Resumo Técnico: FPLIER – Extrator Federado de Informações ao Nível de Vias

1. Declaração do Problema

Na transcriptômica, métodos de fatoração conscientes de conjuntos de genes, como o Extrator de Informações ao Nível de Vias (PLIER), alcançam desempenho ótimo quando treinados em compêndios de expressão grandes e heterogêneos. No entanto, muitas coortes clinicamente relevantes não podem ser agrupadas em um único conjunto de dados centralizado devido a preocupações com privacidade, requisitos regulatórios e políticas de governança de dados. Embora a Aprendizagem Federada (FL) ofereça um quadro para treinamento colaborativo sem agrupamento de dados, os fluxos de trabalho padrão de FL (projetados para aprendizado profundo com atualizações baseadas em gradientes) não se alinham naturalmente com o PLIER. O PLIER depende de atualizações algébricas lineares de forma fechada e de restrições estruturais baseadas em conjuntos de genes, exigindo uma reformulação dedicada para funcionar em um ambiente distribuído. Além disso, há uma necessidade de compreender os riscos de privacidade dessa fatoração de matrizes federada, especificamente no que diz respeito a ataques de inferência de associação, que foram menos estudados neste contexto em comparação com o aprendizado profundo.

2. Metodologia

2.1. O Quadro FPLIER

O FPLIER é uma reformulação federada do PLIER projetada para permitir treinamento colaborativo entre múltiplos detentores de dados, mantendo os dados locais de expressão gênica privados. O protocolo opera sob um modelo de ameaça honesto, mas curioso, onde o servidor e os clientes seguem o protocolo, mas podem tentar inferir informações adicionais a partir de quantidades observadas.

Mecanismo Central:

• Particionamento de Dados: A matriz de expressão gênica $Y$ é particionada por colunas (amostras) entre $N$ clientes. Cada cliente $i$ possui um conjunto de dados privado $Y^{priv}_i$ e recebe uma fatia de um conjunto de dados público compartilhado $Y^{pub}_i$.
• Variáveis Globais vs. Locais:
  • Locais: Cada cliente retém sua matriz de expressão $Y_i$ e a representação latente correspondente $B_i$ localmente. Estas nunca são compartilhadas.
  • Globais: A matriz de carregamento gênico $Z$, a matriz de associação de conjuntos de genes $U$ e a matriz de pertencimento a conjuntos de genes $C$ são parâmetros globais compartilhados entre o consórcio.
• Agregação Segura: As atualizações de treinamento no PLIER dependem de produtos matriciais como $YY^\top$, $YB^\top$ e $BB^\top$. No FPLIER, essas quantidades são computadas aditivamente entre os clientes ($\sum Y_i Y_i^\top$, etc.) usando o protocolo SecAgg+. Isso garante que o servidor veja apenas a soma agregada, e não as contribuições individuais dos clientes.
• Equivalência Algébrica: Como as atualizações dependem dos dados apenas através dessas somas agregadas, o FPLIER produz atualizações de treinamento que são algebricamente equivalentes a uma abordagem centralizada de PLIER (até pequenas diferenças numéricas), preservando a estrutura matemática do método original.

Fases do Protocolo:

1. Passos Preliminares: O servidor distribui fatias de dados públicos aos clientes. Os clientes concatenam seus dados privados com sua fatia pública, realizam divisões locais de treinamento/validação e participam de uma padronização z-score federada.
2. Treinamento Federado: Os clientes atualizam iterativamente matrizes locais e agregam com segurança os produtos matriciais necessários para atualizar $Z$ e $U$ globais.
3. Avaliação Pós-lançamento (Opcional): Os clientes podem avaliar localmente a sensibilidade do modelo a ataques de inferência de associação usando seus conjuntos de validação antes que o modelo seja lançado.

2.2. Estratégia de Avaliação de Privacidade

Os autores avaliam o risco de privacidade através de ataques de inferência de associação em dois cenários:

1. Ataque durante o Treinamento: Um servidor honesto, mas curioso, tenta determinar se uma amostra específica estava no conjunto de treinamento usando a matriz agregada semelhante à covariância $YY^\top$ observada durante a inicialização. O ataque usa análise de componentes principais (PCA) em $YY^\top$ para projetar amostras candidatas; amostras de treinamento tipicamente produzem resíduos de reconstrução menores.
2. Ataque Pós-lançamento: Um adversário externo usa os parâmetros do modelo lançados ($Z$ e $\lambda_2$) para reconstruir amostras e medir a correlação de posto de Spearman entre os perfis originais e reconstruídos.

3. Contribuições Principais

• Formulação FPLIER: A primeira formulação federada de um método de fatoração consciente de conjuntos de genes para análise transcriptômica, adaptando especificamente o procedimento de otimização do PLIER para treinamento distribuído.
• Validação Empírica: Demonstração de que o FPLIER converge de forma estável e produz decomposições estatisticamente indistinguíveis do PLIER centralizado em consórcios simulados (cenários K–CLIER e MultiPLIER).
• Análise de Risco-Rank: Uma análise sistemática revelando que o risco de inferência de associação é governado pelo rank da matriz de expressão de treinamento. O estudo identifica que aumentar a razão amostra-recursos ($n/p$) ou incorporar dados públicos move o sistema para um "regime de posto completo", onde amostras de treinamento e não treinamento tornam-se indistinguíveis para atacantes.
• Análise Pós-lançamento Inovadora: A primeira apresentação de riscos de inferência de associação para modelos padrão de PLIER treinados centralmente, mostrando que os mesmos princípios baseados em rank se aplicam a modelos lançados.

4. Resultados Experimentais

Os autores avaliaram o FPLIER usando conjuntos de dados dos estudos K–CLIER (biologia renal) e MultiPLIER (transcriptômica geral), simulando consórcios federados com proporções variáveis de dados públicos (0% a 100%).

• Utilidade do Modelo: O FPLIER convergiu de forma confiável. Testes de Kolmogorov–Smirnov sobre correlações de reconstrução gene a gene mostraram nenhuma diferença estatisticamente significativa entre FPLIER e PLIER centralizado.
• Ataques durante o Treinamento:
  • Em regimes de rank deficiente (baixo $n/p$, poucos dados públicos), o servidor poderia alcançar um AUROC quase perfeito (próximo de 1,0) na distinção de amostras de treinamento de amostras de validação.
  • À medida que dados públicos eram adicionados ou a dimensionalidade era reduzida, $n/p$ aumentava. Uma vez que o sistema se aproximava do regime de posto completo ($n/p \approx 1$), o desempenho do ataque caía abruptamente em direção ao chute aleatório (AUROC $\approx 0,5$).
• Ataques Pós-lançamento:
  • Tendências semelhantes foram observadas: a eficácia do ataque diminuiu à medida que o rank dos dados de treinamento aumentava.
  • No entanto, os ataques pós-lançamento foram geralmente menos eficazes do que os ataques durante o treinamento e exibiram mais variabilidade entre os clientes, provavelmente devido à influência da regularização e das restrições de conjuntos de genes no espaço latente.
• Redução de Dimensionalidade: Reduzir o espaço de recursos (por exemplo, para 2.000 genes no K–CLIER) deslocou o sistema para um regime de posto completo em tamanhos de amostra menores, mitigando significativamente a eficácia do ataque.

5. Significado e Alegações

O artigo afirma que o FPLIER fornece uma solução pragmática e proporcional para análise transcriptômica colaborativa diante de restrições de governança de dados. Seu significado principal reside em:

1. Habilitar Colaboração: Permite que instituições aproveitem conjuntos de dados públicos grandes e heterogêneos e coortes privadas simultaneamente sem centralizar dados brutos sensíveis, aderindo a quadros regulatórios como o GDPR.
2. Definir Limites de Privacidade: O trabalho estabelece que, para métodos de fatoração de matrizes como o PLIER, a privacidade não é um binário absoluto, mas uma função do rank dos dados. Fornece uma diretriz prática: consórcios devem visar operar em um regime de posto completo (alcançado via integração de dados públicos ou redução de dimensionalidade) para mitigar naturalmente os riscos de inferência de associação sem necessariamente recorrer à privacidade diferencial, que pode degradar a utilidade do modelo.
3. Salvaguardas Operacionais: O protocolo inclui um mecanismo embutido para que os clientes avaliem localmente o risco de privacidade antes do lançamento do modelo, permitindo-lhes bloquear o lançamento se o modelo for considerado excessivamente sensível à sua distribuição de dados específica.

Os autores mantêm uma postura modesta, observando que suas garantias de privacidade são empíricas e não formais (ao contrário da privacidade diferencial) e que o estudo é limitado a um modelo de ameaça honesto, mas curioso. Eles sugerem que trabalhos futuros poderiam incorporar mecanismos formais de privacidade e explorar a decomposição em valores singulares federada para reduzir ainda mais a exposição durante a inicialização.