通过时间突触净化实现联邦脉冲神经网络中后门的快速高效移除

《Electronics》：Fast and Effective Backdoor Removal in Federated Spiking Neural Networks via Temporal Synaptic Sanitization

　　

联邦学习能够在分布式神经形态数据（neuromorphic data）和事件驱动数据（event-based data）上实现保护隐私的脉冲神经网络（Spiking Neural Networks, SNNs）训练，但与此同时，也会使全局模型暴露于由恶意客户端注入的隐蔽后门攻击（backdoor attacks）之下。与传统人工神经网络相比，联邦脉冲神经网络更难以净化，因为恶意行为不仅可能编码在空间滤波器中，还可能编码在脉冲时序、膜动力学以及时间发放稀疏性之中。现有后门防御通常需要重复进行联邦再训练、访问客户端数据、触发器合成，或进行计算代价高昂的模型修复，这限制了其在低功耗神经形态部署中的实用性。

本文提出FedTSR，一种针对通过联邦学习训练的脉冲神经网络的快速训练后后门移除框架。FedTSR引入了两个协同算法：时间突触风险估计（temporal synaptic risk estimation, TSRE），其通过利用一个小规模干净校准集（clean calibration set），测量跨模拟时间步的异常脉冲响应贡献，从而识别对后门敏感的突触组；以及脉冲一致性重校准（spike-consistency recalibration, SCR），其通过轻量级膜电位对齐和发放率正则化，在无需重启联邦训练的情况下恢复良性任务性能。所提出方法与触发器无关（trigger-agnostic）、与客户端无关（client-independent），并且兼容采用替代梯度（surrogate-gradient）训练的脉冲模型。此处，“与触发器无关”意味着FedTSR在修复过程中不使用触发器身份信息；但不应将其解释为对每一种自适应触发器族都具备可认证鲁棒性（certified robustness）。

在真实神经形态基准和视觉基准上的实验，包括N-MNIST、CIFAR10-DVS、DVS Gesture和CIFAR-10，表明FedTSR在多种后门模式、投毒比例以及非独立同分布（non-IID）联邦设置下，能够在保持干净精度的同时显著降低攻击成功率。结果表明，利用时间脉冲动力学（temporal spike dynamics）为净化受损联邦脉冲神经网络提供了一条高效且有效的途径。

本文发表于《Electronics》，围绕联邦脉冲神经网络（Spiking Neural Networks, SNNs）的训练后后门移除问题展开研究。研究背景在于：SNN因以稀疏脉冲序列表征信息、能够利用时间动力学实现低功耗推理，已成为神经形态计算与事件驱动智能中的重要模型范式；与此同时，事件相机、可穿戴传感器、移动机器人等应用具有天然的分布式特征，联邦学习（Federated Learning, FL）为此类场景提供了无需共享原始数据的协同训练机制。然而，联邦训练过程也带来了显著的安全风险，即服务器只能接收客户端更新或最终全局模型，无法直接审查私有数据，因此恶意客户端能够在局部投毒并将后门行为隐蔽注入全局SNN。

目前该领域存在的核心问题是：传统面向人工神经网络的后门检测与修复方法难以直接适用于联邦SNN。原因在于，SNN中的后门并不一定以静态权重异常形式出现，还可能体现在脉冲到达时刻、膜电位积累轨迹、短时窗口内的异常发放以及时空耦合捷径路径中。已有方法往往依赖触发器重构、恶意客户端识别、访问训练数据、重复联邦再训练或高代价参数修复，这些条件在实际神经形态部署中往往不成立。因此，开展一项仅依赖最终全局模型和少量可信干净数据、且能显式利用SNN时间动力学特征的快速训练后净化研究具有明确必要性。

围绕这一问题，研究人员提出了FedTSR，一种基于时间突触净化（temporal synaptic sanitization）的快速训练后后门移除框架。该方法针对严格威胁模型设计：防御方仅持有可能已受损的全局模型与小规模干净校准集，并不知道触发器、目标标签或恶意客户端身份。FedTSR的基本思想是，后门敏感通路在SNN中往往表现出异常的时间行为，即某些突触组会在极少数时间步上产生高度集中的膜贡献，与层内正常发放群体分布偏离，并与少数输出类别形成过强对齐。基于这一观察，FedTSR先通过时间突触风险估计，为每层突触组计算风险分数，再将高风险组进行软抑制而非硬剪枝，随后借助脉冲一致性重校准恢复良性时序动力学，避免单纯压制可疑路径后造成正常表征能力受损。

本文的重要结论是：在联邦SNN后门修复中，若显式刻画时间步层面的脉冲动力学、膜响应贡献和类别响应集中性，则能够比仅依赖静态激活大小、参数敏感性或传统剪枝微调策略更有效地降低攻击成功率（attack success rate, ASR），同时较好保持干净精度（clean accuracy, ACC）。实验结果显示，FedTSR在N-MNIST、CIFAR10-DVS、DVS Gesture和CIFAR-10四个数据集上，对静态触发、时间突发触发和混合触发均具有稳定的后门净化效果，尤其在时间型和混合型触发情形下优势更明显。这表明，联邦SNN的后门移除不能将模型视为静态神经网络，而应针对逐时间步的突触通路进行选择性净化，并保持正常脉冲动力学。

就研究意义而言，本文贡献主要体现在三个层面。其一，工作将“联邦SNN训练后后门快速移除”明确建模为一个独立而现实的安全问题，强调在无法重启协作训练、客户端离线、通信受限和数据不可访问时的实用防御需求。其二，方法论上提出以“组级时间突触风险”定位可疑后门路径，将时间集中度、发放偏差和类别响应集中度联合纳入风险估计，相比传统静态模型修复更符合SNN计算本质。其三，FedTSR具有较高部署可行性：无需客户端通信，不依赖触发器知识，也无需重新进行完整联邦训练，适合低延迟、低功耗神经形态系统中的服务器端一次性修复场景。

就关键技术方法而言，研究人员主要采用了三类方法。第一，基于小规模干净校准集对受损联邦SNN进行逐时间步仿真，提取脉冲、膜电位和突触组对突触后膜电位变化的贡献，并构建时间突触风险估计（TSRE）。第二，依据风险掩码对高风险突触组实施风险自适应抑制（risk-adaptive damping），以连续缩放替代二值剪枝。第三，在此基础上使用脉冲一致性重校准（SCR），通过干净标签监督、与原模型的一致性蒸馏、层级时间脉冲/膜电位统计对齐以及风险锚定实现轻量修复。实验样本来源包括N-MNIST、CIFAR10-DVS、DVS Gesture和CIFAR-10，联邦训练采用FedAvg，并通过Dirichlet划分构造非IID客户端数据分布。

以下结合论文结果部分的小标题，对研究内容作进一步解读。

5.1. Experimental Settings
该部分明确了实验框架与比较协议。研究人员首先使用FedAvg训练联邦SNN，在干净或受投毒客户端更新下得到全局模型，随后仅利用服务器端持有的小规模干净校准集执行FedTSR修复，不使用任何客户端原始数据、恶意客户端身份、触发器标签或投毒样本。评估指标主要包括干净精度ACC与攻击成功率ASR。数据集覆盖真实事件流数据与经泊松率编码得到的静态图像脉冲序列，受害模型包含卷积SNN、VGG风格SNN与残差SNN。比较基线包括微调（fine-tuning）、细粒度剪枝（fine-pruning）、神经注意力蒸馏（NAD）和ANP式神经元扰动抑制。通过这一设计，研究人员构建了严格的训练后、触发器未知、客户端不可见的公平比较场景。

5.2. Overall Backdoor Removal Performance
该部分给出了整体后门移除性能。结果显示，在混合时空触发这一最困难攻击设置下，受损联邦SNN通常仍保持较高ACC，但ASR也极高，说明后门具有较强隐蔽性。普通微调只能有限降低ASR，因为校准集不包含触发样本，无法为隐藏恶意路径提供足够辨识信息。Fine-pruning在较简单数据集上能部分消除稀疏可疑神经元，但会更明显损伤事件驱动表征，导致ACC下降。ANP虽然可以更强地压制ASR，但由于其敏感性判据并未显式利用时间结构，容易遗漏延迟触发路径，或过度抑制良性的高响应神经元。相比之下，FedTSR在各数据集上都实现了更优的ACC/ASR平衡，尤其在CIFAR10-DVS和DVS Gesture等需要更强时间整合的数据集上表现突出。研究人员据此认为，直接建模时间突触风险比静态参数或激活大小导向的修复更适合联邦SNN后门净化。

该部分还进一步比较了不同触发类型下的平均表现。静态空间补丁触发相对更易修复，因为其空间足迹在所有时间步持续出现；时间突发触发更难，因为恶意行为集中于短时间窗口，易被正常脉冲稀疏性掩盖；混合触发最具挑战，因为其仅在特定时间步激活局部空间路径。FedTSR在三类触发下均保持较强鲁棒性，说明时间集中度、发放偏差与类别响应集中度三者联合使用，能够有效捕获短时放大、群体行为异常和目标类别捷径倾向。

5.3. Ablation Study and Sensitivity Analysis
该部分通过消融与敏感性分析验证方法内部机制。首先，研究人员逐一移除风险估计中的三个组成分量。结果表明，去除时间集中度后，对延迟型触发的防御显著减弱；去除发放偏差后，对层内异常群体发放模式的识别能力下降；去除类别响应集中度后，目标类捷径路径无法被充分惩罚，ASR上升。更显著的是，若完全去除SCR，仅保留抑制步骤，虽可降低部分ASR，但无法完整恢复良性时间动力学，ACC和最终修复效果均受影响。由此可见，TSRE的多维风险建模与SCR的后续校准相互补充，共同构成FedTSR有效性的关键。

此外，研究人员分析了校准集大小与抑制强度的影响。实验表明，即便只有100个干净校准样本，FedTSR仍可实现明显ASR下降；随着样本增加，风险估计和重校准更稳定，但当样本数超过500后收益趋于饱和，说明该方法并不依赖大型可信数据集。对于抑制强度，过小会保留部分后门路径，过大则会损害良性表征，默认值在准确率与安全性之间取得最佳折中。进一步的压力测试还显示，FedTSR对1%轻度校准污染较稳定，但在5%污染、严重类别不平衡或分布偏移下性能会下降；同时，针对FedTSR假设而设计的“良性拟态”自适应触发会提高残余ASR，提示该方法虽与触发器无关，但并不具备对所有自适应攻击的认证鲁棒性。

5.4. Robustness to Federated Heterogeneity and Sanitization Efficiency
该部分检验FedTSR在更强联邦异质性和更严重投毒条件下的表现。研究人员调节Dirichlet浓度参数以增强非IID程度。结果表明，在更强客户端分布偏斜下，ANP等方法更容易将良性客户端特化行为误判为异常敏感性，而FedTSR仍能稳定地将ASR压低到较低水平，说明其联合考虑时间集中、发放偏差和类别响应的风险估计机制对联邦异质性更稳健。随后，研究人员增加恶意客户端比例，发现随着联邦聚合中恶意更新占比上升，受损模型ASR快速恶化，而FedTSR的退化更平缓，即使在较高恶意客户端比例下仍显著优于ANP。

在效率方面，论文进一步强调FedTSR的部署价值。TSRE的主要代价来自在校准集上的一次前向仿真和一次替代梯度反向追踪，SCR仅需少量本地校准轮次，因此总体开销远低于重新发起完整联邦训练。与ANP相比，FedTSR通过组级风险估计而非反复搜索脆弱神经元，修复成本更低；与完整联邦再训练相比，FedTSR无需任何额外客户端通信，符合训练后快速修补场景的要求。研究人员据此认为，FedTSR在安全收益、计算开销与部署可行性之间形成了实用平衡。

5.5. Discussion and Limitations
讨论部分系统总结了方法边界。首先，FedTSR依赖一个“相对干净且具有代表性”的校准集，校准污染、类别失衡和分布偏移都会削弱风险估计与SCR效果。其次，FedTSR并不提供针对自适应攻击者的可认证安全保证，尤其当攻击者刻意让恶意时间统计与良性统计相匹配时，方法区分能力会下降。再次，实验统计仍有局限，主要结果只使用三个随机种子，虽然给出了标准差与配对检验，但统计显著性仍需更大规模重复实验进一步加强。最后，所有运行时和显存测量均在GPU软件仿真环境下完成，尚未在真实神经形态硬件上验证，而膜离散化、事件路由和量化突触都可能改变抑制与重校准的实际效果。研究人员还指出，尽管FedTSR可应用于异步或部分参与式联邦学习产生的最终检查点，但在陈旧更新、客户端掉线或极强非IID条件下，某些良性时间模式可能与后门捷径相似，仍需额外分析。

论文结论部分可译述如下：
本文研究了联邦学习训练的脉冲神经网络中的快速训练后后门移除问题，在该设定下，防御方只能访问可能受损的全局模型和一个小规模干净校准集。研究人员提出了FedTSR，这是一种与触发器无关且与客户端无关的净化框架，利用了SNN计算的时间特性。FedTSR首先结合时间集中度、发放偏差和类别响应集中度来估计组级时间突触风险，并将所得风险分数转换为连续风险掩码，用于风险自适应抑制。为避免损伤良性的事件驱动表征，FedTSR进一步通过干净标签监督、输出一致性、膜电位与脉冲的时间对齐，以及风险锚定，执行脉冲一致性重校准。在所评估设置中，N-MNIST、CIFAR10-DVS、DVS Gesture和CIFAR-10上的实验表明，FedTSR在静态、时间和混合后门触发下都能持续降低攻击成功率，同时保持干净精度；消融实验也支持时间风险估计与脉冲一致性重校准二者的重要性。总体而言，这些结果表明，联邦SNN中的后门移除不应将模型视为静态神经网络，而应显式净化逐时间步的突触通路并维持良性脉冲动力学。未来工作可进一步扩展至异步联邦神经形态系统、持续学习SNN以及事件驱动后门防御的认证鲁棒性分析。但需强调，这些经验结果仅限于已评估的威胁模型，并不构成对所有自适应攻击的可认证鲁棒性保证。