Riepilogo Tecnico: FPLIER – Estrattore di Informazioni a Livello di Pathway Federato

1. Enunciato del Problema

Nella trascrittomica, i metodi di fattorizzazione consapevoli dei set di geni, come l'Estrattore di Informazioni a Livello di Pathway (PLIER), raggiungono prestazioni ottimali quando addestrati su grandi compendi di espressione eterogenei. Tuttavia, molte coorti clinicamente rilevanti non possono essere raggruppate in un unico dataset centralizzato a causa di preoccupazioni sulla privacy, requisiti normativi e politiche di governance dei dati. Sebbene l'Apprendimento Federato (FL) offra un quadro per l'addestramento collaborativo senza aggregazione dei dati, i flussi di lavoro FL standard (progettati per il deep learning con aggiornamenti basati sul gradiente) non si allineano naturalmente con PLIER. PLIER si basa su aggiornamenti algebrici lineari in forma chiusa e vincoli strutturali basati sui set di geni, richiedendo una riformulazione dedicata per funzionare in un ambiente distribuito. Inoltre, è necessario comprendere i rischi per la privacy di tale fattorizzazione di matrici federata, in particolare per quanto riguarda gli attacchi di inferenza dell'appartenenza, che sono stati meno studiati in questo contesto rispetto al deep learning.

2. Metodologia

2.1. Il Framework FPLIER

FPLIER è una riformulazione federata di PLIER progettata per abilitare l'addestramento collaborativo tra più detentori di dati, mantenendo i dati grezzi di espressione genica in locale. Il protocollo opera sotto un modello di minaccia onesta ma curiosa, in cui il server e i client seguono il protocollo ma potrebbero tentare di inferire informazioni aggiuntive dalle quantità osservate.

Meccanismo Principale:

• Partizionamento dei Dati: La matrice di espressione genica $Y$ è partizionata per colonne (campioni) tra $N$ client. Ogni client $i$ possiede un dataset privato $Y^{priv}_i$ e gli viene assegnata una porzione di un dataset pubblico condiviso $Y^{pub}_i$.
• Variabili Globali vs Locali:
  • Locali: Ogni client mantiene la propria matrice di espressione $Y_i$ e la corrispondente rappresentazione latente $B_i$ in locale. Queste non vengono mai condivise.
  • Globali: La matrice di carico genico $Z$, la matrice di associazione dei set di geni $U$ e la matrice di appartenenza ai set di geni $C$ sono parametri globali condivisi tra il consorzio.
• Aggregazione Sicura: Gli aggiornamenti di addestramento in PLIER dipendono da prodotti di matrici come $YY^\top$, $YB^\top$ e $BB^\top$. In FPLIER, queste quantità sono calcolate in modo additivo tra i client ($\sum Y_i Y_i^\top$, ecc.) utilizzando il protocollo SecAgg+. Ciò garantisce che il server veda solo la somma aggregata, non i contributi individuali dei client.
• Equivalenza Algebrica: Poiché gli aggiornamenti dipendono dai dati solo attraverso queste somme aggregate, FPLIER produce aggiornamenti di addestramento algebricamente equivalenti a un approccio PLIER centralizzato (a parte lievi differenze numeriche), preservando la struttura matematica del metodo originale.

Fasi del Protocollo:

1. Passaggi Preliminari: Il server distribuisce porzioni di dati pubblici ai client. I client concatenano i propri dati privati con la propria porzione pubblica, eseguono divisioni locali per addestramento/holdout e partecipano a una standardizzazione z-score federata.
2. Addestramento Federato: I client aggiornano iterativamente le matrici locali e aggregano in modo sicuro i prodotti di matrici necessari per aggiornare $Z$ e $U$ globali.
3. Valutazione Post-Rilascio (Opzionale): I client possono valutare localmente la sensibilità del modello agli attacchi di inferenza dell'appartenenza utilizzando i propri set di holdout prima del rilascio del modello.

2.2. Strategia di Valutazione della Privacy

Gli autori valutano il rischio per la privacy attraverso attacchi di inferenza dell'appartenenza in due scenari:

1. Attacco durante l'Addestramento: Un server onesto ma curioso tenta di determinare se un campione specifico fosse nel set di addestramento utilizzando la matrice aggregata simile a una covarianza $YY^\top$ osservata durante l'inizializzazione. L'attacco utilizza l'analisi delle componenti principali (PCA) su $YY^\top$ per proiettare i campioni candidati; i campioni di addestramento tipicamente producono residui di ricostruzione più piccoli.
2. Attacco Post-Rilascio: Un avversario esterno utilizza i parametri del modello rilasciati ($Z$ e $\lambda_2$) per ricostruire i campioni e misurare la correlazione di rango di Spearman tra i profili originali e quelli ricostruiti.

3. Contributi Chiave

• Formulazione FPLIER: La prima formulazione federata di un metodo di fattorizzazione consapevole dei set di geni per l'analisi trascrittomica, adattando specificamente la procedura di ottimizzazione di PLIER per l'addestramento distribuito.
• Validazione Empirica: Dimostrazione che FPLIER converge in modo stabile e produce decomposizioni statisticamente indistinguibili da PLIER centralizzato in consorzi simulati (impostazioni K–CLIER e MultiPLIER).
• Analisi del Rango-Privacy: Un'analisi sistematica che rivela che il rischio di inferenza dell'appartenenza è governato dal rango della matrice di espressione di addestramento. Lo studio identifica che aumentare il rapporto campioni-caratteristiche ($n/p$) o incorporare dati pubblici sposta il sistema verso un "regime a rango pieno", dove i campioni di addestramento e non di addestramento diventano indistinguibili per gli attaccanti.
• Nuova Analisi Post-Rilascio: La prima presentazione dei rischi di inferenza dell'appartenenza per i modelli PLIER centrali standard addestrati, mostrando che gli stessi principi basati sul rango si applicano ai modelli rilasciati.

4. Risultati Sperimentali

Gli autori hanno valutato FPLIER utilizzando dataset dagli studi K–CLIER (biologia renale) e MultiPLIER (trascrittomica generale), simulando consorzi federati con diverse proporzioni di dati pubblici (da 0% a 100%).

• Utilità del Modello: FPLIER ha convergito in modo affidabile. I test di Kolmogorov–Smirnov sulle correlazioni di ricostruzione gene-per-gene non hanno mostrato differenze statisticamente significative tra FPLIER e PLIER centralizzato.
• Attacchi durante l'Addestramento:
  • Nei regimi a rango carente (basso $n/p$, pochi dati pubblici), il server poteva raggiungere un AUROC quasi perfetto (vicino a 1.0) nel distinguere i campioni di addestramento dai campioni di holdout.
  • Man mano che venivano aggiunti dati pubblici o la dimensionalità veniva ridotta, $n/p$ aumentava. Una volta che il sistema si avvicinava al regime a rango pieno ($n/p \approx 1$), le prestazioni dell'attacco crollavano bruscamente verso una scommessa casuale (AUROC $\approx 0.5$).
• Attacchi Post-Rilascio:
  • Sono state osservate tendenze simili: l'efficacia dell'attacco diminuiva all'aumentare del rango dei dati di addestramento.
  • Tuttavia, gli attacchi post-rilascio erano generalmente meno efficaci di quelli durante l'addestramento e presentavano maggiore variabilità tra i client, probabilmente a causa dell'influenza della regolarizzazione e dei vincoli sui set di geni sullo spazio latente.
• Riduzione della Dimensionalità: Ridurre lo spazio delle caratteristiche (ad esempio, a 2.000 geni in K–CLIER) spostava il sistema in un regime a rango pieno a dimensioni campionarie più piccole, mitigando significativamente l'efficacia degli attacchi.

5. Significato e Affermazioni

Il documento afferma che FPLIER fornisce una soluzione pragmatica e proporzionata per l'analisi trascrittomica collaborativa di fronte a vincoli di governance dei dati. Il suo significato principale risiede in:

1. Abilitazione della Collaborazione: Permette alle istituzioni di sfruttare simultaneamente grandi dataset pubblici eterogenei e coorti private senza centralizzare dati grezzi sensibili, aderendo a quadri normativi come il GDPR.
2. Definizione dei Confini della Privacy: Il lavoro stabilisce che per i metodi di fattorizzazione di matrici come PLIER, la privacy non è un binario assoluto ma una funzione del rango dei dati. Fornisce una linea guida pratica: i consorzi dovrebbero mirare a operare in un regime a rango pieno (ottenuto tramite integrazione di dati pubblici o riduzione della dimensionalità) per mitigare naturalmente i rischi di inferenza dell'appartenenza senza necessariamente ricorrere alla privacy differenziale, che può degradare l'utilità del modello.
3. Safeguard Operativi: Il protocollo include un meccanismo integrato per consentire ai client di valutare localmente il rischio per la privacy prima del rilascio del modello, permettendo loro di bloccare il rilascio se il modello risulta eccessivamente sensibile alla loro specifica distribuzione di dati.

Gli autori mantengono una posizione modesta, notando che le loro garanzie di privacy sono empiriche piuttosto che formali (a differenza della privacy differenziale) e che lo studio è limitato a un modello di minaccia onesto ma curioso. Suggeriscono che un lavoro futuro potrebbe incorporare meccanismi di privacy formali ed esplorare la decomposizione ai valori singolari federata per ridurre ulteriormente l'esposizione durante l'inizializzazione.