联邦控制:面向信息安全和权益保护的分布式控制方法

朱 静 王飞跃 , 王 戈 田永林 袁 勇 王 晓 齐红威 贾晓丰

大数据引爆人工智能技术的飞速发展,我们由此进入数据引领的新科技时代[1-2].然而数据安全、数据隐私、数据孤岛等问题日渐浮现[3],出现了越来越多的数据不愿分享、不敢分享、甚至不能分享的应用场景与现实局限,在很大程度上制约了智能技术的发展与应用.比如在国防军事方面,大量数据关于国计民生,不能与外部系统互联互通,甚至在军事内部系统也存在不同的保密级别;在工业及企业实现联合控制方面,不同工厂、企业系统及其子系统间的信息与状态往往与金钱利益密切相关,资源及信息的共享交流主观上不愿意进行;智慧城市系统的建设及发展需要将城市中的各类系统和服务全部打通,而交通、医疗、水、电等不同智慧平台内部状态与数据存在多维度异构情况,受制于科技水平约束数据融合使用的难度很大.与此同时,数据的使用和共享在法律层面的约束与日俱增,关于数据隐私和信息安全的法律法规不断推出:比如欧盟于2018 年推出了 “通用数据保护条例” (GDPR),使得数据孤岛问题日益突出.美国耶鲁大学教授Balkin 在2016 年提出了信息信托(Information fiduciaries)的概念来描述数据所有者与数据控制者之间的关系[4],从而引发了研究人员对数据所有权、控制权、使用权及其涉及隐私问题的广泛讨论[5-7].

为解决数据分散化问题,中国科学院自动化研究所王飞跃研究员等于2020 年正式提出由联邦数据、联邦控制、联邦管理、联邦服务构成的联邦生态[8]概念.联邦生态以数据隐私、数据安全、资源一体化为驱动,借助基于区块链的联邦安全、联邦共识、联邦激励、联邦合约等支撑技术,在隐私可控的前提下为大型问题提供个性化的智能服务.联邦控制作为联邦智能的核心组成,关注联邦数据信息安全与权益保护,是联邦生态安全运行的物质基础.然而,我们在某搜索引擎里搜索关键词 “联邦控制”及“Federated control” (如图1 所示),可以看出面向信息安全和权益保护的联邦控制概念尚未提出,更不要提与之相关的学术成果.大数据时代下,我们对信息安全和数据隐私的要求越来越高,亟需相关的控制理论与方法支撑.

图1 联邦控制搜索结果(2021-02-28)Fig.1 Search results on federated control (2021-02-28)

基于此,本文提出关注大型复杂系统信息安全与权益保护的联邦控制理论.本文结构如下:第1节介绍了针对大型复杂系统现有的控制方案及其特点.第2 节提出并详细阐述了联邦控制方案的理论架构,包括其内部架构、基本特色和研究框架.在第3 节中,我们讨论了区块链技术对联邦控制理论的技术支撑与参考意义,提出了基于区块链的联邦控制发展演化的若干方向.第4 节结合实际应用场景,以智慧交通的车联网建设和旅游市场营销控制为例说明联邦控制的应用实例.第5 节总结全文,并展望了联邦控制的发展前景.

1 复杂系统现有控制理论

随着社会的发展,现实中的各类系统变得越来越复杂、越来越规模化,其中的工程复杂性与社会复杂性交互程度越来越高[9-10].为了应对大规模复杂系统问题,许多新兴的智能控制方法和控制策略应运而生,呈现出百花齐放的繁荣场面:“当地简单、远程复杂” 的网络化控制方法[11],具有低成本、高性能的优点,是云控制的雏形;融合网络化控制和云计算的云控制方法将大数据存储在云端,通过云端节点实现系统的智能控制[12];分布式控制采用去中心化的分布式结构并行处理解决控制问题[13];基于代理的控制方法采用去中心化的控制架构基于网络互联实现集散控制[14],等等.这些控制方法和技术深植于广域且深度的互连互通、实时且海量的大数据信息.

在实际应用中,数据量大但可有效利用的数据有限,实际调控过程产生的运营成本和试错成本往往很高.为了解决这些问题,中国科学院自动化研究所王飞跃研究员在2004 年提出基于人工系统、计算实验、平行执行理论(Artificial societies,computational experiments,parallel execution,ACP)的平行系统理论[15-17](如图2 所示),通过构建人工系统,使之与实际系统虚实互动实现复杂系统控制与管理;在此基础上,2020 年提出网络-物理-社会系统智能生态概念[18],从深度模型、深度分析、深度管理三方面建立平行生态体系,为联邦智能、联邦生态系统及邦联(Co-federated)生态系统的思想奠定基础.

图2 平行系统理论框图Fig.2 Framework of the parallel system theory

面对大型复杂系统,目前较为主流的控制方案是采用分布式控制系统(Distributed control systems,DCS),通过构建去中心化的分布式系统,将大型系统拆分成若干子系统,并行、协作、统一完成控制与管理问题[19-20].然而,在实际应用中存在大量的大型复杂系统,由于经济、法律、道德等因素限制,子系统间互信水平很低,甚至为零互信,由此限制了子系统间数据的共享与交流.为解决数据的安全使用问题,近年来国内外学者相继提出 “联邦学习”(Federated learning,FL)技术,以实现参与方在不共享数据基础上的联合建模,打破数据孤岛,有效实现多方协作[21-22].作为一种新兴的机器学习技术,联邦学习技术在保证数据隐私安全的基础上有效应对数据孤岛和数据匮乏等数据时代所面临的技术挑战,对本文新型分布式控制方法的提出具有启发意义.

本文提出一种以信息安全和数据权益保护为目标,以区块链技术、平行系统理论为实现形式的新型分布式控制策略,为大型复杂系统提供高效、安全、可靠的控制与管理.下面我们将对此控制策略进行详细介绍.

2 联邦控制的理论框架

传统科学研究的牛顿体系是确定性的科学,我们对系统的观察与分析并不会对系统的运行状态产生影响.有别于牛顿系统的传统科学研究,复杂系统在大多数情况下难以精确描述,也不能完全预测,因而无法通过建立准确解析的数学模型进行控制,并且对复杂系统的分析与调控和系统运行的状态结果互相交互,存在双向影响关系,是一种基于默顿体系的默顿系统[23-24],具有不可分与不可知特征.

复杂系统是不可分的[25]:对于任何有限资源,在本质上,一个复杂系统的整体行为不可能通过对其部分行为的独立分析而完全确定.这是由于复杂系统的结构复杂,内部关系千丝万缕,具有大量的不确定性.因而,对复杂系统进行控制时必须从整体角度出发,简单的分布式并行控制无法解决复杂系统控制问题.

复杂系统是不可知的[25]:对于任何有限资源,在本质上,一个复杂系统的整体行为不能预先在大范围的时间、空间或其他度量内确定.这是因为复杂系统的内部结构和外部环境是动态变化的,其所面临的问题本身和对问题的理解也是不断发展的.这表明在解决复杂系统问题时不存在一成不变的完美解决方案,而应该通过不断的反馈与更新,动态地改进和提高复杂系统控制方案.

考虑以上特性,本文提出一种面向信息安全与权益保护的新型分布式控制理论,为零互信基础的大型复杂系统提供高效、快速、安全、可靠的控制策略,以适应大数据时代下关注数据隐私与信息保护的控制新需求.

联邦控制的核心思想是:基于分布式协同控制,实现多子系统的联合控制建模.控制过程中,子系统的隐私数据仅限本地使用,非隐私数据实行所有权和使用权两权分离制度,以此保证参与调控各子系统的信息安全与数据权益保护.联邦控制采用分布式控制架构,参与调控的复杂子系统构成联邦控制节点,彼此独立、自治,因此称为联邦控制.下面,我们将从内部架构、基本特色、研究框架三个方面详细介绍联邦控制理论与方法.

2.1 联邦控制的内部架构

作为联邦生态的核心环节,联邦控制直接应对联邦智能的需求响应,并对联邦数据提供安全保护.联邦控制系统自上而下由联邦控制中心、网络层和联邦控制节点三部分构成,层级框架如图3 所示.

图3 联邦控制的层级架构Fig.3 Hierarchical framework of federated control

联邦控制中心,可以看作联邦控制的心脏,向上响应决策管理层的需求目标,向下主导联邦节点的实际控制.控制过程中,针对全局系统的控制策略、全局优化模型等位于联邦控制中心,通过中心控制器向联邦节点发布控制指令,实现对联邦节点的有效控制.

网络层是连接联邦控制中心和联邦控制节点的中间环节,用于搭建联邦数据和控制指令的双向安全传输通路.网络层具有接入、验证、加密和传输等功能,实现控制指令和联邦数据的安全传递;

联邦控制节点由本地复杂子系统构成,是联邦控制的基本单元.联邦节点既可以是工程化的子系统,实现的是面向控制对象、控制器、执行器、传感器的工程控制;联邦节点也可以是社会化的子系统,实现的是面向目标对象、方案制定、执行与反馈的社会控制.值得指出的是,联邦控制中针对社会化子系统的社会控制并不同于响应联邦服务的联邦管理,前者侧重微观的执行与反馈,内容形式单一,而后者更加长时效、多维度,强调宏观的规划与实现.

联邦节点储存节点目标、节点模型、节点数据、节点状态等联邦数据.联邦数据根据数据内容、性质、来源、类型等特点可分为隐私联邦数据和非隐私联邦数据.其中隐私联邦数据不离开本地,仅限本节点使用,其余联邦节点和联邦控制中心均无权知悉和使用,充分保障了联邦节点的信息安全与数据隐私,同时可以避免 “通用数据保护条例” GPDR 等法律因素的限制;非隐私联邦数据实行所有权和使用权两权分离机制,即数据的所有权仍归本地节点所有,使用权由本地节点转移到了联邦控制中心,用于中心控制器的全局系统状态和全局控制指令的更新与优化.非隐私联邦数据的上传和使用过程中,我们通过加密算法保证它只能用于联邦控制中心的全局控制策略的生成、状态更新与指令更新.原始数据不可再生,亦不可改变,从而保障联邦控制中非隐私联邦数据的原始性和归属性不被侵犯.值得指出的是,非隐私联邦数据的两权分离机制是联邦数据权益保护的有效补充.

2.2 联邦控制的实现流程

联邦控制的全局实现流程,如图4 所示:第一步,联邦节点从联邦控制中心下载控制指令;第二步,联邦节点执行节点控制,并向联邦控制中心加密上传非隐私联邦数据;第三步,联邦控制中心执行中心控制.

图4 联邦控制基本流程Fig.4 Flow chart of federated control

联邦控制中心端中心控制实现流程如下:1) 系统状态更新;2) 控制指令生成;3) 控制指令发布.

2.3 联邦控制的基本特色

下面,我们将具体说明联邦控制的特色之处.

特色一:隐私联邦数据仅限本地节点使用

联邦控制理论有别于其他控制理论的最大区别在于控制过程中的信息安全及数据权益保护.联邦节点中,复杂子系统内部全部隐私数据,包括参数、状态、数学模式、结构、设置等隐私信息不离开本地节点,仅限本地使用.

隐私联邦数据牢牢锁在本地,从根本上保障本地联邦节点的信息安全与数据隐私,打破零信任基础、存在利益竞争关系、密保等级高的复杂子系统难以进行常规控制的局面,同时可以避免诸如GPDR 等法律及道德层面对数据使用和流通的约束,为大数据时代大型复杂系统的联合控制问题提供有效方法.

特色二:非隐私联邦数据两权分离

联邦控制过程中非隐私联邦数据的所有权仍归本地节点所有,使用权由本地节点转移到了联邦控制中心,用于中心控制器的全局系统状态和全局控制指令的更新与优化.在非隐私联邦数据的上传和使用过程中,我们通过加密算法保证其只能用于联邦控制中心的全局控制策略的生成、状态更新与指令更新,原始数据不可再生,亦不可变更,从而保障联邦控制中非隐私联邦数据的原始性、归属性等所有权益不被侵犯.

其中，里根的“失言”最惊心动魄。1984年8月，时值冷战期间，担任美国总统的里根计划发表一篇关于美国经济问题的讲话，国内各大媒体闻讯赶来采访。正当记者们忙于准备时，总统的声音突然从扩音器中传出：“亲爱的美国同胞们！我很高兴地告诉你们，本人刚刚签署了一项法律，宣布苏联为不合法政府。5分钟后，美国将轰炸苏联。”在场众人无不目瞪口呆。

非隐私联邦数据的两权分离机制,作为数据权益保护的有效补充,在保证信息安全与数据权益保护的同时,也提高了联邦数据的使用效率,提高控制中心全局控制策略的有效性和精确性.

特色三:灵活的准入与准出机制

联邦控制中的联邦节点具有灵活的准入与准出机制.

准入模式:本地复杂子系统申请成为联邦节点,经联邦控制中心批准后获得准入资质.该联邦节点通过网络层验证,接入到联邦系统网络中.准入模式常见于联邦控制需求目标发生改变时,实现联邦控制模型的有效扩张.

准出模式:当联邦节点申请脱离联邦控制网络,经联邦控制中心批准后获得准出资格.网络层接入验证失败,断开双向传输通路,该联邦节点退出联邦控制网络.准出情况常见于联邦节点预期目标达成、需求目标改变、联邦控制受到恶意攻击等多元场景,此时联邦节点基于经济、安全等因素脱离联邦控制网络.准出机制为联邦节点、联邦控制中心的信息安全及数据隐私提供可靠的保护屏障.

特色四:派遣式的控制机制

联邦控制过程中,针对全局系统的控制策略、全局优化模型等均位于联邦控制中心,联邦控制中心通过中心控制器向联邦节点发布控制指令,实现联邦节点的有效控制.联邦节点不存储先验知识、不要求成熟的控制经验、不配置复杂的本地控制器,通过下载并执行控制指令,实现基于联邦数据的节点控制.换言之,联邦控制提供的是一种派遣式的控制机制,可以有效减少节点控制的控制时间和控制成本,提高节点控制的控制效率.

此外,联邦控制中心和联邦节点之间双向通路传递的仅为控制指令和非隐私联邦数据.这一过程避免大量联邦数据的传输,减轻网络层传输压力,减少通信故障、时延、丢包等问题发生,有效提高联邦控制的可靠性.

2.4 联邦控制的研究框架

联邦控制的研究框架如图5 所示,自底向上分别为理论层、数据层、平台层、应用层.

图5 联邦控制的研究框架Fig.5 Research framework of federated control

联邦控制研究的基本理论问题为在保障信息安全与数据权益保护的前提下,实现大型分布式复杂系统的协同控制.在数据层实现联邦数据权益保护,包括隐私数据不出本地和非隐私数据两权分离,从而从数据层面保证了信息安全和权益保护.也就是说,隐私联邦数据仅限本节点使用,非隐私联邦数据所有权归本地节点所有,联邦控制中心享有使用权.联邦控制平台由联邦控制节点、网络层、联邦控制中心三层结构实现,复杂子系统间采用分布式控制架构,参与调控的各复杂系统地位平等、独立自治,分属联邦关系.联邦控制理论可应用于智慧城市、营销控制、金融科技、军事领域协同控制等对数据隐私、数据共享、信息安全高需求的应用场景.

3 联邦控制与区块链技术

起源于比特币的区块链技术具有去中心化、去信任化、集体维护、不可篡改等特点,在近年来快速发展,受到了政府、金融、法律、科技及资本市场等领域的广泛关注[26],为联邦控制的具体实现提供必要技术支撑和实践指导:

1) 基于区块链的联邦安全[27-29]为联邦控制的数据安全和隐私保护提供技术支持.区块链安全机制包括非对称加密、hash 函数等,封装了大量加密和验证算法,为联邦数据加密、信息传输、状态更新等环节提供有效的加密和验证工具,提高联邦控制系统的安全性和鲁棒性.

2) 基于区块链的联邦共识为联邦控制的分布一致性提供技术支持.区块链技术封装了大量成熟、高效的共识机制与共识算法[30],联邦共识基于区块链共识机制,面向联邦节点的全部决策,保证节点状态及数据更新的一致性.

3) 基于区块链的联约为联邦控制的高效安全和自动化实现提供技术支持.区块链的智能合约算法具有自我验证、去中心化、可编程、不可篡改等特点[31].联邦共识基于智能合约技术,具有访问控制、非隐私联邦数据交换、局部状态修改、全局数据更新、意外情况处置等功能,为联邦控制的自动化、安全、稳定、高效运行提供有效技术保障.

4) 基于区块链的联邦激励为联邦控制的维护和管理提供技术支持.激励机制是区块链的核心动力,通过将经济因素集成到区块链激励层[26],区块链实行快速、稳定、正向的激励发行和分配机制,以促进维护与管理.联邦激励建立良好的激励体系,平衡联邦控制中心和联邦控制节点之间的利益关系,促进联邦节点的活跃度,提高联邦系统的维护和管理任务效率.

5) 基于区块链的联邦数据结构为联邦控制数据提供数据存储和互联算法支持.区块链中数据结构有两个特点:1) 数据以区块结构存储,2) 区块以链式网络互联.联邦控制中,我们也可以借鉴区块结构存储联邦数据,通过指针实现调用,解决联邦数据异构、网络不兼容所带来的数据交叉融合问题.

此外,也可借鉴链式网络搭建联邦控制网络,使得联邦数据具有可追溯、不可篡改的特点.具体实现可以将控制指令以区块结构存储,通过上链机制实时加入联邦链式网络中,可以保证控制指令的可追溯与不可篡改;或者在联邦节点端采用联邦链式网络进行联邦节点的网络互连,以保证联邦数据的可追溯与不可篡改.

基于区块链结构的联邦链式网络更新流程如图6 所示:1)联邦节点经准入连接至联邦控制中心,加密下载当前联邦控制指令n-1;2)联邦节点执行节点控制,并将非隐私联邦数据加密回传至联邦控制中心;3)联邦控制中心执行中心控制,生成联邦控制指令n;4)联邦控制指令n上链加入联邦链式网络,完成联邦节点控制指令更新.

图6 基于区块链的联邦链式网络Fig.6 Blockchain based federated-chain network

目前,区块链2.0 和区块链3.0 技术中发展出有向无环图的网络互联模式,使得多元化的联邦控制网络互连结构成为可能.此外,随着新型的跨链、侧链技术[32]的发展与成熟,基于区块链的联邦控制技术将会面对更多更广泛的应用场景.联邦链式结构根据去中心化程度可划分为公有链、联盟链和私有链,我们可根据实际系统及应用场景选择合适的链式结构[33].

4 联邦控制应用场景

联邦控制作为一种新型的面向隐私保护及信息安全特点的分布式控制策略,可以应用到社会经济、城市建设、国家安全等注重信息安全和数据权益保护的应用领域.本章节,我们将从工程控制和社会控制两个领域应用实际出发,分别举例说明联邦控制的应用场景.

4.1 智慧城市交通

智慧城市交通建设利用新一代的信息科学技术,对交通管理、交通运输、车辆管理、公共出行等交通领域全过程进行智慧化管理与调控,提高交通运行效率和管理水平,建成 “髙效、安全、环保、舒适、文明” 的智慧交通与运输体系,为个人、企业和交通管理部门提供实时、准确、全面、充分的信息与决策支持,是国家 “十四五” 发展规划的重点工作之一.

智慧城市交通建设经历了数字化、网络化、智能化的三个发展阶段,随着5G、物联网等先进信息技术的发展,智慧城市的建设进入 “万物互联” 的新阶段.然而以车联网为代表的智慧交通[34]建设受制于信息安全难保证、标准和结构不统一、成本昂贵、法律不完善等现实约束,发展进入瓶颈.我们认为,关注数据隐私与信息安全的联邦控制策略,可为车联网、智慧交通、乃至智慧城市建设提供发展新思路.我们将具体说明联邦控制在车联网系统中的应用实例.车联网中的每台车都可看作一个高速移动的复杂信息系统,通过传感器技术、卫星定位技术、遥感、射频识别技术等信息技术,将车辆内、外的动态信息存储于车机终端,以实现 “人-车-路-云”之间的数据分析、信息交互、决策制定等功能,是一个典型的 “人在环路中” 信息物理社会系统[35].

图7 为基于联邦控制框架的车联网系统,其中联邦控制中心和联邦节点均采用基于区块链的联邦链式网络互连结构.具体的联邦控制实现过程为:第一步,车机子系统构成的联邦链式网络经准入模式接入网络层,下载当前控制指令n-1;第二步,联邦节点端的联邦链式网络执行节点控制,完成本地数据和状态更新;第三步,非隐私联邦数据加密上传至联邦控制中心;第四步,联邦控制中心执行中心控制产生新的控制指令n,上链加入到中心端的联邦链式网络;第五步,车机子系统下载最新的控制指令n.值得注意的是,图7 描述的节点控制以ACP驱动的平行控制实现,结合其他控制理论和方法,联邦节点的节点控制可以有多种不同的实现形式.值得指出的是,车联网联邦控制系统可以通过跨区域分布式控制系统[36](DCS-DCS)的工业控制实现.

图7 车联网联邦控制框架Fig.7 Framework of federated control in internet of vehicles

由于联邦控制指令由联邦链式网络存储,具有可追溯、不可篡改的特点,为车联网控制提供安全、可靠的备份.随着跨链、侧链技术的成熟和发展,不同车联网区块链可以实现区块内容的共享,促进基于区块链的联邦链式网络车联网系统的交叉融合,使超大规模车联网系统的有效、安全、可靠搭建成为可能.

4.2 旅游市场营销控制

营销控制过程以衡量和评估营销策略与计划的结果为导向,采取不断调整的反馈策略,最终达成营销目标的实现.数据信息化技术的不断发展为传统市场营销与管理带来了新的挑战.大数据时代的市场营销控制面临数据量多但有效数据有限、由于参与方多而带来的数据格式混乱、结构不兼容等问题.此外,出于经济利益、信息安全、法律风险等考虑,参与营销策略制定各方数据共享被动且受限,存在大量不愿意共享、不敢共享、不能共享己方数据的情况,从而导致大型市场联合营销策略效果不佳.基于此,面向大数据时代的新型市场营销控制方法亟待发展.

联邦控制的方法为大数据时代零信任基础的大型市场营销场景提供了联合营销策略建模新思路.下面我们以旅游市场营销控制为例,具体说明联邦控制在旅游市场营销控制的应用实例.旅游市场大型复杂系统可分解为天气信息子系统(包括天气数据、天气预测、气象灾害预测等模块)、交通运输子系统(包括飞机、火车、公共汽车、出租车、网约车、地铁等流量信息、价格系统等)、通讯子系统(包括手机、移动电脑、台式机终端接入信息等)、住宿子系统(酒店、宾馆、民宿定价、流量、订购信息等)、景点子系统等.联邦控制模型如图8 所示.首先,各联邦节点经准入连接至联邦控制中心,下载联邦控制指令;接着,联邦节点执行节点控制,更新本地数据和状态信息;然后,将非隐私联邦数据加密上传至联邦控制中心;最后,联邦控制中心执行中心控制,实现系统状态更新,生成、发布最新控制指令,完成联邦控制.

图8 旅游市场联邦控制模型Fig.8 Federated control model of tourist marketing systems

5 结语

本文提出一种新型控制理论框架—联邦控制,可在保证数据隐私和信息安全的前提下,以基于区块链的联邦安全、联邦共识、联邦合约、联邦激励和平行系统理论等作为具体实现的技术支撑,为零互信基础大型复杂系统提供高效、快速、安全、可靠的控制策略,应对诸如智慧城市、车联网、市场营销管理等应用领域和应用场景.

联邦控制的特色之处在于:1) 隐私联邦数据仅限本地节点使用,从根本上保障了本地联邦节点的信息安全与数据隐私;2) 非隐私联邦数据两权分离,既是数据权益保护的有效补充,也提高了联邦控制策略的全局有效性和精确性;3) 灵活的准入与准出模式,增强了联邦控制系统的动态性和抗风险能力;4) 派遣式的控制机制,提高了联邦节点的控制效率与联邦控制的可靠性.

联邦控制理论并非天马行空.信息安全和数据隐私的迫切需求播种下理想的种子,ACP 理论、信息安全技术的发展为之提供深厚的土壤,区块链网络、共识机制、跨链及侧链技术不断浇灌养分、迸发灵感,促进联邦控制的发展演化.然而,联邦控制的技术实现细节尚未完善,理论框架也仍有值得深入的地方.希望本文可以起到抛砖引玉的作用,引起业内专家学者关注控制方法中的隐私性和安全性,共同建立并完善联邦控制、邦联控制(Co-federated control)、联邦生态的理论与体系,促进更多的应用场景开发及技术实现.