A Multiparty Homomorphic Encryption Approach to Confidential Federated Kaplan Meier Survival Analysis

Questo articolo presenta un framework federato per l'analisi di sopravvivenza Kaplan-Meier che utilizza la crittografia omomorfa CKKS a soglia per garantire la privacy dei dati sanitari distribuiti, permettendo il calcolo accurato delle curve di sopravvivenza senza rivelare le informazioni sensibili dei singoli siti.

L'essenziale

🏥 Il Grande Mistero della Sopravvivenza: Come Curare Senza Spogliarsi

Immagina di avere un problema di salute e di voler sapere: "Quali sono le mie probabilità di guarire o di vivere a lungo, basandomi su milioni di casi simili nel mondo?"

Per rispondere a questa domanda, i medici hanno bisogno di guardare i dati di migliaia di pazienti. Ma c'è un grosso problema: la privacy. Nessuno vuole che i propri dati medici sensibili (nome, malattia, storia clinica) finiscano in un unico grande database centrale, dove potrebbero essere rubati o usati male.

È come se ogni ospedale fosse un'isola con un tesoro di informazioni, ma nessuno vuole costruire un ponte per unire i tesori perché ha paura che qualcuno rubi il contenuto.

🕵️‍♂️ La Soluzione: Un "Conto alla Rovescia" Segreto

Gli autori di questo articolo hanno inventato un metodo magico per unire questi tesori senza mai aprire le casseforti. Lo chiamano Analisi Federata Kaplan-Meier con Crittografia Omomorfica.

Facciamo un'analogia per capire come funziona:

1. Il Problema del "Conto alla Rovescia" (L'attacco della sottrazione)

Immagina che 500 ospedali invino a un coordinatore centrale il numero di pazienti che sono guariti oggi.

• L'Ospedale A dice: "Io ho 10 pazienti".
• Il Coordinatore somma tutto e dice: "In totale ci sono 1000 pazienti".
• L'Ospedale A, che è un po' furbo (e curioso), pensa: "Se il totale è 1000 e io ne ho 10, allora gli altri 499 ospedali ne hanno 990!".
• Risultato: L'Ospedale A ha appena scoperto i dati degli altri senza averli mai visti. È come se ti dicessero il totale della spesa di una famiglia e tu, conoscendo la tua spesa, potessi calcolare esattamente quanto hanno speso i tuoi vicini.

2. La Magia della "Scatola Trasparente" (Crittografia Omomorfica)

Per evitare questo, gli autori usano una tecnologia chiamata CKKS. Immagina che ogni ospedale metta i suoi numeri in una scatola di vetro magica e indecifrabile.

• L'ospedale mette i suoi dati nella scatola e la chiude.
• Il coordinatore prende tutte le scatole chiuse e le somma insieme.
• Il trucco: La magia permette di sommare i numeri dentro le scatole senza doverle mai aprire! Il coordinatore ottiene una nuova scatola che contiene la somma esatta, ma non sa quali numeri c'erano dentro le scatole originali.

3. Il Sigillo a Più Chiavi (Decrittazione Soglia)

Ora abbiamo una scatola gigante con la somma totale. Ma chi può aprirla?

• Non si può dare la chiave a una sola persona (il coordinatore), perché potrebbe essere disonesto.
• Invece, la scatola è chiusa con un lucchetto speciale che richiede tante chiavi diverse per essere aperto (ad esempio, servono le chiavi di 9 persone diverse).
• Solo quando queste 9 persone (un comitato di fiducia) mettono insieme le loro chiavi, la scatola si apre e rivela il risultato finale: la curva di sopravvivenza.

🎯 Cosa Ottengono Alla Fine?

1. Privacy Totale: Nessun ospedale vede i dati degli altri. Nemmeno il coordinatore vede i dati grezzi. Vede solo numeri cifrati.
2. Precisione Matematica: Anche se i numeri sono "nascosti" nella scatola magica, quando si sommano e si aprono alla fine, il risultato è esattamente uguale a quello che si otterrebbe se tutti i dati fossero stati messi insieme in un unico database centrale. È come se avessero fatto un puzzle perfetto senza mai toccare i pezzi degli altri.
3. Nessuna Furta: Poiché non vengono mai rivelati i numeri intermedi (quanti pazienti c'erano in ogni ospedale), l'attacco della "sottrazione" descritto prima diventa impossibile. Non puoi sottrarre ciò che non puoi vedere.

🚀 Perché è Importante?

Prima di questo lavoro, c'erano due opzioni:

• Metodo Vecchio: Mettere tutto in un database centrale (rischio di furto dati).
• Metodo Privacy: Usare tecniche che aggiungevano "rumore" ai dati per nasconderli, ma questo rendeva i risultati medici meno precisi (come guardare un quadro attraverso un vetro sporco).

Questo nuovo metodo è come avere un vetro perfettamente pulito ma invisibile: i risultati sono nitidissimi (precisi come l'oracolo centrale) ma i dati restano al sicuro nelle loro scatole.

In Sintesi

Gli scienziati norvegesi hanno creato un sistema che permette a centinaia di ospedali di collaborare per salvare vite, calcolando le probabilità di sopravvivenza dei pazienti, senza che nessuno debba mai mostrare i propri dati sensibili. È come se 500 persone potessero calcolare la media delle loro età senza dire a nessuno quanti anni hanno, usando una scatola magica che fa i calcoli da sola.

È un passo enorme per la medicina del futuro: più dati, più cure migliori, ma con la privacy dei pazienti blindata.

Sommario tecnico

1. Il Problema

L'analisi di sopravvivenza (in particolare l' stimatore di Kaplan-Meier, KM) è fondamentale nella ricerca clinica ed epidemiologica. Tuttavia, la necessità di proteggere la privacy dei dati sensibili dei pazienti impedisce spesso la centralizzazione dei record sanitari per studi multicentrici.
Le soluzioni esistenti di analisi federata (FA) affrontano questo problema, ma presentano quattro lacune critiche:

1. Rischio di Privacy (Gap 1): Nei protocolli KM federati in chiaro (plaintext) a due round, un sito malevolo (o "curioso") può ricostruire esattamente i contributi degli altri siti sottraendo i propri dati locali dai totali aggregati diffusi.
2. Teoria dell'Stimatore (Gap 2): Mancano garanzie teoriche su come l'aritmetica approssimata della crittografia omomorfica (HE) influenzi l'accuratezza statistica dello stimatore KM.
3. Scalabilità (Gap 3): Assenza di leggi di scalabilità chiare per il costo di comunicazione e calcolo specifici per il KM federato.
4. Ottimizzazione del Packing (Gap 4): Mancanza di una dimostrazione formale sull'ottimalità del "packing" (impacchettamento) dei dati per le due correnti di dati KM (eventi e soggetti a rischio) nell'HE.

2. Metodologia

Gli autori propongono un framework federato basato sulla Crittografia Omomorfica (HE) multiparte utilizzando lo schema CKKS (Cheon-Kim-Kim-Song), scelto per il suo supporto nativo all'aritmetica su numeri reali/approssimati e all'impacchettamento SIMD (Single Instruction Multiple Data).

Il protocollo si articola in tre fasi principali:

• Fase A (Setup e Allineamento): I siti generano una chiave pubblica condivisa tramite generazione distribuita delle chiavi (DKG). Viene calcolato in chiaro un "grid di allineamento globale" ($T_{all}$) unendo tutti i tempi di sopravvivenza osservati localmente.
• Fase B (Aggregazione Crittografata): Ogni sito calcola localmente i conteggi di eventi ($d_i$) e soggetti a rischio ($n_i$) allineati a $T_{all}$. Questi vettori vengono impacchettati (in modalità interleaved o separata) e crittografati. Il coordinatore esegue solo addizioni omomorfiche sui ciphertext senza mai decrittare i dati.
• Fase C (Decrittazione Soglia e Gate dell'Output): Un comitato di decrittazione (di dimensione $R$) genera share parziali. La fusione di questi share richiede una soglia $\theta$ (nel lavoro $\theta=R$, ovvero tutti i membri devono partecipare).
  • Gate dell'Output: Il risultato finale decrittato è la curva di sopravvivenza aggregata $\hat{S}_{HE}(t)$. Crucialmente, le tabelle intermedie dei conteggi ($n_t, d_t$) non vengono mai rilasciate ai siti partecipanti, ma solo la curva finale (e eventuali bande di confidenza).

Strategie di Packing:

• Interleaved: Impacchettamento alternato di coppie $(n_i, d_i)$ nello stesso ciphertext per minimizzare il numero di ciphertext necessari.
• Separata: Due flussi di ciphertext distinti per $n$ e $d$.

3. Contributi Chiave

1. Framework Multipartito CKKS con Gate dell'Output: Un sistema completo che restituisce solo l'output pubblico (la curva KM) impedendo la ricostruzione dei dati grezzi.
2. Garanzie a Livello di Stimatore:
   • Dimostrazione che il KM federato in chiaro è identico all'oracolo centralizzato.
   • Dimostrazione che l'HE esatto riproduce l'oracolo.
   • Derivazione di un limite di perturbazione CKKS per l'errore sullo stimatore KM, con convergenza uniforme al diminuire del rumore.
   • Risultato di identificabilità: pubblicare solo la curva di sopravvivenza rivela i rapporti di rischio (hazard ratios) ma non i conteggi assoluti ($d_i, n_i$) né la suddivisione per sito, rendendo impossibile l'attacco per sottrazione.
3. Ottimalità del Packing: Una dimostrazione formale che il packing interleaved è ottimale per minimizzare il numero di ciphertext sotto aggregazione additiva.
4. Leggi di Scalabilità: Derivazione di leggi di scalabilità chiuse per la comunicazione e il calcolo, mostrando una crescita lineare con il numero di siti e un comportamento a "gradini" in funzione della dimensione della griglia temporale.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su un dataset sintetico di cancro al seno (60.000 pazienti) distribuito su fino a 500 siti, e su un dataset reale (NCCTG Lung Cancer).

• Privacy (RQ1): Nel protocollo in chiaro, la ricostruzione dei dati degli altri siti tramite sottrazione è esatta (errore relativo ~0, tasso di corrispondenza esatta 1.0). Il protocollo proposto con CKKS + soglia elimina completamente questo vettore di attacco.
• Fidelità Numerica (RQ2-RQ3): Le curve KM crittografate sono numericamente indistinguibili dall'oracolo centralizzato (pooled oracle). Gli errori di sopravvivenza sono nell'ordine di $10^{-8}$, ben al di sotto delle tolleranze cliniche. Le bande di confidenza e le metriche di hazard sono preservate.
• Efficienza e Scalabilità (RQ4-RQ6):
  • Il packing interleaved offre un vantaggio computazionale e di banda del 10-22% rispetto al packing separato, senza perdita di accuratezza.
  • Il tempo di esecuzione scala linearmente con il numero di siti ($K$).
  • Il traffico di comunicazione cresce linearmente con $K$ e in modo "a gradini" con il numero di punti temporali, confermando le leggi teoriche derivate.
  • Il protocollo è fattibile anche per federazioni di grandi dimensioni (500 siti) con un overhead gestibile.

5. Significato e Impatto

Questo lavoro rappresenta un passo avanti significativo per l'analisi dei dati sanitari sensibili:

• Sicurezza Pratica: Risolve il problema della "ricostruzione per sottrazione" che affligge i protocolli federati in chiaro, offrendo una protezione reale contro partecipanti "curiosi".
• Fattibilità Clinica: Dimostra che l'uso della crittografia omomorfica approssimata (CKKS) non compromette l'accuratezza statistica degli studi di sopravvivenza, rendendo possibile la collaborazione multicentrica senza compromessi sui dati.
• Guida per il Deployment: Fornisce parametri operativi concreti (dimensione dell'anello, dimensione del comitato, strategie di packing) e modelli di costo predittivi, facilitando l'adozione reale in contesti sanitari complessi.

In sintesi, il paper presenta una soluzione che bilancia sicurezza, precisione statistica e scalabilità, permettendo di eseguire analisi di sopravvivenza federate di alta fedeltà su grandi reti di istituzioni sanitarie mantenendo i dati crittografati end-to-end.