Resumo Técnico: Teste de Hipóteses com Privacidade Diferencial em Análise de Sobrevivência

Declaração do Problema

A análise de sobrevivência é crítica para a tomada de decisões em domínios de alto risco, como medicina, confiabilidade em engenharia e retenção de clientes, contudo frequentemente envolve dados sensíveis em nível individual. Embora a privacidade diferencial (PD) ofereça um quadro rigoroso para proteger tais dados, o desenvolvimento de procedimentos de teste de hipóteses privados para dados censurados à direita permanece significativamente subdesenvolvido em comparação com a estimação privada. A literatura existente sobre testes privados baseia-se amplamente na suposição de decomposições de verossimilhança independentes, uma condição que falha na análise de sobrevivência devido à estrutura de dependência induzida pelos conjuntos em risco. Consequentemente, as abordagens padrão de teste privado não podem ser aplicadas diretamente a problemas canônicos de sobrevivência, como a regressão de Cox e a comparação de funções de risco cumulativo.

Este artigo inicia uma teoria de amostra finita para teste de hipóteses com privacidade diferencial em análise de sobrevivência, abordando três problemas canônicos:

1. Teste de hipóteses binário para coeficientes de regressão de Cox.
2. Teste de identidade (hipótese nula simples versus alternativa composta) para coeficientes de regressão de Cox.
3. Teste de duas amostras para funções de risco cumulativo sob censura à direita em um ambiente distribuído.

Metodologia

1. Teste de Hipóteses Binário para Coeficientes de Cox

Os autores propõem uma versão com privacidade diferencial do teste de razão de verossimilhança parcial para testar $H_0: \beta^* = \beta_0$ vs. $H_1: \beta^* = \beta_1$.

• Mecanismo: A estatística de teste é construída adicionando ruído Laplace à razão de verossimilhança parcial logarítmica. A escala do ruído é calibrada à sensibilidade da razão de verossimilhança parcial logarítmica, que depende da limitação do processo de covariáveis e da distância entre $\beta_0$ e $\beta_1$.
• Privacidade: O procedimento satisfaz privacidade diferencial $(\epsilon, 0)$.
• Garantia de Detecção: O artigo estabelece uma condição suficiente para testes confiáveis, mostrando que a separação entre hipóteses deve exceder uma taxa composta pelo termo não privado padrão ($d/n$) e um termo induzido pela privacidade ($d^2/n^2\epsilon^2$).

2. Teste de Identidade para Coeficientes de Cox

Para o problema de testar $H_0: \beta^* = \beta_0$ vs. $H_1: \|\beta^* - \beta_0\|_2^2 \geq r^2$, os autores desenvolvem um teste do tipo escore privado.

• Estatística: Em vez de privatizar a forma quadrática completa envolvendo a matriz de informação inversa (o que é difícil de estimar de forma privada), o teste utiliza a norma euclidiana da função escore, $\|\dot{\ell}_n(\beta_0)/\sqrt{n}\|_2$.
• Calibração: O limiar de rejeição requer o traço da matriz de informação populacional, $\text{tr}\{G(\beta^*)\}$. Como isso é desconhecido, os autores propõem um estimador privado para o traço usando um Hessiano privado computado em um subconjunto dos dados.
• Implementação: O teste final combina a estatística de escore privada com um estimador de traço privado, evitando a necessidade de inverter privadamente uma matriz $d \times d$. O procedimento mantém as mesmas garantias de erro que um teste oráculo, até fatores constantes e logarítmicos.

3. Teste de Duas Amostras Distribuído para Riscos Cumulativos

Os autores consideram um ambiente distribuído onde dois servidores possuem conjuntos de dados $D_1$ e $D_2$ e desejam testar $H_0: \Lambda_1 = \Lambda_2$ vs. $H_1: \|\Lambda_1 - \Lambda_2\|_\infty > r$.

• Abordagem: O método emprega um estimador de Nelson-Aalen privado distribuído (baseado em uma construção semelhante a wavelets) para estimar as funções de risco cumulativo $\hat{\Lambda}_1$ e $\hat{\Lambda}_2$ em cada servidor.
• Estatística de Teste: O teste rejeita $H_0$ se a distância da norma sup entre os estimadores privados exceder um limiar $\tau$.
• Privacidade: Cada servidor aplica um mecanismo privado satisfazendo $(\epsilon_k, \delta_k)$-PD. O teste final é uma função dessas saídas privadas, satisfazendo as restrições de privacidade distribuída.

Principais Contribuições e Resultados

Garantias Teóricas

• Teoria de Amostra Finita: O artigo fornece garantias de detecção de amostra finita e limites inferiores minimax, indo além das perspectivas assintóticas comuns na literatura anterior de testes privados.
• Taxas de Separação:
  • Para teste de coeficientes de Cox binário, a taxa de separação alcançável é mostrada como $O(d/n + d^2/n^2\epsilon^2)$. Um limite inferior minimax de $\Omega(d/n + d/n^2\epsilon^2)$ é derivado, revelando uma lacuna onde a otimalidade do teste de razão de verossimilhança parcial proposto permanece aberta.
  • Para teste de identidade, a taxa de separação é $O(d^{3/2}/n + \text{termos de privacidade})$. O componente não privado ($d^{3/2}/n$) é mostrado como quase minimax ótimo, enquanto a dependência ótima nos parâmetros de privacidade permanece um problema aberto.
  • Para teste de duas amostras distribuído de riscos cumulativos, o teste proposto alcança uma taxa de separação que é minimax ótima até fatores polilogarítmicos. A taxa combina o termo não privado ($n^{-1/2}$) e o termo de custo de privacidade ($n\epsilon)^{-1}$.
• Privacidade vs. Eficiência Estatística: Os resultados identificam regimes onde a privacidade é estatisticamente negligenciável (quando $\epsilon \gtrsim \sqrt{d/n}$) e regimes onde a privacidade domina a taxa de teste.

Experimentos Numéricos

Os autores validam suas descobertas teóricas por meio de simulações:

• Coeficientes de Cox: Foram examinadas a potência empírica e as taxas de erro Tipo-I para o teste de razão de verossimilhança binário e o teste do tipo escore. Os resultados mostram que a potência aumenta com o tamanho da amostra $n$ e o orçamento de privacidade $\epsilon$, consistente com as previsões teóricas.
• Teste de Duas Amostras: Simulações demonstraram que o teste distribuído controla corretamente o erro Tipo-I e alcança potência crescente à medida que a separação entre as funções de risco, o tamanho da amostra ou o orçamento de privacidade aumentam.

Significado e Alegações

O artigo alega ser o primeiro a iniciar uma teoria de amostra finita para teste de hipóteses com privacidade diferencial em análise de sobrevivência. Seu significado reside em:

1. Abordar a Dependência: Lida explicitamente com a não independência das observações em dados de sobrevivência (via conjuntos em risco), uma característica estrutural que impede a aplicação direta de métodos padrão de teste privado.
2. Evitar Inversão: O procedimento de teste de identidade evita a tarefa computacional e estatisticamente desafiadora de inverter privadamente a matriz de informação, oferecendo uma alternativa mais prática para modelos de Cox de alta dimensão.
3. Otimalidade: Estabelece que, para teste de risco cumulativo distribuído, o método proposto é quase minimax ótimo, fornecendo um marco para trabalhos futuros.
4. Problemas Abertos: Os autores notam modestamente que, embora seus limites superiores para teste de coeficientes de Cox sejam competitivos, a taxa exata de separação minimax para teste binário e de identidade privado no modelo de Cox permanece um problema aberto, particularmente regarding a precisão dos termos dependentes da privacidade.

O trabalho não alega resolver todos os desafios na análise de sobrevivência privada, mas fornece um quadro teórico fundamental e procedimentos específicos e implementáveis para cenários chave de teste de hipóteses, acompanhados de uma análise rigorosa de amostra finita.