技术摘要：生存分析中的差分隐私假设检验

问题陈述

生存分析对于医学、工程可靠性及客户留存等高风险领域的决策至关重要，然而其经常涉及敏感的个体级数据。尽管差分隐私（DP）为保护此类数据提供了严格的框架，但相较于私有估计，针对右删失数据的私有假设检验程序的开发仍显著滞后。现有的私有检验文献主要依赖于独立似然分解的假设，而由于风险集（at-risk sets）诱导的依赖结构，这一条件在生存分析中并不成立。因此，标准的私有检验方法无法直接应用于 Cox 回归和累积风险比较等经典生存问题。

本文开启了生存分析中差分隐私假设检验的有限样本理论，解决了三个经典问题：

1. Cox 回归系数的二元假设检验。
2. Cox 回归系数的恒等性检验（简单原假设对复合备择假设）。
3. 分布式设置下右删失数据的累积风险函数的双样本检验。

方法论

1. Cox 系数的二元假设检验

作者提出了一种差分隐私版本的偏似然比检验，用于检验 $H_0: \beta^* = \beta_0$ 对 $H_1: \beta^* = \beta_1$。

• 机制：检验统计量是通过对数偏似然比添加拉普拉斯噪声构建的。噪声尺度根据对数偏似然比的灵敏度进行校准，该灵敏度取决于协变量过程的有界性以及 $\beta_0$ 与 $\beta_1$ 之间的距离。
• 隐私性：该程序满足 $(\epsilon, 0)$-差分隐私。
• 检测保证：本文建立了可靠检验的充分条件，表明假设之间的分离度必须超过一个速率，该速率包含标准非私有项（$d/n$）和隐私诱导项（$d^2/n^2\epsilon^2$）。

2. Cox 系数的恒等性检验

针对检验 $H_0: \beta^* = \beta_0$ 对 $H_1: \|\beta^* - \beta_0\|_2^2 \geq r^2$ 的问题，作者开发了一种私有得分型检验（score-type test）。

• 统计量：为了避免私有化涉及逆信息矩阵的完整二次型（这难以私有估计），该检验利用得分函数的欧几里得范数，即 $\|\dot{\ell}_n(\beta_0)/\sqrt{n}\|_2$。
• 校准：拒绝阈值需要总体信息矩阵的迹，即 $\text{tr}\{G(\beta^*)\}$。由于该值未知，作者提出了一种利用数据子集计算的私有 Hessian 矩阵来估计迹的私有估计量。
• 实现：最终检验结合了私有得分统计量与私有迹估计量，避免了私有化求逆 $d \times d$ 矩阵的需求。该程序在常数和数对数因子范围内保持了与神谕检验（oracle test）相同的误差保证。

3. 累积风险的分布式双样本检验

作者考虑了一个分布式设置，其中两个服务器分别持有数据集 $D_1$ 和 $D_2$，并希望检验 $H_0: \Lambda_1 = \Lambda_2$ 对 $H_1: \|\Lambda_1 - \Lambda_2\|_\infty > r$。

• 方法：该方法采用基于类小波构造的分布式私有 Nelson-Aalen 估计量，在各服务器上估计累积风险函数 $\hat{\Lambda}_1$ 和 $\hat{\Lambda}_2$。
• 检验统计量：如果私有估计量之间的 sup-范数距离超过阈值 $\tau$，则拒绝 $H_0$。
• 隐私性：每个服务器应用满足 $(\epsilon_k, \delta_k)$-DP 的私有机制。最终检验是这些私有输出的函数，满足分布式隐私约束。

主要贡献与结果

理论保证

• 有限样本理论：本文提供了有限样本检测保证和极小极大下界，超越了以往私有检验文献中常见的渐近视角。
• 分离速率：
  • 对于 Cox 系数的二元检验，可达到的分离速率被证明为 $O(d/n + d^2/n^2\epsilon^2)$。推导出的极小极大下界为 $\Omega(d/n + d/n^2\epsilon^2)$，揭示了差距，使得所提出的偏似然比检验的最优性仍待解决。
  • 对于恒等性检验，分离速率为 $O(d^{3/2}/n + \text{隐私项})$。非私有部分（$d^{3/2}/n$）被证明几乎是极小极大最优的，而关于隐私参数的最优依赖关系仍是一个未解决的问题。
  • 对于累积风险的分布式双样本检验，所提出的检验实现了在多项式对数因子范围内极小极大最优的分离速率。该速率结合了非私有项（$n^{-1/2}$）和隐私成本项（$(n\epsilon)^{-1}$）。
• 隐私与统计效率：结果确定了隐私在统计上可忽略的区间（当 $\epsilon \gtrsim \sqrt{d/n}$ 时）以及隐私主导检验速率的区间。

数值实验

作者通过模拟验证了其理论发现：

• Cox 系数：考察了二元似然比检验和得分型检验的经验功效与第一类错误率。结果表明，功效随样本量 $n$ 和隐私预算 $\epsilon$ 的增加而提高，这与理论预测一致。
• 双样本检验：模拟表明，分布式检验能正确控制第一类错误，并且随着风险函数之间的分离度、样本量或隐私预算的增加，功效也随之提高。

意义与主张

本文声称是首个开启生存分析中差分隐私假设检验有限样本理论的研究。其意义在于：

1. 处理依赖性：它明确处理了生存数据中观测值的非独立性（通过风险集），这一结构特征阻碍了标准私有检验方法的直接应用。
2. 避免求逆：恒等性检验程序避免了在计算和统计上具有挑战性的私有化求逆信息矩阵的任务，为高维 Cox 模型提供了一种更实用的替代方案。
3. 最优性：它确立了对于分布式累积风险检验，所提出的方法几乎是极小极大最优的，为未来工作提供了基准。
4. 未解决问题：作者谦逊地指出，虽然他们在 Cox 系数检验上的上界具有竞争力，但 Cox 模型中私有二元检验和恒等性检验的确切极小极大分离速率仍是一个未解决的问题，特别是关于隐私依赖项的紧致性。

这项工作并未声称解决私有生存分析中的所有挑战，而是为关键假设检验场景提供了基础理论框架和具体、可实施的程序，并辅以严格的有限样本分析。