络，在单级FL基础上增加了航空公司间的协作层，各航空公司的聚合器作为"边缘设备"参与全局模型聚合，进一步提升了模型的泛化能力，但也引入了新的安全挑战，如模型投毒攻击。

CNN设置用于人脸识别任务

为确保实验的可比性，三种架构都采用了相同的CNN模型进行人脸识别。该网络包含三个卷积层，分别使用32、64和128个滤波器，每层后接批量归一化、ReLU激活函数、最大池化和dropout操作。模型使用交叉熵损失函数和Adam优化器，在LFW数据集上训练100个epoch。这种设计平衡了特征提取能力和计算效率，为隐私保护评估提供了稳定的性能基准。

缓解策略

针对联邦学习环境中存在的隐私威胁，研究人员评估了两种主要的缓解策略。安全聚合(SA)是一种密码学协议，确保聚合器只能访问聚合后的模型更新，而无法解析单个参与者的贡献。差分隐私(DP)则通过向模型梯度添加 calibrated 噪声来提供严格的数学隐私保证，即使攻击者能够访问模型更新，也无法确定特定个体的数据是否用于训练。这两种策略各有利弊：SA会引入额外的计算和通信开销，而DP则在隐私保护和模型效用之间存在权衡关系。

实验结果与讨论

集中式架构在识别准确率方面表现最佳，训练精度达到较高水平，但其隐私风险评估结果显示，成员推理攻击的AUC-ROC值达到0.691，显著高于随机猜测水平(0.5)，表明该模型存在明显的隐私泄露风险。单级联邦学习实验在2节点和5节点配置下进行了测试。随着节点数量增加，隐私泄露风险显著降低，5节点配置下的AUC-ROC值更接近随机猜测线，证明扩大联邦学习网络规模可以有效防御成员推理攻击。然而，联邦学习本身并不能完全消除隐私风险。两级联邦学习结合差分隐私的实验表明，通过向模型更新注入噪声，可以进一步降低隐私泄露风险，DP模型的AUC-ROC值降至0.530，接近完全隐私保护水平。但这一保护是以模型准确率下降为代价的，识别准确率从非DP模型的0.84降至0.64，体现了隐私保护与模型效用之间的固有权衡。

定性评估方面，通过数据保护影响评估(DPIA)对三种架构的隐私风险进行了系统分析。评估结果显示，从集中式架构到单级FL，再到两级FL结合DP的架构，隐私风险呈现逐级下降趋势。风险映射图清晰表明，随着缓解措施的逐步应用，各项隐私风险的严重性和可能性都向"中等风险"区域移动，证明联邦学习与差分隐私的结合能够有效提升系统的整体隐私保护水平。

研究结论与未来工作

该研究通过量化指标和定性分析相结合的方法，全面评估了不同架构在机场生物识别值机系统中的隐私保护效果。研究结果表明，集中式架构虽然操作效率高，但存在显著的隐私风险；联邦学习通过数据去中心化有效降低了隐私风险，但模型更新仍可能被利用进行推理攻击；两级联邦学习架构进一步提升了隐私保护和模型泛化能力，但需要结合差分隐私等额外策略来应对新的安全挑战。

这项研究的重要意义在于为生物识别系统的隐私保护设计提供了实证依据和方法论指导。特别是在机场等对安全性和隐私性都有极高要求的环境下，研究结果帮助系统设计者在架构选择和技术组合方面做出更加明智的决策。未来研究工作将着重于优化隐私保护与模型效用之间的平衡，特别是在大规模部署场景下，同时需要探索更先进的隐私保护技术来应对模型投毒等新兴威胁。此外，将组织管理和合规性因素纳入评估框架，也是实现生物识别系统全面隐私保护的重要方向。