Privacy Preserving Disease Prediction Across Multiple Hospitals Using CKKS Based Homomorphic Federated Learning

現代の医学界において、医師が患者の将来の健康状態を予測できるかどうかは、彼らがどれほど幅広いデータを見ることができるかに依存することがよくあります。パターンから学習するコンピュータプログラムである機械学習アルゴリズムは、再入院や病状の進行といったリスクを特定するための強力なツールになりつつあります。しかし、これらのツールは、入力される情報の質に左右されます。問題は、この情報、すなわち患者に関する機密性の高い詳細を含む電子健康記録が、厳格なプライバシー法や機関の規則によって封じ込められ、数千もの病院に分散していることです。病院は、患者の信頼を裏切り、法的規制に抵触することなく、より優れたモデルを構築するために、生の患者ファイルを中央機関に単純に共有することはできません。

これを解決するために、研究者たちは「連合学習（フェデレーテッド・ラーニング）」と呼ばれる手法を開発しました。それぞれが秘密の家族のレシピを持っているシェフのグループを想像してみてください。レシピが盗まれたりコピーされたりするのを防ぐために、中央のキッチンにレシピを送るのではなく、彼らは各自の場所で料理を作り、最終的な「味」だけを中央の審査員に送ることに同意します。審査員はその味を組み合わせてマスターレシピを作成し、それを次の試行のためにシェフたちに送り返します。このデジタル版では、「レシピ」がデータであり、「シェフ」が病院であり、「味」がコンピュータモデルへの数学的な更新値です。生の患者データが病院の外に出ることはありません。しかし、この手法でさえ欠点があります。送り返される「味」は、時として使用された特定の材料を多く露呈してしまい、好奇心旺盛な観察者がどの患者が学習セットに含まれていたかを推測できてしまう可能性があるのです。これを修正するために、科学者たちは現在、「準同型暗号」と呼ばれる技術を探索しています。これは、データがデジタルの金庫の中にロックされたまま計算を行うことを可能にするもので、たとえ組み合わせを行う人物であっても、生の数値を見ることができないように保証します。

インドのプネーにあるMIT工学部（MIT School of Engineering in Pune）の研究チームは、最近、10の病院のネットワークを模したシミュレーション環境において、この概念をテストしました。彼らの目標は、患者のデータを完全に隠蔽し、モデルの更新値を暗号化した状態で、糖尿病患者が30日以内に再入院するかどうかを予測する機械学習モデルを構築できるかどうかを確認することでした。彼らは、医療データには整数だけでなく小数や分数も含まれることが多いため、暗号化された数値に対して近似計算を可能にする「CKKS」と呼ばれる特定の種類のデジタルロックを使用しました。

研究者たちは、130の実際の病院の記録を含む公開データセットを使用し、それを10個の異なる機関を表す10個の塊に分割して、仮想実験を設定しました。各仮想病院は、自らのローカルデータを用いて独自の予測モデルを学習させました。標準的な非暗号化のシナリオでは、これらの病院はモデルの更新値を中央サーバーに直接送信します。しかし、この新しい実験では、病院はまずCKKSメソッドを使用して、更新値をデジタルの金庫の中にロックしました。中央サーバーは、正直だが好奇心旺盛なコーディネーターとして機能し、個々の貢献を解錠することなく、それらを平均化するための計算を行いました。平均化が完了した後、最終的な結果が信頼できる当事者に送られ、解読された上でグローバルモデルの更新に使用されました。

実験の結果、プライバシーとパフォーマンスの間には明確かつ困難なトレードオフがあることが明らかになりました。研究者が暗号化なしで同じタスクを実行した際、システムは非常に効果的であり、高い精度で再入院のリスクを特定できました。モデルは迅速に学習し、信頼できる予測を生み出しました。しかし、この非暗号化の状態では、システムは脆弱でした。攻撃者が更新値を観察することで、特定の患者のデータが学習に含まれていたかどうかを判断することに成功し、プライバシーの約束を事実上破ることができてしまいました。

研究者が暗号化を有効にすると、プライバシー保護は調査された攻撃経路に対して意図通りに機能しました。システムは、特定の患者のデータが学習セットに含まれているかどうかを推測する攻撃者の能力を、コイン投げと同じ成功率である正確に50パーセントのレベルまで減少させました。この発見は、正直だが好奇心旺盛なサーバーに対する評価されたプロトコルの保護と一致していますが、あらゆるプライバシー攻撃やあらゆる敵対的条件下での免疫を保証するものではありません。病院のデータは真にプライベートなままであり、中央サーバーにはロックされた数値以外は見えませんでした。

しかし、このプライバシーには大きな代償が伴いました。暗号化されたシステムははるかに低速であり、ネットワーク経由で送信されるデータ量もはるかに多くなりました。各病院から送信されるデータパッケージのサイズは24倍に膨れ上がり、通信トラフィックは1回の学習ラウンドごとに約3メガバイトから約38メガバイトへと跳ね上がりました。さらに、モデルの予測能力も著しく低下しました。非暗号化モデルは再入院を正しく特定する高いスコアを達成しましたが、暗号化バージョンは苦戦し、再入院する患者としない患者を区別する能力は、ランダムな推測よりはマシであるものの、臨床的な意思決定には使いにくいレベルまで低下しました。モデルが安定するまでにも時間がかかり、ロックされたデータから学習しようとする過程で、より不安定な挙動を示しました。

本研究は、この手法を用いて多施設共同の疾患予測を行うプライバシー保護システムを構築することは技術的に可能であるが、まだ完璧な解決策ではないと結論付けています。この技術は、研究者がテストした特定のプライバシー漏洩を阻止することには成功しましたが、それはシステムを大幅に重くし、精度を低下させることで実現されています。研究者たちは、この設定において、暗号化データのサイズを縮小し、デジタルのロック越しでも効果的に学習できるモデルの能力を向上させることが、今後の課題であると考えています。それまでは、極めて正確だがプライバシーのリスクがあるモデルと、精度は低いが完全にプライベートなモデルとの間で、医療機関が難しいバランスを取らざるを得ない状況が続くでしょう。