Privacy-Preserving Federated Learning via Differential Privacy and Homomorphic Encryption for Cardiovascular Disease Risk Modeling

以下は、「心血管疾患リスクモデリングのための差分プライバシーと準同型暗号を用いたプライバシー保護型連合学習」に関する論文の詳細な技術的概要です。

1. 問題提起

医療セクターは、厳格なプライバシー規制（例：GDPR）を遵守しつつ、機密性の高い患者データを用いて機械学習（ML）モデルを共同開発する必要があるという重大な課題に直面しています。

• 従来のアプローチ: 中央集権型機械学習（cML）は、複数の機関から匿名化されたデータを単一の場所に集約することを必要とします。これはプライバシーの「単一障害点」を生み出し、データ漏洩、再識別、不正アクセスのリスクを増大させます。
• 連合学習（FL）の限界: FL は、機関がローカルでモデルを訓練し、生データではなくモデルの更新（勾配/パラメータ）のみを共有することを可能にしますが、プライバシー攻撃に対して完全に無防備なわけではありません。攻撃者は共有されたパラメータを逆工学して、元のデータセットに関する機密情報を推測できる可能性があります。
• ギャップ: 差分プライバシー（DP）や準同型暗号（HE）といったプライバシー強化技術（PETs）は存在しますが、それらの比較性能、計算上のトレードオフ、および（ニューラルネットワークと従来の ML モデルの両方に対して）実世界の多機関医療環境における実用的な展開の影響は、未だ十分に研究されていません。

2. 方法論

著者らは、4 年以内の主要な心血管疾患（CVD）イベントのリスクを予測するために、スウェーデン全国規模の医療データを用いた回顧研究を実施しました。

A. データセットとタスク

• データソース: 国立患者登録、国立処方薬登録、および市町村医療登録からの統合記録（2009 年 1 月～2024 年 11 月）。
• コホート: 660,427 人の参加者（CVD 症例 42,207 件、非 CVD 症例 618,394 件）。
• 特徴量: 人口統計、糖尿病の有無、リポタンパク質障害、および特定の薬物コード（ATC）を含む 10 の予測因子。
• タスク: 4 年以内の二値分類（CVD イベント発生 vs 非発生）。

B. 実験設定

本研究は、分散インフラストラクチャ上で 4 つの学習パラダイムを比較しました。

1. 中央集権型 ML（cML）: 集約データを使用したベースライン。
2. 標準的な連合平均化（FedAvg）: プレーンテキストのパラメータ共有によるローカル訓練。
3. 差分プライバシー付き FedAvg（FedAvg_DP）: 送信前にローカル更新をクリップし、校正されたノイズ（スパースベクトル技術/SVT を使用）で攪乱する。
4. 準同型暗号付き FedAvg（FedAvg_HE）: 送信前にローカル更新をCKKS 方式（実数上の近似演算をサポート）で暗号化し、暗号文上で集約を行う。

C. モデルアーキテクチャ

プライバシーメカニズムに対する感度をテストするために、2 つの異なる学習器を評価しました。

• ロジスティック回帰（LR）: 11 個の学習可能パラメータを持つ軽量モデル。
• ニューラルネットワーク（NN）: 1 つの隠れ層（5 個のニューロン）と 66 個の学習可能パラメータを持つ軽量順方向ネットワーク。

D. インフラストラクチャ

• プラットフォーム: Docker コンテナ上で展開されたカスタム「Secure-Health（SeH）」プラットフォーム。
• 展開: 中央サーバー（VTT）と、Google Cloud、Microsoft Azure、およびローカルサーバーなどの異種ハードウェア上でホストされた 4 つのクライアントノード（ストックホルム、ウプサラ、セーデルマンランド、エーステルイェトランド）を含むハイブリッド設定。これにより、実世界の組織境界とネットワーク遅延をシミュレートしました。

3. 主な貢献

• 実世界における体系的な比較: シミュレーションや単一モデルタイプに焦点を当てた先行研究とは異なり、この研究は実スウェーデンの全国健康データを用いたライブの多機関 FL 展開において、DP と HE を体系的に比較しました。
• モデルタイプ感度分析: この研究は、モデルの複雑さがプライバシー感度を決定することを独自に浮き彫りにしました。従来の ML モデル（LR）は、ニューラルネットワークに比べて DP ノイズに対して著しく敏感であることを示しており、プライバシー用ハイパーパラメータがモデルタイプ間で転用可能であるという仮定に疑問を投げかけています。
• 実用的展開の洞察: 理論的限界を超えて、異種ハードウェアを備えたプロダクション環境における実際の計算オーバーヘッド（時間、ストレージ）と収束挙動を定量化しました。
• FL における CKKS の最適化: 集約中の暗号文 - プレーンテキスト乗算コストを最小化するために、暗号化ドメインでの除算をどのように処理するか（プレーンテキストの逆数を使用）についての実装詳細を提供しました。

4. 結果

A. 計算パフォーマンス

• 標準 FedAvg: 最速の実行時間。
  • NN: 約 10.5 時間。
  • LR: 約 20 分。
• FedAvg_DP: NN で約 62,721 秒、LR で約 1,154 秒。
  • オーバーヘッドは主にノイズ注入と通信によるものであり、重計算によるものではありません。
• FedAvg_HE: NN で約 63,713 秒、LR で約 1,117 秒。
  • オーバーヘッド: HE は測定可能な暗号化オーバーヘッドを導入します。NN の場合、暗号化された更新はキロバイトから約 5.4 MBに成長し、LR（1.8 KB）と比較して通信コストが大幅に増加しました。
  • LR vs NN: 興味深いことに、HE のオーバーヘッドは LR にとっては無視できる程度（標準 FedAvg と同程度）でしたが、ペイロードサイズが大きいため NN にとっては顕著でした。

B. プライバシー - 有用性のトレードオフ

• 中央集権型（cML）ベースライン: AUC は 0.67。
• FedAvg_HE: cML と同等の性能を達成しました（NN で AUC 0.686、LR で 0.664）。CKKS 方式は、固定精度演算によるわずかな数値の逸脱のみでモデルの忠実度を維持しました。
• FedAvg_DP:
  • NN: 中程度の低下を示しましたが（AUC 0.657）、収束しました。
  • LR: 著しい性能低下を被りました（AUC 0.623）。パラメータ数が少ない（11 個）ため、モデルは注入されたラプラスノイズに対して非常に敏感となり、不安定化と収束の悪化を招きました。
• 収束: FedAvg_HE と標準 FedAvg は、FedAvg_DP（NN で約 50 ラウンド）よりも速く収束しました（NN で 20 ラウンド以内）。

C. 指標の概要（表 2）

手法	学習器	AUC（平均）	感度	特異度
cML	NN	0.672	0.166	0.909
FedAvg	NN	0.680	0.184	0.897
FedAvg_HE	NN	0.686	0.190	0.901
FedAvg_DP	NN	0.657	0.079	0.896
FedAvg_DP	LR	0.623	0.018	0.988

5. 意義と結論

• 実用的な指針: この研究は、複雑なモデル（NN など）の場合、医療応用において**準同型暗号（HE）**が優れた選択であると結論付けています。通信オーバーヘッドがあるにもかかわらず、モデルの有用性をほぼ完全に維持しつつ、強力な暗号学的保証を提供します。
• DP の限界: 差分プライバシー（DP）は viable（実行可能）ですが、極めて注意が必要です。これはモデルアーキテクチャに非常に敏感であり、小規模モデル（LR など）は DP ノイズ下で著しく劣化するため、慎重なモデル固有のチューニングなしには、この文脈における従来の ML にはあまり適していません。
• スケーラビリティ: HE はオーバーヘッドを導入しますが、この研究は現在のアーキテクチャでは管理可能であることを示しています。ただし、モデルの複雑さが増すにつれて、暗号文の拡張（NN の場合は MB 単位）がボトルネックとなるため、将来のパラメータ最適化が必要であることを示唆しています。
• 広範な影響: この研究は、プライバシー保護型 FL が、患者の機密性を損なうことなく、または機密データを中央集権化することなく、機関が堅牢な予測モデルを訓練することを可能にする、実行可能でスケーラブルなフレームワークであることを実証しました。

最終判断: この研究の文脈において、FedAvg_HEは、強力なプライバシー保証と予測性能の間の最良のバランスを提供する最も実用的な解決策として浮上しました。一方、FedAvg_DPは、この特定の展開における小規模な従来の機械学習モデルには脆弱すぎることが判明しました。