大家读完觉得有帮助记得关注和点赞！！！

摘要
联邦学习（FL）实现了隐私感知的分布式训练，但梯度更新仍然可以被利用：中间人（MitM）拦截会暴露传输中的更新，而模型投毒则会破坏全局收敛。我们首先引入了GASHE（梯度感知选择性同态加密），这是一种新颖的选择性加密策略，它能动态识别并仅加密那些超过DP校准灵敏度阈值的梯度分量，而不是像静态的基于层或全参数CKKS方案那样均匀地加密所有参数。在GASHE的基础上，我们引入了SecureDrive-FL，一个联邦驾驶员监控框架，它将DP-SGD与GASHE相结合，创建了第一个闭环DP+HE隐私管道：DP-SGD校准参数直接导出GASHE加密掩码，统一了训练时的隐私和通信时的机密性。在非IID联邦分割下的十类分心驾驶员分类任务上进行评估，SecureDrive-FL在抗投毒能力上与单独使用DP-SGD相当（准确率分别为73.6%对74.0%，攻击成功率均为3.9%），同时还能抵御MitM拦截，而单独使用DP-SGD在MitM下会崩溃至接近随机的准确率（78.2%对10.4%），所有这些仅在相对于单独DP-SGD约8-10%的额外运行时开销下实现——在每轮隐私参数ε₀=4的DP-SGD噪声注入下。

索引词： 联邦学习，差分隐私，同态加密，驾驶员监控，隐私保护机器学习，对抗鲁棒性，网联车辆

I 引言
物联网（IoT）设备和网联车辆的快速增长导致了大规模分布式数据集的产生，涵盖了驾驶员行为分析、智能交通系统和自动驾驶[1]。联邦学习（FL）已成为利用这些分布式数据集而不集中敏感原始数据的有力范式：本地模型在边缘设备上训练，只有梯度更新被传输到中央聚合器[2]。然而，FL本身并不提供正式的隐私保证。越来越多的证据表明，攻击者可以通过模型反转[3]、成员推断[4]、基于GAN的重建[5]和深度梯度泄露[6]从梯度更新中重建敏感信息。在汽车部署中，攻击面进一步扩大，模型更新要经过由OEM、保险公司和第三方服务提供商运营的共享云基础设施，每一个都代表一个潜在的拦截点[7]。

两大类的隐私增强技术（PET）已分别针对FL进行了研究。全同态加密（FHE）允许服务器聚合加密的更新而无需解密[8]，但在资源受限的边缘设备上加密每个模型参数会带来过高的内存和延迟开销[9]。差分隐私（DP）通过DP-SGD[10]实现，通过向梯度更新中注入校准的高斯噪声来提供严格的、可量化的隐私保证；然而，众所周知的隐私-效用权衡意味着高隐私水平会显著降低模型准确性[11]。

先前的混合工作[12, 13, 14]将DP和HE视为大体独立、正交应用的模块。相比之下，我们的关键洞察是直接从DP-SGD校准本身推导加密决策：DP-SGD中使用的裁剪范数C和噪声尺度σ已经识别出哪些梯度主导了DP噪声基底，因此信息量最大，且如果以明文传输也最危险。这个DP告知的梯度灵敏度阈值被用作GASHE掩码，在训练时隐私和通信时机密性之间创建了一个有原则的、闭环的耦合。本工作的具体贡献是：

• GASHE： 我们引入了梯度感知选择性同态加密，一种新颖的、架构无关的选择性加密策略，它动态地将CKKS加密定向到那些幅度超过DP校准阈值τᵢ的k个梯度分量，在不加密整个参数向量的情况下保留形式隐私语义。GASHE可以作为一个独立的通信安全原语部署，独立于DP-SGD。

• DP-GASHE耦合（SecureDrive-FL）： 据我们所知，SecureDrive-FL是第一个明确从DP-SGD灵敏度界限推导HE加密决策的框架，创建了一个统一的隐私管道，在训练时进行DP-SGD噪声注入（每轮ε₀=4，σ=1.2112，C=1.2，δ=10⁻⁵），并在通信时提供IND-CPA机密性（定理1）。

• 多威胁鲁棒性评估： 我们针对模型投毒和MitM梯度拦截评估了SecureDrive-FL，表明联合DP+GASHE设计封闭了MitM攻击面，同时匹配了单独DP-SGD的抗投毒能力。在投毒下，SecureDrive-FL的准确率（73.6%对74.0%）、宏平均F1（73.3%对73.7%）和攻击成功率（3.9%对3.9%）与单独DP-SGD相当，且宏平均精确率略有提升（75.9%对75.7%），同时额外防止了单独DP-SGD在MitM下遭受的准确率崩溃（78.2%对10.4%）。相比之下，未防御的FedAvg和仅FL+GASHE在投毒下都会崩溃（≈10-14%准确率），因此它们名义上的低ASR反映了训练失败，而非鲁棒性。

• 汽车用例验证： 我们在一个具有非IID、用户分区FL和轻量级MobileNetV2-Tiny的十类分心驾驶员识别任务上展示了实际可行性，在每轮ε₀=4配置的DP-SGD主动攻击下实现了≈74%的准确率。
  本文的其余部分组织如下：第二节回顾相关工作，第三节介绍SecureDrive-FL框架，第四节详述威胁模型和我们的对抗性评估方法。第五节描述实现和实验结果，第六节提供本工作的总结。

II 相关工作
我们回顾了FL中的隐私威胁、DP和HE机制，以及面向鲁棒性的混合框架，然后将SecureDrive-FL定位于它们的局限性之上。

II-A 联邦学习中的隐私威胁
标准FL容易受到一系列利用客户端和服务器之间交换的共享模型更新的推理和拦截攻击。[3]中演示的模型反转攻击利用模型置信度分数来重建敏感输入属性，而[4]中引入的成员推断攻击揭示了特定记录是否是训练集的一部分。[5]分析了协作学习中的GAN信息泄露，[15]研究了通过共享表示的无意特征泄露。[6]研究了深度梯度泄露，表明在标准FL下，原始训练样本通常可以直接从梯度更新中重建。[16]中对联邦环境中梯度泄露的最新分析提供了进一步证据。这些工作共同表明，仅数据本地化是不够的：交换的梯度仍然是一个可利用的攻击面，既可以被动地（窃听）也可以主动地（操纵）被利用。

II-B 联邦学习中的差分隐私
差分隐私为限制个体记录对模型输出的信息贡献提供了一个形式化框架[17]。[10]中提出的DP-SGD机制通过逐示例梯度裁剪和校准的高斯噪声注入在深度学习中实现了这一点，达到了形式化的(ε,δ)-DP保证。其在联邦设置中的适配在[18]中研究，其中跨通信轮次强制执行客户端级DP，[11]开发了具有自适应裁剪的客户端级视角以减少效用下降。使用Rényi DP的更紧密隐私核算在[19]中引入，并在[20]中扩展，使得在众多轮次中实现更高效的预算管理成为可能。

尽管有这些进展，一个关键限制仍然存在：如[6]所示，当信噪比有利时，特别是在小批量大小下，梯度反转即使在存在DP噪声的情况下也能部分成功。此外，DP-SGD仅在本地训练期间操作，并不为网络上传输的梯度更新提供机密性保证，使它们暴露于中间人拦截。

II-C 联邦学习中的同态加密
全同态加密最初在[8]中构建，允许对加密数据进行计算，并已被用于FL中的安全聚合。BatchCrypt[13]通过量化和批处理降低HE开销；基于秘密共享的安全聚合[21]使服务器仅能恢复聚合值；而TenSEAL[22]与[14]分别将基于CKKS的加密带到了通用ML和IoT FL流水线中。

然而，上述所有方法都存在一个关键的实际限制：它们统一加密所有模型参数，在资源受限的边缘设备上产生难以承受的计算和内存开销。部分或基于层的加密方案试图通过仅加密选定层来降低此成本，但它们依赖于静态的、架构相关的规则，这些规则不会根据训练期间单个梯度分量的实际隐私敏感性进行调整。

II-D 混合隐私框架与鲁棒性
FL攻击和防御的综合综述见[23]，[24]中引入了绕过许多现有防御的强多轮投毒攻击。混合DP-HE方法[12]将基于噪声的隐私和加密聚合作为独立配置的模块应用，而没有将加密导向最敏感的梯度。一个代表性的混合防御[25]结合了DP和SMC以提高相对于单一机制基线的准确性，但DP和SMC是独立配置的：DP校准不告知SMC保护哪些更新，且未评估对投毒的鲁棒性。SecureDrive-FL则直接从DP-SGD裁剪范数C和噪声尺度σ推导HE掩码，并在真实的汽车FL设置中评估所得流水线对推理和投毒 adversaries 的效果。

III SecureDrive-FL 框架
我们描述了SecureDrive-FL的整体设计，详细说明了系统模型、威胁假设，以及客户端DP-SGD与梯度感知选择性同态加密的集成，以实现安全高效的聚合。

III-A 系统概述
SecureDrive-FL在FL流水线的不同阶段集成了两种正交的隐私机制，如图1所示：（i）在本地模型训练期间使用DP-SGD，以确保最终模型中个体客户端贡献的正式统计不可区分性，以及（ii）在梯度通信期间使用GASHE，以防止在诚实但好奇或服务器受损场景下原始梯度暴露。

图1：SecureDrive-FL概述。DP-SGD在本地模型训练期间保护隐私，而GASHE在传输到聚合服务器之前选择性地加密高灵敏度梯度分量。
[图描述：显示客户端执行DP-SGD本地训练，然后应用GASHE选择性加密，将加密的高灵敏度分量和明文低灵敏度分量发送到聚合服务器。服务器聚合加密更新并发送回客户端。]

III-B 威胁模型
我们针对的是一个诚实但好奇的服务器：聚合器忠实地遵循FL协议，但试图从接收到的模型更新、中间聚合状态和服务器端日志中推断私有信息。这种威胁模型在汽车领域高度相关，其中聚合服务器通常由第三方云提供商或共享OEM基础设施运营。我们还评估注入恶意更新（模型投毒）的主动攻击者和拦截梯度传输的网络层窃听者（MitM攻击）；完整的对抗性评估见第四节。注意，我们不在核心协议设计中针对拜占庭容错聚合或Sybil攻击，因为鲁棒聚合与GASHE的机密性保证是正交的，留作未来工作。

III-C 数据收集与预处理
每辆参与车辆（客户端i）在运行期间被动收集传感器数据Dᵢ。根据FL原则，Dᵢ从不传输。每个原始样本xᵢ(t)在本地预处理以提取相关特征：

且Dᵢ被划分为训练和验证子集：

III-D 使用DP-SGD的本地训练
本地模型fᵢ(·, Wᵢ)使用DP-SGD训练。对于每个小批量，逐样本梯度被裁剪到L₂范数C，并添加校准的高斯噪声：

其中C是ℓ₂裁剪范数，σ是噪声乘数；乘积σC是注入噪声的标准差，与算法1一致。

III-E GASHE：梯度感知选择性同态加密
本地训练后，客户端i计算模型更新Δwᵢ = Wᵢ - W_global，并推导出DP告知的灵敏度阈值：

其中ε₀是每轮噪声校准参数，δ是失败概率，C是来自DP-SGD的裁剪范数。

该阈值等于为配置的(ε,δ)预算[26]的高斯机制闭式公式规定的最小噪声标准差；幅度超过τᵢ的梯度分量主导DP噪声基底，是以明文传输时最隐私敏感的参数。在此配置中，τᵢ被设置为与操作噪声标准差σC（通过Rényi DP核算校准）一致，因此单个校准输入ε₀共同确定DP噪声尺度和GASHE阈值。

然后从阈值τᵢ推导出二元掩码Mᵢ，选择幅度主导DP噪声基底的梯度分量：

只有掩码子集在服务器的公钥下加密，而剩余的低幅度参数与紧凑的位掩码一起以明文传输：

这种选择性策略直接减少了加密参数的比例，按Mᵢ的稀疏性成比例地削减密文大小和FHE评估时间。

定理1（SecureDrive-FL隐私与安全保障）。
令每个客户端i在N个通信轮次中每轮执行T次本地DP-SGD步骤，逐样本梯度裁剪范数为C，高斯噪声乘数为σ，本地数据集大小为n的小批量采样率为q=B/n。则本地训练机制满足(ε,δ)-DP，其中

通过Rényi DP组合[19, 20]，其中q=B/n是每轮采样率，T是每轮本地梯度步数，N是通信轮次数。对于第四节中的配置（C=1.2，σ=1.2112，N=120，δ=10⁻⁵），Rényi DP核算器报告ε_total ≈ 48.94。

III-F 同态聚合
服务器使用CKKS加法同态操作聚合所有加密更新：

其中𝒞_n是第n轮选中的客户端集合。服务器从不解密单个客户端更新，即使在内部威胁下也能保护隐私。由于客户端掩码Mᵢ可能不同，每个反映本地梯度幅度分布，元素级求和隐含地对每个客户端中低于阈值的分量应用零；CKKS将其作为精确零处理，没有额外的密文开销。全局模型更新由客户端恢复：

每个客户端还接收明文低幅度分量的服务器端元素级和P_agg = ∑ᵢ (𝟏 - Mᵢ) ⊙ Δwᵢ，以未加密方式传输。完整聚合梯度恢复为

这种双流设计确保所有d个梯度维度都对全局更新有贡献，而只有k个高灵敏度分量承担FHE开销。完整的SecureDrive-FL协议在算法1中给出。

算法1 SecureDrive-FL

IV 系统与对抗性评估设置
在本节中，我们给出了用于评估SecureDrive-FL的系统配置、数据集、模型以及攻击/防御设置的详细信息。

IV-A 用例与数据集
我们在一个结合了State Farm分心驾驶员检测数据集[27]和AUC分心驾驶员数据集[28]的十类分心驾驶员分类任务上进行评估，产生了超过50,000张自然驾驶图像的标注，涵盖十个分心类别：安全驾驶、发短信（右手/左手）、打电话（右手/左手）、操作收音机、喝水、向后够东西、整理头发/化妆、以及与乘客交谈。

为模拟现实的联邦数据局部性，我们采用基于用户的划分，每个客户端持有3-5个独特驾驶员的图像，引入了代表现实世界驾驶员多样性的非IID异质性。标签进行独热编码；图像调整为224×224，归一化，并在本地通过随机水平翻转和亮度抖动进行增强。汽车背景要求严格遵守GDPR[29]，因为驾驶员行为数据被归类为敏感个人数据。

IV-B 模型与联邦学习配置
我们使用MobileNetV2-Tiny作为卷积骨干网络，因为其在嵌入式平台上具有有利的准确率-计算权衡。特征图通过全局平均池化减少，并传递给softmax分类器（≈2.2M参数）。我们运行120个FL轮次，每轮六个客户端，本地批量大小为32。

所有启用DP的运行使用DP-SGD，裁剪范数C=1.2，噪声乘数σ=1.2112（从单次校准输入ε₀=4推导），δ=10⁻⁵。通过Rényi DP组合[19]在N=120轮上的隐私核算产生累计预算ε_total≈48.94，与跨FL轮次组合DP保证的已知增长一致[18]。

IV-C 软件与硬件环境
我们通过TensorFlow Privacy[30]使用DPKerasSGDOptimizer和Rényi DP核算实例化了DP-SGD。同态操作使用TenSEAL[22]，CKKS配置为：多项式模数度8192，缩放因子2⁴⁰，系数模数链[60,40,40,60]。实验在单主机上运行，使用Python 3.10、TensorFlow 2.14、128 GB RAM和六个逻辑FL客户端。

为确保统计可靠性，每个配置使用三个随机种子（42、123、456）独立执行，控制FL客户端选择、本地SGD初始化和DP噪声采样。表I和表II报告了三次运行的平均值。种子间方差始终较低（准确率：σ<1.5个百分点；ASR：σ<2.5个百分点；运行时：σ<2%），证实报告的差异反映的是系统性影响而非随机变化。

IV-D 对抗性威胁与防御机制

IV-D1 中间人（MitM）梯度拦截
网络层攻击者拦截客户端和服务器之间的梯度传输。在被动情况下，攻击者存储所有拦截的流量；在主动情况下，它试图在转发之前用操纵的梯度替换客户端更新。

形式上，令𝒜表示网络层攻击者。在被动MitM设置中，𝒜观察客户端i和聚合服务器之间的所有传输：

其中cᵢ⁽ⁿ⁾ = FHE.Enc(Mᵢ⁽ⁿ⁾ ⊙ Δwᵢ⁽ⁿ⁾, pk)是加密的高灵敏度流，Mᵢ⁽ⁿ⁾是公开传输的位掩码。𝒜的目标是从此观察中恢复敏感训练数据，通过梯度反转[6]或利用明文低幅度流。在主动情况下，𝒜在转发之前额外用精心制作的更新替换密文：

其中f_𝒜是攻击者的操纵函数（例如，梯度缩放或替换）。

GASHE通过CKKS语义安全性保护高灵敏度分量，仅留下低幅度、DP噪声主导的参数以明文形式存在。为检测主动操纵，服务器验证聚合密文是否能一致解密，并监控全局更新ΔW。服务器在保留的干净探针集上维护每轮验证损失的运行均值μ_L和标准差s_L。如果|L⁽ⁿ⁾ - μ_L| > 3 s_L（3-sigma规则），则标记第n轮；相应的C_agg被丢弃，全局模型保留前一轮的权重W⁽ⁿ⁻¹⁾。

IV-D2 模型投毒
遵循[24]，一部分ρ的客户端被攻陷（在我们的评估中ρ=2/6≈0.33）。每个恶意客户端m∈ℳ提交一个旨在嵌入针对目标类y_tar的后门触发器t的精心制作更新：

Δwₘ⁽ⁿ⁾ = α Δw_target + (1-α) Δwₘ_benign, α ∈ (0,1], (13)

其中Δw_target是放大目标类logit的梯度方向，α控制投毒强度。对于[24]的多轮一致性变体，攻击者额外强制‖Δwₘ⁽ⁿ⁾ - Δwₘ⁽ⁿ⁻¹⁾‖₂ ≤ γ以规避逐轮异常检测器。攻击成功率（ASR）测量为：

ASR = Pr_{x∼𝒟_test} [ f(x ⊕ t; W) = y_tar ], (14)

其中x⊕t表示叠加了后门触发器的测试样本（在我们的实验中为类别5，打电话，右手），W是N轮后的投毒全局模型。虽然SecureDrive-FL被设计为机密性框架，GASHE产生了隐含的鲁棒性：只有超过τᵢ的坐标被加密和传输，因此每个客户端贡献的聚合敏感性是有界的。我们还按照参考文献[23]使用带范数裁剪的FedAvg。

V 实验结果
我们将SecureDrive-FL与单独DP-SGD、Full-CKKS和仅GASHE作为代表隐私-效率谱的自然基线进行比较，同时将TrimmedMean、Krum、BatchCrypt和FedProx作为额外的非DP参考，涵盖鲁棒聚合、加密聚合和近端正则化FL。SecureDrive-FL是唯一同时提供形式DP、IND-CPA通信安全以及与单独DP-SGD相当的抗投毒能力的配置，相对于单独DP-SGD仅产生≈8-10%的开销。

表 I：干净、MitM（中间人攻击）和投毒条件下的最终准确率、ASR 和 Macro-F1

在 MitM 攻击下，FedAvg、DP-SGD 和 FedProx 的 ASR 为 0%，这反映的是训练失败（准确率 ≈10%），而非防御效果；相比之下，TrimmedMean 和 Krum 保持了较高的准确率（但不具备机密性保护）。GASHE-only 和 Full-CKKS 缺乏正式的差分隐私保证（ε = ∞），在投毒攻击下完全崩溃（≈14%，接近 FedAvg）。

V-A 联邦效用（Federated Utility）

关键术语对照

V-A 联邦效用
在干净设置中，FedAvg和仅GASHE分别达到93.8%和95.8%的准确率，证实GASHE的选择性CKKS加密引入了可忽略的效用开销，因为它不修改本地优化轨迹。DP-SGD和SecureDrive-FL在干净设置中分别达到80.0%和82.2%，相对于未加密的FedAvg基线（93.8%）下降了11.6-13.8个百分点，反映了更紧的每轮隐私预算（ε₀=4）的预期准确率成本。值得注意的是，SecureDrive-FL在干净设置中并不比单独DP-SGD更不准确（+2.2个百分点），证实GASHE本身在DP-SGD之上没有带来可测量的额外效用成本。

V-B 对主动攻击的鲁棒性

V-B1 攻击成功率
表I总结了跨MitM和投毒攻击的鲁棒性。在MitM下，FedAvg、单独DP-SGD和FedProx崩溃至接近随机的准确率（≈10%）。相比之下，仅GASHE、BatchCrypt、TrimmedMean、Krum和SecureDrive-FL都保持了高效用，分别达到95.0%、86.6%、95.2%、92.8%和78.2%的准确率。这证实了加密敏感梯度有效地移除了基于GASHE方法的拦截攻击面，而TrimmedMean和Krum（不使用加密）在更新后的结果中对MitM同样鲁棒，尽管与基于GASHE的方法不同，它们对传输的梯度本身不提供形式化的机密性保证。

不携带DP保证的鲁棒聚合和加密聚合基线在投毒下表现强劲：TrimmedMean和Krum分别达到91.4%和90.2%的准确率，ASR为0.0%和1.9%，BatchCrypt部分抵抗投毒（32.8%准确率）。这表明逐坐标鲁棒聚合本身是对此处评估的投毒攻击的有效防御。然而，TrimmedMean、Krum和BatchCrypt都不提供形式化的(ε,δ)-DP保证，且只有BatchCrypt提供针对MitM拦截的通信时机密性。SecureDrive-FL仍然是唯一同时提供形式DP、IND-CPA通信安全以及与单独DP-SGD相当的抗投毒能力的评估配置。

图2：在中间人（左）和模型投毒（右）攻击下，相对于干净训练基准的测试准确率与通信轮次关系。在MitM下，FedAvg、FedProx和FL+DP-SGD崩溃至接近随机准确率，而FL+GASHE、BatchCrypt、TrimmedMean、Krum和SecureDrive-FL保持有用准确率。在投毒下，FedAvg、FedProx和FL+GASHE反而崩溃，而FL+DP-SGD、SecureDrive-FL和（较慢的）BatchCrypt保持部分准确率。最终轮次值见表I。
图描述：两个折线图。左图（MitM）显示SecureDrive-FL和仅GASHE跟踪干净基线，而DP-SGD崩溃。右图（投毒）显示DP-SGD和SecureDrive-FL保持准确率，而仅GASHE崩溃。

V-B2 收敛行为
图2显示了FL轮次中的测试准确率。FedAvg在两种攻击类型下都崩溃。在MitM下，单独DP-SGD也崩溃（最终准确率10.4%），而仅GASHE紧密跟踪干净基线（≈95%准确率），证实保护高灵敏度梯度足以抵御被动/主动拦截攻击者保持收敛。然而，在模型投毒下，仅GASHE不再跟踪干净基线：没有DP-SGD的有界更新范数，加密高幅度分量并不能阻止投毒客户端的精心制作更新进入聚合，准确率崩溃至14.0%，接近未防御FedAvg的≈10%。

表II：120个FL轮次上测量的执行时间和峰值RSS内存。相对于FedAvg（干净，378.7秒）的开销。值为三个随机种子（42、123、456）的平均值。

单独DP-SGD和SecureDrive-FL是仅有的在投毒下收敛的两种配置，分别达到74.0%和73.6%的准确率；SecureDrive-FL在MitM下进一步收敛至78.2%，而单独DP-SGD则崩溃。在投毒下，SecureDrive-FL的准确率、宏F1和ASR相对于单独DP-SGD基本不变（在0.4个百分点内，且ASR同为3.9%；表I），宏精确率略有提升，表明GASHE在此配置中的主要优势是封闭MitM攻击面，而不是在DP-SGD有界更新范数已提供的之外增加更多的投毒鲁棒性。

V-C 计算开销
表II报告了120轮中测量的运行时间和峰值RSS内存。标准FL在360.7-390.1秒内完成，峰值RSS为0.64-0.83 GB。仅GASHE将运行时间增加到1,130.4-1,538.6秒（≈干净FedAvg的3.0-4.1倍），内存增加到1.88-2.09 GB。单独DP-SGD则昂贵得多：8,388.7-8,847.7秒（≈22.2-23.4倍），峰值RSS为0.77-0.86 GB。

SecureDrive-FL以适度的额外成本结合了两种机制：9,218.0-9,637.6秒（≈FedAvg基线的24.3-25.5倍），仅代表相对于单独DP-SGD约8-10%的开销，峰值RSS为1.76-1.94 GB。因此在DP-SGD之上添加GASHE的边际成本较低，而消除MitM攻击面提供了显著的安全收益。

TrimmedMean和Krum的运行时间仍接近FedAvg本身（≈0.9-1.0倍，347.3-372.5秒），峰值RSS为0.71-1.75 GB，并且根据表I中更新的结果，两者现在也抵抗投毒（准确率分别为91.2%和89.4%）。然而，两者都不像SecureDrive-FL那样提供形式DP保证或针对MitM拦截的通信时机密性。BatchCrypt对完整参数集应用量化的/批处理的CKKS加密，产生≈13.1-22.7倍的开销（4,958.8-8,601.6秒），峰值RSS为1.45-1.58 GB；FedProx添加了相对适度的≈1.6倍开销（591.9-623.7秒），峰值RSS为0.86-1.02 GB，反映了其轻量级近端正则化而非任何加密成本。

作为参考，全参数CKKS基线测量为1,227.3-1,481.3秒，峰值RSS为1.80-1.88 GB，与仅GASHE相当，在某些情况下甚至超过。尽管加密了较小部分的梯度分量，GASHE在当前实现中并未相对于Full-CKKS产生成比例的运行时或内存减少，因为每轮阈值计算、掩码构建以及明文/密文流分割引入了簿记开销，抵消了加密参数数量减少带来的节省。

VI 结论与未来工作
我们提出了SecureDrive-FL，一个混合隐私保护联邦学习框架，将DP-SGD与梯度感知选择性同态加密（GASHE）相结合，用于网联车辆中的安全驾驶员监控。关键创新是从DP-SGD灵敏度界限原则性地、闭环地推导HE加密决策，使GASHE能够自动瞄准最关键的隐私梯度分量，同时将通信时保护与训练时隐私校准对齐。针对MitM拦截和模型投毒进行评估，SecureDrive-FL提高了相对于单独DP-SGD的干净准确率（82.2%对80.0%），在MitM下保持78.2%的准确率（而单独DP-SGD崩溃至10.4%），并在投毒下保持可比较的性能（73.6%对74.0%，ASR均为3.9%），所有这些仅在相对于单独DP-SGD约8-10%的额外运行时开销下实现。

未来方向包括：（i）将SecureDrive-FL扩展到更大、异构的车队，具有不同的计算和带宽配置；（ii）集成拜占庭鲁棒聚合规则（例如，BALANCE），以提供针对自适应、多轮攻击者的更强保护；以及（iv）在物理车载座舱原型上部署，以基准测试嵌入式汽车硬件上的端到端延迟、能量和FHE性能。