VALORIS: Одношаговая и безпотерьная вертикальная логистическая регрессия для защиты конфиденциальности в многосайтовой медицинской аналитике

Почему так сложно делиться медицинскими данными

Современная медицина всё чаще опирается на объединение информации из множества источников: больничных записей, лабораторных результатов, изображений и даже генетических данных. При этом эти фрагменты информации обычно находятся в разных организациях, которые юридически или этически не вправе сводить подробные данные о пациентах в одно место. Это затрудняет проведение статистических анализов, которые помогают врачам предсказывать, кто подвержен серьёзным исходам, таким как почечная недостаточность или смерть в реанимации. В статье представлен метод VALORIS — новый способ выполнить популярный тип анализа для нескольких сайтов, при этом оставляя исходные данные каждого пациента в безопасности на месте.

Множество фрагментов одной истории пациента

Чтобы понять проблему, представьте ребёнка с хронической болезнью почек, чья история разбросана по разным системам. В одной базе данных хранятся возраст, пол и показатели функции почек. В другой — результаты анализов крови. В третьей системе могут учитываться долгосрочные исходы, например наступление почечной недостаточности. Каждый сайт содержит разные столбцы информации об одних и тех же детях — такая ситуация называется «вертикальным» разделением. Ни одна из этих организаций не хочет раскрывать подробные записи, а некоторые даже не могут передавать информацию об исходе — например, о том, наступила ли почечная недостаточность — за свои пределы. Тем не менее исследователи хотят построить единый предиктивный модель, которая использует всю эту разрозненную информацию, как если бы она находилась в одном месте.

Одношаговый способ учиться у многих сайтов

VALORIS решает эту задачу для логистической регрессии — универсального метода, используемого для изучения того, как несколько факторов совместно связаны с бинарным исходом, например отказ органа или смерть в больнице. Вместо пересылки данных на уровне пациентов каждый сайт выполняет компактный локальный расчёт по своим данным, суммируя, как переменные меняются и коррелируют друг с другом. Эти сводки, представленные в виде математических матриц, отправляются один раз на специальный узел — узел отклика, где хранится исход. Узел отклика объединяет сводки, выполняет одну оптимизационную операцию и затем отправляет тщательно рассчитанные промежуточные числа обратно на каждый сайт. Используя только эти общие величины, каждый сайт может восстановить точные результаты регрессии для своих переменных — не увидев ни сырых записей других сайтов, ни полного списка исходов.

Так же точно, как если бы все данные были в одном месте

Когда стандартный анализ заменяют версией с защитой конфиденциальности, ключевой вопрос: теряется ли точность? Авторы демонстрируют, что VALORIS можно настроить так, чтобы его ответы, по существу для всех практических задач, совпадали с результатами традиционного объединённого анализа. Для этого они решают слегка модифицированную задачу логистической регрессии с добавлением очень малых штрафных членов. Математические аргументы и численные эксперименты показывают, что при достаточно малых значениях штрафов получаемые оценки и их интервалы неопределённости становятся неотличимы от эталонного централизованного решения, при этом оставаясь вычислимыми из разъединённых данных.

Реальные испытания при почечных заболеваниях и в реанимации

Чтобы показать работоспособность метода на практике, команда применила VALORIS в двух реальных медицинских исследованиях. Первое касалось детей с хронической болезнью почек, лечившихся в больнице Necker-Enfants Malades в Париже. Здесь один узел содержал базовые характеристики и информацию об исходе — почечная недостаточность в течение двух лет, — а другой — результаты анализов крови. VALORIS дал оценки влияния факторов на развитие почечной недостаточности, которые совпали со стандартным комбинированным анализом в среднем с погрешностью менее одной десятитысячной. Второй тест использовал гораздо большую базу данных интенсивной терапии MIMIC-IV, разделённую на три узла, представляющие информацию скорой помощи, отделения и реанимации. И снова VALORIS почти точно воспроизвёл централизованные результаты, даже при более чем десятитысячном наборе пациентов и множестве переменных.

Встраивание конфиденциальности, а не просто обещания

Многие так называемые «методы с защитой конфиденциальности» просто избегают передачи сырых записей, но всё равно допускают утечки информации, достаточные для того, чтобы целеустремлённый партнёр восстановил данные отдельных людей. Поэтому авторы вводят более жёсткое требование: после обмена всеми сообщениями ни одна сторона не должна иметь возможность единственно однозначно восстановить данные какого-либо человека по тем сообщениям, которые она получила. Они шаг за шагом анализируют, что получает каждый сайт в процессе VALORIS, и доказывают, что при реалистичных условиях — например, если на каком-то сайте есть хотя бы одна непрерывная числовая переменная, недоступная потенциальному атакующему — всегда существует множество разных исходных наборов данных, которые могли бы дать те же общие числа. Они также предлагают практическую проверку на основе оптимизации, которую узел отклика может выполнить перед отправкой каких-либо данных, чтобы подтвердить, что для данного проекта соблюдается этот более сильный уровень защиты.

Что это значит для будущих медицинских исследований

Проще говоря, VALORIS показывает, что больницам и исследовательским сетям не всегда приходится выбирать между строгой конфиденциальностью и высококачественными результатами. Для логистической регрессии они могут хранить подробные записи за своими брандмауэрами, обмениваться только ограничёнными сводками в одном раунде коммуникации и всё равно получать результаты, фактически идентичные тем, что даёт традиционный объединённый анализ. Это облегчает участие занятых клинических партнёров, снижает барьеры при согласовании обмена данными и открывает путь для крупномасштабных исследований, которые объединяют клинические, лабораторные и другие источники данных. Авторы предполагают, что похожие идеи можно распространить на другие модели и сценарии с пропущенными данными, помогая будущим медицинским исследованиям уважать конфиденциальность пациентов, при этом сохраняя статистическую мощность совместной работы.

Цитирование: Camirand Lemyre, F., Domingue, MP., Morissette, JP. et al. VALORIS: One-shot and lossless vertical logistic regression for privacy-protecting multi-site health analytics. Sci Rep 16, 12558 (2026). https://doi.org/10.1038/s41598-026-41936-y

Ключевые слова: аналитика здравоохранения с защитой конфиденциальности, распределённая логистическая регрессия, многосайтовые медицинские данные, федеративное статистическое моделирование, электронные медицинские записи