CKKS (esquema "aproximado") — Família FHE para números reais. Ruído de aproximação controlado (erro ~10⁻¹¹ aqui). Esquema padrão para ML federado — gradientes são vetores de reais.

8 192 slots — Cada ciphertext é um vetor de 8 192 valores. Um único ciphertext carrega o vetor de gradientes de um hospital inteiro. 4 hospitais = 4 ciphertexts somados.

Profundidade multiplicativa 2 — Quantas multiplicações encadeadas. Para agregação federada (somar + dividir por N), profundidade 2 é confortável.

~128 bits de segurança — Padrão da indústria. Quebrar a chave exige ~2¹²⁸ operações. Inviável.

Base RLWE — Ring Learning With Errors. O mesmo problema do ML-KEM/ML-DSA padronizados pelo NIST como criptografia pós-quântica.

Albert Einstein — share 1/4

Sírio-Libanês — share 2/4

HCor — share 3/4

Oswaldo Cruz — share 4/4

Quórum exigido: 4 de 4. Sem cooperação dos quatro, nem o gradiente médio é revelado.

Sem operador central confiável — Em ML federado tradicional, geralmente há um "agregador confiável" que centraliza tudo. Isso é frágil: o agregador pode ser invadido, comprometido, ou simplesmente desonesto. Threshold elimina o operador único de confiança.

Cada hospital é par — Os 4 hospitais são instituições pares, não há hierarquia entre eles. Threshold encaixa naturalmente em colaborações horizontais entre instituições do mesmo nível.

Auditoria distribuída — Cada decifração registra log auditável das 4 partes. Nenhum hospital pode "rodar análises secretas" sobre os dados dos outros.

Predição de sepse — Modelo linear simples (regressão sobre 3 features clínicas: frequência cardíaca, pressão arterial, nível de lactato). Sepse é uma das doenças onde detecção precoce salva vidas mensuráveis.

Treino local = dado local — O hospital itera sobre seus pacientes dentro do seu próprio sistema. Cada cálculo de erro acontece em servidor próprio. Os pacientes nunca saem do hospital, em momento algum.

Gradiente = 4 números — O resultado de todo o treino é um vetor minúsculo de 4 valores reais: a "direção" em que os pesos do modelo devem se mover. É essa derivada que sai do hospital.

Mas aqui está o catch — Em FL puro, esse vetor de 4 números é enviado em claro. Pesquisa mostrou (gradient leakage attacks) que é possível reverter o gradiente para reconstruir parte do dataset. Por isso precisamos cifrar antes de enviar.

Gradient leakage attacks — Pesquisa de IBM, Google e academia já demonstrou: a partir de gradientes em claro é possível recuperar parcialmente os dados de treino que os geraram. Para 50 pacientes com 3 features cada, em alguns casos é possível recuperar pacientes individuais com qualidade alarmante.

Por isso FHE — Cifrar os 4 números antes de enviar é o que torna FL realmente federado. Sem FHE, FL é uma promessa marketing — o dado vaza pelos gradientes. Com FHE, a promessa vira teorema.

Overhead aceitável — 4 floats em claro = 32 bytes. Cifrados = 768 KB. Overhead massivo, mas: (1) executado uma única vez por rodada de treino, (2) cifragem leva poucos milissegundos, (3) a alternativa (FL puro) não é defensável.

Mesma chave pública — Os 4 hospitais cifram com a MESMA chave pública (gerada via threshold no passo 2). Isso é o que permite ao agregador somar os ciphertexts no próximo passo.

Sabe que somou 4 coisas — Tem registro de que recebeu e processou 4 ciphertexts. Sabe a hora, o tamanho, o ID dos hospitais participantes.

NÃO sabe o que somou — Não tem ideia dos valores dos gradientes individuais. Não sabe nem se o gradiente do Einstein foi positivo ou negativo. Não sabe nem o sinal.

Não sabe nem o resultado — Mesmo o gradiente médio cifrado é opaco para o agregador. Ele só pode devolver o ciphertext aos hospitais. Apenas eles, com os shares de chave, podem decifrar.

1 ms para 4 hospitais — Velocidade real medida. Em produção com dezenas de hospitais e milhares de parâmetros (modelos maiores), o tempo escala linearmente: ~10 ms para 100 partes.

Modelo agora é coletivo — Os pesos atualizados refletem o aprendizado dos 4 hospitais juntos. Cada um se beneficia do conhecimento dos outros, sem ter visto dado de nenhum.

Próxima rodada — Em produção real, este ciclo se repete dezenas a centenas de vezes até o modelo convergir. Cada rodada continua sob cifra. Cada rodada melhora o modelo.

Modelo é público — Os pesos atualizados são compartilhados entre os 4 hospitais. Quem tiver acesso ao modelo pode usar para predizer sepse. Mas o modelo não revela nenhum paciente individual — apenas o aprendizado agregado.

O ganho científico — Modelo coletivo treinado em 200 pacientes (4×50) é matematicamente melhor que qualquer modelo treinado isoladamente em 50.

11 casas decimais — Para comparação: gradientes em ML têm magnitude tipicamente entre 10⁻³ e 10⁻¹. Erro de 10⁻¹¹ é 8 ordens de magnitude menor que o sinal. Negligível.

Convergência preservada — O modelo treinado com agregação FHE converge para os mesmos pesos finais que o modelo treinado com agregação plaintext. A precisão CKKS é mais que suficiente para SGD.

CKKS é o esquema certo — Para BGV (esquema exato) seria necessário codificar gradientes como inteiros — possível mas inconveniente. CKKS opera nativamente em reais com precisão controlada.