联邦脉冲生成对抗网络与Rényi差分隐私：面向脑机接口的隐私保护合成脑电生成

《Frontiers in Human Neuroscience》：Federated Spiking GANs with Rényi Differential Privacy for privacy-preserving synthetic EEG generation in brain–computer interfaces

　　

用于脑机接口和脑机交互（BCI/BMI）的脑电图（EEG）数据包含敏感的、用户特定的信息，在游戏、人类增强和虚拟现实等消费应用中带来隐私风险。加密和匿名化等现有方法要么在分析过程中无法保护数据，要么仍会暴露可识别属性。差分隐私（DP）虽提供形式化保护，但常降低数据效用。关键挑战在于生成既能保护敏感属性又能保留用于下游任务的时间特征的合成EEG数据。为此，研究人员开发了一种联邦脉冲生成框架，将基于脉冲神经网络（SNN）的生成器、时间相关噪声、基于人工神经网络（ANN）的判别器以及Rényi差分隐私（RDP）集成到联邦学习框架中。基于SNN的生成器捕获时间特征，基于ANN的判别器维持分类精度。联邦训练可防止原始客户端数据集中；通过受控扰动脉冲序列（spike-train）和膜电位（membrane-potential）表示，并在基于RDP的隐私核算支持下实现隐私保护。研究人员将该架构与RDP-TimeGAN、RDP-CRNN-GAN、RDP-RCGAN和RDP-Clare-GAN等方法进行对比，结果表明，该方法在合成EEG生成中既保持了隐私，又保留了时间特征和下游效用。该方案可在BCI/BMI研究与开发中实现分布式合成EEG数据的隐私保护生成。

脑电图（EEG）在脑机接口和脑机交互（BCI/BMI）中蕴含高度个性化的敏感生理信息，在游戏、人类增强与虚拟现实等消费场景中面临隐私泄露风险。加密与匿名化等方法要么无法在分析过程中保护数据，要么仍会暴露可识别的属性；差分隐私（DP）虽能提供形式化保护，但通常导致数据效用下降。生成对抗网络（GAN）可生成高质量的合成数据，但缺少内在隐私保障；脉冲神经网络（SNN）擅长捕捉EEG的时间动态，联邦学习（FL）则可在不共享原始数据的前提下开展协作训练。已有基于GAN的合成数据方法面临扩展性和高维数据挑战，时间序列GAN（如RCGAN、TimeGAN）未集成隐私保护技术，SNN与联邦学习结合在异常检测和活动识别中显示了潜力，但尚缺乏针对EEG的隐私保护综合方案。因此，如何生成既保护敏感属性又保留时间特征的合成EEG数据，是本研究要解决的核心问题。

研究人员提出一种联邦脉冲生成对抗网络框架，将基于SNN的生成器、时间相关噪声、基于人工神经网络（ANN）的判别器以及Rényi差分隐私（RDP）集成到联邦学习架构中。SNN生成器捕捉EEG的时间特征，ANN判别器维持分类精度；联邦训练避免原始客户端数据集中，通过对脉冲序列和膜电位表示进行受控扰动，并结合RDP隐私核算实现隐私保护。实验基于BCI Competition IV Dataset 2A数据集，选用9名受试者（A1–A9）的C3、Cz、C4三个运动想象通道，去除伪迹后归一化。数据被划分为4个模拟客户端；生成器采用基于Leaky Integrate-and-Fire（LIF）神经元的3层全连接结构，判别器为多层全连接ANN，并通过差分隐私随机梯度下降（DP-SGD）更新，梯度裁剪范数C=1.0，加性高斯噪声由DP噪声乘子控制。时间相关噪声系数取0.55。通过EEGNet和ATCNet分类器在下游任务中评估，并与RDP-TimeGAN、RDP-RCGAN、RDP-CRNN-GAN和RDP-Clare-GAN进行对比。

### 3.1 评估场景
研究人员设计了五种训练-测试组合，包括Train(Tr+Sy)、Test(Te)，Train(Tr50+Sy50)、Test(Te)，Train(Tr)、Test(Sy)，Train(Sy)、Test(Tr)和Train(Sy)、Test(Te)。结果表明，提出的方法在多数隐私预算下取得较高准确率，ATCNet约为0.83，EEGNet约为0.78–0.81；基线中RDP-TimeGAN表现较好（ATCNet约0.76，EEGNet约0.75），但仍低于提出方法。RDP-CRNN-GAN与RDP-RCGAN的准确率较低且波动更大。提出方法在噪声乘子变化时保持较稳定准确率，说明其能更好地平衡EEG效用与隐私。此外，将真实训练数据减少50%并以50%合成数据增强，提出方法仍能维持甚至略升准确率，而其他基线模型出现下降。

### 3.2 数据保真度
通过动态时间规整（DTW）和频谱相似性（SS）评估合成EEG与真实EEG的相似程度。DTW值低表示时间动态接近，SS值高表示频率特征保持良好。结果显示，提出方法生成的合成数据与真实数据高度相似，但受试者间存在一定差异，提示个体特定特征可能尚未完全整合。

### 3.3 基于3D t-SNE的高维EEG数据可视化
t-分布随机邻域嵌入（t-SNE）可视化表明，提出方法生成的合成EEG数据在分布上与真实EEG数据紧密接近，优于RDP-CRNN-GAN和RDP-RCGAN，后者生成的样本表现出更强的均匀性，与RDP-TimeGAN和RDP-Clare-GAN相比也存在差距。

### 3.4 完全黑盒攻击
在完全黑盒攻击（FBA）中，攻击者仅能访问合成数据并试图推断某个真实数据点是否被用于训练。结果显示，当隐私预算ε较低时，模型攻击成功率低，表明隐私保护能力强；随着ε增大，攻击成功率上升，符合差分隐私框架中隐私-效用权衡的预期。

### 3.5 消融研究
通过去除SNN生成器（WOSNN）、去除联邦训练（WOFL）以及去除时间相关噪声与RDP机制（WOCRN）进行消融，并以仅用真实数据训练的EEGNet作为Real-only基线。在ε=4时，WOCRN准确率高于隐私保护条件和Real-only，表明隐私机制会带来效用成本；提出方法优于WOSNN和WOFL，说明SNN生成器、联邦训练和隐私保护机制共同决定了所观察到的隐私-效用权衡，而非单一组件贡献。

综合讨论部分，研究人员指出，不同受试者间结果变异性较大，未来需针对个体化效用优化；数据相关贡献得分c_m未被单独私有化，其隐私成本未纳入RDP核算，未来工作将私有化c_m并与DP-SGD/RDP组合；异质性非独立同分布客户端分布尚未显式评估。研究计划结合安全多方计算，并扩展到fMRI、MEG等多模态神经数据。

研究结论：本研究提出了一种通过联邦脉冲生成对抗网络框架生成隐私保护合成EEG数据的新方法，将SNN生成器、ANN判别器、时间相关噪声模型与RDP融入联邦学习范式。与现有方法不同，该方法利用SNN固有的时间动态来有效捕捉EEG信号的关键特征。通过将RDP纳入联邦学习，在保证数据效用的前提下提供稳健的隐私保障。实验表明，该方法能在隐私与效用之间取得平衡，并生成高保真的合成EEG数据。与RDP-TimeGAN、RDP-CRNN-GAN、RDP-RCGAN和RDP-Clare-GAN的大量对比分析凸显了该方法在保持EEG时间动态和提供强隐私保护方面的性能。所提出的方法推动了隐私保护合成数据生成的现有实践，并为需要数据保真度与隐私兼备的临床和研究应用铺平道路。未来研究将探索更多隐私保护技术，并将该方法扩展至其他神经数据及多模态数据合成。