[发明专利]一种联邦学习中在黑盒场景下基于对抗样本的鲁棒水印遗忘验证方法

权利要求书

1.一种联邦学习中在黑盒场景下基于对抗样本的鲁棒水印遗忘验证方法，其特征在于，该方法包括数据自动筛选阶段、数据增广阶段、对抗样本生成阶段、对抗训练阶段、以及检查遗忘阶段；

所述数据自动筛选阶段，随机筛选出遗忘用户本地数据集S中的固定比例的数据集S1；

所述数据增广阶段，对数据集S1中的数据进行基础的数据增广，包括切换视角、随机模糊、色彩抖动和随机旋转，形成增广后的数据集S2；

所述对抗样本生成阶段，利用对抗样本生成算法微调数据集S2中的增广数据生成对应的对抗样本，这些对抗样本在人眼看上去与正常样本差别不大，但输入到模型中将得到完全不同的输出；将这些对抗样本和它们正确的类别组合得到验证数据集S3；

所述对抗训练阶段，将遗忘用户本地模型在对抗样本验证数据集S3和原始的本地数据集S上进行对抗训练，从而将水印嵌入到本地模型中，这里嵌入的水印对应验证数据集S3中对抗样本上正确的原始类别；嵌入水印后的本地模型上传给中心服务器聚合，生成下一个周期的全局模型；

所述检查遗忘阶段，遗忘用户通过黑盒访问接下来若干个周期的全局模型提取水印，提取的水印由全局模型在验证数据集S3中的对抗样本上的输出类别形成，根据提取的水印与原始嵌入水印的对比结果，验证遗忘情况。

2.根据权利要求1所述的一种联邦学习中在黑盒场景下基于对抗样本的鲁棒水印遗忘验证方法，其特征在于，这种对水印依赖的对抗样本的鲁棒行为是遗忘用户个人私有的，且这种对抗样本和对应的正确标签的组合是唯一属于且能够标记该用户的，并且这种由嵌入水印所带来的模型对于对抗样本的鲁棒性作为一种数据增广的手段，能够提升全局模型的鲁棒性。

3.根据权利要求1所述的一种联邦学习中在黑盒场景下基于对抗样本的鲁棒水印遗忘验证方法，其特征在于，所述数据增广阶段，对数据集S1中的数据进行基础的数据增广形成增广后的数据集S2，这些增广数据直接作为生成水印依赖的对抗样本的初始数据，能够将水印稳定地嵌入模型中并用来验证遗忘情况和提升模型鲁棒性，并且这些增广后的数据能够进一步扩大遗忘用户的数据与其他未增广的参与者的数据的差异，提升遗忘用户数据的唯一性。

4.根据权利要求1所述的一种联邦学习中在黑盒场景下基于对抗样本的鲁棒水印遗忘验证方法，其特征在于，所述检查遗忘阶段中，通过检查全局模型在验证数据集S3上的准确率来判断是否成功遗忘用户；具体来说，遗忘用户通过黑盒访问接下来若干个周期的全局模型提取水印，提取的水印由全局模型在验证数据集S3中的对抗样本上的输出类别形成，根据提取的水印与原始嵌入水印的对比结果，得出联邦遗忘验证结果的可信度。