Aprendizagem Federada Robusta Adversarial para Previsão Segura de Risco de Mortalidade utilizando Prontuários Eletrônicos de Saúde Multi-Institucionais (EHRs)

Resumo

Este estudo propõe um modelo de Aprendizagem Federada Adversarial-Robusta (AR-FL) para a previsão de risco de mortalidade usando Registros Eletrônicos de Saúde multi-institucionais. O modelo integra treinamento adversarial min–max, atenção consciente do domínio e agregação que preserva a privacidade para aumentar robustez, adaptabilidade e confidencialidade dos dados, possibilitando um sistema clínico de apoio à decisão seguro, confiável e generalizável, adequado para ambientes de saúde heterogêneos.

Resumo

Prontuários Eletrônicos de Saúde (EHRs) são a principal fonte de dados que possibilitam a tomada de decisão clínica orientada por dados. No entanto, o caráter sensível dos EHRs e as políticas rigorosas de privacidade no setor de saúde tornam o treinamento centralizado de modelos difícil ou impossível. Um modelo de Aprendizagem Federada Adversarialmente Robusta (AR-FL) é proposto para prever o risco de mortalidade de pacientes em diferentes instituições sem compartilhar os dados originais do EHR. O objetivo principal deste estudo é introduzir um procedimento seguro, reproduzível e escalável para treinar modelos preditivos que preservam a privacidade e são adversários e em diversos contextos clínicos. Este estudo emprega uma abordagem de treinamento adversarial min–max em cada instituição para melhorar a robustez contra perturbações no pior caso. Um mecanismo de atenção consciente do domínio também é empregado para se adaptar dinamicamente às diferenças nas distribuições clínicas dentro da instituição. Para garantir a confidencialidade, as atualizações do modelo são agrupadas usando métodos de proteção de privacidade que bloqueiam a revelação de dados sensíveis dos pacientes durante a comunicação federada. Este estudo especifica todo o processo, desde o pré-processamento de dados e geração de exemplos adversariais até treinamento local, agregação segura e avaliação global de modelos, permitindo uma implementação consistente em diversos ambientes de saúde. Validações experimentais demonstram que o modelo AR-FL alcança desempenho preditivo superior, robustez adversarial e generalização entre institucionais. Ao estabelecer uma pipeline padronizada de treinamento e avaliação, este estudo apoia o desenvolvimento de sistemas de apoio à decisão clínica confiáveis e eticamente compatíveis.

Introdução

A Aprendizagem Federada (FL) emergiu como um paradigma transformador para análises de saúde preservando a privacidade, ao possibilitar treinamento colaborativo de modelos entre dados descentralizados de prontuários eletrônicos de saúde (EHR) sem compartilhar informações brutas dos pacientes. Essa abordagem mitiga silos de dados e restrições regulatórias, ao mesmo tempo em que melhora o desempenho preditivo em tarefas como a previsão de mortalidade. No entanto, apesar dessas vantagens, os sistemas FL continuam vulneráveis a ataques adversariais e de envenenamento. A Figura 1 ilustra a arquitetura colaborativa e o fluxo de trabalho da aprendizagem federada entre instituições clínicas distribuídas.

Figura 1: Arquitetura genérica de aprendizagem federada e aplicações de imagem médica. Esta figura ilustra o fluxo de trabalho padrão de aprendizado federado, mostrando armazenamento descentralizado de dados, treinamento local de modelos e agregação segura do lado do servidor, juntamente com suas aplicações na análise de imagem médica. Por favor, clique aqui para ver uma versão ampliada desta figura.

Avanços recentes em análises de saúde destacam a eficácia dos modelos de deep learning no processamento de dados de EHR em grande escala. Pesquisas anteriores¹ demonstraram que o deep learning pode alcançar previsões precisas e escaláveis usando dados clínicos brutos. Além disso, Miotto et ^al.2 revisaram as oportunidades e desafios mais amplos associados à implantação de deep learning em sistemas de saúde. Além disso, inovações específicas de domínio, como o^{ClinicalBERT 3} , melhoraram a compreensão de textos clínicos e as capacidades preditivas, enquanto conjuntos de dados de referência como MIMIC-III⁴, MIMIC-IV⁵ e eICU⁶ permitiram avaliações reprodutíveis e em larga escala em pesquisas de cuidados críticos.

A aprendizagem federada ganhou grande atenção como solução para viabilizar análises colaborativas em saúde sem comprometer a privacidade dos dados. Estudos^{existentes 7,8} discutiram seu papel no desenvolvimento da saúde digital, juntamente com os desafios associados e questões de pesquisa aberta. Além disso, a aprendizagem federada demonstrou aplicabilidade prática em cenários reais de saúde, incluindo colaboração multi-institucional⁹ e previsão de resultados clínicos para pacientes com^{COVID-19 10}. No entanto, desafios como a heterogeneidade dos dados continuam sendo significativos. Para resolver isso, estratégias de otimização para ambientes heterogêneos¹¹ e abordagens como o FedBN¹², que utiliza normalização local em lote, foram propostas para melhorar a convergência e a generalização dos modelos.

A segurança e a robustez no aprendizado federado tornaram-se preocupações críticas devido à crescente exposição a ameaças adversariais. O conceito de exemplos^{adversariais 13} revelou que pequenas perturbações podem enganar modelos de aprendizado profundo com alta confiança. Em ambientes federados, essas vulnerabilidades são agravadas por ameaças como ataques^{backdoor 14} e envenenamento de modelos. Para enfrentar esses riscos, foram propostas abordagens de aprendizagem federada agrupada resiliente ao adversário e técnicas robustas de otimização baseadas em treinamento adversarial^15,16. Além disso, estruturas de comunicação segura que integram gradient boosting e modelos^{LSTM 17} foram desenvolvidas para mitigar ataques man-in-the-middle. Ao mesmo tempo, arquiteturas avançadas como o DBAFL ^18,19 visam se defender contra ataques de envenenamento em ambientes distribuídos.

A preservação da privacidade continua sendo uma exigência fundamental nos sistemas federados de saúde. Modelos treinados colaborativamente podem vazar informações sensíveis por meio de ataques baseados em GAN, destacando riscos inerentes à privacidade²⁰. Para mitigar tais problemas, foram introduzidos os protocolos de agregação segura²¹ e técnicas diferenciais de privacidade²² para garantir a confidencialidade no aprendizado distribuído. Além disso, soluções baseadas em blockchain^23,24 foram propostas para gerenciamento seguro de EHR e compartilhamento de dados, com estudos^adicionais 25,26,27,28 estendendo essas abordagens para melhorar a interoperabilidade, segurança e eficiência nos sistemas de saúde.

O rápido avanço da inteligência artificial na saúde também levou ao desenvolvimento de modelos híbridos inteligentes e sistemas integrados que aprimoram o desempenho preditivo e a tomada de decisões. Estudos anteriores também discutiram o papel transformador da IA na medicina²⁹ e ataques adversariais e mecanismos de defesa em sistemas de aprendizado^{de máquina 29,30}.

Apesar desses avanços, as pesquisas existentes permanecem fragmentadas. Muitos modelos de aprendizado federado falham em incorporar robustez adversarial, tornando-os suscetíveis a ataques. Além disso, a heterogeneidade dos domínios muitas vezes é insuficientemente abordada, limitando a generalização entre as instituições. Mecanismos de preservação da privacidade são frequentemente implementados isoladamente, sem integração com estratégias de robustez e adaptação de domínio, resultando em sistemas de IA em saúde incompletos e menos confiáveis. Para abordar essas limitações, este artigo propõe uma estrutura integrada de Aprendizagem Federada Robusta Adversarial que combina treinamento adversarial, mecanismos de atenção conscientes do domínio e agregação segura. A abordagem proposta aumenta a robustez contra ataques, aprimora a adaptabilidade em ambientes clínicos heterogêneos e garante a privacidade dos dados dos pacientes, proporcionando assim uma solução abrangente para aplicações reais de saúde multi-institucionais.

Protocolo

Metodologia proposta
O modelo proposto de Aprendizagem Federada Adversarialmente Robusta (AR-FL) visa prever o risco de mortalidade dos pacientes de forma segura e colaborativa entre diferentes instituições de saúde, protegendo a privacidade dos dados e tornando o sistema resiliente a perturbações adversariais. A implantação inclui quatro elementos principais: (1) a estrutura de Aprendizado Federado, (2) o treinamento adversarial baseado em otimização mínima e máxima, (3) o mecanismo de atenção consciente do domínio e (4) a agregação de parâmetros que preservam a privacidade. A metodologia é executada em um fluxo sistemático designado para aprendizado federado robusto adversarial para estimar o risco de mortalidade. O processo, mostrado na Figura 2, começa com a aquisição de dados de diversas instituições de saúde, seguida pelo pré-processamento de dados para padronizar características e lidar com valores ausentes. Um modelo global é inicialmente criado por um servidor central e depois enviado para todas as instituições de saúde. O treinamento adversarial local ocorre dentro das instituições de saúde, aumentando a robustez do modelo a perturbações, ao mesmo tempo em que permite sua adaptação a dados específicos de domínio. Após o treinamento, os parâmetros dos modelos locais são entregues de forma segura ao servidor usando agregação segura de parâmetros. O servidor incorpora essas contribuições locais para o modelo para atualizar o modelo global. Esse processo é repetido várias vezes em uma otimização iterativa para facilitar o refinamento colaborativo do modelo. Como resultado, o modelo é rigorosamente avaliado usando referências clínicas que avaliam seu desempenho preditivo, robustez adversarial e generalização entre as instituições.

Figura 2: Modelo AR-FL proposto. Esta figura apresenta a arquitetura geral do modelo proposto de Aprendizagem Federada Adversarial-Robusta, incluindo treinamento adversarial, atenção consciente do domínio e agregação segura que preserva a privacidade. Por favor, clique aqui para ver uma versão ampliada desta figura.

Coleta de dados
Para este estudo, dois conjuntos de dados de Prontuário Eletrônico de Saúde (EHR) acessíveis ao público:^{MIMIC-III 4} e o Banco de Dados Colaborativo de Pesquisa^{da eICU 6}. O MIMIC-III oferece mais de 40.000 internações em UTI de um único grande hospital, enquanto os dados de eUTI compreendem mais de 200.000 internações em UTI em vários hospitais dos EUA. A demografia dos pacientes, medições clínicas, resultados de exames laboratoriais, eventos registrados e desfechos registrados nesses fluxos de dados os tornam muito atraentes para a tarefa de previsão do risco de mortalidade. Os conjuntos de dados de EHR são divididos em diferentes partes para formar um ambiente de aprendizagem federado multi-institucional realista; cada parte representa um hospital ou instituição diferente. O método captura diferenças entre instituições em características dos pacientes, protocolos clínicos, estilos de documentação e disponibilidade de dados. Cada instituição simulada pode acessar apenas seu próprio subconjunto de dados e não compartilha registros brutos com o servidor central ou com quaisquer outros clientes participantes. Essa abordagem garante total conformidade com os princípios de preservação da privacidade, ao mesmo tempo em que simula as limitações reais da cooperação interhospitalar. Os rótulos de mortalidade são extraídos dos campos de resultado indicados nos conjuntos de dados, por exemplo, indicadores de mortalidade hospitalar. Esses rótulos atuam como alvos de previsão para o modelo de aprendizagem federada. Assim, cada instituição mantém seu próprio conjunto local de registros de características dos pacientes associados aos resultados de mortalidade, permitindo o treinamento descentralizado dos modelos sem revelar informações sensíveis dos pacientes.

Pré-processamento de dados
Cada instituição processa seus dados locais de EHR de forma independente antes do início do treinamento do modelo. Como a aprendizagem federada não permite o compartilhamento de dados em nível de paciente ou mesmo estatísticas resumidas entre instituições participantes, todas as etapas de pré-processamento são realizadas localmente em cada instituição e baseiam-se apenas nas informações do conjunto de dados dessa instituição. O fluxo de pré-processamento consiste em algumas etapas cruciais. Inicialmente, variáveis clínicas numéricas como sinais vitais, resultados de testes laboratoriais e medições fisiológicas são normalizadas para eliminar diferenças nas faixas de valores e estabilizar a convergência do modelo. Os dados locais de cada instituição são a única fonte para calcular as estatísticas usadas na normalização. Em seguida, atributos categóricos como gênero, tipo de admissão ou categorias diagnósticas são convertidos em representações numéricas usando métodos como codificação one-hot ou mapeamentos específicos da instituição. Assim, o modelo federado pode lidar com dados categóricos sem a necessidade de dicionários de codificação compartilhados ou tabelas de referência interinstitucionais. Terceiro, dados ausentes, comuns em conjuntos de dados clínicos, são tratados usando técnicas de imputação local. Dependendo do tipo de característica e do contexto clínico, as instituições podem recorrer à imputação de média, preenchimento antecipado com base em observações anteriores ou até mesmo substituições clínicas baseadas em regras. Como cada instituição realiza imputação de forma independente, não são necessários metadados externos ou parâmetros de imputação compartilhados. Seguindo esses procedimentos, cada instituição é capaz de criar um conjunto completo de características processadas juntamente com os desfechos de mortalidade associados. Os conjuntos de dados locais são então usados como entrada para o treinamento do modelo federado. Durante todo o pipeline de pré-processamento, nenhum dado bruto, estatísticas derivadas ou resultados intermediários são transmitidos para fora da instituição, garantindo a estrita adesão a práticas de gestão de dados que preservam a privacidade.

Inicialização do modelo
Seja K {1, 2,..., K} a coleção de instituições (clientes) envolvidas, onde cada instituição possui um conjunto de dados local. { onde representa as características de entrada do EHR e É o rótulo de mortalidade associado (binário ou categórico). Um modelo global é treinado colaborativamente entre todos os clientes, onde θ são os parâmetros compartilhados do modelo.

O processo segue o protocolo padrão de Média Federada (FedAvg):
O servidor central inicializa parâmetros globais e os transmite. Cada cliente k∈K realiza treinamento local usando seus dados e atualiza o modelo para . O servidor combina as atualizações tomando a média ponderada:

^, onde n =

O procedimento de inicialização do servidor central e as etapas locais de treinamento continuam para as rodadas globais de comunicação T.

Treinamento adversarial local (otimização Min–Max)
Para melhorar a robustez, cada cliente realiza treinamentos adversariais em seu local local. Em vez de minimizar o risco empírico em dados limpos, os clientes se envolvem em um problema de min-max:

(x+δ),y)

L: Função de perda
δ: Perturbação adversarial restrita por
S: Espaço de ameaça adversarial
(x+δ): Previsão sob entrada perturbada

No momento de cada época local, amostras adversariais são criadas utilizando a Descida Projetada do Gradiente (PGD) ou o Método do Sinal do Gradiente Rápido (FGSM). Depois, o treinamento do modelo prossegue com essas amostras para aumentar sua robustez.

Mecanismo de atenção consciente do domínio
Os dados de Prontuários Eletrônicos de Saúde (EHR) de diferentes instituições podem variar bastante em termos de distribuição de dados, semântica de características e práticas clínicas. Para enfrentar essa questão, o modelo AR-FL incorpora um módulo de atenção específico de domínio em seu modelo.

Seja   o vetor de entrada da instituição k. Os pesos de atenção para cada característica j∈ {1..., d} são calculados como:

=

onde são pesos de atenção treináveis. A entrada é reponderada como:

Por meio desse mecanismo, o modelo consegue enfatizar características importantes para a prática clínica de acordo com a natureza dos dados usados pela instituição, aumentando assim sua adaptabilidade e interpretabilidade.

Agregação de parâmetros que preservam a privacidade
O AR-FL utiliza agregação muito segura juntamente com técnicas diferenciais de privacidade, se necessário, para manter o mais alto nível de privacidade durante a comunicação. Agregação Segura: Os usuários criptografam suas atualizações de modelo de modo que o servidor só possa calcular o total, mas não as contribuições separadas.

Privacidade Diferencial: Adiciona ruído às atualizações do modelo:

Onde σ controla o equilíbrio entre privacidade e precisão.

Durante as atualizações distribuídas, essas abordagens garantem que dados privados de pacientes ou informações institucionais não corram risco de vazamento.

Atualização global do modelo
Uma vez concluída a fase de treinamento local em cada instituição, o servidor central reúne as atualizações do modelo enviadas pelo cliente. Essas atualizações consistem apenas em alterações nos parâmetros do modelo e não incluem dados brutos de pacientes ou representações intermediárias de características. Para unir o conhecimento adquirido das diversas instituições, o servidor aplica o método de Média Federada (FedAvg). Nesse processo, o servidor calcula uma média ponderada dos modelos locais com base na quantidade de dados disponíveis em cada instituição. Instituições que contribuem com conjuntos de dados maiores têm uma influência proporcionalmente maior no modelo global atualizado. Como as atualizações foram transmitidas usando técnicas de agregação segura, o servidor não pode visualizar ou isolar os parâmetros de nenhuma instituição individual. Em vez disso, o servidor recebe apenas uma representação combinada criptografada ou protegida por privacidade. Isso garante a confidencialidade do processo de treinamento e a destruição de quaisquer padrões específicos da instituição ou características dos pacientes que possam ter sido detectadas. Após calcular a atualização agregada, o servidor prepara um novo modelo global que representa o conhecimento total adquirido de todas as instituições colaboradoras nessa rodada de comunicação. O novo modelo global é então enviado de volta a todas as instituições para que a próxima rodada de treinamento adversário local comece.

Otimização iterativa
A aprendizagem federada é um processo em múltiplas etapas que envolve várias rodadas de comunicação. Cada rodada consiste no treinamento do modelo local, envio seguro de atualizações, agregação global e subsequente distribuição do modelo aprimorado aos participantes. As rodadas repetidas ajudam o modelo a avançar gradualmente para uma solução robusta e estável. Durante essas rodadas, cada organização traz seu conhecimento sobre sua população de pacientes, criando assim um modelo capaz de identificar padrões clínicos em diferentes contextos. Deve-se notar que o treinamento adversarial e o mecanismo de atenção consciente do domínio às vezes são implementados por meio de treinamento local em cada rodada. Assim, o modelo está sendo constantemente refinado, e seu poder para combater ataques adversários cresce, enquanto sua capacidade de se adaptar a diferentes distribuições de características entre instituições melhora. Por meio da otimização iterativa, o modelo não apenas melhora seu desempenho de generalização, mas também se torna cada vez mais tolerante ao desequilíbrio de dados, variação institucional e configurações adversariais. O procedimento é realizado até que um número pré-definido de rodadas de comunicação seja atingido ou o modelo global indique convergência estável.

Avaliação
Ao final de todas as rodadas de comunicação, o modelo global final é avaliado minuciosamente usando conjuntos de testes mantidos derivados dos conjuntos de dados dos participantes. Como esses conjuntos de teste não são usados para treinamento de modelos, eles fornecem uma medida justa e imparcial do desempenho do modelo. A eficácia do modelo é avaliada por meio do cálculo de diferentes métricas sob vários ângulos. A precisão limpa avalia a situação em que as condições normais estão em prática. Ela mede a correção do modelo na previsão dos desfechos de mortalidade. Em contraste, a precisão adversarial estima até que ponto o modelo consegue manter seu desempenho mesmo quando os dados de entrada são alterados de forma adversarial. A área sob a curva da característica operacional do receptor (ROC) (AUC-ROC) fornece insights sobre a proficiência do modelo em distinguir entre pacientes vivos e falecidos. A pontuação F1 serve como um indicador da relação precisão-recordação, o que é particularmente significativo para conjuntos de dados clínicos desequilibrados. A lacuna de generalização revela a disparidade de desempenho entre diferentes instituições, demonstrando assim a versatilidade do modelo em se adaptar a fontes de dados variadas. O risco de privacidade é finalmente quantificado por meio do uso de ataques adversariais simulados, que determinam se a agregação segura e a privacidade diferencial opcional são, de fato, eficazes na proteção da confidencialidade do paciente. Todas essas métricas de avaliação juntas fornecem um quadro abrangente do poder preditivo do modelo, resistência a ataques adversariais, estabilidade entre diferentes instituições e adesão aos requisitos de preservação da privacidade. O Algoritmo 1 (Arquivo Suplementar 1) abaixo mostra o Aprendizado Federado Robusto Adversarial (AR-FL) para Previsão de Risco de Mortalidade.

Resultados

O modelo AR-FL foi testado em dois conjuntos de dados públicos e desidentificados e multi-institucionais de prontuários eletrônicos (EHR): o MIMIC-III e o Banco de Dados de Pesquisa Colaborativa da eUTI, que incluem uma variedade de prontuários de pacientes da UTI com desfechos de mortalidade hospitalar. O conjunto de dados foi distribuído por cenários hospitalares simulados que representavam as diferenças reais entre instituições em relação às características de seus dados. Um modelo se...

Discussão

Este artigo apresenta um modelo de Aprendizagem Federada Adversarial-Robusta (AR-FL) com o objetivo de aprimorar a previsão do risco de mortalidade utilizando Registros Eletrônicos de Saúde (EHRs) multi-institucionais, melhorando a precisão, robustez e generalizabilidade. O estudo revela que incorporar treinamento adversarial ao ambiente federado beneficiará significativamente o modelo, tornando-o mais resistente a perturbações de entrada e variabilidade de domínio entre diferentes insti...

Materiais

Lista de materiais utilizados neste artigo

Nome	Empresa	Número de catálogo	Comentários
Adam Otimizador	PyTorch	https://pytorch.org/docs/stable/generated/torch.optim.Adam.html	Otimização
Kit de Ferramentas CUDA	NVIDIA	https://developer.nvidia.com/cuda-toolkit	Versão 11.8; Aceleração da GPU
Biblioteca de Privacidade Diferencial	Opacus	https://opacus.ai	Versão 1.3.0; Treinamento baseado em DP para preservar a privacidade
Banco de Dados de Pesquisa Colaborativa eICU	PhysioNet	https://physionet.org/content/eicu-crd/2.0/	Dados do EHR de pacientes da UTI
MIMIC-III	PhysioNet	https://physionet.org/content/mimiciii/1.4/	Dados do EHR de pacientes da UTI
Roteiro de Ataque PGD	GitHub	https://github.com/Saswati-C/AR-FL-HER	Versão: commit-hash; Geração de exemplos adversariais
PyTorch	PyTorch.org	https://pytorch.org	Versão 2.0; Implementação e treinamento do modelo
Tesla V100 GPU	NVIDIA	https://www.nvidia.com/en-us/data-center/v100/	Treinamento em modelos