Optimal Cox regression under federated differential privacy: coefficients and cumulative hazards

1. Problema e Contesto

Il lavoro affronta due problemi fondamentali nell'analisi di sopravvivenza distribuita in un contesto di Privacy Differenziale Federata (FDP - Federated Differential Privacy).

• Contesto: In settori ad alto rischio come la sanità e la ricerca biomedica, i dati sono spesso distribuiti tra più server (es. diversi ospedali) e non possono essere centralizzati a causa di vincoli normativi e di privacy.
• Obiettivo: Stimare i coefficienti di regressione ($\beta_0$) e la funzione di rischio cumulativo di base ($\Lambda_0(t)$) nel modello di regressione di Cox proporzionale, garantendo che le informazioni scambiate tra i server rispettino i vincoli di FDP.
• Sfide specifiche:
  • I dataset possono avere dimensioni eterogenee ($n_s$) e budget di privacy diversi ($\epsilon_s$) per ciascun server.
  • La presenza di dati censurati (censoring) e la natura stocastica dei set a rischio (at-risk sets) complicano la sensibilità dei gradienti rispetto ai metodi standard di apprendimento federato.
  • È necessario quantificare il "costo fondamentale" della privacy, ovvero quanto peggiora l'accuratezza statistica rispetto al caso non privato.

2. Metodologia e Algoritmi Proposti

Gli autori propongono due algoritmi principali, uno per la stima dei coefficienti e uno per la funzione di rischio cumulativo.

A. Stima dei Coefficienti di Regressione (Algoritmo FDP-Cox)

Per stimare $\beta_0$, gli autori sviluppano un algoritmo basato sulla Discesa del Gradiente Stocastico Privata (Private SGD):

• Meccanismo di Privacy: Ad ogni iterazione, ogni server calcola il gradiente della verosimiglianza parziale di Cox e aggiunge rumore gaussiano per soddisfare il vincolo di Central DP (CDP) locale.
• Gestione della Sensibilità: Una sfida chiave è che il gradiente nella verosimiglianza di Cox dipende dall'intero set di dati attraverso la normalizzazione dei set a rischio ($\bar{Z}_s(t, \beta)$). Gli autori dimostrano che la sensibilità $\ell_2$ del gradiente è dell'ordine di $O(\log(n)/n)$ sotto assunzioni di covariate limitate.
• Aggregazione: I server inviano aggiornamenti rumorosi a un aggregatore centrale. Gli algoritmi utilizzano pesi proporzionali alla "dimensione del campione efficace" di ciascun server (che dipende da $n_s$ e $\epsilon_s$) per ottimizzare la convergenza in scenari eterogenei.
• Iteratività: L'algoritmo supporta meccanismi interattivi ($K$ iterazioni), dove i server possono usare nuovi batch di dati ad ogni round, permettendo un migliore bilanciamento tra bias e varianza.

B. Stima della Funzione di Rischio Cumulativo (Algoritmo FDP-Breslow)

Per stimare $\Lambda_0(t)$, viene proposta una versione privata dell'estimatore di Breslow:

• Approccio Basato su Alberi Binari: Invece di rilasciare stime cumulative dirette che accumulerebbero rumore, l'algoritmo partiziona l'orizzonte temporale $[0, 1]$ in intervalli e utilizza un meccanismo basato su alberi binari privati.
• Vantaggio: Questo permette di ricostruire la stima della funzione di rischio in qualsiasi punto $t$ combinando solo un numero logaritmico di stime di intervalli privatizzati, minimizzando l'accumulo di rumore.
• Troncamento: Viene applicato un troncamento (clipping) sui set a rischio per garantire che la sensibilità rimanga limitata, evitando divisioni per numeri troppo piccoli.

C. Privacy delle Etichette (Label DP)

Il lavoro esplora anche un modello rilassato in cui le covariate sono pubbliche e solo le variabili di esito (tempo e indicatore di censura) sono private (Label DP). Vengono analizzate le implicazioni teoriche di questo scenario, mostrando che il costo della privacy può variare significativamente rispetto al modello completo.

3. Risultati Teorici Principali

Gli autori derivano limiti inferiori minimax (lower bounds) e limiti superiori (upper bounds) che coincidono a meno di fattori polilogaritmici.

A. Stima dei Coefficienti ($\beta_0$)

Il tasso di converzione minimax per l'errore quadratico medio $\|\hat{\beta} - \beta_0\|_2^2$ è:
$$\max \left( \frac{d^2}{\sum n_s}, \frac{d^3}{\sum \min(n_s, n_s^2 \epsilon_s^2 / d)} \right)$$

• Interpretazione: Il primo termine rappresenta il tasso non privato. Il secondo termine quantifica il costo della privacy.
• Transizioni di Fase: Il risultato rivela una transizione di fase a livello di server. Se il budget di privacy $\epsilon_s$ è sufficientemente alto, il server contribuisce come se fosse non privato ($n_s$). Se $\epsilon_s$ è basso, il contributo efficace scende a $n_s^2 \epsilon_s^2 / d$.
• Novità: Questo è il primo studio sistematico che stabilisce tassi minimax ottimali per la regressione di Cox sotto vincoli FDP.

B. Stima della Funzione di Rischio ($\Lambda_0$)

Per l'estimatore di Breslow privato, il tasso di errore nella norma suprema è:
$$O\left( \frac{1}{\sqrt{\sum \min(n_s, n_s^2 \epsilon_s^2)}} \right)$$
Questo tasso è quasi minimax ottimale (a meno di fattori logaritmici). L'errore dipende anche dalla precisione della stima preliminare di $\beta_0$.

C. Stima della Funzione di Sopravvivenza

Utilizzando gli stimatori di $\beta_0$ e $\Lambda_0$, viene costruito uno stimatore per la funzione di sopravvivenza $S(t; z)$. Il tasso di errore per la funzione di sopravvivenza è lo stesso di quello per i coefficienti di regressione, indicando che stimare la sopravvivenza non è più difficile che stimare i coefficienti in questo contesto.

4. Contributi Chiave

1. Prima Analisi Minimax Sistematica: È il primo lavoro a fornire un'analisi minimax completa per il modello di Cox in un setting federato con privacy differenziale, coprendo sia i coefficienti che le funzioni di rischio cumulative.
2. Algoritmi Efficienti: Proposta di algoritmi computazionalmente efficienti (FDP-Cox e FDP-Breslow) che gestiscono le complessità specifiche dei dati di sopravvivenza (censura, set a rischio dipendenti dal tempo).
3. Analisi Eterogenea: I risultati tengono conto di dimensioni del campione e budget di privacy eterogenei tra i server, mostrando come ogni server possa operare in regimi diversi (privato vs non privato).
4. Studio sulla Label DP: Introduzione e analisi dei limiti minimax per la regressione di Cox sotto vincoli di Label DP, un'area precedentemente inesplorata.
5. Implementazione Pratica: Sviluppo del pacchetto R FDPCox e validazione attraverso esperimenti numerici su dati sintetici e reali (dataset sul cancro al seno di Rotterdam).

5. Significato e Impatto

• Teorico: Il lavoro colma un vuoto significativo nella letteratura statistica, collegando l'analisi di sopravvivenza (un pilastro della statistica medica) con le moderne tecniche di privacy federata. Dimostra che è possibile ottenere stime ottimali anche con vincoli di privacy rigorosi, quantificando esattamente il trade-off tra privacy e accuratezza.
• Pratico: Fornisce strumenti concreti (algoritmi e software) per istituzioni sanitarie e di ricerca che desiderano collaborare su modelli predittivi di sopravvivenza senza violare la privacy dei pazienti.
• Futuro: Apre la strada a ricerche su inferenza privata (quantificazione dell'incertezza, intervalli di confidenza) e sull'adattamento a distribuzioni eterogenee tra i server (transfer learning sotto privacy).

In sintesi, il documento stabilisce le fondamenta teoriche e pratiche per l'analisi di sopravvivenza distribuita e privata, dimostrando che l'ottimalità statistica è raggiungibile anche in scenari di dati sensibili e decentralizzati.