CN111126623A

CN111126623A - 一种模型更新方法、装置及设备

Info

Publication number: CN111126623A
Application number: CN201911324811.6A
Authority: CN
Inventors: 吴秉哲; 陈超超; 陈岑; 王力
Original assignee: Alipay Hangzhou Information Technology Co Ltd
Current assignee: Alipay Hangzhou Information Technology Co Ltd
Priority date: 2019-12-17
Filing date: 2019-12-17
Publication date: 2020-05-08
Anticipated expiration: 2039-12-17
Also published as: CN111126623B

Abstract

公开了一种模型更新方法、装置及设备。通过本说明书实施例所提供的方案，在给定阴影集合S和目标样本的情形下，分别计算阴影集合中包含训练样本的先验概率α，以及，根据阴影集合S进行采样并训练模型时所得到的采样模型的采样训练参数分布，进而根据给定模型的训练参数分布和目标样本的特征值计算出目标样本z在阴影集合中的后验概率P，从而可以根据后验概率P和先验概率α的差值来评估该已经训练好的模型对于训练样本集合的隐私泄露程度是否合格，在不合格的情形下则改变目标样本和训练样本集合的归属关系，从而得到新的训练样本集合并进行模型调整，以避免隐私数据泄露。

Description

一种模型更新方法、装置及设备

技术领域

本说明书实施例涉及信息技术领域，尤其涉及一种模型更新方法、装置及设备。

背景技术

在机器学习的过程中，基于数据训练的机器学习模型算法往往面临泄露训练数据中用户隐私的问题。例如，针对模型的成员攻击(Membership Attack)，成员攻击的攻击者在给一个已经训练好的模型和一个或者多个特定样本的情形时，尝试判断样本有没有在训练模型的时候被用到，以便反向尝试推导模型的训练方法和识别方法。

基于此，需要一种在机器学习中可以避免隐私泄露的模型更新方案。

发明内容

本申请实施例的目的是提供一种在机器学习中可以避免隐私泄露的模型更新方案。

为解决上述技术问题，本申请实施例是这样实现的：

一种模型更新，包括：

获取阴影集合S和目标样本z，其中，所述阴影集合中的部分样本属于已训练模型的训练样本集合；

确定阴影集合中包含训练样本的先验概率α，以及，确定所述已训练模型中的已训练参数分布θ₀；

对所述阴影集合中的样本进行采样，并根据采样结果训练得到采样模型，确定在所述采样模型中的采样训练参数分布θ₁；

根据目标样本z的特征值、已训练参数分布θ₀和采样训练参数分布θ₁确定出目标样本在所述阴影集合中的后验概率P；

计算所述后验概率P和先验概率α的差值，根据所述差值评估所述已训练模型对于所述训练样本集合的隐私泄露程度；

若所述隐私泄露程度超过阈值，改变所述目标样本与所述已训练模型的训练样本集合的归属关系，得到新的训练样本集合，并根据所述新的训练样本集合更新所述已训练模型。

对应的，本说明书实施例还提供一种模型更新，包括：

获取模块，获取阴影集合S和目标样本z，其中，所述阴影集合中的部分样本属于已训练模型的训练样本集合；

确定模块，确定阴影集合中包含训练样本的先验概率α，以及，确定所述已训练模型中的已训练参数分布θ₀；

采样模块，对所述阴影集合中的样本进行采样，并根据采样结果训练得到采样模型，确定在所述采样模型中的采样训练参数分布θ₁；

后验概率模块，根据目标样本z的特征值、已训练参数分布θ₀和采样训练参数分布θ₁确定出目标样本在所述阴影集合中的后验概率P；

评估模块，计算所述后验概率P和先验概率α的差值，根据所述差值评估所述已训练模型对于所述训练样本集合的隐私泄露程度；

更新模块，若所述隐私泄露程度超过阈值，改变所述目标样本与所述已训练模型的训练样本集合的归属关系，得到新的训练样本集合，并根据所述新的训练样本集合更新所述已训练模型。

通过本说明书实施例所提供的方案，在给定阴影集合S和目标样本的情形下，分别计算阴影集合中包含训练样本的先验概率α，以及，根据阴影集合S进行采样并训练模型时所得到的采样模型的采样训练参数分布，进而根据给定模型的训练参数分布和目标样本的特征值计算出目标样本z在阴影集合中的后验概率P，从而可以根据后验概率P和先验概率α的差值来评估该已经训练好的模型对于训练样本集合的隐私泄露程度是否合格，在不合格的情形下则改变目标样本和训练样本集合的归属关系，从而得到新的训练样本集合并进行模型调整，以避免隐私数据泄露。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书实施例。

此外，本说明书实施例中的任一实施例并不需要达到上述的全部效果。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书实施例中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本说明书实施例提供的一种模型更新的方法的流程示意图；

图2为本说明书实施例所给出的阴影集合S和训练样本集合的示意图；

图3为本说明书实施例所提供的一种根据分类结果反推先验概率的示意图；

图4是本说明书实施例提供的一种机模型更新装置的结构示意图；

图5是用于配置本说明书实施例方法的一种设备的结构示意图。

具体实施方式

为了使本领域技术人员更好地理解本说明书实施例中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于保护的范围。

以下结合附图，详细说明本说明书各实施例提供的技术方案。如图1所示，图1是本说明书实施例提供的一种模型更新方法的流程示意图，该流程具体包括如下步骤：

S101，获取阴影集合S和目标样本z，其中，所述阴影集合中的部分样本属于已训练模型的训练样本集合。

首先，已训练模型是基于训练样本集合所训练得到的可用模型。在本说明书时实施例中，不限定已训练模型的使用场景。训练样本中可以是有标签的样本，也可以是无标签的样本。

阴影集合S中包含有训练样本集合中的部分样本。换言之，阴影集合S和训练样本集合存在一个非空的交集。同时，阴影集合中还包含可以应用于辅助攻击的数据。辅助攻击的数据通常和训练样本集合中的样本场景类似，特征和用途基本相同。如图2所示，图2为本说明书实施例所给出的阴影集合S和训练样本集合的示意图。

例如，在风控场景下，训练样本集合可以是用户在第三方支付平台A上所产生的最近3个月内的历史数据，而阴影集合则可能是用户在第三方支付平台A上所产生最近1周内的历史数据，以及，用户在第三方支付平台B上所产生的最近2个月内的历史数据。

需要说明的是，在本说明书实施例中，阴影集合S可以是评估人员基于训练样本集合所构建的。换言之，评估人员可以知道阴影集合S中包含有多少训练样本，以及，也可以知道一个样本是否为训练样本。

当然，在一种实施方式中，阴影集合S也可以是随机抽样构成的，即评估人员无需了解阴影集合S中的构成。

目标样本z所包含的特征应当和训练样本相同，目标样本可以在训练样本的集合中，也可以不在训练样本的集合中。需要说明的是，不论“目标样本可以在训练样本的集合中”还是“目标样本不在训练样本的集合中”，本质上都是泄露了一定的信息。在本说明书实施例的方案中，没有泄露信息应当是“不知道目标样本是否在训练样本的集合中”。以下以目标样本在训练样本的集合中作为示例进行说明。

S103，确定阴影集合中包含训练样本的先验概率α，以及，确定所述已训练模型中的已训练参数分布θ₀。

训练参数指的是在模型训练的过程中所需要调整的参数，以使得训练模型能够实现较好的分类或者识别。例如，在神经网络训练模型中，训练参数指的是该模型训练过程中所需要调整的若干权重参数。

对于一个已训练模型而言，其所包含的训练参数是固定了的，此时，训练参数成为已训练参数，可以通过已训练参数分布θ₀来表示。

如前所述，阴影集合可以是评估人员预先构建的，因此，评估人员可以知晓阴影集合中包含训练样本的比例，进而直接将所述比例确定为先验概率α。

在一种实施方式中，评估人员也可以无需关注阴影集合的构成，而是将阴影集合中的样本逐一输入值已训练的模型中进行识别，进而根据识别结果进行统计。

容易理解，在给定训练样本的集合和已训练模型时，并使用该已训练模型去进行识别时，识别结果的概率分布评估人员已经知道。此时，再给出包含部分训练样本的阴影集合S，并使用该已训练模型去进行识别时和去进行分类时，评估人员即可以根据分类的分布情形来反推阴影集合S中所包含的训练样本的先验概率α。

例如，假设对于训练样本的集合，已训练模型对其聚类的结果总是有部分在区域1，而另一部分在区域2；而对于阴影集合S进行聚类时，聚类结果中存在一些既不在区域1，也不在区域2的其它点。此时则可以根据该聚类结果来统计阴影集合中包含训练样本的先验概率α。假设对于阴影集合进行据诶时，区域1和2中的样本包含有100个，而不在区域1或2中的样本有200个，则可以估计阴影集合中包含训练样本的先验概率α＝100/(100+200)＝1/3。如图3所示，图3为本说明书实施例所提供的一种根据分类结果反推先验概率的示意图。

S105，对所述阴影集合中的样本进行采样，并根据采样结果训练得到采样模型，确定在所述采样模型中的采样训练参数分布θ₁。

此处的采样可以是随机采样，也可以是非随机采样，例如，简单随机抽样、系统抽样、整群抽样或者分层抽样等等。

通过抽样，即可以得到一个采样结果，即包含若干采样样本的采样集合，进而可以根据采样结果进行模型训练以得到采样模型，在这个过程中，所采用的模型训练方式应该和已训练模型的模型训练方式相同，训练的目标即为训练参数。类似于已训练参数，在采样模型中，可以通过为采样训练参数分布θ₁来表示采样模型中训练得到的若干采样训练参数。

采样模型可以是一个，也可以是多个，通过多次采样，即得到了一个在阴影集合S下的采样训练参数分布θ₁的后验分布，并计算得到采样训练参数分布θ₁的期望E。

S107，根据目标样本z的特征值、已训练参数分布θ₀和采样训练参数分布θ₁确定出目标样本在所述阴影集合中的后验概率P。

由于目标样本Z的特征值是已知的，因此，在得到了已训练参数分布θ₀和采样训练参数分布θ₁之后，即可以估计目标样本在所述训练样本集合中的后验概率P。

具体而言，可以采用如下方式首先计算训练参数在阴影集合和已训练模型中的分布误差值

其中的l为误差计算函数，e为自然底数，z为目标样本的特征值。

误差计算函数可以采用预设的其它函数，也可以采用在模型训练时针对训练参数所采用的误差计算函数(也可以称为损失函数)。例如对数似然误差、均方差损失函数或者交叉熵损失函数。使用模型训练时所采用的误差计算函数，可以使得计算得到的分布误差值更为准确。

进而，可以根据阴影集合中包含训练样本的先验概率α计算阴影集合中的样本分布情形，即通过阴影集合中的训练样本和非训练样本的比例

来表征阴影集合中的样本分布，进而基于似然函数来估计在给定了一定分布的阴影集合S时，目标样本所存在于所述阴影集合S中的后验概率。换言之，似然函数表征了在已经阴影集合S中的样本分布时，阴影集合中包含目标样本的可能性的估计。

在本说明书实施例中，似然函数可以采用如下的形式：P＝1/(1+e^-t)，其中，

S109，计算所述后验概率P和先验概率α的差值，根据所述差值评估所述已训练模型对于所述训练样本集合的隐私泄露程度。

通过计算后验概率P和先验概率α的差值，即可以表征该已训练模型对于所述训练样本集合的隐私泄露程度。

换言之，在理想情况下，如果该已训练模型不会泄露出训练样本的信息，那么此时基于目标样本所得到的后验概率P和先验概率α应当相同，即此时攻击人员无法通过目标模型的参数分布来判断目标样本到底是不是在训练样本的集合中。

若目标样本在训练样本中，则此时计算得到的后验概率P将会显著大于先验概率α，从而攻击人员可以知道目标样本有较大的概率在训练样本的集合中。

在前述描述中，是以目标样本在训练样本的集合中作为示例进行说明。在实际应用中，也可以设定目标样本不在训练样本中的集合中。此时，计算差值时只需采用目标样本不在阴影集合S的后验概率(1-P)与目标样本不在阴影集合S中的先验概率1-α进行做差即可，此时得到的差值可能是一个负值，但是该负值同样泄露了信息，即“目标样本有较大的概率不在训练样本的集合中”。

综上所述，在一种实施方式中，可以采用对于差值取绝对值的方式，根据所述绝对值的绝对值大小评估所述已训练模型对于所述训练样本集合的隐私泄露程度，即差值的绝对值总是能反应出该目标样本是否存在于目标模型的训练样本的集合中。其中，所述绝对值越大，所述已训练模型对于所述训练样本集合的隐私泄露程度越高。

S111，若所述隐私泄露程度超过阈值，改变所述目标样本与所述已训练模型的训练样本集合的归属关系，得到新的训练样本集合，以更新所述已训练模型。

如前所述，隐私泄露程度可以通过差值定量的体现。因此，还可以事先设定一定的差值阈值，从而可以定量的评估一个已训练的模型中的隐私泄露程度是否合格。如前所述，基于前述计算过程所得到的差值基本不可能接近理想情况，即，差值不可能为0，而总是在一定的区间内晃动。

因此，可以基于经验设定阈值区间，例如[-0.1，0.1]，如果差值超出阈值区间，则判定该已训练模型有较大可能会泄露目标样本是否在训练样本的集合中，需要重新调整，否则，当差值或者差值绝对值在阈值区间内时，则确定在保护训练样本隐私方面是一个符合要求的已训练模型，无需对于训练样本以及模型进行调整更新。

目标样本与已训练模型的训练样本集合的归属关系存在两种可能，即目标样本属于训练样本集合，或者，目标样本不属于训练样本集合。因此，改变的方式可以是当目标样本属于训练样本集合时，将目标样本从训练样本集合中剔除；或者，当目标样本不属于训练样本集合，将目标样本加入至所述已训练模型的训练样本集合，从而得到新的训练样本集合。

新的训练样本集合可以用于对已训练模型再次进行调整性的训练，得到调整后的已训练模型，并且重新选定新的目标样本再次对于调整后的已训练模型进行隐私泄露程度的评估。

在实际应用中，可以在一次评估中选取包含多个目标样本的目标样本集合(目标样本集合中的各目标样本与训练样本集合的归属关系应当相同)进行评估，从而可以一次性的在训练样本集合对多个目标样本同时进行调整，提高效率。

前述对于训练样本集合的调整和对于模型的更新过程可以反复进行，通过对于训练样本集合的多次调整和对于已训练模型的多次更新，从而最终得到一个隐私泄露程度符合要求的已训练模型。

通过本说明书实施例所提供的方案，在给定阴影集合S和目标样本的情形下，分别计算阴影集合中包含训练样本的先验概率α，以及，根据阴影集合S进行采样并训练模型时所得到的采样模型的采样训练参数分布，进而根据给定模型的训练参数分布和目标样本的特征值计算出目标样本z在阴影集合中的后验概率P，从而可以根据后验概率P和先验概率α的差值来评估该已经训练好的模型对于训练样本集合的隐私泄露程度，从而可以准确的定量评估一个已经训练好的模型对于样本的隐私泄露程度是否合格，在不合格的情形下则改变目标样本和训练样本集合的归属关系，从而得到新的训练样本集合并进行模型调整，以避免隐私数据泄露。

在具体的应用场景中，已训练模型可以是诸如图像识别模型、风险识别模型或者信息推荐模型等等需要使用包含用户隐私数据进行训练所得到的模型。

在图像识别模型中，训练样本可能需要使用到用户的生物特征或者身份标识。例如，在人脸识别模型中，就可能需要使用用户标识特征作为训练样本的标签，并且使用用户的面部特征作为训练样本的特征。即此时的训练样本或者目标样本中均有可能包含有用户标识特征。用户标识特征的取值即为可用来识别或定位用户的信息，如电话号码、地址、信用卡号、认证信息、身份证号等等。

在风险识别模型(例如电商平台的交易风险识别模型，或者第三方支付平台的支付风险识别模型)或者信息推荐模型(例如广告推荐模型或者视频推荐模型)等模型中，可能不仅需要使用用户身份标识，还有可能需要使用到用户行为特征，例如，用户年龄、信用特征、过往交易记录、财务信息、历史访问记录等等特征。目标样本或者训练样本中则包含了前述的用户标识特征和用户行为特征中的至少一种。前述的用户可以是买家用户、卖家商户、金融机构方等等。

以支付风险识别模型为例，假设训练样本集合是用户在第三方支付平台A上所产生的包含前述行为特征的最近3个月内的历史支付数据。基于前述可知，此时可以从训练样本的集合中抽取多个样本作为目标样本(例如，抽取一个月之内用户Y所产生的支付数据)，并且根据该批目标样本的特征值计算模型参数的分布误差值和阴影集合中包含目标样本的后验概率，进而对于已训练的支付风险识别模型进行评估，如果评估不合格，则对于攻击方而言就知道这一批目标样本有较大概率存在于训练样本的集合中。

不合格的评估结果对于已训练的支付风险识别模型是不利的，因为攻击方就可以将用户Y一周之内所产生的支付数据加入到备用集合中。经过反复尝试，攻击方就可能得到足够多的属于训练样本集合的目标样本，进而攻击方就可以构建出于与训练样本集合足够相似的备用集合，并尝试使用备用集合训练得到一个与已训练的支付风险识别模型足够接近的阴影模型，并且从阴影模型的训练方式中可以推导出支付风险识别模型的风险识别方式，从而就有可能钻漏洞。

因此，此时应当把用户Y一周之内所产生的支付数据从训练样本集合中进行剔除，并根据剔除后所生成的新的训练样本调整所述支付风险识别模型。通过反复的调整更新，实现对于任一目标样本，更新后的支付风险识别模型对于更新后的训练样本集合的隐私泄露程度都不超过阈值，以避免训练样本集合的信息泄露。

在一种实施方式中，还可以采用多个目标样本进行评估。获取多个目标样本的多个差值(或者差值的绝对值)，确定所述多个差值的统计值，根据所述统计值确定所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述统计值包括平均数、中位数、最大值或者最小值等等。通过多个目标样本的统计值进行统计评估，可以降低基于单个目标样本进行评估时的波动，使得评估结果更为准确。

对应的，本说明书实施例还提供一种模型更新装置，如图4所示，图4是本说明书实施例提供的一种模型更新的结构示意图，包括：

获取模块401，获取阴影集合S和目标样本z，其中，所述阴影集合中的部分样本属于已训练模型的训练样本集合；

确定模块403，确定阴影集合中包含训练样本的先验概率α，以及，确定所述已训练模型中的已训练参数分布θ₀；

采样模块405，对所述阴影集合中的样本进行采样，并根据采样结果训练得到采样模型，确定在所述采样模型中的采样训练参数分布θ₁；

后验概率模块407，根据目标样本z的特征值、已训练参数分布θ₀和采样训练参数分布θ₁确定出目标样本在所述阴影集合中的后验概率P；

评估模块409，计算所述后验概率P和先验概率α的差值，根据所述差值评估所述已训练模型对于所述训练样本集合的隐私泄露程度；

更新模块411，若所述隐私泄露程度超过阈值，改变所述目标样本与所述已训练模型的训练样本集合的归属关系，得到新的训练样本集合，并根据所述新的训练样本集合更新所述已训练模型。

进一步地，所述确定模块403，确定所述阴影集合中包含训练样本的比例，将所述比例确定为先验概率α；或者，采用所述已训练模型对所述阴影集合中的样本进行识别，根据所述识别结果统计所述阴影集合中包含训练样本的先验概率α。

进一步地，所述采样模块405，对所述阴影集合中的样本进行随机采样；或者，对所述阴影集合中的样本进行非随机采样。

进一步地，所述后验概率模块407，确定所述采样训练参数分布θ₁的期望E；确定误差计算函数l，根据所述期望E和l确定出训练参数在阴影集合和已训练模型中的分布误差值

根据分布误差值S，所述采用如下似然函数计算所述后验概率P：P＝1/(1+e^-t)，其中，

更进一步地，所述后验概率模块407，将所述已训练模型中进行训练时所采用的误差函数确定为误差计算函数l。

进一步地，所述评估模块409，根据所述绝对值的绝对值大小评估所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述绝对值越大，所述已训练模型对于所述训练样本集合的隐私泄露程度越高。

进一步地，所述评估模块409，获取多个目标样本的多个差值，确定所述多个差值的统计值，根据所述统计值确定所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述统计值包括平均数、中位数、最大值或者最小值。

本说明书实施例还提供一种计算机设备，其至少包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，处理器执行所述程序时实现图1所示的模型更新方法。

图5示出了本说明书实施例所提供的一种更为具体的计算设备硬件结构示意图，该设备可以包括：处理器1010、存储器1020、输入/输出接口1030、通信接口1040和总线1050。其中处理器1010、存储器1020、输入/输出接口1030和通信接口1040通过总线1050实现彼此之间在设备内部的通信连接。

处理器1010可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本说明书实施例所提供的技术方案。

存储器1020可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1020可以存储操作系统和其他应用程序，在通过软件或者固件来实现本说明书实施例所提供的技术方案时，相关的程序代码保存在存储器1020中，并由处理器1010来调用执行。

输入/输出接口1030用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。

通信接口1040用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。

总线1050包括一通路，在设备的各个组件(例如处理器1010、存储器1020、输入/输出接口1030和通信接口1040)之间传输信息。

需要说明的是，尽管上述设备仅示出了处理器1010、存储器1020、输入/输出接口1030、通信接口1040以及总线1050，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本说明书实施例方案所必需的组件，而不必包含图中所示的全部组件。

本说明书实施例还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现图1所示的模型更新方法。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本说明书实施例可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本说明书实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本说明书实施例各个实施例或者实施例的某些部分所述的方法。

上述实施例阐明的系统、方法、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于方法实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的方法实施例仅仅是示意性的，其中所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，在实施本说明书实施例方案时可以把各模块的功能在同一个或多个软件和/或硬件中实现。也可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本说明书实施例的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本说明书实施例原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本说明书实施例的保护范围。

Claims

1.一种模型更新方法，包括：

2.如权利要求1所述的方法，确定阴影集合中包含训练样本的先验概率α，包括：

确定所述阴影集合中包含训练样本的比例，将所述比例确定为先验概率α；或者，

采用所述已训练模型对所述阴影集合中的样本进行识别，根据所述识别结果统计所述阴影集合中包含训练样本的先验概率α。

3.如权利要求1所述的方法，对所述阴影集合中的样本进行采样，包括：

对所述阴影集合中的样本进行随机采样；或者，对所述阴影集合中的样本进行非随机采样。

4.如权利要求1所述的方法，根据目标样本的特征值、已训练参数分布θ₀和采样训练参数分布θ₁确定出目标样本在所述阴影集合中的后验概率P，包括：

确定所述采样训练参数分布θ₁的期望E；

确定误差计算函数l，根据所述期望E和l确定出训练参数在阴影集合和已训练模型中的分布误差值

根据分布误差值S，所述采用如下似然函数计算在给定阴影集合时，目标样本存在于所述阴影集合中的后验概率P：

P＝1/(1+e^-t)，其中，

5.如权利要求4所述的方法，确定误差计算函数l，包括：

将所述已训练模型中进行训练时所采用的误差函数确定为误差计算函数l。

6.如权利要求1所述的方法，根据所述差值评估所述已训练模型对于所述训练样本集合的隐私泄露程度，包括：

根据所述绝对值的绝对值大小评估所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述绝对值越大，所述已训练模型对于所述训练样本集合的隐私泄露程度越高。

7.如权利要求1所述的方法，根据所述差值评估所述已训练模型对于所述训练样本集合的隐私泄露程度，包括：

获取多个目标样本的多个差值，确定所述多个差值的统计值，根据所述统计值确定所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述统计值包括平均数、中位数、最大值或者最小值。

8.如权利要求1所述的方法，所述已训练模型包括图像识别模型、风险识别模型或者信息推荐模型，所述目标样本或者训练样本的特征包含用户标识特征或者用户行为特征中的至少一种。

9.一种模型更新装置，包括：

10.如权利要求9所述的装置，所述确定模块，确定所述阴影集合中包含训练样本的比例，将所述比例确定为先验概率α；或者，采用所述已训练模型对所述阴影集合中的样本进行识别，根据所述识别结果统计所述阴影集合中包含训练样本的先验概率α。

11.如权利要求9所述的装置，所述采样模块，对所述阴影集合中的样本进行随机采样；或者，对所述阴影集合中的样本进行非随机采样。

12.如权利要求9所述的装置，所述后验概率模块，确定所述采样训练参数分布θ₁的期望E；确定误差计算函数l，根据所述期望E和l确定出训练参数在阴影集合和已训练模型中的分布误差值

根据分布误差值S，所述采用如下似然函数计算所述后验概率P：

P＝1/(1+e^-t)，其中，

13.如权利要求12所述的装置，所述后验概率模块，将所述已训练模型中进行训练时所采用的误差函数确定为误差计算函数l。

14.如权利要求9所述的装置，所述评估模块，根据所述绝对值的绝对值大小评估所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述绝对值越大，所述已训练模型对于所述训练样本集合的隐私泄露程度越高。

15.如权利要求9所述的装置，所述评估模块，获取多个目标样本的多个差值，确定所述多个差值的统计值，根据所述统计值确定所述已训练模型对于所述训练样本集合的隐私泄露程度，其中，所述统计值包括平均数、中位数、最大值或者最小值。

16.如权利要求9所述的装置，所述已训练模型包括图像识别模型、风险识别模型或者信息推荐模型，所述目标样本或者训练样本的特征包含用户标识特征或者用户行为特征中的至少一种。

17.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，所述处理器执行所述程序时实现如权利要求1至8任一项所述的方法。