肖林声，钱慎一

(郑州轻工业大学 计算机与通信工程学院，郑州 450002)

深度学习已经被证明在很多的机器学习任务中表现出色，这些深度神经网络(DNN)可以从大量的样本中训练出高精度的模型，然后以极高的准确率对新的样本进行分类，因此DNN被大量的用于各种环境和任务中[1-3].而在当今的世界中，深度学习和人工智能技术发展遇到了两个主要的挑战，一个是在的大多数的行业中，数据以数据孤岛的形式存在；另一个是训练人工智能模型需要大量的数据，而将数据的不当收集将使得数据的隐私和安全难以得到保护[4].为了解决以上问题，谷歌最早提出了联邦学习的概念[5-7].他们的主要想法是基于分布在多个设备上的数据来构建机器学习模型，并同时防止用户的隐私泄露.

除此之外，最近关于机器学习和安全领域的研究也表明，攻击者可以通过让大多数的包括DNN在内的机器学习模型，使用精心设计的输入来迫使其输出攻击者所选择的输出.攻击者精心设计的样本被称为对抗样本，对抗样本的设计算法仅引入了尽可能少量的扰动，使得对抗样本和正常样本难以区分.图1展示了普通样本和对抗样本的区别.

图1中，图像(a)被训练完成的DNN正确分类为数字“8”，而图像(b)则是对抗样本设计算法从正确的图像中生成的并被分类为错误的数字“4”.深度学习被广泛用于车辆的自动驾驶中，基于DNN的系统用于识别道路上的标识和车辆[8]，若干扰……