Hospital Trust Aggregation for Multi-Hospital Medical Imaging under Non-IID Data and Malicious Clients: A Benchmark and Empirical Assessment

ملخص تقني: تجميع ثقة المستشفيات لتجميع الصور الطبية متعددة المستشفيات

بيان المشكلة
يتيح التعلم الاتحادي (FL) للمستشفيات تدريب نماذج تشخيصية مشتركة دون تبادل سجلات المرضى، مما يعالج قيود الخصوصية واللوائح التنظيمية. ومع ذلك، تواجه التحالفات السريرية في العالم الحقيقي تحديين متراكمين يقوضان بروتوكولات التجميع القياسية مثل FedAvg:

1. عدم تجانس شديد في التوزيع غير المتماثل (Non-IID Heterogeneity): تختلف مجموعات المستشفيات بشكل كبير في أنماط الإحالة، ومزيج الحالات، وأحجام المجموعات. يخلق هذا سيناريو حيث تنتج مستشفى صادقة تمتلك مزيج حالات نادرة أو غير معتادة تحديثات للنموذج تعتبر قيمًا متطرفة إحصائيًا، ليس لأنها خبيثة، بل لأن توزيع بياناتها فريد من نوعه.
2. العملاء الخبيثون: يمكن لمستشفى مخترق أن يوجه النموذج العالمي عبر تسميم البيانات، أو هجمات الباب الخلفي (backdoor attacks)، أو التلاعب بالتحديثات (مثل استبدال النموذج).

التوتر الجوهري المحدد هو أن قواعد التجميع القوية، التي عادة ما تستبعد التحديثات "غير المعتادة" للدفاع ضد الهجمات، تجد صعوبة في التمييز بين القيمة المتطرفة المشروعة (مركز متخصص صادق يمتلك حالات نادرة) والقيمة المتطرفة العدائية (عقدة مخترقة). في ظل عدم التجانس الشديد، تخاطر آليات الدفاع القوية باستبعاد المواقع التي تحمل بالضبط الحالات النادرة التي يهدف التحالف إلى تشخيصها.

المنهجية: تجميع ثقة المستشفيات (HTA)
يقترح المؤلفون تجميع ثقة المستشفيات (HTA)، وهو قاعدة ثقة متعددة الإشارات مصممة لتقييم المستشفيات على مدار جولات متعددة بدلاً من تقييمها بشكل منعزل. يحسب HTA درجة سمعة لكل مستشفى بناءً على ثلاث إشارات محصورة (في النطاق [0, 1])، تُدمج ضربيًا:

1. الاتفاق الاتجاهي ($s_h$): التشابه الجيبي المصحح (rectified cosine similarity) بين تحديث المستشفى والوسيط الإحداثي لجميع التحديثات (اتجاه إجماع قوي). التحديثات التي تشير بعيدًا عن الإجماع تحصل على صفر من الائتمان.
2. معقولية الحجم ($m_h$): عقوبة متماثلة تعتمد على النسبة اللوغاريتمية لـ "نورم" (norm) تحديث المستشفى إلى "نورم" التحديث الوسيط. هذا يعاقب كلاً من التحديثات المتضخمة (استبدال النموذج) والتحديثات المنكمشة (الركوب المجاني/free-riding).
3. التحقق من المجموعة المرجعية ($v_h$): يقوم الخادم بتقييم النموذج المحلي للمستشفى على مجموعة مرجعية منفصلة ومنسقة ($D_{root}$). الإشارة هي الدقة المتوازنة (balanced accuracy) على هذه المجموعة، مدمجة مقابل وسيط الجولة. هذا يكتشف الهجمات على مستوى البيانات (مثل قلب الملصقات/label flipping) التي تحافظ على اتجاه وحجم التحديث ولكنها تضعف الفائدة السريرية.

منطق السمعة والاستبعاد:

• الدمج: يتم دمج الإشارات كـ $\tau_h = s_h^a m_h^b v_h^c$. الطبيعة الضربيه تضمن أن أي درجة قريبة من الصفر في أي بُعد واحد ستكبح تأثير المستشفى، مما يمنع المهاجم من تعويض الفشل في بُعد واحد بالتفوق في بُعد آخر.
• تنعيم السمعة: يتم تنعيم الدرجة عبر المتوسط المتحرك الأسي (EMA) وتُعاقب بسبب تباينها الخاص. هذا يمنع الاستراتيجيات "المتبادلة" حيث يتصرف المهاجم بشكل حميد في بعض الجولات وبشكل خبيث في جولات أخرى لإخفاء متوسط درجته.
• معايير الاستبعاد: يتم استبعاد المستشفى فقط إذا استوفى شرطين في آن واحد:
  1. أنه قيمة متطرفة إحصائيًا (الدرجة $< \mu - \lambda \cdot \text{MAD}$).
  2. أنه أقل جوهريًا من الإجماع (الدرجة $< \kappa \cdot \mu$).
     هذا الشرط المزدوج مصمم لمنع استبعاد المستشفيات الصادقة ولكن غير النمطية التي تقع ببساطة في الذيل الأدنى لتوزيع غير متجانس.

الإعداد التجريبي والمرجع
يقدم البحث معيارًا قابلًا لإعادة الإنتاج لتقييم HTA مقابل سبعة نماذج مرجعية (FedAvg, FedProx, Coordinate-wise Median, Trimmed Mean, Krum, Multi-Krum, FLTrust).

• مجموعات البيانات: DermaMNIST (تشخيص جلدي بـ 7 فئات مع عدم توازن حاد في الفئات) وPneumoniaMNIST (تصوير شعاعي للصدر ثنائي الفئات).
• عدم التجانس: خمسة أنظمة تتراوح من التوزيع المتماثل (IID) إلى انحراف التسمية الشديد ($\alpha=0.1$) وانحراف الكمية.
• الهجمات: ست هجمات تشمل هجمات مستوى البيانات (قلب الملصقات، الباب الخلفي) وهجمات مستوى التحديث (قلب الإشارة، تغيير القياس، ALIE، IPM)، مع نسب مئوية للمهاجمين تتراوح من 5% إلى 30%.
• المقاييس: سريرية (الدقة المتوازنة، استدعاء أسوأ فئة، دقة كل مستشفى)، أمنية (معدل نجاح الهجوم)، وعدالة.

النتائج الرئيسية

1. عدم التجانس مقابل المهاجمين: عدم التجانس هو التحدي المهيمن. الانتقال من IID إلى انحراف تسمية شديد ($\alpha=0.1$) تسبب في انخفاض قدره 16.4 نقطة في الدقة المتوازنة، بينما تسبب المهاجمون في انخفاض قدره 7.2 نقطة.
2. أداء HTA:
   • هجمات مستوى البيانات: يؤدي HTA أداءً تنافسيًا، وغالبًا ما يتصدر أو يتساوى مع أفضل النماذج المرجعية في هجمات قلب الملصقات والباب الخلفي.
   • هجمات مستوى التحديث: يتفوق عليه Multi-Krum بشكل كبير في هجمات قلب الإشارة وتغيير القياس (بفجوات قدرها 4.9 و6.7 نقطة، على التوالي). يثبت الاختيار الهندسي لمجموعة فرعية متماسكة من قبل Multi-Krum أنه أكثر فعالية من استراتيجية إعادة الوزن الخاصة بـ HTA عندما يتم التلاعب بهندسة التحديث.
   • الحجم: عند 20 مستشفى، يتأخر HTA عن Multi-Krum بمقدار 5.7 نقطة.
   • المجموعة الثانية: في PneumoniaMNIST، يتأخر HTA عن FLTrust بمقدار 12-19 نقطة عبر جميع الظروف، ويُعزى ذلك إلى الطبيعة الثنائية للمهمة التي تقلل من القدرة التمييزية لإشارة التحقق.
3. دقة البيانات النظيفة: خلافًا للاعتقاد الشائع بأن المتانة تأتي على حساب الدقة النظيفة، حققت معظم القواعد المتينة (بما في ذلك HTA) دقة أعلى من FedAvg (على سبيل المثال، HTA بزيادة 4.6 نقطة، Multi-Krum بزيادة 5.9 نقطة). يُعزى ذلك إلى تقليل التباين: القواعد المتينة تخمد الضجيج الناتج عن القيم المتطرفة الصادقة في البيئات غير المتجانسة.
4. نتائج دراسة الاستبعاد (Ablation):
   • إشارة الحجم: لم تساهم إشارة حجم التحديث ($m_h$) بأي فائدة ملموسة تحت أي نوع من الهجمات. لم يؤدِ حذفها إلى تدهور الأداء. يستنتج المؤلفون أنه تحت انحراف Dirichlet، فإن "نورم" غير معتاد هو مؤشر على مزيج حالات صادقة ونادرة بقدر ما هو مؤشر على هجوم، مما يجعل هذه الإشارة غير مفيدة وربما ضارة.
   • السمعة والاتجاه: كانت ذاكرة السمعة والاتفاق الاتجاهي هما المحركان الأساسيان للأداء.
   • فشل الكشف: تحت ظروف عدم التجانس الشديد وقلب الملصقات، تلاقت وتداخلت درجات السمعة للمستشفيات الصادقة والخبيثة تمامًا. لم تنجح القاعدة في فصل المجموعتين؛ وكان نجاحها ناتجًا عن تخميد التباين وليس اكتشاف المهاجمين.

الأهمية والادعاءات
يضع البحث نفسه ليس كحل جديد للأداء الأفضل (SOTA)، بل كـ مرجع ونتيجة سلبية.

• المرجع: يوفر إطار تقييم صارم وقابل لإعادة الإنتاج يدمج المقاييس السريرية (الدقة المتوازنة، العدالة) مع المقاييس الأمنية، كاشفًا أن الدفاعات التي تضحي باستدعاء الأقليات هي عديمة الفائدة سريريًا.
• النتيجة السلبية: يخلص المؤلفون إلى أن إشارة الثقة القائمة على حجم التحديث لا تصمد أمام عدم التجانس الواقعي طبيًا؛ علاوة على ذلك، فإن نظام السمعة المبني على هذه الإشارات يفشل في التمييز بين المستشفيات الصادقة والخبيثة تحت هجمات مستوى البيانات في البيئات غير المتجانسة.
• توضيح الآلية: إن الفوائد الملحوظة لـ HTA والقواعد المتينة الأخرى تنبع من تخميد التباين (كبح ضجيج القيم المتطرفة الصادقة) وليس من اكتشاف المهاجمين.
• الاتجاه المستقبلي: يقترح المؤلفون أن المكون الفعال لطريقتهم هو نظام سمعة مدفوع بالاتفاق الاتجاهي مع قص الـ (norm clipping)، بينما يجب التخلي عن إشارة الحجم. كما يؤكدون على الحاجة إلى عمل مستقبلي ضد المهاجمين المتكيفين الذين يعرفون إشارات الثقة، ومعالجة التوتر بين فحص كل تحدٍ على حدة وتقنيات الحفاظ على الخصوصية مثل التجميع الآمن.