[논문 리뷰] VaultDB: A Real-World Pilot of Secure Multi-Party Computation within a Clinical Research Network

Jennie Rogers, Elizabeth Adetoro외 15명|arXiv (Cornell University)|2022. 02. 28.

Privacy-Preserving Technologies in Data인용 수 11

한 줄 요약

VaultDB는 데이터를 이동시키지 않고 분산된 전자건강기록(EHR) 간에 암호화 프로토콜을 사용하여 기밀성을 보장하는 SQL 쿼리에 대해 다중 당사자 계산을 가능하게 한다. CAPriCORN 네트워크의 세 개의 보건 시스템에서 실시한 실용적 시범 프로젝트에서는 약 5~15초의 실행 시간으로 분할된 환자 데이터에 대한 효율적이고 확장 가능한 분석을 달성하여, 기밀 보장 임상 연구의 실용성을 입증하였다.

ABSTRACT

Electronic health records represent a rich and growing source of clinical data for research. Privacy, regulatory, and institutional concerns limit the speed and ease of sharing this data. VaultDB is a framework for securely computing SQL queries over private data from two or more sources. It evaluates queries using secure multiparty computation: cryptographic protocols that evaluate a function such that the only information revealed from running it is the query answer. We describe the development of a HIPAA-compliant version of VaultDB on the Chicago Area Patient Centered Outcomes Research Network (CAPriCORN). This multi-institutional clinical research network spans the electronic health records of nearly 13M patients over hundreds of clinics and hospitals in the Chicago metropolitan area. Our results from deploying at three health systems within this network show its efficiency and scalability for distributed clinical research analyses without moving patient records from their site of origin.

연구 동기 및 목표

• HIPAA 규정, 복잡한 DUAs, 기관 간 원시 EHR 공유에 대한 관성 등으로 인해 다기관 임상 연구에서의 데이터 공유에 직면한 과제를 해결하기 위해.
• 신뢰할 수 있는 브로커나 중앙 집중식 데이터 브로커가 필요 없도록, 기관 간 직접적으로 안전한 계산을 가능하게 하기 위해.
• 안전한 다중당사자 계산(sMPC)을 활용한 기밀 데이터 융합을 위한 HIPAA 준수, 확장 가능한 프레임워크를 개발하고 구현하기 위해.
• 대규모이고 분할된 EHR 데이터 세트를 포함하는 실세계 임상 연구 워크로드에 대해 sMPC의 실용성과 성능을 입증하기 위해.
• 기본적인 기밀 보장 없이도 다양하고 분산된 인구 집단을 대상으로 환자 데이터를 더 빠르고 효율적이며 암호학적으로 보호된 방식으로 분석할 수 있도록 하기 위해.

제안 방법

• VaultDB는 기밀 보장 암호화 프로토콜을 사용하여, 개별 기록이 어느 당사자에게도 노출되지 않도록 하면서도, 여러 데이터 소스 간에 SQL 쿼리를 평가하는 안전한 다중당사자 계산(sMPC)을 사용한다.
• 기밀 공유와 무관한 정렬 기법을 활용하여, 중복 제거 및 배제 기준과 같은 집계 및 필터링 연산을 관련 기록에만 안전하게 계산한다.
• 각 기관 내 표준 하드웨어에서 컨테이너 기반 소프트웨어로 시스템을 배포하여 호환성과 통합 용이성을 확보한다.
• 데이터 파트너는 현지에서 사전 처리(예: 데이터 큐브 집계)를 수행하고, 최종 결과만 안전한 계산을 통해 조합하여 통신 오버헤드를 최소화한다.
• 표준 SQL 연산을 지원하며, 추상화 계층을 통해 암호학적 전문가가 아닌 분석가들도 접근 가능하도록 설계되어 있다.
• CAPriCORN 네트워크의 기존 인fra구조와 통합되며, 거버넌스를 위한 신뢰할 수 있는 중개자로 CHAIRb IRB와 MRAIA를 통합하지만, 데이터 접근은 이루어지지 않는다.

실험 결과

연구 질문

• RQ1 실세계 임상 연구 네트워크에서 데이터 이동 없이 환자 데이터를 이동시키지 않고 SQL 기반 분석을 가능하게 하기 위해 안전한 다중당사자 계산을 실용적으로 구현할 수 있는가?
• RQ2 VaultDB의 성능은 다중 기관에서 데이터 볼륨과 연구 기간이 증가함에 따라 어떻게 확장되는가?
• RQ3 sMPC는 다기관 EHR 연구에서 신뢰할 수 있는 브로커와 데이터 이용약정(DUAs)에 대한 의존도를 어느 정도 줄일 수 있는가?
• RQ4 분할된 데이터에서 중복 제거 및 필터링을 포함한 복잡한 임상 연구 워크로드에 대해 안전한 계산의 실행 시간 효율성은 어떠한가?
• RQ5 VaultDB는 환자 기밀 보장과 규정 준수를 유지하면서도, 코hort 식별 및 집계와 같은 의미 있는 임상 연구 쿼리를 지원할 수 있는가?

주요 결과

• VaultDB는 CAPriCORN 네트워크의 세 개 보건 시스템에 성공적으로 구현되어, 데이터 이동 없이 종단 간 기밀 보장 계산을 수행함으로써 임상 연구에 기여하였다.
• 집계 전용 분석은 5~15초 내로 실행되었으며, 입력 크기에 비례하여 확장되었고, 일반적인 연구 워크로드에 대해 뛰어난 실용적 효율성을 보였다.
• 다중 기관 최적화 워크플로우는 분할된 치료를 받은 3%의 기록에만 안전한 계산을 적용하여, 비용이 많이 드는 sMPC 연산을 최소화함으로써 효율적인 성능을 달성하였다.
• 기밀 공유 및 무관 정렬 단계는 O(n log²n) 복잡도로 확장되었고, 선형 집계 단계(예: 부분 수량 조합)는 효율적으로 유지되어, 연구 연도당 수백 개의 행 이내로 확장되었다.
• 중간 크기의 데이터 세트에 대해 시스템은 확장성과 효율성을 입증하였으며, 데이터 볼륨이 수년에 걸쳐 증가함에 따라 실행 시간이 점진적으로 증가하는 경향을 보였다.
• VaultDB는 신뢰할 수 있는 브로커나 복잡한 DUAs 없이도 EHR에 대한 기밀 보장된 암호학적 분석을 가능하게 하여, 기밀 보장 및 규정 준수 리스크를 크게 감소시켰다.