偏微分方程驱动温度传感器中的隐私导向二分图共识

《Communications in Nonlinear Science and Numerical Simulation》：Privacy-Focused Bipartite Consensus in PDEs-Driven Temperature Sensors

　　

# 摘要

本文研究了由偏微分方程（PDEs）描述的分布式温度传感器的隐私保护二分一致性（bipartite consensus）问题。通过结合状态传输隔离与高斯噪声注入，提出了一种增强的隐私保护策略，其中每个传感器状态被分解为可观测分量和隔离分量，且仅对可观测分量注入高斯噪声。据此，针对每个传感器状态的可观测分量建立了 $(\varepsilon, \delta)$-差分隐私保证，且具有理论上可界定的隐私预算。同时，由于隔离分量的存在，引入了信息泄露指标 $I$，以量化整个控制过程中与完整传感器状态相关的总体隐私泄露。基于所提出的策略，设计了一种二分一致性协议，使其在保持 0% 信息泄露指标的同时实现二分一致性，从而防止完整传感器状态的重构。在带符号图（signed graph）下，所提方法在实现二分一致性的同时，为可观测分量提供了隐私保护，并在整个演化过程中防止了完整状态的重构。通过数值仿真验证了所提方法的有效性。

# 引言

近年来，多智能体系统（MASs）因其分布式协作、自主决策、高效性和鲁棒性等方面的优势，在智能电网、移动机器人网络、互联电力系统和工业物联网等关键领域得到了广泛应用和深入研究 [1]、[2]、[3]、[4]、[5]、[6]，[7]、[8]、[9]。作为核心问题之一，二分一致性 [10] 旨在使带符号图中具有合作关系和对抗关系的智能体实现符号相反的群体目标 [11]、[12]、[13]。一个典型例子是利用温度传感器进行大规模温度监测 [14]、[15]、[16]。近年来，一些学者研究了由常微分方程（ODEs）建模的温度传感器 [17]、[18]、[19]。为刻画空间耦合、时变温度参数和温度分布的连续域动态特性，实际分布式温度传感器的动态行为通常由 PDEs [20]、[21]、[22] 而非 ODEs 来描述。因此，有必要构建一个适用于分布式温度传感器的精确 PDE 模型，以有效降低使用 ODEs 时因忽略空间耦合和时变温度特性而造成的建模误差。

在实际热监测应用中，传感器节点可以被划分为两个具有相反温度调节目标的竞争子群。例如，智能仓库中的制冷和加热传感器簇必须收敛到各自不同且相互对抗的预设温度设定点，同时交换实时热测量数据，这一场景精确地体现了带符号图上二分一致性的物理解释 [23]、[24]。然而，现有的大多数基于 PDEs 的合作控制文献仅专注于全合作的无符号网络拓扑 [25]、[26]，很少有研究将该框架扩展到包含竞争或对抗性交互，并针对空间耦合的热传感器网络开发二分协调方案。这在带符号图 PDE 多智能体协调方面留下了一个关键的研究空白。

在温度传感器之间的分布式信息交换过程中，初始传感器状态、中间热动态数据和目标温度信息可能包含敏感和私有信息。开放的通信链路极易泄露敏感温度信息 [27]、[28]。现有的二分一致性算法主要关注协同温度调节性能，而对通信过程中敏感温度数据的安全性和隐私保护关注有限。这一局限性使得难以满足工业热监测和保密环境对安全性的严格要求 [29]、[30]、[31]。因此，开发一种安全、高效且最小侵入性的隐私保护机制，对于在保持满意收敛性能的同时实现温度传感器的二分一致性具有重要的理论和实际意义。

分布式热监测网络具有地理分散的传感器节点之间强烈的时空耦合特性，这导致了精确的二分温度协调与严格的数据保密性之间的固有折衷。施加于通信信号的隐私保护操作不可避免地会扰动热耦合信息的传输，从而给同时确保热性能和隐私保护的合作控制协议设计带来了重大挑战 [32]、[33]。为应对这一实际挑战，必须开发与分布式热协调目标天然兼容的隐私增强机制。

隐私保护与温度传感器分布式协同控制的集成已受到广泛关注。现有的隐私保护方法主要包括差分隐私 [34]、[35]、状态传输隔离 [36]、[37] 和同态加密 [38]。在差分隐私和同态加密中，噪声注入因其实现简单和计算成本低而常被采用。然而，噪声注入可能影响二分一致性的收敛精度。通过状态传输隔离，隐私敏感的温度信息被隔离在传输之外；然而，针对敏感温度特征和数据相关性的定向保护可能不足以抵抗针对敏感温度数据的复杂推断攻击。因此，将差分隐私与状态传输隔离相结合是非常可取的。这种增强的隐私保护机制可以有效缓解潜在的推断风险，抑制噪声的负面影响干扰，并在温度传感器系统中实现隐私保护与二分一致性性能之间的良好平衡。

鉴于上述问题，本文研究了由 PDEs 建模的温度传感器的隐私保护二分一致性问题，并提出了一种混合隐私保护策略。本文的主要贡献可总结为以下两个方面：

1. 通过结合状态传输隔离与高斯噪声扰动，开发了一种混合隐私保护方案。具体而言，将高斯噪声注入每个传感器状态的可观测分量，从而专门针对可观测分量建立了 $(\varepsilon, \delta)$-差分隐私保证。同时，由于状态传输隔离机制的存在，引入了信息泄露指标 $I$，以量化整个控制过程中与完整传感器状态相关的总体隐私泄露。

2. 通过集成所提出的混合隐私保护方案，设计了一种二分一致性协议，使分布式温度传感器系统在保持 0% 信息泄露指标的同时实现稳定的二分一致性。通过将高斯噪声限定在可观测分量中，并将剩余状态分量隔离于传输之外，所提协议减少了噪声对一致性收敛的不利影响，同时防止窃听者重构完整的传感器状态。与现有的隐私保护协议相比，该方法在不引入额外计算开销的情况下，实现了隐私保护与二分一致性性能之间的更好平衡。

本文其余部分的组织如下。第 2 节介绍了基本概念和系统模型。第 3 节给出了温度传感系统隐私保护二分一致性问题上的主要结果。第 4 节通过仿真结果验证了所提方法的有效性。最后，第 5 节对本文进行了总结。

# 第 2 节 符号说明与模型描述

## 符号说明

设 $T_i: \mathbb{R} \times \mathbb{R}^+ \to \mathbb{R}$ 为标量函数。上标 $r$ 在 $T_i^r$ 中表示关于 $r$ 的一阶偏导数。$T_i^{rr}$ 表示关于 $r$ 的二阶偏导数。$E(T_i)$ 表示随机函数 $T_i$ 的数学期望。欧几里得范数为 $\|T_i\| = \sqrt{\int_0^l T_i^2 \, dx}$。

## 模型描述

考虑一组 $N$ 个传感器，其结构关系由无向带符号图 $G = (V, E, A)$ 建模。其中，$V = \{v_1, v_2, \ldots, v_N\}$ 表示所有传感器的集合；$E \subseteq (V \times V)$ 表示……

# 第 3 节 主要结果

本节研究了带符号图上基于 PDEs 的温度传感器网络的隐私保护二分一致性问题。首先，开发了一种结合状态传输隔离与高斯噪声注入的增强隐私保护机制。然后，建立了闭环系统的适定性，接着对隐私保护二分一致性进行了理论分析。此外，给出了降阶 ODE 系统对应的控制解。

# 第 4 节 仿真

考虑 $N=9$ 个温度传感器、$\theta=0.3$、$l=15$ 的隐私保护二分一致性问题。第 $i$ 个传感器的初始状态设为 $T_i^0(x) = \sin(0.05i\pi x)$，其中 $i \in \{1, 2, \ldots, 9\}$，控制增益 $k_p$ 和高斯噪声方差 $\sigma_k$ 的值如表 2 中所示。

如图 2 所示，窃听者 $T_{e,1}^\alpha$ 窃听了传感器 $v_3$ 和 $v_8$ 状态的可观测分量，而窃听者 $T_{e,2}^\alpha$ 监控了与 $v_4$ 和 $v_7$ 相关的可观测分量。时间历史曲线……

# 第 5 节 结论

本文通过整合状态传输隔离与高斯噪声注入，为基于 PDEs 的温度传感系统中的二分一致性开发了一种隐私保护控制方案。其主要创新在于建立了一种具有不同且互补作用的两级隐私保护机制。具体而言，状态传输隔离将每个传感器状态分离为可观测分量和隔离分量，其中后者被隔离在窃听通道之外。这种结构性设计……

# CRediT 作者贡献声明

**赵理瑞**：撰写——初稿、方法论。
**陈阳阳**：撰写——审阅与编辑、监督。
**王翔宇**：撰写——审阅与编辑。

# 利益冲突声明

作者声明不存在已知的可能影响本文所报道工作的竞争性财务利益或个人关系。

**赵理瑞 | 陈阳阳 | 王翔宇**
东南大学 网络空间安全与工程学院，南京，210096，中国