💻 computer science

Privacy-Utility Tradeoffs in Hierarchical Federated Learning Under Combined Differential Privacy and CKKS Homomorphic Encryption for Distributed Healthcare Networks

本文提出了一种用于医疗保健的分层联邦学习框架，该框架将客户端层级的差分隐私与机构层级的 CKKS 同态加密相结合，证明了虽然差分隐私会产生取决于隐私预算的可衡量的准确度损失，但同态加密不会引入效用退化，从而隔离并量化了每种机制各自不同的隐私与效用权衡。

原作者： Sayed Mohammed Alwedaei, Jenan Moosa

发布于 2026-07-09

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Sayed Mohammed Alwedaei, Jenan Moosa

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一群医院正试图共同构建一个超级智能的医疗人工智能。他们希望通过整合各自的数据来更好地诊断疾病，但他们有一个严格的规则：任何一家医院都绝不能看到另一家医院的原始患者数据。 这就像是大家要一起烤一个巨大的蛋糕，但谁也不允许向其他人展示自己的秘密家族配方，甚至连自己的碗里装了什么食材也不行。

这篇论文介绍了一种关于如何安全地进行这种协作的新型“配方”。作者 Sayed Mohammed Alwedaei 和 Jenan Moosa 创建了一个名为分层联邦学习 (Hierarchical Federated Learning, HFL) 的系统。你可以把它想象成一栋三层高的办公楼：

客户端（底层）： 个体医生或诊所，拥有他们自己的患者数据。
机构（中层）： 管理这些诊所的医院或大型医疗中心。
全局聚合器（顶层）： 结合所有信息的中央 AI 大脑。

他们解决的两个大问题

论文指出了在这个过程中隐私可能被破坏的两种主要方式：

“漏桶”问题（隐私）： 即使你没有分享原始数据，那些“更新”（AI 从中学习到的教训）有时也会泄露太多关于特定患者的信息。
“开封信”问题（机密性）： 即使更新本身不会泄露秘密，但在互联网上传送这些更新就像寄明信片一样。任何拦截邮件的人都能读到其中的内容。

解决方案：双重锁系统

作者结合了两种强大的工具来同时解决这两个问题：

1. 差分隐私（“静态噪声”机）
想象医生们正试图向 AI 传递一个秘密。为了确保没人能确切知道他们说了什么，他们在低语时加入了些许“静态噪声”。

运作方式： 在发送他们的教训之前，系统会添加一些随机的数学噪声。这就像调高收音机的音量，刚好足以盖住特定的声音，但又不影响整体歌曲（AI 模型）的清晰度。
权衡： 你添加的噪声越多（为了更安全），AI 学习歌曲的效果就越难达到完美。论文测试了不同的噪声量（称为“隐私预算”，分别为 2、4、6 和 8）。
- 结果： 在一个简单的图像任务（MNIST）上，添加噪声仅使 AI 的准确率略微下降（约 1-2%）。在复杂的各种心律任务（MIT-BIH）上，下降幅度更大（高达 12%），但仍处于可用范围。关键发现是：噪声是导致 AI 准确率下降的唯一因素。

2. CKKS 同态加密（“魔法信封”）
这是第二把锁。想象你把你的教训装进了一个密封的、神奇的信封里，这个信封可以在不被打开的情况下被打开、阅读，甚至可以与其他信封进行加法运算。

运作方式： 医院会对他们的噪声化更新进行加密。中层医院（机构）可以在不看到内部实际数值的情况下，通过数学方法将这些加密的更新相加。这就像一群人在一个锁定的计算器上累加他们的银行余额；计算器会给出总和，但没有人能看到具体的个人金额。
令人惊喜之处： 作者想知道：“这个魔法信封会减慢 AI 的速度或降低它的智力吗？”
- 结果： 零损失。 论文声称，使用这种加密完全不会造成准确率的损失。使用加密数据进行处理时，AI 的表现与使用带噪声但未加密的数据时完全一样。

核心结论

这篇论文最重要的发现是成本的分离。

隐私成本： 来自于“噪声”（差分隐私）。它会让准确率稍微降低一点，但能保护秘密安全。
机密性成本： 来自于“加密”（同态加密）。它会消耗一点时间来锁定和解锁信封，但它完全不会损害 AI 的准确率。

最终判定

作者在两个数据集上测试了该系统：手写数字（MNIST）和心律数据（MIT-BIH）。他们发现：

你可以拥有一个非常私密的系统，同时 AI 依然非常聪明。
你可以安全地通过互联网发送这些私密更新（使用“魔法信封”），而不会让 AI 变得更笨。
系统非常稳定；如果你运行三次实验，你会得到几乎完全相同的结果。

简而言之，这篇论文证明了你可以构建一个安全的协作式医疗 AI，其中“隐私”部分会让系统变得稍微不那么完美，但“安全性”部分（在传输过程中保持数据秘密）并不会以性能为代价。这是一个关于安全与速度的双赢局面。

技术摘要：结合差分隐私与 CKKS 同态加密的层次化联邦学习中的隐私-效用权衡

问题陈述

人工智能在医疗领域的集成面临着关于数据隐私与安全的重大运营障碍。中心化系统存在单点故障风险，可能导致违反 GDPR 和 HIPAA 等法规。虽然联邦学习（FL）允许在不共享原始数据的情况下进行协作训练，但现有的隐私保护方法通常将**差分隐私（DP）和同态加密（HE）**孤立对待。

仅使用 DP 的实现可以防御针对模型更新的推理攻击，但在传输过程中仍会暴露明文参数，无法保证传输的机密性。
仅使用 HE 的方案虽然保障了传输安全，但往往无法量化噪声注入带来的准确度成本，也无法衡量加密与模型效用之间的相互作用。
混合方法虽然存在，但在**层次化联邦学习（HFL）**环境下，缺乏对结合了不同隐私预算（ $\epsilon$ ）时的综合隐私-效用权衡的系统性评估。

因此，目前存在一个未被量化的差距，即在分布式医疗网络背景下，结合客户端层级的 DP 与机构层级的 HE 是否会引入除 DP 噪声注入之外的可测量的准确度下降。

方法论

作者提出了一个三层 HFL 框架，旨在反映分布式医疗网络的组织结构（客户端 $\to$ 机构 $\to$ 全局聚合器）。该系统集成了两种不同的隐私机制：

客户端级 $(\epsilon, \delta)$ -DP： 在传输前应用于每个客户端本地。这涉及梯度裁剪（限制在范数 $C$ 内）以及注入校准后的高斯噪声（ $\sigma$ ），以限制信息泄露。
机构级 CKKS HE： 应用 Cheon-Kim-Kim-Song (CKKS) 方案对私有化后的更新进行加密。机构直接使用 CKKS 的加法同态特性对这些密文进行聚合，仅在向全局聚合器转发前对最终的加权平均值进行解密。

实验设置：

数据集： MNIST（手写数字）和 MIT-BIH Arrhythmia（心电图信号），分别代表图像和生理波形模态。
拓扑结构： 三个机构，每个机构包含三个客户端。
隐私预算： 在 $\epsilon \in \{2, 4, 6, 8\}$ 且 $\delta = 10^{-5}$ 的范围内进行评估。
配置： 在所有实验中，CKKS 参数固定（多项式模数度数为 8192， $n_{slots}=4096$ ）。
可复现性： 结果以三个独立随机种子（42, 123, 7）的均值 $\pm$ 标准差形式报告。

核心贡献

集成框架： 一种层次化 FL 架构，强制执行客户端级 DP 和机构级 CKKS HE，确保没有任何原始数据或明文模型更新被暴露。
系统性实证评估： 对两个医疗相关数据集和四个隐私预算下的隐私-效用权衡进行了严格评估。
隔离效用退化： 通过实证表明，当 CKKS HE 用于梯度聚合时，其引入的可测量准确度损失为零。这分离了 DP 噪声，将其确定为唯一的效用下降来源，从而明确区分了隐私成本（DP）与机密性成本（HE）。

结果

准确度与效用：

基准性能： 在没有隐私机制的情况下，HFL 流水线实现了高准确度： $99.65\%$ (MNIST) 和 $97.73\%$ (MIT-BIH)。
DP 的影响： DP 引入了有界的准确度损失。
- MNIST： 损失范围从 $1.88\%$ ( $\epsilon=2$ ) 到 $1.25\%$ ( $\epsilon=8$ )。
- MIT-BIH： 损失范围从 $12.23\%$ ( $\epsilon=2$ ) 到 $6.15\%$ ( $\epsilon=8$ )。MIT-BIH 较高的损失归因于生理波形分类相对于图像模式对梯度扰动更为敏感。
HE 的影响： 通过对比 DP-only 与 DP+HE 配置，发现不存在方向性的准确度差距。例如，在 $\epsilon=2$ 时，两种配置的 MNIST 准确度完全一致（均为 $97.77\%$ ）。差异（ $\Delta_{HE}$ ）实际上为零（ $0.00\%$ 至 $\pm 0.01\%$ ），证实了加密不会降低模型效用。

开销：

计算成本： HE 开销集中在客户端层级。
- 客户端侧加密占据了主要时间份额（例如，MNIST 每轮为 $4.42$s，MIT-BIH 为 $9.74$s）。
- 机构层级的聚合与解密过程较为轻量（分别为 MNIST 的 $1.00 $s 和$ 0.27$s）。
通信成本： 由于噪声注入，DP 使模型更新大小增加了约 $60\%$ 。HE 则未引入额外的通信成本，因为密文大小被管理在现有的开销结构之内。

意义与主张

本文声称通过证明以下几点，为在医疗领域部署隐私保护型 FL 提供了实证基础：

可以在不损失效用的情况下实现机密性： 使用 CKKS HE 保护了传输和聚合过程，且不损害预测性能，从而将机密性的成本与隐私的成本分离。
DP 是主要的效用瓶颈： 所有观察到的准确度下降均可归因于 DP 噪声，且随着隐私预算的放宽，该噪声呈单调递减趋势。
可复现性： 结果在独立种子下保持稳定，标准偏差对于 MNIST 低于 $0.13\%$ ，对于 MIT-BIH 低于 $1.31\%$ 。

作者指出了局限性，特别是使用平衡的 IID 数据分布隔离了数据异构性对隐私信号的影响，这意味着报告的准确度损失是针对异构部署的一个下界。此外，当前范围将 HE 限制在客户端到机构这一层级，将机构到全局层级的任务留作未来通过安全多方计算（SMPC）进行探索。拜占庭容错性和区块链可审计性被明确排除在本次工作之外。