Privacy-Utility Tradeoffs in Hierarchical Federated Learning Under Combined Differential Privacy and CKKS Homomorphic Encryption for Distributed Healthcare Networks

Resumo Técnico: Trade-offs entre Privacidade e Utilidade em Aprendizado Federado Hierárquico sob Privacidade Diferencial Combinada e Criptografia Homomórfica CKKS

Declaração do Problema

A integração da Inteligência Artificial na saúde enfrenta obstáculos operacionais significativos relativos à privacidade e segurança dos dados. Sistemas centralizados apresentam pontos únicos de falha, arriscando violações de regulamentações como o GDPR e a HIPAA. Embora o Aprendizado Federado (FL) permita o treinamento colaborativo sem o compartilhamento de dados brutos, as abordagens de preservação de privacidade existentes frequentemente tratam a Privacidade Diferencial (DP) e a Criptografia Homomórfica (HE) de forma isolada.

• Implementações apenas com DP protegem contra ataques de inferência em atualizações de modelos, mas deixam os parâmetros em texto simples expostos durante a transmissão, falhando em garantir a confidencialidade da transmissão.
• Esquemas apenas com HE protegem a transmissão, mas frequentemente falham em quantificar o custo de acurácia da injeção de ruído ou a interação entre a criptografia e a utilidade do modelo.
• Abordagens híbridas existem, mas carecem de uma avaliação sistemática do trade-off entre privacidade e utilidade dentro de um cenário de Aprendizado Federado Hierárquico (HFL) através de variados orçamentos de privacidade ($\epsilon$).

Consequentemente, existe uma lacuna não quantificada sobre se a combinação de DP ao nível do cliente com HE ao nível da instituição introduz uma degradação de acurácia mensurável além do ruído de injeção da DP sozinha, especificamente no contexto de redes de saúde distribuídas.

Metodologia

Os autores propõem um framework HFL de três níveis projetado para refletir a estrutura organizacional de redes de saúde distribuídas (Clientes $\to$ Instituições $\to$ Agregador Global). O sistema integra dois mecanismos de privacidade distintos:

1. $(\epsilon, \delta)$-DP ao nível do Cliente: Aplicada localmente em cada cliente antes da transmissão. Isso envolve o corte de gradiente (para a norma $C$) e a injeção de ruído Gaussiano calibrado ($\sigma$) para limitar a vazão de informação.
2. HE CKKS ao nível da Instituição: O esquema Cheon-Kim-Kim-Song (CKKS) é aplicado para criptografar as atualizações privatizadas. As instituições agregam esses criptogramas diretamente usando a propriedade homomórfica aditiva do CKKS, descriptografando apenas a média ponderada final antes de encaminhá-la ao agregador global.

Configuração Experimental:

• Datasets: MNIST (dígitos manuscritos) e MIT-BIH Arrhythmia (sinais de ECG), representando modalidades de imagens e formas de onda fisiológicas.
• Topologia: Três instituições, cada uma com três clientes.
• Orçamentos de Privacidade: Avaliados através de $\epsilon \in \{2, 4, 6, 8\}$ com $\delta = 10^{-5}$.
• Configuração: Os parâmetros CKKS foram fixos (grau do módulo polinomial 8192, $n_{slots}=4096$) em todos os experimentos.
• Reprodutibilidade: Os resultados são reportados como média $\pm$ desvio padrão sobre três sementes aleatórias independentes (42, 123, 7).

Principais Contribuições

1. Framework Integrado: Uma arquitetura de FL hierárquica que impõe DP ao nível do cliente e HE CKKS ao nível da instituição, garantindo que nenhum dado bruto ou atualização de modelo em texto simples seja exposto.
2. Avaliação Empírica Sistemática: Uma avaliação rigorosa do trade-off entre privacidade e utilidade através de dois datasets relevantes para a saúde e quatro orçamentos de privacidade.
3. Isolamento da Degradação de Utilidade: Uma demonstração empírica de que o HE CKKS introduz zero perda de acurácia mensurável quando aplicado à agregação de gradientes. Isso isola o ruído da DP como a única fonte de degradação de utilidade, estabelecendo uma separação clara entre os custos de privacidade (DP) e os custos de confidencialidade (HE).

Resultados

Acurácia e Utilidade:

• Desempenho de Linha de Base (Baseline): O pipeline HFL alcançou alta acurácia sem mecanismos de privacidade: $99,65\%$ (MNIST) e $97,73\%$ (MIT-BIH).
• Impacto da DP: A DP introduziu uma perda de acurácia limitada.
  • MNIST: A perda variou de $1,88\%$ ($\epsilon=2$) a $1,25\%$ ($\epsilon=8$).
  • MIT-BIH: A perda variou de $12,23\%$ ($\epsilon=2$) a $6,15\%$ ($\epsilon=8$). A maior perda no MIT-BIH é atribuída à sensibilidade da classificação de formas de onda fisiológicas à perturbação de gradiente em comparação com padrões de imagem.
• Impacto da HE: Comparar as configurações de DP-apenas vs. DP+HE revelou nenhum gap de acurácia direcional. Por exemplo, em $\epsilon=2$, a acurácia do MNIST foi idêntica ($97,77\%$) para ambas as configurações. A diferença ($\Delta_{HE}$) foi efetivamente zero ($0,00\%$ a $\pm 0,01\%$), confirmando que a criptografia não degrada a utilidade do modelo.

Overhead:

• Custo Computacional: O overhead de HE está concentrado no nível do cliente.
  • A criptografia no lado do cliente representou a maior parte do tempo (ex: $4,42$s para MNIST, $9,74$s para MIT-BIH por rodada).
  • A agregação e a descriptografia ao nível da instituição foram leves ($1,00$s e$0,27$s para MNIST, respectivamente).
• Custo de Comunicação: A DP aumentou o tamanho das atualizações do modelo em aproximadamente $60\%$ devido à injeção de ruído. A HE introduziu nenhum custo de comunicação adicional, pois o tamanho do criptograma foi gerenciado dentro da estrutura de overhead existente.

Significância e Alegações

O artigo afirma fornecer uma base empírica para o implante de FL com preservação de privacidade na saúde ao demonstrar que:

1. A confidencialidade pode ser alcançada sem perda de utilidade: O uso de HE CKKS protege a transmissão e a agregação sem comprometer o desempenho preditivo, separando o custo da confidencialidade do custo da privacidade.
2. A DP é o principal gargalo de utilidade: Toda a degradação de acurácia observada é atribuível ao ruído da DP, que diminui monotonicamente à medida que o orçamento de privacidade relaxa.
3. Reprodutibilidade: Os resultados são estáveis entre sementes independentes, com desvios padrão abaixo de $0,13\%$ para MNIST e $1,31\%$ para MIT-BIH.

Os autores observam limitações, especificamente que o uso de distribuições de dados IID balanceadas isola o sinal de privacidade da heterogeneidade de dados, o que significa que as perdas de acurácia reportadas representam um limite inferior para implementações heterogêneas. Além disso, o escopo atual limita a HE ao nível cliente-instituição, deixando o nível instituição-global para exploração futura via Computação Multipartidária Segura (SMPC). Resiliência bizantina e auditabilidade por blockchain são explicitamente excluídas deste trabalho.