तकनीकी सारांश: उत्तरजीविता विश्लेषण (Survival Analysis) में विभेदक रूप से निजी परिकल्पना परीक्षण (Differentially Private Hypothesis Testing)

समस्या विवरण

उत्तरजीविता विश्लेषण (Survival analysis) चिकित्सा, इंजीनियरिंग विश्वसनीयता और ग्राहक प्रतिधारण जैसे उच्च-दांव वाले क्षेत्रों में निर्णय लेने के लिए महत्वपूर्ण है, फिर भी इसमें अक्सर संवेदनशील व्यक्तिगत-स्तरीय डेटा शामिल होता है। जबकि विभेदक गोपनीयता (Differential Privacy - DP) ऐसे डेटा की सुरक्षा के लिए एक कठोर ढांचा प्रदान करती है, राइट-सेंसर्ड (right-censored) डेटा के लिए निजी परिकल्पना परीक्षण प्रक्रियाओं का विकास निजी अनुमान (private estimation) की तुलना में काफी कम विकसित रहा है। मौजूदा निजी परीक्षण साहित्य मुख्य रूप से स्वतंत्र लाइकलीहुड अपघटन (independent likelihood decompositions) की धारणा पर निर्भर करता है, जो उत्तरजीविता विश्लेषण में 'एट-रिस्क सेट्स' (at-risk sets) द्वारा प्रेरित निर्भरता संरचना के कारण विफल हो जाता है। फलस्वरूप, मानक निजी परीक्षण दृष्टिकोणों को कॉक्स रिग्रेशन (Cox regression) और संचयी खतरा तुलना (cumulative hazard comparison) जैसी मानक उत्तरजीविता समस्याओं पर सीधे लागू नहीं किया जा सकता है।

यह शोध पत्र उत्तरजीविता विश्लेषण में विभेदक रूप से निजी परिकल्पना परीक्षण के लिए एक परिमित-नमूना सिद्धांत (finite-sample theory) शुरू करता है, जो तीन मानक समस्याओं को संबोधित करता है:

1. कॉक्स गुणांकों (Cox coefficients) के लिए बाइनरी परिकल्पना परीक्षण।
2. कॉक्स गुणांकों के लिए पहचान परीक्षण (Identity testing - सरल शून्य बनाम मिश्रित विकल्प)।
3. वितरित सेटिंग (distributed setting) में राइट सेंसिंग के तहत संचयी खतरा कार्यों (cumulative hazard functions) के लिए दो-नमूना परीक्षण।

कार्यप्रणाली (Methodology)

1. कॉक्स गुणांकों के लिए बाइनरी परिकल्पना परीक्षण

लेखक $H_0: \beta^* = \beta_0$ बनाम $H_1: \beta^* = \beta_1$ के परीक्षण के लिए आंशिक लाइकलीहुड अनुपात परीक्षण (partial likelihood ratio test) का एक विभेदक रूप से निजी संस्करण प्रस्तावित करते हैं।

• तंत्र (Mechanism): टेस्ट स्टैटिस्टिक को लॉग आंशिक लाइकलीहुड अनुपात में लैप्लास शोर (Laplace noise) जोड़कर निर्मित किया जाता है। शोर का पैमाना लॉग आंशिक लाइकलीहुड अनुपात की संवेदनशीलता (sensitivity) के अनुरूप कैलिब्रेट किया जाता है, जो कोवेरिएट प्रक्रिया की सीमाबद्धता (boundedness) और $\beta_0$ एवं $\beta_1$ के बीच की दूरी पर निर्भर करता है।
• गोपनीयता (Privacy): यह प्रक्रिया $(\epsilon, 0)$-विभेदक गोपनीयता (differential privacy) को संतुष्ट करती है।
• डिटेक्शन गारंटी: पेपर एक विश्वसनीय परीक्षण के लिए एक पर्याप्त स्थिति स्थापित करता है, यह दिखाते हुए कि परिकल्पनाओं के बीच का अलगाव (separation) एक दर से अधिक होना चाहिए जिसमें मानक गैर-निजी पद ($d/n$) और गोपनीयता-प्रेरित पद ($d^2/n^2\epsilon^2$) शामिल हैं।

2. कॉक्स गुणांकों के लिए पहचान परीक्षण (Identity Testing)

$H_0: \beta^* = \beta_0$ बनाम $H_1: \|\beta^* - \beta_0\|_2^2 \geq r^2$ के परीक्षण के लिए, लेखक एक निजी स्कोर-टाइप टेस्ट विकसित करते हैं।

• स्टैटिस्टिक: पूरे क्वाड्रेटिक फॉर्म को निजीकृत करने के बजाय (जिसमें इन्वर्स इंफॉर्मेशन मैट्रिक्स को निजी रूप से अनुमानित करना कठिन है), यह टेस्ट स्कोर फंक्शन के यूक्लिडियन नॉर्म $\|\dot{\ell}_n(\beta_0)/\sqrt{n}\|_2$ का उपयोग करता है।
• कैलिब्रेशन: रिजेक्शन थ्रेशोल्ड के लिए जनसंख्या सूचना मैट्रिक्स (population information matrix) के ट्रेस, $\text{tr}\{G(\beta^*)\}$ की आवश्यकता होती है। चूंकि यह अज्ञात है, लेखक डेटा के एक उपसमुच्चय पर गणना किए गए निजी हेसियन (Hessian) का उपयोग करके ट्रेस के लिए एक निजी अनुमानक प्रस्तावित करते हैं।
• कार्यान्वयन: अंतिम परीक्षण निजी स्कोर स्टैटिस्टिक को निजी ट्रेस अनुमानक के साथ जोड़ता है, जिससे $d \times d$ मैट्रिक्स को निजी रूप से उलटने (invert करने) की आवश्यकता से बचा जा सके। यह प्रक्रिया स्थिरांक और लघुगणकीय कारकों तक एक ऑरेकल टेस्ट (oracle test) के समान त्रुटि गारंटी बनाए रखती है।

3. संचयी खतरों के लिए वितरित दो-नमूना परीक्षण

लेखक एक वितरित सेटिंग पर विचार करते हैं जहाँ दो सर्वर $D_1$ और $D_2$ डेटासेट रखते हैं और $H_0: \Lambda_1 = \Lambda_2$ बनाम $H_1: \|\Lambda_1 - \Lambda_2\|_\infty > r$ का परीक्षण करना चाहते हैं।

• दृष्टिकोण: विधि प्रत्येक सर्वर पर संचयी खतरा कार्यों $\hat{\Lambda}_1$ और $\hat{\Lambda}_2$ का अनुमान लगाने के लिए एक वितरित निजी नेल्सन-आलन अनुमानक (वेवलेट-जैसे निर्माण पर आधारित) का उपयोग करती है।
• टेस्ट स्टैटिस्टिक: परीक्षण $H_0$ को तब खारिज करता है जब निजी अनुमानकों के बीच सुप-नॉर्म (sup-norm) दूरी थ्रेशोल्ड $\tau$ से अधिक हो जाती है।
• गोपनीयता: प्रत्येक सर्वर $(\epsilon_k, \delta_k)$-DP को संतुष्ट करने वाला एक निजी तंत्र लागू करता है। अंतिम परीक्षण इन निजी आउटपुट का एक फलन है, जो वितरित गोपनीयता बाधाओं को संतुष्ट करता है।

मुख्य योगदान और परिणाम

सैद्धांतिक गारंटी (Theoretical Guarantees)

• परिमित-नमूना सिद्धांत: यह पेपर पूर्ववर्ती निजी परीक्षण साहित्य में सामान्य विषम (asymptotic) दृष्टिकोणों से आगे बढ़ते हुए, परिमित-नमूना डिटेक्शन गारंटी और मिनिमैक्स लोअर बाउंड्स प्रदान करता है।
• सेपरेशन रेट्स (Separation Rates):
  • बाइनरी कॉक्स गुणांक परीक्षण के लिए, प्राप्त होने वाली सेपरेशन रेट $O(d/n + d^2/n^2\epsilon^2)$ दिखाई गई है। एक मिनिमैक्स लोअर बाउंड $\Omega(d/n + d/n^2\epsilon^2)$ निकाला गया है, जो उस अंतराल को प्रकट करता है जहाँ प्रस्तावित आंशिक लाइकलीहुड अनुपात परीक्षण की इष्टतमता (optimality) अभी भी खुली है।
  • पहचान परीक्षण के लिए, सेपरेशन रेट $O(d^{3/2}/n + \text{privacy terms})$ है। गैर-निजी घटक ($d^{3/2}/n$) को लगभग मिनिमैक्स इष्टतम दिखाया गया है, जबकि गोपनीयता मापदंडों पर इष्टतम निर्भरता एक खुला प्रश्न है।
  • संचयी खतरों के वितरित दो-नमूना परीक्षण के लिए, प्रस्तावित परीक्षण एक दर प्राप्त करता है जो पॉली-लॉगारिदमिक कारकों तक मिनिमैक्स इष्टतम है। यह दर गैर-निजी पद ($n^{-1/2}$) और गोपनीयता लागत पद $(n\epsilon)^{-1}$ को जोड़ती है।
• गोपनीयता बनाम सांख्यिकीय दक्षता: परिणाम उन व्यवस्थाओं (regimes) की पहचान करते हैं जहाँ गोपनीयता सांख्यिकीय रूप से नगण्य है (जब $\epsilon \gtrsim \sqrt{d/n}$) और वे व्यवस्थाएं जहाँ गोपनीयता परीक्षण दर पर हावी होती है।

संख्यात्मक प्रयोग (Numerical Experiments)

लेखक अपने सैद्धांतिक निष्कर्षों को सिमुलेशन के माध्यम से मान्य करते हैं:

• कॉक्स गुणांक: बाइनरी लाइकलीहुड अनुपात परीक्षण और स्कोर-टाइप टेस्ट के लिए अनुभवजन्य पावर (power) और टाइप-I एरर दरों की जांच की गई। परिणाम दिखाते हैं कि पावर, सैंपल साइज $n$ और गोपनीयता बजट $\epsilon$ के साथ बढ़ती है, जो सैद्धांतिक भविष्यवाणियों के अनुरूप है।
• दो-नमूना परीक्षण: सिमुलेशन ने प्रदर्शित किया कि वितरित परीक्षण टाइप-I एरर को सही ढंग से नियंत्रित करता है और जैसे-जैसे खतरा कार्यों के बीच का अलगाव, सैंपल साइज या गोपनीयता बजट बढ़ता है, पावर में वृद्धि करता है।

महत्व और दावे (Significance and Claims)

यह पेपर दावा करता है कि यह उत्तरजीविता विश्लेषण में विभेदक रूप से निजी परिकल्पना परीक्षण के लिए परिमित-नमूना सिद्धांत शुरू करने वाला पहला कार्य है। इसका महत्व निम्नलिखित में निहित है:

1. निर्भरता को संबोधित करना: यह उत्तरजीविता डेटा में अवलोकनों की गैर-स्वतंत्रता (एट-रिस्क सेट्स के माध्यम से) को स्पष्ट रूप से संभालता है, जो एक संरचनात्मक विशेषता है जो मानक निजी परीक्षण विधियों के प्रत्यक्ष अनुप्रयोग को रोकता है।
2. इवर्जन (Inversion) से बचना: पहचान परीक्षण प्रक्रिया सूचना मैट्रिक्स को निजी रूप से उलटने के कम्प्यूटेशनल और सांख्यिकीय रूप से चुनौतीपूर्ण कार्य से बचती है, जो उच्च-आयामी कॉक्स मॉडल के लिए अधिक व्यावहारिक विकल्प प्रदान करती है।
3. इष्टतमता (Optimality): यह स्थापित करता है कि संचयी खतरा परीक्षण के लिए प्रस्तावित विधि पॉली-लॉगारिदमिक कारकों तक मिनिमैक्स इष्टतम है, जो भविष्य के कार्यों के लिए एक बेंचमार्क प्रदान करती है।
4. खुले प्रश्न: लेखक विनम्रतापूर्वक नोट करते हैं कि हालांकि कॉक्स गुणांक परीक्षण के लिए उनके ऊपरी बाउंड (upper bounds) प्रतिस्पर्धी हैं, कॉक्स मॉडल में निजी बाइनरी और पहचान परीक्षण के लिए सटीक मिनिमैक्स सेपरेशन रेट अभी भी एक खुला प्रश्न है, विशेष रूप से गोपनीयता-निर्भर पदों की सटीकता (tightness) के संबंध में।

यह कार्य यह दावा नहीं करता है कि इसने निजी उत्तरजीविता विश्लेषण की सभी चुनौतियों को हल कर दिया है, बल्कि यह कठोर परिमित-नमूना विश्लेषण के साथ, प्रमुख परिकल्पना परीक्षण परिदृश्यों के लिए एक मौलिक सैद्धांतिक ढांचा और विशिष्ट, कार्यान्वयन योग्य प्रक्रियाएं प्रदान करता है।