[發(fā)明專利]一種聯(lián)邦學(xué)習(xí)中在黑盒場(chǎng)景下基于對(duì)抗樣本的魯棒水印遺忘驗(yàn)證方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202210826339.1
• 申請(qǐng)日: 2022-07-13
• 公開（公告）號(hào): CN115168210B
• 公開（公告）日: 2023-06-23
• 發(fā)明（設(shè)計(jì)）人: 高向珊;王竟亦;程鵬;陳積明
• 申請(qǐng)（專利權(quán)）人: 浙江大學(xué)
• 主分類號(hào): G06F11/36
• 分類號(hào): G06F11/36;G06F18/214;G06N20/00
• 代理公司: 杭州求是專利事務(wù)所有限公司 33200
• 代理人: 劉靜

1.一種聯(lián)邦學(xué)習(xí)中在黑盒場(chǎng)景下基于對(duì)抗樣本的魯棒水印遺忘驗(yàn)證方法，其特征在于，該方法包括數(shù)據(jù)自動(dòng)篩選階段、數(shù)據(jù)增廣階段、對(duì)抗樣本生成階段、對(duì)抗訓(xùn)練階段、以及檢查遺忘階段；

所述數(shù)據(jù)自動(dòng)篩選階段，隨機(jī)篩選出遺忘用戶本地?cái)?shù)據(jù)集S中的固定比例的數(shù)據(jù)集S1；

所述數(shù)據(jù)增廣階段，對(duì)數(shù)據(jù)集S1中的數(shù)據(jù)進(jìn)行基礎(chǔ)的數(shù)據(jù)增廣，包括切換視角、隨機(jī)模糊、色彩抖動(dòng)和隨機(jī)旋轉(zhuǎn)，形成增廣后的數(shù)據(jù)集S2；

所述對(duì)抗樣本生成階段，利用對(duì)抗樣本生成算法微調(diào)數(shù)據(jù)集S2中的增廣數(shù)據(jù)生成對(duì)應(yīng)的對(duì)抗樣本，這些對(duì)抗樣本在人眼看上去與正常樣本差別不大，但輸入到模型中將得到完全不同的輸出；將這些對(duì)抗樣本和它們正確的類別組合得到驗(yàn)證數(shù)據(jù)集S3；

所述對(duì)抗訓(xùn)練階段，將遺忘用戶本地模型在對(duì)抗樣本驗(yàn)證數(shù)據(jù)集S3和原始的本地?cái)?shù)據(jù)集S上進(jìn)行對(duì)抗訓(xùn)練，從而將水印嵌入到本地模型中，這里嵌入的水印對(duì)應(yīng)驗(yàn)證數(shù)據(jù)集S3中對(duì)抗樣本上正確的原始類別；嵌入水印后的本地模型上傳給中心服務(wù)器聚合，生成下一個(gè)周期的全局模型；

所述檢查遺忘階段，遺忘用戶通過黑盒訪問接下來若干個(gè)周期的全局模型提取水印，提取的水印由全局模型在驗(yàn)證數(shù)據(jù)集S3中的對(duì)抗樣本上的輸出類別形成，根據(jù)提取的水印與原始嵌入水印的對(duì)比結(jié)果，驗(yàn)證遺忘情況。

2.根據(jù)權(quán)利要求1所述的一種聯(lián)邦學(xué)習(xí)中在黑盒場(chǎng)景下基于對(duì)抗樣本的魯棒水印遺忘驗(yàn)證方法，其特征在于，這種對(duì)水印依賴的對(duì)抗樣本的魯棒行為是遺忘用戶個(gè)人私有的，且這種對(duì)抗樣本和對(duì)應(yīng)的正確標(biāo)簽的組合是唯一屬于且能夠標(biāo)記該用戶的，并且這種由嵌入水印所帶來的模型對(duì)于對(duì)抗樣本的魯棒性作為一種數(shù)據(jù)增廣的手段，能夠提升全局模型的魯棒性。

3.根據(jù)權(quán)利要求1所述的一種聯(lián)邦學(xué)習(xí)中在黑盒場(chǎng)景下基于對(duì)抗樣本的魯棒水印遺忘驗(yàn)證方法，其特征在于，所述數(shù)據(jù)增廣階段，對(duì)數(shù)據(jù)集S1中的數(shù)據(jù)進(jìn)行基礎(chǔ)的數(shù)據(jù)增廣形成增廣后的數(shù)據(jù)集S2，這些增廣數(shù)據(jù)直接作為生成水印依賴的對(duì)抗樣本的初始數(shù)據(jù)，能夠?qū)⑺》€(wěn)定地嵌入模型中并用來驗(yàn)證遺忘情況和提升模型魯棒性，并且這些增廣后的數(shù)據(jù)能夠進(jìn)一步擴(kuò)大遺忘用戶的數(shù)據(jù)與其他未增廣的參與者的數(shù)據(jù)的差異，提升遺忘用戶數(shù)據(jù)的唯一性。

4.根據(jù)權(quán)利要求1所述的一種聯(lián)邦學(xué)習(xí)中在黑盒場(chǎng)景下基于對(duì)抗樣本的魯棒水印遺忘驗(yàn)證方法，其特征在于，所述檢查遺忘階段中，通過檢查全局模型在驗(yàn)證數(shù)據(jù)集S3上的準(zhǔn)確率來判斷是否成功遺忘用戶；具體來說，遺忘用戶通過黑盒訪問接下來若干個(gè)周期的全局模型提取水印，提取的水印由全局模型在驗(yàn)證數(shù)據(jù)集S3中的對(duì)抗樣本上的輸出類別形成，根據(jù)提取的水印與原始嵌入水印的對(duì)比結(jié)果，得出聯(lián)邦遺忘驗(yàn)證結(jié)果的可信度。