Privacy-Utility Tradeoffs in Hierarchical Federated Learning Under Combined Differential Privacy and CKKS Homomorphic Encryption for Distributed Healthcare Networks

Resumen Técnico: Compromisos entre Privacidad y Utilidad en el Aprendizaje Federado Jerárquico bajo la Combinación de Privacidad Diferencial y Cifrado Homomórfico CKKS

Planteamiento del Problema

La integración de la Inteligencia Artificial en la atención médica enfrenta obstáculos operativos significativos relacionados con la privacidad y la seguridad de los datos. Los sistemas centralizados presentan puntos únicos de falla, lo que pone en riesgo el cumplimiento de regulaciones como el GDPR y HIPAA. Aunque el Aprendizaje Federado (FL) permite el entrenamiento colaborativo sin compartir datos brutos, los enfoques actuales de preservación de la privacidad suelen abordar la Privacidad Diferencial (DP) y el Cifrado Homomórfico (HE) de forma aislada.

• Las implementaciones solo de DP protegen contra ataques de inferencia en las actualizaciones del modelo, pero dejan los parámetros en texto plano expuestos durante la transmisión, fallando en garantizar la confidencialidad de la misma.
• Los esquemas solo de HE aseguran la transmisión, pero a menudo no logran cuantificar el costo de precisión debido a la inyección de ruido o la interacción entre el cifrado y la utilidad del modelo.
• Existen enfoques híbridos, pero carecen de una evaluación sistemática del compromiso entre privacidad y utilidad dentro de un entorno de Aprendizaje Federado Jerárquico (HFL) a través de distintos presupuestos de privacidad ($\epsilon$).

Consecuentemente, existe una brecha no cuantificada sobre si la combinación de DP a nivel de cliente con HE a nivel de institución introduce una degradación de la precisión medible más allá de la inyección de ruido de la DP por sí sola, específicamente en el contexto de redes de salud distribuidas.

Metodología

Los autores proponen un marco de HFL de tres niveles diseñado para reflejar la estructura organizacional de las redes de salud distribuidas (Clientes $\to$ Instituciones $\to$ Agregador Global). El sistema integra dos mecanismos de privacidad distintos:

1. DP $(\epsilon, \delta)$ a nivel de cliente: Aplicada localmente en cada cliente antes de la transmisión. Esto implica el recorte de gradientes (a una norma $C$) y la inyección de ruido Gaussiano calibrado ($\sigma$) para limitar la fuga de información.
2. HE CKKS a nivel de institución: El esquema Cheon-Kim-Kim-Song (CKKS) se aplica para cifrar las actualizaciones privatizadas. Las instituciones agregan estos criptogramas directamente utilizando la propiedad homomórfica aditiva de CKKS, desencriptando únicamente la media ponderada final antes de enviarla al agregador global.

Configuración Experimental:

• Conjuntos de Datos: MNIST (dígitos escritos a mano) y MIT-BIH Arrhythmia (señales de ECG), que representan modalidades de imágenes y formas de onda fisiológicas.
• Topología: Tres instituciones, cada una con tres clientes.
• Presupuestos de Privacidad: Evaluados a través de $\epsilon \in \{2, 4, 6, 8\}$ con $\delta = 10^{-5}$.
• Configuración: Los parámetros de CKKS se fijaron (grado de módulo polinómico 8192, $n_{slots}=4096$) en todos los experimentos.
• Reproducibilidad: Los resultados se reportan como la media $\pm$ la desviación estándar sobre tres semillas aleatorias independientes (42, 123, 7).

Contribuciones Clave

1. Marco Integrado: Una arquitectura de FL jerárquica que impone DP a nivel de cliente y HE CKKS a nivel de institución, asegurando que no se expongan datos brutos ni actualizaciones de modelos en texto plano.
2. Evaluación Empírica Sistemática: Una evaluación rigurosa del compromiso entre privacidad y utilidad a través de dos conjuntos de datos relevantes para la salud y cuatro presupuestos de privacidad.
3. Aislamiento de la Degradación de la Utilidad: Una demostración empírica de que el HE CKKS introduce cero pérdida de precisión medible cuando se aplica a la agregación de gradientes. Esto aisla el ruido de la DP como la única fuente de degradación de la utilidad, estableciendo una separación clara entre los costos de privacidad (DP) y los costos de confidencialidad (HE).

Resultados

Precisión y Utilidad:

• Rendimiento Base: El flujo de trabajo HFL alcanzó una alta precisión sin mecanismos de privacidad: $99.65\%$ (MNIST) y $97.73\%$ (MIT-BIH).
• Impacto de DP: La DP introdujo una pérdida de precisión acotada.
  • MNIST: La pérdida osciló entre $1.88\%$ ($\epsilon=2$) y $1.25\%$ ($\epsilon=8$).
  • MIT-BIH: La pérdida osciló entre $12.23\%$ ($\epsilon=2$) y $6.15\%$ ($\epsilon=8$). La mayor pérdida en MIT-BIH se atribuye a la sensibilidad de la clasificación de ondas fisiológicas ante la perturbación de gradientes en comparación con los patrones de imagen.
• Impacto de HE: Al comparar las configuraciones solo de DP frente a DP+HE, no se reveló una brecha de precisión direccional. Por ejemplo, para $\epsilon=2$, la precisión de MNIST fue idéntica ($97.77\%$) para ambas configuraciones. La diferencia ($\Delta_{HE}$) fue efectivamente cero ($0.00\%$ a $\pm 0.01\%$), confirmando que el cifrado no degrada la utilidad del modelo.

Sobrecarga (Overhead):

• Costo Computacional: La sobrecarga de HE se concentra en el nivel del cliente.
  • El cifrado del lado del cliente representó la mayor parte del tiempo (por ejemplo, $4.42$s para MNIST y $9.74$s para MIT-BIH por ronda).
  • La agregación y el desencriptado a nivel de institución fueron ligeros ($1.00$s y$0.27$s para MNIST, respectivamente).
• Costo de Comunicación: La DP aumentó el tamaño de la actualización del modelo aproximadamente un $60\%$ debido a la inyección de ruido. El HE no introdujo ningún costo de comunicación adicional, ya que el tamaño del criptograma se gestionó dentro de la estructura de sobrecarga existente.

Significación y Reivindicaciones

El artículo afirma proporcionar una base empírica para el despliegue de FL con preservación de la privacidad en la salud, demostrando que:

1. La confidencialidad puede lograrse sin pérdida de utilidad: El uso de HE CKKS asegura la transmisión y la agregación sin comprometer el rendimiento predictivo, separando el costo de la confidencialidad del costo de la privacidad.
2. La DP es el principal cuello de botella de la utilidad: Toda la degradación de la precisión observada es atribuible al ruido de la DP, que disminuye monótonamente a medida que el presupuesto de privacidad se relaja.
3. Reproducibilidad: Los resultados son estables a través de semillas independientes, con desviaciones estándar por debajo del $0.13\%$ para MNIST y $1.31\%$ para MIT-BIH.

Los autores señalan limitaciones, específicamente que el uso de distribuciones de datos IID equilibradas aísla la señal de privacidad de la heterogeneidad de los datos, lo que significa que las pérdidas de precisión reportadas representan un límite inferior para despliegues heterogéneos. Además, el alcance actual limita el HE al nivel cliente-institución, dejando el nivel institución-global para futuras exploraciones mediante Computación Multipartita Segura (SMPC). La resiliencia bizantina y la auditabilidad mediante blockchain se excluyen explícitamente de este trabajo.