만약 병원들이 환자 데이터를 어디로도 전송하지 않고, 또한 중앙 집계 서버(central aggregation server)에 의존하지도 않으면서 집단적으로 임상 AI 모델을 학습시킬 수 있다면 어떨까요?

현대 의료 AI는 근본적인 모순에 직면해 있습니다.

임상 데이터가 많을수록 모델은 잠재적으로 더 좋아질 수 있습니다. 하지만 데이터가 민감할수록 이를 중앙 집중화하고, 교환하며, 처리하는 것은 더욱 어려워집니다.

MRI 스캔, 유전체 프로필(genomic profiles), 전자 건강 기록(electronic health records), 병리 이미지(pathology images), 그리고 종단적 환자 기록(longitudinal patient histories)은 현존하는 가장 민감한 형태의 데이터 중 하나입니다.

병원들은 이 모든 정보를 단순히 글로벌 데이터베이스에 업로드할 수 없습니다.

연합 학습(Federated Learning)은 우아한 해답을 제시했습니다:

환자 데이터를 로컬(local)에 유지하십시오. 대신 모델을 이동시키십시오.

하지만 전통적인 연합 학습(Federated Learning)은 여전히 다음과 같은 결정적인 아키텍처 의존성을 남깁니다:

중앙 집계 서버(the central aggregator).

이 글은 다른 방향을 탐구합니다:

환자 데이터는 로컬에 머물고, 모델 지식은 네트워크를 통해 이동하며, 집계(aggregation) 자체가 중앙 집중식 서비스가 아닌 분산된 기능이 되는 임상 AI 네트워크를 구축할 수 있을까요?

제안된 아키텍처는 중앙 임상 데이터 저장소와 단일 신뢰 모델 집계기(trusted model aggregator)의 필요성을 모두 제거한, 임상 AI를 위한 탈중앙화된 개인정보 보호 프레임워크입니다.

목표는 연합 학습(Federated Learning)을 대체하는 것이 아닙니다.

그 근저에 있는 토폴로지(topology)를 재사고하는 것입니다.

1. 문제점: 중앙 집중식 지능 vs 탈중앙화된 데이터

세 곳의 병원을 가정해 봅시다.

각 병원은 서로 다른 환자군을 보유하고 있습니다:

• 병원 A는 종양학(oncology) 전문입니다.
• 병원 B는 농촌 지역 인구를 대상으로 합니다.
• 병원 C는 대규모 소아과 부서를 운영합니다.

그들의 데이터 분포는 근본적으로 다릅니다.

Hospital A
   │
   ├── MRI
...

전통적인 중앙 집중식 머신러닝(machine learning) 접근 방식은 데이터를 중앙 위치로 이동시키려 시도할 것입니다.

이는 명백한 문제들을 야기합니다:

• 개인정보 보호 (Privacy)
• 규제 준수 (Regulatory compliance)
• 데이터 주권 (Data sovereignty)
• 보안 (Security)
• 국가 간 데이터 전송 (Cross-border data transfer)
• 중앙 집중식 침해 위험 (Centralized breach risk)
• 기관 소유권 (Institutional ownership)

연합 학습 (Federated Learning)은 이 모델을 변화시킵니다.

데이터를 이동시키는 대신:

데이터는 로컬에 유지
       ↓
모델이 이동
...

이는 중대한 개선입니다.

하지만 아키텍처는 여전히 다음과 같은 형태를 띠는 경우가 많습니다:

             중앙 집계 서버 (Central Aggregator)
             /       |       \ 
            /        |        \ 
...

중앙 집계 서버는 조정 지점 (coordination point)이 됩니다.

이 서버가 가공되지 않은 환자 데이터를 저장하지는 않더라도, 여전히 다음과 같은 존재가 됩니다:

• 조정 의존성 (coordination dependency)
• 잠재적인 단일 장애점 (single point of failure)
• 가치가 높은 공격 대상 (high-value attack target)
• 신뢰 앵커 (trust anchor)
• 잠재적인 병목 현상 (bottleneck)
• 중앙 집중식 모델 거버넌스 권한 (centralized model governance authority)

이제 질문은 다음과 같습니다:

집계(aggregation) 자체를 탈중앙화할 수 있는가?

2. 핵심 아이디어: 중앙 집계 서버가 없는 임상 AI

제안된 아키텍처는 다른 모델을 도입합니다:

             병원 A
                ↕
                ↕
...

전역 환자 데이터베이스는 존재하지 않습니다.

단일 중앙 집계 서버도 존재하지 않습니다.

네트워크 전체가 작동하기 위해 반드시 온라인 상태를 유지해야 하는 단일 오케스트레이터 (orchestrator)도 존재하지 않습니다.

대신, 시스템은 다음을 결합합니다:

• 연합 학습 (Federated Learning)
• 피어 투 피어 네트워킹 (Peer-to-peer networking)
• 비동기식 모델 전파 (Asynchronous model propagation)
• 비잔틴 내성 집계 (Byzantine-robust aggregation)
• 보안 집계 (Secure aggregation)
• 차분 프라이버시 (Differential privacy)
• 로컬 모델 개인화 (Local model personalization)
• 분산 모델 검증 (Distributed model validation)

핵심적인 아키텍처 원칙은 다음과 같습니다:

환자 데이터는 로컬에 유지된다. 임상 지식은 분산된다.

이것이 절대적인 의미에서 "데이터베이스가 없는" 상태를 의미하는 것은 아닙니다.

병원들은 여전히 자체 임상 시스템을 위한 로컬 저장소가 필요합니다.

정확한 아키텍처 정의는 다음과 같습니다:

중앙 데이터 저장소가 없는 (Central-data-repository-free) 임상 AI.

이 네트워크는 전역 환자 데이터를 포함하는 중앙 집중식 저장소를 필요로 하지 않습니다.

3. 6계층 아키텍처

제안된 시스템은 서로 독립적이면서도 상호작용하는 6개의 계층으로 표현될 수 있습니다.

┌───────────────────────────────────────────────┐
│  Layer 6 — 임상 거버넌스 및 컴플라이언스 (Clinical Governance & Compliance)  │
│  감사 (Audit) • 동의 (Consent) • 정책 (Policy) • 인간 감독 (Human Oversight)   │
...

각 계층은 서로 다른 문제를 해결합니다.

4. Layer 1: 로컬 데이터 주권 (Local Data Sovereignty)

첫 번째 규칙은 간단합니다:

원시 임상 데이터 (Raw clinical data)는 해당 관리 도메인을 벗어나지 않습니다.

로컬 환경에는 다음과 같은 항목이 포함될 수 있습니다:

• MRI 이미지
• CT 스캔
• EHR (전자 건강 기록) 레코드
• 유전체 정보 (Genomic information)
• 병리 이미지 (Pathology images)
• 환자 병력 (Patient histories)

데이터는 이를 소유하거나 관리하는 기관의 통제하에 유지됩니다.

로컬 저장소는 다음과 같은 기술을 사용할 수 있습니다:

• 암호화된 SQLite / SQLCipher
• 병원급 데이터베이스 (Hospital-grade databases)
• 보안 오브젝트 스토리지 (Secure object storage)
• 기존 PACS 인프라
• 로컬 EHR 시스템

중요한 아키텍처적 특성은 특정 데이터베이스 기술이 아닙니다.

그것은 바로 경계(boundary)입니다:

                 인터넷 / P2P 네트워크 (Internet / P2P Network)
                         │
                         │
...

글로벌 네트워크는 원시 환자 기록에 직접 접근할 필요가 전혀 없습니다.

5. Layer 2: 로컬 임상 지능 (Local Clinical Intelligence)

각 노드는 로컬 학습 (local training) 및 추론 (inference)을 수행합니다.

예를 들어:

for local_epoch in range(E):
    for batch in local_dataset:
        prediction = model(batch.x)
...

중요한 경계는 다음과 같습니다:

환자 데이터 (Patient Data)
     │
     ▼
...

원시 데이터는 경계를 넘을 필요가 없습니다.

이는 데이터와 지능 사이에 근본적으로 다른 관계를 형성합니다.

데이터는 로컬에 존재합니다.

학습된 표현 (learned representation)은 공유될 수 있습니다.

6. Layer 3: 프라이버시 보존 모델 업데이트 (Privacy-Preserving Model Updates)

연합 학습 (Federated Learning)이 자동으로 프라이버시를 보장하는 것은 아닙니다.

모델 업데이트는 잠재적으로 정보를 유출할 수 있습니다.

위협 요소에는 다음과 같은 것들이 포함될 수 있습니다:

• 그래디언트 반전 (Gradient inversion)
• 멤버십 추론 (Membership inference)
• 모델 업데이트 유출 (Model update leakage)
• 재구성 공격 (Reconstruction attacks)

따라서 아키텍처는 프라이버시를 명시적인 계층으로 다루어야 합니다.

실질적인 MVP (최소 기능 제품)는 다음과 같이 시작할 수 있습니다:

로컬 업데이트 (Local Update)
↓
그래디언트 클리핑 (Gradient Clipping)
...

차분 프라이버시 (Differential Privacy)는 정의된 위협 모델 (threat model) 하에서 공식적인 프라이버시 보장을 제공할 수 있습니다.

안전한 집계 (Secure Aggregation)는 개별 참여자의 업데이트가 집계 과정에 직접 노출되는 것을 방지할 수 있습니다.

동형 암호 (Homomorphic Encryption)와 같은 더 진보된 암호화 메커니즘은 나중에 조사할 수 있습니다.

핵심 원칙은 다음과 같습니다:

프라이버시는 연합 학습 (Federated Learning)만으로 가정되는 것이 아니라, 프로토콜 자체에 설계되어야 합니다.

7. 계층 4: 분산 조정 (Distributed Coordination)

이 지점이 아키텍처가 기존의 연합 학습 (Federated Learning)과 근본적으로 달라지는 부분입니다.

기존 방식:

병원 A ─┐
병원 B ─┼──► 중앙 집계기 (Central Aggregator)
병원 C ─┘

우리의 방식:

병원 A ◄────► 병원 B
     ▲                 ▲
     │                 │
...

피어 투 피어 (Peer-to-peer) 네트워킹은 libp2p와 같은 기술을 사용하여 구현할 수 있습니다.

가십 스타일 (Gossip-style) 프로토콜은 다음을 전파할 수 있습니다:

• 모델 업데이트 (Model updates)
• 모델 버전 (Model versions)
• 검증 결과 (Validation results)
• 평판 정보 (Reputation information)
• 모델 출처 메타데이터 (Model provenance metadata)

시스템은 비동기식 (asynchronous)이 됩니다.

한 병원이 반드시 다른 모든 병원을 기다릴 필요는 없습니다.

이는 임상 기관들이 매우 상이한 조건 하에서 운영되기 때문에 중요합니다.

어떤 기관은 다음과 같은 환경을 가질 수 있습니다:

• 빠른 GPU 인프라
• 고대역폭 연결성
• 대규모 데이터셋

반면, 다른 기관은 다음과 같을 수 있습니다:

• 제한된 하드웨어
• 간헐적인 연결성
• 소규모 데이터셋

분산 시스템은 이러한 이질성 (heterogeneity)을 허용해야 합니다.

8. 실제 연구 문제: 분산 집계 (Distributed Aggregation)

가장 어려운 문제는 네트워킹이 아닙니다.

그것은 바로 신뢰 (trust)입니다.

100개의 병원이 참여한다고 가정해 봅시다.

만약 다음과 같은 상황이 발생한다면 어떻게 될까요?

• 10개의 노드가 악의적이라면?
• 업데이트의 30%가 오염 (poisoned)되었다면?
• 노드가 손상된 모델 파라미터를 전송한다면?
• 시빌 공격자 (Sybil attacker)가 수백 개의 가짜 참여자를 생성한다면?
• 여러 노드가 공모한다면?

단순한 평균값만으로는 충분하지 않습니다.

따라서 시스템에는 강력한 집계 메커니즘이 필요합니다.

잠재적인 후보는 다음과 같습니다:

• Krum
• Multi-Krum
• Trimmed Mean (절단 평균)
• Coordinate-wise Median (좌표별 중앙값)
• Byzantine-robust aggregation (Byzantine 내성 집계)
• Reputation-weighted aggregation (평판 가중 집계)

개념적인 집계 파이프라인은 다음과 같을 수 있습니다:

Local Model Updates (로컬 모델 업데이트)
        │
        ▼
...

이는 근본적인 질문을 변화시킵니다.

문제는 더 이상 다음과 같지 않습니다:

"어떻게 모든 모델을 하나의 서버에서 집계할 것인가?"

대신 다음과 같이 변합니다:

"분산된 노드들이 어떻게 집단적으로 신뢰할 수 있는 모델을 구축할 것인가?"

이는 훨씬 더 심도 있는 시스템 문제입니다.

9. Non-IID 임상 데이터

헬스케어 데이터는 본질적으로 Non-IID (비독립 동일 분포)입니다.

다음 사례를 고려해 보십시오:

병원 A → 종양학 (Oncology)
병원 B → 심장학 (Cardiology)
병원 C → 소아과 (Pediatrics)
...

이들의 데이터 분포는 동일하지 않습니다.

전통적인 FedAvg (연합 평균) 방식은 로컬 목적 함수가 크게 갈라질 때 어려움을 겪을 수 있습니다.

FedProx는 과도한 로컬 드리프트 (local drift)를 줄이기 위해 근사 항 (proximal term)을 도입합니다.

개념적인 목적 함수는 다음과 같이 작성될 수 있습니다:

[
\min_{\theta}
\sum_{i=1}^{N}
w_i
\left[
F_i(\theta)
+
\frac{\mu}{2}
|\theta-\theta_i|^2
\right]
]

여기서:

• $F_i$는 노드 $i$의 로컬 목적 함수 (local objective)입니다.
• $\theta_i$는 로컬 모델입니다.
• $\theta$는 공유 모델입니다.
• $\mu$는 근사 정규화 (proximal regularization)를 제어합니다.
• $w_i$는 노드의 기여도 또는 신뢰 가중치를 나타냅니다.

하지만 글로벌 모델이 여전히 모든 병원에 최적은 아닐 수 있습니다.

이는 또 다른 중요한 아키텍처 구성 요소로 이어집니다:

글로벌 지식 + 로컬 개인화 (Global Knowledge + Local Personalization)

                 Global Model (글로벌 모델)
                      │
          ┌───────────┼───────────┐
...

네트워크는 집단적으로 학습합니다.

그 후 각 기관은 공유된 표현 (shared representation)을 자체적인 임상 인구 집단에 맞게 조정할 수 있습니다.

개인화된 연합 학습 (personalized Federated Learning)과 같은 기존 연구 방향이 여기서 중요한 토대를 제공합니다.

이 아키텍처의 기여는 개인화 자체가 새롭다고 주장하는 것이 아닙니다.

과제는 개인화를 탈중앙화된 조정 (decentralized coordination) 및 Byzantine 내성 (Byzantine resilience)과 결합하는 것입니다.

10. PSO는 어디에 위치하는가?

Particle Swarm Optimization (PSO)는 적응형 집계 전략 (adaptive aggregation strategy)으로서 탐구될 수 있습니다.

하지만, 이것이 자동으로 핵심 혁신 (core innovation)으로 간주되어서는 안 됩니다.

더 엄격한 연구 설계는 이를 실험적 구성 요소 (experimental component)로 취급하는 것입니다.

예를 들어:

집계 전략 (Aggregation Strategies)

FedAvg
...

가설은 다음과 같을 것입니다:

이질적이고, Non-IID이며, 비동기적이고, 부분적으로 적대적인 (partially adversarial) 조건 하에서 적응형 최적화 (adaptive optimization)가 집계를 개선할 수 있는가?

답은 반드시 실험을 통해 도출되어야 합니다.

만약 PSO가 더 단순한 방법들보다 뛰어난 성능을 보이지 않는다면, 프로덕션 아키텍처 (production architecture)에 남아있어서는 안 됩니다.

이는 연구 가설 (research hypothesis)과 아키텍처 요구사항 (architectural requirement) 사이의 중요한 차이점입니다.

11. 제안된 위협 모델 (Proposed Threat Model)

진지한 임상 AI 아키텍처에는 명시적인 위협 모델 (threat model)이 필요합니다.

시스템은 다음 사항들을 고려해야 합니다:

Honest-but-Curious 노드 (정직하지만 호기심 많은 노드)

참가자가 프로토콜을 준수하지만, 모델 업데이트로부터 정보를 추론하려고 시도하는 경우입니다.

악의적 노드 (Malicious Nodes)

참가자가 의도적으로 오염된 업데이트 (poisoned updates)를 전송하는 경우입니다.

Byzantine 노드 (Byzantine Nodes)

참가자가 임의적이거나 일관되지 않은 정보를 전송하는 경우입니다.

Sybil 공격 (Sybil Attacks)

공격자가 여러 개의 가짜 신원을 생성하는 경우입니다.

네트워크 공격 (Network Attacks)

공격자가 피어 투 피어 (peer-to-peer) 통신을 방해하려고 시도하는 경우입니다.

모델 오염 (Model Poisoning)

악의적인 업데이트가 글로벌 모델 (global model)을 조작하려고 시도하는 경우입니다.

프라이버시 공격 (Privacy Attacks)

공격자가 환자의 데이터가 학습에 사용되었는지 여부를 추론하려고 시도하는 경우입니다.

따라서 아키텍처는 다음을 결합해야 합니다:

암호화된 신원 (Cryptographic Identity)
        +
안전한 통신 (Secure Communication)
...

단일 구성 요소가 모든 위협을 해결할 수는 없습니다.

보안은 구성적 (compositional)이어야 합니다.

12. 제안된 아키텍처 (The Proposed Architecture)

모든 것을 종합하면 다음과 같습니다:

                       임상 거버넌스 (Clinical Governance)
                              │
                              ▼
...

결과적인 아키텍처는 두 가지 중앙 집중식 의존성 (centralized dependencies)을 제거합니다:

전통적인 연합 학습 (Traditional FL)

중앙 데이터 저장소 (Central Data Repository)
...

제안된 아키텍처는 다음을 목표로 합니다:

로컬 데이터 주권 (Local Data Sovereignty)
+
분산 집계 (Distributed Aggregation)

# 13. MVP 로드맵 (MVP Roadmap)

현실적인 MVP (Minimum Viable Product)는 모든 고급 암호화 기술을 동시에 구현하려고 시도해서는 안 됩니다.

## 1단계 — 연합 시뮬레이션 (Federated Simulation)

3~10개의 노드(node)를 가진 시뮬레이션을 구축합니다.

비교 대상:

- FedAvg
- FedProx
- 강건한 집계 방법 (Robust aggregation methods)
- 제안된 탈중앙화 집계 (Proposed decentralized aggregation)

측정 지표:

- 정확도 (Accuracy)
- F1
- AUROC
- 수렴 (Convergence)
- 통신 오버헤드 (Communication overhead)

## 2단계 — 프라이버시 (Privacy)

추가 사항:

- 그래디언트 클리핑 (Gradient clipping)
- 차분 프라이버시 (Differential Privacy)
- 보안 집계 (Secure Aggregation)

프라이버시와 유용성 간의 트레이드오프 (privacy/utility trade-off)를 평가합니다.

프라이버시 (Privacy) ↑
│
│ ●
...

목표는 어떤 대가를 치르더라도 최대의 프라이버시를 확보하는 것이 아닙니다.

목표는 프라이버시와 임상적 유용성 (clinical utility) 사이의 수용 가능한 균형을 찾는 것입니다.

## 3단계 — P2P 조정 (P2P Coordination)