Hospital Trust Aggregation for Multi-Hospital Medical Imaging under Non-IID Data and Malicious Clients: A Benchmark and Empirical Assessment

Sintesi Tecnica: Aggregazione della Fiducia Ospedaliera per l'Imaging Medico Multi-Ospedaliero

Definizione del Problema
L'apprendimento federato (FL) consente agli ospedali di addestrare modelli diagnostici condivisi senza scambiare le cartelle cliniche dei pazienti, affrontando i vincoli relativi alla privacy dei dati e alle normative. Tuttavia, i consorzi clinici reali affrontano due sfide composte che minano i protocolli di aggregazione standard come FedAvg:

1. Eterogeneità Non-IID Severa: Le coorti ospedaliere differiscono significativamente per modelli di invio, mix di casi e dimensioni delle coorti. Ciò crea uno scenario in cui un ospedale onesto con un mix di casi rari o insoliti produce aggiornamenti del modello che sono outlier statistici, non perché siano malevoli, ma perché la loro distribuzione dei dati è unica.
2. Clienti Maliziosi: Un ospedale compromesso può deviare il modello globale tramite avvelenamento dei dati (data poisoning), attacchi backdoor o manipolazione degli aggiornamenti (ad es., sostituzione del modello).

La tensione centrale identificata è che le regole di aggregazione robuste, che tipicamente scartano gli aggiornamenti "insoliti" per difendersi dagli attacchi, faticano a distinguere tra un outlier legittimo (un centro specialistico onesto con casi rari) e un outlier ostile (un nodo compromesso). Sotto una severa eterogeneità, i meccanismi di difesa aggressivi rischiano di escludere proprio quei siti che detengono le condizioni rare che la federazione mira a diagnosticare.

Metodologia: Hospital Trust Aggregation (HTA)
Gli autori propongono la Hospital Trust Aggregation (HTA), una regola di fiducia multi-segnale progettata per valutare gli ospedali su più round piuttosto che in isolamento. HTA calcola un punteggio di reputazione per ogni ospedale basato su tre segnali limitati (intervallo [0, 1]), fusi moltiplicativamente:

1. Accordo Direzionale ($s_h$): La similarità del coseno rettificata tra l'aggiornamento di un ospedale e la mediana per coordinata di tutti gli aggiornamenti (una direzione di consenso robusta). Gli aggiornamenti che puntano lontano dal consenso ricevono credito zero.
2. Plausibilità della Magnitudo ($m_h$): Una penalità simmetrica basata sul rapporto logaritmico tra la norma dell'aggiornamento di un ospedale e la norma dell'aggiornamento mediano. Questo penalizza sia gli aggiornamenti gonfiati (sostituzione del modello) sia quelli ridotti (free-riding).
3. Validazione della Coorte di Riferimento ($v_h$): Il server valuta il modello locale dell'ospedale su una piccola coorte di riferimento curata e disgiunta ($D_{root}$). Il segnale è l'accuratezza bilanciata su questa coorte, normalizzata rispetto alla mediana del round. Questo rileva attacchi a livello di dati (ad es., label flipping) che preservano la direzione e la magnitudo dell'aggiornamento ma degradano l'utilità clinica.

Logica di Reputazione ed Esclusione:

• Fusione: I segnali sono combinati come $\tau_h = s_h^a m_h^b v_h^c$. La natura moltiplicativa assicura che un punteggio vicino allo zero in uno qualsiasi dei singoli segmenti sopprima l'influenza di un ospedale, impedendo a un avversario di compensare una carenza in un segnale eccellendo in un altro.
• Smoothing della Reputazione: Il punteggio è smussato tramite una Media Mobile Esponenziale (EMA) ed è penalizzato per la propria varianza. Ciò scoraggia le strategie "alternate" in cui un attaccante si comporta in modo benigno in alcuni round e malevolo in altri per mascherare il proprio punteggio medio.
• Criteri di Esclusione: Un ospedale viene escluso solo se soddisfa due condizioni simultaneamente:
  1. È un outlier statistico (punteggio $< \mu - \lambda \cdot \text{MAD}$).
  2. È materialmente al di sotto del consenso (punteggio $< \kappa \cdot \mu$).
     Questa doppia condizione è progettata per evitare l'esclusione di ospedali onesti ma atipici che si trovano semplicemente nella coda inferiore di una distribuzione eterogenea.

Configurazione Sperimentale e Benchmark
Il documento introduce un benchmark riproducibile per valutare HTA contro sette baseline (FedAvg, FedProx, Coordinate-wise Median, Trimmed Mean, Krum, Multi-Krum, FLTrust).

• Dataset: DermaMNIST (diagnosi dermatoscopica a 7 classi con severo squilibrio di classe) e PneumoniaMNIST (radiografia del torace binaria).
• Eterogeneità: Cinque regimi che vanno da IID a severo skew delle etichette ($\alpha=0.1$) e skew della quantità.
• Attacchi: Sei attacchi inclusi quelli a livello di dati (label flipping, backdoor) e a livello di aggiornamento (sign flipping, scaling, ALIE, IPM), con frazioni di avversari dal 5% al 30%.
• Metriche: Cliniche (accuratezza bilanciata, recall della classe peggiore, accuratezza per ospedale), di Sicurezza (tasso di successo dell'attacco) e di Equità (Fairness).

Risultati Chiave

1. Eterogeneità vs. Avversari: L'eterogeneità è la sfida dominante. Passare da IID a un severo label skew ($\alpha=0.1$) ha causato un calo di 16,4 punti nell'accuratezza bilanciata, mentre gli avversari hanno causato un calo di 7,2 punti.
2. Performance di HTA:
   • Attacchi a livello di dati: HTA performa in modo competitivo, spesso guidando o pareggiando con le migliori baseline su attacchi di label flipping e backdoor.
   • Attacchi a livello di aggiornamento: HTA è significativamente superata da Multi-Krum sugli attacchi sign flipping e scaling (scarti di 4,9 e 6,7 punti, rispettivamente). La selezione geometrica di un sottoinsieme coerente operata da Multi-Krum si dimostra più efficace della strategia di riponderazione di HTA quando la geometria dell'aggiornamento viene manipolata.
   • Scala: A 20 ospedali, HTA perde rispetto a Multi-Krum di 5,7 punti.
   • Seconda Coorte: Su PneumoniaMNIST, HTA sottoperforma rispetto a FLTrust di 12–19 punti in tutte le condizioni, a causa della natura binaria del compito che riduce il potere discriminativo del segnale di validazione.
3. Accuratezza su Dati Puliti (Clean Accuracy): Contrariamente alla comune convinzione che la robustezza comporti un compromesso con la clean accuracy, la maggior parte delle regole robuste (incluse HTA) ha ottenuto un'accuratezza pulita maggiore rispetto a FedAvg (ad es., HTA +4,6 punti, Multi-Krum +5,9 punti). Ciò è attribuito alla riduzione della varianza: le regole robuste attenuano il rumore degli outlier onesti ma estremi nelle impostazioni eterogenee.
4. Risultati dell'Ablazione:
   • Segnale di Magnitudo: Il segnale di magnitudo dell'aggiornamento ($m_h$) ha fornito nessun beneficio misurabile sotto alcun tipo di attacco. Rimuoverlo non ha degradato le prestazioni. Gli autori concludono che, sotto lo skew di Dirichlet, una norma insolita è un indicatore affidabile di un mix di casi rari tanto quanto lo è di un attacco, rendendo questo segnale non informativo e potenzialmente dannoso.
   • Reputazione e Direzione: La memoria della reputazione e l'accordo direzionale sono stati i principali motori delle prestazioni.
   • Fallimento della Rilevazione: Sotto severa eterogeneità e label flipping, i punteggi di reputazione per gli ospedali onesti e maliziosi si sono completamente sovrapposti e convergenti. La regola non è riuscita a separare le due popolazioni; il suo successo è dovuto all'attenuazione della varianza piuttosto che alla rilevazione degli avversari.

Significato e Rivendicazioni
Il documento posiziona se stesso non come una nuova soluzione allo stato dell'arte, ma come un benchmark e un risultato negativo.

• Il Benchmark: Fornisce un quadro di valutazione rigoroso e riproducibile che integra metriche cliniche (accuratezza bilanciata, fairness) con metriche di sicurezza, rivelando che le difese che sacrificano la recall delle classi minoritarie sono clinicamente inutili.
• Il Risultato Negativo: Gli autori concludono che un segnale di fiducia basato sulla magnitudo dell'aggiornamento non sopravvive all'eterogeneità medicalmente realistica. Inoltre, un sistema di reputazione costruito su questi segnali fallisce nel distinguere tra ospedali onesti e maliziosi sotto attacchi a livello di dati in contesti eterogenei.
• Chiarificazione del Meccanismo: I benefici osservati di HTA e altre regole robuste derivano dall'attenuazione della varianza (soppressione del rumore degli outlier onesti) piuttosto che dalla rilevazione dell'avversario.
• Direzione Futura: Gli autori suggeriscono che la componente efficace del loro metodo è un sistema di reputazione guidato dall'accordo direzionale con clipping della norma, mentre il segnale di magnitudo dovrebbe essere rimosso. Enfatizzano la necessità di futuri lavori contro avversari adattivi che conoscono i segnali di fiducia e per affrontare la tensione tra l'ispezione per singolo aggiornamento e le tecniche di preservazione della privacy come l'aggregazione sicura.