Privacy-preserving federated tensor decomposition of single-cell immune data: recovering multicellular programs across institutions

Sintesi Tecnica: Decomposizione tensoriale federata preservante la privacy di dati immunologici single-cell

Problematica
Gli atlanti di sequenziamento dell'RNA a singola cella (single-cell RNA sequencing) vengono sempre più assemblati attraverso molteplici istituzioni, ascendenze e biobanche. Sebbene la decomposizione tensoriale centralizzata (specificamente il framework scITD) si sia dimostrata efficace nel recuperare i "programmi multicellulari" — assi coordinati di variazione trascrizionale che attraversano molteplici tipi cellulari e stratificano le malattie — questi metodi richiedono l'aggregazione dei dati grezzi. Nella pratica, i profili single-cell derivati da pazienti sono governati da rigorosi vincoli di consenso e protezione dei dati che spesso precludono la centralizzazione. I metodi federati esistenti per il single-cell affrontano la correzione del batch, la classificazione dei tipi cellulari o la mappatura QTL, ma nessuno affronta il recupero di programmi multicellulari tramite decomposizione tensoriale, in particolare in contesti in cui i siti potrebbero non osservare gli stessi tipi cellulari (apprendimento federato verticale).

Metodologia
Gli autori propongono un estimatore federato per la decomposizione tensoriale multicellulare che opera su un tensore donatore $\times$ tipo cellulare $\times$ gene. I dati sono rappresentati come pseudobulk (conteggi UMI sommati per donatore per tipo cellulare), normalizzati e centrati.

1. Federazione a Pannello Completo (FL Orizzontale):

   • Protocollo: Ogni sito $s$ possiede un sottoinsieme di donatori. I siti calcolano un sottospazio locale a bassa dimensionalità del programma eseguendo una decomposizione singolare troncata (SVD) su una matrice di dati locale globalmente centrata ($X_s - \bar{x}$).
   • Aggregazione: Invece di condividere cellule grezze o punteggi dei donatori, i siti trasmettono solo i loadings scalati ($M_s = \Sigma^{(K)}_s V^{(K)\top}_s$). Un coordinatore li fonde impilando le matrici ed eseguendo una SVD globale.
   • Centratura: Una componente critica è la centratura della media globale federata. I siti scambiano prima le medie per sito per calcolare una media globale $\bar{x}$, che viene poi utilizzata per centrare i dati locali prima della SVD. Questa operazione è dimostrabilmente equivalente (fino all'errore di troncamento) alla decomposizione centralizzata e garantisce la robustezza contro il confondimento da etichetta del sito (ad esempio, quando un sito ha una frazione di casi sbilanciata).
   • Privacy: L'aggregazione è una sommatoria, il che la rende compatibile con la Secure Aggregation (SecAgg), garantendo che il coordinatore veda solo l'aggregato e non i contributi dei singoli siti.

2. Federazione a Pannello Incompleto (FL Verticale):

   • Scenario: I siti condividono i donatori ma osservano insiemi disgiunti di tipi cellulari (feature partizionate). La PCA federata a feature fisse non può applicarsi qui.
   • Protocollo: I siti calcolano blocchi locali di "donatore-gramma" $G_s = (X_s - \bar{x})(X_s - \bar{x})^\top$ sui loro specifici blocchi di colonne dei tipi cellulari.
   • Aggregazione: Il coordinatore somma questi blocchi ($G = \sum G_s$) per ricostruire la matrice Gram completa e centralizzata. La decomposizione in autovalori di $G$ fornisce i punteggi condivisi dei donatori. I siti calcolano quindi i loadings per i loro tipi cellulari specifici, che vengono concatenati per formare il programma completo.
   • Privacy: Rivelare la matrice del donatore Gram espone la struttura a livello di donatore (massima perdita di informazioni). Per mantenere la privacy, l'accoppiamento (somma ed autodecomposizione) deve essere eseguito sotto Crittografia Omomorfica (HE) o Multiparty Computation (MPC), rilasciando solo i loadings finali del programma.

Contributi Chiave

1. Recupero FL Verticale: Il primo metodo per recuperare programmi multicellulari completi quando nessun singolo sito osserva tutti i tipi cellulari, utilizzando l'accoppiamento sul modo donatore per coprire tipi cellulari non visti da alcun sito individuale.
2. Estimatore Robusto al Confondimento: Una strategia di fusione federata che utilizza la centratura della media globale, che evita la degradazione della qualità del programma sotto un severo sbilanciamento delle etichette tra i siti (ad esempio, un sito che contiene il 90% dei casi), un fallimento tipico della centratura per sito ingenua.
3. Valutazione della Privacy: Una rigorosa valutazione dell'attacco di inferenza sull'appartenenza (MIA) che quantifica la perdita di informazioni. Lo studio dimostra che mentre la rivelazione dei sottospazi per sito o dei Grammi del donatore è altamente vulnerabile (MIA AUC $\approx$ 0.9–1.0), l'uso della Secure Aggregation per lo schema a pannello completo o di HE/MPC per lo schema a pannello incompleto riduce la perdita di informazioni a livelli quasi casuali (MIA AUC $\approx$ 0.61).
4. Mappa di Utilità Cross-Tissue: Una delineazione empirica di quando il recupero multicellulare fornisce un vantaggio predittivo rispetto all'analisi del singolo tipo cellulare, identificando che il metodo supera i baseline single-cell principalmente nei tessuti con forte coordinazione tra i tipi cellulari (malattie fibrotiche).

Risultati

• Recupero Fedele: Su un atlante di 261 donatori con Lupus Eritematoso Sistemico (SLE), l'estimatore federato ha recuperato il programma multicellulare canonico dell'interferone con una correlazione di sottospazio di 0.967 e una separazione del fenotipo AUC di 0.958, statisticamente indistinguibile dal risultato centralizzato ($\Delta$AUC = -0.000).
• Robustezza: Il metodo ha mantenuto le prestazioni attraverso divisioni multi-ascendenza e divisioni avversarie di coorte di elaborazione (0% vs 90% di casi). Su un atlante reale di COVID-19 diviso tra tre istituzioni del Regno Unito, la correlazione del sottospazio federato era 0.989.
• Pannelli Incompleti: Quando i tipi cellulari di SLE sono stati partizionati in pannelli disgiunti, l'accoppiamento del donatore-gramma ha recuperato il programma completo con correlazione di sottospazio esatta (1.000 per costruzione), un traguardo impossibile per la PCA federata a feature fisse.
• Utilità Predittiva:
  • Malattia Polmonare Interstiziale (ILD): Il programma multicellulare ha superato significativamente il miglior singolo tipo cellulare (AUC 0.959 vs 0.910), catturando un asse fibrotico che attraversa circa 24 tipi cellulari.
  • Colangite Fibrosante (Fegato): Ha corroborato il risultato della ILD, sebbene la piccola dimensione della coorte ($n=16$) limiti affermazioni definitive.
  • Altri Tessuti: Nei coorti di sangue (SLE, COVID), intestino, rene e cuore dove un singolo compartimento spesso domina il segnale, il programma multicellulare ha raggiunto la parità con il miglior singolo tipo cellulare ma non lo ha superato.
• Privacy: La secure aggregation ha ridotto l'AUC dell'inferenza sull'appartenenza da 0.906 (coordinatore curioso che vede i sottospazi per sito) a 0.609 (solo il sottospazio fuso).

Significatività e Rivendicazioni
Il documento sostiene di colmare il divario tra l'utilità biologica della decomposizione tensoriale multicellulare e i vincoli di governance dei dati multi-istituzionali. Il contributo principale è un recupero federato fedele e privato di programmi coordinati stabiliti. Gli autori affermano esplicitamente che il metodo "giustifica il suo costo" (ovvero, fornisce un vantaggio predittivo rispetto all'analisi single-cell) specificamente in contesti con forte coordinazione tra i tipi cellulari (tessuti fibrotici), pur rimanendo un meccanismo di recupero privato e fedele in altri contesti.

Il lavoro non pretende di risolvere la Differential Privacy (DP) formale per le attuali dimensioni delle coorti, osservando che il recupero di sottospazi privati statisticamente significativi richiede dimensioni campionarie ($n$) superiori agli attuali atlanti single-cell. Invece, si affida alla Secure Aggregation e alle valutazioni di inferenza sull'appartenenza per fornire garanzie di privacy pratiche. Lo studio stabilisce una tassonomia degli oggetti rilasciati (sottospazi vs Grammi vs punteggi) e dei relativi rischi di privacy, offrendo una via pratica per l'analisi cross-istituzionale e cross-ascendenza dei programmi immunitari senza condividere cellule grezze.