RuView 联邦训练隐私加固实践：DP-SGD 差分隐私与生物特征原语隔离（ADR-106 深度解读）

RuView 联邦训练隐私加固实践：DP-SGD 差分隐私与生物特征原语隔离（ADR-106 深度解读）

【免费下载链接】RuViewπ RuView turns commodity WiFi signals into real-time spatial intelligence, vital sign monitoring, and presence detection — all without a single pixel of video.项目地址: https://gitcode.com/GitHub_Trending/wi/RuView

导读

在 RuView 的联邦学习框架中，每个 Cognitum Seed（设备端推理单元）会在本地用用户的 WiFi CSI（信道状态信息）数据微调模型，且原始数据从不离机——但仅靠"本地训练 + 上传权重增量"，仍然无法抵御成员推理（member inference）与梯度反演攻击。本篇以 ADR-106：Differential privacy + biometric primitive isolation 为骨架，结合其上游 ADR-105、ADR-107 与 R15 生物特征原语研究，系统讲解 RuView 联邦训练的"三层防线"设计：原语隔离（不让敏感张量出门）、梯度裁剪（限定单样本敏感度）、高斯噪声（给出可审计的 (ε, δ)-DP 预算）。读完你将掌握这套方案的架构决策、逐 cog 参数选型表、威胁模型推演以及它的诚实边界。

背景：为什么"本地数据不离机"还不够

ADR-105 为 RuView 的个性化 CSI 模型（如cog-person-count、AETHER re-ID 头）设计了 MERIDIAN 环境归一化 + Krum 拜占庭鲁棒聚合 + R7 风格更新级 mincut 的联邦协议，核心约束来自两处：

• R14（共情家电）：数据留在设备端，只有聚合状态可以跨越集成边界；
• R3（跨房间 re-ID）：禁止跨安装点关联 embedding。

但 ADR-105 本身在决策记录里坦白留下了两个悬而未决的问题（见 ADR-105 威胁模型与"what does not cover"）：

1. 成员推理防御：一个足够强大的敌手如果观察多轮模型增量（model delta），原则上可以重建训练样本（Shokri 2017）。ADR-105 把 DP-SGD 明确列为"未来 ADR"；
2. 生物特征原语隔离：R15 指出基于 CSI 能提取出与房间无关的五种生物特征原语（步态频率、呼吸频率、HRV 心率变异性、RCS 频响曲线、行走动力学），且其隐私含义远超普通 embedding——R15 的硬约束是"联邦聚合器绝不能收到任何逐受试者的原始生物特征原语"，但当时尚未形式化"哪些张量算原语"。

ADR-106 正是为此而生：它是 ADR-105 的直接扩展，同时吸收 R3（re-ID 隐私）、R14（共情家电隐私）与 R15（RF 生物特征是物理性的而非学出来的）三条约束，把"隐私靠文档承诺"升级为"隐私靠 API 强制"。

三层防御架构

ADR-106 的决策一句话概括：在每个 Cognitum Seed 上、任何模型增量离开设备之前，强制执行 DP-SGD + 显式原语隔离。它拆成三层职责互补的防线。

Layer 1 —— 原语隔离（R15 绑定约束）

维护一张静态的"仅限设备端"生物特征原语清单，联邦客户端库确保这些张量永远不会被序列化进可传输的更新。逐项判定如下：

✅ 行由 API 强制：若把带这些标签的张量传给submit_delta()，联邦客户端直接返回错误。这正是 R15 结尾"ADR-106 应形式化 on-device-only 原语清单"的实现落点——不是靠制度约束，而是在数据出口处设闸。

Layer 2 —— 梯度裁剪

任何 LoRA 权重增量被计算出来准备传输前，先把逐样本梯度裁剪到 L2 范数C（标准 DP-SGD 步骤，Abadi 2016），从而把"最终增量对任意单个训练样本的敏感度"限制住。

推荐C = 1.0（需按 cog 实验微调，部分 cog 可能需要C ∈ [0.5, 2.0]）。

Layer 3 —— 聚合增量上的高斯噪声

传输给协调器之前，在聚合后的 LoRA 增量上叠加高斯噪声N(0, σ²C²I)，为每轮隐私泄漏设置上限。这一步的 σ 由每个 cog 的隐私配置表给出（见下节）。

隐私预算与 Moments Accountant

ADR-106 采用Moments Accountant（Abadi 2016）在联邦各轮之间追踪 (ε, δ)-DP 预算：

推荐的起始 σ = 1.0适用于大多数 RuView cog，再按 cog 单独微调：

• cog-person-count（R8 简单分类器）：σ=1.0 足够；
• AETHER re-ID 头（R3，需要高可区分度）：σ=0.7 且 C=1.5，以保留判别力；
• cog-pose-estimation（骨架输出）：σ=1.0；
• cog-maritime-watch（R11，船员生命体征属于医疗级场景）：σ=1.5。

与隐私预算配套的是Moments Accountant 的熔断语义：它跨轮追踪 (ε, δ)，一旦预算耗尽就中止联邦并报 budget-exhausted 错误，而不是默默继续训练。ADR-106 把这一点列为正面后果之一——"操作上比天真地'一直训下去'更安全"。

与 ADR-105 协议的组合方式

DP-SGD 层精确地插在 ADR-105 协议摘要的第 4 步"Delta 压缩"处：

4. Delta 压缩。计算 ΔW_i = W_T+1_i − W_T。[新增：本地训练期间将逐样本梯度裁剪到 L2 范数 C=1.0；按上表逐 cog 的 σ 向 ΔW_i 叠加高斯噪声 N(0, σ²C²I)。]量化到 int8 + LoRA 秩分解（rank=8）→ 每个增量约 1 MB。

关键兼容性论证是：第 5 步的 Krum 拜占庭鲁棒聚合无需改动——Krum 的距离度量在典型 σ 取值下对加性高斯噪声是稳健的。也就是说 ADR-105 的防投毒机制（Krum + R7 更新级 mincut）与 ADR-106 的抗推理机制（DP）可以正交叠加，两者不冲突。MERIDIAN 逐房间质心减法作为"房间内全体受试者的聚合值"依旧合法，在 Layer 1 中属于 ⚠️ 可放行条目。

实现落地：ruview-fedcrate 的增量

按照 ADR-105 的 500 行实现预算，ADR-106 在此基础上增加约 300 行（联邦协议实现总预算修订为约 800 行）：

其中 Layer 1 的设计意图是"尽可能编译期强制"（compile-time enforcement where possible），即通过类型系统把敏感张量与可传输张量区分开，而非运行时碰运气。实现计划还包含第 6 步端到端隐私测试：用合成的成员推理攻击攻击 DP 保护模型，验证重建质量确实被 (ε, δ) 预测所约束。值得注意的是，截至本 ADR 状态为 Proposed，ruview-fed尚未在 v2 的 crate 集合中出现可引用的实现代码——从仓库现状看，v2/crates/下的 wifi-densepose-train 等 crate 承载训练管道，而联邦协议本身仍停留在 ADR 层面的设计规格。

备选方案评估

ADR-106 明确比较了四条替代路线，决策理由值得在实现同类系统时复用：

这套取舍的核心判断依据是威胁模型里"谁可信"：站内联邦的协调器（cognitum-v0 fleet manager）被当作受信任方（安装所有者控制，受 ADR-100 签名机制约束），因此中心式 DP 而不是本地 DP 是正确选择。

威胁模型：逐行对照

这张表的价值在于它把"哪层防什么"写得可审计，同时诚实地划出范围：物理失陷、超阈值的拜占庭节点数、时序侧信道都不在本 ADR 防御范围内。R15 的"RF 生物特征比视觉更难移除"论点（无行为性退出机制、无便携式遮罩物、跨安装点天然构成轨迹追踪原语）正是这些逐人原语必须被 API 层拦下的根本原因。

影响与已知代价

正面影响：

1. RuView 联邦获得形式化的隐私保证与成文的 (ε, δ) 边界，满足 GDPR Art 25（"设计即数据保护"）对技术措施的预期；
2. R15 的生物特征原语约束在 API 表面强制执行，而不只是策略文档里的文字；
3. 威胁模型逐行写清缓解措施，让后续安全评审可操作；
4. Moments Accountant 预算耗尽即中止联邦，避免"无感烧预算"。

已知代价（ADR 原文也明确承认）：

1. DP 噪声会使模型精度下降约 3-8%（DP-SGD 文献的典型数字，仍需逐 cog 调参）。例如本 loop 早先的cog-person-countv0.0.2，34.3% 的 class-1 基线准确率在 σ=1.0 下会退化到约 31-33%；
2. 增加约 300 行 LOC 与 Moments Accountant 复杂度，ruview-fed总预算从 500 上调到约 800 行；
3. (σ, C, max_rounds) 需要逐 cog 调参，不是一套参数通吃；
4. 不防推理延迟侧信道；
5. 不解决跨安装点联邦（仍留给后续 ADR）。

诚实边界：必须讲清楚的四个限制

ADR-106 的可贵之处在于它主动划界，而不是声称完美：

• σ 值是建议而非实测。每个 cog（pose、count、AETHER 头、未来 cog）都需要自己的经验调参，发布前必须做 bench 验证——ADR 的 decision-making record 里明确要求 production-validator 在发布任何具体 cog 前先验证 σ；
• (ε, δ)-DP 是悲观情形下的上界。真实隐私取决于敌手掌握的辅助信息；若敌手掌握大量辅助生物特征数据，即使很小的 ε 也可能泄漏。因此Layer 1 原语隔离是更硬的一道约束——它不依赖辅助信息假设；
• Moments Accountant 把每轮视为独立，会略微高估预算消耗（方向安全、偏保守）。更紧的 accountant（Rényi DP、PRV）可以在相同 ε 下跑更多轮；
• 未形式化受试者级 DP。像"固定 4 口之家"这类场景等效于 K=4 个受试者，样本级 DP 无法完整刻画受试者级风险。

前后衔接：它在隐私架构链中的位置

在 ADR-107 给出的全景图中，ADR-106 是"隐私 + 联邦"链路上承上启下的一环：R6/R6.1 物理前向模型 → R3 embedding 跨房间 re-ID → R14 隐私框架 → R15 生物特征原语目录 → ADR-105 站内联邦（Krum + MERIDIAN + R7 mincut）→ADR-106（DP-SGD + 原语隔离，给出形式化 (ε, δ) 边界）→ ADR-107 跨安装点联邦（安全聚合 + 逐安装点旋转 + 跨安装点 DP 组合）。

与既有 ADR 的衔接要点：

• ADR-024（AETHER）：房间内训练不变，DP-SGD 只作用于联邦层；
• ADR-027（MERIDIAN）：环境质心减法是每房间聚合、非逐人，作为 ⚠️ 条目可安全通过 Layer 1；
• ADR-029（多基地）：按 seed 联邦，多基地几何保持逐安装点属性；
• ADR-100（cog 打包）：Ed25519 签名直接覆盖加噪后的 checkpoint，无需改协议；
• ADR-103（cog-person-count）：第一个具备形式化 DP 保证的 cog，v0.0.2 重训将在下一个训练周期符合 ADR-106；
• ADR-104（ruview-mcp + ruview-cli）：将来可通过 MCP 工具ruview_fed_privacy_budget暴露剩余 ε、δ 预算（规划中，超出本 ADR 范围）。

ADR-107 在此基础上进一步说明：由于跨安装点存在采样放大效应，跨安装点联邦的有效 σ_cross = σ_local·√N，N=10 时 50 轮后跨安装点 ε ≈ 1.5，反而比站内更优——这是 ADR-107 对 ADR-106 Moments Accountant 的cross_installation()扩展（约 +50 LOC）。这也再次印证 ADR-106 的价值：没有形式化 (ε, δ) 记账，跨安装点的隐私组合无从谈起。

结语：从"数据不离机"到"信息不出门"

ADR-106 是对 RuView 联邦学习隐私体系的一次关键收紧：ADR-105 做到了"原始数据不离机"，ADR-106 在此基础上做到了"编码了生物特征的信息不出门"，并通过 DP-SGD 给每轮传输的形式化隐私边界、给每条泄漏路径配了对症的防御层、给每次预算消耗配了熔断机制。它的方法论同样适用于任何"边缘训练 + 中心聚合"系统：先盘点哪些张量携带不可出域的物理信号（原语清单），再用裁剪限敏感度、用噪声记账本给出可审计的 (ε, δ) 边界，最后诚实标注哪些威胁（物理失陷、时序侧信道、受试者级 DP）需要交给相邻的防御层。

【免费下载链接】RuViewπ RuView turns commodity WiFi signals into real-time spatial intelligence, vital sign monitoring, and presence detection — all without a single pixel of video.项目地址: https://gitcode.com/GitHub_Trending/wi/RuView