Optimal Cox regression under federated differential privacy: coefficients and cumulative hazards

Resumo Técnico: Regressão de Cox Ótima sob Privacidade Diferencial Federada

1. Problema e Contexto

O artigo aborda dois problemas fundamentais na análise de sobrevivência distribuída sob o regime de Privacidade Diferencial Federada (FDP - Federated Differential Privacy):

1. Estimação dos coeficientes de regressão ($\beta_0$) no modelo de riscos proporcionais de Cox.
2. Estimação da função de risco basal cumulativa ($\Lambda_0(t)$).

O cenário considera dados distribuídos entre múltiplos servidores (hospitais, instituições financeiras, etc.), onde cada servidor possui um tamanho de amostra ($n_s$) e um orçamento de privacidade ($\epsilon_s, \delta_s$) heterogêneos. O objetivo é realizar inferência estatística rigorosa sem que os dados brutos saiam dos servidores locais, garantindo que a comunicação entre servidores satisfaça as restrições de FDP.

O trabalho foca em quantificar o custo fundamental da privacidade (a degradação na taxa de convergência devido à adição de ruído) e estabelecer limites minimax (inferiores e superiores) para esses estimadores.

2. Metodologia

Os autores propõem algoritmos computacionalmente eficientes e analisam suas propriedades teóricas:

A. Estimação dos Coeficientes de Regressão ($\beta_0$)

• Algoritmo Proposto: Um algoritmo de Descida de Gradiente Estocástico Privado (FDP-Cox).
• Mecanismo de Privacidade: Utiliza o mecanismo Gaussiano para adicionar ruído aos gradientes calculados localmente em cada servidor antes de enviá-los ao agregador.
• Desafio Específico: A função de verossimilhança parcial de Cox depende do conjunto de indivíduos em risco ($Y_{s,i}(t)$), o que cria dependências complexas entre as observações. Os autores derivam limites rigorosos para a sensibilidade $\ell_2$ do gradiente, que escala com $\log(n)/n$, permitindo a calibração adequada do ruído.
• Estratégia de Agregação: Utiliza pesos proporcionais ao "tamanho de amostra efetivo" de cada servidor (mínimo entre o tamanho real e o tamanho efetivo sob privacidade) para otimizar a convergência em ambientes heterogêneos.

B. Estimação do Risco Basal Cumulativo ($\Lambda_0(t)$)

• Algoritmo Proposto: Uma versão privada do Estimador de Breslow (FDP-Breslow).
• Mecanismo de Privacidade: Adapta mecanismos baseados em árvores binárias (Tree-based mechanisms). O horizonte de tempo $[0, 1]$ é particionado em intervalos. Em vez de publicar estimativas cumulativas diretas (que acumulariam ruído), o algoritmo publica estimativas de intervalos privatizados organizados em uma árvore.
• Vantagem: Isso permite reconstruir a função de risco cumulativo em qualquer ponto $t$ com apenas um número logarítmico de composições de privacidade, mantendo a precisão.
• Truncamento: Introduz um nível de truncamento para garantir que os conjuntos de risco não sejam excessivamente pequenos, controlando a sensibilidade e evitando vazamentos de privacidade em eventos raros.

C. Cenário de Privacidade de Rótulo (Label DP)

• O artigo também investiga um cenário relaxado onde as covariáveis (características demográficas, por exemplo) são públicas, e apenas os tempos de evento e indicadores de censura precisam ser privatizados.
• Eles estabelecem limites minimax para este cenário, mostrando que, embora a privacidade seja relaxada, o custo da dimensionalidade ($d$) na taxa de convergência permanece significativo em certos regimes (especialmente em DP Central de Rótulo).

3. Principais Contribuições

1. Primeira Análise Minimax Sistemática: É o primeiro trabalho a fornecer uma análise minimax completa para o modelo de Cox sob restrições de FDP, cobrindo tanto coeficientes quanto funções de risco.
2. Limites Minimax Otimais:
   • Derivam limites inferiores (lower bounds) e superiores (upper bounds) que coincidem até fatores polilogarítmicos para os coeficientes de regressão.
   • A taxa de erro quadrático médio escala como:
     $$\frac{d^2}{\sum_{s=1}^S \min(n_s, n_s^2 \epsilon_s^2 / d)}$$
     Isso revela uma transição de fase no nível do servidor: o desempenho é limitado pelo menor entre o tamanho da amostra local ($n_s$) e o tamanho efetivo sob privacidade ($n_s^2 \epsilon_s^2 / d$).
3. Algoritmos Eficientes: Propõem algoritmos que são viáveis computacionalmente e provam que atingem as taxas minimax ótimas (com fatores logarítmicos).
4. Estimador de Função de Sobrevivência: Como subproduto, derivam um estimador de função de sobrevivência que atinge a taxa minimax ótima.
5. Análise de Dados Parcialmente Públicos: Resultados pioneiros para configurações de "Label Federated DP", mostrando como a disponibilidade pública de covariáveis afeta (ou não) as taxas de convergência.

4. Resultados Teóricos e Numéricos

• Taxas de Convergência:
  • No regime não privado, a taxa é $O(d^2/N)$, onde $N$ é o total de amostras.
  • No regime privado federado, a taxa degrada-se para $O(d^3 / (N^2 \epsilon^2))$ quando a privacidade é o fator limitante.
  • O artigo demonstra que, em configurações heterogêneas, servidores com orçamentos de privacidade muito restritos ou amostras pequenas contribuem menos para a precisão global, atuando como um gargalo.
• Simulações:
  • Experimentos com dados sintéticos confirmam que os erros de estimação diminuem conforme o aumento do tamanho da amostra ($n$) e do orçamento de privacidade ($\epsilon$).
  • Mostram a transição de fase entre o regime dominado pela estatística (não privado) e o regime dominado pelo ruído (privado).
  • A aplicação em dados reais (conjunto de dados de câncer de mama de Rotterdam) demonstra a viabilidade prática dos algoritmos, com erros que diminuem conforme o número de servidores ou o orçamento de privacidade aumenta.
• Pacote de Software: Os métodos foram implementados no pacote R FDPCox, disponível publicamente.

5. Significado e Impacto

• Fundação Teórica: Este trabalho preenche uma lacuna crítica na literatura estatística, fornecendo garantias rigorosas para análise de sobrevivência em ambientes de dados sensíveis e distribuídos (como saúde e finanças), onde a privacidade é mandatória (ex: GDPR, HIPAA).
• Guia para Prática: Os resultados quantificam exatamente quanto "custo" (em termos de precisão estatística) uma organização deve pagar para obter privacidade, ajudando na tomada de decisão sobre alocação de orçamentos de privacidade em redes federadas.
• Inovação em Algoritmos: A adaptação de mecanismos baseados em árvores para estimadores de Breslow e a gestão da dependência estocástica nos gradientes de Cox representam avanços técnicos significativos na interseção entre aprendizado federado, privacidade diferencial e estatística de sobrevivência.

Em resumo, o artigo estabelece o estado da arte para a estimação de modelos de Cox em ambientes federados privados, provando que é possível alcançar taxas de convergência ótimas (quase minimax) mesmo sob fortes restrições de privacidade e heterogeneidade de dados.