💻 computer science

Privacy-Utility Tradeoffs in Hierarchical Federated Learning Under Combined Differential Privacy and CKKS Homomorphic Encryption for Distributed Healthcare Networks

Dieses Paper schlägt ein hierarchisches Federated-Learning-Framework für das Gesundheitswesen vor, das Differential Privacy auf Client-Ebene mit CKKS-homomorpher Verschlüsselung auf Institutionsebene integriert und zeigt, dass Differential Privacy zwar messbare Genauigkeitsverluste verursacht, die vom Privacy-Budget abhängen, homomorphe Verschlüsselung hingegen keine Nutzenverschlechterung einführt, wodurch die distinkten Privacy-Utility-Tradeoffs jedes Mechanismus isoliert und quantifiziert werden.

Ursprüngliche Autoren: Sayed Mohammed Alwedaei, Jenan Moosa

Veröffentlicht 2026-07-09

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Sayed Mohammed Alwedaei, Jenan Moosa

Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Gruppe von Krankenhäusern vor, die gemeinsam eine superintelligente medizinische KI entwickeln wollen. Sie möchten aus ihren kombinierten Daten lernen, um Krankheiten besser zu diagnostizieren, aber sie haben eine strikte Regel: Kein Krankenhaus darf jemals die Rohdaten der Patienten eines anderen Krankenhauses sehen. Es ist, als würde man versuchen, gemeinsam einen riesigen Kuchen zu backen, aber niemand darf das eigene geheime Familienrezept oder auch nur seine Schüssel mit Zutaten den anderen zeigen.

In dieser Arbeit geht es um ein neues „Rezept“ dafür, wie diese Krankenhäuser sicher zusammenarbeiten können. Die Autoren, Sayed Mohammed Alwedaei und Jenan Moosa, haben ein System namens Hierarchical Federated Learning (HFL) entwickelt. Stellen Sie sich das wie ein dreistöckiges Bürogebäude vor:

Die Clients (Erdgeschoss): Einzelne Ärzte oder Kliniken mit ihren eigenen Patientendaten.
Die Institutionen (Mittleres Stockwerk): Die Krankenhäuser oder großen medizinischen Zentren, die die Kliniken verwalten.
Der Global Aggregator (Oberstes Stockwerk): Das zentrale KI-Gehirn, das alles kombiniert.

Die zwei großen Probleme, die sie gelöst haben

Das Paper identifiziert zwei Hauptwege, wie die Privatsphäre in diesem Prozess verletzt werden kann:

Das „Leaky Bucket“-Problem (Privatsphäre): Selbst wenn man keine Rohdaten teilt, können die „Updates“ (die Lektionen, die die KI lernt) manchmal zu viel über die spezifischen Patienten verraten.
Das „Open Envelope“-Problem (Vertraulichkeit): Selbst wenn die Updates sicher vor dem Durchsickern von Geheimnissen sind, ist das Versenden dieser Updates über das Internet wie das Versenden einer Postkarte. Jeder, der die Post abfängt, kann sie lesen.

Die Lösung: Ein Doppelschließsystem

Die Autoren kombinierten zwei leistungsstarke Werkzeuge, um beide Probleme gleichzeitig zu lösen:

1. Differential Privacy (Die „Statik-Rauschen“-Maschine)
Stellen Sie sich vor, die Ärzte versuchen, der KI ein Geheimnis zuzuflüstern. Um sicherzustellen, dass niemand genau herausfinden kann, was sie gesagt haben, fügen sie ihrem Flüstern ein wenig „Statik-Rauschen“ hinzu.

Wie es funktioniert: Bevor die Lektion gesendet wird, fügt das System ein wenig zufälliges mathematisches Rauschen hinzu. Es ist, als würde man die Lautstärke eines Radios gerade so weit aufdrehen, dass die einzelne Stimme übertönt wird, aber das gesamte Lied (das KI-Modell) dennoch klar bleibt.
Der Kompromiss: Je mehr Rauschen man hinzufügt (um sicherer zu sein), desto schwieriger wird es für die KI, das Lied perfekt zu lernen. Das Paper testete verschiedene Mengen an Rauschen (sogenannte „Privacy Budgets“ von 2, 4, 6 und 8).
- Ergebnis: Bei einer einfachen Bildaufgabe (MNIST) machte das Hinzufügen von Rauschen die KI nur geringfügig weniger genau (etwa 1–2 % Abfall). Bei einer komplexen Herzrhythmus-Aufgabe (MIT-BIH) war der Abfall größer (bis zu 12 %), aber immer noch nutzbar. Die wichtigste Erkenntnis: Das Rauschen ist das einzige Element, das die KI weniger genau macht.

2. CKKS Homomorphic Encryption (Der „Magische Umschlag“)
Dies ist das zweite Schloss. Stellen Sie sich vor, Sie senden Ihre Lektion in einem versiegelten, magischen Umschlag, der geöffnet, gelesen und sogar mit anderen Umschlägen kombiniert werden kann, ohne jemals geöffnet werden zu müssen.

Wie es funktioniert: Die Krankenhäuser verschlüsseln ihre verrauschten Updates. Die Institutionen auf der mittleren Ebene können diese verschlüsselten Updates mathematisch zusammenrechnen, ohne die tatsächlichen Zahlen im Inneren jemals zu sehen. Es ist wie eine Gruppe von Menschen, die ihre Kontostände auf einem verschlossenen Taschenrechner addieren; der Rechner gibt die Gesamtsumme aus, aber niemand sieht die einzelnen Beträge.
Die Überraschung: Die Autoren wollten wissen: „Verlangsamt dieser magische Umschlag die KI oder macht sie weniger intelligent?“
- Ergebnis: Null. Das Paper behauptet, dass die Verwendung dieser Verschlüsselung keinerlei Genauigkeitsverlust verursacht. Die KI arbeitet mit den verschlüsselten Daten exakt so gut wie mit den verrauschten, aber unverschlüsselten Daten.

Die wichtigste Erkenntnis

Die bedeutendste Entdeckung in dieser Arbeit ist die Trennung der Kosten.

Privatsphäre-Kosten: Diese kommen durch das „Rauschen“ (Differential Privacy). Es beeinträchtigt die Genauigkeit ein wenig, hält aber Geheimnisse sicher.
Vertraulichkeits-Kosten: Diese kommen durch die „Verschlüsselung“ (Homomorphic Encryption). Es kostet ein wenig Zeit, die Umschläge zu schließen und zu öffnen, aber es schadet der Genauigkeit der KI überhaupt nicht.

Das Urteil

Die Autoren testeten dies mit zwei Datensätzen: handgeschriebenen Ziffern (MNIST) und Herzrhythmus-Daten (MIT-BIH). Sie fanden heraus:

Man kann ein sehr privates System haben, in dem die KI immer noch sehr intelligent ist.
Man kann diese privaten Updates sicher über das Internet versenden (unter Verwendung des „magischen Umschlags“), ohne die KI dadurch „dümmer“ zu machen.
Das System ist stabil; wenn man das Experiment drei Mal durchführt, erhält man fast exakt das gleiche Ergebnis jedes Mal.

Kurz gesagt: Dieses Paper beweist, dass man eine sichere, kollaborative medizinische KI bauen kann, bei der der Teil der „Privatsphäre“ sie zwar etwas weniger perfekt macht, aber der Teil der „Sicherheit“ (das Geheimhalten der Daten während der Übertragung) die Leistung überhaupt nicht beeinträchtigt. Es ist ein Win-Win für Sicherheit und Geschwindigkeit.

Technisches Resümee: Privacy-Utility-Tradeoffs in hierarchischem Federated Learning unter kombinierter Differential Privacy und CKKS-Homomorpher Verschlüsselung

Problemstellung

Die Integration von Künstlicher Intelligenz in das Gesundheitswesen steht vor erheblichen operativen Hindernissen hinsichtlich Datenschutz und Sicherheit. Zentralisierte Systeme stellen Single Points of Failure dar, die das Risiko von Verstößen gegen Regulierungen wie die DSGVO (GDPR) und HIPAA bergen. Während Federated Learning (FL) das kollaborative Training ermöglicht, ohne Rohdaten zu teilen, adressieren bestehende datenschutzwahrende Ansätze Differential Privacy (DP) und Homomorphe Verschlüsselung (HE) oft isoliert.

DP-only-Implementierungen schützen vor Inferenzangriffen auf Modell-Updates, lassen jedoch die Klartextparameter während der Übertragung exponiert, wodurch sie keine Garantie für die Vertraulichkeit der Übertragung bieten können.
HE-only-Schemata sichern die Übertragung, scheitern aber oft daran, die Genauigkeitskosten durch Rauschinjektion oder die Interaktion zwischen Verschlüsselung und Modellnutzen zu quantifizieren.
Hybride Ansätze existieren, es mangelt jedoch an einer systematischen Evaluierung des kombinierten Privacy-Utility-Tradeoffs innerhalb eines hierarchischen Federated Learning (HFL)-Settings über variierende Privacy-Budgets ( $\epsilon$ ) hinweg.

Folglich besteht eine unquantifizierte Lücke hinsichtlich der Frage, ob die Kombination von Client-Level DP mit Institution-Level HE eine messbare Genauigkeitsdegradation einführt, die über das Rauschen der DP allein hinausgeht, insbesondere im Kontext verteilter Gesundheitsnetzwerke.

Methodik

Die Autoren schlagen ein dreistufiges HFL-Framework vor, das die Organisationsstruktur verteilter Gesundheitsnetzwerke widerspiegelt (Clients $\to$ Institutionen $\to$ Globaler Aggregator). Das System integriert zwei distinkte Datenschutzmechanismen:

Client-Level $(\epsilon, \delta)$ -DP: Wird lokal bei jedem Client vor der Übertragung angewendet. Dies umfasst Gradient Clipping (auf Norm $C$ ) und die Injektion von kalibriertem Gaußschem Rauschen ( $\sigma$ ), um das Informationsleck zu begrenzen.
Institution-Level CKKS HE: Das Cheon-Kim-Kim-Song (CKKS) Schema wird angewendet, um die privatisierten Updates zu verschlüsseln. Institutionen aggregieren diese Ciphertexte direkt unter Nutzung der additiv homomorphen Eigenschaft von CKKS und entschlüsseln erst den finalen gewichteten Mittelwert, bevor sie diesen an den globalen Aggregator weiterleiten.

Experimenteller Aufbau:

Datensätze: MNIST (handgeschriebene Ziffern) und MIT-BIH Arrhythmia (EKG-Signale), welche Bild- und physiologische Wellenform-Modalitäten repräsentieren.
Topologie: Drei Institutionen, jede mit drei Clients.
Privacy-Budgets: Evaluierung über $\epsilon \in \{2, 4, 6, 8\}$ mit $\delta = 10^{-5}$ .
Konfiguration: Die CKKS-Parameter wurden über alle Experimente hinweg fixiert (Polynomial-Modulus-Grad 8192, $n_{slots}=4096$ ).
Reproduzierbarkeit: Die Ergebnisse werden als Mittelwert $\pm$ Standardabweichung über drei unabhängige Random Seeds (42, 123, 7) berichtet.

Kernbeiträge

Integriertes Framework: Eine hierarchische FL-Architektur, die Client-Level DP und Institution-Level CKKS HE erzwingt, wodurch sichergestellt wird, dass weder Rohdaten noch Klartext-Modell-Updates exponiert werden.
Systematische empirische Evaluierung: Eine rigorose Bewertung des Privacy-Utility-Tradeoffs über zwei gesundheitsrelevante Datensätze und vier Privacy-Budgets hinweg.
Isolation der Utility-Degradation: Eine empirische Demonstration, dass CKKS HE keinen messbaren Genauigkeitsverlust bei der Gradientenaggregation verursacht. Dies isoliert das DP-Rauschen als einzige Quelle der Utility-Degradation und etabliert eine klare Trennung zwischen den Kosten der Privatsphäre (DP) und den Kosten der Vertraulichkeit (HE).

Ergebnisse

Genauigkeit und Utility:

Baseline-Performance: Die HFL-Pipeline erreichte ohne Datenschutzmechanismen eine hohe Genauigkeit: $99,65\%$ (MNIST) und $97,73\%$ (MIT-BIH).
DP-Impact: DP führte zu einem begrenzten Genauigkeitsverlust.
- MNIST: Der Verlust reichte von $1,88\%$ ( $\epsilon=2$ ) bis $1,25\%$ ( $\epsilon=8$ ).
- MIT-BIH: Der Verlust reichte von $12,23\%$ ( $\epsilon=2$ ) bis $6,15\%$ ( $\epsilon=8$ ). Der höhere Verlust bei MIT-BIH wird der Sensitivität der Klassifizierung physiologischer Wellenformen gegenüber Gradienten-Perturbationen im Vergleich zu Bildmustern zugeschrieben.
HE-Impact: Ein Vergleich von DP-only vs. DP+HE-Konfigurationen zeigte keinen gerichteten Genauigkeitsunterschied. Beispielsweise war die MNIST-Genauigkeit bei $\epsilon=2$ für beide Konfigurationen identisch ( $97,77\%$ ). Die Differenz ( $\Delta_{HE}$ ) war effektiv null ( $0,00\%$ bis $\pm 0,01\%$ ), was bestätigt, dass Verschlüsselung den Modellnutzen nicht beeinträchtigt.

Overhead:

Rechenaufwand: Der HE-Overhead konzentriert sich auf die Client-Ebene.
- Die Verschlüsselung auf der Client-Seite machte den dominanten Anteil der Zeit aus (z. B. $4,42$s für MNIST, $9,74$s für MIT-BIH pro Runde).
- Die Aggregation und Entschlüsselung auf Institutionsebene waren leichtgewichtig ($1,00$s und $0,27$s für MNIST).
Kommunikationsaufwand: DP erhöhte die Größe der Modell-Updates um etwa $60\%$ aufgrund der Rauschinjektion. HE führte keine zusätzlichen Kommunikationskosten ein, da die Ciphertext-Größe innerhalb der bestehenden Overhead-Struktur verwaltet wurde.

Signifikanz und Ansprüche

Das Paper beansprucht, eine empirische Grundlage für den Einsatz von datenschutzwahrendem FL im Gesundheitswesen zu schaffen, indem es demonstriert, dass:

Vertraulichkeit kann ohne Utility-Verlust erreicht werden: Die Verwendung von CKKS HE sichert die Übertragung und Aggregation, ohne die Vorhersageleistung zu beeinträchtigen, wodurch die Kosten der Vertraulichkeit von den Kosten der Privatsphäre getrennt werden.
DP ist der primäre Utility-Engpass: Die gesamte beobachtete Genauigkeitsdegradation ist auf das DP-Rauschen zurückzuführen, welches monoton abnimmt, wenn sich das Privacy-Budget entspannt.
Reproduzierbarkeit: Die Ergebnisse sind über unabhängige Seeds hinweg stabil, mit Standardabweichungen unter $0,13\%$ für MNIST und $1,31\%$ für MIT-BIH.

Die Autoren weisen auf Limitationen hin, insbesondere dass die Verwendung von balancierten IID-Datenverteilungen das Privacy-Signal von der Datenheterogenität isoliert, was bedeutet, dass die berichteten Genauigkeitsverluste eine Untergrenze für heterogene Deployments darstellen. Zudem beschränkt sich der aktuelle Umfang auf HE vom Client-zu-Institution-Tier, wobei das Institution-zu-Global-Tier für zukünftige Untersuchungen mittels Secure Multi-Party Computation (SMPC) offen bleibt. Byzantine Resilience und Blockchain-Auditierbarkeit sind explizit nicht Teil dieser Arbeit.