MIoT-FL：面向医疗物联网（MIoT）心电图（ECG）数据隐私保护与心脏病预测的联邦学习（FL）架构

《Franklin Open》：MIoT-FL: A privacy-preserving federated learning architecture for securing ECG data in heart disease prediction

为解决医疗物联网中ECG数据隐私泄露及FL系统易受窃听、投毒和推理攻击等问题，研究者提出MIoT-FL架构。该架构融合差分隐私(DP)、安全聚合(Secure Aggregation)与认证机制，在MIT-BIH数据集上最高分类准确率达98.21%，兼具高隐私性与强安全性。

　　

心血管疾病（Cardiovascular Disease, CVD）长期以来都是全球头号健康杀手，据世界卫生组织（WHO）统计，每年约有1790万人死于这类疾病。在这样的背景下，人工智能（AI）与医疗物联网（Medical Internet of Things, MIoT）的结合似乎为心脏病的早期预测和个性化治疗带来了曙光。如今，智能手表、便携心电贴片等穿戴式设备能够实时采集我们的心电图（Electrocardiogram, ECG）数据，这些高频的生理信号中隐藏着心脏健康的“密码”。

然而，想用这些数据进行大规模AI模型训练并非易事。传统的机器学习（Machine Learning, ML）往往需要将海量患者的原始数据集中上传到同一个中心服务器，这不仅面临着巨大的通信带宽压力，更触碰了数据隐私的红线。无论是美国的《健康保险流通与责任法案》（HIPAA）还是欧盟的《通用数据保护条例》（GDPR），都严格限制了敏感医疗数据的随意存储与共享。一旦中心服务器遭遇入侵，或是内部人员违规操作，将导致灾难性的患者隐私泄露。

有人可能会说，联邦学习（Federated Learning, FL）不就是为解决“数据不出域”而生的吗？没错，FL允许设备在本地训练模型，仅上传模型更新参数（如梯度或权重），看似规避了原始数据直传的风险。但在真实的医疗物联网场景中，FL并非固若金汤。被动的窃听攻击（Eavesdropping Attack）可以拦截传输中的梯度；恶意的投毒攻击（Poisoning Attack）能上传精心构造的对抗性模型更新，破坏全局模型的收敛甚至植入后门；而即便服务器是“诚实但好奇”的，推理攻击（Inference Attack），尤其是梯度反转（Gradient Inversion）和成员推断（Membership Inference），仍能从共享的模型参数中反推出原始的ECG波形或确认某位患者是否属于训练数据集。此外，在开放的蜂窝网络环境下，如何确保接入FL系统的MIoT设备是合法且经过认证的，也是一个现实难题。

为了突破这些瓶颈，Ajay Kumar Singh、Atul Kumar等人提出了一种名为MIoT-FL的新型隐私保护联邦学习架构，并发表在《Franklin Open》上。该架构专为基于ECG的心脏病预测设计，通过深度融合差分隐私（Differential Privacy, DP）、基于Diffie-Hellman的安全聚合（Secure Aggregation）以及快速认证机制，构建了一个多层防御体系。实验结果表明，MIoT-FL在MIT-BIH心律失常数据集上，不仅超越了以往多种FL框架的分类准确率，还极大增强了系统抵御各类攻击的韧性，为智能医疗的数据安全设立了新标杆。

本研究用到的几个关键技术方法包括：1. 基于MIT-BIH Arrhythmia Database的ECG信号处理与归一化（Z-score及Min-Max）；2. 采用(ε, δ)-差分隐私机制，在客户端进行L2范数梯度裁剪（Clipping）并添加高斯噪声；3. 基于Diffie-Hellman密钥交换的成对掩码（Pairwise Masking）安全聚合协议，确保服务器仅见加和、不见个体；4. 集成的设备身份验证层，利用公私钥对保障仅授权MIoT客户端参与；5. 在异构非独立同分布（Non-IID）数据环境下的联邦模型训练与评估。

1. Introduction

引言部分指出，尽管AI与MIoT的结合潜力巨大，但医疗数据的处理、安全和隐私问题制约了模型的落地。集中式ML违反隐私法规，而普通FL虽能分散训练，却仍面临模型投毒、恶意推理攻击、未授权设备接入及IoT资源受限等挑战。为此，作者提出了MIoT-FL架构，包含差分隐私噪声注入、安全聚合协议以及认证层三大核心组件，旨在不牺牲模型效能的前提下，为ECG心脏病检测提供安全、可扩展的解决方案。

2. Preliminaries

该章节定义了MIoT网络为一个去中心化环境，包含智能手机、穿戴式ECG传感器和医院边缘节点等。本地客户端利用ECG数据（提取特征x_i^k和标签y_i^k）进行预处理和本地训练。文中明确分析了三种主要威胁模型：窃听攻击可通过截获梯度?L_k尝试反推输入特征x?_i^(k)；投毒攻击中恶意客户端C_m发送巨大扰动δ_m破坏FedAvg聚合；推理攻击则包括通过阴影模型（Shadow Models）和损失函数阈值判断成员归属，或直接通过优化问题arg min‖?L - g_k‖₂重建ECG信号。

3. Related work

相关工作部分回顾了利用FL提升IoT智慧医疗数据安全的多项研究，如Patel等的通用FL-IoT框架、Mehta等的多模态FL（MFL）、以及结合区块链的FL框架等。作者指出，尽管前人研究了性能优化或与DP/区块链的结合，但多侧重于单一问题，且常假设客户端环境一致可信，忽略了医疗IoT中窃听、投毒和推理攻击可能同时发生，以及非IID数据、设备认证和规模化扩展等关键问题，从而引出了本研究的动机。

4. Methodology

方法论详细阐述了MIoT-FL的流程。首先，分布式MIoT设备（如智能手表）采集含噪声的ECG信号x_i(t) = s_i(t) + η(t)，经过去噪、Z-score标准化和Min-Max缩放后，进行本地模型训练。

在隐私保护机制（4.1节）中，客户端计算梯度g_k= ?L_k(w^(t))，先进行L2裁剪（g?_k，范数上限为C），再添加高斯噪声N(0, σ²C²I)，得到g?_k，以满足(ε, δ)-DP。

在安全聚合（4.2节）中，客户端间通过Diffie-Hellman生成共享密钥K_ij，利用PRNG生成对称随机向量r_ij= -r_ji。每个客户端C_k计算总掩码m_k= Σ_j≠kr_kj，发送掩码更新x?_k= x_k+ m_k。服务器聚合Σ x?_k= Σ x_k（因为Σ m_k= 0），仅得总和而无法窥视个体。DH密钥交换同时服务于客户端身份认证，确保只有持有合法凭据的设备能生成一致的抵消掩码。

5. Results and discussion

实验在配备Intel i9、RTX 3090的环境下，使用PyTorch、PySyft和Opacus库，基于MIT-BIH数据集（48条记录，47名受试者，360Hz）进行。结果显示，随着隐私预算ε增大（1到4），模型准确率提升，体现了隐私与效用的权衡：ε=1时准确率为84.92%，ε=2时为89.32%，ε=4时高达98.21%。与DP Fed、PED-PFL、PADP-FedMeta、AWE-DPFL等五种现有方法对比，MIoT-FL在各隐私预算下均取得最优表现，且在ε=1严苛隐私条件下，准确率仅比ε=4时低约13.29%，稳定性极佳。可扩展性测试中，客户端从10个增至100个（Non-IID数据），准确率从94.32%降至70.19%，通信开销增加但收敛尚稳，证明了其在真实大规模MIoT部署中的可行性。

6. Security analysis

安全分析进一步论证了架构的防御能力。认证层通过DH密钥和PRNG掩码绑定，数字签名验证防止未授权接入；窃听攻击中，截获的梯度因DP噪声和加密掩码，无法被数学还原或密码学破解；投毒攻击因异常大的梯度范数易被检测隔离，且DP和认证限制了恶意客户端影响；推理攻击则因梯度裁剪、高斯噪声扰乱了置信度/损失特征，使成员推断失效，且梯度反转目标函数因噪声不再稳定，服务器仅见聚合和，隐蔽了原始ECG值与身份。

7. Conclusion

结论总结道，MIoT-FL通过整合安全聚合、强认证和差分隐私，为ECG心脏病预测提供了多层防护。在MIT-BIH数据集上的评估表明，其在隐私保障、分类准确率和抗攻击（数据泄露、模型投毒、推理攻击）方面均超越先前FL系统。该架构轻量、可扩展，易于集成到实时边缘医疗系统中，提升了数据安全性与操作效率，且符合法律合规要求，为未来隐私聚焦的智能医疗监控奠定了基础。