Hospital Trust Aggregation for Multi-Hospital Medical Imaging under Non-IID Data and Malicious Clients: A Benchmark and Empirical Assessment

Resumo Técnico: Agregação de Confiança Hospitalar para Imagem Médica Multihospitalar

Definição do Problema
O aprendizado federado (FL) permite que hospitais treinem modelos diagnósticos compartilhados sem trocar registros de pacientes, abordando restrições de privacidade de dados e regulamentações. No entanto, consórcios clínicos do mundo real enfrentam dois desafios compostos que minam protocolos de agregação padrão como o FedAvg:

1. Heterogeneidade Não-IID Severa: As coortes hospitalares diferem significativamente em padrões de encaminhamento, mix de casos e tamanhos de coorte. Isso cria um cenário onde um hospital honesto com um mix de casos raro ou incomum produz atualizações de modelo que são outliers estatísticos, não por serem maliciosos, mas porque sua distribuição de dados é única.
2. Clientes Maliciosos: Um hospital comprometido pode direcionar o modelo global via envenenamento de dados, ataques de backdoor ou manipulação de atualização (ex: substituição de modelo).

A tensão central identificada é que regras de agregação robustas, que tipicamente descartam atualizações "incomuns" para defender-se de ataques, lutam para distinguir um outlier legítimo (um centro especialista honesto com casos raros) de um outlier hostil (um nó comprometido). Sob heterogeneidade severa, mecanismos de defesa agressivos correm o risco de excluir justamente os locais que detêm as condições raras que a federação visa diagnosticar.

Metodologia: Agregação de Confiança Hospitalar (HTA)
Os autores propõem a Agregação de Confiança Hospitalar (HTA), uma regra de confiança de múltiplos sinais projetada para avaliar hospitais ao longo de múltiplas rodadas, em vez de isoladamente. A HTA calcula uma pontuação de reputação para cada hospital baseada em três sinais limitados (intervalo [0, 1]), fundidos multiplicativamente:

1. Concordância Direcional ($s_h$): A similaridade de cosseno retificada entre a atualização de um hospital e a mediana coordenada de todas as atualizações (uma direção de consenso robusta). Atualizações que apontam para longe do consenso recebem crédito zero.
2. Plausibilidade de Magnitude ($m_h$): Uma penalidade simétrica baseada na razão logarítmica da norma da atualização de um hospital em relação à norma da mediana das atualizações. Isso penaliza tanto atualizações infladas (substituição de modelo) quanto atualizações reduzidas (free-riding).
3. Validação de Coorte de Referência ($v_h$): O servidor avalia o modelo local do hospital em uma pequena coorte de referência curada e disjunta ($D_{root}$). O sinal é a acurácia balanceada nesta coorte, normalizada em relação à mediana da rodada. Isso detecta ataques ao nível de dados (ex: inversão de rótulos) que preservam a direção/magnitude da atualização, mas degradam a utilidade clínica.

Lógica de Reputação e Exclusão:

• Fusão: Os sinais são combinados como $\tau_h = s_h^a m_h^b v_h^c$. A natureza multiplicativa garante que uma pontuação próxima de zero em qualquer dimensão suprime a influência do hospital, impedindo que um adversário compense uma falha em um sinal excelindo em outro.
• Suavização de Reputação: A pontuação é suavizada via Média Móvel Exponencial (EMA) e penalizada por sua própria variância. Isso desencoraja estratégias "alternadas" onde um atacante se comporta benignamente em algumas rodadas e maliciosamente em outras para mascarar sua pontuação média.
• Critérios de Exclusão: Um hospital é excluído apenas se satisfizer duas condições simultaneamente:
  1. Ele é um outlier estatístico (pontuação $< \mu - \lambda \cdot \text{MAD}$).
  2. Ele está materialmente abaixo do consenso (pontuação $< \kappa \cdot \mu$).
     Esta condição dupla é desenhada para evitar a exclusão de hospitais honestos, mas atípicos, que estão meramente na cauda inferior de uma distribuição heterogênea.

Configuração Experimental e Benchmark
O artigo introduz um benchmark reproduzível para avaliar a HTA contra sete baselines (FedAvg, FedProx, Mediana por Coordenada, Média Aparada, Krum, Multi-Krum, FLTrust).

• Datasets: DermaMNIST (diagnóstico dermatoscópico de 7 classes com severo desequilíbrio de classes) e PneumoniaMNIST (radiografia de tórax binária).
• Heterogeneidade: Cinco regimes variando de IID a severo desvio de rótulos ($\alpha=0.1$) e desvio de quantidade.
• Ataques: Seis ataques incluindo nível de dados (inversão de rótulo, backdoor) e nível de atualização (inversão de sinal, escalonamento, ALIE, IPM), com frações de adversários de 5% a 30%.
• Métricas: Clínicas (acurácia balanceada, recall da pior classe, acurácia por hospital), Segurança (taxa de sucesso do ataque) e Justiça (Fairness).

Resultos Principais

1. Heterogeneidade vs. Adversários: A heterogeneidade é o desafio dominante. Mover de IID para severo desvio de rótulos ($\alpha=0.1$) causou uma queda de 16,4 pontos na acurácia balanceada, enquanto os adversários causaram uma queda de 7,2 pontos.
2. Desempenho da HTA:
   • Ataques de Nível de Dados: A HTA performa competitivamente, frequentemente liderando ou empatando com os melhores baselines em ataques de inversão de rótulo e backdoor.
   • Ataques de Nível de Atualização: A HTA é significativamente superada pelo Multi-Krum em ataques de inversão de sinal e escalonamento (lacunas de 4,9 e 6,7 pontos, respectivamente). A seleção geométrica de um subconjunto coerente do Multi-Krum prova ser mais eficaz que a estratégia de reponderação da HTA quando a geometria da atualização é manipulada.
   • Escala: Com 20 hospitais, a HTA perde para o Multi-Krum por 5,7 pontos.
   • Segunda Coorte: No PneumoniaMNIST, a HTA performa abaixo do FLTrust em 12–19 pontos em todas as condições, atribuído à natureza binária da tarefa que reduz o poder discriminativo do sinal de validação.
3. Acurácia de Dados Limpos (Clean Accuracy): Contrário à crença comum de que a robustez sacrifica a acurácia de dados limpos, a maioria das regras robustas (incluindo HTA) alcançou maior acurácia de dados limpos do que o FedAvg (ex: HTA +4,6 pontos, Multi-Krum +5,9 pontos). Isso é atribuído à redução de variância: regras robustas amortecem o ruído de outliers honestos extremos em cenários heterogêneos.
4. Achados de Ablação:
   • Sinal de Magnitude: O sinal de magnitude da atualização ($m_h$) contribuiu com nenhum benefício mensurável sob nenhum tipo de ataque. Remover o $m_h$ não degradou o desempenho. Os autores concluem que, sob desvio de Dirichlet, uma norma incomum é um indicador de um mix de casos honestos raros tão confiável quanto um ataque, tornando este sinal não informativo e potencialmente prejudicial.
   • Reputação e Direção: A memória de reputação e a concordância direcional foram os principais drivers de desempenho.
5. Falha de Detecção: Sob heterogeneidade severa e inversão de rótulo, as pontuações de reputação para hospitais honestos e maliciosos convergiam e se sobrepõem completamente. A regra não conseguiu separar as duas populações com sucesso; seu êxito deveu-se ao amortecimento da variância em vez da detecção de adversários.

Significância e Alegações
O artigo posiciona-se não como uma nova solução de estado da arte, mas como um benchmark e um resultado negativo.

• O Benchmark: Fornece um framework de avaliação rigoroso e reproduzível que integra métricas clínicas (acurácia balanceada, justiça) com métricas de segurança, revelando que defesas que sacrificam o recall de classes minoritárias são clinicamente inúteis.
• O Resultado Negativo: Os autores concluem que um sinal de confiança baseado em magnitude de atualização não sobrevive à heterogeneidade medicamente realista. Além disso, um sistema de reputação construído sobre esses sinais falha em distinguir hospitais honestos de maliciosos sob ataques de nível de dados em ambientes heterogêneos.
• Clarificação de Mecanismo: Os benefícios observados da HTA e de outras regras robustas derivam do amortecimento da variância (suprimir o ruído de outliers honestos) em vez da detecção de adversários.
• Direção Futura: Os autores sugerem que o componente eficaz de seu método é um sistema de reputação impulsionado pela concordância direcional com clipping de norma, enquanto o sinal de magnitude deve ser descartado. Eles enfatizam a necessidade de trabalhos futuros contra adversários adaptativos que conhecem os sinais de confiança e para abordar a tensão entre inspeção por atualização e técnicas preservadoras de privacidade como a agregação segura.