[論文レビュー] VaultDB: A Real-World Pilot of Secure Multi-Party Computation within a Clinical Research Network

Jennie Rogers, Elizabeth Adetoro+15 more|arXiv (Cornell University)|Feb 28, 2022

Privacy-Preserving Technologies in Data被引用数 11

ひとこと要約

VaultDB は、データ移動を伴わずに分散型電子健康記録（EHR）を対象に、暗号プロトコルを用いてプライバシーを保証する安全なマルチパーティ計算を可能にする。CAPriCORN ネットワークに属する3つの医療機関における実世界のパイロット実験では、断片的で分散された患者データの効率的かつスケーラブルな分析が実現され、集計クエリの実行時間が5〜15秒で達成された。これは、プライバシー保護型臨床研究の実用的妥当性を示している。

ABSTRACT

Electronic health records represent a rich and growing source of clinical data for research. Privacy, regulatory, and institutional concerns limit the speed and ease of sharing this data. VaultDB is a framework for securely computing SQL queries over private data from two or more sources. It evaluates queries using secure multiparty computation: cryptographic protocols that evaluate a function such that the only information revealed from running it is the query answer. We describe the development of a HIPAA-compliant version of VaultDB on the Chicago Area Patient Centered Outcomes Research Network (CAPriCORN). This multi-institutional clinical research network spans the electronic health records of nearly 13M patients over hundreds of clinics and hospitals in the Chicago metropolitan area. Our results from deploying at three health systems within this network show its efficiency and scalability for distributed clinical research analyses without moving patient records from their site of origin.

研究の動機と目的

• ヒーラス規則（HIPAA）や複雑な使用同意書（DUAs）、機関が生のEHRを共有することをためらう事情による、多施設臨床研究におけるデータ共有の課題に対処すること。
• 誠実なブローカーや中央集権型データブローカーの必要性を排除し、機関間で直接安全な計算を実行できる仕組みを提供すること。
• 安全なマルチパーティ計算（sMPC）を用いた、ヒーラス規則に準拠し、スケーラブルなプライベートデータ連携フレームワークの開発と導入を目的とする。
• 大規模で断片的なEHRデータセットを対象とした実世界の臨床研究ワークロードにおいて、sMPCの実用的妥当性とパフォーマンスを実証すること。
• プライバシーを損なわず、多様な集団を対象にした患者データの高速かつ効率的かつ暗号的に保護された分析を可能にすること。

提案手法

• VaultDB は、安全なマルチパーティ計算（sMPC）を用いて、個人記録がどの参加者にも明かされないまま、複数のデータソース上でSQLクエリを評価する。
• 秘密分散と無知のソーティングを用いて、重複除去や除外基準など、関連する記録に限って集計やフィルタリング操作を安全に計算する。
• 各機関内での標準ハードウェア上でコンテナ化されたソフトウェアとして展開され、互換性と統合の容易さを確保する。
• データ参加者は局所的な前処理（例：データキューブの集計）を実施し、最終的な結果のみを安全な計算により統合することで、通信オーバーヘッドを最小限に抑える。
• 標準SQL操作をサポートし、暗号技術に不慣れなアナリストでも利用可能な抽象化レイヤーを備えている。
• CAPriCORN ネットワークの既存インfraストラクチャ（CHAIRb IRB および MRAIA）と統合されており、ガバナンスのための中立的仲介者として機能するが、データアクセスのためのものではない。

実験結果

リサーチクエスチョン

• RQ1 実世界の臨床研究ネットワークにおいて、患者データを移動させずに、SQLベースの分析を可能にする安全なマルチパーティ計算を実用的に展開できるか？
• RQ2 複数の機関にまたがるデータ量と研究期間の増加に伴い、VaultDB のパフォーマンスはどのようにスケーリングするか？
• RQ3 sMPC は、多施設EHR研究における誠実なブローカーや使用同意書（DUAs）への依存度をどの程度低減できるか？
• RQ4 断片的データ上で重複除去やフィルタリングを伴う複雑な臨床研究ワークロードに対して、安全な計算の実行効率はどの程度か？
• RQ5 VaultDB は、コhort同定や集計といった意味のある臨床研究クエリを、患者のプライバシーと規制遵守を損なわずに行えるか？

主な発見

• VaultDB は、CAPriCORN ネットワークに属する3つの医療機関に正常に展開され、データ移動なしにエンドツーエンドの安全な計算が実現した。
• 集計専用の分析は5〜15秒で実行され、入力サイズに比例してスケーリングされ、一般的な研究ワークロードにおいて優れた実用的効率性を示した。
• 多施設最適化ワークフローにより、断片的ケアを受ける3％の記録にのみ安全な計算を適用することで、高コストなsMPC操作を最小限に抑え、効率的なパフォーマンスを達成した。
• 秘密分散と無知のソーティング手順は、O(n log²n) の計算量でスケーリングしたが、線形集計手順（例：部分的なカウントの結合）は、1年あたり数100行程度の規模で効率的に動作し、計算量がほとんど増加しなかった。
• 中程度のサイズのデータセットにおいて、システムはスケーラビリティと効率性を示し、複数年の研究期間にわたりデータ量が増加しても実行時間が徐々に増加した。
• VaultDB は、誠実なブローカーや複雑なDUAsを必要とせず、EHRの安全で暗号的に保護された分析を可能にし、プライバシーとコンプライアンスリスクを顕著に低減した。