A Multiparty Homomorphic Encryption Approach to Confidential Federated Kaplan Meier Survival Analysis

Diese Arbeit stellt ein vertrauliches, föderiertes Framework für die Kaplan-Meier-Überlebensanalyse vor, das auf einer mehrparteiligen homomorphen Verschlüsselung (CKKS) basiert und es ermöglicht, sensible Patientendaten über zahlreiche Institutionen hinweg zu analysieren, ohne die Rohdaten zu zentralisieren oder zu offenbaren.

Das Wesentliche

Das große Problem: Der "Geheime Zettel"

Stellen Sie sich vor, Sie wollen herausfinden, wie lange Menschen mit einer bestimmten Krankheit im Durchschnitt leben. Dafür brauchen Sie Daten von vielen verschiedenen Krankenhäusern. Aber hier liegt das Problem: Krankenhäuser dürfen ihre Patientendaten nicht einfach an einen zentralen Ort schicken. Das wäre wie wenn jeder sein geheimes Tagebuch auf den Tisch legt – ein riesiges Risiko für die Privatsphäre.

Früher gab es zwei Möglichkeiten:

1. Alles zentralisieren: (Gefährlich für die Privatsphäre).
2. Nichts teilen: (Die Wissenschaft kommt nicht voran).

Dieses Papier stellt eine dritte, magische Lösung vor: Wir können die Zahlen zusammenrechnen, ohne dass jemand die einzelnen Tagebücher sieht.

---

Die Lösung: Ein unsichtbarer Rechenkessel

Die Forscher haben ein System entwickelt, das wie ein unsichtbarer Rechenkessel funktioniert. Hier ist die Analogie:

1. Die verschlüsselten Briefe (Homomorphic Encryption)

Stellen Sie sich vor, jedes Krankenhaus schreibt seine Zahlen auf ein Stück Papier, steckt es in einen magischen, undurchsichtigen Briefkasten (Verschlüsselung) und schickt ihn zum Koordinator.

• Der Koordinator kann den Briefkasten nicht öffnen. Er sieht nur die Form des Briefes.
• Aber das Magische ist: Der Koordinator kann die Briefe zusammenkleben (addieren), ohne sie zu öffnen.
• Wenn er alle Briefe zusammenklebt, entsteht ein neuer, größerer Brief, der die Summe aller Zahlen enthält. Aber immer noch niemand weiß, was in den einzelnen Briefen stand.

2. Der "Schlüssel-Rat" (Threshold Decryption)

Jetzt haben wir einen riesigen Brief mit der Summe aller Daten. Wer darf ihn öffnen?

• In der alten Welt hätte der Koordinator den Brief einfach geöffnet. Das wäre riskant, falls er neugierig ist.
• In dieser neuen Welt gibt es einen Schlüssel-Rat (ein Komitee aus verschiedenen Personen).
• Um den Brief zu öffnen, müssen alle (oder eine bestimmte Anzahl) Mitglieder des Rates ihre kleinen Teilschlüssel beisteuern.
• Kein Einzelner kann den Brief öffnen. Erst wenn alle ihre Teile zusammenlegen, erscheint das Ergebnis.

3. Das Ergebnis: Nur die Kurve, keine Details

Am Ende öffnet der Rat den Brief. Was sehen sie?

• Sie sehen eine Überlebenskurve (eine Grafik, die zeigt, wie viele Menschen nach 1, 5, 10 Jahren noch leben).
• Wichtig: Sie sehen NICHT die einzelnen Zahlen, wie viele Patienten im Krankenhaus A oder B gestorben sind.
• Das ist wie wenn man eine Suppe probiert: Man schmeckt den perfekten Geschmack (das Ergebnis), aber man weiß nicht genau, wie viele Gramm Salz das eine Restaurant und wie viele das andere hinzugefügt haben.

---

Warum ist das so wichtig? (Die drei großen Vorteile)

1. Sicherheit vor "Abziehen" (Der Diebstahl durch Subtraktion)

In alten Systemen, bei denen die Zahlen im Klartext geteilt wurden, gab es einen riesigen Haken:

• Wenn der Koordinator sagte: "Insgesamt sind 100 Patienten gestorben", und das Krankenhaus B wusste: "Bei uns sind 20 gestorben", dann konnte Krankenhaus B einfach rechnen: 100 minus 20 = 80.
• Plötzlich wusste Krankenhaus B genau, was in allen anderen Häusern passierte. Das ist wie wenn man das Gesamtgehalt einer Firma kennt und sein eigenes Gehalt abzieht, um das Gehalt des Kollegen zu erraten.
• Die neue Methode verhindert das: Da die Zahlen verschlüsselt sind und nur das Endergebnis (die Kurve) freigegeben wird, kann niemand etwas abziehen. Die "Abziehmethode" funktioniert nicht mehr.

2. Genauigkeit trotz Magie

Man könnte denken: "Wenn man die Zahlen verschlüsselt und magisch verrechnet, wird das Ergebnis doch ungenau, oder?"

• Die Forscher haben bewiesen: Nein!
• Das Ergebnis ist so präzise, als hätten sie alle Daten auf einen Haufen geworfen und normal gerechnet. Die "magische" Rechnung ist fast fehlerfrei.

3. Skalierbarkeit (Es wächst mit)

Das System ist so gebaut, dass es auch mit hunderten von Krankenhäusern funktioniert.

• Die Kommunikation wächst linear: Wenn sich die Anzahl der Krankenhäuser verdoppelt, verdoppelt sich auch der Datenverkehr (nicht mehr, nicht weniger).
• Die Forscher haben sogar eine "interleaved" (verwobene) Methode entwickelt. Stellen Sie sich vor, Sie packen zwei Sockenpaare in einen Koffer.
  • Früher: Man packte die linke Socke in einen Koffer und die rechte in einen anderen (2 Koffer).
  • Neu: Man packt beide Paare in einen einzigen Koffer (1 Koffer).
  • Das spart Zeit und Bandbreite, ohne die Genauigkeit zu beeinträchtigen.

---

Zusammenfassung in einem Satz

Diese Forschung hat einen sicheren, magischen Rechenkessel gebaut, der es erlaubt, dass hunderte von Krankenhäusern gemeinsam berechnen, wie lange Patienten leben, ohne dass auch nur ein einziger Patient identifiziert werden kann oder dass ein Krankenhaus die Daten des anderen "stehlen" kann.

Es ist der Unterschied zwischen einem chaotischen Haufen offener Tagebücher und einem perfekt organisierten, verschlüsselten Team-Geheimnis, das nur das Endergebnis preisgibt.

Technische Zusammenfassung

1. Problemstellung

Die Überlebensanalyse (insbesondere der Kaplan-Meier-Schätzer) ist ein zentrales Instrument in der klinischen und epidemiologischen Forschung. Traditionell erfordern solche Studien die Zusammenführung sensibler Patientendaten in einer zentralen Datenbank, was jedoch aufgrund strenger Datenschutzvorschriften (wie der DSGVO) und Governance-Hürden oft unmöglich ist.

Federated Learning (FL) bietet einen Ansatz, bei dem Daten dezentral bleiben. Bisherige Ansätze für federierte Kaplan-Meier-Analysen haben jedoch signifikante Schwachstellen:

• Plaintext-Rekonstruktionsangriff: In herkömmlichen zweistufigen Protokollen werden aggregierte Zählungen (Anzahl der Risikopatienten $n_t$ und Ereignisse $d_t$) oft im Klartext zwischen den Knoten ausgetauscht. Ein bösartiger Knoten kann durch Subtraktion seiner eigenen lokalen Daten von den globalen Summen die exakten Beiträge der anderen Knoten rekonstruieren („Subtraction Attack").
• Fehlende Schätzer-Garantien: Es gibt wenig theoretische Analyse darüber, wie sich die Näherungsfehler homomorpher Verschlüsselung auf die Genauigkeit des Kaplan-Meier-Schätzers auswirken.
• Skalierbarkeit: Es fehlen klare Skalierungsgesetze für Kommunikations- und Rechenkosten in Abhängigkeit von der Anzahl der Knoten und Zeitpunkten.

2. Methodik

Die Autoren schlagen ein privatsphäreschützendes, federiertes Framework vor, das auf Threshold CKKS (Cheon-Kim-Kim-Song) Homomorpher Verschlüsselung (HE) basiert. CKKS wurde gewählt, da es native Unterstützung für approximative Gleitkomma-Arithmetik und effizientes SIMD-Packing (Single Instruction, Multiple Data) bietet, was für statistische Analysen essenziell ist.

Das Protokoll läuft in drei Phasen ab:

• Phase A (Setup & Alignment):
  • Die Knoten führen eine verteilte Schlüsselerzeugung (DKG) durch, um einen gemeinsamen öffentlichen Schlüssel und individuelle Geheimnis-Anteile zu erzeugen.
  • Die lokalen Zeitpunkte (Ereignisse und Zensierungen) werden im Klartext gesammelt, um ein globales Ausrichtungs-Gitter ($T_{all}$) zu bilden. Dies ist notwendig, um die Datenpunkte aller Knoten zu synchronisieren.
• Phase B (Verschlüsselte Aggregation):
  • Jeder Knoten berechnet lokale Zählungen ($n_t, d_t$) für das globale Gitter.
  • Diese Zählungen werden in CKKS-Plaintext-Vektoren gepackt und verschlüsselt.
  • Es werden zwei Packungsmodi verglichen:
    • Interleaved: Paare $(n_t, d_t)$ werden gemeinsam gepackt, um die Anzahl der Chiffretexte zu minimieren.
    • Separate: Die Ströme für $n$ und $d$ werden unabhängig gepackt.
  • Der Koordinator (Server) führt homomorphe Additionen der verschlüsselten Vektoren durch, ohne die Daten zu entschlüsseln.
• Phase C (Threshold-Decryption & Output Gating):
  • Ein Komitee von Entschlüsslern (Decryptors) erzeugt Teil-Entschlüsselungs-Shares für die aggregierten Chiffretexte.
  • Ein Kombinator fusioniert diese Shares, um die aggregierten Plaintext-Zählungen zu erhalten.
  • Wichtiges Sicherheitsmerkmal (Output Gating): Nur der finale Kaplan-Meier-Überlebenskurve $\hat{S}(t)$ (und optional Konfidenzintervalle) wird an die Teilnehmer zurückgegeben. Die aggregierten Tabellen mit den Rohzahlen $(n_t, d_t)$ werden nicht veröffentlicht. Dies verhindert die Subtraktions-Rekonstruktion.

3. Schlüsselbeiträge

Das Paper liefert vier Hauptbeiträge:

1. Vollständiges Multiparty-CKKS-Framework: Ein System mit Threshold-Decryption und striktem Output-Gating, das nur öffentliche Überlebenskurven zurückgibt und somit die Angriffsfläche für Rekonstruktionsangriffe schließt.
2. Theoretische Garantien auf Schätzer-Ebene:
   • Beweis, dass das federierte HE-Ergebnis dem zentralen „Oracle" (Pooled Estimator) entspricht.
   • Herleitung einer Störungsschranke (Perturbation Bound) für CKKS, die zeigt, dass der Kaplan-Meier-Schätzer bei verschwindendem Rauschen gleichmäßig konvergiert.
   • Identifizierbarkeitsergebnis: Die Veröffentlichung nur der Kurve $\hat{S}(t)$ offenbart Hazard-Ratios, aber nicht die zugrundeliegenden Ganzzahl-Zählungen oder die Aufteilung pro Knoten.
3. Optimierung des Packings: Ein Beweis, dass das „Interleaved Packing" (alternierende $n$ und $d$) unter additiver Aggregation optimal ist, da es die Anzahl der benötigten Chiffretexte minimiert (untere Schranke erreicht).
4. Skalierungsgesetze: Herleitung geschlossener Formeln für Kommunikations- und Rechenkosten. Die Kommunikation skaliert linear mit der Anzahl der Knoten ($K$) und stufenweise mit der Anzahl der Zeitpunkte ($|T|$).

4. Ergebnisse

Die Autoren evaluierten das System an synthetischen Brustkrebsdaten ($N=60.000$, verteilt auf bis zu 500 Knoten) und dem realen NCCTG-Lungendatensatz.

• Privatsphäre (RQ1): Im Plaintext-Protokoll konnten Knoten die Beiträge anderer durch Subtraktion exakt rekonstruieren (Fehler nahe 0, Trefferquote 100%). Das vorgeschlagene HE-Protokoll eliminiert diesen Angriff vollständig, da die Rohzahlen nie im Klartext offengelegt werden.
• Numerische Genauigkeit (RQ2 & RQ3): Die verschlüsselten Kaplan-Meier-Kurven sind numerisch vom zentralen Oracle nicht zu unterscheiden.
  • Fehler in der Überlebensfunktion liegen im Bereich von $10^{-8}$.
  • Restricted Mean Survival Time (RMST) und Hazard-Raten stimmen mit Maschinengenauigkeit überein.
  • Sowohl Interleaved- als auch Separate-Packing liefern identische Genauigkeit.
• Effizienz und Skalierung (RQ4–RQ6):
  • Rechenzeit: Skaliert nahezu linear mit der Anzahl der Knoten ($K$).
  • Packing-Vorteil: Interleaved Packing ist bei großen $K$ um ca. 10–22 % schneller als Separate Packing, da weniger Chiffretexte zu verarbeiten sind.
  • Kommunikation: Der Upstream-Verkehr skaliert linear mit $K$. Interleaving reduziert den Datenverkehr bis zu einem Faktor von 2 im Vergleich zu Separate Packing.
  • Overhead: Trotz des HE-Overheads bleibt die Gesamtlaufzeit für große Föderationen (bis 500 Knoten) im Bereich von Sekunden bis wenigen Minuten, was für praktische Anwendungen machbar ist.

5. Bedeutung und Ausblick

Diese Arbeit stellt einen bedeutenden Fortschritt für die sichere medizinische Datenanalyse dar. Sie beweist, dass es möglich ist, hochpräzise Überlebensanalysen über viele Institutionen hinweg durchzuführen, ohne dass sensible Rohdaten zentralisiert oder preisgegeben werden müssen.

• Praktische Relevanz: Das Framework ermöglicht hochvertrauliche Multi-Institutions-Studien, die bisher aufgrund von Datenschutzbedenken nicht durchführbar waren.
• Sicherheitsmodell: Durch die Kombination aus Threshold-Decryption und Output-Gating wird das Risiko von Inferenzangriffen (Subtraktion) effektiv neutralisiert, ohne die statistische Aussagekraft zu beeinträchtigen.
• Zukünftige Arbeiten: Die Autoren sehen Potenzial für Erweiterungen auf gewichtete Schätzer, Intervallzensierung oder Cox-Modelle, was jedoch eine sorgfältige Verwaltung der multiplikativen Tiefe in der HE erfordert.

Zusammenfassend bietet das Paper einen robusten, skalierbaren und theoretisch fundierten Ansatz für die federierte Überlebensanalyse, der die Lücke zwischen kryptografischer Sicherheit und statistischer Genauigkeit schließt.