Privacy-Preserving Federated Autoencoder for ECG Anomaly Detection on Edge Devices

Sintesi Tecnica: Autoencoder Federato per la Preservazione della Privacy per il Rilevamento di Anomalie ECG su Dispositivi Edge

Problematica
Il monitoraggio continuo dell'elettrocardiogramma (ECG) offre il potenziale per rilevare anomalie del ritmo prima che queste si trasformino in eventi cardiovascolari. Tuttavia, l'implementazione di tali sistemi in contesti clinici reali affronta tre sfide simultanee e spesso contrastanti:

1. Conformità alla Privacy: I dati ECG dei pazienti sono altamente sensibili ai sensi di regolamenti come il GDPR e l'HIPAA. La centralizzazione dei dati per l'addestramento è spesso legalmente proibita. Sebbene l'Apprendimento Federato (FL) mantenga i dati locali, esso rimane vulnerabile ad attacchi di inversione del gradiente e di inferenza dell'appartenenza.
2. Efficienza Edge: I dispositivi di monitoraggio continuo sono tipicamente limitati nelle risorse (ad esempio, basati su ARM Cortex-A, come il Raspberry Pi 4). I modelli devono essere piccoli e abbastanza veloci per l'inferenza in tempo reale, eppure le tecniche di quantizzazione standard non sono state validate per la fedeltà di ricostruzione fine richiesta per il rilevamento non supervisionato delle anomalie.
3. Efficacia del Rilevamento: I modelli devono mantenere un'alta qualità di rilevamento quando addestrati su dati non-IID (non indipendenti e non identicamente distribuiti) tra diversi ospedali, uno scenario comune nella sanità distribuita.

La letteratura esistente affronta spesso questi problemi isolatamente o si concentra sulla classificazione supervisionata, lasciando un vuoto nel rilevamento di anomalie non supervisionato basato sulla ricostruzione che soddisfi simultaneamente garanzie formali di privacy, vincoli di implementazione edge e robustezza non-IID.

Metodologia
Gli autori propongono e valutano un sistema federato end-to-end progettato per il rilevamento non supervisionato di anomalie ECG a 12 derivazioni sul dataset PTB-XL. La pipeline integra quattro componenti principali:

1. Apprendimento Federato (FL): Il sistema simula dieci ospedali (client) utilizzando una distribuzione di Dirichlet ($\alpha=0.5$) per creare una partizione non-IID di 6.294 campioni ECG normali. Un server centrale aggrega gli aggiornamenti del modello utilizzando il Federated Averaging (FedAvg) su 50 round.
2. Architetture del Modello: Vengono valutate tre famiglie di autoencoder:
   • VanillaAE: Strati completamente connessi.
   • ConvAE: Encoder/decoder convoluzionale 1D con GroupNorm.
   • VAE: Autoencoder variazionale con trucco di riparametrizzazione.
     Tutti i modelli sono addestrati per ricostruire la morfologia cardiaca normale; le anomalie vengono segnalate in base all'elevato errore di ricostruzione (MSE).
3. Differential Privacy (DP): Per prevenire la fuga di privacy dagli aggiornamenti condivisi, il sistema impiega il Differentially Private Stochastic Gradient Descent (DP-SGD) lato client. I gradienti per singolo campione vengono tagliati (norma $L_2$ $C=1.0$) e viene iniettato rumore gaussiano. Il sistema utilizza un contabile Rényi-DP per tracciare il budget di privacy ($\epsilon, \delta$), con $\delta$ fissato a $10^{-5}$.
4. Implementazione Edge e Quantizzazione: I migliori modelli a virgola mobile a 32 bit (FP32) subiscono una quantizzazione post-addestramento (PTQ) a interi a 8 bit (INT8) senza ri-addestramento. I modelli finali sono testati su un Raspberry Pi 4 (architettura AArch64) per misurare la latenza e l'efficienza energetica.

Contributi Chiave
Il documento sostiene di essere il primo lavoro a valutare l'intersezione di Apprendimento Federato, $(\epsilon, \delta)$-DP formale, rilevamento di anomalie basato sulla ricostruzione non supervisionata e implementazione quantizzata su AArch64 per i dati ECG. I contributi specifici includono:

• Caratterizzazione Empirica della Composizione: Lo studio dimostra come FL, DP e quantizzazione interagiscano. Fondamentalmente, scopre che le penalità di prestazione di DP e quantizzazione sono empiricamente indipendenti, consentendo ai professionisti di attivarle entrambe simultaneamente senza una degradazione moltiplicativa.
• Analisi del Trade-off Privacy-Utilità: Attraverso uno sweep di cinque punti di $\epsilon$, gli autori identificano $\epsilon=4$ come un punto operativo raccomandato per i dati clinici. Osservano un "pavimento di utilità" a AUROC $\approx 0.610$; al di sotto di $\epsilon=4$, il rumore del gradiente sovrasta il segnale di ricostruzione, causando la convergenza del modello verso una mappatura banale.
• Validazione dell'Efficienza Edge: La quantizzazione INT8 riduce le dimensioni del modello di circa il 53% e diminuisce la latenza di inferenza sul Raspberry Pi 4 del 16,6% - 44,3% (un'accelerazione di 1,20–1,80$\times$) con una perdita di accuratezza trascurabile (<0,12% di degradazione dell'AUROC).
• Federazione come Regolarizzazione: In un risultato controintuitivo, l'addestramento federato ha migliorato significativamente le prestazioni dell'architettura VAE (+0,165 AUROC) rispetto al suo baseline centralizzato. Gli autori attribuiscono ciò al fatto che gli aggiornamenti dei client non-IID agiscono come regolarizzazione implicita, prevenendo il "collasso del posteriore" osservato nel VAE centralizzato.

Risultati

• Qualità del Rilevamento: Il ConvAE federato ha raggiunto le prestazioni più elevate con un AUROC di 0,782, eguagliando o superando i baseline centralizzati in tutte le architetture.
• Impatto della Privacy: Una privacy più forte ( $\epsilon$ minore) ha degradato monotonicamente le prestazioni. A $\epsilon=1$, le prestazioni hanno raggiunto il pavimento di utilità. A $\epsilon=4$, il sistema ha mantenuto un AUROC di circa 0,610–0,640 (a seconda dell'architettura), raddoppiando la garanzia formale di privacy rispetto a $\epsilon=8$.
• Metriche di Implementazione: La configurazione raccomandata (ConvAE INT8) ha ottenuto un AUROC di 0,787 con una dimensione del modello di 2,76 MB e una latenza di inferenza di 14,1 ms su un Raspberry Pi 4, consumando circa 56 mJ per inferenza.
• Prestazioni per Classe: Come rilevatore a classe singola non supervisionato, il sistema ha mostrato valori di AUROC vicini a 0,50 per specifiche classi anormali (MI, STTC, HYP, CD), confermando il suo ruolo di strumento di screening piuttosto che di classificatore diagnostico specifico. L'ipertrofia (HYP) è stata la classe più difficile da distinguere.

Significatività e Rivendicazioni
Il documento posiziona questo lavoro come un passo critico verso sistemi di monitoraggio cardiaco implementabili, etici e pratici.

• Necessità Etica: Gli autori sostengono che per i dati quasi-biometrici come l'ECG, le garanzie formali di privacy (DP) siano un prerequisito, non un miglioramento, per prevenire la re-identificazione tramite attacchi ai gradienti.
• Viabilità Pratica: Dimostrando che le configurazioni ad alta privacy ($\epsilon=4$) e alta efficienza (INT8) possono coesistere senza penalità composte, il sistema offre una via percorribile per lo screening in tempo reale su scala di popolazione su dispositivi edge.
• Limitazione dell'Ambito: Gli autori chiariscono con modestia che il sistema è progettato per lo screening e il triage per segnalare potenziali anomalie per la revisione di un cardiologo, non come strumento diagnostico autonomo per condizioni specifiche. Riconoscono i limiti riguardanti l'uso di un singolo dataset (PTB-XL), la partizione non-IID simulata e l'assunzione di un server "onesto ma curioso", notando che l'aggregazione sicura e la validazione su dataset incrociati sono passi futuri necessari.