FedRISC-IIoT：一种结合基于声誉的客户选择机制与分层式稳健聚合技术的工业物联网联邦学习防投毒框架

《Future Generation Computer Systems》：FedRISC-IIoT: A federated learning poisoning defense framework combining reputation-driven client selection and layered robust aggregation for industrial IoT

　　梁永泉|王苏仪|唐云灿 中国山东省科学技术大学计算机科学与工程学院，青岛266590

摘要
联邦学习能够实现跨设备协作建模，且无需集中存储原始数据，这一特性使其非常适合工业物联网在隐私保护、带宽限制及实时性方面的需求。然而，其开放的交互模式使得工业物联网中的联邦学习容易受到投毒攻击的威胁——恶意客户端会篡改本地更新数据，引入隐藏偏见。随着时间推移，这些偏见会削弱模型可靠性，导致工业流程中出现不安全或低效的决策。为应对这一挑战，我们提出了一种针对工业物联网的联邦学习防御框架，名为FedRISC-IIoT。具体而言，FedRISC-IIoT采用基于声誉的客户选择机制，将历史行为转化为动态参与权重，以减轻恶意客户带来的长期影响。此外，该框架还引入分层鲁棒聚合方法，结合全局过滤、坐标级剪枝以及基于声誉权重的融合策略，提升对分布式数据中低强度协同投毒行为的检测与抑制能力。同时，FedRISC-IIoT还整合了轻量级的验证与隔离机制，通过小规模的第三方验证数据及影子评估生成证据，用于制定声誉衰减与隔离策略。该框架还兼容安全聚合与同态加密技术，以确保必要的可观测性与审计能力。理论分析表明，在条件合适的情况下，该框架能够收敛到有限邻域内。实验结果显示，与基准方法相比，该框架在保持高模型准确率的同时，显著降低了多种数据集上投毒攻击的成功率。

引言
工业物联网正在将分布式感知、边缘控制以及云端决策深度融合到现代工业生产中[1][2]。部署在生产线及基础设施中的传感器、PLC、边缘网关和控制终端会高频生成多源、异构的工业数据[3]。这些数据包含有关设备状态、生产流程及环境条件的敏感信息[4][5]。若将这些数据集中存储或传输，不仅会增加网络带宽压力，还会带来隐私泄露和数据安全方面的重大风险[6][7]。因此，如何在不暴露原始数据的前提下实现跨设备、跨企业的智能协作，已成为亟待解决的问题，这也为分布式学习技术的发展提供了强大动力。

联邦学习作为一种新兴的分布式机器学习框架，为工业物联网提供了有效的解决方案[8][9]。其核心思想是将模型训练分散到各个边缘设备上，每个设备利用本地数据独立训练模型，仅将更新后的模型参数上传至中央服务器[10]。服务器再汇总来自多个设备的更新数据，生成新的全局模型，并将其发回各设备进行下一轮训练。这种方法避免了原始数据的集中存储与传输，既保障了敏感信息的安全，又能利用边缘计算资源提升系统的实时性能与响应速度[11]。正是这些优势，使得联邦学习特别适合处理工业物联网中高频、多样且敏感的数据处理任务[12]。

尽管具有诸多优势，但由于其开放式的交互模式，联邦学习在工业物联网中极易遭受安全威胁，尤其是投毒攻击[13]。投毒攻击是指攻击者控制部分设备，故意上传被篡改的模型更新，从而导致服务器生成错误或有偏见的全球模型[14]。随着训练的进行，这些恶意更新会逐渐累积，降低模型性能，甚至导致关键控制任务中出现错误决策[15]。更复杂的是，攻击者可能会采取隐蔽且持久的攻击手段，通过长期施加微妙干扰逐步引导模型走向错误方向，或通过多个恶意设备协同生成看似合理但实际上具有危害性的更新，使得服务器难以仅凭简单统计方法发现异常[16]。

为抵御投毒攻击，人们在联邦学习领域提出了多种防御策略。鲁棒聚合方法旨在抑制极端或异常的更新数据[17][18][19]，但这类方法大多基于一维统计量或孤立的距离度量。此类设计通常将聚合视为独立步骤，缺乏捕捉多轮训练中长期行为模式的机制，因此难以应对隐藏在更新数据中的适应性或低强度投毒行为。与此同时，基于声誉或行为的防御策略则试图评估客户可信度，从源头排除恶意参与者[20][21][22]。然而，现有的声誉机制通常仅作为静态加权或采样策略使用，未能与聚合过程或验证反馈形成紧密联动。因此，恶意客户端仍有可能逐步积累影响力，或在短暂规避后重新参与训练。此外，大多数现有方法仅关注联邦学习流程中的单一阶段，缺乏将客户选择、聚合鲁棒性及训练后验证有机结合的统一机制。

为克服这些结构缺陷，我们提出了FedRISC-IIoT——一种专为工业物联网环境设计的联邦学习防御框架。该框架并非简单组合多个独立模块，而是构建了一个闭环防御体系，其中声誉演化、分层聚合与验证反馈之间实现了明确耦合。在训练开始前，多源声誉机制会持续更新设备可信度，并动态调整其参与概率。训练过程中，分层鲁棒聚合策略结合低维几何筛选与高维坐标剪枝，能够高效且稳健地抑制各类投毒行为。聚合完成后，轻量级的影子验证与隔离机制会引入时间惩罚机制，逐步降低恶意客户的声誉值。这种递归式互动将声誉从静态评分转变为动态控制变量，从而调节各轮训练中的有效恶意比例。因此，FedRISC-IIoT能够在资源受限的工业物联网环境中实现长期自我净化，这使其区别于那些独立运行的基于声誉或多阶段聚合的现有框架。

我们的主要贡献如下：
• 我们提出了一种针对工业物联网环境的联邦学习投毒防御框架，该框架结合了基于声誉的客户选择机制与分层鲁棒聚合策略，将客户选择、模型上传、聚合处理及验证环节整合为一个贯穿整个生命周期的防御体系。
• 我们构建了多源声誉评分与动态客户选择机制，通过记录和分析训练过程中的设备行为来实现自适应客户选择。同时，我们还设计了分层鲁棒聚合策略，并辅以少量第三方验证数据，以提高恶意检测的准确性及聚合结果的可靠性。
• 我们引入了轻量级的影子验证与隔离机制，该机制仅需少量数据资源即可持续监测并纠正系统中的潜在恶意行为，从而使系统具备长期自我净化能力。

本文结构如下：第2节回顾相关研究；第3节描述系统模型与攻击模型；第4节详细介绍所提出的防御方法；第5节进行收敛性分析；第6节通过实验验证该方法的有效性与优越性；第7节总结研究内容并探讨未来研究方向。

相关研究
本节回顾并分析了联邦学习在工业物联网中的应用情况，同时概述了目前针对联邦学习中投毒攻击防御的相关研究。

FedRISC-IIOT模型
在工业物联网应用中，联邦学习的有效性在很大程度上取决于部署在各个生产场所的客户端设备的完整性。设想在一个智能工厂中，一些被攻破的传感器或控制器被攻击者操控，上传被篡改的模型更新。这些恶意更新会逐渐使全局预测模型偏离其预期功能。经过多轮训练后，被污染的模型可能会将不合格产品误判为合格品，忽视早期出现的故障迹象……

FedRISC-IIOT的详细设计
在工业物联网环境中，由于设备数量庞大、计算资源有限且网络条件复杂，投毒攻击往往更具隐蔽性和持久性，这使得防御工作更为困难。为应对这一挑战，本研究提出了FedRISC-IIOT框架，将该框架的防御机制融入联邦学习的多个核心环节，形成了从客户选择到模型聚合的完整防御闭环。该框架包括三种具体的防御措施……

收敛性分析
本章在假设损失函数连续可微的条件下，详细推导了所提出的FedRISC-IIOT训练过程的收敛性，从单步下降到完全线性（或亚线性）收敛至噪声邻域。分析始于真实目标下降的定义，将“基于声誉的采样”引入期望梯度估计中，同时将“分层鲁棒聚合”分解为随机投影筛选与……

性能评估
在本节中，我们通过对FedRISC-IIOT进行仿真实验，对其性能进行评估与分析。

结论
在本文中，我们提出了FedRISC-IIOT——一种专为工业物联网环境中面临投毒攻击的联邦学习场景设计的防御框架。该框架整合了三个关键组件：多源声誉评分与动态客户选择机制、分层鲁棒聚合策略以及影子验证与隔离机制。这些机制通过过滤不可靠客户、减少聚合过程中的恶意更新影响等方式，共同提升了系统的鲁棒性……

CRediT作者贡献声明
梁永泉：撰写——初稿、软件实现、概念设计。王苏仪：撰写——审稿与编辑、软件实现。唐云灿：监督指导、项目管理。

利益冲突声明
作者声明不存在任何可能影响本文工作的已知财务利益或个人关系。

致谢
本研究部分得到了国家自然科学基金项目（编号91746100）以及国家重点研发计划项目（编号2017YFC0804406）的支持。我们衷心感谢所有为本文提供帮助和支持的师生们，同时也感谢项目资助方对本文的大力支持。