《联邦学习》算法卡片

用法：先遮住卡片正文，只根据算法名写出数据划分、角色、每轮消息、本地更新、全局更新、终止条件和失败条件，再对照补漏。

算法总览

算法	数据划分	主要交换	输出形态	推理是否协同
FedSGD	HFL	本地全数据梯度	完整全局模型	通常否
FedAvg	HFL	多步本地模型/更新	完整全局模型	通常否
AHE安全FedAvg	HFL	密文本地模型/损失	聚合模型	视密钥/部署而定
安全联邦线性回归	VFL	加密点积、残差和梯度	各方参数分片	是
SecureBoost	VFL	加密一二阶梯度统计、路由	主动方树结构+被动方阈值表	是
AHE联邦迁移学习	FTL	加密表征交互、损失和梯度	两方本地网络	是
秘密共享FTL	FTL	损失/梯度交叉项的秘密份额	两方本地网络	是
FLI	任意FL	贡献、成本和支付状态	当轮支付与历史队列	不适用
HFRL模型聚合	横向FRL	策略/价值网络更新	联邦RL模型	通常否
纵向联邦DQN	纵向FRL	加密中间激活和梯度	分布式Q网络	是

⚡ 边界

下面的复杂度使用问题规模的主导项表达。密码协议、网络拓扑、批处理和具体模型会显著改变常数与轮数；原书没有给出统一精确复杂度的地方，不补造确定数字。

算法卡：FedSGD

• 解决的问题：在HFL中聚合各客户端于同一参数点计算的本地全数据梯度。
• 适用的数据划分：特征/标签空间相同，样本分散。
• 参与角色：服务器、个客户端。
• 客户端保存的状态：、全局模型副本。
• 服务端保存的状态：、客户端选择状态。
• 每轮交换的信息：下发，上传。
• 本地更新：不做多步模型更新，只计算一次本地平均梯度。
• 服务端更新：

• 核心公式：。
• 终止条件：目标收敛、轮数或时间上限。
• 计算复杂度：客户端每轮遍历本地数据，约。
• 通信复杂度：选中个客户端、模型维度时，每轮上行。
• 隐私机制：原始算法无；可叠加安全聚合、HE、DP。
• 信任与攻击者假设：原始版本隐含服务器正确聚合、客户端诚实。
• 主要优势：所有梯度在共同参数点计算，客户端漂移较弱。
• 主要局限：每次较小进展都需通信，通信轮数高。
• 可能失效的条件：采样/加权严重有偏、客户端恶意、学习率不当。
• 应该比较的基线：集中梯度下降、FedAvg、Local-only。

算法卡：FedAvg

• 解决的问题：用多步本地计算减少HFL通信轮次。
• 适用的数据划分：特征/标签空间相同，样本分散且可Non-IID。
• 参与角色：服务器、客户端。
• 客户端保存的状态：数据、模型副本、可选本地优化器状态。
• 服务端保存的状态：全局模型、采样/轮次状态。
• 每轮交换的信息：下行；上行或差值。
• 本地更新：从出发，对mini-batch做若干本地SGD步骤。
• 服务端更新：

• 核心公式：。
• 终止条件：损失/指标收敛、通信轮数或时间上限。
• 计算复杂度：客户端每轮约（以个本地epoch理解时）。
• 通信复杂度：每轮上下行主导项。
• 隐私机制：原始算法无正式隐私。
• 信任与攻击者假设：原书主要讨论诚实客户端、半诚实服务器。
• 主要优势：通用、简单、通信轮数通常低于FedSGD。
• 主要局限：Non-IID漂移、部分参与偏差、掉线、更新泄露和投毒。
• 可能失效的条件：或过大，局部目标冲突，模型/初始化不一致。
• 应该比较的基线：集中、Local-only、FedSGD；后续可加FedProx/SCAFFOLD。

🔍 展开查看：FedAvg伪代码

server w <- w0
for each round t:
    Ct <- sample max(rho*K, 1) clients
    parallel for k in Ct:
        wk <- w
        repeat local training controlled by S and mini-batch M:
            wk <- wk - eta * batch_gradient(wk)
        upload wk
    w <- weighted_average({wk}, weights={alpha_k})
    stop if criterion met

算法卡：AHE安全FedAvg

• 解决的问题：服务器聚合HFL模型时不直接看到单个客户端明文模型。
• 适用的数据划分：HFL。
• 参与角色：客户端、协调方、密钥持有/解密角色。
• 客户端保存的状态：本地数据/模型、加密公钥和解密权限状态。
• 服务端保存的状态：全局密文模型、轮次状态。
• 每轮交换的信息：密文模型及原书方案中的相关损失。
• 本地更新：解密全局模型、本地训练、重新加密更新。
• 服务端更新：在密文上执行加权求和。
• 核心公式：

• 终止条件：加权损失收敛或轮数上限。
• 计算复杂度：FedAvg本地计算外加逐参数加解密。
• 通信复杂度：仍为个数值，但每个密文远大于明文。
• 隐私机制：加法同态加密。
• 信任与攻击者假设：半诚实参与角色、密钥安全、原书所述CPA安全条件。
• 主要优势：不向协调方暴露单个明文更新。
• 主要局限：计算/通信重，不防恶意输入，不限制最终模型泄露。
• 可能失效的条件：密钥泄露、串谋、选择性解密、投毒。
• 应该比较的基线：明文FedAvg、安全聚合、MPC聚合。

算法卡：安全联邦线性回归

• 解决的问题：VFL中联合不同特征训练线性回归。
• 适用的数据划分：大量共同样本、不同特征，一方持标签。
• 参与角色：A、B、可选第三方C。
• 客户端保存的状态：；；随机掩码。
• 服务端保存的状态：C持密钥并解密受掩码梯度。
• 每轮交换的信息：、、加密损失与掩码梯度。
• 本地更新：去掩码后各自更新。
• 服务端更新：C不持统一模型，只解密和协调。
• 核心公式：

• 终止条件：联合损失收敛或迭代上限。
• 计算复杂度：线性依赖重叠样本与特征维度，另加AHE成本。
• 通信复杂度：随重叠样本和参数维度增长，密文膨胀。
• 隐私机制：AHE、随机掩码；MPC可替代C。
• 信任与攻击者假设：半诚实、不串谋、C不串谋、样本数/特征数满足原书代数条件。
• 主要优势：相同设置下计算集中式目标的同一损失和梯度。
• 主要局限：恶意输入、第三方、频繁通信和协同推理。
• 可能失效的条件：特殊探测输入、实体错配、串谋、密钥泄露。
• 应该比较的基线：集中、A-only/B-only、明文VFL、MPC版本。

算法卡：SecureBoost

• 解决的问题：VFL中安全训练梯度提升树。
• 适用的数据划分：共同样本、不同特征；主动方持标签。
• 参与角色：主动方、一个或多个被动方。
• 客户端保存的状态：主动方持标签/树结构；被动方持特征/分桶/阈值查找表。
• 服务端保存的状态：无独立服务器，主动方协调。
• 每轮交换的信息：、分桶聚合统计、特征/阈值ID、样本路由。
• 本地更新：被动方分桶并聚合密文统计，保存选中阈值。
• 服务端更新：主动方解密统计、选择最大增益并维护树。
• 核心公式：

• 终止条件：最大深度、最小增益、叶样本或树数上限。
• 计算复杂度：每节点遍历各方“特征×桶”候选。
• 通信复杂度：每节点与“参与方特征数×桶数”的密文统计主导项相关。
• 隐私机制：AHE保护逐样本一二阶梯度，PSI保护实体对齐。
• 信任与攻击者假设：半诚实、不串谋；主动方可见解密后的聚合统计。
• 主要优势：原书设定下与相应集中式提升树具有相同分裂精度。
• 主要局限：主动方权限强、树路径泄露、高交互、协同推理。
• 可能失效的条件：小桶、恶意特征、标签投毒、掉线、重复路径探测。
• 应该比较的基线：集中XGBoost、主动方单方模型、明文VFL树。

🔍 展开查看：SecureBoost一棵树

active computes and encrypts gi, hi for every sample
for each node:
    passive parties bucket local features and aggregate encrypted G/H per bucket
    active decrypts all candidate statistics and selects best party/feature/threshold-id
    selected passive resolves actual threshold, stores local lookup record, returns left sample IDs
    active splits node and stores [party-id, record-id]
compute leaf weights; repeat for more trees
prediction traverses distributed lookup records until each leaf

算法卡：AHE联邦迁移学习

• 解决的问题：样本/特征重叠少时，用源域标签改善目标域预测。
• 适用的数据划分：FTL，少量对齐样本。
• 参与角色：源域A、目标域B。
• 客户端保存的状态：本地数据、本地网络、密钥与随机梯度掩码。
• 服务端保存的状态：无中央服务端。
• 每轮交换的信息：加密表征交互项、加密损失、受掩码梯度。
• 本地更新：本地网络前后向，去掩码后更新本方参数。
• 服务端更新：不适用。
• 核心公式：

• 终止条件：A方损失收敛或达到上限。
• 计算复杂度：双网络前后向加密文交互计算。
• 通信复杂度：随对齐样本、表示维度和交互梯度规模增长。
• 隐私机制：AHE+随机掩码，损失采用二阶近似。
• 信任与攻击者假设：半诚实、最多一方被破坏。
• 主要优势：本地网络结构灵活，不公开原始数据/完整网络。
• 主要局限：负迁移、密码成本、近似误差、协同推理。
• 可能失效的条件：域无关、对齐有偏、恶意输入、近似区间失配。
• 应该比较的基线：B-only、集中TL、明文FTL、秘密共享FTL。

算法卡：秘密共享联邦迁移学习

• 解决的问题：以秘密份额安全计算FTL交叉损失/梯度，降低AHE线上成本。
• 适用的数据划分：FTL。
• 参与角色：A、B及协议预处理角色。
• 客户端保存的状态：本地网络、秘密份额、乘法三元组。
• 服务端保存的状态：无。
• 每轮交换的信息：交叉项份额和重构消息。
• 本地更新：本地项单独算，交叉项共同算，合并梯度。
• 核心公式：。
• 终止条件：损失收敛或达到上限。
• 计算复杂度：线上算术轻于AHE，离线生成乘法材料。
• 通信复杂度：乘法和重构引入多轮消息。
• 隐私机制：秘密共享。
• 信任与攻击者假设：腐败/串谋不超过阈值。
• 主要优势：原书强调无近似精度损失、线上效率较高。
• 主要局限：三元组生成、存储与不可安全复用。
• 可能失效的条件：份额串谋、预处理泄露、随机材料复用。
• 应该比较的基线：AHE版、明文FTL、B-only。

算法卡：FLI

• 解决的问题：有限预算下按贡献、成本、欠偿和等待动态支付。
• 适用的数据划分：任意联邦训练。
• 参与角色：联盟管理者、参与方。
• 客户端保存的状态：贡献、私有成本和付款记录。
• 服务端保存的状态：。
• 每轮交换的信息：更新/贡献证据、成本报价、付款。
• 本地更新：产生模型贡献并报价。
• 服务端更新：

• 终止条件：按联盟生命周期持续运行。
• 计算复杂度：给定后；求贡献可能非常昂贵。
• 通信复杂度：不含模型更新时为状态/报价消息。
• 隐私机制：原书未给正式机制。
• 信任与攻击者假设：贡献/成本可获得，身份真实，管理者正确执行。
• 主要优势：同时考虑当前价值和历史欠偿。
• 主要局限：上游量可操纵，不自动激励相容或抗女巫。
• 可能失效的条件：高报成本、验证集投机、长期预算赤字。
• 应该比较的基线：均分、按样本量、Shapley近似、只按成本。

算法卡：HFRL模型聚合

• 解决的问题：多环境的相同RL任务在不共享原始经验时协作。
• 适用的数据划分：相同任务接口、不同环境经验。
• 参与角色：RL智能体、联邦服务器。
• 客户端保存的状态：轨迹/回放、策略或价值网络。
• 服务端保存的状态：联邦模型。
• 每轮交换的信息：受保护模型更新。
• 本地更新：环境交互和RL训练。
• 服务端更新：模型融合。
• 终止条件：回报稳定、预算或安全阈值。
• 计算复杂度：由本地RL采样/训练主导。
• 通信复杂度：与选中智能体数和网络参数量相关。
• 隐私机制：原书概念流程使用加密参数；未统一规定正式保证。
• 信任与攻击者假设：智能体遵守协议，任务可迁移。
• 主要优势：可能提高样本效率和跨环境泛化。
• 主要局限：策略非平稳、环境异构、危险探索。
• 可能失效的条件：奖励/动作语义冲突、旧策略更新、恶意奖励操纵。
• 应该比较的基线：单智能体、集中经验、分布式RL。

算法卡：纵向联邦DQN

• 解决的问题：同一环境的不同观察方协作训练Q网络。
• 适用的数据划分：状态/观察按特征或角色分散。
• 参与角色：持奖励的Q网络智能体、协作观察智能体。
• 客户端保存的状态：本地观察、本地网络、可选动作策略。
• 服务端保存的状态：无独立服务器；Q网络方负责联合损失。
• 每轮交换的信息：加密中间激活、加密权重梯度。
• 本地更新：协作方依据返回梯度更新本地网络。
• 服务端更新：Q网络方融合中间量、计算DQN损失并反传。
• 终止条件：回报/损失稳定或达到安全/训练预算。
• 计算复杂度：本地网络加联合DQN训练。
• 通信复杂度：每个环境步或训练批次交换激活/梯度，延迟敏感。
• 隐私机制：原书概念使用加密中间量与梯度。
• 信任与攻击者假设：角色半诚实、奖励方不操纵训练。
• 主要优势：使用跨方互补观察而不直接传原始状态。
• 主要局限：强在线依赖、中间量泄露、奖励权力不对称。
• 可能失效的条件：观察错位、网络延迟、恶意奖励、表征重建。
• 应该比较的基线：Q网络方单独观察、集中观察DQN、多智能体RL。