《Electronics》：RAFALE: Runtime Attestation for Secure and Trustworthy Federated Learning on Edge Devices
编辑推荐：
联邦学习（FL）使边缘设备上的训练成为可能，但基于更新的防御可能忽略运行时篡改、控制流操纵和微架构攻击。RAFALE通过本地训练期间收集的可验证运行时证据来增强完整性。通过普通世界性能监控接口获得的控制流完整性（CFI）证据和硬件性能计数器（HPC）测量结果被
联邦学习（FL）使边缘设备上的训练成为可能，但基于更新的防御可能忽略运行时篡改、控制流操纵和微架构攻击。RAFALE通过本地训练期间收集的可验证运行时证据来增强完整性。通过普通世界性能监控接口获得的控制流完整性（CFI）证据和硬件性能计数器（HPC）测量结果被传输到OP-TEE可信应用程序，在那里它们被绑定到训练轮次和模型更新，进行摘要并签名以供服务器验证。RAFALE在Raspberry Pi 3B+客户端上实现，并使用MNIST和CIFAR-10上的卷积神经网络进行评估。物理设备试验区分了良性执行与损失函数省略和间接目标重定向。在T=2和K=2时，基于HPC的检测实现了83.88%的准确率、91.94%的精确率、76.39%的召回率、83.44%的F1分数和7.60%的假阳性率。组合CFI/HPC监控每次Raspberry Pi训练运行需要29.653秒。一个物理设备证据和模型记录的认证平均需要1.513毫秒，每个证据记录占用 。一个64客户端的模拟显示，在50%的恶意参与下，接纳重定向的对抗性更新将平衡的CIFAR-10准确率从 降低到 。这些结果表明，经过认证的运行时证据可以区分评估的执行偏差，而不会泄露本地训练数据。
联邦学习（FL）作为一种分布式机器学习范式，使边缘设备能够协同训练全局模型，但客户端训练过程可能遭受运行时篡改、控制流操纵和微架构攻击。现有防御主要基于模型更新分析，忽略了训练执行完整性，且隐私保护机制（如安全聚合）限制了更新可见性。为此，研究人员提出了RAFALE，一个预聚合运行时证明层，通过控制流完整性（CFI）和硬件性能计数器（HPC）证据验证客户端训练执行是否遵循预期行为。该框架在Raspberry Pi 3B+设备上实现，结合OP-TEE可信执行环境（TEE）保护证据，并通过MNIST和CIFAR-10数据集评估。实验表明，认证的运行时证据可区分损失函数省略、间接目标重定向和缓存攻击等执行偏差，且不泄露本地训练数据。HPC检测在T=2和K=2时达到83.88%准确率、91.94%精确率、76.39%召回率、83.44% F1分数和7.60%假阳性率；组合CFI/HPC监控每次训练需29.653秒，服务器验证每个证据平均1.513毫秒。64客户端模拟显示，接纳重定向的对抗性更新在50%恶意参与下使平衡CIFAR-10准确率从良性值降至机会水平。该研究为联邦学习提供了一种补充性运行时验证层，增强了安全关键部署中的可信性。论文发表在《Electronics》。
**主要技术方法**
研究人员使用Raspberry Pi 3B+（ARMv8-A，TrustZone）作为物理客户端，MNIST和CIFAR-10数据集作为训练基准。关键技术包括：通过Linux Perf接口在普通世界获取HPC测量值（CPU周期、退休指令、缓存引用、缓存未命中、分支指令、分支预测错误），并传输至OP-TEE可信应用程序，后者绑定证据到客户端身份、挑战随机数和模型哈希，生成Ed25519签名报告。CFI证据通过插桩收集间接调用、间接跳转、返回计数及前向/后向传播的密码摘要。服务器端采用Z-score统计异常检测（阈值T=2，最小异常计数器数K=2）和阈值比较进行验证。多客户端实验使用资源受限容器（8客户端）和原生逻辑进程（64客户端）。
**研究结果**
**5.1 重复物理设备CFI评估**：通过15次试验（5次良性、5次损失函数省略、5次间接目标重定向），完整的CFI记录（包括间接调用、跳转、返回计数及前向/后向摘要）在所有试验中均能区分三种执行路径。损失函数省略保留了前向摘要但改变了返回计数（减少了13个返回事件）和后向摘要；间接目标重定向将间接跳转从18减少到9，返回从3,776,857减少到1,256,583，并改变了两项摘要。前向摘要仅检测到5/10攻击，证明后向返回证据的必要性。
**5.2 间接目标重定向对联邦准确率的影响**：在64客户端模拟中，设置0、4、8、16、32、48、64个重定向客户端（攻击率0%至100%）。所有448个更新通过身份和签名验证，但被故意接纳以测量影响。平衡CIFAR-10准确率从良性条件（0%攻击）的 单调下降至50%攻击时的 、75%攻击时的 和100%攻击时的 （机会水平）。表明重定向更新可显著降低模型性能，验证了预聚合拒绝的必要性。
**5.3 良性HPC轮廓**：在Raspberry Pi上执行良性CIFAR-10训练，采集6个HPC事件（CPU周期、退休指令、缓存引用、缓存未命中、分支指令、分支预测错误）的均值和标准差，形成参考轮廓。重复良性执行产生一致的测量值，标准差有界，表明微架构行为可重复。
**5.4 运行时HPC攻击检测**：同时执行缓存驱逐攻击（eviction2）和缓存刷新攻击（flush-test）与CNN训练。HPC测量显示恶意运行中所有计数器显著增加，例如cifar10_model_forward的缓存引用从 增至 ，缓存未命中从 增至 。使用Z-score阈值T=2、K=2，整体检测性能为准确率83.88%、精确率91.94%、召回率76.39%、F1分数83.44%、假阳性率7.60%。表明HPC证据可有效检测不改变控制流的微架构攻击。
**5.4.1 独立同分布（IID）和非独立同分布（Non-IID）数据下的缓存干扰足迹**：在IID和Dirichlet-α=0.5分配下，分别执行良性或缓存干扰（持续缓存驱逐和刷新）。干预条件下前向和后向缓存未命中增加485-583%，更新函数缓存未命中增加76-102%。良性数据分配变化导致的差异仅约8-9%，远小于攻击足迹，证明缓存干扰的HPC检测对数据分布不敏感。
**5.4.2 受试者工作特征（ROC）分析和阈值选择**：通过变化Z-score阈值T和最小异常计数器数K，ROC曲线下面积（AUC）为0.875。T=2、K=2作为平衡操作点，获得上述性能。较低阈值提高检测率但增加假阳性，较高阈值则相反。
**5.5 IID和Non-IID客户端数据评估**：使用8个容器客户端，在IID和Dirichlet-α=0.5, 1.0, 5.0分配下进行5轮联邦训练。所有160次更新成功完成，最终平衡准确率在 至 之间。Dirichlet-α=0.5产生最强标签浓度，但准确率与IID相同。配对物理设备测量显示，IID和Non-IID（α=0.5）的CFI计数和摘要相同，HPC差异小于 ，表明有限良性变化。
**5.6 多客户端评估和测量开销**：客户端监控开销：基线训练平均 秒，CFI-only平均 秒，HPC-only平均 秒，组合CFI/HPC平均 秒（增加 秒）。组合执行记录3,776,876个CFI事件（99.99%为返回），摊销成本每事件 秒。服务器验证：单个物理设备证据平均1.513毫秒（Ed25519签名验证平均 毫秒，模型哈希验证平均 毫秒），5客户端轮次平均 毫秒。线性投影显示64、100、1000客户端分别约 毫秒、 毫秒、 秒（未考虑并行和网络延迟）。
**5.7 通信和证据存储开销**：每个认证证据负载 字节，模型上传 字节，下载 字节。证据占模型上传大小的约 。5客户端轮次总通信量约 字节。证据存储随客户端线性增长，64记录需37,632字节。
**讨论**：研究结果表明，认证的运行时证据可支持预聚合验证。CFI和HPC证据互补，CFI直接检测控制流偏离，HPC捕捉微架构变化。但HPC参考轮廓需设备校准，假阳性可能导致良性更新被拒绝，需结合健壮聚合。与隐私保护联邦学习（如安全聚合）兼容，因验证不依赖模型更新内容。局限性包括：物理实验条件有限（5次试验、固定样本）、间接目标重定向未演示内存漏洞利用、缓存干扰实验仅单一聚合观测、服务器验证投影未考虑并行、未检测语义毒化等。未来工作将扩展大规模评估、异构设备部署、自适应证据收集、增强攻击覆盖和分布式审计。
**结论**：本文提出了RAFALE，一个预聚合运行时证明框架，结合CFI和HPC证据确定联邦客户端是否遵循预期训练执行。重复物理设备实验显示完整的CFI证据可区分良性训练、损失函数省略和间接目标重定向。缓存干扰实验使前向和后向缓存未命中增加485-583%。客户端开销以CFI收集为主（组合监控平均 秒），服务器验证平均1.513毫秒，证据负载 字节。8客户端IID/Non-IID研究完成所有更新，最终准确率在 至 之间。64客户端攻击流行率实验显示，接纳重定向更新使准确率从良性值降至机会水平。在评估条件下，结果表明测试的训练路径偏差可通过完整CFI证据观测，且接纳重定向更新可显著降低全局模型。CFI和HPC证据为预聚合验证提供了互补的结构和微架构信号。这些发现支持所提议运行时证据管道的可行性，但仍需更广泛证据以确立部署规模实用性、跨设备泛化性和对自适应攻击者的鲁棒性。
