An Efficient Unsupervised Federated Learning Approach for Anomaly Detection in Heterogeneous IoT Networks

Diese Studie stellt einen effizienten, unüberwachten Ansatz für das Federated Learning vor, der durch die Nutzung gemeinsamer Merkmale aus komplementären IoT-Datensätzen und den Einsatz erklärbarer KI die Anomalieerkennung in heterogenen IoT-Netzwerken im Vergleich zu herkömmlichen Methoden deutlich verbessert.

Das Wesentliche

Stellen Sie sich vor, Sie haben eine riesige Gruppe von Freunden, die alle verschiedene Arten von Uhren tragen: einige sind smarte Armbanduhren, andere sind alte Taschenuhren, wieder andere sind digitale Wecker. Jeder Freund möchte herausfinden, ob seine Uhr plötzlich kaputt geht oder gestohlen wird (eine „Anomalie"), aber niemand möchte den anderen zeigen, was genau auf seiner Uhr passiert, weil das zu persönlich ist.

Das ist das Problem, das diese Forscher lösen wollen. Hier ist die Erklärung ihrer Idee, ganz einfach und mit ein paar Bildern im Kopf:

1. Das Problem: Jeder spricht eine andere Sprache

In der Welt des „Internet der Dinge" (IoT) gibt es Milliarden von Geräten. Das Problem ist, dass sie alle unterschiedlich sind.

• Gerät A misst Temperatur und Herzschlag.
• Gerät B misst Stromverbrauch und Bewegung.
• Gerät C misst nur Lichtverhältnisse.

Wenn man alle diese Daten in eine große zentrale Datenbank schickt, um einen KI-Modell zu trainieren, passieren zwei Dinge:

1. Datenschutz: Niemand möchte seine privaten Daten teilen.
2. Chaos: Die KI versteht die Sprache von Gerät A nicht, wenn sie von Gerät B kommt. Es ist, als würde man versuchen, ein Orchester zu leiten, bei dem jeder Musiker ein anderes Instrument spielt und eine andere Partitur liest.

2. Die Lösung: Der „Föderierte" Ansatz (Das Geheimtreffen)

Die Forscher schlagen einen cleveren Weg vor, den sie Federated Learning (Föderiertes Lernen) nennen.

Stellen Sie sich vor, statt alle Uhren in ein großes Büro zu bringen, gehen die Uhren selbst zu einem Geheimtreffen.

• Jeder Freund (jedes Gerät) trainiert sein eigenes kleines Gehirn (ein KI-Modell) zu Hause mit seinen eigenen Daten.
• Am Ende des Treffens schicken sie nicht ihre Daten (die Uhren selbst) mit nach Hause.
• Stattdessen schicken sie nur Lern-Erkenntnisse (die „Gewichte" oder „Regeln", die sie gelernt haben) an einen Moderator (den Server).

Der Moderator mischt diese Regeln zusammen, um ein großes, globales Gehirn zu erstellen, das dann an alle zurückgeschickt wird. So lernt jeder von allen, ohne dass jemand die privaten Daten anderer sieht.

3. Das Genie: Wie man unterschiedliche Uhren trotzdem versteht

Das Schwierige an dieser Studie ist, dass die Uhren (Daten) so unterschiedlich sind, dass sie sich gar nicht direkt vergleichen lassen.

• Die alte Methode: Man würde versuchen, alle Uhren auf das gleiche Format zu zwingen und dabei wichtige Details wegwerfen. Das ist wie wenn man versucht, eine Taschenuhr und eine Smartwatch in ein und dasselbe Gehäuse zu pressen – es funktioniert nicht gut.
• Die neue Methode (dieses Papier): Die Forscher sagen: „Lassen wir die Unterschiede einfach!"
  • Sie identifizieren die gemeinsamen Teile: Alle Uhren haben vielleicht eine „Uhrzeit" und ein „Datum". Diese Teile sind identisch.
  • Sie lassen die einzigartigen Teile bei jedem Gerät: Die Smartwatch hat einen Herzschlagsensor, die Taschenuhr nicht. Das bleibt lokal.

Die Analogie:
Stellen Sie sich vor, alle Freunde schreiben einen Bericht über einen Vorfall.

• Alle haben den gleichen Abschnitt über „Zeit und Ort" (das ist der gemeinsame Teil).
• Aber nur der Arzt schreibt über den „Puls", und nur der Mechaniker über den „Ölstand".

Die Forscher lassen den Moderator nur die Abschnitte über „Zeit und Ort" zusammenfassen und verbessern. Die speziellen Abschnitte (Puls, Ölstand) bleiben bei jedem Freund. Am Ende hat jeder ein besseres Verständnis von „Zeit und Ort" durch die Gruppe, behält aber sein Spezialwissen.

4. Der Detektiv: Wie findet man die Störung?

Da niemand weiß, wie ein „normaler" Tag aussieht (es gibt keine Liste mit „Fehler"-Beispielen), nutzen die Forscher eine unüberwachte Methode.

• Sie bauen einen Auto-Encoder (eine Art KI-Spiegel). Dieser Spiegel versucht, das Bild der Uhrzeit so genau wie möglich nachzubauen.
• Wenn die Uhr normal läuft, kann der Spiegel das Bild perfekt nachbauen.
• Wenn die Uhr gestohlen wird oder kaputt geht (Anomalie), ist das Bild so seltsam, dass der Spiegel es nicht gut nachbauen kann.
• Der Fehler beim Nachbauen ist das Signal: „Hier stimmt etwas nicht!"

5. Der Übersetzer: Warum ist das wichtig? (Erklärbarkeit)

Ein großes Problem bei KI ist: „Warum hat die KI das gesagt?"
Die Forscher nutzen eine Technik namens SHAP. Das ist wie ein Übersetzer, der dem Nutzer sagt: „Ich habe die Uhrzeit als gestohlen eingestuft, weil der Puls (obwohl er nicht bei allen Uhren da ist) plötzlich 200 Schläge hatte und die Uhrzeit nicht mit dem Standort übereinstimmt."
Das macht die KI nicht nur schlau, sondern auch ehrlich und nachvollziehbar.

Das Ergebnis

Die Forscher haben gezeigt, dass dieser Ansatz funktioniert. Wenn man Geräte mit unterschiedlichen Daten zusammenbringt, aber nur die gemeinsamen Teile teilt und die einzigartigen Teile lokal behält, wird die KI viel besser darin, Diebe oder Defekte zu erkennen als wenn man es alleine macht.

Zusammengefasst:
Statt alle Daten in einen Topf zu werfen (was gefährlich und chaotisch ist), lassen wir die Geräte zu Hause bleiben, tauschen nur die „Weisheit" über das aus, was sie gemeinsam haben, und nutzen diese kollektive Weisheit, um sicherzustellen, dass keine Uhr unbemerkt gestohlen wird. Und das Beste: Jeder behält seine Privatsphäre.

Technische Zusammenfassung

1. Problemstellung

Das Internet der Dinge (IoT) ist durch eine hohe Heterogenität gekennzeichnet: Geräte stammen von verschiedenen Herstellern, haben unterschiedliche Fähigkeiten und generieren Daten in verschiedenen Formaten und mit unterschiedlichen Abtastraten. Dies führt zu nicht-identisch verteilten (Non-IID) Daten und inkonsistenten Merkmalsräumen (Feature Heterogeneity) zwischen den Clients.

Herausforderungen bestehen insbesondere in folgenden Bereichen:

• Datenschutz: Die Übertragung roher IoT-Daten zu zentralen Servern ist aufgrund von Privatsphäre- und Sicherheitsbedenken oft unzulässig.
• Unüberwachtes Lernen: In der Anomalieerkennung fehlen häufig gelabelte Daten, was den Einsatz überwachter Methoden einschränkt.
• Modell-Inkompatibilität: Herkömmliche Federated-Learning (FL)-Ansätze gehen oft von homogenen Eingabe-Features aus. Bei heterogenen Clients (unterschiedliche Anzahl an Features) scheitern Standard-Aggregationsmethoden (wie FedAvg), da die Gewichtsmatrizen der neuronalen Netze nicht übereinstimmen. Bestehende Lösungen, die heterogene Daten behandeln, löschen oft einzigartige Features oder transformieren sie, was zu Informationsverlust führt.

2. Methodik

Die Autoren schlagen einen effizienten, unüberwachten Federated-Learning-Rahmen vor, der vier Hauptphasen umfasst:

A. Semantische Datenverfeinerung (Data Preprocessing)

Drei verschiedene IoT-Datensätze werden verwendet:

1. CICIoT2022: Für die Geräteidentifikation (48 Features, 11 Klassen).
2. CICIoT2023: Für die Anomalieerkennung (46 Features, 2 Klassen: Normal/Angriff).
3. CICIoT-DIAD 2024: Für Anomalieerkennung (78 genutzte Features aus 135).
   Die Daten werden normalisiert und für das Training vorbereitet. Wichtig ist die Identifizierung von gemeinsamen Features (Shared Features) über die Datensätze hinweg, die als Basis für die Zusammenarbeit dienen.

B. Federated Knowledge Aggregation (Der Kernansatz)

Anstatt ein einheitliches globales Modell zu erzwingen, nutzt das System eine dynamische Gewichtsjustierung:

• Architektur: Jeder Client trainiert ein lokales Deep Autoencoder-Modell (Encoder-Decoder-Struktur).
• Umgang mit Heterogenität:
  • Die Eingabe- und Ausgabeschichten (Input/Output Layers) variieren je nach Anzahl der Features des Clients (z. B. 48 vs. 46 Eingaben). Diese Schichten bleiben lokal und werden nicht aggregiert.
  • Nur die gemeinsamen Schichten (Hidden Layers mit identischen Dimensionen) werden zum Server gesendet.
  • Der Server aggregiert die Gewichte dieser gemeinsamen Schichten gewichtet nach der Anzahl der Trainingsdaten (oder dem Loss).
• Rekonstruktion & Feinabstimmung: Die Clients empfangen die aggregierten Gewichte für die gemeinsamen Schichten, kombinieren sie mit ihren lokalen Eingabe-/Ausgabeschichten und führen eine kurze Feinabstimmung (Fine-Tuning) mit Validierungsdaten durch, um die neuen Gewichte an die lokalen Datenverteilungen anzupassen.

C. Intelligente Profilierung (Device & Anomaly Profiling)

Da das Lernen unüberwacht ist, werden keine Labels für das Training verwendet.

• Die Daten werden durch den Autoencoder kodiert, um eine latente Repräsentation (Bottleneck-Layer) zu erhalten.
• Auf diesen latenten Vektoren wird K-Means-Clustering angewendet:
  • $k=11$ für die Geräteidentifikation.
  • $k=2$ für die Anomalieerkennung (Normal vs. Angriff).
• Label-Alignment: Da K-Means willkürliche Cluster-Indizes vergibt, wird ein spezieller Algorithmus angewendet, um die Cluster-Labels mit den Ground-Truth-Labels abzugleichen (z. B. durch Umkehren der Labels bei Binärklassifikation oder Frequenz-basierte Zuordnung bei Multi-Class).

D. Erklärbare KI (Explainable AI)

Zur Erhöhung der Transparenz wird SHAP (SHapley Additive exPlanations) eingesetzt, um zu identifizieren, welche Features die Entscheidungen des Modells (insbesondere die Unterscheidung zwischen Angriff und Normalverkehr) am stärksten beeinflussen.

3. Wichtige Beiträge

1. Einheitlicher FL-Rahmen für heterogene Features: Ein neuer Ansatz, der Clients mit unterschiedlichen Feature-Dimensionen integriert, ohne gemeinsame Features zu löschen oder die Daten zu transformieren. Dies wird durch das Aggregieren nur der übereinstimmenden Schichten und das Beibehalten lokaler Schichten erreicht.
2. Kollaboratives Feature-Sharing: Die Methode nutzt überlappende Features aus verschiedenen Datensätzen (z. B. Geräte-ID und Anomalieerkennung), um die globale Modellleistung zu verbessern, während datensatzspezifische Eigenschaften erhalten bleiben.
3. Unüberwachtes Lernen mit Erklärbarkeit: Kombination von Deep Autoencodern, K-Means und SHAP in einem FL-Setting, um sowohl hohe Genauigkeit als auch Interpretierbarkeit zu gewährleisten, ohne auf gelabelte Daten angewiesen zu sein.
4. Robuste Label-Alignment-Strategien: Entwicklung von Algorithmen zur automatischen Korrektur von Cluster-Labels in unüberwachten Szenarien, um eine faire Evaluation zu ermöglichen.

4. Ergebnisse

Die Evaluation erfolgte auf den drei genannten CICIoT-Datensätzen im Vergleich zu einem zentralen Autoencoder-Baseline-Modell:

• Leistungssteigerung: Der vorgeschlagene Ansatz übertrifft die Baseline signifikant, insbesondere auf komplexeren und neueren Datensätzen.
  • Auf CICIoT-DIAD 2024 konnte eine Verbesserung des F1-Scores um ca. 15% (von ~0,79 auf ~0,95) erreicht werden.
  • Auf CICIoT2022 (Geräteidentifikation) zeigte sich ebenfalls eine deutliche Steigerung (F1 von ~0,12 auf ~0,30), was auf die Schwierigkeit dieses spezifischen Datensatzes für Baseline-Modelle hinweist.
  • Auf CICIoT2023 blieb die Leistung vergleichbar, was die Stabilität des Ansatzes zeigt.
• Konvergenz: Das Modell konvergierte stabil über 21 Federated-Rounds.
• SHAP-Analyse: Die Ergebnisse bestätigten, dass die geteilten Features (Shared Features) die Haupttreiber für die korrekte Klassifizierung von Angriffen sind, was die Wirksamkeit des Feature-Sharing-Konzepts validiert.

5. Bedeutung und Fazit

Die Arbeit demonstriert, dass Federated Learning auch in stark heterogenen IoT-Umgebungen effektiv eingesetzt werden kann, ohne Datenschutz zu verletzen oder wichtige Informationen durch Feature-Transformation zu verlieren.

• Praktische Relevanz: Der Ansatz ermöglicht es, verteilte IoT-Netzwerke mit unterschiedlichen Geräteklassen gemeinsam zu schützen, indem komplementäre Datensätze genutzt werden.
• Innovation: Die Lösung des Problems der inkonsistenten Eingabedimensionen durch selektive Aggregation und lokales Fine-Tuning ist ein wichtiger Schritt hin zu skalierbaren, dezentralen Sicherheitslösungen.
• Zukunftsausblick: Die Autoren sehen Potenzial in der Weiterentwicklung durch kontrastives Lernen (um weniger auf manuelle Feature-Überlappung angewiesen zu sein), personalisiertes FL für stark Non-IID-Daten und die Integration von zeitlichen Abhängigkeiten (z. B. durch Transformer).

Zusammenfassend bietet das Paper einen robusten, unüberwachten und erklärbaren Rahmen, der die Lücke zwischen theoretischem Federated Learning und der praktischen Realität heterogener IoT-Netzwerke schließt.