Hospital Trust Aggregation for Multi-Hospital Medical Imaging under Non-IID Data and Malicious Clients: A Benchmark and Empirical Assessment

तकनीकी सारांश: मल्टी-हॉस्पिटल मेडिकल इमेजिंग के लिए हॉस्पिटल ट्रस्ट एग्रीगेशन

समस्या विवरण
फेडरेटेड लर्निंग (FL) अस्पतालों को रोगी रिकॉर्ड साझा किए बिना साझा नैदानिक मॉडल (diagnostic models) को प्रशिक्षित करने में सक्षम बनाता है, जो डेटा गोपनीयता और नियामक बाधाओं को संबोधित करता है। हालाँकि, वास्तविक दुनिया के क्लिनिकल कंसोर्टिया दो संचयी चुनौतियों का सामना करते हैं जो मानक एग्रीगेशन प्रोटोकॉल जैसे कि FedAvg को कमजोर करती हैं:

1. गंभीर Non-IID विषमता (Heterogeneity): अस्पताल के समूह रेफरल पैटर्न, केस मिक्स और कोहॉर्ट आकार में काफी भिन्न होते हैं। यह एक ऐसी स्थिति बनाता है जहाँ एक ईमानदार अस्पताल, जिसका केस मिक्स दुर्लभ या असामान्य है, मॉडल अपडेट उत्पन्न करता है जो सांख्यिकीय आउटलेयर (outliers) होते हैं, इसलिए नहीं कि वे दुर्भावनापूर्ण हैं, बल्कि इसलिए क्योंकि उनका डेटा वितरण अद्वितीय है।
2. दुर्भावनापूर्ण क्लाइंट्स (Malicious Clients): एक समझौता किया गया (compromised) अस्पताल डेटा पॉइजनिंग, बैकडोर हमलों, या अपडेट हेरफेर (जैसे, मॉडल रिप्लेसमेंट) के माध्यम से ग्लोबल मॉडल को निर्देशित कर सकता है।

पहचाना गया मुख्य तनाव यह है कि मजबूत एग्रीगेशन नियम, जो हमलों से बचाव के लिए "असामान्य" अपडेट को हटा देते हैं, एक वैध आउटलेयर (एक ईमानदार विशेषज्ञ केंद्र जिसके पास दुर्लभ मामले हैं) और एक शत्रुतापूर्ण आउटलेयर (एक समझौता किया गया नोड) के बीच अंतर करने में संघर्ष करते हैं। गंभीर विषमता के तहत, आक्रामक रक्षा तंत्र उन साइटों को बाहर करने का जोखिम उठाते हैं जिनके पास वे दुर्लभ स्थितियाँ हैं जिन्हें डायग्नोस करने के लिए फेडरेशन का लक्ष्य है।

कार्यप्रणाली: हॉस्पिटल ट्रस्ट एग्रीगेशन (HTA)
लेखक हॉस्पिटल ट्रस्ट एग्रीगेशन (HTA) का प्रस्ताव करते हैं, जो एक मल्टी-सिग्नल ट्रस्ट नियम है जिसे अपडेट को अलग-थलग करने के बजाय कई राउंड में मूल्यांकन करने के लिए डिज़ाइन किया गया है। HTA प्रत्येक अस्पताल के लिए एक प्रतिष्ठा स्कोर (reputation score) की गणना करता है जो तीन सीमित संकेतों (रेंज [0, 1]) पर आधारित है, जिन्हें गुणात्मक रूप से जोड़ा जाता है:

1. दिशात्मक सहमति (Directional Agreement - $s_h$): एक अस्पताल के अपडेट और सभी अपडेट के कोऑर्डिनेट-वाइज मीडियन (एक मजबूत सर्वसम्मति दिशा) के बीच रेक्टिफाइड कोसाइन सिमिलरिटी। जो अपडेट सर्वसम्मति दिशा से विपरीत दिशा में होते हैं, उन्हें शून्य क्रेडिट मिलता है।
2. परिमाण सुसंगतता (Magnitude Plausibility - $m_h$): एक अस्पताल के अपडेट नॉर्म और मीडियन अपडेट नॉर्म के लॉगरिदमिक अनुपात पर आधारित एक सिमेट्रिक पेनल्टी। यह अत्यधिक बढ़े हुए अपडेट (मॉडल रिप्लेसमेंट) और कम हुए अपडेट (फ्री-राइडिंग) दोनों को दंडित करता है।
3. रेफरेंस-कोहॉर्ट वैलिडेशन ($v_h$): सर्वर एक छोटे, क्यूरेटेड, विलग (disjoint) रेफरेंस कोहॉर्ट ($D_{root}$) पर अस्पताल के स्थानीय मॉडल का मूल्यांकन करता है। सिग्नल इस कोहॉर्ट पर बैलेंस्ड एक्यूरेसी है, जिसे राउंड के मीडियन के विरुद्ध सामान्यीकृत (normalized) किया गया है। यह डेटा-स्तरीय हमलों (जैसे, लेबल फ्लिपिंग) का पता लगाता है जो दिशा/परिमाण को बनाए रखते हैं लेकिन क्लिनिकल उपयोगिता को कम करते हैं।

प्रतिष्ठा और निष्कासन तर्क (Reputation and Exclusion Logic):

• फ्यूजन: संकेतों को $\tau_h = s_h^a m_h^b v_h^c$ के रूप में संयोजित किया जाता है। इसकी गुणात्मक प्रकृति यह सुनिश्चित करती है कि किसी भी एक आयाम में शून्य के करीब स्कोर वाला अस्पताल अपना प्रभाव कम कर देता है, जिससे एक हमलावर को एक सिग्नल में विफलता की भरपाई दूसरे सिग्नल में उत्कृष्टता प्राप्त करके करने से रोका जा सके।
• प्रतिष्ठा स्मूथिंग (Reputation Smoothing): स्कोर को एक्सपोनेंशियल मूविंग एवरेज (EMA) के माध्यम से स्मूथ किया जाता है और इसके अपने वेरिएंस के लिए दंडित किया जाता है। यह "अल्टरनेटिंग" रणनीतियों को हतोत्साहित करता है जहाँ एक हमलावर अपने औसत स्कोर को छिपाने के लिए कुछ राउंड में सौम्य व्यवहार करता है और कुछ में दुर्भावनापूर्ण।
• निष्कासन मानदंड: एक अस्पताल को केवल तभी बाहर किया जाता है जब वह दो शर्तों को एक साथ पूरा करता है:
  1. वह एक सांख्यिकीय आउटलेयर है (स्कोर $< \mu - \lambda \cdot \text{MAD}$)।
  2. वह सर्वसम्मति से काफी नीचे है (स्कोर $< \kappa \cdot \mu$)।
     यह दोहरा मानदंड यह सुनिश्चित करने के लिए डिज़ाइन किया गया है कि विषम वितरण के निचले टेल (lower tail) में मौजूद ईमानदार लेकिन असामान्य अस्पतालों को बाहर न किया जाए।

प्रायोगिक सेटअप और बेंचमार्क
यह पेपर सात बेसलाइन्स (FedAvg, FedProx, Coordinate-wise Median, Trimmed Mean, Krum, Multi-Krum, FLTrust) के विरुद्ध HTA का मूल्यांकन करने के लिए एक पुनरुत्पादनीय (reproducible) बेंचमार्क पेश करता है।

• डेटासेट्स: DermaMNIST (गंभीर क्लास इम्बैलेंस के साथ 7-क्लास डर्मेटोस्कोपिक डायग्नोसिस) और PneumoniaMNIST (बाइनरी चेस्ट रेडियोग्राफी)।
• विषमता (Heterogeneity): IID से लेकर गंभीर लेबल स्क्यू ($\alpha=0.1$) और मात्रात्मक स्क्यू तक पांच रेजिम्स।
• हमले (Attacks): छह हमले जिनमें डेटा-स्तरीय (लेबल फ्लिपिंग, बैकडोर) और अपडेट-स्तरीय (साइन फ्लिपिंग, स्केलिंग, ALIE, IPM) शामिल हैं, हमलावर अंश 5% से 30% तक।
• मेट्रिक्स: क्लिनिकल (बैलेंस्ड एक्यूरेसी, वर्स्ट-क्लास रिकॉल, प्रति-हॉस्पिटल्स एक्यूरेसी), सुरक्षा (अटैक सक्सेस रेट), और फेयरनेस।

मुख्य परिणाम

1. विषमता बनाम हमलावर: विषमता प्रमुख चुनौती है। IID से गंभीर लेबल स्क्यू ($\alpha=0.1$) की ओर जाने पर बैलेंस्ड एक्यूरेसी में 16.4 अंकों की गिरावट आई, जबकि हमलावरों के कारण 7.2 अंकों की गिरावट हुई।
2. HTA का प्रदर्शन:
   • डेटा-स्तरीय हमले: HTA प्रतिस्पर्धी प्रदर्शन करता है, अक्सर लेबल फ्लिपिंग और बैकडोर हमलों पर सर्वश्रेष्ठ बेसलाइन्स के बराबर या उनसे आगे रहता है।
   • अपडेट-स्तरीय हमले: साइन फ्लिपिंग और स्केलिंग हमलों पर HTA, Multi-Krum से काफी पीछे रह जाता है (क्रमशः 4.9 और 6.7 अंकों का अंतर)। Multi-Krum का कोहेरेंट सबसेट का ज्यामितीय चयन, HTA की रीवेटिंग रणनीति की तुलना में अधिक प्रभावी साबित होता है जब अपडेट ज्योमेट्री को मैनिपुलेट किया जाता है।
   • स्केल: 20 अस्पतालों पर, HTA, Multi-Krum से 5.7 अंक पीछे रह जाता है।
   • दूसरा कोहॉर्ट: PneumoniaMNIST पर, HTA सभी स्थितियों में FLTrust से 12-19 अंक पीछे रहता है, जिसका कारण कार्य की बाइनरी प्रकृति है जो वैलिडेशन सिग्नल की विभेदक शक्ति (discriminative power) को कम कर देती है।
3. क्लीन एक्यूरेसी: इस आम धारणा के विपरीत कि मजबूती (robustness) क्लीन एक्यूरेसी के साथ समझौता करती है, अधिकांश मजबूत नियमों (HTA सहित) ने FedAvg की तुलना में उच्च क्लीन एक्यूरेसी प्राप्त की (जैसे, HTA +4.6 अंक, Multi-Krum +5.9 अंक)। यह वेरिएंस रिडक्शन के कारण है: मजबूत नियम विषम सेटिंग्स में ईमानदार आउटलेर्स के शोर को कम करते हैं।
4. एब्लेशन निष्कर्ष (Ablation Findings):
   • मैग्निट्यूड सिग्नल: अपडेट-मैग्निट्यूड सिग्नल ($m_h$) ने किसी भी हमले के प्रकार के तहत कोई मापने योग्य लाभ नहीं दिया। इसे हटाने से प्रदर्शन में गिरावट नहीं आई। लेखक निष्कर्ष निकालते हैं कि डिरिचलेट स्क्यू के तहत, एक असामान्य नॉर्म, एक दुर्लभ ईमानदार केस मिक्स के संकेतक के रूप में उतना ही विश्वसनीय है जितना कि एक हमले के रूप में, जिससे यह सिग्नल अनइंफॉर्मेटिव और संभावित रूप से हानिकारक हो जाता है।
   • प्रतिष्ठा और दिशा: प्रतिष्ठा मेमोरी और दिशात्मक सहमति मुख्य चालक थे।
5. डिटेक्शन विफलता: गंभीर विषमता और लेबल फ्लिपिंग के तहत, ईमानदार और दुर्भावनापूर्ण अस्पतालों के लिए प्रतिष्ठा स्कोर पूरी तरह से अभिसरित (converged) और ओवरलैप हो गए। नियम दोनों आबादी को सफलतापूर्वक अलग करने में विफल रहा; इसकी सफलता हमलावरों का पता लगाने के बजाय वेरिएंस को कम करने (damping variance) के कारण थी।

महत्व और दावे
यह पेपर खुद को एक नए स्टेट-ऑफ-द-आर्ट समाधान के रूप में नहीं, बल्कि एक बेंचमार्क और एक नकारात्मक परिणाम के रूप में प्रस्तुत करता है।

• बेंचमार्क: यह एक कठोर, पुनरुत्पादनीय मूल्यांकन ढांचा प्रदान करता है जो क्लिनिकल मेट्रिक्स (बैलेंस्ड एक्यूरेसी, फेयरनेस) को सुरक्षा मेट्रिक्स के साथ एकीकृत करता है, जो यह प्रकट करता है कि वे रक्षात्मक उपाय जो अल्पसंख्यक-क्लास रिकॉल का बलिदान देते हैं, क्लिनिकल रूप से बेकार हैं।
• नकारात्मक परिणाम: लेखक निष्कर्ष निकालते हैं कि अपडेट मैग्निट्यूड पर आधारित ट्रस्ट सिग्नल चिकित्सा वास्तविकता वाली विषमता में जीवित नहीं रह पाता है; इसके अलावा, इन संकेतों पर बना प्रतिष्ठा सिस्टम डेटा-स्तरीय हमलों के तहत ईमानदार और दुर्भावनापूर्ण अस्पतालों के बीच अंतर करने में विफल रहता है।
• तंत्र स्पष्टीकरण: HTA और अन्य मजबूत नियमों के देखे गए लाभ हमलावर का पता लगाने के बजाय वेरिएंस डैम्पिंग (ईमानदार आउटलेर्स के शोर को दबाना) से आते हैं।
• भविष्य की दिशा: लेखक सुझाव देते हैं कि प्रभावी घटक उनका वह प्रतिष्ठा सिस्टम है जो नॉर्म क्लिपिंग के साथ दिशात्मक सहमति द्वारा संचालित है, और मैग्निट्यूड सिग्नल को हटा दिया जाना चाहिए। वे अनुकूलित हमलावरों (adaptive adversaries) के विरुद्ध भविष्य के कार्य और सुरक्षित एग्रीगेशन जैसी गोपनीयता-संरक्षण तकनीकों के साथ तनाव को संबोधित करने की आवश्यकता पर जोर देते हैं।