技術概要：FPLIER – 連合パスウェイレベル情報抽出器

1. 問題定義

トランスクリプトミクスにおいて、パスウェイレベル情報抽出器（PLIER）のような遺伝子セットを考慮した因子分解手法は、大規模で多様な発現コンペンディア上で訓練された場合に最適な性能を発揮する。しかし、多くの臨床的に重要なコホートは、プライバシーの懸念、規制要件、データガバナンス方針により、単一の中央集権型データセットに統合することができない。連合学習（FL）は、データ統合なしで協調的な訓練を可能にする枠組みを提供するが、深層学習向けに設計された標準的な FL ワークフロー（勾配ベースの更新に基づく）は、自然には PLIER と整合しない。PLIER は、閉形式の線形代数に基づく更新と遺伝子セットに基づく構造的制約に依存しており、分散環境で機能させるためには専用の再定式化が必要である。さらに、深層学習と比較してこの文脈で十分に研究されていないメンバーシップ推論攻撃に関する、そのような連合行列因子分解のプライバシーリスクを理解する必要がある。

2. 手法

2.1. FPLIER フレームワーク

FPLIER は、生遺伝子発現データをローカルに保持したまま、複数のデータ保有者間で協調的な訓練を可能にするように設計された PLIER の連合再定式化である。本プロトコルは、サーバーとクライアントがプロトコルに従うが、観測量から追加情報を推測しようとする可能性がある「正直だが好奇（honest-but-curious）」という脅威モデルの下で動作する。

中核メカニズム:

• データ分割: 遺伝子発現行列 $Y$ は、$N$ 人のクライアント間で列方向（サンプル方向）に分割される。各クライアント $i$ はプライベートデータセット $Y^{priv}_i$ を保持し、共有パブリックデータセットの断片 $Y^{pub}_i$ を割り当てられる。
• グローバル変数とローカル変数:
  • ローカル: 各クライアントは発現行列 $Y_i$ と対応する潜在表現 $B_i$ をローカルに保持する。これらは共有されない。
  • グローバル: 遺伝子負荷行列 $Z$、遺伝子セット関連行列 $U$、および遺伝子セット所属行列 $C$ は、コンソーシアム間で共有されるグローバルパラメータである。
• 安全集約: PLIER における訓練更新は、$YY^\top$、$YB^\top$、$BB^\top$ などの行列積に依存する。FPLIER では、これらの量を SecAgg+ プロトコルを用いてクライアント間で加法的に計算する（$\sum Y_i Y_i^\top$ など）。これにより、サーバーは個々のクライアントの寄与ではなく、集約された合計のみを確認できる。
• 代数的同等性: 更新がこれらの集約和を通じてのみデータに依存するため、FPLIER は（わずかな数値的差異を除き）中央集権型 PLIER 手法と代数的に同等の訓練更新を生み出し、元の手法の数学的構造を保持する。

プロトコルフェーズ:

1. 予備ステップ: サーバーはパブリックデータの断片をクライアントに配布する。クライアントはプライベートデータとパブリック断片を連結し、ローカルな訓練/ホールドアウト分割を実行し、連合 z スコア標準化に参加する。
2. 連合訓練: クライアントはローカル行列を反復的に更新し、必要な行列積を安全に集約してグローバルな $Z$ と $U$ を更新する。
3. リリース後評価（オプション）: モデルがリリースされる前に、クライアントはホールドアウトセットを使用して、モデルのメンバーシップ推論攻撃に対する感度をローカルに評価できる。

2.2. プライバシー評価戦略

著者は、以下の 2 つの設定における メンバーシップ推論攻撃 を通じてプライバシーリスクを評価する。

1. 訓練時攻撃: 正直だが好奇なサーバーが、初期化中に観測される集約共分散類似行列 $YY^\top$ を使用して、特定のサンプルが訓練セットに含まれていたかどうかを判定しようとする。攻撃は、$YY^\top$ に対する主成分分析（PCA）を用いて候補サンプルを射影する。訓練サンプルは通常、より小さな再構成残差を生み出す。
2. リリース後攻撃: 外部の攻撃者がリリースされたモデルパラメータ（$Z$ と $\lambda_2$）を使用してサンプルを再構成し、元のプロファイルと再構成されたプロファイル間のスピアマン順位相関を測定する。

3. 主要な貢献

• FPLIER 定式化: トランスクリプトミクス解析のための遺伝子セットを考慮した因子分解手法の最初の連合定式化であり、分散訓練のために PLIER の最適化手順を特に適応させたものである。
• 実証的検証: 模擬コンソーシアム（K–CLIER および MultiPLIER 設定）において、FPLIER が安定して収束し、中央集権型 PLIER と統計的に区別できない分解を生み出すことを示した。
• プライバシーランク分析: メンバーシップ推論リスクが訓練発現行列の ランク によって支配されることを明らかにする体系的な分析。サンプル数対特徴量数比（$n/p$）の増加やパブリックデータの組み込みがシステムを「フルランク領域」へと導き、攻撃者にとって訓練サンプルと非訓練サンプルを区別できなくすることを特定した。
• 新規リリース後分析: 標準的な中央集権型訓練 PLIER モデルに対するメンバーシップ推論リスクを初めて提示し、同じランクベースの原理がリリースされたモデルにも適用されることを示した。

4. 実験結果

著者は、K–CLIER（腎臓生物学）および MultiPLIER（一般トランスクリプトミクス）研究からのデータセットを使用して FPLIER を評価し、パブリックデータの割合（0% から 100%）を変化させた連合コンソーシアムをシミュレートした。

• モデル有用性: FPLIER は確実に収束した。遺伝子ごとの再構成相関に対するコルモゴロフ・スミルノフ検定により、FPLIER と中央集権型 PLIER の間に統計的に有意な差は見られなかった。
• 訓練時攻撃:
  • ランク不足領域（低い $n/p$、パブリックデータが少ない）では、サーバーは訓練サンプルとホールドアウトサンプルを区別する際にほぼ完璧な AUROC（1.0 に近い）を達成できた。
  • パブリックデータが追加されるか、次元が削減されると、$n/p$ が増加する。システムが フルランク領域（$n/p \approx 1$）に近づくと、攻撃性能は急激に低下し、ランダム推測（AUROC $\approx 0.5$）に近づく。
• リリース後攻撃:
  • 同様の傾向が観察された。訓練データのランクが増加するにつれて、攻撃の有効性は低下した。
  • ただし、リリース後攻撃は一般的に訓練時攻撃よりも効果が低く、クライアント間で変動が大きかった。これは、潜在空間に対する正則化と遺伝子セット制約の影響によるものと考えられる。
• 次元削減: 特徴空間を削減する（例：K–CLIER で 2,000 遺伝子に）ことで、システムはより小さなサンプルサイズでフルランク領域に移行し、攻撃の有効性が大幅に軽減された。

5. 意義と主張

本論文は、FPLIER がデータガバナンスの制約に直面した際のトランスクリプトミクス解析のための 実用的かつ比例した解決策 を提供すると主張している。その主な意義は以下の点にある。

1. 協調の促進: 機密性の高い生データを中央集権化することなく、GDPR などの規制枠組みに準拠しつつ、機関が大規模で多様なパブリックデータセットとプライベートコホートを同時に活用することを可能にする。
2. プライバシー境界の定義: PLIER のような行列因子分解手法において、プライバシーは絶対的な二値ではなく、データのランクの関数であることを確立する。実用的な指針を提供する。すなわち、コンソーシアムは、モデルの有用性を低下させる可能性がある微分プライバシーに必ずしも頼らずにメンバーシップ推論リスクを自然に軽減するために、パブリックデータの統合や次元削減を通じてフルランク領域で動作することを目指す必要がある。
3. 運用上の安全策: プロトコルには、モデルリリース前にクライアントがローカルにプライバシーリスクを評価し、モデルが特定のデータ分布に対して過度に敏感であると判断された場合にリリースをブロックするための組み込みメカニズムが含まれている。

著者は、彼らのプライバシー保証が微分プライバシーとは異なり形式的なものではなく経験的であることを、また本研究が正直だが好奇な脅威モデルに限定されていることを指摘し、謙虚な立場を維持している。今後の研究として、形式的なプライバシーメカニズムの組み込みや、初期化中の露出をさらに減らすための連合特異値分解の検討が提案されている。