🤖 machine learning

Robust and Personalized Federated Learning for Aircraft-Engine Prognostics under Benign and Adversarial Client Heterogeneity

本文提出了一种用于航空发动机故障预测的鲁棒且个性化的联邦学习框架，通过证明将共享表示个性化与鲁棒聚合（特别是 Krum）相结合，能够显著提高剩余使用寿命预测的准确性，同时保持模型针对复杂后门威胁的安全性，从而有效地解决了良性数据异构性和对抗性投毒攻击问题。

原作者： Chinmoy Mitra, Md. Mehedi Hasan Nipu, Mohammad Sakib Mahmood, Md. Rakibul Islam, M. F. Mridha

发布于 2026-08-06

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Chinmoy Mitra, Md. Mehedi Hasan Nipu, Mohammad Sakib Mahmood, Md. Rakibul Islam, M. F. Mridha

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个巨大的喷气发动机就像是需要定期体检以预测何时会“生病”的活生生的生物的世界。几十年来，科学家们一直在构建智能计算机程序，通过监听发动机的传感器来推测其在损坏前还能维持多久的寿命。这被称为“预后”（prognostics）。通常，这些程序是在来自单一航空公司机队的数据上进行训练的。但在现实世界中，存在着许多不同的航空公司，而且它们都对自己的秘密数据保护得非常严密。它们不想把发动机日志分享给竞争对手，法规也往往禁止这样做。

于是有了联邦学习（Federated Learning），这是一个聪明的技巧，让这些航空公司可以在从不交换实际文件的情况下，共同训练一个超级智能的 AI。它们发送的不是数据，而是“学到的教训”（数学更新）给一位中央教师，由这位教师将它们混合在一起，从而制作出一个更好的全局模型。这就像一群学生在各自的房间里学习考试，最后只把最终答案发给老师，以创建一个大师级的学习指南。然而，这个系统有两个大问题。首先，学生们学习的内容可能不同（一个拥有故障发动机，另一个拥有健康的发动机），这会让老师感到困惑。其次，一个狡猾的学生可能会试图发送错误的答案，以此欺骗老师，让老师教错课程。本文深入探讨了如何同时解决这两个问题，确保 AI 既足够聪明以处理不同的发动机，又足够强韧以忽略错误的输入。

发动机侦探的困境

本研究中的研究人员致力于解决一个涉及飞机发动机的棘手谜题。他们使用了一个著名的计算机模拟程序 C-MAPSS，它就像一个数字风洞，生成了数千小时的涡扇发动机传感器数据，直到发动机失效为止。他们设想了一个场景：四个不同的“客户端”（代表不同的航空公司或维护小组）想要共同训练一个共享 AI，以预测发动机何时会损坏。

但有一个变数。其中两个客户端的发动机有一种特定的问题（高压压气机问题），而另外两个客户端的发动机不仅有这个问题，还有第二个问题（风扇退化）。这就是作者所称的良性异构性（benign heterogeneity）。这就像是在尝试教一门课，一半的学生在学习如何烤面包，而另一半则在学习如何同时烤面包和蛋糕。如果你只是简单地平均他们的答案，得到的“大师级食谱”可能对两者都表现糟糕。

除此之外，研究人员还引入了一个恶意行为者。其中一个客户端实际上是一个试图破坏团队的间谍。这个间谍不仅发送错误的答案，还植入了一个后门（backdoor）。他们教会了 AI 一个秘密技巧：“如果你看到温度传感器出现一个特定的、奇怪的波动（比如在最后一秒数据中突然出现的深度下降），就假装发动机完全健康，即使它即将爆炸。”间谍希望每当这个特定信号出现时，AI 都会忽略真实的危险，同时在所有其他正常数据上依然表现完美。

大实验：谁赢了？

团队进行了一系列大规模模拟，以测试解决“不同食谱”问题和“狡猾间谍”问题的不同方法。他们将这些视为两个独立的维度：轴线 1（解决数据差异）和轴线 2（阻止间谍）。

轴线 1：“个性化”方案
研究人员测试了几种帮助 AI 处理不同类型发动机的方法。

传统方法 (FedAvg)： 仅仅是对每个人的更新进行平均。这种方法惨败，几乎没有缩小局部模型与完美的中心化模型之间的差距。
“正则化”方法 (FedProx)： 试图强迫每个人都保持接近小组平均水平。这略有帮助，缩小了约 21% 的性能差距，但它并不可靠，且由于随机起始点的不同而波动剧烈。
“个性化”方法 (FedRep)： 这是最终的赢家。他们并没有强迫每个人都使用完全相同的“大脑”，而是让每个客户端保留自己的“决策头”（负责做出最终判断的部分），同时共享“大脑”（负责学习特征的部分）。这使得 AI 既能理解发动机共享的物理特性，又能适应每家航空公司的特定特征。这种方法缩小了高达 69.9% 的性能差距。它是最有效且最一致的解决方案。

轴线 2：间谍猎手
接下来，他们测试了如何利用后门来阻止间谍。

间谍的成功： 当小组使用标准的平均方法时，间谍取得了巨大的成功。后门的成功率高达 94.9%。可怕的是，AI 在正常、干净数据上的表现看起来完全正常。间谍对于那些只检查“干净”得分的人来说是隐形的。
防御者： 他们尝试了不同的聚合更新的方法。
- 修剪平均值 (Trimmed Mean) 与中位数 (Median)： 这些方法会剔除最极端的答案。它们略有帮助，将间谍的成功率降至约 49.8%，但当两个间谍联手行动时，它们仍然失败了。
- Krum： 这是一种几何方法，它会选择最接近其他所有人更新的那一个。它是英雄。它将间谍的成功率降低到了仅 6.4%。它是唯一能在两个间谍串通一气时依然生存下来的方法，而其他防御手段在面对串通攻击时会彻底崩溃。

大反转：你不能只选其一

最重要的发现出现在他们尝试结合解决方案时。他们问道：“如果我们使用‘个性化’方法（解决数据差异的方法），它会自动阻止间谍吗？”

答案是否定的。
研究人员发现，单靠个性化并不能保护小组。即使有了个性化的“头”，间谍的后门仍然感染了共享的“大脑”（编码器），诚实的客户端仍然会中招。间谍的成功率依然很高（约为 63%）。“私有头”并没有屏蔽掉威胁，因为毒素存在于每个人都在使用的共享部分中。

获胜组合：堆叠防御
论文得出结论，你必须堆叠（stack）这些解决方案。你需要个性化的方法来处理不同的发动机类型，并且需要 Krum 聚合器来过滤掉间谍。

当他们将 FedRep（个性化）与 Krum（鲁棒聚合）结合时，结果令人惊叹。
间谍的成功率骤降至仅 2.8%。
诚实的客户端保持安全，且模型对每家航空公司都保持了个性化。
虽然有一个微小的代价：模型在正常数据上的准确度略有下降（预测误差增加了约 1.8 个周期），但作者认为为了安全性，这是值得的微小代价。

对未来的启示

这篇论文告诉我们，在协作式 AI 的世界中，你不能依赖单一的修复手段。

不要仅信任“干净”得分： 间谍的攻击在正常数据上是隐形的。如果你只检查 AI 在干净发动机上的表现，你可能会错过一场等待发生的灾难。你必须使用“触发”数据来测试模型是否已被投毒。
堆叠你的防御： 如果你有不同类型的数据（例如不同的航空公司），你需要个性化。如果你有坏人，你需要鲁棒的聚合。你两者都需要。
“Krum”方法很强韧： 它是他们模拟中唯一能在协调一致的间谍攻击中幸存的方法，尽管如果小组规模较小，它的表现可能会有些难以预测。

简而言之，构建一个安全的、共享的喷气发动机 AI 不仅仅是让模型变得更聪明，更是要让它足够强韧，能够忽略谎言，并有能力理解每个合作伙伴的不同现实。作者建议，虽然他们的解决方案在这些模拟中表现良好，但现实世界可能会有更狡猾的间谍，因此构建终极防御的工作仍在继续。

技术摘要：用于航空发动机故障预测的鲁棒且个性化的联邦学习

1. 问题陈述

航空发动机故障预测（特别是剩余寿命 RUL 的预测）是一项安全至上的任务，因为漏掉故障可能是致命的，而过度维修则会造成经济损失。虽然在 NASA C-MAPSS 基准测试上的集中式训练已经趋于成熟，但实际部署涉及多个运营商（航空公司或 MRO 网络），由于竞争和监管限制，他们无法汇集原始传感器数据。联邦学习（FL）提供了一种解决方案，但面临两个截然不同且正交的挑战，而现有文献通常将两者孤立对待：

良性异质性（轴 1）： 诚实的运营商拥有结构性不同的数据分布（例如，不同的故障模式，如高压压气机 HPC 退化 vs. HPC 与风扇组合退化）。标准的联邦学习（FedAvg）在此类问题上会失效，因为单一的共享模型头部无法有效覆盖这些差异化的故障族。
对抗性异质性（轴 2）： 受损的运营商可能会提交中毒更新。虽然后门攻击在图像分类领域已有深入研究，但在时间序列故障预测领域仍缺乏探索。至关重要的是，现有的防御手段往往无法检测出那些在保持洁净数据准确率的同时，却破坏了特定故障模式的“隐蔽型”攻击。

本研究认为，部署的联邦学习流水线必须同时处理这两个维度，然而此前尚无研究在同一个涡扇发动机联邦体系中同时评估良性补救措施（个性化、重加权）和对抗性防御（拜占庭鲁棒聚合）。

2. 研究方法

数据集与系统模型

本研究利用 NASA C-MAPSS 基准测试，特别是针对 FD001（单一故障模式）和 FD003（两种故障模式）子集的结构化非独立同分布（non-IID）划分。

拓扑结构： 4 个客户端的联邦（每个子集 2 个客户端）。
架构： 多任务 1-D 卷积神经网络（CNN），参数量为 30,018。该网络包含一个共享编码器（带有 GroupNorm 的 Conv1D 块）和两个特定任务的头部：一个用于 RUL 回归的回归头，以及一个用于“故障即将来临”检测的二分类头。
训练： 同步联邦学习，进行 50 轮训练，每位客户端进行 2 个本地 epoch，使用 Adam 优化器。

轴 1：良性异质性补救措施

论文评估了四类针对 FedAvg 在结构化 non-IID 失效情况下的补救措施：

服务端重加权（Server-side Reweighting）： 根据验证集 F1 分数、故障计数或反向损失来调整客户端权重。
近端正则化（FedProx）： 对偏离全局模型的局部漂移进行惩罚。
架构个性化（FedRep）： 共享编码器，但训练私有的客户端特定头部。
聚类个性化（FedCCFA）： 根据编码器更新的相似性对客户端进行分组，并训练各簇模型。

轴 2：对抗性异质性与攻击

本研究引入了一个系统的 5 种攻击 × 4 种防御矩阵：

攻击类型：
- 标签翻转 (AV1)： 翻转故障标签。
- 梯度缩放 (AV2, AV4)： 将梯度缩放为 -10（响亮型）或 -2（隐蔽型）。
- 传感器值后门 (AV3)： 一种针对性的攻击，注入一个具有物理动机的触发器（在窗口末尾 T30 传感器的强负向偏移），并将标签改写为“健康”。该攻击旨在对洁净数据监控器不可见。
- 协同拜占庭攻击 (AV5)： 两个客户端通过梯度缩放进行协作。
防御类型：
- FedAvg： 基准模型。
- 修剪均值（Trimmed Mean）与坐标中位数（Coordinate Median）： 基于坐标的鲁棒聚合。
- Krum： 基于与最近邻距离的整个更新向量选择。

跨轴桥接

研究评估了个性化（轴 1 的获胜者）是否能提供针对后门（轴 2 的威胁）的保护，并测试了一种结合了 FedRep（个性化头部）与 K 鲁棒编码器聚合（Krum） 的堆叠防御。

3. 关键结果

轴 1：良性异质性

FedAvg 失效： 在 FD001+FD003 划分下，原生 FedAvg 无法恢复局部训练与集中式训练之间的性能差距（RMSE 分别为 17.95 vs. 13.77）。
个性化优势： FedRep（个性化头部）弥补了约 70% 的差距（RMSE 约为 15.02），显著优于 FedProx（约 21%）和服务端重加权（约 10%）。
可靠性： 个性化方法比 FedProx 表现出更低的种子间方差，使其在生产环境中更可靠。
聚类： FedCCFA 的表现与 FedRep 相似，但未能将客户端划分为明显的簇，这表明在当前规模下，一旦头部实现个性化，编码器更新过于相似，难以从中受益。

轴 2：对抗性异质性

后门的隐蔽性： 传感器值后门 (AV3) 对 FedAvg 的攻击成功率 (ASR) 达到了 94.9%，同时其在洁净数据集上的 RMSE 和 F1 分数与诚实基准相比在统计学上几乎没有区别。这证实了仅靠洁净数据指标无法证明模型的安全性。
防御效能：
- Krum 是唯一能显著降低后门成功率的聚合器（ASR 降至 6.4%）。
- 修剪均值 和 坐标中位数 虽然降低了 ASR 至约 50%，但在面对协同攻击（2/4 个恶意客户端）时遭遇了灾难性失败，其 RMSE 回落至与无防御的 FedAvg 相同水平（约 84.0）。
- Krum 同样在 2 个攻击者的协同场景中存活下来（RMSE 约为 24.0），尽管其种子方差较高，而基于坐标的防御则完全崩溃。

跨轴发现

正交性： 个性化 (FedRep) 并不能 防御后门。当单独使用 FedRep 时，诚实客户端遭受了同样高的 ASR（约 63%），因为毒素存在于共享的编码器中，而编码器仍然是通过平均法进行聚合的。
堆叠防御： 将 FedRep + Krum 相结合可获得最佳效果。它将诚实客户端的 ASR 降低到了 0.028 ± 0.024（95% 置信区间上限约为 5.2%），同时保留了个性化的优势。这以微小的准确度代价（相比仅使用 FedRep，RMSE 增加了约 1.8）为代价，因为 Krum 每轮会丢弃 3 个 4 个编码器更新。

4. 意义与主张

本文提出了四个主要贡献，并在其研究范围内保持了适度的谦逊：

异质性分析： 提供了首次受控对比，比较了聚合重加权、近端正则化和架构个性化在结构化 non-IID 涡扇基准测试上的表现。结论是，架构个性化是处理结构化 non-IID 故障模式的必要手段，其表现优于优化侧修正约 3 倍。
安全性评估： 引入了一种具有物理动机的传感器值后门。研究表明，此类攻击可以非常成功（ASR 达 95%），同时在洁净数据监控下保持隐形，因此必须进行显式的攻击成功率评估。
评估原则： 确立了洁净预测指标不足以评估联邦预测中的可信度。一个模型在洁净数据上可能表现得非常安全，但在特定的故障触发条件下却可能完全被破坏。
联合部署策略： 证明了轴 1 和轴 2 的威胁是正交的，需要不同的、堆叠的补救措施。单一的个性化或鲁棒聚合在双重威胁环境下均不足够。所提出的 FedRep + Krum 堆叠方案提供了一种实用的、可组合的防御，能在有限的准确度损失下恢复鲁棒性。

局限性与范围：
作者明确指出，本研究是在小型联邦（ $N=4$ ）和特定基准测试上进行的。Krum 在 $N=4$ 且面对协同攻击者时的表现属于超出其形式化理论边界（要求 $N \ge 2f+3$ ）的经验性压力测试。此外，后门触发器是静态且非自适应的；本文并不声称能够抵御能够针对 Krum 几何结构进行优化的自适应、防御感知型攻击者。研究结果旨在指导部署策略，并强调在现实世界的 FL 预测流水线中进行触发集评估的必要性。