具有隐私保障和基于声誉激励的联邦学习技术在车联网中的应用 柴家勇（Jiayong Chai）、 陈默（Mo Chen）、 张伟（Wei Zhang）、 王晓娟（Xiaojuan Wang） 宋家明（Jiaming Song）

《Sensors》：Federated Learning with Assured Privacy and Reputation-Driven Incentives for Internet of Vehicles Jiayong Chai, Mo Chen, Wei Zhang, Xiaojuan Wang and Jiaming Song

　　摘要 跨域数据协作是智能发展关键领域（如车联网和智能交通系统）的核心要求。在这种情况下，车辆和部署在路边的各种传感器不断生成大量时间序列数据，但由于隐私法规以及合作实体之间的信任缺失，这些数据往往形成“数据孤岛”。现有的结合“联邦学习+区块链”的集成方案在一定程度上实现了流程可追溯性和自动化支付，但梯度级别的隐私泄露风险仍然存在，且激励机制不灵活、响应迟缓，导致参与质量较低。为系统地解决这些瓶颈，本文提出了具有隐私保障和声誉驱动激励的联邦学习（FLARE）架构，其核心创新在于将密码安全性和机制设计理论进行了原生集成。该架构包括安全且忠实执行的梯度聚合（SafeGrad）协议，该协议结合了部分同态加密和零知识证明，为梯度贡献提供了可验证的隐私保障，同时实现了高效的安全聚合，防止了源端的逆向攻击；此外，还包括基于区块链的链上经济系统（EconChain）机制，通过细粒度的即时微奖励和动态声誉模型，实现了对训练过程贡献的精确测量和可持续激励。实验表明，与基线方案相比，FLARE能够有效提升节点参与热情和贡献质量，而不影响模型准确性，为数据的可信和高效流通提供了具有强大安全性和高活力的新范式。

1. 引言
随着物联网的快速发展，在车联网和智能交通等领域，车辆、路边设备和交通控制中心生成的海量感知数据由于所有权分散、严格的隐私法规以及信任缺失，形成了难以协作的数据孤岛，限制了全球交通态势感知和协作决策能力的提升[1,2]。为了解决数据协作和共享问题，同时保护数据隐私，提出了联邦学习框架[3]。然而，当本地梯度上传到服务器进行聚合时，用户的私人数据仍可能通过共谋攻击、模型逆向攻击等方式泄露，因此梯度保护尤为重要[4]。同时，不同用户的数据质量、计算资源和通信能力各不相同，导致本地训练成本不同，但他们获得的却是相同的全球模型。这削弱了高质量理性用户的参与意愿，进而影响了全球模型质量。因此，合适的激励机制也是不可或缺的[5,6,7,8]。如第2节将详细说明的，现有的结合隐私保护和激励的方法往往不够充分：它们要么面临梯度级别隐私泄露的风险，要么依赖于不灵活的激励机制，导致参与质量较低。为系统地克服这些限制，本文提出了具有隐私保障和声誉驱动激励的联邦学习（FLARE）架构，其核心创新在于将密码安全性和机制设计理论进行了原生集成。该架构包括安全且忠实执行的梯度聚合（SafeGrad）协议，该协议结合了部分同态加密和零知识证明，为梯度贡献提供了可验证的隐私保障，同时实现了高效的安全聚合，防止了源端的逆向攻击；此外，还包括基于区块链的链上经济系统（EconChain）机制，通过细粒度的即时微奖励和动态声誉模型，实现了对训练过程贡献的精确测量和可持续激励。
本文的其余部分组织如下：第2节全面回顾了关于隐私保护联邦学习和激励机制的相关工作。第3节概述了FLARE系统架构和工作流程。第4节和第5节分别详细介绍了SafeGrad协议和EconChain机制。第6节进行了实验评估和分析。第7节讨论了结果、局限性和未来工作。最后，第8节总结了本文。

2. 相关工作
本节回顾了主要“联邦学习+区块链”解决方案在隐私保护技术和激励机制方面的研究，指出了当前方法的关键局限性，并阐明了FLARE所解决的研究空白。
2.1. 联邦学习中的隐私保护技术
同态加密（HE）技术被广泛用于联邦学习中的隐私保护。Phong等人[9]是最早使用Paillier加密方案来保护联邦学习中本地梯度的研究者之一，但该方案需要客户端进行在线协作解密，从而产生了显著的通信开销。Ma等人[10]提出了一种更高效的批量Paillier加密方案来减少密文扩展，但其解密过程仍然依赖于可信中心，形成了单一的信任点。Li等人[11]提出了一种多密钥同态加密方法，允许客户端更灵活地参与，但系统复杂性和通信成本更高。Wibawa等人[12]和Wang等人[13]的研究进一步展示了HE在医疗保健等隐私敏感场景中的潜力。然而，这些方案未能解决如何在保护隐私的同时验证客户端贡献的问题[14,15,16]。还探索了其他方法，如安全多方计算（SMPC）和差分隐私（DP）。SMPC通过加密协议实现安全聚合，但通常涉及多轮通信和高计算开销。已经提出了高效的安全聚合协议[17,18]来减少客户端开销，但它们没有解决贡献的可验证性问题。DP通过向梯度添加校准噪声来提供统计隐私保障，但以牺牲模型准确性和效用为代价。这些隐私保护技术的共同局限性在于它们无法在不泄露隐私的情况下提供贡献正确性或质量的可验证证明。最近在可验证联邦学习方面的进展[19,20,21]探索了诚实执行的密码证明，但通常以显著的通信或计算开销为代价。
2.2. 联邦学习的激励机制
区块链的可信记录和自动化智能合约常用于构建联邦学习中的激励机制。Wu等人[22]提出了一个使用区块链记录训练过程和分配代币奖励的框架，但这种激励仅基于最终模型准确性，无法在训练过程中提供即时反馈。Wang[23]提出了基于Shapley值的贡献评估机制以实现公平性，但其计算开销巨大，并且需要聚合中间结果，保护措施较弱，无法保护隐私。An等人[24]提出使用区块链共识来选择参与者和聚合模型，但其隐私保护计算过于复杂，限制了实用性。Wang等人[25]提出了一种基于委员会评分的激励机制，但该机制无法抵御委员会共谋的风险。最近的基于声誉的机制[26,27]展示了针对洗白和Sybil攻击的强大声誉更新的重要性。Li等人[28]提出了一种用于网络物理社会系统中威胁检测的可解释且隐私保护的FL模型，结合了基于SHAP的可解释性和差分隐私。现有方案在激励机制的及时性和公平性方面存在不足，并且它们在贡献评估过程中无法有效保护隐私[29,30,31]。FL激励的博弈论模型在[32,33,34]中得到了改进，考虑了声誉动态、共谋和长期参与。
2.3. 研究空白和FLARE的定位
文献回顾揭示了一个持续存在的问题：隐私保护技术（例如HE和DP）通常牺牲了验证贡献真实性和质量的能力，而激励机制（例如基于区块链的奖励）通常需要访问明文梯度或中间结果，从而在贡献评估过程中泄露隐私。对于车联网等高风险、隐私敏感的应用来说，这种分离尤其成问题，因为强大的隐私保障和公平、及时的激励对于可持续协作至关重要。FLARE通过其SafeGrad协议和EconChain机制的原生协同设计弥合了这一差距。与将隐私和激励视为独立模块的先前工作不同，FLARE通过使用零知识证明（zk-SNARKs）将可验证性嵌入到隐私保护中，允许在不对梯度进行解密的情况下进行贡献评估，并确保每个参与者的更新都是可证明有意义的。FLARE通过确保奖励计算仅基于经过验证但私密的贡献，将隐私保护嵌入到激励分配中。FLARE创建了一个闭环系统，其中经过验证的贡献直接进入动态声誉模型和即时微奖励，促进了可持续的高质量参与。因此，FLARE提供了一种新的范式，超越了隐私或激励的权衡，为车联网和类似跨域环境中的可信和高效数据流通提供了统一解决方案。

3. FLARE系统概述
在车联网中，车载单元、路边单元和交通监控传感器不断生成的感知数据对于实现协作感知至关重要。然而，由于数据隐私限制和设备运营商之间的相互信任缺失，这些数据往往被隔离在“数据孤岛”中，无法用于数据协作。为了解决这个问题，本文提出了FLARE，这是一个结合了密码安全性和链上激励机制的联邦学习系统。
FLARE包括四个核心角色：
数据持有节点：可以是车载单元或路测单元，负责本地模型训练，运行安全聚合协议来加密梯度并生成证明，并参与动态激励和声誉系统。
安全聚合服务器：一个半诚实计算方，负责执行安全聚合协议的聚合阶段，对加密梯度进行聚合操作，但无法解密任何单个客户的梯度。
智能合约组：部署在区块链上，协调系统的正常运行，具体包括：（1）任务管理合约——管理联邦学习任务的发布和生命周期；（2）安全聚合验证合约——验证客户端提交的梯度贡献证明；（3）动态激励核心合约——分配激励、管理声誉并动态选择参与节点。
任务请求者：任务的发起者和最终模型的所有者，可以是交通管理中心、服务提供商或汽车制造商。请求者提供初始模型和激励预算。
FLARE系统的工作流程如图1所示，主要包括以下阶段：（1）初始化和注册：任务请求者发布任务。数据节点在区块链上注册身份并投入押金。（2）委员会选择：在每轮训练开始之前，动态激励核心合约根据节点的声誉和资源动态选择该轮次的客户委员会。（3）训练和证明生成：选定的客户端使用本地数据计算梯度。计算完成后，它们生成加密梯度和相应的贡献零知识证明，然后将其上传到聚合服务器。（4）安全聚合和验证：聚合服务器对密文进行同态聚合，并将聚合结果提交到区块链。安全聚合验证合约验证每个客户证明的有效性。（5）模型更新和激励：验证通过后，聚合结果被授权解密并用于更新全球模型。同时，动态激励核心合约根据验证的贡献证明分配微奖励，并更新所有参与节点的声誉值。（6）迭代和终止：重复步骤2-5，直到模型收敛或达到预设的轮次数。任务完成，最终奖励结算。

4. 梯度安全聚合协议
现有的实现安全聚合的联邦学习方案面临隐私泄露和贡献不可验证的问题。为此，本文提出了SafeGrad（安全且忠实执行的梯度聚合协议），该协议通过结合零知识证明和部分同态加密，构建了一个同时确保梯度保密性和提供可验证贡献测量的密码框架。

4.1. 问题形式化和威胁模型
考虑一个由??个数据持有客户端{??1,??2,…,????}、一个半诚实（诚实但好奇的）中央聚合服务器??以及一个作为可信协调和验证层的区块链网络?组成的联邦学习系统。系统以同步轮次运行。在第??轮中，由智能合约动态选择的客户委员会???? ?{????}参与该轮的训练。每个客户端（????）持有一个私有的本地数据集????。在第$t$轮中，给定全局模型参数$w_t$，客户端$\mathcal{C}_i$通过局部随机梯度下降算法计算其局部随机梯度$g_{ti} = \nabla_F_i(w_t; \omega_i) \in \mathbb{R}^d$，其中$\omega_i$是从$\mathcal{D}_i$中随机抽取的一个批次样本。该协议的设计需要保证在包含三种类型对手的威胁模型下的安全性：(1) 半诚实的中央聚合服务器$\mathcal{S}$：它将严格遵循协议规范进行计算和通信，但会尝试从所有接收到的中间信息（例如，加密梯度和证明）中推断出每个客户的私有梯度$g_{ti}$或原始数据信息；(2) 悖诈客户端：最多有$\mathfrak{f}$个恶意客户端可能勾结并任意偏离协议。然而，零知识证明仅对梯度范数施加了下限；它不验证梯度方向的语义正确性。因此，客户端可能会提交一个满足范数阈值但在方向上有害的梯度。FLARE通过两种互补机制来缓解此类攻击：(i) 安全聚合稀释了任何单个恶意更新；(ii) 声誉系统惩罚那些持续损害模型性能的客户端；(3) 被动的外部窃听者：它们能够拦截所有网络通道上的通信内容。

量化拜占庭式抗攻击能力：设第$t$轮的委员会大小为$\mathcal{K} = |\mathcal{C}_t|$，并假设最多有$\mathfrak{f} \cdot \mathcal{K}$个选定的参与者是恶意的（$0 \leq \mathfrak{f} < 0.5$）。安全聚合协议对所有提交的梯度进行平均，因此恶意更新引入的偏差被限制在$\mathfrak{f} \cdot \max_{i} \|g_{ti}\|$. FLARE通过两种互补机制来缓解此类攻击：聚合稀释：即使恶意客户端提交了任意大或在方向上有害的梯度，它们的影响也会通过与诚实贡献的平均而被稀释。聚合后的有效扰动最多为$\mathfrak{f} \cdot \mathcal{G}_{\max}$，其中$\mathcal{G}_{\max} = \max_{i} \|g_{ti}\|$是该轮中的最大梯度范数。

基于声誉的过滤：持续导致模型退化的客户端（例如，通过提交方向上有害的梯度）会获得较低的奖励，从而降低它们的性能分数（$R_{ti,pre}\mathcal{C}_i$），进而降低它们的声誉（$R_{ti,rep}\mathcal{C}_i$）。随着时间的推移，这样的节点被选中的频率会降低，进一步限制了它们的影响。

对于收敛性，考虑联邦学习中的一个标准假设：损失函数$F^2(w)$是$\mathcal{L}$-平滑的并且$\mathcal{H}$-强凸的。在这个假设下，如果每轮的偏差被限制在$\mathfrak{\delta}$以内，那么经过$\mathcal{T}$轮后的最优性差距满足以下条件：$\mathbb{P}[F^2(w_t) - F^2(w^*)] \leq \mathcal{L}^2(1 - \mathcal{H}\mathfrak{\delta}) \mathcal{T} \|w_0 - w^*\|^2 + \mathfrak{\delta}^2 \mathcal{H}$，其中$\mathfrak{\delta}$是学习率。项$\mathfrak{\delta}^2 \mathcal{H}$代表了由于拜占庭式扰动而产生的稳态误差。为了将这个误差保持在可容忍的阈值$\mathcal{\lambda}$以下，我们需要$\mathfrak{f} \cdot \mathcal{G}_{\max} \leq \mathfrak{\delta} \leq \sqrt{2}\mathcal{H}\mathfrak{\lambda}\mathfrak{\delta}$。因此，最大可容忍的恶意客户端比例如下：$\mathfrak{f}^* = \frac{1}{\mathcal{G}_{\max}\sqrt{2}\mathcal{H}\mathfrak{\lambda}\mathfrak{\delta}}$。在我们的实验中，$\mathfrak{\delta} = 0.01$，$\mathcal{H} \approx 0.1$（根据ResNet-18在CIFAR-10上的估计），$\mathcal{\lambda} = 0.01$（1%的准确率损失）得出$\mathfrak{f}^* \approx 0.14$，这与经验观察结果一致，即$\mathfrak{f} = 0.1$会导致不到1.5%的准确率下降。对于更大的委员会，这个界限会得到改善，因为$\mathcal{G}_{\max}$是在更多样本上平均的，从而减少了每个客户端的影响。对非凸模型的严格扩展留待未来的工作。

作为扩展考虑，FLARE提供了针对恶意服务器的分层防御：首先，服务器无法单独解密单个客户端的梯度；解密需要至少$t$个独立公证人的合作（t-out-of-n阈值方案）。其次，客户端的贡献证明由区块链上的安全聚合验证合约进行验证，而不是由服务器进行。服务器无法绕过这种验证来接受无效的贡献。第三，服务器必须将聚合后的密文及其哈希提交到区块链上，创建一个防篡改的记录。虽然可验证的聚合证明可以进一步增强问责性，但这种设计显著增加了未被检测到的恶意行为的成本。这种扩展考虑解决了实际部署中的问题，即聚合服务可能由具有潜在利益冲突的第三方云提供商运营。

在联邦学习中，公平和有效的激励机制依赖于对客户贡献的准确评估。本研究选择了梯度的$L^2$范数的平方$\mathcal{S}_{ti}^2 = \sum_{i=1}^d (\mathbf{g}_{ti, i})^2$，因为它是贡献测量的核心代理变量。这个选择是基于随机梯度下降的收敛理论：在凸优化假设下，预期的损失函数减少与梯度的$L^2$范数成正比。然而，直接要求客户端上传$\mathcal{S}_{ti}^2$或$g_{ti}$会直接泄露隐私信息，并且无法验证其真实性。客户端可能会虚假报告更高的$\mathcal{S}_{ti}^2$以获得更多奖励。

为了解决这个矛盾，本研究引入了zk-SNARK（Groth16）。核心思想是，客户端可以生成一个极其简洁且易于验证的加密证明$\mathcal{\psi}_{ti}$，向验证者（智能合约）证明一个数学陈述：“我知道一个秘密向量$\mathbf{g}_{ti}$，使得$\|g_{ti}^2 \geq \mathfrak{\theta}$”，在证明过程中不会泄露关于$\mathbf{g}_{ti}$的任何信息。

4.2.1. 算术电路构建
首先，需要将要证明的陈述转换为zk-SNARK可以处理的算术电路$\mathcal{C}$。本研究采用了二次算术程序（QAP）表示方法。
* 公共输入（陈述）：贡献阈值$\mathfrak{\theta}$（一个公共标量）。
* 私有输入（见证）：梯度向量$\mathbf{g}_{ti} = (\mathbf{g}_1, \mathbf{g}_2, \ldots, \mathbf{g}_d)$。
* 电路逻辑：(1) 对于$i = 1$到$d$，计算平方项$\mathbf{s}_i = \mathbf{g}_i \cdot \mathbf{g}_i$。
(2) 计算累积和$\mathcal{S} = \sum_{i=1}^d \mathbf{s}_i$。
(3) 引入一个辅助变量$\mathbf{d}_i \cdot \mathbf{f}_i = \mathcal{S} - \mathfrak{\theta}$。
电路必须证明$\mathbf{d}_i \cdot \mathbf{f}_i \geq \mathcal{S} - \mathfrak{\theta}$。直接的不等式检查不是算术电路的原生功能；因此，采用了范围证明。具体来说，$\mathcal{S}$和$\mathfrak{\theta}$被解释为有限域$\mathbb{F}_r$的元素，约束$\mathbf{d}_i \cdot \mathbf{f}_i \in [0, 2^r - 1]$是通过将$\mathbf{d}_i \cdot \mathbf{f}_i$分解为其电路内的二进制表示并验证每个位确实是二进制来强制执行的：$\mathbf{d}_i \cdot \mathbf{f}_i = \sum_{j=0}^r \mathbf{b}_j \cdot 2^j$，其中$\mathbf{b}_j \in \{0, 1\}$。这确保了$\mathbf{d}_i \cdot \mathbf{f}_i \geq 0$，而不限于完全平方数。虽然这里的描述是示意性的，但实际实现使用了高效的范围证明技术来最小化约束的数量。选择$\mathbb{F}_r$必须足够大，以覆盖$\mathbf{g}_{ti}$的最大可能值，这由梯度界限和固定点缩放因子决定。

在系统初始化阶段，一个可信设置运行Setup$(1\mathfrak{\lambda}, \mathcal{C})$算法，生成一个密钥对：证明密钥$\mathbf{p}_k$；和验证密钥$\mathbf{v}_k$。可信设置可以作为一个一次性MPC仪式执行，其中多个参与者贡献随机性。只要至少有一个参与者是诚实的并且销毁他们的秘密贡献，设置就保持安全。对于组织MPC仪式不切实际的部署，FLARE的模块化设计允许用透明的zk-SNARK系统（例如PLONK和Bulletproofs）进行替代，从而完全消除可信设置。本研究假设了一个基于MPC的设置。$\mathbf{v}_k$将被部署到区块链的智能合约中，而$\mathbf{p}_k$将对所有客户端公开。

实施的一个关键方面是Paillier加密的明文空间（$\mathbb{Z}_n$，其中$\mathbb{n}$是RSA模数）与Groth16 zk-SNARK的标量域$\mathbb{F}_r$（其中$\mathbb{r}$是素数）之间的对齐。梯度被编码为乘以$2^r$的固定点数，产生的整数表示必须在两个域中正确解释。为了保证没有冲突的模运算发生，所有编码的值必须严格小于$\mathbb{n}$和$\mathbb{r}$。这个条件可以表示为：$\forall i : 2^r \cdot \|g_{ti}^2 < m_i n_i (\mathbb{n}, \mathbb{r})$，因为平方范数$\mathcal{S}_{ti}^2 = \|g_{ti}^2$是SNARK电路中出现的值，而不等式$\mathcal{S}_{ti}^2 \geq \mathfrak{\theta}$在那里得到验证。

在这项工作的实验设置中，参数选择如下。固定点缩放因子：$\mathbb{F}_r = 16$（即$2^r = 65,536$）。梯度范数界限：对于使用的模型（CNN、ResNet-18和DenseNet-121），观察到的梯度范数$\|g_{ti}^2$很少超过$10^3$。Paillier模数：$\mathbb{n}$是一个2048位的RSA模数；因此，$\mathbb{n} > 2^{2048}$。SNARK曲线：使用BN254曲线，其标量域模数$\mathbb{r} \approx 2^{254}$。因此，$2^r \cdot \|g_{ti}^2 \approx 6.5 \times 10^7 \approx 2^{26} \ll 2^{254} < m_i n_i (\mathbb{n}, \mathbb{r})$。因此，一致性条件以超过2228个数量级的安全边际得到满足。对于梯度范数可能更大的更大模型，可以使用相同的分析来调整$\mathbb{F}_r$或选择具有更大模数的加密参数。表1总结了典型模型大小、可实现的梯度范数以及保持一致性所需的参数选择之间的关系。表1. 不同模型规模下字段一致性的参数界限。

4.2.2. 证明生成和验证
在第$t$轮中，客户端$\mathcal{C}_i$执行以下步骤：
(1) 局部计算：计算局部梯度$g_{ti}$及其平方范数$\mathcal{S}_{ti}^2 = \|g_{ti}^2$。
(2) 证明生成：调用Prove$(\mathbf{p}_k, (\mathbf{g}_{ti}, \mathfrak{\theta}), \lambda)$算法。该算法以证明密钥$\mathbf{p}_k$、公共输入$\mathfrak{\theta}$和私有见证$\mathbf{g}_{ti}$作为输入，并输出一个简洁的证明$\mathcal{\psi}_{ti} = (\mathcal{\psi}_A, \mathcal{\psi}_B, \mathcal{\psi}_C) \in \mathbb{Z}_{21} \times \mathbb{Z}_{2}$，其中$\mathbb{Z}_{1}^a^n \mathbb{Z}_{2}$是椭圆曲线群。
(3) 提交：客户端将元组$(\mathcal{S}_{ti}, \mathcal{\psi}_{ti})$提交到区块链网络。

收到证明后，智能合约执行链上验证。
(1) 验证：调用Verify$(\mathbf{v}_k, (\mathfrak{\theta}, \mathcal{S}_{ti}, \mathcal{\psi}_{ti})$算法。该算法基于双线性配对$\mathbb{E} : \mathbb{Z}_{1} \times \mathbb{Z}_{2} \rightarrow \mathbb{Z}_{t}$，验证以下等式是否成立：$\mathbb{E}(\mathcal{\psi}_A, \mathcal{\psi}_B) = \mathbb{E}(\mathcal{\psi}_C, \mathbf{g}_2) \cdot \mathbb{E}(\mathbf{v}_k \mathfrak{\theta}, \mathcal{S}_{ti} - \mathfrak{\theta})$，其中$\mathbf{g}_2$是群$\mathbb{Z}_{2}$的生成元，$\mathbf{v}_k \mathfrak{\theta}$是验证密钥$\mathbf{v}_k$的一部分，对应于公共输入$\mathfrak{\theta}$（在基于电路$\mathcal{C}$的可信设置阶段生成）。这个等式验证了证明$\mathcal{\psi}_{ti}$确实是对于公共输入$\mathfrak{\theta}, \mathcal{S}_{ti}$和某些私有见证$\mathbf{g}_{ti}$的电路$(\mathcal{C})$的有效证明。
(2) 结果：如果验证通过，合约确信客户端$\mathcal{C}_i$确实拥有一个合法的梯度向量$\mathbf{g}_{ti}$；其平方范数$\mathcal{S}_{ti}$的计算是正确的；并且它不小于$\mathfrak{\theta}$。

等式(3)以示意图的形式展示了验证逻辑，旨在传达证明$\mathcal{\psi}_{ti}$在密码学上将公共输入$\mathcal{S}_{ti}$与私有见证$\mathbf{g}_{ti}$绑定在一起的高级思想。在实际实现中，使用标准的Groth16验证方程：$\mathbb{E}(\mathcal{A}, \mathbb{B}) = \mathbb{E}(\mathcal{\lambda}, \mathcal{\lambda}) \cdot \mathbb{E}(\sum_{i=0}^d \mathbf{b}_i \cdot \mathbf{v}_i, \mathbf{\xi}) \cdot \mathbb{E}(\mathcal{C}, \mathcal{\xi})$，其中$(\mathcal{A}, \mathbb{B}, \mathcal{C}$是证明元素，$\mathcal{\lambda}, \mathcal{\xi}, \mathcal{\xi}$是共同的参考字符串元素，$\mathbb{a}_0 = 1$和$\mathbb{a}_1, \ldots, \mathbb{a}_d$是公共输入（这里是$\mathfrak{\theta}$和$\mathcal{S}_{ti}$），$\mathbf{v}_k \mathcal{i}$代表相应的验证密钥组件。验证的正确性来自于底层QAP的属性。

等式(3)有意简化，以传达公共输入$\mathcal{S}_{ti}$在密码学上与证明$\mathcal{\psi}_{ti}$绑定的核心思想。在实际实现中，验证密钥$\mathbf{v}_k$由多个组件$\mathbf{v}_k_0, \mathbf{v}_k_1, \ldots, \mathbf{v}_k_d$组成，公共输入$\mathcal{S}_{ti}, \mathfrak{\theta}$被组合为$\mathfrak{\theta} \cdot \mathbf{v}_k_1 + \mathcal{S}_{ti} \cdot \mathbf{v}_d$（加上常数项$\mathbf{v}_k_0$）。确切的线性组合在可信设置期间生成并嵌入到验证合约中。有兴趣的读者可以参考Groth16的源代码以获取详细的实现细节[35]。

当客户端诚实地使用满足$\mathcal{S}_{ti} \geq \mathfrak{\theta}$的$\mathbf{g}_{ti}$来生成证明时，验证肯定会通过。也就是说，任何能够生成有效证明$\mathcal{\psi}_{ti}$的算法必然“知道”一个相应的私有见证$\mathbf{g}_{ti}$，使得$\mathcal{S}_{ti}^2 = \|g_{ti}^2$成立。这在密码学上保证了贡献值$\mathcal{S}_{ti}$绝不是伪造的，而是来自真实的局部计算，同时$\mathcal{\psi}_{ti}$不会泄露关于$\mathbf{g}_{ti}$的任何信息。验证者只知道陈述是真实的。这个算法为后续的激励机制提供了贡献测量的基础，同时保护了梯度隐私。

4.3. 基于部分同态加密的安全聚合协议
贡献证明确保了梯度“质量”（即其值）的可验证性，而梯度“值”（即其数值向量）的聚合过程仍然需要隐私保护。本文采用了Paillier加密方案，该方案满足加法同态性，来构建安全聚合协议。在这个阶段，膨胀的梯度与其他参与者的贡献相平均，限制了它们对全局模型的扭曲效应。本节首先详细阐述了协议设计背后的密码学理论，然后介绍了具体的协议步骤。

4.3.1. 协议理论基础
本研究采用了Paillier密码系统，这是一种满足加法同态性的部分同态加密方案。对于任何两个明文$\mathbf{m}_1, \mathbf{m}_2 \in \mathbb{Z}_n$，以下性质成立：$\Enc(\mathbf{p}_k, \mathbf{m}_1) \cdot \Enc(\mathbf{p}_k, \mathbf{m}_2) = \Enc(\mathbf{p}_k, \mathbf{m}_1 + \mathbf{m}_2 \cdot m_i d \mathbb{n})$，其中$\mathbf{p}_k = (\mathbb{n}, \mathbf{g}$是公钥。这个性质使得聚合服务器能够在不访问它们的明文值的情况下对加密的客户端梯度进行求和。该方案在决策复合剩余性假设下提供了选择明文攻击（IND-CPA）下的安全性。

为了防止单一信任点并符合FLARE的去中心化理念，采用了Paillier方案的$(\mathfrak{t}, \mathbb{n})$阈值变体。私有解密密钥$\mathbf{s}_k$在$\mathbb{n}$个公证节点之间秘密共享。因此，解密聚合后的密文需要至少$\mathfrak{t}$个公证人的合作。这确保了没有任何单一实体，包括半诚实的聚合服务器，能够解密单个客户端的梯度。

为了正式捕获隐私和激励要求，我们定义了一个理想功能$\mathcal{F}_{LARE}$。它接收来自每个客户端$\mathcal{C}_i$的输入$\{\mathbf{g}_{ti}\}$，并在请求时输出聚合后的梯度$\mathbf{G}_t = \sum_{i \in \mathcal{C}_i \mathbf{g}_{ti}$，以及各个贡献的度量集$\{\mathcal{S}_{ti}^i \in \mathcal{C}_i}$，其中$\mathcal{S}_{ti}^2 = \|g_{ti}^2$。不向任何一方透露关于任何$\mathbf{g}_{ti}$的其它信息。我们要求实现$\mathcal{F}_{LARE}$的安全协议$\Pi$满足基于模拟的安全性：存在一个模拟器$\mathcal{M}$，对于任何概率多项式时间的对手$\mathbf{B}$，有$\{IDEAL\mathcal{F}_{LARE, \mathcal{M}(\mathfrak{\lambda}, \{\mathbf{g}_{ti}\})\} \approx \{REAL\mathcal{P}, \mathbf{B}(\mathfrak{\lambda}, \{\mathbf{g}_{ti}\})\}$，其中$\mathcal{C}\approx$表示计算不可区分性。这保证了协议不会透露超出预期输出（总和和各个平方范数）之外的任何信息，并且计算出的输出是正确的。

假设(4)背后的假设：基于模拟的安全性定义假设了一个静态对手，在协议开始之前选择要破坏的客户端。理想功能$\mathcal{F}_{LARE}$被建模为一个完全遵循规范的诚实方；任何被破坏的客户的偏差都由模拟器$\mathcal{M}$处理。在我们的威胁模型中，聚合服务器是半诚实的，这意味着它遵循协议，但试图从转录本中获取额外信息。因此，模拟器需要生成一个与真实执行结果无法区分的视图，即使服务器与一部分被破坏的客户端勾结。将分析扩展到适应性对手（在执行过程中动态破坏客户端）的工作留待将来进行。请注意，公开??????是设计中的一个有意部分，以启用激励机制。虽然揭示平方范数可能会泄露一些关于梯度的信息，但我们认为对于IoV中典型的高维模型来说，这种泄露不会危及底层数据的保密性。更详细的隐私分析在第7.2节中提供。

4.3.2 详细协议步骤
第一阶段：系统初始化。
(1) 运行Paillier的KeyGen?(1??)算法生成公钥???????????? =(??,??)。
(2) 运行(??,??)阈值密钥共享协议将私钥????????????分割成??个份额，{???????}????=1，并分配给??个公证员。
(3) 在区块链上发布公钥????????????和公证员公钥列表。

第二阶段：客户端加密和证明提交。
对于每个选定的客户端???? ∈????：
(1) 将梯度向量g???? =(??????,1,…,??????,??)编码为定点数：????,?? =???????,?? ?2??? ∈???。
(2) 加密每个编码值：????,?? =??????,?? ???????????????????2，其中???? $←????。
(3) 形成加密后的梯度向量?g????? =(????,1,…,????,??)。
(4) 根据第4.2.2节生成贡献证明??????。
(5) 将(?g?????,??????,??????)以及数字签名发送到聚合服务器??。

第三阶段：服务器聚合和链上验证。
(1) 服务器??验证客户端签名，并将(??????,??????)发送到区块链智能合约进行零知识证明验证。
(2) 智能合约记录通过验证的客户端集合??′??。
(3) 服务器??对??′??中所有客户的密文执行同态聚合：?G???=(??1,…,????)=?? ??∏??∈??′??????,1?????????|??2,…,∏??∈??′??????,???????????|??2?? ??。
(4) 服务器??将聚合后的密文?G???及其哈希值发送到区块链。

第四阶段：阈值解密和模型更新。
(1) 智能合约验证?G???的哈希值并触发阈值解密协议。
(2) 至少有??个公证员使用他们的私钥份额???????参与解密协议，协作计算明文聚合结果M?? =(∑????,1,…,∑????,??)，并在链上提交结果。
(3) 智能合约验证解密结果的正确性（例如，通过NIZK），解码M??（除以2??）以获得G??，并更新全局模型：w??+1 =w?? ????G??。

这个过程保证了对于任何概率多项式时间（PPT）对手来说，它在协议执行期间获得的视图在计算上与仅知道最终聚合梯度???? =∑??∈????g????的理想模拟器生成的视图无法区分。这意味着没有任何实体能够获得关于任何单个g????的有效信息，超出了聚合结果的范围。

5. 动态激励机制
传统的激励机制由于奖励延迟和“免费搭便车”行为而存在参与质量低的问题。为了解决这个问题，本文设计了EconChain（Economy-on-Chain激励机制），通过基于区块链的即时微奖励和动态声誉系统构建了一个闭环经济激励系统，以长期驱动节点提供高质量的贡献。

5.1 EconChain基础设施
EconChain机制是在一个联盟（许可的）区块链上实现的，这是涉及已知、经过审查的组织利益相关者（例如，汽车制造商、电信运营商和交通管理部门）的IoV场景的首选架构。联盟区块链采用了实用拜占庭容错（PBFT）共识算法，因其快速最终性（通常为1-3秒）和适用于联盟控制的低节点数量环境而受到青睐。系统的逻辑编码在一系列智能合约中：
任务管理合约：处理联邦学习任务的生命周期——发布、参与者注册、初始模型分发和最终结算。
安全聚合验证合约：验证客户端提交的zk-SNARK证明。该合约包含椭圆曲线配对逻辑和验证密钥。
动态激励核心合约：执行核心激励逻辑——计算和分配即时微奖励、更新声誉账本以及运行概率参与者选择算法。
每个训练轮次涉及可预测的交易负载：K个证明验证交易和少数行政交易（聚合结果发布和奖励分配）。

5.2 即时微激励机制
为了提供即时反馈，奖励在每个训练轮次结束后立即分配。设??micro??为第??轮的即时奖励池总额。客户端??在这轮应获得的奖励??????由两个可观察或可验证的指标共同决定：
可验证的贡献指标：梯度的平方范数?????? =∥g????∥22，通过zk-SNARK证明。这个值反映了节点本地梯度更新的大小，是贡献的核心定量指标。
实时资源投资得分：?????????????? ∈[0,1]，用于量化节点在这一轮中承诺并实际投入的计算资源（CPU/GPU时间）、网络带宽、存储和在线持续时间。这个得分可以由链下的可信预言机网络提供、签名并在链上确认，或者基于可验证的计算。
为了防止节点故意计算或报告过大的梯度以获得更高的奖励，本研究在奖励分配中加入了贡献转换函数：???(??????)=??????(1+????????)，其中??是系统自动调整的贡献证明阈值，用于筛选参与者，并使??????在不同轮次之间具有可比性。在上述方程中，当?????? =??时，它对应于标准奖励基线。当??????较小时，奖励对其增加敏感；当??????较大时，奖励增加逐渐放缓。这有效地减少了通过夸大梯度范数获得的好处，从而抑制了投机行为。
客户端??在第??轮的奖励分配权重??????计算如下：??????=???(??????)???????????????。最终获得的即时奖励根据权重按比例分配：??????=??????∑??∈??′????????·??????????????????，其中??′??是通过验证的有效参与者集合。
在这种机制下，节点不仅需要满足基本贡献阈值（??），还需要优化贡献质量（??????）和资源投资（??????????????），以在当前轮次中获得更大的奖励份额。这激励节点在每一轮中努力提供高质量的服务。

5.3 声誉积累系统
声誉??????????????反映了节点的长期行为。声誉筛选和更新机制可以有效影响节点的短期行为，声誉的累积性质激励了长期稳定的工作。声誉使用指数移动平均（EMA）模型进行更新：??????????????=????????1??????????+(1???)??????1??????????，其中?? ∈(0,1)是“遗忘因子”。??越接近1，声誉变化越慢，历史行为的影响越持久；??越接近0，声誉对近期表现的敏感度越高。??????????????是当前时期的表现得分，全面反映了节点在第??轮的贡献表现和协议遵守情况。其公式如下：??????????????=Γ?(??????)?贡献奖励因子×Φ?(??????)×违规惩罚因子，其中贡献奖励因子Γ?(??????)使用标准化相对排名结果计算，从而排除了不同轮次之间奖励池的波动，同时激励节点积极参与，具体如下：Γ?(??????)=rank?(??????)|??′??|，其中rank?(??????)是节点??的奖励在所有参与节点中的升序排名，最高奖励的排名为|??′??|。因此，Γ?(??????) ∈(0,1]，与奖励的相对大小一致。
违规惩罚因子Φ?(??????)以指数衰减形式存在，用于惩罚偏离协议的行为。设??????为节点??在第??轮记录的违规次数（例如，提交无效证明、超时、检测到拜占庭行为等），具体如下：Φ?(??????)=????????，其中??∈(0,1)。当?????? =0（无违规）时，Φ =1，对表现得分没有影响。一旦发生违规，Φ会急剧下降（例如，?? =0.1，违规次数减少到0.1），显著影响当前的表现得分??????????????，从而影响其长期声誉。

5.4 动态客户端选择
为了确保训练效率和模型质量，并防御Sybil和勾结攻击，并非所有注册节点都参与每一轮训练。FLARE采用基于声誉和实时资源的概率动态选择算法来形成每一轮的训练委员会????。该算法与声誉系统和即时奖励机制一起，形成了一个强大的激励闭环。
选择的目标是以高概率选择高声誉、高资源质量的节点，同时保持一定的随机性和公平性，为新节点或声誉恢复中的节点提供机会，并增加攻击者预测委员会成员的难度。
候选池筛选：在每一轮开始之前，智能合约首先从所有注册节点中筛选候选池????cand。筛选条件包括：(a) 在线状态；(b) 满足最小质押要求（反Sybil）；(c) 声誉值??????????????高于最小声誉阈值??min。
综合吸引力得分计算：对于每个候选节点?? ∈????cand，计算其综合吸引力得分??????。该得分是长期声誉和即时资源投资的几何平均值：??????=(?????1??????????)???(??????????????)1???，其中参数?? ∈[0,1]是一个调整因子。??值越大，系统越重视节点的长期声誉和历史表现；??值越小，系统越重视节点在当前轮次的即时资源可用性。
Softmax概率分配：为了将吸引力得分转换为选择概率并控制“探索-利用”权衡，本文使用带有温度参数??的Softmax函数：?????(??)=exp?(?????????)∑??∈????candexp?(?????????)，其中温度参数??控制探索-利用权衡。较小的??导致几乎均匀的分布（高探索），而较大的??放大得分差异，使选择集中在??????最高的节点上。表2说明了这种效果。表2展示了三种不同节点情况下的??。因此，可以通过调整??来控制系统的选择策略。
可验证随机函数（VRF）采样：此过程基于椭圆曲线Schnorr签名实现的VRF方案。
设椭圆曲线群为??，生成器为??，群的阶为一个大素数??。节点??的密钥对为私钥??????? =???? ∈????，相应的公钥为??????? =???? =???? ??? ∈??。公共种子????（由前一个块的哈希和轮次号组成）作为输入，连同节点的私钥????一起使用。将输入映射到曲线点：?? =HashedToPoint?(????) ∈??。计算VRF输出点：???? =???? ??? ∈??。生成Schnorr签名风格的证明???? =(????,????)并选择随机数?? $←????。计算???? =?? ??? ∈??。计算挑战???? =Hash?(??,??,????,????,????) ∈???。计算响应???? =?? +?? ?? ?????????????????。提取最终随机值：output?? =Extract?(????)（取????的x坐标并对其进行哈希）。这个过程保证了抽样的随机性，结果可以公开验证。

6. 实验评估与分析
本节旨在通过全面实验全面评估FLARE架构的有效性、效率和优越性。评估从三个维度进行：(1) 隐私保护与模型效用之间的权衡，(2) 激励机制的有效性，以及(3) 系统开销和可扩展性。本文基于PySyft和FATE开源框架开发了一个原型系统，集成了加密库（phe用于Paillier，zksk用于zk-SNARK模拟）和区块链模拟环境（Ganache）。

6.1 实验设置
6.1.1 数据集和模型
采用了三个具有不同规模和特征的代表性数据集：
MNIST：手写数字识别（60k训练；10k测试），一个基本的图像分类任务。
CIFAR-10：对象分类（50k训练；10k测试），一个中等复杂度的彩色图像任务。
COVID-19-CT：一个医学成像数据集（约750张CT扫描），用于二分类（COVID-19阳性/阴性），模拟高价值敏感数据场景。
数据划分：为了模拟真实的联邦场景，采用了非独立同分布（Non-IID）划分。每个类别的数据根据Dirichlet分布（Dir (α = 0.5)）分配给100个客户端，模拟高统计异质性。
模型：
MNIST：一个具有两个卷积层和两个全连接层的简单CNN。
CIFAR-10：ResNet-18。
COVID-19-CT：DenseNet-121。
训练配置：本地训练使用SGD优化器，本地 epoch = 1，批量大小 = 32。总训练轮次（通信轮次）设置为100。初始学习率为0.01，每30轮衰减0.1。总共，10%的客户端（即K = 10）被随机选为每轮的参与者。

6.1.2 对比基准
为了评估FLARE在隐私保护和激励机制方面的核心贡献，选择了以下三个最具代表性的基准方案进行比较：
FedAvg：标准的联邦平均算法，不包含隐私保护或激励机制，作为模型效用（准确性）的性能上限和基准参考，用于评估由于隐私保护导致的准确性损失。
Paillier-Base：一种基于Paillier部分同态加密的安全聚合方案，提供加密级别的梯度隐私，但缺乏贡献验证和激励功能。这个基准用于评估FLARE中SafeGrad协议的功能和开销。
IncentiveFL：一个基于区块链的联邦学习框架，提供基本的激励机制，但在训练过程中缺乏梯度隐私保护。这个基准用于评估EconChain机制在FLARE中的作用。
这三个基准代表了三个维度：隐私保护、激励机制和基本性能，可以全面评估FLARE的贡献。

6.1.36.1. 评估指标
模型效用：以测试集准确率为核心指标，并绘制收敛曲线。
隐私保护强度：对于Paillier-Base和FLARE，本文通过梯度反转攻击成功率间接进行评估。通过实施基于DLG的攻击，尝试从共享梯度（或密文/证明）中恢复原始图像，计算结构相似性指数（SSIM）低于阈值（0.3）的比例作为防御成功率。对于FedAvg和IncentiveFL，预期攻击成功率较低，作为参考。
激励效果：平均贡献质量：所有客户端上传的梯度的L2范数平均值。
客户端活跃度：训练期间的客户端参与率和退出率。
模型收敛速度：达到目标准确率（例如80%）所需的通信轮数。
声誉分布：训练后客户端声誉值的分布，衡量激励系统的区分能力。
系统开销：
每轮客户端计算时间：包括本地训练、加密和证明生成在内的总时间。
每轮通信开销：客户端上传的总数据量（密文+证明）。
端到端延迟：从训练轮开始到模型更新完成的总时间。

6.1.4. 仿真配置
节点行为仿真：模拟了一百个客户端，其中包含：
70%的诚实节点：始终遵守协议，提供从真实数据计算出的梯度。
20%的懒惰/搭便车节点：以30%的概率提交随机噪声或零梯度。
10%的拜占庭节点：尝试发送恶意梯度（例如，符号翻转的梯度）或进行共谋攻击。
硬件环境：实验在配备有Intel i9-10900K CPU、128 GB RAM和NVIDIA RTX 3090 GPU的服务器上进行。

为了评估EconChain机制的链上逻辑（证明验证、奖励分配和声誉更新），本研究使用了Ganache，这是一个本地的以太坊测试区块链模拟器。首先，Ganache为以太坊虚拟机（EVM）智能合约提供了忠实的执行环境。这使我们能够准确测量Verifier和IncentiveCore合约的计算正确性和逻辑流程，因为这是本实验阶段的主要目标。其次，通过抽象掉可变的网络延迟、波动的Gas价格和共识延迟，本研究隔离并测量了FLARE的加密操作（zk-SNARK验证和同态聚合）和激励逻辑引入的内在开销，不受外部区块链网络条件的影响。第三，Ganache提供了一个确定性和一致性的环境，这对于在相同的“完美”区块链条件下公平比较FLARE和基线方案（例如IncentiveFL）至关重要。

6.2. 实验结果与分析
6.2.1. 隐私-效用分析
在CIFAR-10数据集上，比较了FedAvg、Paillier-Base和FLARE的收敛曲线和最终准确率，并进行了梯度反转攻击以评估FLARE的防御能力。如图2所示，FLARE的收敛曲线几乎与Paillier-Base和FedAvg的收敛曲线重合，证明了SafeGrad协议有效地保持了模型准确率。如表3所示，FLARE的防御成功率为99.4%，表明FLARE提供了有效的隐私保护。这个结果略高于Paillier-Base的98.2%，因为ZKP过滤掉了无效的贡献，使得攻击者更难从有效数据中反转，而且FLARE实现了去中心化解密，显著降低了信任风险。表3全面展示了三种方案的最终准确率和防御成功率。可以看出，FLARE在保持模型效用的同时提供了强大的隐私保护。

6.2.2. 激励机制有效性分析
在MNIST数据集上，分别运行了三种方案——无激励的FedAvg、IncentiveFL（任务后激励）和FLARE，观察了客户端贡献质量、活跃度和模型收敛速度。如图3所示，在FLARE方案下，客户端的平均梯度范数始终高于其他方案，有效增强了客户端的贡献。如图4所示，随着训练轮次的增加，所有方案的节点退出率都在增加，但在FLARE方案中，退出率始终保持在较低水平，表明该方案有效地提高了节点参与率。如表4所示，由于平均客户端贡献和参与率的优势，FLARE方案的收敛速度也显著优于其他两种方案，在32轮后达到了80%的准确率。图5展示了系统参数λ和β对系统性能的影响。遗忘因子λ决定了历史行为的权重；较大的λ表示系统更重视历史声誉。当λ=0.6时，历史行为和当前行为之间达到了平衡，从而实现了最佳的系统准确率和收敛速度。温度参数β是节点选择的“探索系数”；随着β逐渐增加，节点选择的随机性减弱，趋向于仅选择最佳节点。当β=2.0时，系统准确率和收敛速度达到最优。如图6所示，训练后，诚实节点的中位声誉为0.839，超过90%的诚实节点的声誉>0.6，且分布相对集中。懒惰节点的中位声誉为0.427，大约40%的懒惰节点的声誉在0.3到0.5之间。拜占庭节点的中位声誉为0.228，大约70%的拜占庭节点的声誉<0.3。可以看出，FLARE方案通过其激励机制能够有效识别不诚实节点，抑制恶意行为，并加速模型收敛。

6.2.3. 系统开销分析
在COVID-19-CT数据集上，测量了FedAvg、Paillier-Base、IncentiveFL和FLARE的端到端延迟。同时，参与客户端数量（K）从10变化到50，以观察端到端延迟的变化。如图7所示，随着K的增加，所有方案的端到端延迟呈线性增长。其中，由于增加了Paillier加密和ZKP生成，FLARE的总体延迟略高于Paillier-Base，从67.8秒增加到269.9秒，但仍处于可接受范围内。FLARE为了隐私保护和活跃节点参与，牺牲了少量的延迟增加，代表了有效的改进。

6.2.4. 可扩展性分析
虽然主要实验是在100个客户端节点下进行的，以在受控条件下验证核心机制，但本研究分析了FLARE在更大规模的车联网（IoV）部署中的可扩展性，包括计算、通信和区块链负担随着节点数量增加的情况。
计算开销：客户端每轮的计算包括三个主要部分：（1）本地模型训练，（2）梯度的Paillier加密，以及（3）zk-SNARK证明生成。（1）和（2）的复杂度为O(d)，其中d是模型大小，而（3）的电路复杂度与节点数量无关。因此，增加注册节点的总数不会增加每个客户端的计算时间。服务器端的聚合成本为O(K·d)，其中K是每轮的参与者数量。如图7所示，端到端延迟与K线性增长，这与我们的复杂性分析一致。
通信开销：每个参与客户端上传一个加密梯度（大小约为d·|n2|，其中|n2|是密文模数大小）和一个zk-SNARK证明（大小恒定，约256字节）。对于ResNet-18模型（d约为11 M参数）和2048位Paillier模数，每个客户端的上传量约为5.5 MB。在500个注册节点和每轮K=50参与者的情况下，每轮的总上行带宽约为275 MB。在5G-V2X环境中，峰值上行速度为100 Mbps，这大约需要每轮22秒，对于许多非实时训练任务来说是可接受的。
区块链负载：每个客户端提交需要一次链上交易进行证明验证和声誉更新。假设一个联盟区块链（例如Hyperledger Fabric）能够每秒处理1000笔交易，每轮验证50个证明将增加大约50毫秒的区块链延迟。智能合约操作（奖励计算和声誉更新）是轻量级的，可以批量处理。

结论：FLARE的开销与模型大小（d）和每轮参与者数量（K）成线性关系，但与注册节点的总数无关。这表明通过适当设置K（例如50）并使用具有足够吞吐量的联盟区块链，FLARE可以在城市规模（500+节点）上部署。对于非常大的模型，未来的工作可以采用模型压缩或更高效的加密方案来减少时间和成本。

6.2.5. 对抗恶意行为的鲁棒性分析
除了标准的懒惰节点和拜占庭节点外，本研究进一步分析了FLARE对抗更复杂的恶意策略的韧性，这些策略旨在在不被检测到的情况下操纵激励系统。
梯度放大攻击：恶意客户端可能试图通过缩放其梯度（例如，??′?? =?? ?????，且?? >1）来夸大其贡献指标??????。FLARE的激励设计从两个方面本质上阻止了这种情况。首先，对数奖励转换???(??????)（方程（6）确保了收益递减：将??????翻倍并不会使奖励权重翻倍。其次，更重要的是，声誉系统（第5.2节）惩罚不一致的行为。如果客户端突然提交的梯度范数与其历史贡献相比异常，它可能会被标记为可疑（增加??????）并受到声誉惩罚。在我们的实验中，进行随机梯度缩放的拜占庭节点（??在2到10之间）并没有获得比诚实节点更高的平均奖励，它们的最终声誉分数最低（中位数，0.228；图6）。
方向性有害但范数满足的梯度：一个复杂的对手可能会计算一个∥??????∥2 ≥??的梯度，该梯度指向与真实下降方向相反的方向，旨在降低全局模型性能，同时仍然获得奖励。虽然zk-SNARK不能防止这种行为，但我们观察到FLARE的设计限制了其影响。首先，在安全聚合过程中，恶意梯度与其他参与者的贡献平均；除非对手控制了委员会的大部分（由于基于声誉的选择，这是不太可能的），否则对全局更新的影响很小。其次，如果客户端持续提交有害梯度，导致的模型性能下降将降低其????pref??（通过受影响轮次中的较低奖励），从而导致声誉下降和最终被排除。配置为发送随机梯度的拜占庭节点的模拟显示，它们获得了最低的中位声誉（0.228），并且对模型退化的贡献很小（即使有10%的拜占庭节点，准确率下降≤1.5%）。这表明集成机制有效地缓解了此类攻击，而无需显式的方向性验证。
Sybil攻击抵抗：FLARE在注册期间需要押金，因此面对Sybil攻击（攻击者创建多个假身份）时，每个身份都会产生财务成本。此外，基于声誉的概率选择（方程（14）意味着新的、低声誉身份被选中的概率非常低。即使被选中，它们的低初始声誉也限制了它们的奖励份额。因此，在FLARE中发起Sybil攻击在经济上是低效的。
共谋攻击考虑：恶意节点之间的共谋是可能的，但其影响受到安全聚合协议和委员会选择随机性的限制。由于梯度是加密和同态聚合的，共谋节点无法直接看到彼此的梯度来进行协调。它们可以同意一个固定的缩放因子，但如上所述，这会导致奖励递减。此外，动态选择算法使用了一个具有公共种子（区块哈希）的可验证随机函数（VRF），使得攻击者无法提前知道哪些节点会被选中，从而阻碍了给定轮次中恶意联盟的形成。

表5总结了FLARE在这些对抗场景下的性能，使用了我们现有的拜占庭节点模拟数据。结果证实，FLARE的集成设计提供了对常见激励操纵策略的强大保护。

7. 讨论
本节将FLARE的实验发现置于更广泛的学术和实际背景下。首先，本文分析了其在目标场景——车联网（IoV）中的适用性。然后，本文深入探讨了其核心设计的固有权衡，系统地概述了其局限性，并最终对其激励机制的鲁棒性进行了更深入的检验。**适用于车辆互联网（IoV）场景**
FLARE的设计理念源于IoV中“数据孤岛”和参与者理性这两个双重挑战。在架构上，车载单元（OBUs）和路边单元（RSUs）被映射为数据持有节点，而交通管理中心或服务提供商则充当任务请求者。这种映射为解决IoV中的协作感知问题奠定了基础。FLARE的动态机制，特别是基于声誉和实时资源的节点选择（第5.3节），为应对车辆网络的固有动态提供了适应性解决方案，例如频繁的节点更替和不稳定的网络连接性。声誉衰减因子（λ）使系统能够更快地淘汰持续离线或表现不佳的节点，而即时微奖励则激励节点在有限的在线时间内做出高质量贡献。

然而，必须承认，我们的实验是在同步训练和稳定网络的假设下进行的，这与高度动态的现实世界IoV环境有所不同。异步通信、异构车辆硬件能力和非均匀的地理数据分布是在实际部署中必须面对的挑战。虽然FLARE的机制设计（例如动态选择）为适应这些挑战提供了基础框架，但其激励机制的公平性和在完全异步、高延迟网络环境中的聚合效率仍需要进一步的算法研究和验证。未来的工作应该探索与可验证贡献证明相结合的异步聚合协议。

**7.2 隐私-效用-开销权衡分析**
FLARE的核心主张是用可控的系统开销来换取更强的隐私保护和更高的参与质量。我们的实验结果验证了这种权衡。与FedAvg基线相比，FLARE引入了大约15%的额外延迟开销（图7），同时实现了99.4%的防御成功率，抵御梯度反转攻击（表2），并在32轮内达到了目标精度（FedAvg需要45轮；表3）。这表明，对于像IoV这样的高价值、敏感数据场景，Paillier加密和zk-SNARK证明生成的开销是一项值得的投资，因为强大的隐私保护和可靠的模型收敛性至关重要。

尽管单个平方范数∥??????∥2在高维模型中揭示的信息有限，但观察多轮序列{??1??,??2??,…,??????}的对手可能会尝试推断趋势或将范数与已知数据分布相关联。为了评估这种风险，我们使用CIFAR-10实验中记录的梯度范数进行了实证分析。对于一个固定的客户端，我们提取了其在100轮内的范数序列，并应用了基于阈值分类的成员推断攻击。该攻击的准确率仅为52%（略高于随机猜测）。这一结果表明，在典型的训练条件下，对于高维模型来说，这种风险可以忽略不计。然而，对于具有极端隐私要求的应用，可以限制范数披露的频率，或者以牺牲激励精度为代价，在??????中添加校准噪声。我们将这些扩展留待未来的工作来探讨。

这种权衡不是静态的，可以根据应用需求进行调整。例如，高安全场景（如军用车辆车队）可以采用更强的加密参数或利用更复杂的ZKP电路来增强安全保障。低延迟场景（如实时交通预测）可以减少每轮的参与者数量（K），或采用更高效的PHE方案（如CKKS进行近似运算）。贡献度量标准（??????）的选择也代表了在可验证的简单性和潜在的梯度缩放脆弱性之间的刻意权衡，这一点通过第7.3节讨论的奖励函数和声誉系统得到了缓解。

**7.3 激励兼容性的初步分析**
虽然完整的正式博弈论证明超出了这篇以系统为中心的论文的范围，但本研究可以概述FLARE设计的经济合理性。该机制旨在实现激励兼容性：客户端的效用最大化策略应该是诚实地参与。这通过以下方式得到鼓励：
(1) 即时且成比例的奖励：微支付方案（第5.1节）直接将努力（资源投资）和结果（梯度范数）与奖励联系起来，为诚实的工作提供了明确的正面反馈。
(2) 长期声誉资产：声誉??????????????作为一种有价值的资本 stock，增加了未来的选择概率，从而增加了未来的收益潜力。任何短期的作弊行为都可能损害这一长期资产，这一点通过惩罚因子Φ?(??????)进行了建模。
(3) 透明度和可验证性：使用zk-SNARKs和不可变的区块链账本最小化了信息不对称性。参与者可以信任贡献得到了正确的验证，奖励也按程序分配，降低了诚实参与的感知风险。

对数奖励转换（方程（6））、EMA声誉更新（方程（9）、排名标准化（方程（11）和Softmax选择（方程（13））的组合形成了一个闭环系统，理论上可能会表现出强化偏见：高声誉节点获得更高的奖励，从而进一步增加其声誉，并可能使新节点或暂时表现不佳的节点边缘化。这类似于许多声誉系统中观察到的“富者越富”的现象。

为了减轻这种风险，FLARE融入了几项设计元素：
(1) 通过???(??????)实现收益递减：即使一个节点始终获得高??????，对数函数也限制了奖励的边际增长，防止了优势的无限制积累。这确保了高声誉节点和低声誉节点之间的差距不会呈指数级扩大。
(2) 通过Softmax温度??实现探索：通过设置?? =2.0（中等温度），选择概率不会变得确定性。在这个温度下，Softmax函数的梯度确保了低声誉节点仍保持与e?x?p?(?????????)成比例的选择概率，对于平均值的??????来说，提供了不可忽视的选择机会。
(3) 通过??实现声誉衰减：遗忘因子?? =0.6确保了声誉不会过于粘滞。从方程（9）可以看出，声誉更新的半衰期大约为?l?n?2l?n??? ≈1.4轮，这意味着表现不佳的节点会迅速失去声誉，让其他节点有机会赶上。

为了量化锁定风险，我们检查了在极端参数选择下的声誉分布。设置?? =0.95（非常缓慢的衰减）和?? =10（几乎确定性的选择）导致前20%的节点在50轮内捕获了90%的选择机会，证实了在病态情况下可能发生锁定。本研究选择的参数（?? =0.6；?? =2.0）避免了这种情况，如图4（稳定的参与率）和图6（节点类型间的广泛声誉分布）所示。诚实节点之间的Gini系数为0.23，表明在不极端集中的情况下存在适度的不平等。

从博弈论的角度来看，激励循环可以被视为一个重复游戏，其中每个节点的策略影响其未来的声誉。收益递减和探索的结合确保了游戏具有混合策略的纳什均衡，所有节点都有正概率参与，而不是只有少数节点主导的退化均衡。包括在各种对手模型下严格证明纳什均衡的完整博弈论分析，仍然是未来研究的重要方向。

**7.4 系统局限性和未来方向**
尽管FLARE展示了有希望的结果，但仍有一些局限性值得讨论，并指出了有价值的未来研究方向：
(1) SafeGrad协议的计算成本与模型参数数量d成线性关系。对于非常大的模型（例如视觉变换器或LLM），每轮的证明生成和加密时间目前需要几秒到几分钟，可能会成为瓶颈。未来的工作应该研究增量证明技术、更高效的透明ZK系统（例如Plonk和Stark），或加密操作的硬件加速。
(2) SafeGrad中使用的Groth16 zk-SNARKs需要一个可信的设置来生成证明/验证密钥。尽管可以通过多方计算（MPC）仪式来缓解这一点，但这仍然是一个操作上的考虑因素。探索消除这一需求的透明ZK系统，同时仔细评估它们对证明大小和验证时间的影响，是一个重要的方向。
(3) 我们的评估使用了模拟区块链（Ganache）。在公共链上的部署将产生显著的Gas成本用于证明验证。因此，FLARE最适合于联盟或私有区块链（例如基于Hyperledger Fabric或FISCO BCOS）的环境，其中交易成本可以忽略不计，延迟可控。未来部署研究应包括对类似Ethereum的链上的Gas成本的详细分析。
(4) 100节点的模拟验证了核心机制，但并未完全捕捉到城市范围IoV部署的规模（涉及数千个实体）。虽然我们的可扩展性分析（第6.2.4节）表明线性扩展，但在更大的测试平台或真实世界的C-V2X平台上进行测试是必要的下一步。
(5) 实验分析假设大多数参与者是理性的（追求利润的），而不是纯粹破坏性的。一个愿意承担无限成本来破坏系统的强大对手（经典意义上的“拜占庭”对手）仍然可能造成损害。经济游戏的安全性取决于参数的准确调整（θ、λ、γ和β）。配置不当的系统（例如θ设置过低，γ设置过高）可能会削弱其防御能力。未来的工作应包括对这些参数针对协调对手策略的正式敏感性分析。最后，我们还没有探讨可能尝试“学习”声誉模型并以最低成本进行攻击的高度适应性对手——这是一个具有挑战性但重要的未来研究方向。

**7.5 与最新技术的定量比较**
为了进一步说明FLARE的性能，本节提供了与最近的ProCFL框架[36]的定量比较。这种比较因实验设置的差异而复杂化，包括数据集、模型架构（例如FLARE在CIFAR-10上使用ResNet-18，而ProCFL使用CNN）和非独立同分布（non-IID）配置。尽管如此，关键指标的高层次比较揭示了它们的互补优势。在隐私保护方面，FLARE通过同态加密和零知识证明实现了加密级别的安全性，在CIFAR-10上抵御梯度反转攻击的防御成功率为99.4%，且没有精度损失（100轮后的最终精度为75.8%）。相比之下，ProCFL依赖于无梯度聚类和模型共享期间的加性噪声，这有效地防止了梯度泄露，但引入了大约3%的适度精度损失（在同一数据集上50轮后达到约70%）。在鲁棒性方面，ProCFL通过事后同行验证特别针对恶意集群攻击，而FLARE通过基于声誉的激励机制缓解了更广泛的对抗行为——包括梯度放大、Sybil和共谋攻击——即使有10%的拜占庭节点，模型退化也保持在1.5%以下。在开销方面，ProCFL的一次性聚类增加了可忽略的每轮成本（总共约2-3秒），使其非常适合具有稳定客户端的高度异构数据。FLARE的每轮加密开销较高（根据参与者数量不同，为67.8-269.9秒），这在隐私敏感的应用中是合理的。这些区别表明，ProCFL在轻量级集群个性化方面表现出色，同时具有强大的集群级防御能力，而FLARE提供了端到端的隐私和可持续的激励机制，适用于高风险环境。

**8 结论**
本文提出了针对高度隐私敏感场景中跨领域联邦学习面临的核心挑战的集成FLARE架构。该方案的核心贡献在于系统地解决了梯度隐私泄露和僵化、延迟激励这两个瓶颈，通过原生集成加密安全和链上机制，实现了隐私保护、模型效用和系统活力之间的有效平衡。

该方案仍存在相当大的局限性。未来的研究可以集中在以下两个方向：首先，这样的研究可以探索更高效的同态加密和零知识证明方案。在当前的SafeGrad协议中，PHE加密和zk-SNARK证明生成的开销与模型参数数量成线性关系。对于大规模模型，每轮的开销可能达到几分钟，这可能成为瓶颈。其次，研究人员可以针对异步训练场景进行可扩展性研究。当前的实验都是在同步假设下进行的。在现实世界的广域网络中，节点的异构性可能导致严重的同步等待问题，也会显著影响整体系统的效率和稳定性。