适用于5G网络中具有非独立同分布（Non-IID）数据的异构边缘节点的、具有抗对抗性的联邦学习方法

《Internet of Things》：Adversarially Resilient Federated Learning for Heterogeneous Edge Nodes in 5G Networks with Non-IID Data

　　萨尼娅·扎法尔（Saniya Zafar）| 菲尔·莱格（Phil Legg）| 乔纳森·怀特（Jonathan White）| 艾哈迈德·萨尔曼（Ahmad Salman）
英国布莱斯特西英格兰大学（University of the West of England, Bristol, UK）

**摘要**
5G及Beyond-5G（B5G）边缘网络的快速部署为部署在边缘的联邦学习（Federated Learning, FL）框架带来了独特的挑战，这主要是由于数据分布的异质性和对抗性漏洞。本文提出了一种抗干扰的联邦学习（Adversarially Robust Federated Learning, ARFL）机制，该机制结合了混合特征选择和对抗性优化技术，以共同增强对抗干扰的鲁棒性，并在数据分布异质性的情况下提高计算效率。所提出的方法通过最小-最大（min–max）框架联合优化分类器和对手，从而实现对不同强度干扰的鲁棒性。在真实世界的入侵检测5G-NIDD数据集上的实验结果表明，标准联邦学习在对抗性条件下性能急剧下降，当ε=0.3时，准确率、精确度、召回率和F1分数降至20%-30%。相比之下，所提出的ARFL框架在所有非独立同分布（non-IID）数据集下的这些指标上都保持在92%以上，体现了其鲁棒性和可靠性。总体而言，ARFL在对抗性方面相比标准联邦学习提高了20%-70%的准确率，同时仅在干净数据情况下造成了小幅性能下降。可扩展性实验展示了ARFL框架的稳定性和效率，强调了其在需要鲁棒性和效率的5G边缘部署中的适用性。

**1. 引言**
互连设备的普及以及对超低延迟和高数据传输速率的持续需求，推动了无线网络的演变，促进了5G的部署，并推动了Beyond-5G（B5G）和6G网络架构的研究。这一演变的主要推动力是边缘计算，它使边缘节点能够执行计算和数据处理，而无需依赖中心化计算[1]。这种转变降低了数据传输延迟，减少了延迟，优化了带宽利用率，并改善了物联网（IoTs）、智能医疗和自动驾驶车辆等应用中的实时决策能力。然而，边缘节点的分布式数据处理引入了许多与隐私、安全性和机器学习（ML）及深度学习（DL）系统鲁棒性相关的问题。为了解决这些挑战，联邦学习（FL）成为了一种有前景的方法，它能够在保持数据隐私的同时实现协作式模型训练。FL允许每个客户端根据各自的本地数据集训练本地模型，并仅通过向全局服务器共享本地模型更新来协作训练全局模型，从而大大降低了原始数据暴露的风险[2]。尽管FL具有固有的隐私优势，但它仍容易受到各种对抗性威胁的影响，特别是在客户数据分布本质上非独立同分布（non-IID）的异构边缘计算网络中[2][3]。对手可以通过注入恶意更新来破坏FL过程，导致模型中毒，通过后门攻击操纵训练数据，或者在不具备访问原始数据或集中训练控制权的情况下利用全局模型的完整性[3][4]。传统的隐私保护FL机制，包括同态加密、差分隐私和安全聚合，已经在防止数据泄露和通信推断风险方面获得了广泛关注。然而，这些技术在应对直接针对模型鲁棒性的复杂对抗性攻击时效率较低。这些传统方法通常依赖于理想条件，如良性参与、数据分布均匀性和完全合作的行为，这些条件在现实世界的边缘计算环境中很少见[5][6]。更具体地说，客户数据的非独立同分布特性往往会削弱全局模型的性能和鲁棒性，因为异构数据特性使得恶意参与者能够操纵模型收敛并增强中毒更新的影响。

为了克服上述限制，最近出现了抗干扰的FL算法，这些算法将鲁棒优化技术融入FL过程[7][8]。将鲁棒优化和对抗性训练整合到FL中，可以检测和缓解对抗性活动，同时提升FL模型在非独立同分布和异构环境中的泛化能力。这对于5G网络中的边缘智能至关重要，因为多样的攻击面和有限的计算资源要求高度适应性和高效的解决方案。在本文中，我们提出了一种适用于非独立同分布数据下的5G边缘计算网络的安全且抗干扰的联邦学习（ARFL）模型，该模型在确保计算效率的同时提高了对多强度对抗性攻击的鲁棒性。

**1.1. 本文贡献**
在我们之前的工作中[9]，我们提出了一个结合对抗性优化的FL框架，以提高5G边缘计算网络的安全性。所提出的模型使用快速梯度符号方法（Fast Gradient Sign Method, FGSM）训练联合分类器-对手网络，以生成自适应干扰，从而在保护数据隐私的同时提高对抗性攻击的鲁棒性。广泛的实验结果证明了该框架的适应性、可扩展性和在多个入侵检测领域的泛化能力。然而，之前的工作主要集中在训练过程中的静态对抗性强度和独立同分布（IID）数据配置上，没有探索广泛的异质性水平和更广泛的计算效率方面。在此基础上，本文通过引入特征选择、多强度对抗性训练和在多种非独立同分布场景及干扰强度下的系统评估，扩展了我们之前的模型，解决了这些限制。本文的主要贡献包括：
1. 我们为5G边缘计算网络提出了一种新型的抗干扰FL模型。该框架将对抗性优化集成到联邦学习过程中，使得在边缘节点之间的非独立同分布数据下能够同时训练本地分类器和对手，从而确保了对多强度对抗性威胁的鲁棒性，即使在恶意行为和客户端异质性的情况下也能实现模型的稳健收敛。
2. 我们在算法中引入了一种有效的特征选择机制，以提高模型的鲁棒性和计算效率。这减少了不相关和冗余的特征，从而提高了计算效率。特征选择步骤使得该框架更适合资源有限的边缘设备，同时不影响模型的性能。
3. 我们对独立同分布（IID）和非独立同分布（non-IID）联邦学习环境中的对抗性漏洞进行了全面的性能评估，探讨了不同数据异质性和不同干扰强度的影响。这包括使用FGSM生成具有不同干扰强度的对抗性样本，以模拟真实世界的攻击场景。
4. 我们使用5G-NIDD数据集[10]验证了所提出的ARFL算法，在各种对抗性条件下的准确性和鲁棒性。全面的实验分析强调了在下一代联邦系统中考虑异质性意识和自适应鲁棒性机制的重要性。

**1.2. 论文结构**
本文的其余部分组织如下：第2节介绍相关工作，第3节提出数学模型和问题表述。第4节提出适用于5G边缘计算网络的抗干扰FL算法。第5节通过详细讨论仿真结果来验证所提方法的性能，第6节对本文进行了总结。

**2. 相关工作**
近年来，联邦学习（FL）在无线和边缘计算网络中受到了关注，主要用于协作式训练，同时关注增强用户数据隐私。文献[11]提出了联邦平均算法，已成为大规模FL部署的基础，通过迭代模型平均实现去中心化优化。在此基础上，文献[12]提出了安全聚合协议，以在全局模型聚合过程中保护客户端更新的隐私。虽然这些机制提高了通信效率和基本隐私保护，但它们仍然容易受到对抗性威胁。Bagdasaryan等人[13]展示了恶意客户端如何在未被检测的情况下在全球模型中植入后门触发器，而文献[14]调查了降低模型收敛性的中毒攻击。这些研究揭示了传统FL在恶意影响下的脆弱性。为了缓解这些脆弱性，提出了各种隐私保护算法。文献[15]应用差分隐私来掩盖客户端更新，文献[12]提出了安全聚合协议来防御推断攻击。文献[16]中的同态加密机制也提供了强大的隐私保护，但由于加密、解密和密文扩展等操作，通常伴随着较大的计算和通信开销，这限制了其在资源受限边缘设备中的实际可行性。因此，人们对不依赖于加密操作的替代鲁棒性机制越来越感兴趣。在这种情况下，基于对抗性训练的机制在保持轻量级模型表示的同时，仅增加了相对较小的计算开销，更适合需要对抗恶意干扰的边缘部署，而不会产生高昂的隐私保护成本。尽管取得了这些进展，传统的以隐私为中心的方法在面对复杂的对抗性攻击时仍然不足，因为噪声添加或加密通常会以牺牲准确性和效率为代价来保护隐私[5][6]。

与此同时，物联网（IoT）和5G网络中的网络威胁检测挑战也得到了积极探索，使用了先进的混合深度学习模型。相关工作[17]提出了一种优化后的自动编码器（AE），结合门控循环单元（GRU）和Honey Badger算法（HBA）框架，在资源受限和异构网络条件下提高了检测准确性。这类研究为混合学习框架如何在异构和资源受限的IoT环境中有效应对不断变化的网络威胁奠定了重要的学术基础，从而激发了下一代边缘网络中对更强大和适应性学习方法的需求。因此，抗干扰鲁棒的FL成为了一种补充性的防御方向。文献[18]揭示了FL对推断攻击的脆弱性，并考虑了对抗性训练作为对策。文献[19]提出了一种基于决策边界的对抗性训练算法，显著提高了FL模型对干扰的鲁棒性。此外，Nguyen等人[20]对后门攻击及其防御进行了系统调查，指出了联邦网络中威胁的演变趋势。这些工作强调了除了隐私之外，鲁棒性的需求也在增长，多项研究将这些理念扩展到了无线和边缘网络环境中。文献[2]研究了基于FL的5G网络管理，而文献[4]提出了将区块链与FL集成以增强去中心化训练的信任。Nowroozi等人[3]探讨了计算机网络中的中毒攻击漏洞，Feng等人[5]广泛调查了FL中的安全威胁。文献[8]通过最小-最大对抗性训练示例展示了入侵检测的应用研究，强调了对抗性优化在实际网络安全中的作用。在这些进展的基础上，对抗性优化已成为实现隐私、鲁棒性和计算效率平衡的强大策略。我们之前的工作[9]提出了适用于5G边缘计算网络的联合分类器-对手模型，并在5G-NIDD数据集上进行了验证。受这些工作的启发，本文通过引入结合特征选择的统一框架，进一步推进了抗干扰FL的发展。

**3. 系统模型和问题表述**
本节介绍了在对抗性环境下5G边缘计算网络中FL的系统模型和问题表述。该模型被构建为一个最小-最大优化问题，每个客户端同时训练分类器模型和本地对手模型。分类器旨在最小化分类损失，而对手则通过生成更强的干扰来最大化该损失，从而增强对抗性攻击的鲁棒性。该框架通过联邦聚合分类器和对手参数，实现了全局鲁棒知识的共享。这确保了在去中心化和非独立同分布（non-IID）环境中的鲁棒性。所考虑的联邦系统包括总共C个异构客户端，其中每个客户端c∈{1,2,?,C}持有本地数据集，表示为：(1)Dc={(xi(c),yi(c))}i=1nc，其中；Dc?Rd×{1,…,K}，nc是客户端c的总数据样本数。xi(c)∈Rd表示客户端c的第i个特征向量，d表示特征维度，yi(c)∈{1,…,K}是客户端c的第i个数据样本的类别标签，K表示总类别数。全局数据集表示为：(2)D=?c=1CDc，总数据样本数为N=∑c=1Cnc。在所考虑的系统模型中，不同客户端的数据集是异构的（非独立同分布）。每个客户端维护一个由θc参数化的分类器。对于输入x∈Rd，分类器输出一个关于K个类别的概率分布：(3)f(x;θc)=softmax(Wh(x;θc))，其中；f(x;θc)∈RK，h(·)表示特征表示，W表示最终的仿射层。由于分类器输出是由softmax层产生的，它满足以下条件：(4a)fk(x;θc)≥0，?k∈{1,?,K}，(4b)∑k=1Kfk(x;θc)=1。约束4a-4b确保分类器输出形成一个有效概率分布，其中每个组件都是非负的，并且所有类别概率之和为一。这里，fk(x; θc)表示分配给类别k的预测概率。对于标记对(x, y)，交叉熵损失为：(5)l(f(x;θc),y)=?logfy(x;θc)，其中；fy(x; θc)是分配给真实类别y的概率。这等同于负对数似然（NLL），因此最小化交叉熵相当于最大化正确分类的似然。每个客户端的基本目标是最小化其本地数据分布上的预期交叉熵损失：(6)minθcE(x,y)～Dc[l(f(x;θc),y)]。为了提高鲁棒性，每个客户端还配备了一个由σc参数化的可训练对抗生成器，它产生的扰动δσ在l∞-范数范围内有界：(7)∥δσ∥∞≤?，其中；?>0是控制每个特征维度允许的最大偏差的扰动预算。相应的生成的对抗示例定义为：(8)xσ=x+δσ。基于扰动输入，对抗损失给出为：(9)ladv(x,y;θc,σc)=?logfy(xσ;θc)。总体而言，本地损失结合了干净损失和对抗损失项，λ∈[0, 1]控制未受扰动数据上的准确性和对抗扰动鲁棒性之间的权衡。具体来说，预期的本地损失为：(10)Lc(θc,σc)=E(x,y)～Dc[(1?λ)l(f(x;θc),y)+λladv(x,y;θc,σc)]。然后，鲁棒的本地训练问题被表述为以下min–max优化问题：(11)minθcmaxσcLc(θc,σc)。所制定的min-max问题遵循集中式和联邦学习中常用的标准对抗训练模型，以实现对抗扰动的实证鲁棒性。这项工作关注系统级设计和在非独立同分布数据分布下的实证验证，而不是推导结果非凸对抗优化问题的形式收敛保证。为了稳定训练，在本地层面采用了梯度裁剪。具体来说，分类器梯度和对抗梯度的l2范数被限制为：(12a)∥?θcl(f(x;θc),y)∥2≤Gmax，(12b)∥?σcladv(x,y;θc,σc)∥2≤Gmax(adv)，其中；Gmax和Gmax(adv)是预先定义的梯度裁剪阈值。每当梯度超过其相应阈值时，它会被重新缩放到等于阈值的范数。这个约束确保了稳定的更新，并防止在本地对抗优化过程中梯度爆炸。在每个通信轮t结束时，服务器使用与数据集大小成比例的加权平均来聚合客户端更新：(13a)θt+1=∑c=1CncNθct+1，(13b)σt+1=∑c=1CncNσct+1，其中；方程13a对应于分类器参数的全局聚合，而方程13b表示对抗参数的聚合。θct+1和σct+1表示客户端更新的参数，而θt+1和σt+1表示全局参数。因此，本地模型是适应客户端数据的全局参数的实例，通过聚合重新同步。这些全局更新共同确保预测知识和鲁棒性知识在客户端之间共享。这种联合聚合加强了全局模型并提高了其对对抗扰动的防御能力。整个联邦问题在数学上被表述为以下min-max优化问题：(14a)minθmaxσ∑c=1CncNE(x,y)～Dc[(1?λ)l(f(x;θc),y)+λladv(x,y;θc,σc)]，受限于：(14b)fk(x;θc)≥0，?k∈{1,?,K}，(14c)∑k=1Kfk(x;θc)=1，(14d)∥δσ∥∞≤?，(14e)∥?θcl(f(x;θc),y)∥2≤Gmax，(14f)∥?σcladv(x,y;θc)∥2≤Gmax(adv)。所制定问题的目标是在最小化预期分类损失的同时，最大化对对抗扰动的鲁棒性，从而在联邦设置中平衡准确性和防御性。约束14b和约束14c确保分类器输出有效的概率分布，约束14d保证对抗扰动在半径为?的l∞球内。约束14e和14f通过在本地更新期间限制梯度范数来稳定优化。4. 提出的对抗鲁棒联邦学习方法本节介绍了用于保护5G边缘计算网络的提出的对抗鲁棒FL框架。该部分提供了所提出方法的详细工作流程，包括数据集预处理，然后在联邦设置下联合优化分类器和对抗模型的训练阶段，以及测试阶段。所提出框架的整个工作流程如图1所示。在数据集预处理阶段进行混合特征选择，以获得一个减少且信息丰富的特征集，而算法1总结了在处理过的数据集上进行的后续训练阶段。下载：下载高分辨率图像（815KB）下载：下载全尺寸图像图1. 提出的对抗鲁棒FL模型概述，用于保护5G边缘计算网络。下载：下载高分辨率图像（213KB）下载：下载全尺寸图像算法1. 提出的对抗鲁棒联邦学习模型的训练。4.1. 数据集预处理原始数据集D={(xi,yi)}i=1N，其中xi∈Rd表示样本i的d维特征向量，yi∈{1,…,K}是其类别标签。数据集可能包含冗余数据样本、不相关的特征列和特征向量中的缺失值。在联邦对抗训练之前需要解决这些问题，以确保学习过程的可靠性和鲁棒性。为此，数据预处理首先通过识别和移除重复样本来确保一致性，然后排除具有过多缺失特征值的特征列以消除冗余。这是因为这些特征作为非预测性标识符。之后，对于具有可接受数量缺失值的特征向量，通过考虑分布意识的插补来处理这些值。对于每个特征维度j∈{1,…,d}，计算偏度γ1(xj)和峰度γ2(xj)：(15)γ1(xj)=E[(xj?μj)3]γj3，γ2(xj)=E[(xj?μj)4]γj4?3，其中；μj表示均值，γj表示特征xj的标准差。如果(γ1(xj), γ2(xj))表明近似正态性，则用均值μj插补缺失特征值；否则，使用中位数进行插补。这种插补规则正式表示为：(16)xij←{μj；如果xj近似正态，则xij←median(xj)；如果xj偏斜，则xij←median(xj)。对于分类特征，使用众数插补：(17)xij←mode(xj)。此外，通过one-hot编码对分类特征进行编码，以产生与学习算法兼容的数值表示。为了进一步减少特征之间的冗余，使用皮尔逊相关性去除高度相关的维度。对于两个特征xj和xm，相关系数为：(18)ρ(xj,xm)=cov(xj,xm)γjγm。如果max?m?≠?j|ρ(xj, xm)|?>?τ，则丢弃特征向量xj，其中；τ是预先定义的阈值。这一步防止了可能扭曲分类器训练和对抗扰动生成的多重共线性。然后，处理过的特征受到混合特征选择策略的约束，旨在最大化区分能力，同时保持对对抗优化的鲁棒性。所提出的特征选择机制被称为混合的，因为它明确结合了基于过滤的机制和嵌入式方法。在所考虑的混合特征选择方法中，ANOVA F检验作为基于过滤的方法，独立于学习模型评估特征的统计相关性，而随机森林重要性代表在模型训练期间获得特征相关性的嵌入式方法。这种特征选择方法的组合使得能够选择在模型中既具有统计区分性又具有预测性的特征，从而证明了其混合名称的合理性。首先，基于ANOVA F检验进行单变量过滤，为每个特征xj分配一个分数：(19)Fj=between-classvarianceofxjwithin-classvarianceofxj。这量化了xj相对于类别标签的区分能力。第二种是基于模型的选择方法，使用随机森林重要性，其中特征xj的预测重要性分数定义为：(20)I(xj)=1|T|∑t∈TΔlj,t，T表示决策树的集合，Δlj,t表示特征xj在树t中贡献的不纯度减少。最终特征集是通过两种方法中排名靠前的特征的交集获得的，同时确保通过过滤方法ANOVA的统计相关性和通过嵌入式方法随机森林的预测强度。这种混合特征选择技术结合了过滤方法的鲁棒性和可解释性以及嵌入式方法捕捉非线性依赖性和特征交互的能力。这样的双重方法被广泛报道可以提高高维数据集的泛化性能[21]。最终处理过的数据集表示为D?={(x?i,yi)}i=1N?，其中；x?i∈Rd?且d?考虑一个测试集{(x?i,yi)}i=1N?test，令y^iclean=fθT(x?i)表示干净预测，y^iadv=fθT(x?σi)表示对抗性预测。那么，ASR的计算公式为：(30)ASR=∑i=1N?test1[y^iclean=yi∧y^iadv≠yi]∑i=1N?test1[y^iclean=yi]×100%，其中1[·]表示指示函数。这个指标通过关注最初被正确分类的样本，突出了模型对对抗性数据的脆弱性。除了准确性和ASR之外，还计算了其他性能指标，包括精确度、召回率、F1分数、FLOPs、模型大小和周转延迟，以全面观察鲁棒性、效率和可扩展性之间的权衡。此外，还考虑了不同的扰动强度来进行这些评估，以检验模型性能在对抗性强度增加时的鲁棒性。

5. 性能评估
本节介绍了在5G边缘计算网络中提出的ARFL框架的性能评估。所有模拟都是使用TensorFlow和Scikit-Learn库在配备NVIDIA Tesla T4 GPU和高内存配置的Google Compute Engine上进行的，以确保深度学习算法的顺利执行。本节进一步介绍了评估过程，包括所使用的数据集的详细描述、数据集预处理以及所提出的ARFL模型的实现细节。系统地分析了实验结果，以评估所提出模型在各种数据异质性和对抗性扰动下的准确性、鲁棒性和计算效率。

5.1. 数据集描述与预处理
所提出的ARFL模型的性能是使用5G-NIDD数据集[10]进行评估的，这是一个为5G网络定制的基准入侵检测数据集。总体而言，该数据集包含1,215,890个标记的数据样本，其中包括良性样本和多种攻击类型，代表了图2中展示的现实网络流量模式。更具体地说，数据集包括477,737个良性数据样本和八种独特的攻击类型，分别是457,340个UDP Flood样本、140,812个HTTP Flood数据点、73,124个Slowrate DoS实例、20,052个TCP Connect Scan条目、20,043个SYN Scan样本、15,906个UDP Scan样本、9,721个SYN Flood实例和1,155个ICMP Flood数据点。这种多样化的数据分布确保了所考虑的数据集充分反映了良性数据流量和恶意数据流量共存的真实世界场景。这种组成使得能够全面测试所提出的ARFL模型在异构和动态的5G边缘网络中检测和缓解各种对抗性威胁的能力。

5.2. 对抗性鲁棒联邦学习模型的实现
为了确保计算可行性，同时保持图2中显示的原始5G-NIDD数据集的表示，使用分层抽样方法将预处理后的5G-NIDD数据集随机抽样为400,000个数据样本。这种方法保留了原始的类别分布，从而能够在多数类和少数类之间进行公平的评估。抽样数据的类别分布如图4所示。之后，将标记的数据集分为训练集和测试集，保留80:20的比例，并应用分层抽样以保持训练集和测试集中的类别比例。这种划分确保测试集能够代表数据集的完整类别组成，从而为性能评估提供可靠的基础。

在提出的FL设置中，预处理后的5G-NIDD训练数据集根据实验配置分发给参与客户端，考虑到在IID数据分布设置下进行的初始基线评估，以确保平衡的本地训练。所提出的机制集成了一个分类器模型和一个对抗模型，它们共同训练以提高对抗对抗性威胁的鲁棒性。分类器模型实现为一个密集神经网络，输入层的维度与选定的特征集对齐，随后是三个全连接隐藏层，分别包含128、64和32个神经元。每个全连接层使用了ReLU激活函数，并在前两个隐藏层之后考虑了0.2的dropout率以防止过拟合，而输出层使用softmax激活函数进行多类预测。对抗模型使用FGSM方法设计，通过计算相对于输入的损失梯度并应用0.01?0.21范围内的扰动值来生成对抗性扰动。这些扰动根据分类器模型的更新进行迭代精细化，以产生越来越具有挑战性的对抗性示例。这种迭代互动迫使分类器不断适应，同时增强其对不同强度对抗性攻击的抵抗力。联邦训练是这样进行的：每个客户端每个全局轮次进行2个时代的本地训练，使用128的小批量大小，并且全局模型在40个通信轮次中通过加权平均更新。此外，分类器模型使用学习率为0.001的Adam进行优化，而对抗模型使用学习率为0.0005的Adam进行优化。所提出模型的性能使用准确性、精确度和F1分数来评估干净输入的情况，而对抗性准确性则是在对抗模型生成的具有不同扰动强度的对抗性示例上测量的。这确保了所提出模型不仅在正常条件下的预测能力，也在异构对抗性联邦环境中的鲁棒性得到了评估。

实验设置之后，考虑了测试数据和对抗性测试数据来评估带有对抗性优化模型的训练FL。图5提供了在两个数据集上提出的ARFL模型的收敛性分析；一个数据集包含所有特征，另一个数据集包含选定的特征，同时考虑了干净测试数据和对抗性测试数据。为了确保公平比较，两个数据集都是在联邦学习设置中的8个客户端中使用IID数据分布，在相同条件下进行训练的。从图5可以看出，所提出模型的整体性能没有受到影响，因为全局测试准确性在整个40个通信轮次中始终保持较高。此外，所提出方法的测试损失在整个训练过程中非常低，这表明了其增强的学习能力和更大的稳定性。例如，在所有特征的数据集中，干净和对抗性准确性从第1轮的86.58%和86.24%分别提高到第40轮的97.38%和96.86%；而在选定的特征数据集中，从第1轮的81.03%和80.97%分别提高到第40轮的97.34%和96.72%。因此，所有特征数据集的干净和对抗性损失值从0.755和0.759分别降低到0.055和0.063，而选定特征数据集从0.901和0.903降低到0.056和0.066。这些结果证实了通过特征选择进行维度缩减在保持对抗性扰动时的收敛速度和达到的准确性方面是有效的。

在收敛性分析之后，通过比较包含所有特征的数据集和包含选定特征的数据集训练的模型的鲁棒性进一步进行了检验。使用包含所有特征的数据集和包含选定特征的数据集训练的模型分别用干净测试数据和具有不同扰动强度（包括0.05、0.1、0.15、0.2、0.25和0.3）的对抗性测试数据进行了测试。评估的参数包括准确性、精确度和F1分数，如表1所示。观察到在较低扰动强度下，两个数据集的性能始终保持较高，并且随着扰动强度的增加而逐渐下降。可以看出，即使在最大扰动强度?=0.3的情况下，准确性也从所有特征数据集的97.39%略微下降到95.90%，从选定特征数据集的97.34%下降到95.57%。总的来说，两种配置之间的性能差距在所有评估指标上保持在0.4%以内。这种性能的紧密对齐表明，选定的特征保留了对抗性鲁棒性，这证实了特征选择阶段没有损害所提出模型的鲁棒性。

为了进一步研究对抗性扰动在类别层面的影响，我们评估了所提出框架在完整特征数据集和选定特征数据集上的分类别测试准确性。表2显示了在不同扰动强度下的类别别准确性分析。总体准确性比较显示，大多数类别在扰动强度增加时仍然保持高鲁棒性，只是有轻微的下降。例如，良性类别的准确性从所有特征数据集的95.54%适度下降到94.34%，从选定特征数据集的95.40%下降到94.21%。同样，HTTPFlood攻击类别的准确性从99.62%下降到98.29%，从99.48%下降到97.54%。包括TCPConnectScan和UDPScan在内的类别在不同扰动强度下保持异常稳定，即使是在扰动值0.3时 anche 仅减少了不到0.15%的点。相比之下，像ICMPFlood和SYNFlood这样的少数类别在?=0.3时经历了显著的准确性下降。更具体地说，SynFlood的准确性在更强扰动0.3时急剧下降，所有特征数据集降到了84.69%，选定特征数据集降到了91.56%。这表明特征选择有助于提高该类别对抗对抗性噪声的鲁棒性。同样，ICMPFlood在两个数据集上的准确率都保持了100%，直到ε=0.25。然而，当扰动值为0.3时，所选特征数据集的准确率显著下降到30.26%。这主要是由于它们的数据样本数量有限、相对扰动效应较强以及在联邦设置中参与的客户端较少，导致学习到的表示多样性降低。表2显示了使用包含所有特征和仅使用所选特征的数据集训练的提议模型的类别别测试准确率（%）比较。

测试数据
Clean
ε=0.05
ε=0.10
ε=0.15
ε=0.20
ε=0.25
ε=0.30
类别
全部
选中的特征
全部
选中的特征
全部
选中的特征
全部
选中的特征
全部
选中的特征
全部
选中的特征
Benign
95.54
95.49
95.31
95.16
95.12
94.97
94.94
94.79
94.75
94.58
94.59
94.39
94.34
94.21
HTTPFlood
99.62
99.48
99.43
99.19
99.23
98.93
99.04
98.63
98.89
8.29
98.58
97.93
98.29
97.54
ICMPFlood
100
100
100
100
100
100
100
100
100
100
100
100
30.26
SYNFlood
100
100
100
100
100
100
100
100
100
100
99.84
84.69
91.56
SYNScan
99.85
99.85
99.77
99.77
99.77
99.77
99.77
99.77
99.55
99.77
99.55
SlowrateDoS
98.73
98.11
98.48
97.78
98.19
97.36
97.82
96.92
97.55
96.45
97.19
95.64
96.99
5.12
TCPConnectScan
99.62
99.32
99.62
99.32
99.62
99.32
99.62
99.32
99.62
99.32
99.55
99.32
99.47
UDPFlood
98.06
98.25
97.69
97.71
97.32
97.34
97.13
97.11
96.98
96.58
96.77
96.35
96.41
96.22

除了评估所提模型在包含所有特征和仅使用所选特征的数据集上的鲁棒性和准确性外，还从模型大小、通信开销和每次推理的计算成本方面评估了该框架的效率。使用所选特征的数据集使得分类器的模型大小从0.07 MB减少到了0.05 MB，对手模型的大小从0.03 MB减少到了0.01 MB，总通信开销从26.20 MB降低到了16.89 MB，每次推理的浮点运算次数（FLOPs）从19,332次减少到了12,548次。这些改进表明，特征选择不仅保持了对抗攻击的竞争力，还提高了FL框架的通信和计算效率，使其更适合在资源受限的5G边缘设备上部署。

为了进一步研究所提算法在异构数据分布下的性能，我们使用了包含8个参与客户端的所选特征数据集进行了实验。我们考虑了五种不同的非独立同分布（non-IID）数据分布情景：(i) 固定分割；每个客户端包含一个攻击类别的数据和良性数据样本；(ii) α=0.1的Dirichlet分布；代表高度非独立同分布的情况；(iii) α=0.5的Dirichlet分布；代表中度非独立同分布的情况；(iv) α=1.0的Dirichlet分布；接近独立同分布的情况；(v) 数据量不对称；所有客户端接收来自所有类别的数据样本，但数量不同。将实验结果与相同设置下的标准FL框架的结果进行了比较。所考虑的基准标准FL模型受到[22]中作者提出的方法的启发，该方法使用浅层人工神经网络（ANN）在标准聚合机制下进行训练，用于物联网入侵检测。在我们的设置中，我们使用5G-NIDD数据集中的非独立同分布数据分区在多个客户端上训练了一个密集的神经网络模型，模拟了真实的分布式网络条件。标准FL模型实现了稳定的收敛性和有竞争力的检测准确性，这验证了联邦平均作为评估我们提出的安全FL框架引入的性能提升的可靠基准。图6显示了在各种扰动强度下，所提模型和标准FL模型在干净测试数据和攻击性测试数据上的测试准确性比较，其中所提模型的准确性绘制在主要y轴上，而使用标准FL模型获得的测试准确性显示在次要y轴上。从图6可以看出，所提方法在所有分布下都实现了持续的高准确性。例如，在固定分割情况下，它实现了93.91%的准确性，在数据量不对称情况下实现了96.45%的准确性，这与使用标准FL实现的94.61%和97.05%的准确性相当。此外，该框架在所有非独立同分布配置下都一致性地优于标准FL模型，特别是在较强的对抗性扰动下。例如，在固定分割情况下，所提模型的准确性保持在92.70%之间，在数据量不对称情况下保持在94.43%之间，而标准FL在固定分割情况下的准确性显著下降到57.56%，在数据量不对称情况下下降到26.48%。此外，在α=0.1的高度非独立同分布情况下，所提框架的准确性保持了93.79%，而标准FL模型的准确性仅为42.11%，这突显了其对数据异质性和对抗性噪声的抵抗力。总体而言，与FL模型相比，所提机制的准确性提高了多达67个百分点。

除了评估所提模型在包含所有特征和仅使用所选特征的数据集上的鲁棒性和准确性外，还从模型大小、通信开销和每次推理的计算成本方面评估了该框架的效率。使用所选特征的数据集，分类器模型的大小从0.07 MB减少到了0.05 MB，对手模型的大小从0.03 MB减少到了0.01 MB，总通信开销从26.20 MB减少到了16.89 MB，每次推理的浮点运算次数（FLOPs）从19,332次减少到了12,548次。这些改进表明，特征选择不仅保持了对抗攻击的竞争力，还提高了FL框架的通信和计算效率，使其更适合在资源受限的5G边缘设备上部署。

为了进一步研究所提算法在异构数据分布下的性能，我们使用了包含8个参与客户端的所选特征数据集进行了实验。我们考虑了五种不同的非独立同分布（non-IID）数据分布情景：(i) 固定分割；每个客户端包含一个攻击类别的数据和良性数据样本；(ii) α=0.1的Dirichlet分布；代表高度非独立同分布的情况；(iii) α=0.5的Dirichlet分布；代表中度非独立同分布的情况；(iv) α=1.0的Dirichlet分布；接近独立同分布的情况；(v) 数据量不对称；所有客户端接收来自所有类别的数据样本，但数量不同。将实验结果与相同设置下的标准FL框架的结果进行了比较。所考虑的基准标准FL模型受到了[22]中作者提出的方法的启发，该方法使用基于标准聚合机制的浅层人工神经网络（ANN）进行训练，用于物联网入侵检测。在我们的设置中，我们使用5G-NIDD数据集中的非独立同分布数据分区在多个客户端上训练了一个密集的神经网络模型，模拟了真实的分布式网络条件。标准FL模型实现了稳定的收敛性和有竞争力的检测准确性，这验证了联邦平均作为评估我们提出的安全FL框架引入的性能提升的可靠基准。图6显示了在各种扰动强度下，所提模型和标准FL模型在干净测试数据和攻击性测试数据上的测试准确性比较，其中所提模型的准确性绘制在主要y轴上，使用标准FL模型获得的测试准确性绘制在次要y轴上。从图6可以看出，所提方法在所有分布下的原始干净测试数据上都实现了持续的高准确性。例如，在固定分割情况下，它实现了93.91%的准确性，在数据量不对称情况下实现了96.45%的准确性，这与使用标准FL实现的94.61%和97.05%的准确性相当。此外，所提框架在所有非独立同分布配置下都一致性地优于标准FL模型，特别是在较强的对抗性扰动下。例如，在固定分割情况下，所提模型的准确性保持在92.70%之间，在数据量不对称情况下保持在94.43%之间，而标准FL在固定分割情况下的准确性显著下降到57.56%，在数据量不对称情况下下降到26.48%。此外，在α=0.1的高度非独立同分布情况下，所提框架的准确性保持了93.79%，而标准FL模型的准确性仅为42.11%，这突显了其对数据异质性和对抗性噪声的抵抗力。总体而言，与FL模型相比，所提机制的准确性提高了多达67个百分点。

图6. 在各种非独立同分布设置下，所提模型和标准FL模型的测试准确性比较。

在测试准确性评估之后，图7使用攻击成功率（ASR）指标展示了所提框架和标准FL框架的鲁棒性，在相同的实验设置下。值得注意的是，所提模型在所有非独立同分布和各种扰动强度下都保持了显著的低ASR。相反，标准FL模型随着扰动强度的增加而显示出ASR的急剧上升。值得注意的是，在ε=0.3时，所提模型在固定分割数据分布下的ASR值仅为1.29%，而在α=1.0的Dirichlet分布下的ASR值为2.21%，而标准FL在同一设置下的ASR值分别为39.16%和68.11%。所提框架在所有情况下都一致地降低了ASR，其中在最具挑战性的ε=0.3和数据量不对称分布的情况下，ASR下降了70.6个百分点。这些结果表明，所提框架不仅在独立同分布数据下保持了高性能，而且在极端非独立同分布情况下也表现出很强的鲁棒性，而标准FL在面对这种挑战时准确性严重下降。

图7. 在各种非独立同分布设置下，所提模型和标准FL模型的ASR比较。

为了进一步评估所提模型和标准FL模型在不同非独立同分布数据下的相对性能，我们在原始测试数据和带有扰动的攻击性测试数据上计算了精确度、召回率和F1分数，扰动强度分别为ε=0.1、0.2和0.3，如表3所示。值得注意的是，随着扰动强度的增加，所提机制在所有分布和指标上的性能都一致性地优于标准FL模型。更具体地说，在α=0.1的高度非独立同分布数据分布下，ε=0.3时，所提算法的精确度为94.16%，而标准FL的精确度为44.44%，相差约50个百分点。同样，召回率提高了51个百分点以上，所提方法为93.79%，而标准FL为42.11%；F1分数提高了52个百分点以上，所提模型为93.72%，标准FL为41.14%。在ε=0.3的具有挑战性的数据量不对称分布情况下，所提方法的精确度为94.34%，召回率为94.43%，F1分数为94.38%，远超标准FL的相应值17.67%、26.48%和20.27%。这些结果表明，所提框架在保持强性能的同时，在各种非独立同分布和扰动强度下也表现出很强的鲁棒性。

图8. 在各种非独立同分布设置下，所提模型和标准FL模型的精确度-召回率（PR）比较。

在测试准确性评估之后，图7使用攻击成功率（ASR）指标展示了所提框架和标准FL框架的鲁棒性。值得注意的是，所提模型在所有非独立同分布和各种扰动强度下都保持了显著的低ASR。相反，标准FL模型在所有非独立同分布数据分布情况下的ASR随着扰动强度的增加而急剧上升。值得注意的是，在ε=0.3时，所提模型在固定分割数据分布下的ASR值为1.29%，而在α=1.0的Dirichlet分布下的ASR值为2.21%，而标准FL在相同设置下的ASR值分别为39.16%和68.11%。所提框架在所有情况下都一致地降低了ASR，其中在最具挑战性的ε=0.3和数据量不对称分布情况下的降幅最大，为70.6个百分点。这些结果表明，所提框架不仅在独立同分布数据下保持了高性能，而且在极端非独立同分布情况下也表现出很强的鲁棒性。

图8. 在各种非独立同分布设置下，所提模型和标准FL模型的精确度-召回率（PR）比较。

为了进一步评估所提模型和标准FL模型在不同非独立同分布数据下的相对性能，我们在原始测试数据和带有扰动的攻击性测试数据上计算了精确度、召回率和F1分数，扰动强度分别为ε=0.1、0.2和0.3，如表3所示。值得注意的是，随着扰动强度的增加，所提机制在所有分布和指标上的性能都一致性地优于标准FL模型。更具体地说，在α=0.1的高度非独立同分布数据分布下，ε=0.3时，所提算法的精确度为94.16%，而标准FL的精确度为44.44%，相差约50个百分点。同样，召回率提高了51个百分点以上，所提方法为93.79%，而标准FL为42.11%；F1分数提高了52个百分点以上，所提模型为93.72%，标准FL为41.14%。在ε=0.3的具有挑战性的数据量不对称分布情况下，所提方法的精确度为94.34%，召回率为94.43%，F1分数为94.38%，远超标准FL的相应值17.67%、26.48%和20.27%。这些结果表明，所提框架在保持强性能的同时，在各种非独立同分布和扰动强度下也表现出很强的鲁棒性。

表3. 在各种非独立同分布设置下，所提模型和标准FL模型的性能比较。

性能参数
非独立同分布
算法
原始
ε=0.1
ε=0.2
ε=0.3
精确度
固定分割
所提模型
94.41
94.19
3.76
93.41
标准FL
94.97
86.92
77.02
59.05
Dirichlet α=0.1
所提模型
95.15
94.89
94.57
94.16
标准FL
96.33
84.59
70.02
44.44
Dirichlet α=0.5
所提模型
95.62
94.99
94.59
3.93
标准FL
96.67
81.62
48.81
23.83
Dirichlet α=1.0
所提模型
96.33
95.54
94.89
94.11
标准FL
97.25
71.43
4.56
21.13
数据量不对称
所提模型
96.36
95.75
95.03
94.34
标准FL
97.12
77.99
29.35
17.67
召回率
固定分割
所提模型
93.91
93.54
93.13
92.7
标准FL
94.61
85.41
74.65
7.56
Dirichlet α=0.1
所提模型
94.85
94.56
94.23
93.79
标准FL
96.17
83.66
68.34
2.11
Dirichlet α=0.5
所提模型
95.65
95.01
94.52
93.94
标准FL
96.73
81.25
0.02
32.55
Dirichlet α=1.0
所提模型
96.32
95.62
94.97
94.19
标准FL
97.15
67.01
40.03
30.98
数据量不对称
所提模型
96.4在安全敏感的5G边缘应用中，如入侵检测，即使在攻击存在的情况下，保持模型性能的可靠性也比训练延迟的轻微减少要重要得多。在对各种非独立同分布（non-IID）情况、对抗性攻击方法和聚合机制进行了鲁棒性分析之后，我们扩展了评估范围，以检验所提出机制的可扩展性。在本次评估中，我们在α=0.1的高度非独立同分布的狄利克雷数据分布下，使用FedAvg聚合机制考虑了基于FGSM的扰动。实验使用了不同数量的参与客户端（分别为10、20、30、40和50个）来确定客户端参与对所提出模型性能的影响。图11展示了在不同扰动强度?=0.05:0.05:0.3下的纯净和对抗性测试准确率。结果表明，增加客户端数量一致性地提高了模型性能，其中在10个客户端时的纯净准确率从94.51%提升到50个客户端时的95.72%。另一方面，即使在最高的扰动水平0.3下，准确率下降也保持在可接受范围内，从10个客户端时的93.37%提升到50个客户端时的94.67%。这一趋势突显了所提出模型的可扩展性，即更多的客户端参与能够增强模型的泛化和鲁棒性，即使在高度非独立同分布的环境中也是如此。下载：下载高分辨率图像（283KB）下载：下载全尺寸图像

图11. 所提出模型在不同客户端数量下的测试准确率比较。

为了进一步评估所提算法的可扩展性，表4提供了在狄利克雷分布α=0.1的纯净和不同对抗性测试条件下，各种客户端数量下的精度、召回率和F1分数的评估结果。结果显示，随着参与客户端数量的增加，这三个指标都表现出一致的上升趋势，这证实了客户端多样性对泛化和平衡性能都有积极影响。例如，在纯净测试数据下，精度从10个客户端时的94.90%提升到50个客户端时的96.10%，召回率从94.51%提升到95.72%，F1分数从94.44%提升到95.71%。此外，即使在扰动强度?=0.3的情况下，模型也保持了高性能，10个客户端的精度、召回率和F1分数分别为93.91%、93.37%和93.30%，而50个客户端的精度、召回率和F1分数分别为95.04%、94.67%和94.65%。这一比较进一步验证了所提模型在高度非独立同分布的联邦学习环境中的可扩展性和鲁棒性。

表4. 所提模型在不同客户端数量下的性能比较。

客户端数量 | 指标 | 原始值 | ?=0.05 | ?=0.10 | ?=0.15 | ?=0.20 | ?=0.25 | ?=0.30
|------------|---------|--------|--------|--------|--------|--------|--------|
| | 精度（%） | 94.89 | 94.74 | 94.57 | 94.42 | 94.24 | 94.07 |
| | 召回率（%） | 94.50 | 94.32 | 94.12 | 93.95 | 93.73 | 93.54 |
| | F1分数（%） | 94.44 | 94.25 | 94.05 | 93.88 | 93.66 | 93.47 |
| | 精度（%） | 95.65 | 95.50 | 84.95 | 88.95 | 94.87 | 94.69 |
| | 召回率（%） | 95.25 | 75 | 94.87 | 88 | 94.71 | 50 | 94.53 |
| | F1分数（%） | 95.23 | 95.07 | 67 | 94.81 | 94.65 | 94.27 |
| | 精度（%） | 95.91 | 99 | 95.74 | 50 | 95.53 | 88 | 94.82 |
| | 召回率（%） | 95.72 | 25 | 95.59 | 37 | 95.20 | 50 | 94.85 |
| | F1分数（%） | 95.55 | 99 | 95.36 | 87 | 94.81 | 94.43 |
| | 精度（%） | 96.07 | 93 | 95.92 | 23 | 95.73 | 95.59 | 93 |
| | 召回率（%） | 95.70 | 63 | 95.54 | 50 | 95.00 | 25 | 94.85 |
| | F1分数（%） | 95.70 | 67 | 95.57 | 73 | 94.41 | 94.23 |
| | 精度（%） | 95.91 | 99 | 95.74 | 50 | 95.53 | 88 | 94.82 |
| | 召回率（%） | 95.56 | 88 | 95.38 | 62 | 95.17 | 62 |
| | F1分数（%） | 95.70 | 67 | 95.57 | 73 | 94.41 | 94.25 |
| | 精度（%） | 95.91 | 99 | 95.74 | 50 | 95.53 | 88 | 94.49 |
| | 召回率（%） | 95.56 | 88 | 95.38 | 62 | 95.17 | 62 | 95.04 |
| | F1分数（%） | 95.70 | 67 | 95.57 | 73 | 94.41 | 94.25 |

图12提供了混淆矩阵，进一步证明了所提出的对抗性增强型FL模型在类别级别上的可扩展性。图12a和图12b分别展示了在10个和50个客户端情况下，纯净测试条件和考虑扰动强度0.1的对抗性测试条件下的类别性能。在图12a中，我们观察到10个客户端的所提模型对SYNFlood和UDPFlood存在明显的误分类现象，而ICMPFLood在纯净和对抗性测试中的分类率为0%。这主要是由于5G-NIDD数据集中ICMPFlood样本数量有限，导致模型在数据仅分配给少数客户端时无法建立可靠的决策边界。洪水攻击类别之间的额外错误是由于统计特征的重叠，在对抗性扰动下加剧了混淆。相比之下，图12b显示，50个客户端的所提模型能够完全识别ICMPFlood攻击类别，总体误分类减少了。这种改进归因于数据异质性的增加以及跨客户端对少数类别的更广泛表示，使全局模型能够更好地泛化。这些观察结果证实，增加客户端数量可以通过减轻数据集引起的类别不平衡和特征重叠来增强模型的泛化和对抗性鲁棒性。

在模型性能的可扩展性分析之后，我们进一步考察了它在α=0.1的狄利克雷分布下，不同客户端数量下的通信和计算效率。我们观察到，客户端数量的增加使通信开销从20.64 MB增加到95.7 MB，平均轮询延迟从25.2秒增加到77.18秒。然而，平均客户端训练时间和每个样本的推断时间在所有客户端场景中几乎保持不变，平均训练时间约为1.38秒，平均推断时间为每个样本1.53毫秒。这些发现表明，所提模型的可扩展性对通信成本的影响比计算负载更为显著。

6. 结论

本文介绍了一个增强了对抗性优化的FL框架，以提高在异构客户端分布下的5G边缘计算网络的安全性和鲁棒性。通过集成混合特征选择、对抗性最小-最大训练和梯度裁剪，所提算法确保了对多强度对抗性攻击的准确性和韧性。对所提模型的全面评估显示，包括特征选择在内的数据预处理消除了超过50%的冗余特征，从而得到了轻量级但高效的模型。此外，所提出的方法在各种非独立同分布下始终优于标准FL。这导致在对抗性攻击下实现了超过20%-70%的绝对收益，同时保持了精度、召回率和F1分数在92%以上，即使在扰动强度?=0.3的情况下也是如此，而标准FL的性能下降了近20%-30%。可扩展性分析进一步表明，增加客户端数量提高了对抗性检测率，并改善了像ICMP Flood这样的代表性不足类别的鲁棒性，同时通信和计算开销仍然可控。尽管ARFL与标准FL相比增加了适度的计算开销，但这种权衡在安全敏感的5G及Beyond-5G边缘环境中是合理的。包括物联网、智能医疗和自主系统在内的应用在对抗性条件下需要高可靠性，在这些环境中，模型故障或误分类可能会产生严重后果。在这种情况下，接受稍高的计算开销是一个合理的选择，以确保鲁棒性、稳定性和可靠的决策，这证明了所提出的ARFL模型适用于安全关键应用。

CRediT作者贡献声明

Saniya Zafar：撰写——审稿与编辑、撰写——原始草稿、可视化、验证、软件、方法论、调查、正式分析、数据管理、概念化。

Phil Legg：撰写——审稿与编辑、可视化、验证、监督、资源管理、项目协调、资金获取、概念化。

Jonathan White：撰写——审稿与编辑、可视化、验证、正式分析、概念化。

Ahmad Salman：撰写——审稿与编辑、可视化、验证、正式分析、概念化。