Федеративное обучение для медицинского ИИ: приватность, атаки и качество КТ

Модель, которая переводит конусно-лучевую компьютерную томографию (КЛКТ) головы и шеи в синтетическую КТ, обучили на данных трёх клиник, не пересылая снимки. Это центры B, C и E из публичного набора SynthRAD2025; снимки четвёртого центра, A, остались на центральном сервере и пошли только на внешнюю проверку. Работу выполнили Чиро Бенито Раджо и коллеги из Института биомедицинской инженерии Технологического института Карлсруэ (KIT). Статьи вышли в Frontiers in Digital Health и Journal of Medical Systems, 28 октября 2026 года KIT сообщил об итогах. Задача из лучевой терапии: для расчёта дозы нужна КТ, а лишнюю дозу получать не хочется.

Снимки не свозят в одно место. Каждая клиника обучает свою копию модели на местных данных и отправляет на общий сервер только обновлённые веса, а сервер их усредняет. Так устроено федеративное обучение. Внешнюю проверку провели на 60 пациентах центра A, без дообучения.

Что означает «приватно» на практике

Обмен весами вместо снимков снимает часть юридических препятствий: европейский регламент о защите данных мешает собирать медицинские изображения в одном хранилище. Полной защиты сам подход не даёт. Отдельная работа Раджо с коллегами проверила три атаки на смежную систему, которая синтезирует КТ мозга по МРТ. Атакующему дали доступ к исходным МРТ и КТ, так что оценка шла с запасом в его пользу.

Восстановление снимка из градиентов дало грубые очертания анатомии без узнаваемых деталей: SSIM (индекс структурного сходства) около 0,16, PSNR (пиковое отношение сигнал/шум) около 11 дБ. А вот атака на определение участия пациента в обучении сработала почти идеально: AUC (площадь под ROC-кривой) от 0,92 до 0,99. Сервер уверенно различал, входил ли конкретный человек в обучающую выборку клиники.

Защищённая агрегация (SecAgg) снизила утечку. При ней сервер видит только сумму обновлений от всех участников и не может разобрать вклад каждого. AUC упала до 0,23–0,56, почти до случайного угадывания. Качество синтеза заметно не изменилось. Цена защиты в этом опыте не проявилась: при четырёх обучающих центрах накладные расходы оказались незаметны, хотя авторы оговариваются, что стоимость протокола растёт с числом участников и для больших федераций её ещё предстоит измерить.

Качество на независимом центре

Качество синтетических изображений в работе по голове и шее держалось на уровне MAE (средней абсолютной ошибки) от 64,4 до 85,9 HU (единиц Хаунсфилда), SSIM от 0,88 до 0,92 и PSNR от 32,9 до 34,9 дБ. На независимом центре с 60 пациентами модель дала MAE 75,2, SSIM 0,90 и PSNR 33,5 дБ без дообучения. Авторы связывают заметную часть ошибки не с генерацией, а с остаточными расхождениями при совмещении исходных снимков, и прямо пишут, что итоговые показатели чаще ограничивало качество совмещения, а не возможности модели.

Когда один участник портит данные

В работе по мозгу, где считали AUC, проверили и порчу данных. При стандартном усреднении весов (FedAvg) и полном замещении выборки центра C шумом MAE у непоражённых центров A, B и D достигала 504, 841 и 682 HU соответственно. Медианная агрегация (FedMedian) в большинстве сценариев вернула показатели почти к норме, но на внешнем центре E при 100% и 50% шума деградация осталась: MAE от 111 до 130 HU против базовых 108. При 10% шума преимущество медианы исчезало: такой шум трудно отличить от естественных различий между сканерами и протоколами.

Представим условную больницу, которая хочет подключить свою КЛКТ-систему к общей модели. Если она отправит необработанные веса, сервер сможет проверять, входил ли конкретный пациент в её обучающую выборку: в опыте такая проверка срабатывала с AUC до 0,99. Защищённая агрегация снизит эту утечку до почти случайного угадывания, но не спасёт, если участник пришлёт в обучение испорченные данные: против порчи нужен отдельный механизм.

Снижение времени обучения и выбросов углекислого газа на 9–23% относится к отдельной работе об энергоэффективности федеративного обучения, а не к экспериментам с синтезом КТ по КЛКТ. Дозиметрических и плановых данных в наборе SynthRAD2025 нет, поэтому пригодность синтетических КТ для расчёта реальной дозы пока не подтверждена. Восстановление снимков из градиентов проверяли в двумерной постановке, трёхмерную не тестировали; дифференциальную приватность как защиту не изучали. Тем, кто разбирает подобные исследования в курсовой или дипломной работе, пригодится статистический анализ данных: метрики вроде MAE, SSIM и AUC требуют аккуратной интерпретации и корректного сравнения между центрами.