💻 computer science

PRISM-VFL: A Differentially Private Vertical Federated Framework for Heterogeneous Multi-Task Clinical Prediction

PRISM-VFL ist ein Framework für differenziell privates vertikales föderiertes Lernen, das LSTM-Encoder mit einem Multi-Gate-Mixture-of-Experts-Modul integriert, um das gleichzeitige Training heterogener klinischer Vorhersageaufgaben zu ermöglichen, wobei es zeigt, dass die Vorhersage der In-Hospital-Mortalität unter moderaten Datenschutzbeschränkungen klinisch lebensfähig bleibt, während andere Aufgaben wie Dekompensation und Phänotypisierung trotz der effektiven Unterdrückung von Label-Inferenz-Angriffen erhebliche Nutzenherausforderungen aufweisen.

Ursprüngliche Autoren: Amelia A. Soare, Roland V. Bumbuc, H. Ibrahim Korkmaz, Vivek M. Sheraton

Veröffentlicht 2026-06-26

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Amelia A. Soare, Roland V. Bumbuc, H. Ibrahim Korkmaz, Vivek M. Sheraton

Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Gruppe von drei Krankenhäusern vor, die einen superintelligenten KI-Arzt entwickeln wollen, um Patientenergebnisse vorherzusagen. Sie stehen jedoch vor einem großen Problem: Sie können ihre Patientendaten nicht austauschen. Datenschutzgesetze (wie die DSGVO) und Krankenhausregeln verbieten es, sensible Daten an einen zentralen Server zu senden.

Darüber hinaus hält jedes Krankenhaus nur eine andere Art von Informationen über dieselben Patienten:

Krankenhaus A hat die Vitalparameter (Herzfrequenz, Blutdruck).
Krankenhaus B hat die Laborergebnisse (Blutzucker, pH-Werte).
Krankenhaus C hat die Aufnahmedetails (Größe, Gewicht, Erstdiagnose).

Wenn sie versuchen würden, die KI separat aufzubauen, wäre sie schwach, da jedem Krankenhaus die Hälfte des Puzzles fehlt. Wenn sie ihre Daten teilen würden, würden sie gegen das Gesetz verstoßen.

Hier kommt PRISM-VFL: Die „Sichere Puzzle“-Lösung

Die Forscher haben ein Framework namens PRISM-VFL entwickelt. Stellen Sie sich PRISM-VFL als eine sichere, private Art vor, wie diese Krankenhäuser gemeinsam ein Puzzle lösen können, ohne sich gegenseitig ihre Teile zu zeigen.

So funktioniert es, erklärt anhand einfacher Analogien:

1. Der „Übersetzer“ (Lokale Encoder)

Anstatt Rohdaten der Patienten zu senden (was so wäre, als würde man die eigentlichen Puzzleteile verschicken), lässt jedes Krankenhaus seine Daten durch einen lokalen „Übersetzer“ laufen (ein neuronales Netz namens LSTM).

Analogie: Stellen Sie sich vor, jedes Krankenhaus nimmt seine spezifischen Puzzleteile und verwandelt sie in eine einzige, abstrakte „Zusammenfassungskarte“ (ein Embedding). Die Karte von Krankenhaus A fasst die Vitalparameter zusammen; die Karte von Krankenhaus B die Laborwerte. Diese Karten enthalten das Wesen der Daten, aber nicht die Rohdetails.

2. Der „Teamkapitän“ (Server-seitiges MMoE)

Diese Zusammenfassungskarten werden an einen zentralen Server gesendet. Der Server fungiert als „Teamkapitän“, der ein spezielles Werkzeug namens MMoE (Multi-gate Mixture-of-Experts) besitzt.

Analogie: Der Kapitän hat ein Team aus vier verschiedenen „Experten“ (Sub-Netzwerke). Wenn eine Zusammenfassungskarte eintrifft, nutzt der Kapitän ein intelligentes „Gate“ (Tor), um zu entscheiden, welcher Experte sich die Karte ansehen soll.
- Wenn das Ziel die Vorhersage der innerklinischen Mortalität (wird der Patient überleben?) ist, leitet der Kapitän die Information an Experten #1 weiter.
- Wenn das Ziel die Vorhersage einer Dekompensation (wird sich der Zustand des Patienten schnell verschlechtern?) ist, geht sie an Experten #2.
- Wenn das Ziel das Phänotypisieren (welche spezifischen Krankheiten hat der Patient?) ist, geht sie an Experten #3.
Warum das wichtig ist: Dies verhindert, dass sich die verschiedenen Ziele gegenseitig behindern. Es ist wie ein Koch, der weiß, wann er ein Messer für Gemüse und einen Löffel für Suppe benutzen muss, anstatt zu versuchen, beides gleichzeitig mit demselben Werkzeug zu erledigen.

3. Die „Rauschmaschine“ (Differential Privacy)

Selbst wenn nur Zusammenfassungskarten gesendet werden, könnte ein neugieriger Server (oder ein Hacker) versuchen, die ursprünglichen Patientendetails aus diesen Karten zu erraten. Um dies zu verhindern, fügen die Forscher eine „Rauschmaschine“ hinzu.

Analogie: Bevor der Server Anweisungen an die Krankenhäuser sendet, um deren Übersetzer zu aktualisieren, fügt er dem Signal ein wenig statisches Rauschen hinzu. Es ist, als würde man ein Geheimnis durch einen belebten Raum flüstern: Die Nachricht kommt zwar durch, aber wenn jemand belauschen möchte, hört er nur Kauderwelsch gemischt mit den echten Worten.
Der Kompromiss: Je mehr Rauschen man hinzufügt, desto sicherer ist die Privatsphäre, aber desto „unscharfer“ wird die KI. Die Forscher haben verschiedene Mengen an Rauschen getestet, um den optimalen Mittelweg zu finden.

Was haben sie herausgefunden? (Die Ergebnisse)

Die Forscher testeten dieses System mit einem riesigen, öffentlichen Datensatz von Intensivpatienten (MIMIC-III), wobei sie die drei beschriebenen Krankenhäuser simulierten. Sie versuchten, drei Dinge vorherzusagen:

Wird der Patient im Krankenhaus sterben? (Innerklinische Mortalität – IHM)
Wird sich der Zustand des Patienten kritisch verschlechtern? (Dekompensation)
Welche Krankheiten hat der Patient? (Phänotypisierung)

Hier ist das „Fazit“ in Alltagssprache:

Die „Überlebens“-Vorhersage (IHM): Dies war der große Gewinner. Das System funktionierte sehr gut, fast so gut, als wären alle Daten an einem Ort gewesen. Selbst mit dem hinzugefügten Privatsphäre-„Rauschen“ konnte die KI das Überleben der Patienten mit hoher Genauigkeit vorhersagen. Es bewies, dass diese Methode für diese spezifische Aufgabe bereit ist.
Die „Verschlechterung“-Vorhersage (Dekompensation): Diese war wackelig. Manchmal funktionierte die KI gut, aber manchmal versagte sie völlig. Die Forscher fanden heraus, dass das System sehr empfindlich auf die Konfiguration reagierte. Es erreichte noch nicht eine Zuverlässigkeit, der Ärzte vertrauen könnten.
Die „Krankheitsart“-Vorhersage (Phänotypisierung): Auch diese hatte Schwierigkeiten. Selbst ohne jegliches Privatsphäre-Rauschen konnte das System die spezifischen Krankheiten nicht gut genug vorhersagen, um nützlich zu sein.

Das Gleichgewicht zwischen „Privatsphäre und Nützlichkeit“

Die Studie führte eine neue Methode zur Messung dieses Gleichgewichts ein, genannt PCMU.

Analogie: Stellen Sie sich vor, Sie kaufen ein Auto. Sie wollen, dass es schnell ist (nützlich), aber auch sicher (privat).
- Wenn Sie ohne Sicherheitsgurt fahren (keine Privatsphäre), sind Sie schnell, aber riskant unterwegs.
- Wenn Sie einen riesigen, schweren Stahlkäfig nutzen (zu viel Privatsphäre), sind Sie zwar sicher, aber das Auto bewegt sich kaum noch.
- Die Forscher fanden heraus, dass man bei der Vorhersage des Überlebens einen sehr starken Sicherheitsgurt tragen kann (starke Privatsphäre) und trotzdem noch schnell genug fährt, um nützlich zu sein. Aber bei den anderen Aufgaben würde sich das Auto selbst ohne den Käfig kaum bewegen.

Das Fazit

Die Arbeit kommt zu dem Schluss, dass PRISM-VFL ein erfolgreicher Bauplan für Krankenhäuser ist, um gemeinsam an KI zu arbeiten, ohne private Daten zu teilen.

Es funktioniert hervorragend bei der Vorhersage des Patientenüberlebens.
Es ist noch nicht bereit für die Vorhersage akuter Verschlechterungen oder spezifischer Krankheitsarten, da diese Aufgaben noch mehr Entwicklung benötigen, bevor sie für den realen Einsatz zuverlässig sind.
Das System gelang es erfolgreich, die „Lauschangriffe“ (Label-Inference-Angriffe) auf das Niveau von bloßem Raten zu senken, wenn eine starke Privatsphäre angewendet wurde.

Kurz gesagt: Sie haben ein sicheres, multizentrisches KI-Team für Krankenhäuser gebaut. Es ist ein Champion darin, vorherzusagen, wer sterben könnte, aber es ist noch ein Neuling darin, vorherzusagen, wer kränker wird oder welche spezifischen Krankheiten vorliegen.

Technische Zusammenfassung: PRISM-VFL

Problemstellung
Vertical Federated Learning (VFL) ermöglicht das kollaborative Training von Modellen über Institutionen hinweg, die komplementäre Patientenfunktionen besitzen, ohne Rohdaten zu teilen. Bestehende VFL-Frameworks stehen jedoch vor zwei kritischen Einschränkungen im klinischen Umfeld: (1) ihnen fehlt die Unterstützung für die gleichzeitige Optimierung heterogener Vorhersageaufgaben (Multi-Task Learning, oder MTL) unter formalen Datenschutzgarantien, und (2) sie setzen oft einen einzelnen aktiven Akteur oder einheitliche Aufgabenstrukturen voraus. In der realen Gesundheitsversorgung können Institutionen disjunkte Merkmalssets (z. B. Vitalparameter vs. Laborergebnisse) für dieselben Patienten halten, während sie gleichzeitig unterschiedliche klinische Ziele verfolgen (z. B. Mortalitätsprognose vs. Phänotypisierung). Darüber hinaus führt die Integration von Differential Privacy (DP) in das föderierte MTL komplexe Zielkonflikte ein; eine uniforme Rauschanwendung kann den Nutzen für hochpriorisierte Aufgaben beeinträchtigen, während die Wechselwirkung zwischen aufgabenspezifischer Sensitivität und gemeinsamen Repräsentationen bisher wenig erforscht ist.

Methodik
Die Studie stellt PRISM-VFL (Privacy-Resilient Institutional Split Multi-task VFL) vor, ein Framework, das für die heterogene Multi-Task-klinische Vorhersage entwickelt wurde.

Architektur: Das System folgt einem Split-Learning-Paradigma. Jede teilnehmende Seite (simuliert als drei Krankenhäuser) verarbeitet ihre lokalen Zeitreihenmerkmale mittels eines zwei-lagigen Long Short-Term Memory (LSTM)-Encoders, um ein 64-dimensionales Embedding zu erzeugen. Diese Embeddings werden an einen zentralen Server übertragen.
Serverseitige Verarbeitung: Der Server konkatiniert die Embeddings aller Seiten zu einem 192-dimensionalen Vektor. Dieser Vektor wird von einem Multi-gate Mixture-of-Experts (MMoE)-Modul verarbeitet, das aus vier geteilten Expert-Subnetzwerken und einem gelernten Softmax-Gate für jede Aufgabe besteht. Diese Architektur ermöglicht es den Aufgaben, durch unterschiedliche Experten-Spezialisierungen zu routen, was negativen Transfer minimiert.
Privacy-Mechanismus: Das Framework wendet Differentially Private Stochastic Gradient Descent (DP-SGD) spezifisch an der Cut-Layer an. Die vom Server an die Clients zurückgegebenen Gradienten der pro-Sample-Embeddings ( $\partial L/\partial \langle k$ ) werden geklippt und mit Gaußschem Rauschen perturbiert, bevor die lokalen Encoder aktualisiert werden. Die Studie evaluiert sowohl eine uniforme Rauschallokation als auch eine aufgaben-stratifizierte Rauschallokation, bei der die Rauschmultiplikatoren basierend auf der klinischen Dringlichkeit angepasst werden (z. B. geringeres Rauschen für die In-Hospital-Mortalität, um den Nutzen zu bewahren).
Datensatz und Simulation: Das Framework wurde auf einer vertikal partitionierten Version des MIMIC-III-Datensatzes evaluiert. Die 14 klinischen Variablen wurden über drei simulierte Standorte verteilt:
- Standort A: Vitalparameter (7 Variablen) mit der Aufgabe In-Hospital-Mortalität (IHM).
- Standort B: Laborergebnisse (4 Variablen) mit der Aufgabe Dekompensations-Risikostratifizierung.
- Standort C: Statische Messungen zum Aufnahmezeitpunkt (3 Variablen) mit der Aufgabe Phänotypisierung (25 Krankheitsgruppen).
- Die Patientenabgleichung erfolgte über eine Private Set Intersection (PSI) Simulation, wobei nur Patienten mit Intensivaufenthalten $\ge$ 48 Stunden beibehalten wurden.
Evaluierung: Die Studie nutzte eine umfassende Suite von Metriken, einschließlich AUC-ROC, Brier-Score und eines neuartigen Privacy-Communication-adjusted Multi-task Utility (PCMU) Scores. Zudem wurde eine theoretisch abgeleitete Multi-Task-Label-Inferenz-Schranke, $g(\sigma, \rho) = \Phi(C\sqrt{1+\rho}/\sigma)$ , eingeführt und gegen empirische Angriffe im Embedding-Raum (Label-Inferenz und Membership-Inferenz) validiert.

Kernbeiträge

Framework-Entwicklung: PRISM-VFL ist die erste VFL-Architektur, die gleichzeitig heterogene Aufgabensätze über vertikal partitionierte Standorte mit expliziten DP-Garantien unterstützt und dabei MMoE für aufgabenspezifisches Routing nutzt.
Pro-Aufgabe-Privacy-Analyse: Die Studie liefert eine granulare Analyse der Privacy-Utility-Trade-offs und zeigt auf, dass ein einzelner uniformer Rauschmultiplikator die aufgabenspezifische Instabilität nicht erfassen kann. Sie führt eine Methode zur Evaluierung klinischer Nutzentherden ( $\epsilon^*$ ) für einzelne Aufgaben innerhalb eines Multi-Task-Settings ein.
Theoretische und empirische Schranken: Eine theoretische Referenzschranke für die Multi-Task-Label-Inferenz wird abgeleitet und gegen eine empirische Angriffssuite validiert, wobei gezeigt wird, dass das MMoE-Routing die Multi-Task-Inferenzrisiken innerhalb der Grenzen der Single-Task-Inferenz hält, wenn die Gradienten-Kopplung gering ist.
Reproduzierbarer Benchmark: Die Autoren etablieren einen reproduzierbaren MIMIC-III-Vertical-Split-Benchmark, der sowohl Merkmale als auch Vorhersageziele partitioniert und so die zukünftige Forschung im Bereich Multi-Site Multi-Task VFL erleichtert.

Ergebnisse

Performance: PRISM erreichte einen mittleren AUC-ROC von 0,781 für IHM, 0,632 (mit hoher Cross-Seed-Varianz) für Dekompensation und 0,613 (Makro-AUC) für Phänotypisierung.
Multi-Task-Gewinn: Signifikante Gewinne wurden für die Dekompensation (+0,093 AUC) im Vergleich zu Single-Task-Baselines beobachtet, was auf den durch andere Standorte bereitgestellten physiologischen Kontext zurückzuführen ist. IHM und Phänotypisierung zeigten marginale Gewinne (+0,003 bzw. +0,002). Es wurde kein systematischer negativer Transfer über die Konfigurationen hinweg festgestellt.
Privacy-Utility-Trade-off:
- IHM: Blieb unter moderaten Privacy-Beschränkungen ( $\epsilon \in (1, 2)$ ) klinisch lebensfähig und hielt einen AUC-Wert über der Nutzenuntergrenze von 0,75.
- Dekompensation und Phäntotypisierung: Erreichten selbst in Abwesenheit von DP-Beschränkungen ( $\epsilon = \infty$ ) nicht ihre jeweiligen klinischen Nutzenuntergrenzen (0,70 und 0,65), was darauf hindeutet, dass die aktuelle Architektur und die Datenverteilung für diese spezifischen Aufgaben in dieser Konfiguration unzureichend sind.
- Stabilität: Die DP-Stochastik verursachte asymmetrische Instabilität. IHM zeigte die höchste Instabilität bei $\epsilon=1$ , bevor sie sich erholte, während Dekompensation und Phänotypisierung progressiv degradierten.
Privacy-Effektivität: Unter starkem Datenschutz ( $\epsilon = 0,5$ ) wurde die Label-Inferenz-Attacke auf nahezu zufällige Performance (AUC 0,498) unterdrückt. Membership-Inferenz-Angriffe blieben über alle Budgets hinweg ineffektiv, was auf die architektonischen Eigenschaften der VFL-Konfiguration und nicht allein auf DP zurückgeführt wird.
Ablationen: Die Studie fand heraus, dass das gelernte Gating in MMoE der primäre Treiber der Multi-Task-Vorteile war, nicht die erhöhte Kapazität. Interessanterweise bewahrten niedrigere Embedding-Dimensionen (32 vs. 128) den IHM-Nutzen unter starken Privacy-Beschränkungen besser.

Bedeutung und Ansprüche
Das Paper behauptet, dass PRISM-VFL die Machbarkeit von datenschutzfreundlichem, heterogenem vertikalem föderiertem Multi-Task-Learning demonstriert. Die Autoren betonen jedoch, dass die klinische Einsatzbereitschaft aufgabenabhängig ist. Unter den getesteten Bedingungen ist IHM die einzige Aufgabe, die die klinischen Nutzen-Schwellenwerte unter moderater Privacy erfüllt, während Dekompensation und Phänotypisierung weitere architektonische Entwicklungen oder eine Datenanreicherung benötigen, bevor sie eingesetzt werden können.

Die Studie positioniert PRISM nicht bloß als Leistungsbenchmark, sondern als methodologisches Template zur Evaluierung, welche klinischen Vorhersageprobleme für den föderierten Multi-Task-Einsatz geeignet sind. Sie hebt hervor, dass uniforme Privacy-Strategien für heterogene Aufgaben unzureichend sind und dass zukünftige Systeme aufgabenadaptive Kalibrierungsmechanismen erfordern. Die Arbeit etabliert eine Baseline für die Multi-Site-VFL-Forschung und räumt ein, dass die Ergebnisse auf einem einzigen Institution-Datensatz (MIMIC-III) aufgrund des Fehlens von Verteilungsverschiebungen, wie sie in echten Multi-Site-Einsätzen vorkommen, eine optimistische Schätzung der realen Performance darstellen.