联邦学习技术的边界条件：异质性、通信账本与隐私承诺的再审视

某城商行的风控团队做过一次不太成功的横向联邦试验。十家分行数据不出本地，只上传梯度。模型上线两周，AUC不升反降。工程日志里有一个刺眼的细节：第三轮聚合时，一家样本量很小的分行上传的梯度范数接近其余节点均值七倍。聚合公式没有写错，错在把各节点当成同分布、同质量、同在线率的抽象客户端。联邦学习的技术难点通常不在FedAvg那几行平均，而在平均之前和之后发生了什么。

一次聚合异常，把问题从公式拉回系统

横向联邦的典型流程并不复杂：客户端本地训练，上传模型更新，服务器按样本量或置信度加权聚合，再下发全局模型。问题在于，加权聚合假设了更新方向大致可比。当某节点数据分布偏斜、标签缺失或本地训练步数过多，它的更新会变成异常方向。服务器若只看更新范数，容易被大范数节点拖拽；若做裁剪，又会损失有用信息。工程上常见的补救是客户端采样、限制本地epoch、按验证集表现调权，或者引入Krum、Trimmed Mean一类鲁棒聚合。它们有效，但都有前提：异常节点比例不能太高，且攻击者不能长期潜伏。否则鲁棒聚合只是把显性故障变成隐性偏差。

说实话，很多联邦项目失败并不是因为隐私方案不够强，而是因为系统账本没算清。一个跨机构模型每轮要传多少参数、压缩后丢多少精度、掉线重试触发多少次、聚合等待时间多长，这些指标决定项目能否持续。学术论文里的收敛界往往假设参与方固定、通信可靠、更新完整；产业现场恰好相反。客户端可能在地铁里断网，机构可能临时停机，边缘设备可能电量不足。算法必须为网络让路，而不是让网络迁就算法。

非独立同分布不是噪声，而是结构

Non-IID在联邦学习里被说烂了，但真正要处理的是它的结构。标签分布偏斜、特征分布漂移、参与方行为差异，三者对模型的影响不同。标签偏斜会让本地模型偏向本地高频类，聚合后全局分类边界被拉扯；特征漂移会让同一特征在不同节点对应不同语义，简单平均会制造冲突；行为差异则体现在本地训练轨迹上，有的节点一轮只走一步，有的走十步，更新尺度天然不一致。把这三类问题都叫噪声，容易导致错误对策。噪声可以平滑，结构需要校正。

常见校正路径有几条。FedProx在本地目标里加近端项，限制本地模型偏离全局模型；SCAFFOLD用控制变量修正客户端漂移；个性化联邦则干脆放弃单一全局模型，允许每个节点在共享表示上训练本地头。它们各有代价。近端项会拖慢本地拟合，控制变量增加通信量，个性化削弱了联邦的共享收益。没有一种聚合策略能同时消除漂移、降低通信并保持公平，工程选择取决于业务更怕哪一种损失。

值得注意的是，验证集本身也可能异质。服务器若用全局验证集调参，可能牺牲少数节点表现；若用各节点本地验证集加权，又会放大样本量大的机构话语权。公平性与准确性在这里不是抽象口号，而是聚合权重的直接结果。一个可操作的做法是同时记录全局指标和分组指标，把方差纳入模型准入条件。听起来笨，但比上线后补救便宜。

通信与掉线：算法必须为网络让路

联邦学习的通信成本常被低估。一个十亿参数模型，每轮上传完整梯度就是数GB流量；跨设备场景下，这足以让项目在资费面前停摆。压缩、量化、稀疏化、低秩分解都能降通信，但会引入偏差。量化误差在多次聚合后累积，稀疏化可能反复丢弃同一批参数，低秩分解则假设更新位于低维子空间。这些假设在图像任务上尚可，在表格数据或时序信号上未必成立。工程上更稳妥的做法是把压缩误差纳入收敛分析，并在聚合端做误差反馈，而不是把压缩当成透明管道。

掉线问题更麻烦。同步聚合要求所有被选中的客户端在时限内返回，否则服务器要么等待，要么丢弃。等待拖慢轮次，丢弃引入选择偏差。异步聚合缓解等待，却带来staleness：旧梯度混入新模型，收敛性依赖学习率和延迟分布。产业系统通常采用部分同步：设置最小参与比例，超时即聚合，同时记录掉线模式。若掉线并非随机，而是与设备性能、地域网络相关，那么模型会系统性忽略某类节点。这个问题在跨设备联邦里尤其突出，因为边缘设备的行为差异本身就是数据分布的一部分。

隐私不是开关，安全聚合也有代价

联邦学习常被描述成数据不出域即可保护隐私。这个说法太粗。梯度本身携带信息，梯度反演、成员推断、属性推断都能从更新中恢复训练样本特征。差分隐私通过在更新中加入噪声提供形式化保证，但噪声会损伤模型精度，隐私预算epsilon的选择是业务与合规的谈判结果，不是技术默认值。安全聚合让服务器只看到聚合结果，看不到单个更新，能抵御诚实但好奇的服务器；可它依赖参与方合谋假设和密码学开销，掉线处理也更复杂。若参与方少于一定数量，安全聚合的隐私增益会迅速下降。这个边界必须写进方案，而不是藏在附录里。

可信执行环境TEE提供另一条路径：把聚合放进硬件隔离区。它的风险不在数学，而在供应链和侧信道。硬件厂商、固件版本、远程证明配置都会改变信任基础。对金融、医疗这类强监管场景，TEE加审计日志可能比纯密码学方案更容易落地；对跨厂商设备，远程证明的兼容性又成了新负担。隐私承诺从来不是单一算法能兑现的，它需要协议、硬件、流程和审计共同支撑。

哪些场景该停手

联邦学习不是默认选项。若数据可以合法集中、参与方数量少、模型规模小、通信稳定，集中式训练通常更简单，调试也更容易。联邦架构引入的协调成本、版本管理、故障排查和合规举证，往往超过隐私收益。反过来，若数据出域存在硬约束，参与方有持续协作意愿，且非独立同分布程度可控，联邦才具备工程合理性。判断标准不该是概念热度，而是数据边界、通信预算、激励结构和故障模型四件事能否同时成立。

一个反例是只有两三家机构的小型联合建模。安全聚合的合谋风险高，差分隐私的噪声预算紧，鲁棒聚合也缺少足够冗余。此时把数据脱敏后集中训练，配合合同约束和审计，可能比联邦更诚实。另一个反例是高频更新的边缘场景：模型小、通信便宜，但设备掉线严重，联邦的同步开销反而成为瓶颈。技术选择需要承认这些不体面的事实。

趋势上看，联邦学习正在从单一算法走向系统栈：压缩通信、异步调度、鲁棒聚合、隐私会计、激励结算和模型审计被放进同一套工程框架。联邦与拆分学习、迁移学习、边缘推理的边界也在模糊。真正决定落地效果的，可能不是某个聚合公式，而是对参与方异质性和制度成本的持续建模。这话不浪漫，但接近现场。