Clinical Equivalence of Privacy-Preserving Federated Learning: A Consortium Blockchain Framework with Equivalence Testing

技术摘要：隐私保护联邦学习的临床等效性

问题陈述
医院希望获得联邦学习（FL）带来的好处——即在不共享原始患者记录的情况下进行协作模型训练——但面临一个关键的不确定性：添加隐私保护机制（加密、噪声）和区块链共识是否会降低所得模型的临床效用。现有文献通常报告准确率下降（例如，从 86.4% 降至 83.8%）并指出这些下降是“微小的”，但未能解决这些下降在临床上是否可接受的问题。此外，标准的统计检验（检查是否存在“显著差异”）是不充分的；非显著结果可能仅仅表示统计效能不足，而非真正的等效。本文认为，部署决策需要一个严谨的临床等效性主张，而不仅仅是检测不到差异。

方法论
作者提出了一个模块化的**联盟区块链–联邦学习（B-FL）**框架，旨在集成三道防御线，同时保持临床效用。该系统基于使用 **PBFT（实用拜占庭容错）**共识机制的 Hyperledger Fabric 构建。

1. 架构： 该框架由六层组成：

   • 客户端层： 机构在私有数据集上进行本地训练。
   • 隐私保护层： 应用 Subsampled-Gaussian 差分隐私（DP）（通过 Renyi 记账法进行梯度裁剪并添加高斯噪声），随后进行 **BFV 同态加密（HE）**以实现安全聚合。
   • 区块链信任层： 运行 PBFT 共识和一个包含六个功能的智能合约套件，用于实时异常检测和声誉评分。
   • 安全聚合层： 计算基于声誉权重的加权联邦平均（FedAvg）密文。
   • 分布式存储： 使用 IPFS 进行链下模型检查点存储，并通过链上哈希进行引用。
   • 全局模型分发： 返回更新后的模型。

2. 完整性机制： 智能合约对受 DP 保护的更新（在加密前）执行异常检测，通过两个门限进行判断：

   • 方向门（Directional Gate）： 更新与全局模型之间的余弦相似度（阈值 $\tau = 0.8$）。
   • 幅度门（Magnitude Gate）： 拒绝范数离群值（均值 $\pm$ 3 倍标准差）。
   • 声誉评分： 基于接受情况，通过指数移动平均法更新客户端声誉，并据此调整聚合权重。

3. 实验设置：

   • 数据集： MIMIC-III（住院死亡率预测）和 COVID-19 放射学数据库。
   • 条件： 在现实的非 IID（标签偏斜）条件下，模拟 20 个机构。
   • 攻击： 梯度缩放、后门攻击、随机噪声和搭便车攻击（20% 的恶意客户端）。
   • 统计协议： 研究采用 双单侧检验（TOST），并设定了预定义的 3% 等效性边界（源自临床共识中对最小临床重要差异的定义）。该方法测试了受保护的模型性能是否落在标准 FL 基准的 $[-3\%, +3\%]$ 范围内。应用了 Holm–Bonferroni 校正以处理多重比较。

核心贡献

1. 等效性检验协议： 一个使用 TOST 的统计严谨框架，用于确定隐私保护型临床 AI 是否“准备好走向临床床旁”，超越了简单的准确率比较。
2. 集成架构： 一个模块化的 B-FL 系统，成功地将 DP、HE 和基于 PBFT 的区块链验证结合在一起，解决了这些技术通常被孤立研究的差距。
3. 实证验证： 在两个真实的临床基准（MIMIC-III 和 COVID-19）以及非 IID 分区条件下进行评估，证明了强大的隐私和安全性可以与临床效用并存。
4. 威胁建模： 将威胁（中毒、梯度泄漏、搭便车）与特定的缓解机制（用于保密性的 DP/HE，用于完整性的智能合约）进行了形式化映射。
5. 可扩展性分析： 证明了区块链开销较小，且随联盟规模呈亚线性增长。

结果

• 临床等效性： 全面受保护的框架（DP + HE + 区块链）在 COVID-19 准确率上仅比标准 FL 低 2.6 个百分点，在 MIMIC-III AUROC 上低 2.5 个点。这两个差异均落在 3% 的等效性边界内（$p < 0.001$；Cohen's $d = 0.18$ 和 $0.21$）。作者得出结论，受保护的模型与原始模型具有临床等效性。
• 对抗鲁棒性： 在存在 20% 恶意客户端的梯度缩放攻击下，链上验证捕捉到了 94.3% 的中毒更新，而误报诚实更新的比例仅为 2.1%。
• 消融实验： 仅靠区块链验证可检测约 79% 的攻击。增加 DP 和 HE 虽然没有直接检测攻击，但它们使诚实更新的分布正则化，从而强化了异常检测门限，并将检测率提升至 94.3%。
• 开销： 区块链开销约为每轮 1.8 秒（占总时间的 11.9%），本地训练占据了主要成本。可扩展性分析显示其符合亚线性增长拟合（$T(n) \approx 4.1 n^{0.62}$）。

意义与主张
本文声称，强大的隐私、安全性和监管一致性可以与临床效用共存。其主要的 metodological 贡献在于展示了等效性检验为评估隐私保护型临床 AI 提供了一个严谨且可复用的标准。

作者强调，其结果允许做出“等效性的积极主张”，而非更弱的“无显著差异”结论。他们断言，该框架适用于中型联盟（20–50 家医院），并通过使用差分隐私、仅在链上存储哈希以及确保没有任何 PHI 离开机构防火墙，符合监管标准（HIPAA, GDPR）。然而，他们也谦虚地指出，虽然准确率和 AUROC 是等效的，但校准度和子组公平性需要单独评估，且系统的安全性依赖于少于 $n/3$ 个验证者失效的假设。