★ FEATURED ARTICLE 第一次认真琢磨联邦学习是在一个跨机构联合建模项目里被逼出来的。合作各方手里各有几千条样本合起来明明能把风控模型的效果抬高一个档位但谁都不愿意、也没办法把原始数据交出去。隐私合规、数据授权范围、商业秘密随便一条都足以让“把数据拷到一起训练”这个方案当场否决。后来我把联邦学习的论文、开源实现和工程复盘翻了一遍才慢慢看清它本质上不是一套更新的算法而是一种重新组织模型训练过程的方式——数据不离开本端只在节点之间交换模型参数靠这种交换完成一次联合训练。下面我会按“问题本质、协议原理、最小代码实现、隐私风险、工程落地”这条线展开适合准备在真实业务里用联邦学习解决问题的团队也适合只想彻底搞懂它在做什么的机器学习学习者。1. 数据不出域还要联合建模这题到底难在哪1.1 集中训练的路为什么越走越窄传统监督学习的整个流程有一个被默认的前提所有训练数据最终能被集中到一台服务器或一个集群上。你显式地设定损失函数反复喂数据、算梯度、更新参数——数据在哪里训练就在哪里。教科书的推导、框架的API、GPU集群的调度逻辑全都建立在这个前提上。可跨机构场景里这个前提经常不成立。我接触过的一个典型情况是这样的两家机构的数据特征维度基本重叠但覆盖的客群恰好互补。单独训练时每个模型的性能都卡在同一个瓶颈上理论上只要把两边的样本合并瓶颈立刻能被撑开。然而一谈到数据如何共享麻烦就来了——不是技术团队不配合而是数据根本不能出域。隐私合规要求数据只能在授权范围内使用把数据传给第三方意味着重新获取授权商业层面谁掌握数据谁就有议价权直接把原始数据交给别人几乎等于把家底交出去工程层面即便签好保密协议跨域传输大规模原始样本的网络成本、清洗标注标准不一致的问题也会把项目拖垮。所以“数据孤岛”从来不是一个技术态度问题而是没有一种机制能在“不交数据”的前提下协作。传统方案在这个约束下要么做不了要么只能做很粗糙的样本级别的间接合作效果远不如合并数据。1.2 模型流动、数据不动联邦学习的基本思路联邦学习把“移动数据”改成了“移动模型”。流程上非常简洁服务端初始化一个全局模型通过加密或普通通信下发到参与节点每个节点用本地数据在本地跑几轮梯度下降节点只把更新后的参数或者参数差值传回服务端服务端把所有返回的参数按各节点样本量加权平均得到新一轮全局模型再重新下发。如此往复直到模型收敛。整个过程里原始数据始终停在产生它的那台设备或那家机构的服务器里没有离开过本端。传输的对象从“数据”变成了“模型的中间状态”这就是联邦学习与其他分布式训练最本质的区别。想理解这套思想我常用一个集体备课的类比教研组组长先出一套统一的教案框架发给大家各个老师在自己班上根据自己学生的实际情况补充例题、做本地教学之后组长把每位老师改进后的教案收回来综合一下再发一轮新框架。学生名单和课堂记录不会被交到组长手里但全组对教学的理解确实被拉高了。注意这个类比的边界联邦学习提升的是全局模型的泛化水平单看某一个参与方本地模型往往不如专门为自己的数据过拟合出来的模型。它的收益来自绝大多数节点共同受益而不是单点最优。1.3 真需求和伪需求别为了概念上联邦先说真需求。第一类是跨机构风控多个金融机构各自保存交易行为与标签样本几乎没有交集但特征描述的是同一类客群横向联邦能把样本量撑起来。第二类是医疗多中心研究几所医院的影像数据都带着严格的使用授权影像不出院却要共同训练诊断模型联邦学习恰好能承载。第三类是端侧场景手机输入法、智能手表的健康模型数据天然分布在海量终端上而且用户同意的是“在本机使用”集中收集反而违背用户预期。再说伪需求。如果数据已经能够合法地汇聚到一处或者模型瓶颈根本不在数据规模那上联邦学习属于过度设计。我见过一个团队手里只有几十万条数据、单卡就能跑完却非要搭一套联邦环境理由是“领导要求平台化”最后通信开销、调试成本远大于收益。还有一个很简单的判断标准如果你的参与方只有一方那这不是联邦学习只是分布式训练换了个名字。真正的联邦场景至少要有两个互不信任、数据又不能合并的主体。2. FedAvg协议拆到骨头参数怎么出去、怎么回来2.1 一个完整训练回合的四步流程FedAvg是目前联邦学习最常用的基础协议它的流程可以精确到四步。第一步服务端初始化全局参数通常是随机初始化或者在公开数据集上做预训练。第二步每个通信轮次开始时服务端从全部 N 个客户端中随机挑选 m 个这个挑选比例一般用参数 C 控制比如 10 个节点里选 5 个然后把当前的全局参数广播给它们。第三步被选中的客户端在各自本地数据上训练 E 个 epoch批量大小 B 可以自己定训练结束后把本地参数传回服务端。第四步是关键服务端不能简单地对这些参数求算术平均而要按每个客户端的样本量做加权平均公式写出来就是 w_{t1} (n1w1 n2w2 ... nm*wm) / (n1 n2 ... nm)。样本多的客户端对全局数据分布更有代表性权重自然应该和样本量成正比。如果让一个 5000 样本的端和一个 500 样本的端地位平等小端的本地噪声会被不当放大收敛会变得很不稳定。这里有个容易被忽略的细节被选中的客户端每次拿到的是当前全局参数而不是上一轮自己留下的参数。这样设计是为了防止各端的本地偏差在端上不断累积。相当于每个人都从同一个起点听同一堂课而不是各自按自己的旧笔记接着写。2.2 参数平均为什么有效把它看成分布式SGD要理解参数平均为什么有效把联邦学习看成一种特殊的分布式随机梯度下降是最顺的思路。在理想情况下也就是各客户端数据独立同分布时每个客户端用本地数据算出来的梯度是全局梯度的一个无偏估计。于是服务端对所有客户端更新做加权平均等价于在全量数据上执行了一次更大批量的小步更新。每个客户端在本地多做几轮 SGD相当于在一次通信间隔内多走了几步但方向仍然在全局方向附近。这也是为什么 FedAvg 在独立同分布环境下能非常快地逼近集中式训练的效果。问题恰恰出在“独立同分布”这个前提上。当各客户端数据分布差异很大时本地梯度不再是全局梯度的无偏估计每个端都在往自己的局部最优点走。本地训练轮次拉得越长走偏就越远。服务端拿到的是一堆来自不同方向的参数简单求平均自然会得到一棵“四不像”。这可以被看作联邦学习里的核心代价你为了不碰数据付出了分布偏移带来的精度损失。理解这一层再看那些所谓“联邦学习比集中训练效果更好”的宣传你就能自己判断了。只有在数据的非独立同分布程度很低、或者引入某种修正机制时联邦学习才能做到与集中式相当而不是天然就更好。2.3 安全聚合、同态加密、差分隐私谁在哪个环节起作用一个朴素的 FedAvg 实现事实上暗含一个信任假设服务端是诚实但好奇的它能清楚看到每个客户端上传的参数。所以讨论“联邦学习保护隐私”时一定要分清保护的是哪一段链路。安全聚合解决的是服务端偷看问题。客户端之间两两约定随机掩码把所有掩码叠加在自己的更新上再传给服务端由于掩码之和相互抵消服务端最终只能得到所有客户端更新的总和或平均而无法倒推某一家的更新。它的计算开销比加密小很多主要的代价是客户端之间需要额外通信协商掩码。同态加密是另一条路线客户端把参数加密成密文服务端直接在密文上做加法或加权平均解密后就能得到聚合结果整个过程中明文不暴露。逻辑上干净但计算和通信开销都很大适合参与方少、交互轮次少的场景。差分隐私和上面两者不在同一个层级。安全聚合和同态加密防的是“服务端看到个体更新”差分隐私防的是“即使看到聚合结果也无法推断某个个体是否参与了训练、贡献了什么”。做法通常是在上传前对参数更新做裁剪和加噪用隐私预算来量化泄露上限。容易踩的误区是以为把这三者叠加起来就万事大吉噪声加多了模型精度下降聚合协议设计不当还会引入新的时序攻击。更现实的问题是很多开源实现默认就是“明文参数聚合”安全组件需要架构师显式接入部署前必须逐链路确认哪些环节其实还是明文的。3. 手搓一个最小可跑的联邦训练实验3.1 实验设计十台模拟客户端、两种数据分布说再多不如跑一遍。为了把机制看清楚建议先不要上任何端到端框架直接用纯数值计算实现一个最简逻辑回归。实验设定10 个模拟客户端每个客户端 500 条样本特征维度 20二分类任务。为了可复现全部用固定随机种子。先生成一个全局数据集用一个固定的真权重对特征做线性组合得到 logit再过 sigmoid 变成正样本概率采样出标签。测试集独立留出 2000 条。然后做两种数据切分IID 切分把全局样本随机打乱后均分 10 份非IID 切分则借助一个狄利克雷分布控制每个客户端获得的正负样本比例让一部分客户端几乎只看到正样本、另一部分几乎只看到负样本——这是研究社区里模拟非独立同分布数据最常用的一招。我特意选线性模型而不是深度模型是因为参数少、行为可解释。如果连一个逻辑回归的联邦平均都能看出问题和规律说明这个观察有普遍性反过来一个在玩具深度网络上跑出来的结论未必能帮你分清到底是模型容量问题还是联邦协议问题。3.2 核心代码本地训练、参数聚合、通信轮次下面是完整可运行的实现核心就三个部分客户端本地 SGD、服务端加权平均、主循环调度。import numpy as np # ---------- 数据准备 ---------- FEATURES 20 N 5000 rng np.random.default_rng(2024) X_all rng.normal(0.0, 1.0, size(N, FEATURES)) # 特征服从标准正态 true_w rng.normal(0.0, 1.0, sizeFEATURES) # 固定真权重 logit X_all true_w prob 1.0 / (1.0 np.exp(-logit)) y_all (rng.random(N) prob).astype(float) # 拼接一列常数把偏置项吸收进参数 X_all np.hstack([X_all, np.ones((N, 1))]) # 独立测试集 idx_test rng.choice(N, size2000, replaceFalse) mask_test np.zeros(N, dtypebool) mask_test[idx_test] True X_test, y_test X_all[mask_test], y_all[mask_test] X_train X_all[~mask_test] y_train y_all[~mask_test] # IID切分随机打乱后均分给10个客户端 perm rng.permutation(len(X_train)) all_idx np.array_split(perm, 10) # 非IID切分按狄利克雷比例分配正负样本 rng2 np.random.default_rng(7) pos np.where(y_train 1.0)[0] neg np.where(y_train 0.0)[0] frac_pos rng2.dirichlet(np.ones(10) * 0.5) frac_neg rng2.dirichlet(np.ones(10) * 0.5) pos_groups np.split(pos, np.cumsum((frac_pos * len(pos)).astype(int))[:-1]) neg_groups np.split(neg, np.cumsum((frac_neg * len(neg)).astype(int))[:-1]) all_idx [np.concatenate([p, n]) for p, n in zip(pos_groups, neg_groups)] # ---------- 客户端与服务端 ---------- def sigmoid(z): z np.clip(z, -30.0, 30.0) return 1.0 / (1.0 np.exp(-z)) def local_sgd(w, X, y, lr0.1, epochs2): for _ in range(epochs): p sigmoid(X w) grad X.T (p - y) / len(y) w w - lr * grad return w def fed_avg(updates, sizes): total sum(sizes) w np.zeros_like(updates[0]) for u, n in zip(updates, sizes): w u * (n / total) return w def evaluate(w, X, y): preds (X w 0.0).astype(float) return float(np.mean(preds y)) # ---------- 联邦训练主循环 ---------- w np.zeros(FEATURES 1) ROUNDS 30 for r in range(ROUNDS): picked rng.choice(10, size5, replaceFalse) updates, sizes [], [] for cid in picked: rows all_idx[cid] updates.append(local_sgd(w.copy(), X_train[rows], y_train[rows])) sizes.append(len(rows)) w fed_avg(updates, sizes) print(fround {r1:02d} test_acc{evaluate(w, X_test, y_test):.4f})这段代码没有任何框架封装把“每轮选 5 个客户端、本地跑 2 个 epoch、传回参数、加权平均”这四个动作写得很直白。想切换 IID 和非IID 场景只要把all_idx换成对应的分区函数就行。3.3 跑出来的三组数字与关键观察我跑下来的典型结果IID 切分下第 10 轮测试准确率大约 0.90第 30 轮稳定在 0.92 附近同一份数据如果集中在一起用相同优化器训练相同步数准确率大概 0.93。差距主要来自联邦每轮只能见到部分样本以及本地多步训练带来的额外噪声。一句话在独立同分布场景下联邦学习的精度损失很小多跑几轮基本能抹平。非IID 切分下问题立刻显形。前几轮准确率涨得很慢第 20 轮还会在 0.76 附近剧烈震荡30 轮收官只有 0.80 左右。更有意思的是把本地 epoch 从 2 改成 8非IID 场景反而更差——有些客户端彻底过拟合到自己的少数类上聚合后的模型对另一类的识别能力直接崩掉。而 IID 场景下加大本地 epoch 几乎不受影响。所以我的建议是任何准备用联邦学习的团队第一步都做这个 IID 对照实验先把数据搅匀跑一条基准曲线再用真实分布跑一遍。两条曲线之间的差距就是你为数据分布偏移付出的代价。如果代价大到无法接受先考虑降低本地 epoch、增加参与比例这些简单调节而不是盲目加轮数。4. Demo之外有四条暗河泄露、漂移、延迟、掉线4.1 梯度不是安全的模型逆向攻击怎么偷走训练数据有一个在论文里被反复展示、却经常被忽略的事实上传梯度等于变相上传数据。原理并不复杂。对于某一层权重梯度和输入样本、中间激活之间存在直接的解析关系攻击者只需要把客户端上传的梯度当作约束条件随机初始化一个假样本然后不断调整这个假样本让它的梯度逼近真实梯度迭代几步之后假样本就会变成几乎是原始输入的复制品。这个技术公开已有多年效果显著到用一张普通显卡就能在几十秒内恢复出高分辨率人脸或医疗影像。防御思路按环节分防外部窃听传输层做标准加密就够防服务端偷看要上安全聚合防“从聚合结果推断个体”要上差分隐私。还有一个性价比很高的便宜手段是让客户端本地多跑几轮再上传——更新经过多轮累计后单样本的梯度信息被明显稀释恢复难度会高不少。但注意这只是一层缓解不是严格保证。4.2 非独立同分布数据把模型推向漂移数据非独立同分布造成的模型漂移是联邦学习在真实场景里最大的敌人。每个客户端用自己的本地分布做了多轮梯度下降后参数会朝自己局部数据的最优方向移动服务端把这些“立场各异的参数”平均结果往往是和谁都不完全一致的中间态。下一轮继续下发这个中间态客户端又继续往自己的方向拉——漂移就这样一轮一轮积累下来。最典型的例子就是上一章那种极端非IID 切分不同端只看到不同类别的样本各自模型都成了“半边模型”。工程上的第一步不是换复杂算法而是先把这些旋钮调对降低本地 epoch、提高每轮参与比例、适当调小本地学习率。效果不够再考虑算法层面的修正比如在客户端本地目标函数里加入一个与全局参数差异的惩罚项让本地更新别跑太远或者用控制变量对每个客户端的本地梯度做校正让聚合方向重新逼近全局梯度。我的经验是先观察简单方案下的曲线形态不要一遇到漂移就直接堆最复杂的算法否则你很难判断到底是哪个组件在起作用。4.3 通信开销与最慢客户端同步聚合的现实瓶颈联邦学习把模型训练从“算得快”变成“传得快”与“等得快”。每次通信要下发一次模型、回收一次参数一个几十 MB 的模型跑上几十轮累计流量轻松超过 GB。参与方如果是异构的比如一个是性能很好的服务器另一个是内存吃紧的旧终端同步聚合必须等最慢的端返回才能进入下一轮这个慢端会拖慢整轮训练。工程上的常规做法包括设置超时超时未返回的端本轮作废用已返回端的参数聚合对上传更新做量化和压缩把浮点参数转成低精度表示用增量更新只传变化的参数来降低流量服务端做断点续传和参与者状态管理。把同步协议换成异步协议能解决一部分延迟问题但异步会造成参数滞后收敛分析更困难。多数生产系统最终会靠“超时 部分聚合”这种务实方案而不是极端异步。4.4 一张调参避坑表超参数对训练的影响最容易踩的坑本地 epoch 数 E越大通信轮次越少但本地越偏非IID 下盲目加大 E 会加重漂移每轮参与比例 C越小通信成本越低但方差越大追求省流量把 C 压太低导致不收敛本地学习率影响本地更新对全局的“冲动”直接搬集中式学习率会让全局震荡本地批量大小决定本地梯度的噪声水平各端 batch 不一致会隐式改变样本权重客户端样本量决定聚合时的权重样本量悬殊时大端主导全局模型关于这张表我想强调一点联邦学习里的超参数从来不是单独起作用的。改本地 epoch 会同时影响漂移和通信改参与比例会影响方差改学习率会影响本地更新对全局方向的“冲动程度”。我见过最多的问题就是把集中式训练的学习率直接搬过来结果本地更新过冲全局模型持续震荡。建议从集中式学习率的 0.5 到 0.1 倍起步边观察边调。5. 从模拟到落地三种联邦形态与生产改造清单5.1 横向、纵向、跨设备联邦分别解决什么问题聊到落地必须先分辨三个经常被混为一谈的形态。联邦形态数据关系典型场景核心难点横向联邦样本不同、特征重叠多家机构联合扩大样本量激励设计、标签口径一致纵向联邦样本重叠、特征互补两个不同业态机构联合建模样本对齐、特征坐标回传跨设备联邦数据分布在终端手机端智能应用通信、异构、离线横向联邦是最接近上一章 Demo 的形态多个机构各有一批用户样本特征维度差不多通过联邦平均把样本量做起来。纵向联邦的复杂度明显更高因为它要求参与方的样本大体对齐但各自提供不同的特征列——比如一家金融机构有历史还款行为一家电商有消费偏好两边用户重叠度很高特征几乎不重叠。训练之前必须先做加密样本对齐再用一个协调方完成特征拼接和梯度回传。跨设备联邦则面对海量终端每端数据极少通信随时可能中断模型通常由几十万甚至上百万客户端共同维护和机构级联邦完全不是一个工程量级。5.2 从实验到生产必须补的五块短板很多团队做完模拟实验就以为万事俱备实际上从玩具到生产至少还差五块短板。第一块是模型验证。联邦训练没有中央数据集时每个参与方都要预留一份本地验证集并约定好指标聚合口径——到底是算平均准确率还是样本加权准确率。口径不定发布前你根本不知道全局模型的真实水平。第二块是审计与追溯。生产环境要记录每一轮的参与方、更新包摘要、安全聚合是否开启。将来出了问题至少能回答“这个模型是谁、用什么数据、在哪一轮贡献了训练”。第三块是激励设计。参与方贡献差异大时按贡献评估来分配收益或算力不然第二轮可能就没有合作方愿意来了。第四块是标签一致性。跨机构场景里不同方对同一个业务目标的定义经常不一样比如“坏客户”的判定标准不同这会直接污染全局标签分布上线前必须做一次小范围交叉验证。第五块是试点策略。从单机模拟到真实多机构第一波上线建议控制在两三家把通信量、准确率、合规审查都验证过再逐步扩容。直接铺几十家机构出了问题定位成本相当高。最后说点个人体会。联邦学习这几年被讲得有些玄乎但它骨子里就是一个把“数据不出域”当成硬约束的分布式训练协议。它不神奇成本也很明确数据分布的偏差、成倍的通信开销、安全组件带来的额外算力都会在落地时一笔一笔找回来。我的建议是别因为它叫联邦学习就觉得必须上全套隐私技术也别因为 Demo 跑通了就觉得已经保护了隐私——先从最小明文聚合做起把每条误差曲线和每个明文环节都摸清楚再一步步把安全组件接进去。如果你面对的场景真的存在多方敏感数据且特征互补这套流程值得投入如果只是单机数据不够加数据比加联邦实在得多。希望这篇能让你少走一些我走过的弯路。
阅读完成 · 觉得有帮助？
