Hospital Trust Aggregation for Multi-Hospital Medical Imaging under Non-IID Data and Malicious Clients: A Benchmark and Empirical Assessment

Résumé Technique : Agrégation de la Confiance Hospitalière pour l'Imagerie Médicale Multi-Hôpitaux

Énoncé du Problème
L'apprentissage fédéré (FL) permet aux hôpitaux d'entraîner des modèles de diagnostic partagés sans échanger de dossiers de patients, répondant ainsi aux contraintes de confidentialité des données et de réglementation. Cependant, les consortiums cliniques réels font face à deux défis cumulatifs qui sapent les protocoles d'agrégation standards comme FedAvg :

1. Hétérogénéité Non-IID Sévère : Les cohortes hospitalières diffèrent considérablement en termes de modèles de référence, de mix de cas et de tailles de cohortes. Cela crée un scénario où un hôpital honnête possédant un mélange de cas rares ou inhabituels produit des mises à jour de modèles qui sont des valeurs aberrantes statistiques, non pas parce qu'ils sont malveillants, mais parce que leur distribution de données est unique.
2. Clients Malveillants : Un hôpital compromis peut détourner le modèle global via l'empoisonnement de données, des attaques par porte dérobée (backdoor) ou la manipulation de mises à jour (ex: remplacement de modèle).

La tension centrale identifiée est que les règles d'agrégation robustes, qui rejettent typiquement les mises à jour « inhabituelles » pour se défendre contre les attaques, peinent à distinguer un outlier légitime (un centre spécialisé honnête avec des cas rares) d'un outlier hostile (un nœud compromis). Sous une hétérogénéité sévère, les mécanismes de défense agressifs risquent d'exclure les sites mêmes qui détiennent les conditions rares que la fédération vise à diagnostiquer.

Méthodologie : Agrégation de la Confiance Hospitalière (HTA)
Les auteurs proposent l'Agrégation de la Confiance Hospitalière (HTA), une règle de confiance multi-signaux conçue pour évaluer les hôpitaux sur plusieurs tours plutôt qu'en isolation. L'HTA calcule un score de réputation pour chaque hôpital basé sur trois signaux bornés (plage [0, 1]), fusionnés de manière multiplicative :

1. Accord Directionnel ($s_h$) : La similitude cosinus rectifiée entre la mise à jour d'un hôpital et la médiane par coordonnée de toutes les mises à jour (une direction de consensus robuste). Les mises à jour pointant à l'opposé du consensus reçoivent un crédit nul.
2. Plausibilité de l'Amplitude ($m_h$) : Une pénalité symétrique basée sur le ratio logarithmique de la norme de la mise à jour de l'hôpital par rapport à la norme de la mise à jour médiane. Cela pénalise à la fois les mises à jour gonflées (remplacement de modèle) et les mises à jour réduites (free-riding).
3. Validation par Cohorte de Référence ($v_h$) : Le serveur évalue le modèle local de l'hôpital sur une petite cohorte de référence disjointe et curatée ($D_{root}$). Le signal est l'exactitude équilibrée (balanced accuracy) sur cette cohorte, normalisée par rapport à la médiane du tour. Cela permet de détecter les attaques au niveau des données (ex: inversion de labels) qui préservent la direction et l'amplitude de la mise à jour mais dégradent l'utilité clinique.

Logique de Réputation et d'Exclusion :

• Fusion : Les signaux sont combinés sous la forme $\tau_h = s_h^a m_h^b v_h^c$. La nature multiplicative garantit qu'un score proche de zéro dans n'importe quelle dimension supprime l'influence d'un hôpital, empêchant un adversaire de compenser une défaillance dans un signal en excellant dans un autre.
• Lissage de la Réputation : Le score est lissé via une moyenne mobile exponentielle (EMA) et pénalisé par sa propre variance. Cela décourage les stratégies « alternées » où un attaquant se comporte de manière bénigne dans certains tours et malveillante dans d'autres pour masquer son score moyen.
• Critères d'Exclusion : Un hôpital est exclu uniquement s'il satisfait simultanément à deux conditions :
  1. Il est une valeur aberrante statistique (score $< \mu - \lambda \cdot \text{MAD}$).
  2. Il est matériellement en dessous du consensus (score $< \kappa \cdot \mu$).
     Cette double condition est conçue pour éviter l'exclusion d'hôpitaux honnêtes mais atypiques qui sont simplement dans la queue inférieure d'une distribution hétérogène.

Configuration Expérimentale et Benchmark
Le papier introduit un benchmark reproductible pour évaluer l'HTA contre sept baselines (FedAvg, FedProx, Médiane par coordonnée, Moyenne tronquée, Krum, Multi-Krum, FLTrust).

• Datasets : DermaMNIST (diagnostic dermatoscopique à 7 classes avec un déséquilibre de classe sévère) et PneumoniaMNIST (radiographie thoracique binaire).
• Hétérogénéité : Cinq régimes allant de l'IID à un biais de label sévère ($\alpha=0.1$) et un biais de quantité.
• Attaques : Six attaques incluant des attaques au niveau des données (inversion de labels, backdoor) et au niveau des mises à jour (inversion de signe, mise à l'échelle, ALIE, IPM), avec des fractions d'adversaires de 5% à 30%.
• Métriques : Cliniques (exactitude équilibrée, rappel de la pire classe, exactitude par hôpital), Sécurité (taux de succès de l'attaque) et Équité (Fairness).

Résultats Clés

1. Hétérogénéité vs Adversaires : L'hétérogénéité est le défi dominant. Passer de l'IID à un biais de label sévère ($\alpha=0.1$) a provoqué une chute de 16,4 points de l'exactitude équilibrée, tandis que les adversaires ont causé une chute de 7,2 points.
2. Performance de l'HTA :
   • Attaques au niveau des Données : L'HTA est compétitive, menant souvent ou égalant les meilleures baselines sur les attaques d'inversion de labels et de backdoor.
   • Attaques au niveau des Mises à Jour : L'HTA est nettement surpassée par Multi-Krum sur les attaques d'inversion de signe et de mise à l'échelle (écarts de 4,9 et 6,7 points, respectivement). La sélection géométrique d'un sous-ensemble cohérent par Multi-Krum s'avère plus efficace que la stratégie de repondération de l'HTA lorsque la géométrie de la mise à jour est manipulée.
   • Échelle : À 20 hôpitaux, l'HTA perd de 5,7 points face à Multi-Krum.
   • Seconde Cohorte : Sur PneumoniaMNIST, l'HTA est moins performante que FLTrust de 12 à 19 points dans toutes les conditions, ce qui est attribué à la nature binaire de la tâche qui réduit le pouvoir discriminatoire du signal de validation.
3. Exactitude sur Données Saines (Clean Accuracy) : Contrairement à la croyance commune selon laquelle la robustesse se fait au détriment de l'exactitude sur données saines, la plupart des règles robustes (y compris l'HTA) ont obtenu une exactitude plus élevée que FedAvg (ex: HTA +4,6 points, Multi-Krum +5,9 points). Ceci est attribué à la réduction de la variance : les règles robustes atténuent le bruit provenant des outliers honnêtes extrêmes dans les contextes hétérogènes.
4. Résultats d'Ablation :
   • Signal d'Amplitude : Le signal de l'amplitude de mise à jour ($m_h$) n'a apporté aucun bénéfice mesurable sous aucun type d'attaque. Supprimer ce signal n'a pas dégradé la performance. Les auteurs concluent que sous un biais de Dirichlet, une norme inhabituelle est un indicateur de cas honnêtes rares aussi fiable qu'un indicateur d'attaque, rendant ce signal peu informatif et potentiellement nuisible.
   • Réputation et Direction : La mémoire de la réputation et l'accord directionnel sont les principaux moteurs de la performance.
5. Échec de Détection : Sous une hétérogénéité sévère et une inversion de labels, les scores de réputation des hôpitaux honnêtes et malveillants ont complètement convergé et se sont chevauchés. La règle n'a pas réussi à séparer les deux populations ; son succès est dû à l'atténuation de la variance plutôt qu'à la détection des adversaires.

Signification et Revendications
Le papier se positionne non pas comme une nouvelle solution d'état de l'art, mais comme un benchmark et un résultat négatif.

• Le Benchmark : Il fournit un cadre d'évaluation rigoureux et reproductible qui intègre des métriques cliniques (exactitude équilibrée, équité) avec des métriques de sécurité, révélant que les défenses sacrifiant le rappel des classes minoritaires sont cliniquement inutiles.
• Le Résultat Négatif : Les auteurs concluent qu'un signal de confiance basé sur l'amplitude de mise à jour ne survit pas à une hétérogénéité médicalement réaliste. De plus, un système de réputation construit sur ces signaux échoue à distinguer les hôpitaux honnêtes des hôpitaux malveillants lors d'attaques au niveau des données dans des contextes hétérogènes.
• Clarification du Mécanisme : Les bénéfices observés de l'HTA et d'autres règles robustes proviennent de l'atténuation de la variance (suppression du bruit des outliers honnêtes) plutôt que de la détection d'adversaires.
• Directions Futures : Les auteurs suggèrent que la composante efficace de leur méthode est un système de réputation piloté par l'accord directionnel avec un écrêtage de la norme, et que le signal d'amplitude devrait être abandonné. Ils soulignent la nécessité de travaux futurs contre les adversaires adaptatifs qui connaissent les signaux de confiance, et pour traiter la tension entre l'inspection par mise à jour et les techniques de préservation de la confidentialité comme l'agrégation sécurisée.