WO2024228295A1 - 分析装置、分析方法及び分析プログラム - Google Patents

分析装置、分析方法及び分析プログラム Download PDF

Info

Publication number
WO2024228295A1
WO2024228295A1 PCT/JP2024/008140 JP2024008140W WO2024228295A1 WO 2024228295 A1 WO2024228295 A1 WO 2024228295A1 JP 2024008140 W JP2024008140 W JP 2024008140W WO 2024228295 A1 WO2024228295 A1 WO 2024228295A1
Authority
WO
WIPO (PCT)
Prior art keywords
analysis
unit
cox proportional
test
proportional hazards
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2024/008140
Other languages
English (en)
French (fr)
Inventor
哲士 田中
陽一 櫻井
匡史 澤田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Docomo Business Inc
Original Assignee
NTT Communications Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Communications Corp filed Critical NTT Communications Corp
Priority to EP24800026.7A priority Critical patent/EP4708261A1/en
Priority to AU2024265870A priority patent/AU2024265870A1/en
Publication of WO2024228295A1 publication Critical patent/WO2024228295A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem

Definitions

  • the present invention relates to an analysis device, an analysis method, and an analysis program.
  • Secure computation systems are known that perform statistical calculations while keeping data secret, and provide users with the statistics obtained as a result of the calculations.
  • secure computation systems are sometimes used to analyze data in fields such as the medical field, which handles important personal information.
  • Secure computation systems that perform statistical processing on encrypted data are also known.
  • a technique is known that uses encrypted data to find parameters for logistic regression analysis (see, for example, Patent Document 2).
  • Cox proportional hazards regression analysis is a method similar to logistic regression analysis that is used for survival time analysis (see, for example, Patent Document 3).
  • the analysis device of the present invention is characterized by having a testing unit that performs testing of the Cox proportional hazards regression analysis by secret calculation using at least one of the partial regression coefficients, Hessian matrix, and score vector obtained by the Cox proportional hazards regression analysis by secret calculation, and an output control unit that outputs the results of the testing by the testing unit.
  • the present invention makes it possible to test Cox proportional hazards regression analysis performed using secret computation.
  • FIG. 1 is a diagram illustrating an example of the configuration of an analysis system according to an embodiment.
  • FIG. 2 is a diagram illustrating an example of the configuration of the analysis device according to the embodiment.
  • FIG. 3 is a diagram illustrating an example of learning data.
  • FIG. 4 is a diagram showing the definitions of symbols.
  • FIG. 5 is a flow chart showing the flow of the Wald test.
  • FIG. 6 is a flow chart showing the flow of the Score test.
  • FIG. 7 is a flowchart showing the flow of the likelihood ratio test.
  • FIG. 8 is a flowchart showing the flow of the process of calculating the log partial likelihood.
  • FIG. 9 illustrates an example of a computer that executes an analysis program.
  • the analysis system is a system for analyzing data using secure computation.
  • the analysis system 1 includes a secure computation system 10.
  • the secure computation system 10 is also connected to a providing device 20 and a providing device 30 via a network N.
  • the network N is the Internet.
  • the secure computation system 10 is also connected to a terminal device 40.
  • the providing device 20 and the providing device 30 are devices on the data provider side.
  • the providing device 20 and the providing device 30 provide (register) data to the secure computing system 10.
  • the data provided by the providing device 20 and the providing device 30 includes information that is desirably kept confidential (e.g., personal information such as an individual's name and address).
  • the providing device 20 and the providing device 30 provide medical treatment data or health checkup data used in medical institutions.
  • the data provided by the providing device 20 and the providing device 30 is not limited to data used in medical institutions.
  • the secure computation system 10 has a data storage unit 11 and a data processing unit 12.
  • the data storage unit 11 includes a plurality of storage devices (storage device 111, storage device 112, storage device 113) that store data by secret sharing.
  • the data processing unit 12 includes a plurality of computation devices (computation device 121, computation device 122, computation device 123) that process data by secure computation. Note that the number of storage devices and the number of computation devices are not limited to the example shown in FIG. 1.
  • the secure computation system 10 can perform secret sharing and secure computation according to the method described in Non-Patent Document 1 (URL: https://www.rd.ntt/sil/project/sc/secure_computation.html).
  • the data provided to the secure computing system 10 is divided (fragmented) into multiple shares. Then, each of the multiple shares is distributed and stored in multiple storage devices included in the data storage unit 11. In the example of FIG. 1, the provided data is divided into three shares. Then, storage device 111, storage device 112, and storage device 113 each store one share.
  • the data processing unit 12 performs secure computation on the shares accumulated in the data accumulation unit 11.
  • the data processing unit 12 performs secure computation by multi-party computation using multiple computing devices.
  • the data processing unit 12 performs secure computation by computing device 121, computing device 122, and computing device 123.
  • the data processing unit 12 can perform various statistical calculations without restoring the shares.
  • the data processing unit 12 can perform table operations such as sorting and joining, tallying the number of records, calculating statistics such as sums, averages, maximum values, minimum values, and sample variances, and performing statistical tests such as t-tests.
  • the data processing unit 12 can perform statistical analyses such as regression analysis and principal component analysis.
  • the analysis device 13 uses the data processing unit 12 to analyze the data.
  • the analysis device 13 provides the analysis result to the terminal device 40 on the data user side based on the result of the secret calculation executed by the data processing unit 12. The user can obtain the data analysis result via the terminal device 40.
  • the secure computing system 10 may be provided with data on the attributes and physical condition of each individual.
  • the data on the attributes and physical condition is personal information that is preferably kept confidential.
  • the data on the attributes and physical condition includes, for example, age, sex, height, weight, etc.
  • the data storage unit 11 stores fragmented shares of the provided data in each storage device.
  • each divided share is meaningless data on its own. Therefore, it is not possible to restore the original data from a single share. However, by collecting multiple shares, it is possible to restore the original data.
  • the user of the data cannot view the registered data itself, but can view the results of the analysis of the data via the analysis device 13 and the terminal device 40.
  • the data includes the gender and weight of individuals, the user cannot view the gender and weight of each individual, but can view the "average weight of men," which is the result of the analysis of the data.
  • the data storage unit 11 can perform secret sharing using a technique known as Shamir's threshold secret sharing method.
  • the data storage unit 11 stores three coordinates that pass through a polynomial with the original data as an intercept in each server as shares. Furthermore, since the slope of the polynomial is determined randomly, the shares are not necessarily the same each time even if the original data is the same.
  • the original data may be a numeric value, or may be data that has already been converted into a numeric value.
  • the secure computing system 10 can restore the original data from multiple shares. If the polynomial is a linear expression, the secure computing system 10 can find the intercept (corresponding to the original data) from the intersection of the axis and a straight line connecting two coordinates (corresponding to shares). On the other hand, since a straight line cannot be determined from a single coordinate, the original data cannot be restored.
  • the data processing unit 12 can perform secure computation on the original data without restoring the shares.
  • the result of adding the shares represented by coordinates corresponds to the share resulting from adding the original data of each share.
  • the analysis device 13 In response to a request from the terminal device 40, the analysis device 13 causes the data processing unit 12 to execute processing using secret calculations.
  • the data processing unit 12 or the terminal device 40 may realize functions equivalent to those of the analysis device 13.
  • the analysis system 1 may be configured without the analysis device 13.
  • the terminal device 40 is connected to the data processing unit 12 and executes processing equivalent to that of the analysis device 13.
  • statistical calculations based on shares may be executed by the terminal device 40 rather than the data processing unit 12.
  • the analysis device 13 performs Cox proportional hazards regression analysis and testing of the Cox proportional hazards regression analysis using secret calculations.
  • FIG. 2 is a diagram showing an example of the configuration of the analysis device according to an embodiment.
  • the analysis device 13 has a communication unit 131, an input unit 132, an output unit 133, a memory unit 134, and a control unit 135.
  • the communication unit 131 communicates data with other devices.
  • the communication unit 131 is a NIC (Network Interface Card).
  • the communication unit 131 can send and receive data with other devices.
  • the input unit 132 is an interface for accepting data input.
  • the input unit 132 is connected to input devices such as a mouse and a keyboard.
  • the output unit 133 is an interface for outputting data.
  • the output unit 133 is connected to input devices such as a display and a speaker.
  • the memory unit 134 is a storage device such as a hard disk drive (HDD), a solid state drive (SSD), or an optical disk.
  • the memory unit 134 may be a semiconductor memory in which data can be rewritten, such as a random access memory (RAM), a flash memory, or a non-volatile static random access memory (NVSRAM).
  • the memory unit 134 stores the operating system (OS) and various programs executed by the analysis device 13.
  • OS operating system
  • the control unit 135 controls the entire analysis device 13.
  • the control unit 135 is, for example, an electronic circuit such as a CPU (Central Processing Unit), MPU (Micro Processing Unit), or GPU (Graphics Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • the control unit 135 also has an internal memory for storing programs that define various processing procedures and control data, and executes each process using the internal memory.
  • the control unit 135 functions as various processing units by running various programs.
  • the control unit 135 has a calculation unit 1351, an update unit 1352, a test unit 1353, and an output control unit 1354.
  • the calculation unit 1351 performs Cox proportional hazards regression calculations using secret calculations.
  • the calculation unit 1351 inputs explanatory variables to the Cox proportional hazards regression model and outputs a target variable.
  • Figure 4 shows the definitions of the symbols used in the following explanation.
  • Figure 4 shows the definitions of the symbols.
  • N is the number of records.
  • k is the number of attributes (explanatory variables).
  • the data set X includes attribute information for each record in an N x k matrix.
  • the i-th record is ( x1 ,..., xk ).
  • the result is information indicating whether a record is alive or dead.
  • t is the observation time.
  • y is a binary value: 0 (alive) or 1 (dead).
  • the partial regression coefficients and score vector are expressed as column vectors.
  • the score vector is the first derivative of the log partial likelihood.
  • the Hessian matrix is the second derivative of the log partial likelihood.
  • partial regression coefficients score vectors, Hessian matrices, and log partial likelihoods are given a subscript 0. The method for calculating log partial likelihoods will be described later.
  • the update unit 1352 updates the parameters of the Cox proportional hazards regression model using secret calculations so that the objective variable calculated by the calculation unit 1351 approaches the correct value.
  • the Cox proportional hazards regression model is learned by performing the processes of the calculation unit 1351 and the update unit 1352 once or multiple times.
  • Figure 3 shows an example of training data.
  • the values in the "Age”, “Gender”, “Calorie Intake”, and “Weight Loss” columns in Figure 3 are explanatory variables of the Cox proportional hazards regression model.
  • the predicted survival rate based on the values in the "Survival Time” column is the objective variable of the Cox proportional hazards regression model, and corresponds to the hazard function h(t
  • Calculation unit 1351 inputs the values of the "age”, “gender”, “calorie intake”, and “weight loss” columns into the Cox proportional hazards regression model to obtain an output.
  • Update unit 1352 updates the parameters of the Cox proportional hazards regression model so that the output obtained by calculation unit 1351 approaches the predicted survival rate based on the value of the "survival time" column.
  • the testing unit 1353 tests the Cox proportional hazards regression model. In secure computation, it is difficult to obtain the learning data itself from outside. Therefore, the testing unit 1353 calculates statistics for testing based on the limited information that can be obtained.
  • the testing unit 1353 performs testing of the Cox proportional hazards regression analysis by secure computation using at least one of the partial regression coefficients, Hessian matrix, and score vector obtained by the Cox proportional hazards regression analysis by secure computation.
  • the testing unit 1353 obtains information related to the Cox proportional hazards regression analysis, such as the partial regression coefficients, Hessian matrix, and score vector, from the secure computation system 10.
  • the following describes the processing performed by the testing unit 1353 when performing the Wald test, score test, and likelihood ratio test.
  • (Wald test) 5 is a flowchart showing the flow of the Wald test. As shown in Fig. 5, the test unit 1353 acquires the partial regression coefficients and the Hessian matrix of the trained Cox proportional hazards regression model from the secure computation system 10 (step S101).
  • the testing unit 1353 calculates the statistics of the Wald test as shown in formula (1) (step S102). Then, the testing unit 1353 executes the test and outputs the test result via the output control unit 1354 (step S103). However, if the initial partial regression coefficient is set to 0, the testing unit 1353 calculates the statistics using formula (2).
  • the testing unit 1353 calculates the statistics of the Wald test based on the partial regression coefficients and the Hessian matrix, and performs a chi-square test based on the statistics.
  • Fig. 6 is a flowchart showing the flow of the score test.
  • the test unit 1353 acquires the Hessian matrix (initial Hessian matrix in Fig. 4) and the score vector (initial score vector in Fig. 4) at the start of learning of the trained Cox proportional hazards regression model from the secure computation system 10 (step S201).
  • the testing unit 1353 calculates the statistics of the score test as shown in formula (3) (step S202). Then, the testing unit 1353 executes the test and outputs the test result via the output control unit 1354 (step S203).
  • the testing unit 1353 calculates the statistics for the score test based on the Hessian matrix and score vector at the start of learning the regression model of the Cox proportional hazards regression analysis, and performs a chi-square test based on the statistics.
  • (Likelihood ratio test) 7 is a flowchart showing the flow of the likelihood ratio test.
  • the test unit 1353 acquires the partial regression coefficients and the Hessian matrix of the trained Cox proportional hazards regression model from the secure computation system 10.
  • each record in the training data in Figure 3 corresponds to an individual patient, and the hazard function of the Cox proportional hazards regression model represents the patient's survival probability at a certain time. Whether or not a patient has died at a certain time can be derived from the survival time of the training data.
  • records that correspond to patients who are deceased at the specified time are called death records. Also, among the records in the training data, records that correspond to patients who are not deceased at the specified time are called remaining records.
  • the testing unit 1353 calculates the initial log partial likelihood from the partial regression coefficients at the start of learning (step S301). The testing unit 1353 also calculates the log partial likelihood from the learned partial regression coefficients (step S302).
  • the test unit 1353 calculates the log partial likelihood by equation (4).
  • the test unit 1353 also calculates the initial log partial likelihood by an equation in which ⁇ in equation (4) is replaced with ⁇ 0. The calculation of the log partial likelihood will be described later in detail.
  • the testing unit 1353 calculates the statistics of the likelihood ratio test from the initial logarithmic partial likelihood and the logarithmic partial likelihood as shown in equation (5) (step S303). Then, the testing unit 1353 performs a chi-square test and outputs the test result (step S304).
  • FIG. 8 is a flowchart showing the process flow for calculating the log partial likelihood. As shown in FIG. 8, first, the testing unit 1353 uses secure computation sorting to sort the records of the dataset in ascending order by time (step S311).
  • the testing unit 1353 calculates the partial regression coefficient and the product-sum value of the record using a secure computational product-sum (step S312).
  • the testing unit 1353 also calculates the mortality risk (exp on the right-hand side of equation (4)), which is the exponential value of the product-sum value, using a secure computation mapping (step S313).
  • the testing unit 1353 calculates the logarithm of the sum of the mortality risks (the log of the right-hand side of equation (4)) using the secure computation mapping (step S315).
  • the testing unit 1353 calculates the difference between the sum-of-products value and the logarithm value by secure subtraction (the subtraction on the right side of equation (4)) (step S316). Furthermore, the testing unit 1353 uses the sum-of-products-of-products secure calculation to calculate the logarithm partial likelihood from the survival/death information (y i in equation (4)) and the result of the subtraction (step S317).
  • the testing unit 1353 uses secret calculation to calculate the sum of the products of the death records and partial regression coefficients used in training the regression model of the Cox proportional hazards regression analysis as the first mortality risk, and uses secret calculation to calculate the sum of the products of the remaining records and partial regression coefficients used in training the regression model as the second mortality risk, calculates the log-likelihood based on the first mortality risk and the second mortality risk, and performs testing based on the log-likelihood.
  • the analysis device 13 includes the testing unit 1353 and the output control unit 1354.
  • the testing unit 1353 performs testing of the Cox proportional hazards regression analysis by secure computation using at least one of the partial regression coefficient, the Hessian matrix, and the score vector obtained by the Cox proportional hazards regression analysis by secure computation.
  • the output control unit 1354 outputs the result of the testing by the testing unit 1353.
  • the testing unit 1353 calculates statistics for the Wald test based on the partial regression coefficients and the Hessian matrix, and performs the test based on the statistics.
  • the testing unit 1353 calculates statistics for the score test based on the Hessian matrix and score vector at the start of learning of the regression model of Cox proportional hazards regression analysis, and performs the test based on the statistics.
  • the testing unit 1353 uses secret calculation to calculate the sum of the products of the death records and partial regression coefficients used in training the regression model of the Cox proportional hazards regression analysis as a first mortality risk, and uses secret calculation to calculate the sum of the products of the remaining records and partial regression coefficients used in training the regression model as a second mortality risk, calculates a log-likelihood based on the first mortality risk and the second mortality risk, and performs testing based on the log-likelihood.
  • the analysis device 13 can perform Wald tests, score tests, and likelihood ratio tests.
  • each component of each device shown in the figure is functionally conceptual, and does not necessarily have to be physically configured as shown in the figure.
  • the specific form of distribution and integration of each device is not limited to that shown in the figure, and all or a part of it can be functionally or physically distributed or integrated in any unit depending on various loads, usage conditions, etc.
  • each processing function performed by each device can be realized in whole or in part by a CPU (Central Processing Unit) and a program analyzed and executed by the CPU, or can be realized as hardware by wired logic. Note that the program may be executed not only by the CPU but also by other processors such as a GPU.
  • the analysis device 13 can be implemented by installing an analysis program that executes the above-mentioned analysis processing as package software or online software on a desired computer.
  • the above-mentioned analysis program can be executed by an information processing device, thereby making the information processing device function as the analysis device 13.
  • the information processing device referred to here includes desktop or notebook personal computers.
  • the information processing device also includes mobile communication terminals such as smartphones, mobile phones, and PHS (Personal Handyphone Systems), as well as slate terminals such as PDAs (Personal Digital Assistants).
  • the analysis device 13 can also be implemented as an analysis server device that provides services related to the above-mentioned analysis processing to a client, the client being a terminal device used by a user.
  • the analysis server device is implemented as a server device that provides an analysis service that receives as input the partial regression coefficients, Hessian matrix, and score vector obtained by Cox proportional hazards regression analysis using secret computation, and outputs the test results of the Cox proportional hazards regression analysis.
  • FIG. 9 is a diagram showing an example of a computer that executes an analysis program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020.
  • the computer 1000 also has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. Each of these components is connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012.
  • the ROM 1011 stores a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to a hard disk drive 1090.
  • the disk drive interface 1040 is connected to a disk drive 1100.
  • a removable storage medium such as a magnetic disk or optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to a mouse 1110 and a keyboard 1120, for example.
  • the video adapter 1060 is connected to a display 1130, for example.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. That is, the programs that define each process of the analysis device 13 are implemented as program modules 1093 in which computer-executable code is written.
  • the program modules 1093 are stored, for example, in the hard disk drive 1090.
  • a program module 1093 for executing processes similar to the functional configuration of the analysis device 13 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • the setting data used in the processing of the above-mentioned embodiment is stored as program data 1094, for example, in memory 1010 or hard disk drive 1090.
  • the CPU 1020 reads out the program module 1093 or program data 1094 stored in memory 1010 or hard disk drive 1090 into RAM 1012 as necessary, and executes the processing of the above-mentioned embodiment.
  • the program module 1093 and program data 1094 may not necessarily be stored in the hard disk drive 1090, but may be stored in a removable storage medium, for example, and read by the CPU 1020 via the disk drive 1100 or the like.
  • the program module 1093 and program data 1094 may be stored in another computer connected via a network (such as a LAN (Local Area Network), WAN (Wide Area Network)).
  • the program module 1093 and program data 1094 may then be read by the CPU 1020 from the other computer via the network interface 1070.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Medical Informatics (AREA)
  • Mathematical Physics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Complex Calculations (AREA)

Abstract

実施形態の分析装置は、検定部及び出力制御部を有する。検定部は、秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う。出力制御部は、検定部による検定の結果を出力する。

Description

分析装置、分析方法及び分析プログラム
　本発明は、分析装置、分析方法及び分析プログラムに関する。
　従来、データを秘匿したまま統計的な演算を行い、演算の結果得られた統計量をユーザに提供する秘密計算システムが知られている。例えば、秘密計算システムは、重要な個人情報を取り扱う医療分野等におけるデータの分析に利用される場合がある。
　また、暗号化された状態のデータに対し統計処理を行う秘密計算システムが知られている。例えば、暗号化された状態のデータを使って、ロジスティック回帰分析のパラメータを求める技術が知られている（例えば、特許文献２を参照）。
　また、ロジスティック回帰分析に類似する手法であり、生存時間解析に用いられるＣｏｘ比例ハザード回帰分析が知られている（例えば、特許文献３を参照）。
国際公開第２０１９／１２４２６０号 特開２０２０－０４２１２８号公報 特開２００８－２９９３７０号公報
日本電信電話株式会社，秘密計算のシステムとその原理,　［online］，［令和５年１月６日検索］、インターネット＜ＵＲＬ：https://www.rd.ntt/sil/project/sc/secure_computation.html＞
　しかしながら、従来の技術では、秘密計算によって行われたＣｏｘ比例ハザード回帰分析の検定を行うことが難しい場合があるという問題がある。
　上述した課題を解決し、目的を達成するために、本発明の分析装置は、秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、前記Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う検定部と、前記検定部による検定の結果を出力する出力制御部と、を有することを特徴とする。
　本発明によれば、秘密計算によって行われたＣｏｘ比例ハザード回帰分析の検定を行うことができる。
図１は、実施形態に係る分析システムの構成例を示す図である。 図２は、実施形態に係る分析装置の構成例を示す図である。 図３は、学習データの例を示す図である。 図４は、記号の定義を示す図である。 図５は、Ｗａｌｄ検定の流れを示すフローチャートである。 図６は、Ｓｃｏｒｅ検定の流れを示すフローチャートである。 図７は、尤度比検定の流れを示すフローチャートである。 図８は、対数部分尤度を計算する処理の流れを示すフローチャートである。 図９は、分析プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る分析装置、分析方法及び分析プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
　まず、図１を用いて、分析システムの構成を説明する。分析システムは、秘密計算を利用してデータの分析を行うためのシステムである。
　図１に示すように、分析システム１は、秘密計算システム１０を含む。また、秘密計算システム１０は、ネットワークＮを介して提供装置２０及び提供装置３０と接続される。例えば、ネットワークＮはインターネットである。また、秘密計算システム１０は、端末装置４０と接続される。
　提供装置２０及び提供装置３０は、データ提供者側の装置である。提供装置２０及び提供装置３０は、秘密計算システム１０にデータを提供（登録）する。
　提供装置２０及び提供装置３０によって提供されるデータは、秘匿化されることが望ましい情報（例えば、個人の氏名、住所等の個人情報）を含む。例えば、提供装置２０及び提供装置３０は、医療機関で利用される診療データ又は健康診断データを提供する。ただし、提供装置２０及び提供装置３０によって提供されるデータは、医療機関で利用されるデータに限られない。
　秘密計算システム１０は、データ蓄積部１１及びデータ処理部１２を有する。データ蓄積部１１は、秘密分散によりデータを蓄積する複数の蓄積装置（蓄積装置１１１、蓄積装置１１２、蓄積装置１１３）を含む。また、データ処理部１２は、秘密計算によりデータを処理する複数の計算装置（計算装置１２１、計算装置１２２、計算装置１２３）を含む。なお、蓄積装置の数及び計算装置の数は、図１に示す例に限られない。
　秘密計算システム１０は、非特許文献１（掲載ＵＲＬ：https://www.rd.ntt/sil/project/sc/secure_computation.html）に記載された方法に従って、秘密分散及び秘密計算を実行することができる。
　まず、秘密計算システム１０に提供されたデータは、複数のシェアに分割される（断片化）。そして、複数のシェアのそれぞれは、データ蓄積部１１に含まれる複数の蓄積装置に分散して蓄積される。図１の例では、提供されたデータが３つのシェアに分割される。そして、蓄積装置１１１、蓄積装置１１２、蓄積装置１１３が、それぞれ１つずつシェアを蓄積する。
　データ処理部１２は、データ蓄積部１１に蓄積されたシェアに対し、秘密計算を実行する。データ処理部１２は、複数の計算装置を使ったマルチパーティ計算により秘密計算を実行する。図１の例では、データ処理部１２は、計算装置１２１、計算装置１２２、計算装置１２３により秘密計算を実行する。
　データ処理部１２は、シェアを復元することなく各種の統計演算を行うことができる。例えば、データ処理部１２は、ソート、結合等のテーブルの操作、レコード数の集計、総和、平均、最大値、最小値、標本分散等の統計量の計算、ｔ検定等の統計的検定を行うことができる。さらに、データ処理部１２は、回帰分析及び主成分分析といった統計的分析を行うことができる。
　分析装置１３は、データ処理部１２を利用してデータの分析を行う。分析装置１３は、データ処理部１２によって実行された秘密計算の結果に基づき、分析結果をデータ利用者側の端末装置４０に提供する。利用者は、端末装置４０を介してデータの分析結果を得ることができる。
　例えば、秘密計算システム１０には、個人ごとの属性及び身体に関するデータが提供される場合がある。属性及び身体に関するデータは秘匿化されることが望ましい個人情報である。属性及び身体に関するデータには、例えば年齢、性別、身長、体重等が含まれる。データ蓄積部１１は、提供されたデータを断片化したシェアを各蓄積装置に格納する。
　なお、分割された個々のシェアは、単独では意味のないデータである。そのため、１つのシェアから元のデータを復元することはできない。一方、複数のシェアを揃えることで元のデータを復元することが可能になる。
　データの利用者は、登録されたデータそのものを閲覧することはできないが、分析装置１３及び端末装置４０を介して、データの分析結果を閲覧することができる。例えば、データに個人の性別及び体重が含まれている場合、利用者は、各個人の性別及び体重を閲覧することはできないが、データの分析結果である「男性の平均体重」を閲覧することができる。
　一例として、データ蓄積部１１は、Shamirの閾値秘密分散法という手法を使って秘密分散を行うことができる。このとき、データ蓄積部１１は、元のデータを切片とする多項式を通る３つの座標をシェアとして各サーバに保管する。また、多項式の傾きはランダムに決定されるため、元のデータが同じであってもシェアが毎回同じであるとは限らない。なお、元のデータは、数値であってもよいし、数値に変換済みのデータであってもよい。
　秘密計算システム１０は、複数のシェアから元のデータを復元することができる。多項式が１次式であれば、秘密計算システム１０は、２つの座標（シェアに相当）を結ぶ直線と軸との交点から切片（元のデータに相当）を求めることができる。一方で、１つの座標からは直線が定まらないため、元のデータを復元することはできない。
　また、前述の通り、データ処理部１２は、シェアを復元することなく元のデータに対し秘密計算を実行することができる。例えば、座標で表されたシェア同士を加算した結果は、各シェアの元のデータ同士を加算した結果のシェアに相当する。
　分析装置１３は、端末装置４０からの要求に応じて、データ処理部１２に秘密計算による処理を実行させる。なお、データ処理部１２又は端末装置４０が、分析装置１３と同等の機能を実現してもよい。例えば、分析システム１は、分析装置１３を有さない構成であってもよい。その場合、端末装置４０がデータ処理部１２と接続され、分析装置１３と同等の処理を実行する。さらに、シェアに基づく統計演算は、データ処理部１２ではなく端末装置４０によって実行されてもよい。
　第１の実施形態では、分析装置１３が秘密計算によりＣｏｘ比例ハザード回帰分析、及びＣｏｘ比例ハザード回帰分析の検定を行う場合の例を説明する。
　図２を用いて、分析装置１３の構成を説明する。図２は、実施形態に係る分析装置の構成例を示す図である。
　分析装置１３の各部について説明する。図２に示すように、分析装置１３は、通信部１３１、入力部１３２、出力部１３３、記憶部１３４及び制御部１３５を有する。
　通信部１３１は、他の装置の間でデータの通信を行う。例えば、通信部１３１はＮＩＣ（Network　Interface　Card）である。通信部１３１は他の装置との間でデータの送受信を行うことができる。
　入力部１３２は、データの入力を受け付けるためのインタフェースである。入力部１３２は、例えばマウス及びキーボード等の入力装置と接続される。
　出力部１３３は、データを出力するためのインタフェースである。出力部１３３は、例えばディスプレイ及びスピーカ等の入力装置と接続される。
　記憶部１３４は、ＨＤＤ（Hard　Disk　Drive）、ＳＳＤ（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１３４は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１３４は、分析装置１３で実行されるＯＳ（Operating　System）及び各種プログラムを記憶する。
　制御部１３５は、分析装置１３全体を制御する。制御部１３５は、例えば、ＣＰＵ（Central　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）、ＧＰＵ（Graphics　Processing　Unit）等の電子回路や、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１３５は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。
　制御部１３５は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３５は、計算部１３５１、更新部１３５２、検定部１３５３及び出力制御部１３５４を有する。
　計算部１３５１は、秘密計算によりＣｏｘ比例ハザード回帰の計算を行う。計算部１３５１は、Ｃｏｘ比例ハザード回帰モデルに説明変数を入力し、目的変数を出力させる。
　図４に、以降の説明で使用する記号の定義を示す。図４は、記号の定義を示す図である。
　図４に示すように、Ｎはレコード数である。ｋは属性（説明変数）の数である。データセットＸは、Ｎ×ｋ行列の各レコードの属性情報を含む。例えば、ｉ番目のレコードは（ｘ１，…，ｘｋ）である。
　結果は、あるレコードの生存又は死亡を示す情報である。ｔは観測時間である。ｙは０（生存）又は１（死亡）の２値である。
　偏回帰係数及びスコアベクトルは列ベクトルで表される。スコアベクトルは、対数部分尤度の１次導関数である。また、ヘッセ行列は、対数部分尤度の２次導関数である。
　また、偏回帰係数、スコアベクトル、ヘッセ行列、対数部分尤度には、下付きの０が付される。対数部分尤度の計算方法については後述する。
　更新部１３５２は、計算部１３５１によって計算された目的変数が、正解の値に近付くように、秘密計算によりＣｏｘ比例ハザード回帰モデルのパラメータを更新する。
　計算部１３５１と更新部１３５２の処理が１回又は複数回行われることにより、Ｃｏｘ比例ハザード回帰モデルの学習が行われる。
　図３は、学習データの例を示す図である。図３の「年齢」列、「性別」列、「摂取カロリー」列、「体重減少」列の値は、Ｃｏｘ比例ハザード回帰モデルの説明変数である。また、「生存時間」列の値に基づく予測生存率が、Ｃｏｘ比例ハザード回帰モデルの目的変数であり、ハザード関数ｈ（ｔ｜ｘ）に対応する。
　計算部１３５１は、「年齢」列、「性別」列、「摂取カロリー」列、「体重減少」列の値をＣｏｘ比例ハザード回帰モデルに入力し、出力を得る。更新部１３５２は、計算部１３５１によって得られた出力が、「生存時間」列の値に基づく予測生存率に近付くように、Ｃｏｘ比例ハザード回帰モデルのパラメータを更新する。
　検定部１３５３は、Ｃｏｘ比例ハザード回帰モデルの検定を行う。秘密計算では、学習データそのものを外部から取得することは困難である。そのため、検定部１３５３は、取得可能な限られた情報を基に検定のための統計量を計算する。
　ここでは、検定部１３５３は、秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う。検定部１３５３は、偏回帰係数、ヘッセ行列、及びスコアベクトルといったＣｏｘ比例ハザード回帰分析に関する情報を、秘密計算システム１０から取得する。
　検定部１３５３が、Ｗａｌｄ検定、Ｓｃｏｒｅ検定及び尤度比検定を行う場合の処理を説明する。
（Ｗａｌｄ検定）
　図５は、Ｗａｌｄ検定の流れを示すフローチャートである。図５に示すように、検定部１３５３は、秘密計算システム１０から、学習済みのＣｏｘ比例ハザード回帰モデルの偏回帰係数とヘッセ行列を取得する（ステップＳ１０１）。
　次に、検定部１３５３は、（１）式のようにＷａｌｄ検定の統計量を計算する（ステップＳ１０２）。そして、検定部１３５３は、検定を実行し、出力制御部１３５４を介して検定結果を出力する（ステップＳ１０３）。ただし、初期偏回帰係数を０とした場合、検定部１３５３は、（２）式により統計量を計算する。
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
　このように、検定部１３５３は、偏回帰係数及びヘッセ行列を基に、Ｗａｌｄ検定の統計量を計算し、統計量を基にχ２乗検定を行う。
（Ｓｃｏｒｅ検定）
　図６は、Ｓｃｏｒｅ検定の流れを示すフローチャートである。図６に示すように、検定部１３５３は、秘密計算システム１０から、学習済みのＣｏｘ比例ハザード回帰モデルの学習開始時のヘッセ行列（図４の初期ヘッセ行列）とスコアベクトル（図４の初期スコアベクトル）を取得する（ステップＳ２０１）。
　次に、検定部１３５３は、（３）式のように、Ｓｃｏｒｅ検定の統計量を計算する（ステップＳ２０２）。そして、検定部１３５３は、検定を実行し、出力制御部１３５４を介して検定結果を出力する（ステップＳ２０３）。
Figure JPOXMLDOC01-appb-M000003
　このように、検定部１３５３は、Ｃｏｘ比例ハザード回帰分析の回帰モデルの学習開始時におけるヘッセ行列及びスコアベクトルを基に、Ｓｃｏｒｅ検定の統計量を計算し、統計量を基にχ２乗検定を行う。
（尤度比検定）
　図７は、尤度比検定の流れを示すフローチャートである。検定部１３５３は、秘密計算システム１０から、学習済みのＣｏｘ比例ハザード回帰モデルの偏回帰係数とヘッセ行列を取得する。
　また、図３の学習データの各レコードは各患者に対応し、Ｃｏｘ比例ハザード回帰モデルのハザード関数は、患者のある時間での生存確率を表すものとする。学習データの生存時間から、ある時間において患者が死亡しているか否かが導かれる。
　学習データのレコードのうち、指定された時間において死亡している患者に対応するレコードを死亡レコードと呼ぶ。また、学習データのレコードのうち、指定された時間において死亡していない患者に対応するレコードを残存レコードと呼ぶ。
　図７に示すように、まず、検定部１３５３は、学習開始時の偏回帰係数から初期の対数部分尤度を計算する（ステップＳ３０１）。また、検定部１３５３は、学習済みの偏回帰係数から対数部分尤度を計算する（ステップＳ３０２）。
　検定部１３５３は、（４）式により対数部分尤度を計算する。また、検定部１３５３は、（４）式のβをβ０に置き換えた式により、初期の対数部分尤度を計算する。対数部分尤度の計算の詳細については後述する。
Figure JPOXMLDOC01-appb-M000004
　続いて、検定部１３５３は、初期の対数部分尤度と対数部分尤度から、（５）式のように尤度比検定の統計量を計算する（ステップＳ３０３）。そして、検定部１３５３は、χ２乗検定を行い、検定結果を出力する（ステップＳ３０４）。
Figure JPOXMLDOC01-appb-M000005
　図８は、対数部分尤度を計算する処理の流れを示すフローチャートである。図８に示すように、まず、検定部１３５３は、秘密計算ソートを用いて、データセットのレコードを時刻に対して昇順に並べる（ステップＳ３１１）。
　次に、検定部１３５３は、偏回帰係数とレコードの積和値を秘密計算積和により計算する（ステップＳ３１２）。また、検定部１３５３は、積和値の指数値である死亡リスク（（４）式の右辺のｅｘｐ）を秘密計算写像で計算する（ステップＳ３１３）。
　ここで、検定部１３５３は、ｉ＝１，…，Ｎに対して、秘密計算総和を用いて、レコード番号がｉ＜＝ｊとなるｊの死亡リスクの総和（（４）式の右辺の右側のΣ）を計算する（ステップＳ３１４）。
　続いて、検定部１３５３は、死亡リスクの総和の対数値（（４）式の右辺のｌｏｇ）を秘密計算写像で計算する（ステップＳ３１５）。
　そして、検定部１３５３は、積和値と対数値の差を秘密計算の減算（（４）式の右辺の減算）で計算する（ステップＳ３１６）。さらに、検定部１３５３は、秘密計算の積和を用いて、生存又は死亡の情報（（４）式のｙｉ）と減算の結果から対数部分尤度を計算する（ステップＳ３１７）。
　このように、検定部１３５３は、検定部１３５３は、Ｃｏｘ比例ハザード回帰分析の回帰モデルの学習に用いられた死亡レコードと偏回帰係数の積和を、第１の死亡リスクとして秘密計算により計算し、回帰モデルの学習に用いられた残存レコードと偏回帰係数の積和を、第２の死亡リスクとして秘密計算により計算し、第１の死亡リスクと第２の死亡リスクを基に対数尤度を計算し、対数尤度を基に検定を行う。
［実施形態の効果］
　これまで説明してきたように、分析装置１３は、検定部１３５３及び出力制御部１３５４を有する。検定部１３５３は、秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う。出力制御部１３５４は、検定部１３５３による検定の結果を出力する。
　これにより、分析装置１３は、秘密計算によって行われたＣｏｘ比例ハザード回帰分析の検定を行うことができる。
　例えば、検定部１３５３は、偏回帰係数及びヘッセ行列を基に、Ｗａｌｄ検定の統計量を計算し、統計量を基に検定を行う。
　例えば、検定部１３５３は、Ｃｏｘ比例ハザード回帰分析の回帰モデルの学習開始時におけるヘッセ行列及びスコアベクトルを基に、Ｓｃｏｒｅ検定の統計量を計算し、統計量を基に検定を行う。
　例えば、検定部１３５３は、Ｃｏｘ比例ハザード回帰分析の回帰モデルの学習に用いられた死亡レコードと偏回帰係数の積和を、第１の死亡リスクとして秘密計算により計算し、回帰モデルの学習に用いられた残存レコードと偏回帰係数の積和を、第２の死亡リスクとして秘密計算により計算し、第１の死亡リスクと第２の死亡リスクを基に対数尤度を計算し、対数尤度を基に検定を行う。
　このように、分析装置１３は、Ｗａｌｄ検定、Ｓｃｏｒｅ検定及び尤度比検定を行うことができる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ（Central　Processing　Unit）及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。なお、プログラムは、ＣＰＵだけでなく、ＧＰＵ等の他のプロセッサによって実行されてもよい。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、分析装置１３は、パッケージソフトウェアやオンラインソフトウェアとして上記の分析処理を実行する分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の分析プログラムを情報処理装置に実行させることにより、情報処理装置を分析装置１３として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、分析装置１３は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の分析処理に関するサービスを提供する分析サーバ装置として実装することもできる。例えば、分析サーバ装置は、秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルを入力とし、Ｃｏｘ比例ハザード回帰分析の検定結果を出力とする分析サービスを提供するサーバ装置として実装される。
　図９は、分析プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、分析装置１３の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、分析装置１３における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１　分析システム
　１０　秘密計算システム
　１１　データ蓄積部
　１２　データ処理部
　１３　分析装置
　１３１　通信部
　１３２　入力部
　１３３　出力部
　１３４　記憶部
　１３５　制御部
　１３５１　計算部
　１３５２　更新部
　１３５３　検定部
　１３５４　出力制御部

Claims (6)

  1. 　秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、前記Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う検定部と、
    　前記検定部による検定の結果を出力する出力制御部と、
    　を有することを特徴とする分析装置。
  2. 　前記検定部は、前記偏回帰係数及び前記ヘッセ行列を基に、Ｗａｌｄ検定の統計量を計算し、前記統計量を基に検定を行うことを特徴とする請求項１に記載の分析装置。
  3. 　前記検定部は、前記Ｃｏｘ比例ハザード回帰分析の回帰モデルの学習開始時における前記ヘッセ行列及び前記スコアベクトルを基に、Ｓｃｏｒｅ検定の統計量を計算し、前記統計量を基に検定を行うことを特徴とする請求項１に記載の分析装置。
  4. 　前記検定部は、前記Ｃｏｘ比例ハザード回帰分析の回帰モデルの学習に用いられた死亡レコードと前記偏回帰係数の積和を、第１の死亡リスクとして秘密計算により計算し、前記回帰モデルの学習に用いられた残存レコードと前記偏回帰係数の積和を、第２の死亡リスクとして秘密計算により計算し、前記第１の死亡リスクと前記第２の死亡リスクを基に対数尤度を計算し、前記対数尤度を基に検定を行うことを特徴とする請求項１に記載の分析装置。
  5. 　分析装置によって実行される分析方法であって、
    　秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、前記Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う検定工程と、
    　前記検定工程による検定の結果を出力する出力制御工程と、
    　を含むことを特徴とする分析方法。
  6. 　秘密計算によるＣｏｘ比例ハザード回帰分析によって得られた偏回帰係数、ヘッセ行列、及びスコアベクトルの少なくともいずれかを用いて、前記Ｃｏｘ比例ハザード回帰分析の検定を秘密計算により行う検定ステップと、
    　前記検定ステップによる検定の結果を出力する出力制御ステップと、
    　をコンピュータに実行させることを特徴とする分析プログラム。
PCT/JP2024/008140 2023-05-01 2024-03-04 分析装置、分析方法及び分析プログラム Ceased WO2024228295A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP24800026.7A EP4708261A1 (en) 2023-05-01 2024-03-04 Analysis device, analysis method, and analysis program
AU2024265870A AU2024265870A1 (en) 2023-05-01 2024-03-04 Analysis device, analysis method, and analysis program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2023-075875 2023-05-01
JP2023075875A JP2024160648A (ja) 2023-05-01 2023-05-01 分析装置、分析方法及び分析プログラム

Publications (1)

Publication Number Publication Date
WO2024228295A1 true WO2024228295A1 (ja) 2024-11-07

Family

ID=93332927

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2024/008140 Ceased WO2024228295A1 (ja) 2023-05-01 2024-03-04 分析装置、分析方法及び分析プログラム

Country Status (4)

Country Link
EP (1) EP4708261A1 (ja)
JP (1) JP2024160648A (ja)
AU (1) AU2024265870A1 (ja)
WO (1) WO2024228295A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008299370A (ja) 2007-05-29 2008-12-11 Nippon Telegr & Teleph Corp <Ntt> リコメンド装置、リコメンド方法、リコメンドプログラムおよびそのプログラムを記録した記録媒体
WO2019124260A1 (ja) 2017-12-18 2019-06-27 日本電信電話株式会社 秘密計算システム及び方法
JP2020042128A (ja) 2018-09-10 2020-03-19 日本電信電話株式会社 秘密統計処理システム、方法、統計処理装置及びプログラム
CN111506922A (zh) * 2020-04-17 2020-08-07 支付宝(杭州)信息技术有限公司 多方联合对隐私数据进行显著性检验的方法和装置
WO2022079904A1 (ja) * 2020-10-16 2022-04-21 日本電信電話株式会社 パラメータ推定装置、パラメータ推定システム、パラメータ推定方法、及びプログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008299370A (ja) 2007-05-29 2008-12-11 Nippon Telegr & Teleph Corp <Ntt> リコメンド装置、リコメンド方法、リコメンドプログラムおよびそのプログラムを記録した記録媒体
WO2019124260A1 (ja) 2017-12-18 2019-06-27 日本電信電話株式会社 秘密計算システム及び方法
JP2020042128A (ja) 2018-09-10 2020-03-19 日本電信電話株式会社 秘密統計処理システム、方法、統計処理装置及びプログラム
CN111506922A (zh) * 2020-04-17 2020-08-07 支付宝(杭州)信息技术有限公司 多方联合对隐私数据进行显著性检验的方法和装置
WO2022079904A1 (ja) * 2020-10-16 2022-04-21 日本電信電話株式会社 パラメータ推定装置、パラメータ推定システム、パラメータ推定方法、及びプログラム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
"System of Secure Computation and Principles thereof", 6 January 2023, NTT CORP.
KAWASAKI, SHOHEI ET AL.: "Privacy-preserving likelihood-ratio test.", PROCEEDINGS OF 28TH ANNUAL CONFERENCE OF THE JAPANESE SOCIETY FOR ARTIFICIAL INTELLIGENCE (2014, 28 May 2014 (2014-05-28), pages 1 - 4, XP009526815, DOI: 10.11517/pjsai.JSAI2014.0_2B5OS15b3 *
See also references of EP4708261A1

Also Published As

Publication number Publication date
EP4708261A1 (en) 2026-03-11
AU2024265870A1 (en) 2025-11-20
JP2024160648A (ja) 2024-11-14

Similar Documents

Publication Publication Date Title
Benkeser et al. Improving precision and power in randomized trials for COVID-19 treatments using covariate adjustment, for binary, ordinal, and time-to-event outcomes
Feng et al. Collinearity in ecological niche modeling: Confusions and challenges
Austin et al. Why summary comorbidity measures such as the Charlson comorbidity index and Elixhauser score work
Hemerik et al. Permutation-based simultaneous confidence bounds for the false discovery proportion
Rose Mortality risk score prediction in an elderly population using machine learning
EP2866421B1 (en) Method and apparatus for identifying a same user in multiple social networks
CN112037912A (zh) 基于医疗知识图谱的分诊模型训练方法、装置及设备
Zhu et al. A variable selection approach for highly correlated predictors in high-dimensional genomic data
Chu et al. Iterative hard thresholding in genome-wide association studies: Generalized linear models, prior weights, and double sparsity
WO2021174881A1 (zh) 多维度信息的组合预测方法、装置、计算机设备及介质
Tran et al. Evaluating the impact of a HIV low-risk express care task-shifting program: a case study of the targeted learning roadmap
Ristl et al. Simultaneous inference for multiple marginal generalized estimating equation models
Yu et al. Asymptotic properties and information criteria for misspecified generalized linear mixed models
CN113641767B (zh) 实体关系抽取方法、装置、设备及存储介质
WO2019001463A1 (zh) 数据处理方法及装置
Jochmann What belongs where? Variable selection for zero-inflated count models with an application to the demand for health care
Wheeler Bayesian additive adaptive basis tensor product models for modeling high dimensional surfaces: An application to high-throughput toxicity testing
Wiegert et al. Predicting phylogenetic bootstrap values via machine learning
CN116088717A (zh) 一种模型的训练方法、数据处理方法以及相关设备
WO2024228295A1 (ja) 分析装置、分析方法及び分析プログラム
Hugo Bonat Modelling mixed types of outcomes in additive genetic models
WO2024228297A1 (ja) 分析装置、分析方法及び分析プログラム
Wu et al. Competing risk modeling with bivariate varying coefficients to understand the dynamic impact of COVID-19
WO2022216590A1 (en) Cell nuclei classification with artifact area avoidance
WO2024228296A1 (ja) 分析装置、分析方法及び分析プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24800026

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: AU2024265870

Country of ref document: AU

ENP Entry into the national phase

Ref document number: 2024265870

Country of ref document: AU

Date of ref document: 20240304

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

WWE Wipo information: entry into national phase

Ref document number: 2024800026

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

ENP Entry into the national phase

Ref document number: 2024800026

Country of ref document: EP

Effective date: 20251201

WWP Wipo information: published in national office

Ref document number: 2024800026

Country of ref document: EP