CN112671746A - 一种基于区块链的联邦学习模型中毒检测方法 - Google Patents

Abstract

本发明公开了一种基于区块链的联邦学习模型中毒检测方法，包括：(1)获取在客户端训练并上传的多个边缘模型，并对边缘模型的每层具有最大权重参数的神经元进行剪枝；(2)依据每个客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的相似度来检测中毒模型；(3)依据相似度计算边缘模型的POW收益值后，依据POW收益值决定聚合模型的管控权后，并根据POW收益值和聚合剪枝后的边缘模型得到聚合模型并保管在具有管控权的客户端，该客户端将聚合模型下发至其他客户端作为边缘模型，用于边缘训练。该方法根据边缘模型参数分布状态监测中毒模型，同时利用激励机制来计算工作量证明，依据工作量证明聚合边缘模型得到聚合模型。

Description

一种基于区块链的联邦学习模型中毒检测方法

技术领域

本发明属于联邦学习、区块链以及模型安全监测领域，具体涉及一种基于区块链的联邦学习模型中毒检测方法。

背景技术

Google提出了联邦学习(FL)来解决训练机器学习模型的问题，即无需直接访问各种训练数据，特别是对于隐私敏感的任务。利用参与者的本地训练数据，联邦学习可以训练出不断优化的全局模型。在商业模型中部署联邦学习的应用非常广泛，并且趋势不断增长，例如贷款状态预测，健康状况评估(例如潜在的癌症风险评估)以及打字时的联想预测。

联邦学习是一种流行的学习机制，其中多方将本地梯度上传到服务器，并且服务器使用收集的梯度更新模型参数。但是，联邦学习中有许多安全问题被忽略，例如，参与者在梯度收集或参数更新中可能行为不正确，并且服务器也可能是恶意的。每个客户的原始数据都存储在本地，不进行交换或转移；相反，权重更新是狭义的更新，以包含针对特定学习任务所需的最少信息。在数据最小化服务中，尽可能早地执行聚合。

联邦学习本质上是深度学习和分布式计算的组合，其中存在一个称为参数服务器的服务器，该服务器维护深度学习模型以进行训练，并且多个参与者都参与其中。分布式培训过程。首先，训练数据被划分并存储在各参与者。然后，每一参与者分别在其本地数据上训练深度学习模型(与参数服务器上维护的模型相同)，并将中间梯度上传到参数服务器。在收到所有各方的优惠后，参数服务器会汇总这些梯度并相应地更新学习模型参数，此后，各方会从服务器下载更新后的参数，并继续在相同的本地数据上训练她的模型再次使用下载的参数。重复此训练过程，直到训练误差小于预定阈值为止。特别是，由于隐私问题或法规限制而限制对参与者个人数据的访问可能会促进对使用联邦学习训练的共享模型的后门攻击。后门攻击是一种数据中毒攻击，旨在操纵训练数据的子集，以使在经过篡改的数据集上训练的机器学习模型将容易受到嵌入了类似触发器的测试集的攻击。

尽管正在进行有关分布式深度学习的广泛研究，但到目前为止，有两个严重的问题很少受到关注。其中，一方面是现有工作通常考虑来自好奇的参数服务器的隐私威胁，而忽略了梯度收集和参数更新中不诚实行为还存在其他安全威胁的事实，这可能会破坏联邦学习训练过程。例如，参数服务器可能会故意降低某些参与者的梯度，或者故意错误地更新模型参数。

另一方面，在业务应用程序中，一些公司可能不愿意参加联邦学习，因为他们非常担心在联邦学习训练期间可能会泄露其有价值的数据。显然，确保数据安全并为分布式深度学习引入某种激励机制至关重要，以便更多的参与者可以积极参与协作培训。传统的激励机制可分为三类：基于信誉的机制，按需支付和基于支付的机制。通常，这些机制还需要受信任的集中式权威来审核参与者的行为并仲裁其收益。不幸的是，它们无法提供公共审计能力和决策公正性。

发明内容

鉴于上述，本发明提供了一种基于区块链的联邦学习模型中毒检测方法，利用激励机制来计算工作量证明，并且在寻找到潜在的恶意客户端后，通过神经元剪枝操作来去除潜在的后门，实现联邦学习模型的中毒检测。

本发明提供的技术方案为：

一种基于区块链的联邦学习模型中毒检测方法，包括以下步骤：

(1)获取在客户端训练并上传的多个边缘模型，并对边缘模型的每层具有最大权重参数的神经元进行剪枝；

(2)依据每个客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的相似度来检测中毒模型；

(3)依据相似度计算边缘模型的POW收益值后，依据POW收益值决定聚合模型的管控权后，并根据POW收益值和聚合剪枝后的边缘模型得到聚合模型并保管在具有管控权的客户端，具有管控权的客户端作为临时服务端将聚合模型下发至其他客户端作为边缘模型，用于边缘训练。

与现有技术相比，本发明具有的有益效果至少包括：

本发明提供的基于区块链的联邦学习模型中毒检测方法，通过一个客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的相似度来检测中毒模型，同时对最大权重参数的神经元进行剪枝，并将边缘模型的累积POW收益值作为权重，对剪枝后的边缘模型进行聚合来更新聚合模型，同时也根据POW收益值决定聚合模型的管控权，实现区块链分布账本的管理，这样能够顾实现联邦学习模型的中毒检测以及攻击防御。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图做简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动前提下，还可以根据这些附图获得其他附图。

图1是本发明提供的基于区块链的联邦学习模型中毒检测方法的方框示意图；

图2是本发明实施例提供的基于区块链的联邦学习模型中毒检测方法的流程图；

图3是本发明实施例提供的POW收益值的生成示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例对本发明进行进一步的详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不限定本发明的保护范围。

联邦学习的应用领域越来越广泛，但由于联邦学习本身的隐私性问题，没法访问客户端的数据。此外，作为服务器端，无法通过有效的方法来监管服务器端的操作一直是正确的。因此，无法保证客户端数据的安全性。并且，在联邦场景下也无法进行有效的中毒模型甄别。基于此种情况，本发明实施例提出了一种基于区块链检测的联邦学习中毒检测方法，具体构思为：首先，利用区块链的去中心化操作来防止服务器破坏，同时利用超级节点可以防止恶意客户端抱团，来进行联邦下中毒模型的防御，以提高模型的安全性，同时利用上传的中毒模型的模型参数来引入激励机制和工作量证明，将激活值最大的神经元进行剪枝，剪枝后观测下一轮次的账本神经元与历史结果是否一致，如果一致，则降低其PoW的值。最后根据PoW的值来进行账本的去中心化，将训练完成的模型作为服务器端的模型进行下次更新。

图1是本发明提供的基于区块链的联邦学习模型中毒检测方法的方框示意图；图2是本发明实施例提供的基于区块链的联邦学习模型中毒检测方法的流程图。参见图1和图2，实施例提供的基于区块链的联邦学习模型中毒检测方法包括以下步骤：

步骤1，模型初始化

模型初始化时，设定整体训练轮次E、本地良性数据集、参与联邦学习的整体客户端设备数M，每轮参与训练的客户端设备数K(K≤M)，服务器端部署需要训练的模型，并将需要训练的模型结构发送给每个客户端设备。

步骤2，边缘模型训练

每个客户端设备采用本地良性数据集对接收的模型作为边缘模型进行训练，得到边缘模型。

步骤3，对边缘模型的每层具有最大权重参数的神经元进行剪枝。

实施例中，针对每个边缘模型，首先，提取边缘的每层具有最大权重参数的神经元组成最大神经元集合，然后，然后将最大神经元集合中的所有最大神经元的权重参数值置零，以使最大神经元失活，实现对最大神经元的剪枝。

具体来说，选取边缘模型中每一层权重参数最大的神经元，

其中，

是t轮次客户端训练出来的第k个边缘模型的每一层最大权重参数值的集合，l₁、l₂、l₃分别为第一层、第二层和第三层的权重，然后对选择的最大神经元进行失活操作，即

其中，

是掩码操作，目的将边缘模型最大神经元对应的最大权重参数值置零，此时

是经过失活操作的模型参数，也就是通过去除最大神经元实现剪枝后的边缘模型。

步骤4，依据边缘模型的相似度检测中毒模型。

实施例中，依据每个客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的相似度来检测中毒模型。其中，相邻几次上传的边缘模型参数从存储的历史模型参数中提取获得。

在一个实施方式中，依据客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的NJS散度值作为边缘模型的相似度，筛选NJS散度值大于散度阈值的边缘模型作为中毒模型。

具体来说，针对客户端对应的相邻3次上传的边缘模型的最大权重参数神经元，分别计算相邻两次上传的边缘模型的最大神经元权重参数之间的差值，并依据2个差值计算边缘模型的两次更新中最大权重参数神经元之间的NJS相似度作为边缘模型的相似度。

其中，P和Q是两个分布，NJS散度值的计算公式为：

本实施例中，将

作为P，将

作为Q，则NJS散度值的计算公式为：

其中，

是t轮次和t-1轮次最大神经元的差值，

是t-1轮次和t-2轮次最大神经元的差值，用两次差值来计算模型两次更新中激活值最大神经元的相似度，相似度越高(NJS的最大值为1)，说明模型更新的方向越相似，越有可能是中毒模型。散度阈值是检测中毒模型的门限，一般设为0.7，当NJS相似度大于0.7时，检测边缘模型是中毒模型。

步骤5，依据相似度计算边缘模型的POW收益值，并依据POW收益值聚合边缘模型得到聚合模型，并下发聚合模型到客户端作为边缘模型。

实施例中，依据相似度计算边缘模型的POW收益值后，依据POW收益值决定聚合模型的管控权后，并根据POW收益值和聚合剪枝后的边缘模型得到聚合模型并保管在具有管控权的客户端，具有管控权的客户端作为临时服务端将聚合模型下发至其他客户端作为边缘模型，用于边缘训练。

在一个实施方式中，依据相似度计算每个边缘模型的POW收益值和POW累计收益值，并筛选POW累计收益值大于收益阈值的多个边缘模型对应的客户端具有对聚合模型的管控权。其中，边缘模型的POW收益值为

和POW累计收益值为

收益阈值作为筛选管控权的聚合模型的门限，一般设为累计收益值前三名，当POW累计收益值大于累计收益值前三名时，则认为这些边缘模型可以拥有管控权，在计算聚合模型时具有较大的权重，且可作为临时服务端，对聚合模型进行保管分发聚合模型给其他边缘模型。

在聚合边缘模型时，将具有管控权的边缘模型赋予权重值为1，同时针对将其他边缘模型，将其累积POW收益值的倒数作为权重，对所有剪枝后的边缘模型进行加权求和，得到聚合模型，并将聚合模型保管在具有管控权的客户端。聚合模型的计算公式为：

其中，

表示具有管控权的第j个边缘模型参数，J表示具有管控权的边缘模型个数，

表示具有管控权的第m个边缘模型参数，

表示的累积POW收益值，M表示不具有管控权的边缘模型个数，G_t+1表示聚合模型，作为t+1轮次的边缘模型。

在另外一个实施方式中，依据相似度将所有边缘模型聚成多个超级节点，每个超级节点包含多个边缘模型，针对每个超级节点，依据包含边缘模型的最小相似度更新超级节点的POW收益值和POW累计收益值，选择具有最大POW累计收益值的超级节点拥有聚合模型管控权。

具体来说，将相似度较为相近的边缘模型相互联接，共组成Q个超级节点，每个超级节点至少需要K/Q个客户端，该超级节点的收益PoW由该节点下相似度最低的模型的PoW决定，即：

其中，

表示t轮次时第s个超级节点的POW累计收益值，将当前时刻的边缘模型的相似度

作为计算PoW的关键，并且，相似度

越高，当前轮次获得的PoW收益越小。

之后，针对每个超级节点，将每个边缘模型的累积POW收益值的倒数作为权重，对超级节点包含的所有剪枝后的边缘模型进行加权求和，得到超级节点的次聚合模型。

最后，将最大累积POW收益值的超级节点作为拥有聚合模型管控权的超级节点，其对应的次聚合模型的权重设为1，针对其他超级节点，将其累积POW收益值的倒数作为权重，所有对超级节点的次聚合模型进行加权求和，得到聚合模型，并将聚合模型保管在具有聚合模型管控权的超级节点包含的客户端。

具体来说，将超级节点中的边缘模型进行聚合，产生一个具有代表性的次聚合模型，该次聚合模型作为超级节点的代表进行聚合模型的聚合。具体次聚合模型为：

其中，

表示第s个超级节点对应的次聚合模型参数，Ns表示第s个超级节点包含的边缘模型个数；

根据每个超级节点的PoW值来决定账本的保管，在决定账本后，根据PoW累计收益值来计算更新的比率：

其中，

表示最大累积POW收益值的超级节点对应的次聚合模型参数，该最大累积POW收益值的超级节点W被选出来后，将超级节点W对应的次聚合模型作为更新的主要模型，赋予权重1，其他次聚合模型作为次要模型，赋予权重

聚合得到聚合模型G_t+1，作为t+1轮次的边缘模型。

步骤6，重复步骤2～5，直到达到总轮数E，获得的聚合模型作为最终优化后的联邦学习模型。

上述基于区块链的联邦学习模型中毒检测方法中，利用区块链的去中心化操作后，相当于模型的更新并不是仅仅利用一个，可以有效的防止好奇的服务器故意降低模型权重，并且去中心化后，中毒模型无法直接攻击聚合模型。并且采用超级节点后，可以将多个采用相同的攻击策略的模型聚类在一起，防止多个恶意客户端抱团对模型造成较大的影响。

上述基于区块链的联邦学习模型中毒检测方法中，从去中心化账本的角度来看，每个加入到比特币网络节点(也就是客户端)都要保存一份完整的账本。比特币区块链通过竞争记账方式解决去中心化的账本一致性问题。竞争记账是过程，而不证明竞争结果。采用工作量证明的机制来实现竞争结果判定。

以上所述的具体实施方式对本发明的技术方案和有益效果进行了详细说明，应理解的是以上所述仅为本发明的最优选实施例，并不用于限制本发明，凡在本发明的原则范围内所做的任何修改、补充和等同替换等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种基于区块链的联邦学习模型中毒检测方法，其特征在于，包括以下步骤：

(1)获取在客户端训练并上传的多个边缘模型，并对边缘模型的每层具有最大权重参数的神经元进行剪枝；

(2)依据每个客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的相似度来检测中毒模型；

(3)依据相似度计算边缘模型的POW收益值后，依据POW收益值决定聚合模型的管控权后，并根据POW收益值和聚合剪枝后的边缘模型得到聚合模型并保管在具有管控权的客户端，具有管控权的客户端作为临时服务端将聚合模型下发至其他客户端作为边缘模型，用于边缘训练。

2.如权利要求1所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(1)中，针对每个边缘模型，首先，提取边缘的每层具有最大权重参数的神经元组成最大神经元集合，然后，然后将最大神经元集合中的所有最大神经元的权重参数值置零，以使最大神经元失活，实现对最大神经元的剪枝。

3.如权利要求1所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(2)中，依据客户端对应的相邻几次上传的边缘模型的最大权重参数神经元之间的NJS散度值作为边缘模型的相似度，筛选NJS散度值大于散度阈值的边缘模型作为中毒模型。

4.如权利要求3所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(2)中，针对客户端对应的相邻3次上传的边缘模型的最大权重参数神经元，分别计算相邻两次上传的边缘模型的最大神经元权重参数之间的差值，并依据2个差值计算边缘模型的两次更新中最大权重参数神经元之间的NJS相似度作为边缘模型的相似度。

5.如权利要求1所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(3)还包括：依据相似度计算每个边缘模型的POW收益值和POW累计收益值，并筛选POW累计收益值大于收益阈值的多个边缘模型对应的客户端具有对聚合模型的管控权。

6.如权利要求1或5所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(3)还包括：将具有管控权的边缘模型赋予权重值为1，同时针对将其他边缘模型，将其累积POW收益值的倒数作为权重，对所有剪枝后的边缘模型进行加权求和，得到聚合模型，并将聚合模型保管在具有管控权的客户端。

7.如权利要求1所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(3)还包括：依据相似度将所有边缘模型聚成多个超级节点，每个超级节点包含多个边缘模型，针对每个超级节点，依据包含边缘模型的最小相似度更新超级节点的POW收益值和POW累计收益值，选择具有最大POW累计收益值的超级节点拥有聚合模型管控权。

8.如权利要求1或7所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(3)还包括：针对每个超级节点，将每个边缘模型的累积POW收益值的倒数作为权重，对超级节点包含的所有剪枝后的边缘模型进行加权求和，得到超级节点的次聚合模型。

9.如权利要求8所述的基于区块链的联邦学习模型中毒检测方法，其特征在于，步骤(3)还包括：将最大累积POW收益值的超级节点作为拥有聚合模型管控权的超级节点，其对应的次聚合模型的权重设为1，针对其他超级节点，将其累积POW收益值的倒数作为权重，所有对超级节点的次聚合模型进行加权求和，得到聚合模型，并将聚合模型保管在具有聚合模型管控权的超级节点包含的客户端。

Images