联邦学习在医疗安全中的应用：数据可用不可见

一、 引言：医疗健康数据要素化的破局与联邦学习的崛起

在数字化转型与人工智能（AI）技术飞速发展的当代，医疗健康行业正经历着深刻的范式重塑。现代医疗体系每天都在产生海量的、高维度的数据，涵盖电子病历（EHR）、医学影像（DICOM）、多组学基因序列、可穿戴设备信号以及长期随访记录等。这些数据蕴含着极高的临床价值与科研潜力，被视为驱动精准医疗、新药研发及公共卫生治理的核心生产要素。然而，医疗数据本身具有极度敏感的隐私属性，其不仅涉及患者的基本身份信息，更关联着个体的生命健康轨迹与生物学本质。

传统的人工智能模型训练高度依赖于中心化的数据湖泊，即将海量异构数据汇聚至统一的中央服务器进行集中式计算。这种模式在医疗领域面临着难以逾越的合规壁垒与安全风险。随着全球及中国范围内数据合规监管的日趋严格，医疗健康数据被明确界定为“敏感个人信息”或“核心数据”，一旦发生数据泄露或被非法利用，不仅会对患者的人格尊严与生命财产安全造成严重威胁，更会使医疗机构面临严厉的刑事处罚与巨额罚款。政策层面的高压态势与医疗机构对数据所有权的自我保护意识，共同导致了严重的“数据孤岛”现象。各医疗机构的临床数据沉睡在院内封闭系统（如PACS、RIS、HIS）中，形成了一道道无形的数据壁垒，“不敢共享、不敢用”长期以来成为了制约医疗AI发展的最大瓶颈。

在此背景下，联邦学习（Federated Learning, FL）作为一种分布式机器学习框架应运而生，并迅速成为破解医疗数据孤岛的关键技术路径。最初由Google于2016年提出用于优化移动端键盘预测的联邦学习技术，在医疗领域找到了其最具说服力的应用场景。联邦学习的核心理念彻底颠覆了传统的集中式数据共享模式——它不再要求将数据集中传输至算法所在之处，而是主张“数据不动模型动”（Bring the model to the data）。通过在各个数据节点本地进行模型训练，并仅在节点与中央服务器之间交换加密后的模型参数（如梯度或权重增量），联邦学习在物理链路上实现了原始数据的本地化驻留。

这一技术架构完美契合了全球医疗数据监管的诉求，尤其是中国国家数据局与卫生健康委员会所倡导的“原始数据不出域、数据可用不可见”的战略方针。据市场分析预测，联邦学习市场规模在2025年已达到1亿美元，并预计到2035年将以27.3%的年复合增长率飙升至16亿美元，其中大型企业占据了约63.7%的市场份额，主要用于应对严格的数据主权与跨机构协作需求。本报告将深入剖析联邦学习在医疗安全场景中的应用机制，从底层的隐私计算技术簇、政策合规监管体系的演进，到多模态数据的互操作性标准，再到真实的临床应用实践与对抗性安全防御机制，进行全方位、深层次的专业阐释。

二、 “数据可用不可见”的底层逻辑与隐私计算技术（PETs）融合

联邦学习并非单一的统计算法，而是一个深度融合了分布式计算、密码学、博弈论与网络通信的复杂系统工程。在医疗安全场景中，为了真正在数学与工程层面上落实“数据可用不可见”，联邦学习需要依托严谨的技术框架，并与一系列隐私增强技术（Privacy-Enhancing Technologies, PETs）进行深度的架构级嵌套。

2.1 联邦学习的核心运作机制与技术分类

医疗联邦学习的总体工作流建立在去中心化的协作基础之上，其典型生命周期包含四个核心环节。首先是初始化阶段，中央协调服务器（Aggregator）将初始的全局模型结构及参数分发至各个参与机构（如各三甲医院、基层诊所或医学检验中心）；其次是本地训练阶段，各机构利用本地防火墙内封闭的患者数据集对模型进行独立的前向与反向传播计算，得出损失函数的梯度或参数增量；随后是全局汇总阶段，各机构仅将高维的数值型张量（即模型更新）上传至服务器，这些张量可能包含数千万个浮点数（例如一个胸部X光分类模型的梯度张量可能高达2500万个参数）；最后，中央服务器采用特定的聚合算法（最经典如联邦平均算法 FedAvg）将各节点的更新融合成更为精准的全局模型，并再次下发。这一循环往复的迭代过程将持续进行，直至模型在验证集上达到收敛状态。

根据医疗机构间数据特征与样本重叠度的差异，联邦学习架构可划分为三种主要的技术范式：

2.2 应对梯度泄漏的隐私增强技术（PETs）

早期的研究普遍存在一种乐观的假设，即“只要不直接共享原始医疗记录，就能保障患者隐私”。然而，这一假设已被现代信息安全研究彻底推翻。在基础的联邦学习架构中，尽管原始数据（如DICOM影像、电子病历）未离开医院，但各机构上传的模型梯度依然是原始数据特征的高度抽象。恶意的参与者或被攻陷的中央服务器可以通过“梯度泄漏”（Gradient Leakage）或“模型反演攻击”（Model Inversion Attack），以极高的保真度逆向重构出特定患者的医学扫描图像或基因序列。这就意味着，单纯的联邦架构无法满足《通用数据保护条例》（GDPR）或美国《健康保险流通与责任法案》（HIPAA）对受保护健康信息（PHI）的严苛要求。

因此，医疗联邦学习必须与以下隐私增强技术（PETs）进行深度整合，方能实现真正的“可用不可见”：

差分隐私（Differential Privacy, DP）：该技术通过在模型训练阶段或梯度上传前引入严格校准的数学噪声（通常为拉普拉斯噪声或高斯噪声），来掩盖任何单一患者记录对全局模型输出的影响。DP的核心在于隐私预算（$ε$）的设定。例如，在针对BraTS脑肿瘤分割数据集的研究中，通过引入$ε$-差分隐私框架（如设定$ε=2$），有效地阻断了攻击者从模型参数中逆向推导单个患者肿瘤特征的可能。然而，差分隐私的引入不可避免地导致了“隐私-效用权衡”（Privacy-Utility Trade-off），过度的噪声会严重干扰梯度收敛的方向，导致医疗模型（尤其是对精度要求极高的精准医疗诊断模型）的准确率和灵敏度下降。

同态加密（Homomorphic Encryption, HE）：同态加密被视为解决隐私聚合计算的终极密码学方案。它允许在密文状态下直接进行算术操作，且计算解密后的结果与在明文上操作的结果完全一致。在医疗联邦学习中，各医院的梯度经过HE（如Paillier机制，或基于格密码的CKKS、BFV方案）加密后上传。中央服务器在全程无法获取密钥、无法窥探任何梯度明文的情况下完成加权聚合。这种方式不会引入噪声，从而保证了模型的无损精度。但HE的致命弱点在于其极其庞大的计算与通信开销，密文运算耗时往往是明文计算的上千倍级别，这对于参数量动辄上亿的深度学习模型而言，带来了巨大的工程挑战。近期研究提出的多密钥全同态加密（mMFHE）以及自适应加密调优（HEAT-FL）框架，正致力于在模型层级敏感度与加密耗时之间寻找平衡，初步实现了加密时间下降约50%以上的优化。

安全多方计算（Secure Multi-Party Computation, SMPC）：SMPC利用秘密共享（Secret Sharing）或混淆电路技术，将梯度张量分片打散并分发给多个参与方，确保没有任何单一节点能够拼凑出完整的模型更新。SMPC能够无损地完成计算，但其需要在训练轮次中进行极其频繁的节点间网络通信交互。在跨国或跨洲的大规模医疗联邦网络中，这种多轮通信很容易引发严重的网络延迟与带宽瓶颈。

可信执行环境（Trusted Execution Environment, TEE）：作为一种基于硬件架构的安全机制，TEE（如Intel SGX、海光CSV、华为鲲鹏TrustZone等）在处理器的内存中划分出一块隔离的“飞地”。联邦学习的聚合算法与解密密钥被置于TEE中运行，即使是云平台的最高权限管理员，甚至操作系统内核，也无法读取或篡改执行中的代码与数据。在“数据可用不可见”的闭环中，TEE提供了一种高性价比的硬件级信任根，极大缓解了纯密码学方案（如HE或SMPC）带来的算力灾难，逐渐成为医疗数据空间建设的底座技术。

三、 医疗合规监管体系与“可信数据空间”建设

在医疗数据领域，技术演进的根本动力往往来源于严格合规监管的约束。近年来，以中国为代表的主要经济体构建了极为严密的数据保护法律框架，联邦学习的广泛落地，正是在这一监管重压下寻找“合规流通与价值释放”平衡点的必然结果。

3.1 法律法规边界：从PIPL到医疗数据分类分级

中国相继颁布的《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及《中华人民共和国个人信息保护法》（PIPL），构筑了数据合规的底层法律基座。其中，PIPL第二十八条将“医疗健康和生物识别信息”单列为敏感个人信息，规定此类信息的处理不仅需取得个人的单独明示同意，还需具备特定目的与充分必要性。此外，国家卫生健康委员会印发的《卫生健康行业数据分类分级指南（试行）》将医疗数据细分为核心数据、重要数据和一般数据共3大类22小类，要求实行差异化的访问控制与全生命周期管理。

在传统的集中式数据共享模式下，医疗机构试图通过脱敏去标识化（De-identification）来规避隐私红线。然而，实证研究表明脱敏手段极不完善——在一项2022年的权威研究中，针对所谓已脱敏医疗数据集的重新识别攻击（Re-identification attacks），成功率高达87%。此外，集中式共享带来了“举证责任倒置”的困境，一旦数据出域，医疗机构必须承担繁重的法律责任来论证数据接收方的安全性；而采用联邦学习模式，原始数据及其所有权均未离开医疗机构的本地服务器，将合规风险从“防止原始数据泄露”降维至纯粹的技术验证层面（即证明模型参数的安全隔离），从根本上解除了医院“不敢共享”的思想包袱。对于涉及跨境研发的医疗器械企业或出海创新药企而言，若需符合美国的HIPAA合规要求，联邦学习亦成为规避直接传输个人健康信息（PHI），免遭联邦贸易委员会（FTC）巨额处罚的关键手段。

3.2 “数据要素×”战略下的可信流通实践

进入2024年至2026年，国家层面对于数据要素潜能的释放按下了加速键。由国家数据局等17个部门联合印发的《“数据要素×”三年行动计划（2024—2026年）》中，明确将“数据要素×医疗健康”作为核心攻坚方向，旨在推进电子病历的跨域共享，并依法探索推进基本医保与商业健康保险数据的融合应用，全面释放健康医疗数据价值。国家卫健委也明确表态：支持医疗数据要素价值化，但严禁原始病历的直接打包交易，所有价值变现行为必须依托合规、可监管的机制进行。

在这一顶层设计的指引下，“可信数据空间”（Credible Data Space）成为了破局的战略载体。《可信数据空间发展行动计划（2024—2028年）》提出要在2028年前建成100个以上的可信数据空间。联邦学习与隐私计算正是支撑这些空间运转的底层设施。例如，南京江北新区生物医药公共服务平台依托国家健康医疗大数据（东部）中心，采用了联邦学习机制，成功整合了覆盖江苏省8000多万人口的公共卫生临床诊疗数据以及高达20PB的多组学数据，构建了AI制药异构算力调度服务联盟。该平台通过实施“实名申请、定点调取、全程监控”的合规流程，在保护数据安全的前提下，助力数十家企事业单位进行真实世界研究与靶点发现，整体降低企业研发成本超千万元，成功实现了公共数据平台的市场化造血循环。在上海浦东新区等地，“数据试衣间”与“监管沙盒”机制也已落地，支持药械企业在隔离的联邦沙箱内开展创新产品的试运行。

四、 跨越系统壁垒：互操作性标准（FHIR与DICOM）与异质性挑战

在医疗联邦学习从实验室算法走向临床网络部署的过程中，最大的绊脚石往往并非算法本身，而是医疗数据固有的极端异质性以及信息系统的互操作性壁垒。

4.1 非独立同分布（Non-IID）困境与底层标准建设

医疗数据的生成环境千差万别。不同级别的医院分布在不同的地理区域，收治的患者具有不同的流行病学特征；不同的医学影像设备（如GE、西门子、联影的MRI或CT扫描仪）采用不同的成像协议；甚至不同医师的主观记录习惯也大相径庭。这种系统性的差异导致了医疗数据本质上呈现出高度的非独立同分布（Non-IID）特性。在传统的集中式训练中，数据科学家可以在汇聚数据后进行统一的清洗、截断与归一化处理；但在联邦学习中，这一“数据统一对齐（Data Harmonization）”的过程演变成了一场“分布式的噩梦”。如果各节点的数据接口不一致，联邦算法根本无法处理跨源特征提取。

为了解决这一问题，构建联邦网络的先决条件是全面推行国际或国家的医疗信息化互操作性标准：

• HL7 FHIR（Fast Healthcare Interoperability Resources）：由Health Level Seven International开发，旨在利用现代RESTful APIs和轻量级数据格式（如JSON、XML）重塑电子健康记录（EHR）的交换。在联邦学习中，FHIR能够将错综复杂的住院记录、实验室检验结果及生命体征转化为标准化的资源模型，极大地降低了数据清洗的计算开销，支持跨机构的纵向患者记录串联。
• DICOM（医学数字成像和通信标准）：在医学影像AI中，DICOM不仅规范了像素数据的存储，更重要的是统一了极其复杂的放射学元数据（如采集参数、切片厚度、设备标识）。这使得联邦模型在联合多中心影像数据时，能够基于元数据进行域适应（Domain Adaptation），保证临床关联性的准确提取。

同时，中国在顶层标准建设上也在持续发力。例如，《医院信息平台交互标准》（WS/T 846-2024）规范了69项交互服务与消息传输技术，确保了国内医疗机构底层数据结构的规范性与一致性；而针对联邦学习本身的隐私工程，IEEE P2857标准与T/CHIA等行业规范也相继出台，为联邦集群的安全组网、差分隐私实现及聚合治理提供了权威的实施指南。

五、 医疗联邦网络架构演进与全场景临床实践

随着底层加密技术与数据互操作性标准的逐步成熟，医疗联邦学习已经走出概念验证期，深入扎根于医学影像多中心研究、罕见病诊断预测及真实世界药物研发等高价值临床场景。

5.1 概念架构与网络拓扑模型

医疗联邦网络的物理架构通常采用“中心-辐射（Hub-and-Spoke）”拓扑。在这一架构下，各三甲医院、医学科研院所或检验中心作为边缘客户端（Client Nodes），拥有对本地敏感数据（如通过FHIR标准化的EHR或DICOM影像）的绝对控制权；而部署在权威公立云或科研联盟中心的可信服务器（Aggregator）则负责统筹全局算法的演进。

5.2 标杆案例解析：影像协同、罕见病筛查与慢病预测

医学影像大模型的跨洲际协作： 在医学影像分割与分类任务中，数据量与多样性直接决定了AI模型的鲁棒性。2022年发表于国际顶级期刊《Nature Medicine》的EXAM研究，标志着联邦学习在医疗领域的里程碑。该研究联合了横跨五大洲的20家顶级医疗机构，利用NVIDIA FLARE联邦架构，针对COVID-19患者的胸部X光片及体征数据进行了联合建模预测。结果显示，融合后的全局模型AUC（曲线下面积）高达0.92，其泛化性能超越了参与该项目的16家独立机构所训练的单中心模型，生动诠释了“博采众长”的优势。此外，在多中心脑肿瘤分割挑战赛（BraTS）中，Intel与宾夕法尼亚大学联合71家医疗机构开展了联邦模型训练。不仅全局模型的精度维持在接近集中式训练（差距在1.1%以内）的水平，更通过基于FHIR的实时队列筛选与DICOM影像缓存技术，使得联邦节点间的数据传输量骤减了87%，极大提升了工程部署效率。

破解罕见病的“小样本困境”： 对于发病率极低的新生儿罕见病（如苯丙酮尿症 PKU），任何单一的医疗机构，甚至是省级专科医院，在数年内积累的有效阳性病历样本都屈指可数。小样本学习（Few-shot Learning）难以训练出可靠的深度神经网络，而将散落全国的病历集中分析又面临极高的伦理审查与法律风险。联邦学习在此展现了破局之能：它能够跨越地域限制，在数十家甚至上百家医疗机构之间建立安全的算力网络，将原本稀疏的孤岛数据从统计学意义上虚拟聚合成庞大的正负样本池。这不仅使得罕见病特征提取模型的收敛成为可能，更大幅提高了罕见病在全人群筛查中的识别敏感度。

慢性病风险评估的精确化跃升： 在慢性疾病预警管理中，跨机构特征融合（纵向联邦学习）发挥着关键作用。例如，腾讯天衍实验室联合微众银行利用开源联邦学习框架（FATE），针对患者的电子病历及其关联生理数据进行了联合建模。通过在加密状态下引入临床决策支持系统（CDSS）的知识库规则，联邦模型成功避开了局部极值陷阱，使得针对脑卒中（Stroke）的风险识别准确率突破了80%，证明了在不共享原始敏感信息的前提下，异构数据的联动能够显著提升慢病干预的临床价值。此外，韩国KAIST研究人员展示了通过生成代表机构核心特征的合成数据在医疗和金融系统之间进行跨域联邦训练的突破，进一步拓宽了联邦模型的泛化能力。

六、 迈向深水区：分布式架构下的内生安全威胁与防御反制

尽管联邦学习在一定程度上解决了数据隐私的政策藩篱，但“去中心化”的系统本质同时引入了全新的安全漏洞与网络攻击向量。可以说，联邦学习并未消除安全隐患，而是将攻防阵地从“静态数据库防御”转移到了“动态梯度参数攻防”之上。

6.1 拜占庭节点、数据投毒与后门攻击

在医疗联邦网络中，中央服务器对边缘客户端（医院节点）的数据质量缺乏直接审查能力。这使得系统极易遭受数据投毒攻击（Data Poisoning Attack）或拜占庭攻击（Byzantine Attacks）。恶意的参与者或存在硬件故障的边缘节点，可能故意篡改本地训练样本的标签（例如，将影像中的恶性肿瘤特征标记为良性），或者直接在上传的局部模型参数中植入隐蔽“后门”（Backdoor）。相关研究表明，即便网络中仅有极小比例（如不到5%）的恶意客户端参与，其上传的“毒化梯度”一旦被中央服务器不加甄别地加权平均，也会导致全局医疗诊断模型的准确率及召回率发生断崖式下跌，甚至引发灾难性的临床误诊事件。

6.2 抵御恶意篡改的稳健聚合算法（Robust Aggregation）

为了剥离毒化梯度，联邦学习的中央防线必须摒弃简单的联邦平均（FedAvg），转而采用具备容错能力的稳健聚合算法（Robust Aggregation），利用统计学与距离度量来实现对异常节点的自我免疫。

• 距离度量与异常剔除（Krum 与 Bulyan 算法）：Krum算法是抵御拜占庭攻击的经典机制。在每一轮聚合前，Krum会计算各客户端上传的梯度向量与其他所有向量间的欧氏距离（Euclidean Distance），借此挑选出最接近整体分布重心的那一组参数，自动排斥距离过远的异常梯度。基于Krum升级而来的Bulyan算法，则在初筛的基础上引入了截断均值（Trimmed Mean）策略，对候选参数维度的两极数值进行二次裁剪，从而更严苛地抵御残余的隐蔽攻击。
• 聚类算法与相似度加权：更精细的防御手段依赖于余弦相似度或DBSCAN、K-means等无监督聚类算法。通过在参数特征空间中对局部模型进行聚类，将那些明显偏离“多数派群体”的离群模型识别出来。模型越接近主聚类中心，其在全局聚合中被赋予的权重就越高，而恶意节点的影响则被稀释甚至被直接阻断。

6.3 应对海量参数的通信压缩与量化机制

由于深度学习模型参数量巨大，医疗联邦网络面临着严重的通信开销瓶颈。在带宽受限或网络环境不稳定的医疗物联网（MIoT）场景下，频繁的高维张量传输极易导致系统崩溃。为此，研究人员引入了梯度压缩（Gradient Compression）与量化（Quantization）机制。通过将高位宽浮点数（如64位或32位FP）量化为低比特位表示（如8位或6位），辅以阈值自适应的梯度稀疏化处理，算法仅上传超过变化阈值的关键参数。实证表明，这种处理在保持模型精度损失不足1%的前提下，能够将单次通信传输量削减50%至上百倍，极大地提升了联邦学习在大规模医疗节点间的部署效率与训练速度。

七、 从通用走向精准：个性化联邦学习（PFL）的突破

标准联邦学习（如FedAvg）旨在追求一个适用于所有机构的“大一统”模型。然而，受制于医疗非独立同分布（Non-IID）数据的强烈干扰（如不同医院的检验仪器规格、专科特色截然不同），强制平均异构梯度不仅无法提升性能，反而会引发“模型漂移”，导致全局模型在某些特定医院的预测精度劣于其本地独立训练的模型。为解决这一痼疾，个性化联邦学习（Personalized Federated Learning, PFL）成为了当前学术界与产业界的焦点研究方向。PFL的宗旨是：在共享全局基础知识的同时，为每家医院“量体裁衣”，保留针对其本地数据特征的定制化参数。

当前主流的医疗PFL架构正沿着多条技术路径演进：

1. 基于近端正则化的 FedProx 与 pFedMe：FedProx算法通过在客户端的本地损失函数中引入近端正则化项（Proximal term），约束本地模型的更新方向，防止其过度偏离全局模型，从而在剧烈的异质数据冲突中平滑了参数波动。而pFedMe算法则进一步利用Moreau包络技术，解耦了全局优化与本地个性化优化的过程，在预测准确度与收敛速度上相较FedAvg分别提升了显著百分点。
2. 基于元学习（Meta-Learning）的 Per-FedAvg：该框架受模型无关元学习（MAML）理论的启发。它的目标并非直接寻找一个完美的分类模型，而是通过联邦协作寻找一个具有极强适应能力的“初始化权重参数库”。当这个参数库下发至各家医院后，各医院只需利用自身的本地异构数据进行极少轮次的微调（Fine-tuning），即可迅速适应本地特征，大幅提升对罕见特征或特定人群的预测精度。
3. 个性化渐进式架构（PPFL）与高斯混合聚类（FedGMC）：在更为复杂的临床场景中，PPFL机制将深度神经网络切割为两段——前半段的通用骨干层进行全局联邦聚合，而后半段的个性化层则保留在医院本地，专门用于提取本院特有的垂直特征。在预测患者院内死亡率及癌症复发数据的实证研究中，PPFL的AUROC指标高达0.948，完胜传统的局部模型与FedAvg算法。另一方面，FedGMC框架则在训练前引入高斯混合聚类（Gaussian Mixture Clustering），将数据分布相似的医院自动编组为特定的联邦集群。不同集群训练各自的定制模型，从而避免了强制融合带来的性能折损，最大程度保证了医疗机构间协作的公平性与积极性。

八、 结论：构建可持续演进的医疗可信人工智能生态

医疗健康领域正在步入深度数字化与数据要素价值释放的快车道。传统的集中式数据交换模式因触碰极度敏感的伦理与合规红线而难以维系，而联邦学习技术以其“数据可用不可见”的核心机制，为跨机构的医疗联合科研、新药创制与公共卫生监测提供了一条合法、合规且高效的技术坦途。

本报告的系统分析表明，联邦学习并非一个孤立的算法，而是一套需要深嵌差分隐私（DP）、同态加密（HE）或可信执行环境（TEE）的复杂系统工程。只有通过严密的隐私增强技术（PETs）对梯度泄露和模型反演进行物理与数学双重封堵，配合诸如Krum与Bulyan等稳健聚合算法剔除恶意节点的干扰，才能构筑起足以抵御现代对抗性攻击的护城河。同时，面对医疗数据天然的非独立同分布（Non-IID）属性，个性化联邦学习（PFL）架构（如Per-FedAvg、PPFL）的演进，彻底打破了“大一统”模型的局限，使得医疗AI能够真正兼顾全局视野与局部精准度。

面向2025年及更长远的未来，医疗隐私计算与联邦协作平台必将跨越单纯的信息系统建设阶段，演变为医院核心运营体系的一部分。通过将患者知情同意、伦理审查批件、沙箱授权机制与底层的联邦计算引擎无缝对接，构建“需求牵引-价值量化-利益共享”的商业闭环机制，我国的可信数据空间生态将迎来蓬勃发展。这不仅将极大加速精准医疗产品的研发周期，更将以前所未有的广度重塑整个大健康产业的数据生产力格局。