Optimal Cox regression under federated differential privacy: coefficients and cumulative hazards

1. Problema y Contexto

El artículo aborda dos problemas fundamentales en el análisis de supervivencia distribuido bajo el marco de Privacidad Diferencial Federada (FDP):

1. Estimación de los coeficientes de regresión ($\beta_0$) del modelo de riesgos proporcionales de Cox.
2. Estimación de la función de riesgo basal acumulada ($\Lambda_0(t)$) y, como consecuencia, de la función de supervivencia.

Contexto de Privacidad:
En entornos como la salud o las finanzas, los datos están distribuidos entre múltiples servidores (hospitales, instituciones) y no pueden centralizarse debido a restricciones de privacidad. El modelo de Privacidad Diferencial Federada (FDP) impone que cada servidor protege sus datos localmente (cumpliendo con Privacidad Diferencial Central, CDP) antes de comunicar cualquier información al servidor central. Además, el artículo considera escenarios heterogéneos donde cada servidor puede tener tamaños de muestra ($n_s$) y presupuestos de privacidad ($\epsilon_s, \delta_s$) diferentes.

Un desafío técnico específico en el modelo de Cox es la dependencia de los conjuntos de riesgo (at-risk sets) en la verosimilitud parcial, lo que complica el cálculo de la sensibilidad de los gradientes necesarios para la privacidad.

2. Metodología y Algoritmos Propuestos

Los autores proponen algoritmos computacionalmente eficientes que logran tasas de convergencia óptimas (minimax) bajo restricciones de privacidad.

A. Estimación de Coeficientes de Regresión (Algoritmo FDP-Cox)

• Enfoque: Un algoritmo de Descenso de Gradiente Estocástico Privado (Private SGD).
• Mecanismo de Privacidad: Se utiliza el mecanismo de Gaussiano en cada iteración. Cada servidor $s$ calcula el gradiente de la verosimilitud parcial local y añade ruido gaussiano para satisfacer $(\epsilon_s, \delta_s)$-CDP.
• Innovación Clave:
  • Manejo de la sensibilidad: Debido a que los términos de la verosimilitud de Cox dependen de la suma de todos los sujetos en riesgo, la sensibilidad del gradiente es del orden de $O(\log(n)/n)$. Los autores acotan rigurosamente esta sensibilidad bajo supuestos de covariables acotadas.
  • Ponderación Federada: Se utilizan pesos $v_s$ proporcionales al "tamaño de muestra efectivo" de cada servidor, definido como $\min(n_s, n_s^2 \epsilon_s^2 / d)$. Esto permite combinar heterogeneidad en tamaños de muestra y presupuestos de privacidad de manera óptima.
  • Iteraciones: El algoritmo se ejecuta en $K$ iteraciones, utilizando lotes de datos independientes en cada servidor para cada iteración, lo que permite un análisis de composición de privacidad más eficiente.

B. Estimación del Riesgo Basal Acumulado (Algoritmo FDP-Breslow)

• Enfoque: Una versión privada del estimador de Breslow, adaptada para entornos federados.
• Mecanismo:
  • Se divide el horizonte de tiempo $[0, 1]$ en intervalos.
  • Se utiliza una estructura de árboles binarios (similar a Chan et al., 2011) para publicar estimaciones de la integral del riesgo. Esto permite reconstruir la función $\Lambda_0(t)$ en cualquier punto $t$ agregando solo un número logarítmico de estimadores de intervalos, minimizando la acumulación de ruido.
  • Se aplica truncamiento para manejar eventos de baja probabilidad donde el conjunto de riesgo es demasiado pequeño, asegurando la acotación de la sensibilidad.
• Salida: Un estimador $\hat{\Lambda}_0(t)$ que satisface FDP y permite derivar un estimador de la función de supervivencia $\hat{S}(t; z)$.

C. Privacidad Diferencial de Etiquetas (Label DP)

• El artículo también explora un marco relajado donde las covariables ($Z$) son públicas y solo los tiempos de evento y censuras ($T, \Delta$) son privados.
• Se demuestra que, aunque esto reduce la sensibilidad en algunos casos, la tasa minimax para la regresión de Cox bajo Label FDP sigue siendo similar a la de la privacidad completa en ciertos regímenes, destacando la complejidad intrínseca del modelo de Cox.

3. Contribuciones Clave

1. Análisis Minimax Riguroso: Es el primer estudio sistemático que establece límites inferiores (lower bounds) y superiores (upper bounds) para la regresión de Cox bajo FDP.
   • Se demuestra una transición de fase a nivel de servidor entre el régimen no privado y el privado.
   • La tasa de error cuadrático medio para $\beta_0$ es del orden de:
     $$\frac{d^2}{\sum_{s=1}^S \min(n_s, n_s^2 \epsilon_s^2 / d)}$$
     Esto cuantifica el "costo fundamental de la privacidad".
2. Algoritmos Óptimos: Los algoritmos propuestos (FDP-Cox y FDP-Breslow) alcanzan estas tasas minimax (hasta factores polilogarítmicos).
3. Estimador de Supervivencia Óptimo: Se deriva un estimador de la función de supervivencia que alcanza la tasa minimax óptima, demostrando que estimar la supervivencia no es más difícil que estimar los coeficientes de regresión en este contexto.
4. Heterogeneidad: Los resultados son válidos para configuraciones completamente heterogéneas (diferentes $n_s$ y $\epsilon_s$ por servidor), revelando cómo cada servidor contribuye al error global según su capacidad local de privacidad.

4. Resultados Principales

• Tasas de Convergencia:
  • En un escenario homogéneo ($n_s=n, \epsilon_s=\epsilon$), la tasa de error es $\max\left(\frac{d^2}{Sn}, \frac{d^3}{Sn^2\epsilon^2}\right)$. El primer término es la tasa no privada; el segundo es el costo de la privacidad.
  • La transición entre regímenes depende de si la restricción de privacidad es el cuello de botella ($n^2\epsilon^2/d < n$) o si el tamaño de la muestra lo es.
• Simulaciones Numéricas:
  • Los experimentos confirman que el error de estimación disminuye al aumentar el tamaño de la muestra ($n$) y el presupuesto de privacidad ($\epsilon$).
  • Se observa que el error aumenta con la dimensión ($d$).
  • En datos reales (conjunto de datos de cáncer de mama de Rotterdam), los algoritmos muestran un rendimiento práctico robusto, con errores que disminuyen conforme se relajan las restricciones de privacidad o se aumenta el número de servidores.
• Privacidad Parcial (Label DP): Se demuestra que tener covariables públicas no elimina necesariamente el costo de la privacidad en la estimación de coeficientes para el modelo de Cox, a diferencia de lo que ocurre en regresión lineal simple bajo ciertos regímenes.

5. Significado e Impacto

• Fundamentos Teóricos: El trabajo llena un vacío crítico en la literatura estadística al proporcionar la primera teoría minimax rigurosa para el análisis de supervivencia distribuido con privacidad.
• Aplicabilidad Práctica: Proporciona herramientas (implementadas en el paquete R FDPCox) para que instituciones sanitarias y financieras puedan colaborar en modelos de riesgo sin comprometer la confidencialidad de los pacientes, cumpliendo con regulaciones como el GDPR.
• Comprensión del Costo de la Privacidad: Cuantifica exactamente cuánto se degrada la precisión estadística debido a la privacidad en un entorno federado, permitiendo a los diseñadores de sistemas tomar decisiones informadas sobre el equilibrio entre privacidad y utilidad.
• Nuevas Direcciones: Abre la puerta a futuras investigaciones sobre inferencia de incertidumbre (intervalos de confianza privados) y aprendizaje transferido en entornos de supervivencia federada.

En resumen, este artículo establece un nuevo estándar para el análisis de datos de supervivencia en la era de la privacidad distribuida, combinando teoría estadística avanzada con algoritmos prácticos y eficientes.