2. 模型更新治理的基本概念
在联邦学习中，模型更新是客户端本地训练后产生的参数增量或完整参数集合，它既是训练推进的燃料，也是治理风险的载体。模型更新治理要回答的核心问题是：谁在什么时间、以什么粒度、基于什么来源、携带什么语义，把更新提交到全局模型，以及这些更新在什么边界内被允许生效。围绕这一问题，本节从五个基本概念展开：更新粒度、更新频率、更新来源、更新语义与治理边界。
一、更新粒度：治理的最小操作单元
更新粒度描述的是“一次提交中，被治理对象的最小单位是什么”。在工程实践中，常见粒度从粗到细包括：
- 整模型粒度：客户端上传完整模型参数，服务端直接聚合。实现简单，但通信开销大，且难以定位异常参数。
- 层粒度：按神经网络层分别上传与聚合，例如只上传嵌入层和分类头，冻结中间层。适合异构设备或部分层共享的场景。
- 张量/参数块粒度：将某一层权重切分为多个块，按块校验、按块聚合。便于对异常块做隔离。
- 梯度/增量粒度：只上传本轮更新的差值（ΔW），而非完整权重。通信效率高，但需要额外记录基线版本。
粒度选择直接影响治理能力。粒度越细，越容易做异常检测、参数级审计和局部回滚；但元数据、校验和版本管理的复杂度也越高。例如，一个 100 万参数的模型若按张量块切分为 64 块，每块约 1.56 万参数，服务端可对每块独立计算范数、相似度和贡献度，从而在聚合前剔除异常块，而不是整模型丢弃。
二、更新频率：时间维度上的治理节奏
更新频率指客户端参与更新的周期与轮次安排，通常用“每 R 轮参与一次”或“每 T 分钟提交一次”表示。频率不是越高越好：频率过高会放大通信压力、增加掉队者影响，也更容易被恶意客户端通过高频提交稀释全局方向；频率过低则导致模型收敛慢、对数据分布变化响应迟钝。
治理上需要区分三种频率：本地训练频率（客户端本地执行多少步 SGD）、上传频率（多久向服务端提交一次更新）、聚合频率（服务端多久执行一次全局聚合）。三者可以解耦。例如，客户端本地训练 5 个 epoch，但每 3 轮才上传一次；服务端每收到 K 个客户端更新后触发一次聚合。治理策略应明确：频率由谁设定、是否允许客户端自行调整、频率异常（如突然高频提交）是否触发风控。
三、更新来源：可信身份的追溯基础
更新来源回答“这条更新是谁产生的”。来源信息至少应包含：客户端标识、设备指纹或安全凭证、所属数据域、参与轮次、时间戳。来源治理的目标是可追溯、可归因、可追责。没有来源标识的更新无法判断其是否来自合法客户端，也无法在出现模型污染时定位责任方。
在实际系统中，来源通常与身份认证绑定：客户端使用证书或令牌签名更新包，服务端验签后才接受。来源还可以分层：同一机构下的多个客户端可归为一个“来源域”，治理策略可按域配置，例如某域只允许提交层粒度更新，另一域允许整模型更新。
四、更新语义：更新到底“表达”了什么
更新语义是治理中最容易被忽视、却最关键的概念。它要回答：这条更新在统计上代表什么？是真实数据分布的梯度方向，还是被投毒后的偏移方向？是完整语义的模型改进，还是仅针对某一类样本的过拟合？
从治理角度，更新语义至少包含四个维度：
- 方向语义：更新向量与全局梯度方向的一致程度，可用余弦相似度衡量。
- 幅度语义：更新范数是否在合理区间，异常大或异常小都可能是攻击或故障信号。
- 分布语义：更新是否偏离历史分布，可用均值、方差或距离度量检测。
- 贡献语义：该更新对全局模型性能的实际贡献，可通过留一验证或 Shapley 近似估计。
例如，某客户端提交的更新余弦相似度为 0.12，范数为全局平均的 8 倍，且与历史分布距离超过 3σ，则可判定为语义异常，进入隔离区而非直接聚合。
五、治理边界：允许与禁止的明确分界
治理边界是把上述四个概念落到规则上的“红线”。它规定：哪些粒度允许提交、频率上限是多少、来源必须满足什么认证条件、语义指标超过什么阈值会被拒绝、异常更新如何处理（丢弃、降权、隔离、回滚）。边界必须是可执行、可审计的，而不是原则性描述。
一个可操作的边界规则示例：
更新准入规则（示例）
粒度：允许 层粒度 / 张量块粒度；禁止 未签名整模型更新
频率：单客户端上传间隔 ≥ 60s；连续 3 轮高频提交触发限流
来源：必须携带有效证书；来源域需在白名单内
语义：余弦相似度 ≥ 0.3；范数比 ∈ [0.2, 5.0]；分布距离 ≤ 3σ
处置：不满足任一项 → 隔离并记录审计日志；连续 2 次隔离 → 暂停参与资格
边界不是静态的。随着训练阶段变化，阈值可以动态调整：冷启动阶段放宽范数上限以鼓励参与，收敛阶段收紧相似度下限以抑制噪声。治理边界的目标不是“卡死”，而是在安全与效率之间维持可解释的平衡。
把五个概念串起来看，治理链路是：客户端产生更新（来源）→ 按约定粒度打包（粒度）→ 按节奏提交（频率）→ 服务端解析其统计含义（语义）→ 依据边界规则决定准入或拦截（边界）。任何一环缺失，治理都会出现盲区：没有来源就无法追责，没有语义就无法识别投毒，没有边界就无法执行处置。