物理认证联邦学习：为关键水务基础设施的协同异常检测提供安全保障

核心问题是如何检查联邦更新背后的训练遥测，而不向协调器公开这些数据。 作者关注水处理和配水设施共享异常检测器时的定向数据投毒。

• 应用场景：设施本地训练、只交换参数更新。作者认为，本地攻击数据稀少推动协作训练，但隐藏遥测也使协调器无法检查更新的数据来源。
• 现有防线：鲁棒聚合检查更新几何，密码学输入验证检查隐藏更新的范数。作者认为，两者都没有约束生成更新的训练遥测。
• 核心观察：水系统遥测受执行器—流量关系和质量守恒约束。作者把运行时检测不变量改作训练批次的准入条件，但保护范围取决于已测量的物理关系。
• 提出方案：物理准入门先排除不合规批次，再交给聚合规则；PA-FL Lite 用零知识证明验证已承诺批次的抽样行。
• 威胁模型：受害系统是联邦重构自编码器，目标是降低其对指定攻击的召回率（第 3.1 节）。
  • 知识：white-box 对手知道协议、全局参数、自有遥测、全部不变量和容差。
  • 控制：主要配置控制 10 个客户端中的 3 个；较小配置控制 5 个中的 2 个，可协调污染本地数据。
  • 自适应能力：对手可把污染数据投影到不变量可行域；另有直接修改更新向量的对照攻击。

相关研究分为更新空间防御、运行时物理检测、密码学验证和工业异常检测。 作者的定位是把验证对象移到本地训练遥测。

更新空间聚合与投毒

• FedAvg 与鲁棒规则：McMahan 等（2017）使用加权平均；Krum、Median、Trimmed Mean、Norm Clipping、FLTrust、FoolsGold 分别依据距离、坐标统计、范数、可信梯度或历史相似度处理更新。
• 投毒与规避：Bagdasaryan 等（2020）通过梯度缩放注入后门；Geiping 等（2021）研究梯度匹配投毒；Baruch、Fang、Shejwalkar 等研究规避更新过滤的优化攻击。
• 暴露式投毒：Nguyen 等（2020）让受损客户端把攻击流量作为正常数据训练，使联邦异常检测器学习接受这些模式。

物理不变量与覆盖边界

• 不变量构建：Adepu 与 Mathur（2016）从过程设计推导不变量；Feng 等（2019）、Zhu 等（2025）从正常记录自动提取规则。
• 其他物理检测：NoisePrint（2018）检查传感器和过程噪声；Feng 与 Tian（2021）结合神经系统辨识与贝叶斯状态估计。
• 覆盖审计：作者引用 Cho（2026）对 SWaT 的分析，强调不变量只能检查仪表覆盖的关系；本文把这一边界带入投毒防御。

密码学联邦验证

• 安全聚合与输入验证：Bonawitz 等（2017）隐藏个体更新；RoFL、ACORN 验证隐藏更新的范数界，Armadillo 讨论恶意服务器下的隐私—效用关系。
• 聚合与模型验证：Wang 等的框架及 zkFL 检查协调器聚合或模型约束；作者认为这些工作没有验证训练遥测的物理有效性。
• 证明组件：Groth16、Poseidon 支持本文证明与承诺；作者引用 ZKML 和相关综述，说明完整训练证明的计算成本问题。

工业检测与实验对照

• 检测器研究：Kravchik 与 Shabtai（2018、2022）讨论重构式工业异常检测；Huong 等（2022）研究联邦可解释异常检测。
• 基线方法：本文在 SWaT 使用七种聚合规则，在 WADI、BATADAL 各使用三种；Table 3 还列出 Simulator，HAI 用作不变量适用范围的负对照。

作者称，区别在于把物理不变量从运行时报警规则变为聚合前训练批次准入条件，并用零知识证明隐藏原始遥测。

Physics-Attested Federated Learning 在聚合规则之前增加数据空间准入层。PA-FL Lite 实现批次抽样合规证明；它没有证明提交更新确实由该批次训练得到。

不变量发现与容差校准

• 执行器—流量耦合：比较执行器状态对应的流量分布，保留有支持度且方差较小的关系；切换过程中的行不参与该耦合检查。
• 储罐质量平衡：用稀疏线性回归拟合液位变化与边界流量。默认保留 R² ≥ 0.60 的候选关系。
• 噪声容差：使用独立干净校准数据，按 ε_j=1.5× Q_0.999(|r_j|) 设置容差，即绝对残差经验 99.9 分位数的 1.5 倍（公式 3）。
• 覆盖配置：SWaT narrow 使用 5 条规则；wide 使用 9 条。第 5.2.1 节报告 wide 放宽筛选阈值以纳入跨阶段质量平衡。

批次准入与聚合

• 违规定义：一行只要违反任一适用不变量就记为违规；完整批次违规行比例不超过 1% 才准入（公式 4）。
• 准入位置：不合规客户端被排除当轮，合规更新继续由 FedAvg 或鲁棒聚合规则处理。两层分别检查训练数据与参数更新。
• 攻击覆盖定义：一个攻击片段的违规行比例超过 1% 时，计为被该不变量集覆盖；这一口径也用于覆盖审计。

自适应对手与损害定义

• 对手建模：physics-aware 对手把污染批次投影到满足全部不变量容差的可行域；离散执行器保持固定，只改变连续读数（第 3.3.1 节）。
• 投毒机制：数据空间攻击让检测器学习重构攻击模式；更新空间对照使用干净数据训练后修改参数更新。这里只描述机制，不展开污染构造步骤。
• 损害移除：Removal=1−(R_ref−R_gated)/(R_ref−R_naive)，表示相对 Honest-Only 参考，准入门移除了多少 naive 投毒造成的目标召回损害（公式 7）。
• 统计口径：只对 naive 损害至少 1.0 个百分点的种子计算损害加权比例；超过 100% 表示 gated 结果高于参考，作者归因于种子与小批次方差。

PA-FL Lite 的承诺与抽样证明

1. 批次承诺：客户端对 N=1,024 行建立深度 10 的 Poseidon Merkle 树；承诺完成后接收不可预测挑战，据此派生 k=32 个抽样索引。
2. 证明语句：Groth16 over BN128 检查抽样行及前驱行的 Merkle 开启、不变量残差、违规预算 vmax 和不适用检查预算 umax。
3. 验证与转交：服务器检查证明和公开输入，只把通过的更新送入聚合；原始遥测不公开。

电路实现与证明范围

• 算术表示：附录 C 使用带偏置的定点表示和范围检查处理有符号数据；不变量系数与容差编译为电路常量。
• 成本结构：分块 Poseidon 哈希与两条 Merkle 路径占主要约束；违规标志累计后统一检查预算，而非遇到一条违规就立即判失败。
• 边界：抽样证明与完整批次的 1% 检查是不同协议。作者在第 6.4 节明确指出，批次与更新的密码学绑定、定点与浮点约束的严格等价尚未解决。

主证据来自 SWaT 的定向召回实验，辅以跨记录不变量审计和零知识证明基准。 完整批次准入与抽样证明的误拒结果需要分开阅读。

实验设置

• 被测模型：各条件使用未命名的深重构自编码器；窗口 W=10，128 单元 ReLU 隐层、24 维瓶颈和对称解码器，以均方误差训练。
• 数据记录：SWaT December 2015、WADI October 2017 均为 5 秒步长，分出 35、14 个攻击片段；BATADAL 使用全年小时记录和 14 个场景；HAI 21.03 是物理适用范围负对照。
• 分区与训练：正常记录按时间分为不变量发现 30%、验证 15%、服务器 root 5%、客户端 50%。训练 25 轮，每轮 2 个本地 epoch，Adam、学习率 10⁻³、批量 1,024。
• 聚合对照：SWaT 使用 FedAvg、Median、Trimmed Mean、Norm Clipping、Krum、FLTrust、FoolsGold；WADI、BATADAL 各三种，但 Table 3 未列其名称。另列六种规则的 Simulator 实验。
• 指标与判定：重构误差超过干净验证损失的 99.5 分位数即报警，无 LLM 评审；主指标为目标攻击行召回率及损害加权移除比例，另报告非目标召回、F1、AUC-PR 和准入率。
• 规模与重复：Table 3 共 1,120 个训练单元，其中 SWaT 907、WADI 90、BATADAL 72、Simulator 51；主配置 5 个种子，次级扫描 3 个。分离审计每记录抽取 200 个 1,000 行批次。

主结果

据附录 B、Table 7：SWaT wide 9 条规则，5 个运行种子；n 是 naive 损害至少 1.0 个百分点的有效种子数。损害相对 Honest-Only，移除比例采用损害加权统计。

Swipe horizontally to read the table

聚合规则	回放 n	回放损害（百分点）	回放 gate 移除	Channel roll n	Channel roll gate 移除
FedAvg	2	13.8	71%	2	92%
Median	3	6.2	103%	2	101%
Norm clip	3	7.4	104%	2	100%
Trimmed mean	3	5.1	91%	2	89%
FLTrust	3	2.2	69%	2	54%

• 统计边界：表中省略 Krum 和 FoolsGold。Figure 8 对少于 2 个有效种子的组合标 n/a；Table 7 仍列 Krum 的 n=1 比例，以及 FoolsGold 通道滚动的 n=1、259% 比例。
• 作者解读：作者认为收益主要来自批次排除，而不是投影本身消除投毒。超过参考水平的比例被解释为种子与小批次方差。
• 概括差异：摘要写回放移除 69–100%、伪造遥测移除 54–100%；Table 7 包含超过 100% 的结果，应以逐条件数字阅读。

不变量分离与攻击覆盖

• 真实攻击覆盖：Table 4 中，SWaT narrow 覆盖 12 / 35 个攻击、1,137 / 10,931 个攻击行；wide 覆盖 20 / 35、8,991 / 10,931。诚实行违规率分别为 0.21%、0.36%。
• 跨记录边界：WADI 的 7 条耦合覆盖 3 / 14 个攻击、395 / 1,996 个攻击行（Table 4）。作者称未计量的用户需求使质量平衡难以挖掘；HAI 无耦合、只有三条弱平衡，Figure 5 图注称所有批次获准。
• 例外与概括冲突：第 5.1 节报告 Regime Splicing 仅 0.12%–0.36% 行违规，能通过 1% 门槛；这与引言“拒绝每个伪造批次”的概括不一致。100 个诚实客户端分片无拒绝，最大违规率 0.51%。

更新空间防御与自适应攻击

• 两层分工：Figure 6 的 SWaT wide 无 gate 实验中，FoolsGold 接受全部 optimised perturbation 更新，目标召回损失 6.0 个百分点；物理检查对该批次准入率为 0.00，对四种更新空间攻击均为 1.00。
• 负面结果：同图 Krum 对四种数据攻击接受率均为 0.00，却均损失 9.2 个百分点；作者解释为单客户端选择方差。其 free rider、min-max 损失为 14.6、14.7 个百分点。
• 自适应准入：Table 5 中，SWaT wide 回放投影前接受 0 / 15，投影后 6 / 15；BATADAL 投影后 6 / 6，WADI 为 3 / 9。诚实分片拒绝分别为 0 / 35、0 / 9、0 / 21。

零知识证明成本与采样结果

• 运行成本：Table 6 的 SWaT wide、N=1,024、k=32、Apple M3 Pro 配置有 297,736 个约束；证明生成 12.0 s、峰值内存 3.8 GB，验证 290 ms，JSON 证明 806 B。
• 采样判定：Table 8 使用 seed-0 SWaT 批次、vmax=1、umax=8，在 56 个诚实窗口上进行 19,992 次随机索引抽样。k=32 诚实接受率 98.51%，回放和通道滚动检测率均为 99.8%。
• 自适应例外：Table 8 的投影批次有 0.68% 违规行，并成功验证；因此有效证明不等于没有投毒。完整分片零拒绝不能替代抽样证明的接受率。

其他消融与分析

• 覆盖配置：Table 7 的 narrow 回放 gate 移除：FedAvg 22%、Median 35%、Norm clip 9%、Trimmed mean 8%、FLTrust 49%；各行 n 为 2、3、3、3、3。
• 失败组合：Table 7 的 narrow、FoolsGold、通道滚动 gate 移除为 -202%，n=1；未给出该行单独的机制解释。
• 抽样大小：Table 8 的 k=16 诚实接受率 99.41%，通道滚动检测率 93.5%，回放检测率 91.7%。
• 成本差异：Table 8 的 k=16 证明生成 6.55 s、2.3 GB、验证 300 ms；正文对应写 2.4 GB，并称验证成本相同，表格数值不同。
• 预处理：附录 A.1 报告移除 AIT 并修正缩放后，clean F1 从 0.27 到 0.756；这是联合修改结果，不能归因于其中一项。

Figure 3、5、7–9 仅按文本可见标注、图注和表格解读；转换文本无法支持曲线位置或柱高的额外判断。

作者把更强自适应攻击、证明语句边界和跨物理系统推广列为开放问题。 这些问题与现有实验的覆盖事实应分开阅读。

作者指出的局限与后续方向

• 合规数据仍能投毒：第 6.4 节明确指出，合规回放、Regime Splicing 和成功投影批次能够绕过准入；损害移除应针对被覆盖攻击理解。
• 联合自适应优化：第 6.4 节把同时优化物理可行域内投毒目标及下游聚合规避列为更强威胁，其剩余投毒能力仍是开放问题。
• 更新绑定：第 6.4 节指出，证明只检查已承诺批次的抽样行，没有保证提交更新严格由该批次计算；Figure 10 将 proof-of-gradient 留给后续工作。
• 算术等价：第 6.4 节明确说，定点不变量与浮点约束的严格等价仅有论述，尚无证明。
• 不变量隐私：第 6.4 节指出，公开电路中的系数会向协调器透露部分设施拓扑，私密评估不变量方程仍待研究。
• 推广范围：第 6.4 节将热力循环、解耦电网动态和实际运行设施列为后续方向；第 6.2 节明确把保护范围限定于仪表覆盖的物理关系。

实验覆盖范围

• 记录与拓扑：训练网格使用 SWaT、WADI、BATADAL、Simulator；HAI 用于不变量分离负对照。客户端来自同一记录的时间分片（Table 3、Figure 4）。
• 模型与重复：各条件采用同一类重构自编码器，主配置运行 5 个种子；Table 7 多数主比例只有 2 或 3 个有效种子，另有 0、1 个的组合。
• 防御与威胁：SWaT 对照七种聚合规则、四种数据空间和四种更新空间攻击；自适应对手保持离散执行器不变（Figure 6、第 3.3.1 节）。
• 证明实验：Table 8 使用 seed-0 SWaT 批次，比较 k=16、32；采样估计基于 56 个诚实窗口及 19,992 次抽样，运行硬件为 Apple M3 Pro。
• 信息报告：Table 3 为 WADI、BATADAL 各列三种规则，但未给具体名称；Table 7 未报告移除比例的置信区间或统计显著性检验。

这是一项面向水基础设施联邦异常检测的物理准入防御研究。 作者针对隐藏训练遥测带来的投毒检查问题，结合不变量挖掘、聚合前过滤和零知识抽样证明。

• 方法要点：从干净记录提取执行器—流量耦合与储罐质量平衡，校准噪声容差；训练批次先检查物理一致性，再由更新空间规则聚合。
• 覆盖结果：SWaT wide 9 条规则覆盖 20 / 35 个攻击，诚实行违规率为 0.36%；WADI 7 条规则覆盖 3 / 14 个攻击（Table 4）。作者把差异归于可计量物理关系。
• 防护结果：SWaT wide 的 FedAvg 回放损害移除为 71%，n=2；FLTrust 通道滚动移除为 54%，n=2（Table 7）。这些比例是有效种子的损害加权结果。
• 绕过边界：SWaT wide 回放批次投影后接受 6 / 15；BATADAL 为 6 / 6（Table 5）。第 5.1 节也报告 Regime Splicing 通过门槛，不能把准入门概括为拒绝全部伪造数据。
• 隐私验证：PA-FL Lite 在 SWaT wide、k=32、M3 Pro 上生成证明需 12.0 s，验证需 290 ms（Table 6）；同样抽样规模的诚实接受率为 98.51%（Table 8）。
• 作者结论与范围：作者认为数据空间准入与更新空间过滤互补，收益主要来自排除不合规批次。作者同时指出，证明尚未绑定更新与批次，且保护范围受物理覆盖约束。