Technische Samenvatting: Differentieel Private Hypothesetoetsing in Survivalanalyse

Probleemstelling

Survivalanalyse is cruciaal voor besluitvorming in hoog-risicodomeinen zoals geneeskunde, betrouwbaarheidstechniek en klantbehoud, maar vereist vaak gevoelige gegevens op individueel niveau. Hoewel differentieel privacy (DP) een rigoureus kader biedt voor de bescherming van dergelijke gegevens, blijft de ontwikkeling van private hypothesetoetsingsprocedures voor rechtsgecensureerde gegevens aanzienlijk onderontwikkeld in vergelijking met private schatting. Bestaande literatuur over private toetsing steunt grotendeels op de aanname van onafhankelijke likelihood-decomposities, een voorwaarde die in survivalanalyse faalt vanwege de afhankelijkheidsstructuur die wordt veroorzaakt door risicogroepen. Bijgevolg kunnen standaard private toetsingsbenaderingen niet direct worden toegepast op canonieke survivalproblemen zoals Cox-regressie en vergelijking van cumulatieve hazardfuncties.

Dit artikel initieert een theorie voor eindige steekproeven voor differentieel private hypothesetoetsing in survivalanalyse, met aandacht voor drie canonieke problemen:

1. Binaire hypothesetoetsing voor Cox-regressiecoëfficiënten.
2. Identiteitstoetsing (simple null versus composite alternative) voor Cox-regressiecoëfficiënten.
3. Twee-steekproefstoetsing voor cumulatieve hazardfuncties onder rechts censuur in een gedistribueerde setting.

Methodologie

1. Binaire Hypothesetoetsing voor Cox-coëfficiënten

De auteurs stellen een differentieel private versie van de partiële likelihood-ratiotoets voor om $H_0: \beta^* = \beta_0$ versus $H_1: \beta^* = \beta_1$ te toetsen.

• Mechanisme: De toetsingsstatistiek wordt geconstrueerd door Laplace-ruis toe te voegen aan de log-partiële likelihood-ratio. De schaal van de ruis wordt gekalibreerd aan de gevoeligheid van de log-partiële likelihood-ratio, die afhangt van de begrensdheid van het covariaatproces en de afstand tussen $\beta_0$ en $\beta_1$.
• Privacy: De procedure voldoet aan $(\epsilon, 0)$-differentieel privacy.
• Detectiegarantie: Het artikel stelt een voldoende voorwaarde vast voor betrouwbare toetsing, waaruit blijkt dat de scheiding tussen hypothesen een rate moet overschrijden die bestaat uit de standaard niet-private term ($d/n$) en een door privacy veroorzaakte term ($d^2/n^2\epsilon^2$).

2. Identiteitstoetsing voor Cox-coëfficiënten

Voor het probleem van het toetsen van $H_0: \beta^* = \beta_0$ versus $H_1: \|\beta^* - \beta_0\|_2^2 \geq r^2$, ontwikkelen de auteurs een private score-type toets.

• Statistiek: In plaats van de volledige kwadratische vorm die de inverse informatiematrix omvat te privatiseren (wat moeilijk te schatten is in een private setting), maakt de toets gebruik van de Euclidische norm van de scorefunctie, $\|\dot{\ell}_n(\beta_0)/\sqrt{n}\|_2$.
• Kalibratie: De verwerpingsthorde vereist de spoor van de populatie-informatiematrix, $\text{tr}\{G(\beta^*)\}$. Aangezien dit onbekend is, stellen de auteurs een private schatter voor voor de spoorwaarde, gebruikmakend van een private Hessian berekend op een subset van de data.
• Implementatie: De definitieve toets combineert de private scorestatistiek met een private spoor-schatting, waardoor de noodzaak om een $d \times d$-matrix privaat te inverteren wordt vermeden. De procedure behoudt dezelfde foutgaranties als een orakeltoets, tot op constante en logaritmische factoren.

3. Gedistribueerde Twee-steekproefstoetsing voor Cumulatieve Hazards

De auteurs beschouwen een gedistribueerde setting waarin twee servers datasets $D_1$ en $D_2$ bezitten en $H_0: \Lambda_1 = \Lambda_2$ versus $H_1: \|\Lambda_1 - \Lambda_2\|_\infty > r$ willen toetsen.

• Aanpak: De methode maakt gebruik van een gedistribueerde private Nelson-Aaalen-schatting (gebaseerd op een golfje-achtige constructie) om de cumulatieve hazardfuncties $\hat{\Lambda}_1$ en $\hat{\Lambda}_2$ op elke server te schatten.
• Toetsingsstatistiek: De toets verwerpt $H_0$ als de sup-norm-afstand tussen de private schatters een drempel $\tau$ overschrijdt.
• Privacy: Elke server past een private mechanisme toe dat voldoet aan $(\epsilon_k, \delta_k)$-DP. De definitieve toets is een functie van deze private outputs en voldoet aan de gedistribueerde privacybeperkingen.

Belangrijkste Bijdragen en Resultaten

Theoretische Garanties

• Theorie voor Eindige Steekproeven: Het artikel biedt detectiegaranties voor eindige steekproeven en minimax-ondergrenzen, en gaat hiermee voorbij aan de asymptotische perspectieven die gangbaar zijn in eerdere literatuur over private toetsing.
• Scheidingsrates:
  • Voor binaire Cox-coëfficiëntentoetsing wordt de bereikbare scheidingsrate aangetoond als $O(d/n + d^2/n^2\epsilon^2)$. Een minimax-ondergrens van $\Omega(d/n + d/n^2\epsilon^2)$ wordt afgeleid, wat een kloof onthult waarbij de optimaliteit van de voorgestelde partiële likelihood-ratiotoets open blijft.
  • Voor identiteitstoetsing is de scheidingsrate $O(d^{3/2}/n + \text{privacy-termen})$. Het niet-private component ($d^{3/2}/n$) wordt aangetoond als bijna minimax optimaal, terwijl de optimale afhankelijkheid van privacyparameters een open probleem blijft.
  • Voor gedistribueerde twee-steekproefstoetsing van cumulatieve hazards bereikt de voorgestelde toets een scheidingsrate die minimax optimaal is tot op poly-logaritmische factoren. De rate combineert de niet-private term ($n^{-1/2}$) en de privacykostterm ($n\epsilon)^{-1}$.
• Privacy versus Statistische Efficiëntie: De resultaten identificeren regimes waarin privacy statistisch verwaarloosbaar is (wanneer $\epsilon \gtrsim \sqrt{d/n}$) en regimes waarin privacy de toetsingsrate domineert.

Numerieke Experimenten

De auteurs valideren hun theoretische bevindingen via simulaties:

• Cox-coëfficiënten: Empirische power en Type-I-foutpercentages voor de binaire likelihood-ratiotoets en de score-type toets werden onderzocht. De resultaten tonen aan dat de power toeneemt met de steekproefgrootte $n$ en het privacybudget $\epsilon, in overeenstemming met theoretische voorspellingen.
• Twee-steekproefstoetsing: Simulaties toonden aan dat de gedistribueerde toets correct de Type-I-fout controleert en een toenemende power bereikt naarmate de scheiding tussen hazardfuncties, de steekproefgrootte of het privacybudget toeneemt.

Betekenis en Beweringen

Het artikel beweert het eerste te zijn dat een theorie voor eindige steekproeven initieert voor differentieel private hypothesetoetsing in survivalanalyse. De betekenis hiervan ligt in:

1. Aanpakken van Afhankelijkheid: Het behandelt expliciet de niet-onafhankelijkheid van observaties in survivaldata (via risicogroepen), een structureel kenmerk dat de directe toepassing van standaard private toetsingsmethoden verhindert.
2. Vermijden van Inversie: De identiteitstoetsingsprocedure vermijdt de computationeel en statistisch uitdagende taak van het privaat inverteren van de informatiematrix, en biedt een meer praktische alternatief voor hoog-dimensionale Cox-modellen.
3. Optimaliteit: Het stelt vast dat voor gedistribueerde toetsing van cumulatieve hazards de voorgestelde methode bijna minimax optimaal is, en biedt zo een benchmark voor toekomstig werk.
4. Open Problemen: De auteurs merken bescheiden op dat hoewel hun bovengrenzen voor Cox-coëfficiëntentoetsing concurrerend zijn, de exacte minimax scheidingsrate voor private binaire en identiteitstoetsing in het Cox-model een open probleem blijft, met name wat betreft de strakheid van de privacy-afhankelijke termen.

Het werk claimt niet alle uitdagingen in private survivalanalyse op te lossen, maar biedt een fundamenteel theoretisch kader en specifieke, implementeerbare procedures voor belangrijke hypothesetoetsingsscenario's, vergezeld van een rigoureuze analyse voor eindige steekproeven.