技術的概要：生存分析における差分プライバシー仮説検定

問題定義

生存分析は、医療、工学の信頼性、顧客維持など、高リスク分野における意思決定に不可欠であるが、頻繁に個人レベルの機微なデータを伴う。差分プライバシー（DP）は、そのようなデータを保護するための厳密な枠組みを提供するが、右側打ち切りデータに対する私的仮説検定手続きの開発は、私的推定に比べて著しく未発達なままである。既存の私的検定文献の多くは、独立した尤度分解の仮定に依存しているが、この条件はリスクセットによって誘発される依存構造のため、生存分析では成立しない。その結果、標準的な私的検定アプローチは、コックス回帰や累積ハザード関数の比較といった標準的な生存問題に直接適用できない。

本論文は、生存分析における差分プライバシー仮説検定のための有限サンプル理論を初めて展開し、以下の 3 つの標準的な問題に取り組む：

1. コックス回帰係数に対する二項仮説検定。
2. コックス回帰係数に対する同一性検定（単純な帰無仮説対複合対立仮説）。
3. 分散環境における右側打ち切り下での累積ハザード関数に対する二標本検定。

手法

1. コックス係数に対する二項仮説検定

著者らは、$H_0: \beta^* = \beta_0$ 対 $H_1: \beta^* = \beta_1$ を検定するための、部分尤度比検定の差分プライバシー版を提案する。

• メカニズム: 検定統計量は、対数部分尤度比にラプラスノイズを加えることで構成される。ノイズのスケールは、対数部分尤度比の感度に合わせて調整され、これは共変量過程の有界性と $\beta_0$ と $\beta_1$ の距離に依存する。
• プライバシー: この手続きは $(\epsilon, 0)$-差分プライバシーを満たす。
• 検出保証: 論文は、信頼できる検定のための十分条件を確立し、仮説間の分離が、標準的な非私的項 ($d/n$) とプライバシー誘発項 ($d^2/n^2\epsilon^2$) からなるレートを超えなければならないことを示す。

2. コックス係数に対する同一性検定

$H_0: \beta^* = \beta_0$ 対 $H_1: \|\beta^* - \beta_0\|_2^2 \geq r^2$ という問題に対して、著者らは私的スコア型検定を開発する。

• 統計量: 逆情報行列を含む完全な二次形式を私化する代わりに（これは私的に推定することが困難である）、検定はスコア関数のユークリッドノルム $\|\dot{\ell}_n(\beta_0)/\sqrt{n}\|_2$ を利用する。
• 較正: 棄却閾値には、母集団情報行列のトレース $\text{tr}\{G(\beta^*)\}$ が必要である。これは未知であるため、著者らはデータの一部を用いて計算された私的ヘッセ行列を用いたトレースの私的推定量を提案する。
• 実装: 最終的な検定は、私的スコア統計量と私的トレース推定量を組み合わせ、$d \times d$ 行列を私的に逆行列計算する必要を回避する。この手続きは、定数および対数因子まで、オラクル検定と同じ誤差保証を維持する。

3. 累積ハザードに対する分散二標本検定

著者らは、2 つのサーバーがデータセット $D_1$ と $D_2$ を保持し、$H_0: \Lambda_1 = \Lambda_2$ 対 $H_1: \|\Lambda_1 - \Lambda_2\|_\infty > r$ を検定したいという分散環境を考慮する。

• アプローチ: この手法は、各サーバー上で累積ハザード関数 $\hat{\Lambda}_1$ と $\hat{\Lambda}_2$ を推定するために、ウェーブレット類似の構成に基づく分散私的ネルソン・アalen 推定量を採用する。
• 検定統計量: 検定は、私的推定量間の sup-ノルム距離が閾値 $\tau$ を超える場合に $H_0$ を棄却する。
• プライバシー: 各サーバーは $(\epsilon_k, \delta_k)$-DP を満たす私的メカニズムを適用する。最終的な検定はこれらの私的出力の関数であり、分散プライバシー制約を満たす。

主要な貢献と結果

理論的保証

• 有限サンプル理論: 論文は、従来の私的検定文献で一般的であった漸近的視点を超えて、有限サンプル検出保証とミニマックス下限を提供する。
• 分離レート:
  • コックス係数の二項検定の場合、達成可能な分離レートは $O(d/n + d^2/n^2\epsilon^2)$ であることが示される。$\Omega(d/n + d/n^2\epsilon^2)$ のミニマックス下限が導出され、提案された部分尤度比検定の最適性が未解決であるギャップが明らかになった。
  • 同一性検定の場合、分離レートは $O(d^{3/2}/n + \text{プライバシー項})$ である。非私的成分 ($d^{3/2}/n$) はほぼミニマックス最適であることが示されるが、プライバシーパラメータへの最適な依存関係は未解決の問題である。
  • 累積ハザードの分散二標本検定の場合、提案された検定は、多対数因子までミニマックス最適である分離レートを達成する。このレートは、非私的項 ($n^{-1/2}$) とプライバシーコスト項 ($(n\epsilon)^{-1}$) を組み合わせたものである。
• プライバシー対統計的効率: 結果は、プライバシーが統計的に無視できる領域（$\epsilon \gtrsim \sqrt{d/n}$ の場合）と、プライバシーが検定レートを支配する領域を特定する。

数値実験

著者らは、シミュレーションを通じて理論的知見を検証する：

• コックス係数: 二項尤度比検定とスコア型検定の実証的検出力と第一種の過誤率を検討した。結果は、検出力がサンプルサイズ $n$ とプライバシー予算 $\epsilon$ ともに増加することを示し、理論的予測と一致する。
• 二標本検定: シミュレーションは、分散検定が第一種の過誤を正しく制御し、ハザード関数間の分離、サンプルサイズ、またはプライバシー予算の増加に伴い検出力が増加することを示した。

意義と主張

本論文は、生存分析における差分プライバシー仮説検定のための有限サンプル理論を初めて展開するものであると主張する。その意義は以下の点にある：

1. 依存性の扱い: 生存データにおける観測値の非独立性（リスクセットを介して）を明示的に処理する。これは、標準的な私的検定手法の直接適用を妨げる構造的な特徴である。
2. 逆行列計算の回避: 同一性検定手続きは、情報行列を私的に逆行列計算するという計算上および統計的に困難なタスクを回避し、高次元コックスモデルに対するより実用的な代替案を提供する。
3. 最適性: 分散累積ハザード検定において、提案された手法がほぼミニマックス最適であることを確立し、将来の研究のための基準を提供する。
4. 未解決問題: 著者らは控えめに、コックス係数検定に対する彼らの上限は競争力があるものの、コックスモデルにおける私的二項および同一性検定の正確なミニマックス分離レート、特にプライバシー依存項の緊密性に関しては未解決の問題であると指摘する。

この研究は、私的生存分析のすべての課題を解決するものではないが、主要な仮説検定シナリオのための基礎的な理論的枠組みと、厳密な有限サンプル分析を伴う具体的かつ実装可能な手続きを提供する。