聯邦學習：為什麼 AI 可以不傳資料就訓練
資料位置
集中到單一資料中心或雲端
留在各參與方本地，不出域
信任假設
節點彼此信任
參與方互不完全信任，甚至可能惡意
資料分布
通常為獨立同分布（IID）
多為非獨立同分布（Non-IID）
網路條件
高速內網
跨機構網路，延遲與斷線常態化
節點能力
硬體規格相近
手機、伺服器、邊緣裝置混雜
主要風險
系統故障、資源瓶頸
隱私洩漏、投毒攻擊、合規爭議
看懂這張表，就能理解為什麼聯邦學習不是「把現成的分散式訓練改個名字」那麼簡單。它要解決的是一整套在不可信環境下協作的問題，這也是它同時牽涉機器學習、密碼學、分散式系統與法規遵循的原因。
二、為什麼 AI 需要「不傳資料」？三個真實痛點
技術的出現從來不是為了炫技，而是為了解決現實壓力。聯邦學習之所以在近幾年快速竄紅，背後至少有三股力量同時推著它往前走。
2-1 法規與合規壓力：資料搬家變得越來越貴
歐盟的 GDPR 自 2018 年上路後，對個人資料的跨境傳輸、目的外利用與當事人同意設下嚴格門檻；台灣的個人資料保護法同樣要求蒐集、處理、利用必須具備特定目的與合理關聯；醫療領域還有更細緻的倫理審查與去識別化要求。對企業而言，每一次「把資料集中起來」都意味著法務成本、稽核成本與潛在的巨額罰款風險。
在這種環境下，「資料不移動」本身就是一種合規資產。當企業能向主管機關、合作夥伴與客戶證明「原始資料從未離開我們的系統」，許多原本卡關的跨機構合作案就有了重新談判的空間。聯邦學習讓資料治理從「事後補救」轉為「架構內建」。
2-2 資料孤島與商業機密：沒有人想把金礦交給別人
就算撇開法規不談，商業現實也不允許資料隨意共享。銀行不會把客戶的資產結構交給同業，製造商不會把良率參數交給供應鏈夥伴，電信商不會把用戶的通話行為交給廣告公司。這些資料是競爭優勢的來源，一旦外流就難以收回。
然而，很多有價值的 AI 應用偏偏需要「合起來才夠力」。例如跨銀行的聯合防詐模型，單一銀行只能看到自己體系的異常交易，詐騙集團卻是在多家銀行之間流竄；若能聯合建模，偵測能力會顯著提升。聯邦學習提供了一個折衷：知識可以共享，原始資料不必共享，讓「合作」與「保護」不再互斥。
2-3 頻寬、延遲與成本：把資料搬回來本身就很笨
還有一個常被忽略但非常實際的理由：把資料搬到中央的過程本身就是巨大的浪費。以手機輸入法為例，全球數億支手機每天產生的輸入資料量極為可觀，若要全部上傳到雲端再訓練，頻寬成本與耗電量都難以負擔，延遲也讓人無法接受。相對地，讓模型下載到手機、在本地訓練幾輪、只上傳幾十 MB 的參數更新，效率高出好幾個數量級。
在物聯網與邊緣運算場景中，這個優勢更明顯。工廠裡的攝影機每秒產生大量影像，若全數回傳雲端，網路頻寬會先撐不住。聯邦學習讓邊緣裝置就地學習，只回傳模型更新，等於是用「運算換頻寬」，在許多場景下都是更合理的資源配置。
三、聯邦學習的核心運作原理
理解聯邦學習，最有效的方式是先搞懂它最經典的演算法：聯邦平均（Federated Averaging，簡稱 FedAvg）。這個由 Google 研究團隊在 2016 至 2017 年間提出的方法，至今仍是多數聯邦學習系統的基礎骨架。
3-1 FedAvg 的五個步驟
一輪完整的聯邦訓練，通常可以拆解成以下流程：
整個過程可以想成一場「集體共筆」：每個人各自在自己的筆記本上寫下一段心得，然後把「修改建議」交給班長，班長把所有建議統整成一份新版講義，再發回給大家參考。沒有人看得到別人的原始筆記，但每個人都受益於集體智慧。
3-2 梯度還是模型參數？到底傳了什麼？
實作上，參與方回傳的內容有幾種常見形式：一是完整的模型參數，二是模型參數與初始參數的差值，三是訓練過程中的梯度。三者在數學上高度相關，差別在於通訊量與隱私暴露程度。傳完整參數最簡單但通訊量最大；傳差值可以壓縮傳輸量；傳梯度則通常需要搭配更嚴謹的隱私保護機制。
這裡必須特別強調一個常見誤解：「不傳資料」不等於「絕對安全」。研究已多次證明，攻擊者有可能從梯度或模型更新中反向推論出訓練資料的片段，這類攻擊被稱為「梯度洩漏」或「成員推論攻擊」。因此，成熟的聯邦學習系統幾乎一定會在上傳前加上額外的隱私加固層，這部分我們在下一節詳細說明。
3-3 三種聯邦學習型態：橫向、縱向、聯邦遷移
依參與方持有的資料維度不同，聯邦學習可以分成三大類型。理解這個分類，對於判斷自己的場景適合哪種架構非常關鍵。
型態
資料切分方式
典型場景
主要難點
橫向聯邦學習（Horizontal FL）
各方特徵相同、樣本不同
多家醫院各自擁有不同病人的同類檢查資料
資料非獨立同分布、通訊成本
縱向聯邦學習（Vertical FL）
各方樣本重疊、特徵不同
銀行與電商針對同一批用戶聯合建模
樣本對齊、隱私求交（PSI）
聯邦遷移學習（Federated Transfer Learning）
樣本與特徵皆僅部分重疊
跨產業、跨地區的冷啟動場景
知識遷移效果不穩定
多數人談到聯邦學習時，想到的其實是橫向聯邦學習，因為它最直觀、也最容易對應到「多家機構聯合建模」的想像。但實務上，金融業的跨機構合作往往更接近縱向聯邦學習——同一批客戶在不同機構留下不同面向的紀錄，如何在不揭露各自欄位的前提下對齊樣本並聯合訓練，是另一個技術難題。
四、光靠聯邦學習就夠安全嗎？三大隱私加固技術
如前所述，聯邦學習解決了「資料不出域」的問題，卻沒有自動解決「更新會不會洩漏資訊」的問題。因此在實務架構中，聯邦學習通常會與其他隱私增強技術（Privacy-Enhancing Technologies，PETs）搭配使用，形成多層防禦。
4-1 安全聚合：讓伺服器也看不到個別更新
安全聚合（Secure Aggregation）是一種密碼學協定，讓多方各自上傳加密後的數值，伺服器只能在湊齊足夠多參與方後解開「總和」，卻無法得知任何單一參與方的具體數值。這解決了一個關鍵弱點：如果中央伺服器本身不可信，或是被入侵，它仍然可以從個別更新中窺探參與方的資料特徵。
打個比方：一群人想把各自的薪水加總，但沒有人願意公開自己的數字。安全聚合就像是每人把自己的數字鎖進一個特殊箱子，這些箱子可以合併計算總和，卻無法單獨打開查看。對手機端聯邦學習特別重要，因為手機使用者對電信商或平台商的信任度本來就有限。
4-2 差分隱私：在更新裡加入「可控的雜訊」
差分隱私（Differential Privacy）的核心思想是：在輸出的統計結果中加入精心設計的雜訊，使得攻擊者無法判斷某個特定個體是否在資料集中。應用到聯邦學習時，可以在本地端對梯度做裁切與加噪（Local DP），也可以在伺服器端對聚合結果加噪（Central DP），兩者各有取捨。
差分隱私的優勢在於它提供了可量化的隱私保證，常用的參數是 ε（epsilon），數值越小代表隱私保護越強，但模型效用通常也越差。這是一條典型的「隱私—效用」權衡曲線，導入時必須針對業務場景反覆調校，而不是一味追求最嚴格的參數。
4-3 同態加密與可信執行環境：把計算本身藏起來
同態加密（Homomorphic Encryption）允許在密文上直接進行運算，運算結果解密後等同於對明文運算的結果。放在聯邦學習裡，參與方可以把加密後的更新上傳，伺服器在不知道內容的情況下完成聚合。代價是運算开销顯著增加，目前較適合更新量不大、即時性要求不高的場景。
可信執行環境（Trusted Execution Environment，TEE）則是另一條路線：透過硬體層級的隔離，確保資料在受保護的區域內運算，連作業系統與服務提供者都無法窺探。實務上常見的做法是把安全聚合、差分隱私與 TEE 混搭使用，形成「密碼學 + 硬體 + 統計」的三重防線。沒有一種技術能單獨解決所有問題，多層疊加才是務實做法。
五、聯邦學習的真實應用場景
談完原理，接下來看落地。聯邦學習並非實驗室裡的概念，它已經在多個產業累積了可觀的實務案例。
5-1 醫療：跨院聯合建模，病歷不出院
醫療是聯邦學習最被看好的戰場。影像判讀、病理分析、藥物不良反應預測等任務，都需要大量且多樣的病例，但單一醫院的資料量往往不足，跨院共享又受限於病人隱私與法規。聯邦學習讓多家醫院可以各自訓練、共同提升，同時滿足倫理審查要求。
國際上已有不少醫院聯盟與生技公司投入這類研究，例如以聯邦學習訓練腫瘤影像模型、預測住院病患的敗血症風險等。台灣亦有醫學中心與學研單位投入相關研究，嘗試在去識別化與院內審查的框架下，建立跨院協作機制。這類專案通常會同時導入安全聚合與差分隱私，並在合約中明訂模型所有權與使用範圍，技術與治理缺一不可。
5-2 金融：聯合防詐與跨機構風控
金融業的痛點是「詐騙集團跨行流竄，但銀行只看得到自己」。聯邦學習讓多家銀行在不交換客戶名單與交易明細的前提下，共同訓練異常交易偵測模型。當某個帳戶在某家銀行出現異常行為模式，模型能更快地在其他銀行辨識出相似特徵。
此外，徵信與風控場景也常採用縱向聯邦學習。例如電信商掌握用戶的繳費行為，電商掌握消費行為，雙方針對同一批用戶聯合建模，可以在不揭露各自欄位的前提下提升信用評估的準確度。這類合作通常需要搭配隱私集合求交（Private Set Intersection，PSI）技術，先找出共同用戶，再進行聯合訓練。
5-3 消費端：手機輸入法、語音助理與個人化推薦
這是聯邦學習最早、也最大規模的落地場景。Google 早在 2017 年就將聯邦學習應用於 Android 鍵盤的下一個詞預測，讓使用者的輸入習慣在手機本地被學習，只回傳模型更新。Apple 也在 iOS 上採用類似的差分隱私與聯邦學習機制，用於表情符號預測、來電辨識等功能。
消費端場景的挑戰在於規模與異質性：數億台裝置、硬體規格天差地別、使用者行為極度多樣。系統必須決定每一輪要挑選哪些裝置參與、如何處理遲到的裝置、如何在有限的電量與流量下完成訓練。這些工程問題，往往比模型本身更難解決。
5-4 製造與車聯網：邊緣端的集體智慧
在智慧製造中，不同工廠的產線條件、機台型號與良率特徵各不相同，資料也涉及製程機密。聯邦學習可以讓各廠在本地訓練瑕疵檢測模型，再將知識彙整，形成一個對多種產線都更穩健的通用模型。車聯網場景亦然，各家車廠的行車資料涉及商業機密與駕駛人隱私，透過聯邦學習可以在不共享原始行車影像的情況下，共同提升自動駕駛感知模型的邊角案例處理能力。
六、聯邦學習的六大工程挑戰
看到這裡，你可能會覺得聯邦學習聽起來很完美。但實際上，從論文到生產環境，中間隔著大量工程與治理的坑。以下整理幾個最常讓團隊卡關的挑戰。
6-1 非獨立同分布（Non-IID）資料：最根本的難題
集中式訓練假設資料是從同一個分布中獨立抽樣，聯邦學習卻幾乎不滿足這個假設。每家醫院收治的病人類型不同、每家門市的客群不同、每支手機的使用者習慣不同，導致各參與方的本地資料分布差異極大。這種非獨立同分布（Non-IID）現象會讓本地模型偏離全局最優解，聚合後的模型甚至可能比單獨訓練還差。
學界提出的解法包括：調整本地訓練的輪數、在聚合時考慮各方的相似度、引入個人化層（personalization layer）讓每個參與方保留部分本地特性、或採用知識蒸餾讓全局模型與本地模型互相校正。實務上沒有一套放諸四海皆準的配方，必須針對資料特性反覆實驗。
6-2 通訊成本與系統異質性
聯邦學習的瓶頸很少是算力，通常是通訊。通訊輪數越多、每輪傳輸的參數越大，整體成本就越高。研究者因此發展出梯度壓縮、量化、稀疏化等技術，試圖在有限頻寬下完成更多輪的訓練。
系統異質性則是另一個頭痛問題。參與方可能是旗艦手機，也可能是老舊的邊緣裝置；有些節點很快回傳結果，有些則拖到超時（俗稱 straggler）。系統必須設計容錯機制，例如設定超時門檻、動態調整參與方權重，避免少數慢節點拖垮整體進度。實務上，能穩定運作的聯邦學習系統，往往花在「調度」與「容錯」的程式碼比「模型」還多。
6-3 安全威脅：投毒、後門與推論攻擊
聯邦學習的開放式協作特性，也帶來新的攻擊面。惡意參與方可能上傳刻意偏差的更新，試圖讓全局模型偏向特定結果，這稱為投毒攻擊（poisoning attack）。更隱蔽的是後門攻擊：攻擊者讓模型在正常情況下表現良好，但只要輸入帶有特定觸發模式（例如某種浮水印圖案），就會輸出攻擊者指定的錯誤結果。
另一方面，推論攻擊（inference attack）著眼於從更新中反推隱私資訊，包括成員推論（判斷某筆資料是否被用於訓練）與屬性推論（推測參與者的敏感特徵）。防禦手段包括：異常更新偵測、穩健聚合演算法、信譽機制、參與方身分驗證，以及前面提到的差分隱私與安全聚合。這是一場持續的攻防戰，沒有一次到位的解法。
6-4 評估與監管難題：怎麼證明模型真的有效？
在集中式訓練中，我們可以用統一的驗證集評估模型；在聯邦學習中，驗證資料同樣不能集中，如何公平地評估全局模型成為一道難題。常見做法是各參與方在本地驗證後回報指標，但這又牽涉到參與方是否誠實回報、指標是否可比等問題。
監管層面同樣複雜。當模型是由多家機構共同訓練而成，模型的智慧財產權歸誰？若模型出錯造成損失，責任如何分攤？模型是否需要向主管機關揭露訓練參與方名單？這些問題目前多半靠合約與治理框架解決，而非純技術手段。有意導入的企業，務必在專案初期就把法務與合規團隊拉進來。
七、聯邦學習 vs. 其他隱私運算技術
聯邦學習常被歸類為「隱私運算」的一環，但它與其他技術的定位其實不同。理解差異，有助於在專案中選對工具，或正確地組合使用。
技術
核心機制
適合場景
與聯邦學習的關係
聯邦學習
模型下發、本地訓練、參數聚合
多方聯合建模、資料不出域
本體架構
差分隱私
加入可控雜訊，提供可量化隱私保證
統計發布、模型輸出保護
常作為聯邦學習的加固層
安全多方計算
多方在不揭露輸入的前提下共同計算
聯合統計、隱私求交
可用於安全聚合或縱向聯邦
同態加密
在密文上直接運算
雲端外包運算、敏感資料處理
可保護聚合過程
可信執行環境
硬體隔離的安全運算區
需要高效能的敏感計算
可替代部分密碼學方案
換句話說，聯邦學習是「協作訓練的骨架」，其他技術則是「附著在骨架上的防護裝備」。真正成熟的隱私運算架構，通常是多種技術的組合，而非單一技術的獨角戲。
八、企業導入聯邦學習的實務路線圖
如果你所屬的組織正在評估導入聯邦學習，以下是一個相對務實的推進節奏，可以作為內部討論的起點。
8-1 從試點到規模化的四個階段
8-2 常見的失敗原因
根據產業觀察，聯邦學習專案失敗的原因很少是演算法不夠先進，更多是以下幾種：一是合作誘因不足，參與方沒有感受到對等的好處；二是資料品質太差，各方欄位定義不一致、標註標準不同，導致聯合建模效果不如預期；三是低估了工程複雜度，尤其是通訊與調度；四是治理機制缺位，出事時責任無人承擔。
因此，成功的專案通常有一個共同特徵：技術團隊與業務、法務團隊從第一天就坐在一起。聯邦學習本質上是一場跨組織協作，技術只是其中一環。
九、聯邦學習的未來：大模型時代的新戰場
生成式 AI 與大型語言模型的崛起，為聯邦學習帶來新的想像空間，也帶來新的技術難題。
9-1 聯邦微調與聯邦大模型
大型語言模型的訓練成本極高，一般企業難以從零訓練，但仍可透過微調（fine-tuning）讓模型適配自身領域。問題是，微調資料往往涉及企業機密或個人隱私，同樣不宜集中。於是「聯邦微調」成為熱門研究方向：各方在自己的資料上進行參數高效微調（例如 LoRA），再將微調後的少量參數上傳聚合。
這條路線的優勢在於通訊量相對可控，因為只需傳輸少量的適配參數，而非整個模型。挑戰則在於大模型本身對隱私洩漏更敏感，且參與方的運算資源需求仍然不低。目前這仍是一個活躍的研究領域，距離大規模商用還有一段路要走。
9-2 標準化與生態系的成熟
任何技術要真正普及，標準化是必經之路。國際標準組織與產業聯盟近年積極推動聯邦學習的參考架構與安全要求，涵蓋系統架構、隱私保護等級、互通性等面向。開源框架的成熟也大幅降低了入門門檻，讓中小型團隊有機會參與。
可以預期，未來的聯邦學習將不再是一個獨立的名詞，而是隱藏在各種 AI 服務背後的基礎設施——就像我們今天使用雲端服務時，未必會意識到背後有多少分散式系統在運作。當技術成熟到一個程度，它就會變得「透明」。
十、常見問題 FAQ
Q1：聯邦學習真的能保證資料不外洩嗎？
不能「保證」，但能大幅降低風險。聯邦學習確保原始資料不被集中傳輸，但模型更新仍可能洩漏部分資訊。因此實務上必須搭配安全聚合、差分隱私、TEE 等機制，並建立完善的存取控制與稽核制度。任何聲稱「用了聯邦學習就絕對安全」的說法，都值得懷疑。
Q2：聯邦學習的模型效果會比集中式訓練差嗎？
在多數情況下，聯邦模型的表現會略遜於理想條件下的集中式模型，主要原因是資料非獨立同分布與通訊輪數受限。但差距通常可以透過調校與隱私加固技術縮小。更關鍵的是，許多場景根本無法集中資料，此時聯邦學習的「次佳效果」已經是唯一可行的選項。
Q3：小公司也需要聯邦學習嗎？
不一定。如果貴公司的資料量足夠、沒有跨機構協作需求、也不受嚴格的法規限制，集中式訓練仍然是成本最低的選擇。聯邦學習的價值在於「跨域協作」與「合規」，當這兩個需求不明顯時，導入的投資報酬率可能偏低。
Q4：導入聯邦學習需要哪些技術能力？
至少需要機器學習工程、分散式系統、資訊安全與資料治理四方面的能力。實務上，多數企業會先採用開源框架降低門檻，再逐步建立內部團隊。若缺乏資安與法務支援，建議先從風險較低的試點場景開始。
Q5：聯邦學習與邊緣運算有什麼關係？
兩者經常搭配使用，但概念不同。邊緣運算談的是「把運算搬到靠近資料的地方」，聯邦學習談的是「在不集中資料的前提下協同訓練模型」。邊緣運算是聯邦學習的基礎設施之一，聯邦學習則是邊緣裝置之間共享知識的方法。
結語：不傳資料，反而走得更遠
回頭看整個 AI 發展史，我們曾經相信「資料越多越好、越集中越好」。這個信念在過去十年創造了驚人的成果，卻也在隱私、法規與商業競爭的夾擊下逐漸碰到天花板。聯邦學習的意義，不只是在技術上找到一條繞過資料集中的路，更在於它重新定義了協作的可能：原來不交換資料，也能交換知識；不犧牲隱私，也能一起變強。
當然，它不是萬靈丹。通訊成本、非獨立同分布、安全威脅與治理難題，都需要投入大量工程與制度設計才能克服。但對於醫療、金融、製造、消費科技這些「資料有價值但不能亂動」的領域而言，聯邦學習已經從選項之一，逐漸變成必要的基礎建設。
下一次當你聽到某個 AI 服務宣稱「在保護隱私的前提下持續進步」，很可能它的背後，就藏著一套聯邦學習系統正在默默運轉。而理解它的原理與限制，正是我們在這個資料治理時代，最值得具備的一項科技素養。
```