Resumen Técnico: Pruebas de Hipótesis con Privacidad Diferencial en Análisis de Supervivencia

Enunciado del Problema

El análisis de supervivencia es fundamental para la toma de decisiones en dominios de alto riesgo como la medicina, la fiabilidad en ingeniería y la retención de clientes, sin embargo, frecuentemente involucra datos sensibles a nivel individual. Aunque la privacidad diferencial (DP) ofrece un marco riguroso para proteger dichos datos, el desarrollo de procedimientos de pruebas de hipótesis privadas para datos censurados a la derecha permanece significativamente subdesarrollado en comparación con la estimación privada. La literatura existente sobre pruebas privadas se basa en gran medida en la suposición de descomposiciones de verosimilitud independientes, una condición que falla en el análisis de supervivencia debido a la estructura de dependencia inducida por los conjuntos en riesgo. En consecuencia, los enfoques estándar de pruebas privadas no pueden aplicarse directamente a problemas canónicos de supervivencia como la regresión de Cox y la comparación de funciones de riesgo acumulado.

Este artículo inicia una teoría de muestras finitas para pruebas de hipótesis con privacidad diferencial en análisis de supervivencia, abordando tres problemas canónicos:

1. Prueba de hipótesis binaria para coeficientes de regresión de Cox.
2. Prueba de identidad (hipótesis nula simple frente a alternativa compuesta) para coeficientes de regresión de Cox.
3. Prueba de dos muestras para funciones de riesgo acumulado bajo censura a la derecha en un entorno distribuido.

Metodología

1. Prueba de Hipótesis Binaria para Coeficientes de Cox

Los autores proponen una versión con privacidad diferencial de la prueba de razón de verosimilitud parcial para probar $H_0: \beta^* = \beta_0$ vs. $H_1: \beta^* = \beta_1$.

• Mecanismo: La estadística de prueba se construye añadiendo ruido Laplace a la razón de verosimilitud parcial logarítmica. La escala del ruido se calibra a la sensibilidad de la razón de verosimilitud parcial logarítmica, la cual depende de la acotación del proceso de covariables y de la distancia entre $\beta_0$ y $\beta_1$.
• Privacidad: El procedimiento satisface la privacidad diferencial $(\epsilon, 0)$.
• Garantía de Detección: El artículo establece una condición suficiente para una prueba fiable, mostrando que la separación entre hipótesis debe exceder una tasa que comprende el término estándar no privado ($d/n$) y un término inducido por la privacidad ($d^2/n^2\epsilon^2$).

2. Prueba de Identidad para Coeficientes de Cox

Para el problema de probar $H_0: \beta^* = \beta_0$ vs. $H_1: \|\beta^* - \beta_0\|_2^2 \geq r^2$, los autores desarrollan una prueba de tipo estadístico de puntuación privada.

• Estadístico: En lugar de privatizar la forma cuadrática completa que involucra la matriz de información inversa (lo cual es difícil de estimar de forma privada), la prueba utiliza la norma euclidiana de la función de puntuación, $\|\dot{\ell}_n(\beta_0)/\sqrt{n}\|_2$.
• Calibración: El umbral de rechazo requiere la traza de la matriz de información poblacional, $\text{tr}\{G(\beta^*)\}$. Dado que esto es desconocido, los autores proponen un estimador privado para la traza utilizando un Hessiano privado calculado en un subconjunto de los datos.
• Implementación: La prueba final combina el estadístico de puntuación privado con un estimador de traza privado, evitando la necesidad de invertir privadamente una matriz $d \times d$. El procedimiento mantiene las mismas garantías de error que una prueba oráculo hasta factores constantes y logarítmicos.

3. Prueba de Dos Muestras Distribuida para Riesgos Acumulados

Los autores consideran un entorno distribuido donde dos servidores poseen conjuntos de datos $D_1$ y $D_2$ y desean probar $H_0: \Lambda_1 = \Lambda_2$ vs. $H_1: \|\Lambda_1 - \Lambda_2\|_\infty > r$.

• Enfoque: El método emplea un estimador de Nelson-Aalen privado distribuido (basado en una construcción similar a wavelets) para estimar las funciones de riesgo acumulado $\hat{\Lambda}_1$ y $\hat{\Lambda}_2$ en cada servidor.
• Estadístico de Prueba: La prueba rechaza $H_0$ si la distancia en norma sup entre los estimadores privados excede un umbral $\tau$.
• Privacidad: Cada servidor aplica un mecanismo privado que satisface $(\epsilon_k, \delta_k)$-DP. La prueba final es una función de estas salidas privadas, satisfaciendo las restricciones de privacidad distribuida.

Contribuciones y Resultados Clave

Garantías Teóricas

• Teoría de Muestras Finitas: El artículo proporciona garantías de detección de muestras finitas y cotas inferiores minimax, avanzando más allá de las perspectivas asintóticas comunes en la literatura previa de pruebas privadas.
• Tasas de Separación:
  • Para la prueba de coeficientes de Cox binaria, se muestra que la tasa de separación alcanzable es $O(d/n + d^2/n^2\epsilon^2)$. Se deriva una cota inferior minimax de $\Omega(d/n + d/n^2\epsilon^2)$, revelando una brecha donde la optimalidad de la prueba de razón de verosimilitud parcial propuesta permanece abierta.
  • Para la prueba de identidad, la tasa de separación es $O(d^{3/2}/n + \text{términos de privacidad})$. Se demuestra que el componente no privado ($d^{3/2}/n$) es casi óptimo minimax, mientras que la dependencia óptima con los parámetros de privacidad sigue siendo un problema abierto.
  • Para la prueba de dos muestras distribuida de riesgos acumulados, la prueba propuesta alcanza una tasa de separación que es minimax óptima hasta factores polilogarítmicos. La tasa combina el término no privado ($n^{-1/2}$) y el término de costo de privacidad ($(n\epsilon)^{-1}$).
• Privacidad vs. Eficiencia Estadística: Los resultados identifican regímenes donde la privacidad es estadísticamente despreciable (cuando $\epsilon \gtrsim \sqrt{d/n}$) y regímenes donde la privacidad domina la tasa de prueba.

Experimentos Numéricos

Los autores validan sus hallazgos teóricos mediante simulaciones:

• Coeficientes de Cox: Se examinaron la potencia empírica y las tasas de error Tipo-I para la prueba de razón de verosimilitud binaria y la prueba de tipo estadístico de puntuación. Los resultados muestran que la potencia aumenta con el tamaño de la muestra $n$ y el presupuesto de privacidad $\epsilon$, consistente con las predicciones teóricas.
• Prueba de Dos Muestras: Las simulaciones demostraron que la prueba distribuida controla correctamente el error Tipo-I y logra una potencia creciente a medida que aumenta la separación entre las funciones de riesgo, el tamaño de la muestra o el presupuesto de privacidad.

Significado y Afirmaciones

El artículo afirma ser el primero en iniciar una teoría de muestras finitas para pruebas de hipótesis con privacidad diferencial en análisis de supervivencia. Su significado radica en:

1. Abordar la Dependencia: Maneja explícitamente la no independencia de las observaciones en datos de supervivencia (a través de conjuntos en riesgo), una característica estructural que impide la aplicación directa de métodos estándar de pruebas privadas.
2. Evitar la Inversión: El procedimiento de prueba de identidad evita la tarea computacional y estadísticamente desafiante de invertir privadamente la matriz de información, ofreciendo una alternativa más práctica para modelos de Cox de alta dimensión.
3. Optimalidad: Establece que para la prueba de riesgos acumulados distribuida, el método propuesto es casi óptimo minimax, proporcionando un punto de referencia para trabajos futuros.
4. Problemas Abiertos: Los autores notan modestamente que, aunque sus cotas superiores para la prueba de coeficientes de Cox son competitivas, la tasa de separación minimax exacta para pruebas binarias e de identidad privadas en el modelo de Cox sigue siendo un problema abierto, particularmente en lo que respecta a la estrechez de los términos dependientes de la privacidad.

El trabajo no afirma resolver todos los desafíos en el análisis de supervivencia privado, sino que proporciona un marco teórico fundamental y procedimientos específicos e implementables para escenarios clave de pruebas de hipótesis, acompañados de un análisis riguroso de muestras finitas.