利用对抗训练与集成学习方法防御锂离子电池健康状态估计的迁移攻击

《Energy》：Defending lithium-ion battery state of health estimation against transfer attacks using adversarial training and ensemble learning

　　摘要：云边协同已成为锂离子电池健康状态估算的一种极具前景的方法。然而，由于该方法依赖于共享数据，因此容易受到迁移攻击的威胁，攻击者会利用替代模型制造扰动，从而绕过传统的白盒防御机制。为应对这一威胁，本文提出了一种结合对抗训练与堆叠集成学习的防御框架（AT-SE）。在选择异构基础模型时，会考虑模型的对抗鲁棒性、梯度多样性以及估算误差的多样性。长短期记忆网络能够捕捉时间依赖性，随机森林通过离散边界提供防护，极端梯度提升模型则可用于捕捉非线性关系。研究中采用投影梯度下降法和快速梯度符号法生成的对抗样本对基础模型进行对抗训练。最后，通过误差补偿机制，由堆叠元学习器整合这些模型的多样化输出，以减轻扰动的影响。实验表明，迁移攻击会使基准模型的估算误差增加八倍以上，而AT-SE框架则展现出出色的防御能力。在高强度攻击下，当长短期记忆网络和堆叠集成学习的均方根误差分别达到0.1254和0.0520时，AT-SE框架能将误差降至0.0279。在镍钴锰电池的跨化学体系验证中，AT-SE框架的均绝对误差可保持在0.02以下。

引言：在全球向可持续能源转型的背景下，锂离子电池已成为支撑电动汽车和电池储能系统的重要电化学能量载体[1]。但在使用过程中，锂离子电池不可避免地会因多种物理化学机制而出现性能衰退，比如活性物质损失以及电解质界面变化。这种内在老化现象不仅会导致电池容量下降和内阻增加，还会带来热失控等严重安全风险。因此，准确可靠地在线估算锂离子电池的健康状态对于确保电池储能系统在整个生命周期内的安全与高效运行至关重要，这也是学术界和工业界面临的关键挑战[2]。

健康状态是通过将电池当前实际容量除以额定容量来量化电池老化程度的[3]。为了实现准确的健康状态估算，现有研究主要采用两种技术路径：基于机理的方法和基于数据的方法[4]。基于机理的方法依靠等效电路模型[5]和电化学模型[6]等模型来描述电池的内部状态，这些模型通常还会结合卡尔曼滤波器及其变体或智能滤波算法，以识别关键参数并实现健康状态估算[7]。例如，人们开发了等效电路模型来考虑容量衰减和电压恢复等因素，并运用双重扩展卡尔曼滤波器来进行健康状态估算[8]；还有研究提出了基于洛伦兹函数的电压-容量模型用于健康状态估算[9]。基于机理的方法具有清晰的物理可解释性，在受控条件下表现良好，但由于其对精确模型的强依赖性以及对复杂工作条件的敏感性，研究人员开始寻求更为灵活和强大的替代方案[2]。

为规避复杂物理建模带来的难题，基于数据的方法已成为当前研究的主流趋势[10][11]。这类方法不试图探究电池内部的复杂电化学反应，而是直接从大规模的历史老化数据中提取健康指标，以此表征电池的衰退状态，再借助机器学习算法建立健康指标与健康状态之间的映射关系。该领域采用了多种算法，从支持向量回归[12]和高斯过程回归[13]等传统方法，到随机森林[14]和极端梯度提升[15]等基于树的集成方法，应有尽有。此外，还能够捕捉时间依赖性的先进深度学习架构，如长短期记忆网络[16]和时间卷积网络[17]，也被广泛应用。刘等人[18]提出了一种两阶段集成模型，将网格搜索支持向量回归与长短期记忆网络相结合，用于根据恒压充电过程中的多特征数据估算健康状态；徐等人[19]则设计了一种融合埃尔曼神经网络与支持向量回归的混合框架，其中埃尔曼神经网络用于学习容量衰减的局部时间信息，而支持向量回归则用于捕捉整体老化趋势，二者输出再通过极限学习机进行融合，以提高估算精度。不过，在基于云的电池管理系统中，云端与边缘设备之间传输的原始传感器数据在采集、传输或存储过程中都可能遭到恶意篡改[20]。这类威胁利用了基于数据模型的固有“黑盒”特性，这类模型对训练数据分布之外的扰动极为敏感。目前大多数研究都集中在提高模型对自然噪声的泛化能力上，却往往忽视了模型在刻意注入的对抗性扰动下的鲁棒性，而这恰恰可能带来致命风险[21]。

对抗攻击可以通过对输入样本施加微小扰动，使健康状态估算模型的输出严重偏离真实值。在白盒环境下，通过投影梯度下降法和快速梯度符号法等多种攻击算法，已经证明了这种威胁的存在[22]。但在实际应用中，云端模型通常被封装为黑盒，攻击者无法获取其内部参数[23]。这一现实限制使得直接的白盒攻击难以实施，于是迁移攻击应运而生。攻击者可以利用公开数据训练出替代模型，再用它生成能够适用于目标黑盒模型的对抗样本，这类攻击被称为迁移对抗攻击。这类攻击的有效性源于不同模型在特征空间中决策边界的局部相似性，这使得精心设计的扰动能够在模型间传递[24]。因此，对健康状态估算模型的安全性评估不能仅停留在理论上的白盒鲁棒性层面，而需在更为严格和现实的多元迁移攻击场景下系统地评估其防御能力。

一旦迁移攻击得逞，用于表征锂离子电池状态的、传输到基于云的电池管理系统的传感器数据就会遭到系统性篡改。如图1所示，攻击者会利用离线训练得到的替代模型生成对抗性扰动，然后在数据进入云端电池管理系统之前将其注入电池数据的传输流程中。这些被篡改的电池数据会导致嵌入在云端电池管理系统中的基于机器学习的健康状态估算器误判电池的真实容量。在由数千个电池单元组成的大规模储能系统中，哪怕是轻微的数据扰动也可能会产生估算偏差，而这些偏差还会通过能量管理策略不断放大。如此一来，电池就有可能在超出安全使用寿命的情况下继续运行，或者导致错误的功率调度决策，使电池单元濒临热失控的危险[25]。因此，在面对对抗攻击时，机器学习模型中的估算误差已不仅仅是精度问题，更是安全问题。这给健康状态估算框架带来了双重挑战：机器学习模型不仅要实现准确的健康状态估算，还要具备强大的抗对抗攻击和迁移攻击的鲁棒性。

目前，研究人员正在探索多种策略来抵御对抗攻击[24]。本质上，这些方法主要涉及三类对抗防御技术：模型配置、对抗训练以及集成学习。模型配置方法是通过调整模型超参数来提升其鲁棒性；对抗训练则是让模型在正常样本与对抗样本的混合数据集中训练，从而增强其对对抗性扰动的抵御能力；集成学习则是将多个模型组合在一起，依据模型间的一致性做出决策。由于模型具有多样性，由多个模型组成的集成体通常比单个模型更具鲁棒性[26]。不过，这些方法大多最初是应用于分类任务的，而实际上机器学习应用中很大一部分属于回归任务，这类任务同样容易受到对抗攻击。锂离子电池的健康状态估算就属于回归任务范畴，也有研究针对这一领域的对抗攻击展开探讨。例如，田等人[21]提出了一套综合策略，包括数据子采样、Z分数异常值剔除、对抗估算距离检测以及支持向量机检测，用以识别和防御对抗攻击。这种方法能够在一定程度上减轻恶意数据的影响，但对细微扰动的防御效果有限，且未涉及投影梯度下降攻击的影响。郑等人[20]则提出了一种基于残差卷积网络的对抗防御策略，通过将对抗样本纳入训练数据集，让模型学习对抗样本与其对应输出之间的关系，从而提升对对抗样本的抵御能力。但该方法仅适用于深度学习模型，而传统的机器学习模型也同样容易受到对抗攻击，此外它也没有考虑迁移攻击的影响，这大大限制了其实际应用价值。

目前，锂离子电池健康状态估算中由迁移攻击引发的安全漏洞尚未得到充分研究。为解决这一问题，本研究提出了一种名为AT-SE的新防御框架，该框架将对抗训练与堆叠集成学习相结合，旨在系统提升健康状态估算模型对迁移攻击的抵御能力。本研究的主要贡献如下：
(1) 对云边协同健康状态估算面临的迁移攻击进行了全面研究，系统分析了无目标、半目标和有目标三种场景下的迁移攻击，揭示了它们对各类基准模型造成的严重性能衰退影响。
(2) 提出了一种名为AT-SE的新型防御框架，该框架将对抗训练与堆叠集成学习相结合，能够动态地结合正常样本与对抗样本来训练异构基础模型，并通过堆叠元学习器实现误差补偿和决策仲裁。
(3) 通过涵盖基于投影梯度下降法和快速梯度符号法迁移攻击、不同攻击参数、替代模型与目标模型配置、多样化的运行条件以及跨化学体系验证的多维度实验，对所提出的AT-SE框架进行了有效性验证。

数据集测试条件：本研究采用了包含镍钴铝和镍钴锰两种正极材料的121组电池单元作为验证数据集[27]。实验流程为先进行恒流恒压充电，然后再进行恒流放电。充电时的电流强度范围为0.25C至1C，而放电则统一在1C的电流强度下进行。实验在不同的环境温度下开展，主要包括25℃、35℃和45℃三种温度。表1

用于迁移攻击防御的对抗训练与堆叠集成学习：为有效解决健康状态估算模型在面对迁移攻击时的鲁棒性难题，本研究提出了AT-SE防御框架，该框架将对抗训练与堆叠集成学习相结合，旨在系统提升模型对跨模型迁移扰动的防御能力。图3展示了该框架的整体工作流程，可分为三个阶段：数据预处理与动态采样、基础模型的对抗训练，以及通过元学习器实现堆叠集成。

实验验证与分析：为评估所提方法的有效性，本研究采用了三种误差度量指标来量化估算得到的健康状态与真实值之间的差异，分别是绝对误差、均方根误差和平均绝对误差。它们的数学定义如下：其中表示真实的健康状态值，表示估算得到的健康状态值，表示样本的总数。均方根误差和平均绝对误差用于衡量整体的估算精度，而绝对误差则能提供样本级的误差信息，便于更细致地评估。

结论：为应对迁移攻击对健康状态估算构成的威胁，本研究提出了AT-SE防御框架。该框架通过对抗训练强化一组异构基础模型，同时借助堆叠元学习器实现决策融合，从而在保持较高估算精度的同时，具备出色的对抗鲁棒性。实验结果表明，即便对抗性扰动在视觉上难以区分，迁移攻击仍会显著降低健康状态估算的精度。在无目标、半目标、有目标三种攻击场景下，该框架均能有效抵御攻击。

RediT作者贡献声明：孟金豪：撰写——审阅与编辑、研究工作；杨坤：形式分析；刘文超：软件工具、数据整理；傅俊成：撰写——初稿、方法设计、概念构建；张明：实验验证；宋正祥：监督指导、项目管理；潘宇豪：实验验证。李一静：验证与监督

利益冲突声明
作者声明，他们不存在任何可能影响本文所报道工作的已知财务利益或个人关系。

利益冲突声明? 作者声明，他们不存在任何可能影响本文所报道工作的已知财务利益或个人关系。

致谢
本研究得到了中国国家自然科学基金（52477222）、陕西省重点研发计划（2024GX-YBXM-442）以及内蒙古自治区科技计划项目（2025YFHH0086）的支持。

傅俊成|刘文超|李一静|潘宇豪|宋正祥|张明|杨坤|孟金浩
中国西安交通大学储能技术产教融合国家创新平台（中心），西安710049