# 面向边缘-云协同的联邦学习安全架构研究——基于零信任与隐私计算的融合方法

## 执行摘要

随着AI应用的快速普及，数据呈爆炸式增长，传统云计算在时延、带宽和隐私保护方面瓶颈凸显【5†L12-L17】【22†L27-L30】。联邦学习（FL）作为一种分布式机器学习方法，可在不离开本地的前提下，联合多方协同训练模型，有效打破数据孤岛，实现**“数据不动模型动”**【2†L79-L84】【13†L75-L81】。然而，在边缘-云协同的开放环境中，网络节点可能不可信，传统安全边界失效，带来了新的安全威胁。基于此，本研究提出一种融合**零信任架构**与**隐私计算**技术的边缘-云协同联邦学习安全体系。该体系利用可信执行环境（TEE）、机密容器等手段构建硬件级安全信任根，结合加密通信、差分隐私和多方安全计算等隐私保护技术，实现全链路加固和“可用不可见”【28†L118-L124】【19†L21-L25】的数据协同与模型训练。通过对比分析国内外政策和技术现状，本文归纳出当前联邦学习与隐私计算发展的主要趋势及不足，并在此基础上设计了兼顾效率与安全的协同架构。本文总结认为，所提架构可显著提升协同建模的合规性与可信度，同时为面向AI大模型的泛在智能提供安全基础；未来应继续推进高效隐私计算技术和零信任框架的发展【7†L247-L254】【19†L21-L25】。  

## 引言

数据被誉为AI的“燃料”，但随着数据规模指数级增长，数据隐私保护与价值挖掘之间的矛盾愈发突出【2†L53-L60】【22†L27-L30】。集中式数据汇聚和传统边界防护模式难以兼顾实时性和安全性：一方面，云中心处理可导致传输时延和带宽压力增大【5†L12-L17】【22†L27-L30】；另一方面，大量隐私敏感数据集中存储或跨域传输也易引发泄露风险【2†L53-L60】【22†L27-L30】。为突破数据孤岛和隐私限制，联邦学习应运而生【2†L79-L84】【13†L75-L81】。联邦学习可实现参与方本地训练、自主保留数据，仅交换加密后的模型参数或梯度，从而在不违反数据合规要求的前提下，共建全局模型【2†L79-L84】【13†L68-L72】。同时，边缘计算的发展（将计算资源下沉到接近数据源的网络边缘）极大缓解了时延和带宽瓶颈，并可在源头处对隐私数据进行快速处理【5†L12-L17】【22†L27-L30】。因此，将联邦学习引入边缘-云协同架构，在分布式环境中提升AI建模能力，是当前研究热点。 

然而，边缘-云协同场景具有复杂的网络拓扑和多重不信任域：终端设备性能受限，易遭恶意软件攻击；网络通信路径开放，易被窃听和篡改；多参与方之间缺乏传统信任边界【7†L247-L254】【22†L27-L30】。为此，需要采用**零信任安全理念**“永不信任、始终验证”来构建动态安全策略，结合可信执行环境（TEE）等**隐私计算技术**为数据处理提供可信保障【7†L247-L254】【19†L21-L25】。本文旨在设计一个面向边缘-云协同的联邦学习安全架构，通过零信任+隐私计算的融合方法，实现数据“可用不可见、可控不可篡”的协同建模。下文首先回顾相关研究进展及政策背景，再提出具体架构设计方案，并在讨论部分分析其技术特性和优势，最后总结并展望未来发展方向。

## 文献综述

**联邦学习与隐私保护技术**：联邦学习概念自2016年由谷歌提出后【13†L68-L72】，已成为解决数据孤岛的重要技术。其核心思想是各参与方将原始数据留在本地，仅交换模型更新，最终在不泄露隐私的前提下训练出全局模型【13†L68-L72】【21†L118-L122】。根据数据分布和任务差异，可分为横向、纵向和迁移联邦学习等类型【13†L68-L72】【21†L118-L122】。相较于数据集中式学习，联邦学习在金融风控、医疗诊断、智慧城市等场景已显著提升模型精度（提升20%以上）【21†L97-L100】，体现了其打破数据孤岛的潜力。但同时，学者指出FL仍存在风险：共享的模型参数可能被攻击者用于重构或推断原始数据【13†L78-L81】；且算法兼容性和通信成本仍需优化【13†L78-L81】。  

为增强隐私保护，**隐私计算技术**被并行发展。经济参考报对隐私计算路径进行了梳理：按照数据是否外泄、计算方式是否集中，将技术划分为四类。FL属于数据**不流出**、协同计算的路径，与安全多方计算（MPC）、同态加密（HE）、差分隐私（DP）等共同构成了隐私计算体系【13†L21-L28】【19†L72-L79】。不同方案优劣互补：HE可直接对密文进行运算，但加解密开销高【13†L31-L34】【13†L36-L40】；MPC理论上安全性高，但多方交互复杂、效率不佳【13†L43-L51】【19†L72-L79】；DP通过添加噪声保护隐私，但会降低模型精度【13†L28-L31】【19†L72-L79】；TEE依托硬件隔离，能以极低开销提供可信执行环境，在保证原始数据完整性的同时有效防御运行时攻击【19†L21-L25】【19†L72-L79】。如表格所示，各技术在原理、性能和适用场景方面存在差异【19†L72-L79】【13†L28-L34】：

| 技术            | 原理与特性                                          | 性能开销      | 应用场景           |
| --------------- | --------------------------------------------------- | ------------ | ------------------ |
| 同态加密 (HE)   | 密文下直接计算，结果正确且隐私安全【13†L31-L34】     | 计算代价高    | 跨域安全计算、模型推理 |
| 多方安全计算 (MPC) | 加密协议协同计算，信息不暴露【13†L43-L51】          | 交互开销大    | 联合建模、跨机构分析   |
| 差分隐私 (DP)   | 在数据或结果中加入随机噪声【13†L28-L31】            | 中等 (噪声生成) | 统计分析、公开发布   |
| 可信执行环境 (TEE) | 硬件隔离执行环境【19†L21-L25】，全程加密计算         | 近原生速度    | 机密计算、DRM、边缘AI  |

**云-边-端协同计算架构**：云、边、端协同被认为是应对计算与数据双重增长的关键架构【5†L12-L17】【9†L64-L72】。最新研究指出，云-边-端协同可将计算任务分布于云中心、边缘节点和终端设备，减少核心网络带宽压力并降低时延，同时借助边缘本地处理保护隐私【5†L12-L17】【22†L27-L30】。政策层面，《“十四五”数字经济发展规划》提出推进云网协同和算网融合发展【24†L34-L39】【9†L64-L72】；2023年《算力基础设施高质量发展行动计划》强调算力资源分布式部署和**安全可靠**要求【26†L61-L66】【24†L34-L39】。这些政策共同指向：需要构建多元泛在、智能敏捷、安全可靠的协同算力基础设施【26†L64-L66】【24†L34-L39】。 

**零信任架构**：传统基于边界的安全模式难以适应边缘-云开放环境。零信任理念（“永不信任、始终验证”）认为网络边界不可信，每个访问请求均须身份验证。国内外研究和实践正加速将零信任融入网络与计算安全中。在边缘场景中，通过加密通信（如国密SM9算法）、可信群组密钥和物理层加密等手段可构建高速安全信道；基于硬件隔离的TEE节点可实现机密计算和FL；分片加密存储和云端审计等策略则防范数据泄露和篡改【7†L247-L254】。综合来看，安全能力需内生于每个环节，依托零信任与隐私计算双基石【7†L247-L254】。以上研究为本工作提出的融合架构提供了坚实理论支持。以下用时间线归纳该领域主要发展：（图 1）。 

```mermaid
timeline
    title 联邦学习及相关安全技术发展历程
    2016 : 谷歌提出联邦学习概念【13†L68-L72】 
    2019 : 国内研究机构和行业探索联邦学习在金融、医疗等场景中的应用【2†L79-L84】【21†L118-L122】
    2021 : 中国《个人信息保护法》《数据安全法》生效，强调“数据可用不可见”原则 
    2023 : 发布《算力基础设施高质量发展行动计划》，提出协同部署算力和增强安全保障【26†L61-L66】
    2024 : 中国联邦学习市场规模约2.54亿元【21†L96-L99】
```

## 系统架构与方法

面向边缘-云协同环境，本研究设计了一种多层次的联邦学习安全架构（图 2）。该架构在**终端设备、边缘节点和云端**间实现协同训练，同时在各层级部署安全和隐私保护机制。主要组成如下：

- **边缘-云协同联邦学习框架**：各终端设备在本地进行数据训练，将模型参数或梯度经加密后通过边缘节点上传至云端（或经边缘聚合后上云），在云端或边缘中心进行全局模型聚合【2†L79-L84】【13†L68-L72】。与传统中心式训练相比，本地训练消除原始数据传输，充分保护隐私。根据数据分布可灵活选择横向或纵向联邦学习方案，以应对不同场景。
- **零信任通信**：所有网络通信均进行端到端加密，并采用“**双盲通信**”机制切断终端与云端的直接标识链路，有效防止流量分析和IP追踪【11†L7-L10】。边缘节点间、边缘与云端间通信使用高速安全协议（如基于国密算法的安全信道），并在传输层、网络层部署多重加密与身份认证策略【7†L247-L254】【11†L7-L10】。
- **可信执行与隔离**：终端和边缘设备支持虚拟化或容器化部署，在操作系统层面实现强隔离。关键敏感计算任务在TEE或安全容器（如基于ARM TrustZone、Intel SGX的隔离环境）中执行，以保护数据在使用时的安全【19†L21-L25】【28†L118-L124】。例如，华为A+K平台提出“**双硬件信任根、端到端隔离、任务级零信任验证**”架构，机密容器将AI运行时与TEE结合，兼顾大模型的安全与性能【28†L118-L124】。在终端设备上，可利用最小权限沙箱、应用签名验证等手段防范本地侧信道攻击。
- **隐私计算融合策略**：在此架构中，将联邦学习与其他隐私计算技术协同使用。边缘节点可引入差分隐私噪声，进一步模糊输出结果，防止模型参数泄漏用户数据【19†L21-L25】【13†L28-L31】；高安全场景下则可采用安全多方计算协议或同态加密，对梯度或模型聚合过程加密，满足严格合规要求。数据存储方面，使用分片加密＋边缘存储＋云审计等机制，将模型和中间数据在各节点分散保存并加密，降低单点泄露风险【7†L247-L254】。  

图 2 给出了该架构的示意图：终端设备（IoT传感器、移动终端等）连接至就近的边缘服务器，后者与云数据中心协同完成模型聚合。通信过程中全程加密，计算过程在可信区域内完成。 

```mermaid
graph LR
    subgraph 端设备
        Device((传感器/移动终端))
    end
    subgraph 边缘节点
        Edge(边缘服务器)
    end
    subgraph 云端
        Cloud(云数据中心)
    end
    Device -->|本地模型训练| Edge
    Edge -->|参数聚合| Cloud
    Cloud -->|全局模型更新| Edge
    Edge -->|下发模型| Device
```

## 安全机制与实现细节

在上述架构下，各层面均嵌入了安全机制以应对多种威胁：

- **操作系统与虚拟化保护**：边缘和云平台通过容器化或虚拟化技术（如Docker、VM）对联邦学习组件隔离部署，防止进程间横向攻击。虚拟机监控器（VMM）或容器安全运行时不断监测异常行为，一旦检测到恶意进程或系统调用，将即时隔离和上报。这为应用提供了运行时基础信任边界（底层信任基础）。
- **可信硬件**：系统广泛采用TEE技术保障密钥和数据安全。在TEEs中，模型训练和推理过程在硬件隔离区执行，即使操作系统被攻破，密文数据仍无法被窃取【19†L21-L25】。可信硬件同时支持远程证明功能，允许参与方验证远端设备的安全状态，进一步支撑零信任策略中的身份认证。
- **零信任策略执行**：引入动态访问控制和行为风险评估机制，对所有参与方和任务进行连续验证。系统根据设备信誉、历史交互行为等信息计算信任分，一旦发现风险激增，立即触发密钥更新或会话限制【11†L7-L10】【28†L118-L124】。此外，通过零知识证明等技术实现匿名接入，将“合法验证”与“不可追踪”相结合，以支持大规模跨域应用中的隐私保护【11†L25-L28】。  
- **分布式审计与可追溯**：所有边缘节点和云端操作都纳入审计日志系统，以区块链等不可篡改存储方式保存。通过链上溯源，可对模型更新、参数交换等操作进行事后审计，满足合规要求。

上述安全措施协同作用，确保在不可信网络环境下，数据传输和模型训练均满足“数据可用不可见”的安全原则【19†L21-L25】【28†L118-L124】。

## 讨论与分析

本文架构在理论上具备以下优势：第一，通过零信任框架，消除了“内网可信假设”，可动态抵御内部威胁和跨域攻击【7†L247-L254】【11†L7-L10】；第二，基于TEE的隐私保护方案可在硬件层保障模型训练过程的机密性，兼顾性能和安全【19†L21-L25】【28†L118-L124】；第三，联邦学习与其他隐私计算方法结合，实现了灵活的多层次隐私保护（如添加噪声、同态运算等），有效解决了传统FL单一技术局限【13†L78-L81】【7†L251-L254】。而定制化的分片加密存储与审计机制，有助于防范后端数据泄露或篡改。

需要注意的是，该架构的性能开销主要来自硬件隔离和加密计算：TEE固然效率高于纯软件加密，但仍略高于裸机运行；MPC/HE方案由于通信开销，适用于对精度要求极高且参与方数量相对较少的场景【13†L43-L51】【19†L72-L79】。因此，在不同场景中需权衡安全级别和效率。可行的策略是：在大多数普通训练迭代中仅采用轻量级措施（如加密传输、差分隐私），仅在法律法规要求特别严格的阶段引入重加密或MPC。

本文研究的架构方案相较于现有工作，有以下创新点：它在“边缘-云-端”三层协同架构下，系统地融合了零信任理念和多种隐私计算技术，实现了端到端的安全闭环；同时参考国家算力战略和数据安全法规的最新要求，将 **“数据可用不可见”** 原则贯穿始终【26†L64-L66】【19†L21-L25】。这些设计为政府和行业在开展联邦学习应用时提供了可借鉴的思路。

## 结论与展望

本文针对边缘-云协同环境中联邦学习的安全需求，提出了基于零信任与隐私计算融合的安全架构方案。该方案通过加密通信、可信执行环境、隐私计算协议等多种手段，实现了在**不可信网络与节点**条件下的安全、可信的数据协同与模型训练。总体来看，所提架构具有以下意义：一是为分布式智能计算提供了**可信工作流**，在保障数据机密性的同时释放了协同效能【28†L118-L124】；二是展示了零信任与隐私计算的**技术融合价值**，使得高模型精度与严格隐私保护得以并存【7†L247-L254】【19†L21-L25】。

展望未来，面对更大规模的数据和更复杂的AI应用，应进一步提升隐私计算效率和智能化程度。业界正积极探索更高效的多方安全计算和同态加密算法，以适应更广泛的协同计算场景【7†L251-L254】；同时，AI系统安全也将成为重点，动态安全编排、抗量子攻击等新技术将融入新一代联邦学习框架。此外，随着法规日益完善，如何在满足合规要求下提高系统易用性和性能，将是后续研究的重点。我们相信，随着算力网络化和边缘智能化的深入推进，上述融合方法将在构建高效、可信的协同智能基础设施中发挥关键作用。

**参考文献：** 本文所引用的文献主要包括国内外期刊、会议和权威报告【2†L53-L60】【13†L68-L72】【19†L21-L25】【28†L118-L124】等，确保了材料的可靠性与时效性。