Privacy-Preserving Active Learning in Precision Oncology

다중 관할권 규정 준수 하의 정밀 종양학 임상 워크플로우를 위한 프라이버시 보존 능동 학습

서론: 좌절에서 탄생한 발견

제가 프라이버시 보존 능동 학습(privacy-preserving active learning)에 입문하게 된 계기는 예상치 못한 곳이었습니다. 하이델베르크의 병원 시설 밖으로 옮길 수 없는 유전체 데이터로 종양 분류 모델을 훈련시키려던 좌절스러운 심야 디버깅 세션 중이었습니다. 제 연구실에는 컴퓨팅 자원이 있었지만, 데이터는 다른 관할권에 존재했고, GDPR(General Data Protection Regulation)의 제44조는 사실상 순진한 데이터 중앙 집중화를 포기하라고 말하는 것과 같았습니다. 워크어라운드(workaround)로 연합 학습(federated learning)을 탐색하던 중, 저는 더 깊은 깨달음에 도달했습니다. 정밀 종양학의 진짜 병목 현상은 단순히 데이터를 '이동'시키는 것이 아니라, 모든 라벨링에 돈, 시간, 그리고 규제적 무게가 수반되기 때문에 '다음으로 어떤 데이터를 라벨링할지 결정하는 것'이라는 점이었습니다.

그 좌절감은 능동 학습(active learning), 차분 프라이버시(differential privacy), 그리고 안전한 다자간 컴퓨팅(secure multi-party computation)을 EU, 미국, 싱가포르에 걸친 임상 워크플로우 내에서 실제로 작동하는 무언가로 엮어내는 방법에 대한 2년간의 탐구로 바뀌었습니다. 이 글은 프로토타입을 구축하고, 밤늦게 논문을 읽고, 그리고 당연히 저의 '그냥 믿어주세요' 보안 모델을 신뢰하지 않았던 병원 규정 준수 담당자들과 불편한 대화를 나누면서 배운 것들을 응축한 것입니다.

정밀 종양학(Precision oncology)은 여기서 독특하게 까다롭습니다. 단일 환자의 분자 프로파일에는 전장 유전체 시퀀싱(whole-genome sequencing), 전사체 패널(transcriptomic panels), 이미징, 그리고 종단적 결과(longitudinal outcomes)가 포함될 수 있습니다. 이 데이터는 치료 선택을 안내하는 모델 훈련에 있어 극도로 민감하면서도 극도로 가치 있는 데이터를 동시에 갖습니다. 다중 관할권 규정 준수(GDPR, HIPAA, 싱가포르의 PDPA, 그리고 점점 더 중요해지는 중국의 PIPL) 하에서는 이 데이터를 단순히 통합할 수 없습니다. 하지만 모델들은 이 데이터가 필요합니다. 능동 학습(Active learning)이 하나의 경로를 제공합니다: 모든 것을 레이블링하는 대신, 우리는 주석을 달기 위해 가장 정보성이 높은 샘플을 지능적으로 선택합니다—이는 종종 레이블링 예산을 60–80%까지 줄여줍니다. 하지만 순진한 능동 학습은 자신이 수행하는 질의(query)를 통해 정보를 유출시킵니다. 바로 그곳에서 흥미로운 엔지니어링이 시작됩니다.

기술적 배경: 세 가지 기둥

임상 환경에서의 능동 학습

능동 학습은 간단한 전제에 기반합니다: 모든 레이블되지 않은 샘플이 동일하게 정보성이 높은 것은 아닙니다. 임상 종양학 파이프라인에서, 여러분은 분자 데이터를 가진 50,000명의 환자를 가질 수 있지만, 전문가 주석(병리학자 시간, 종양내과 의사 검토, 선별된 변이 해석)을 위한 예산은 500개에 불과할 수 있습니다. 질문은 _어떤 500개_인가 하는 것입니다.

제가 실험해 본 고전적인 전략들은 다음과 같습니다:

• 불확실성 샘플링(Uncertainty sampling): 모델이 가장 확신하지 못하는 샘플을 선택합니다.
• 위원회 기반 질의(Query-by-committee): 앙상블이 가장 의견 불일치인 샘플을 선택합니다.
• 핵심 집합/다양성 샘플링(Core-set / diversity sampling): 레이블되지 않은 분포를 가장 잘 대표하는 샘플을 선택합니다.
• 예상 모델 변화(Expected model change): 주석이 달릴 경우 모델을 가장 많이 변경할 샘플을 선택합니다.

import numpy as np
from sklearn.ensemble import RandomForestClassifier

...

폐 선암종(lung adenocarcinoma)의 하위 유형 분류 작업을 위해 BALD를 탐색하던 중, 순수 불확실성 샘플링이 모호하거나 경계에 있는 케이스—이는 종양학에서 임상적으로 활용 가능한 경우가 아닌 경우가 많습니다—를 과도하게 많이 쿼리하는 경향이 있다는 것을 발견했습니다. 불확실성에 다양성을 결합한 하이브리드 접근 방식(임베딩에 대한 k-center 탐욕 선택을 통해)은 제 실험에서 단독으로 사용했을 때보다 일관되게 우수한 성능을 보였습니다.

차분 프라이버시: 그럴듯하게 부인할 수 있는 수학적 근거

차분 프라이버시(Differential Privacy, DP)는 공식적인 보장을 제공합니다. 즉, 알고리즘의 출력 결과가 특정 환자의 데이터가 포함되었는지 여부와 거의 구별할 수 없다는 것입니다. 메커니즘은 우아한데, 공개하려는 양에 보정된 노이즈를 추가하는 방식입니다.

민감도(sensitivity) $\Delta f$ (하나의 기록을 추가/제거함으로써 발생하는 출력의 최대 변화량)를 가진 함수 $f$에 대해, 라플라스 메커니즘은 다음을 공개합니다:

$$M(D) = f(D) + \text{Lap}\left(\frac{\Delta f}{\epsilon}\right)$$

여기서 $\epsilon$는 프라이버시 예산입니다. $\epsilon$이 작을수록 = 더 많은 프라이버시 = 더 많은 노이즈를 의미합니다.

import numpy as np

def laplace_mechanism(value, sensitivity, epsilon):
...

제가 이해하는 데 시간이 걸렸던 점은 다음과 같습니다: DP는 합성(composes)됩니다. $\epsilon=0.1$로 쿼리를 100번 실행하면, 기본 합성(basic composition)에 따라 $\epsilon=10$을 소모한 것이며—이는 사실상 프라이버시가 없습니다. 이것이 바로 프라이버시 보존 능동 학습에서 핵심적인 긴장 관계입니다. 왜냐하면 능동 학습은 본질적으로 반복적이며, 각 쿼리가 프라이버시 지출이기 때문입니다. 저는 합성(composition)을 무시했기 때문에 첫 번째 프로토타입이 치명적으로 유출된 적이 있습니다. 생각만 해도 오금이 저립니다.

안전한 다자간 컴퓨팅 및 연합 학습

연합 학습(Federated learning)은 데이터를 로컬에 유지하고 모델 업데이트만 공유합니다. 그러나 순진한 연합 평균화는 그래디언트를 통해 정보를 유출시키는데—이는 잘 알려진 공격 벡터입니다. 안전 집계(Secure aggregation, 비밀 공유 또는 동형 암호화를 통해)가 그 간극을 메웁니다.

스케치: 안전한 집계를 위한 가산 비밀 공유

def share_secret(x, n_parties, prime=2**61 - 1):
    """Split x into n additive shares mod prime."""
...

안전한 집계 프로토콜에 대한 연구를 하면서, 오버헤드가 작은 모델의 경우 과대평가되는 경향이 있지만, 종양학에서 흔히 사용되는 대규모 트랜스포머 기반 모델(예: 병리 파운데이션 모델)에서는 매우 심각해진다는 것을 깨달았습니다. 제가 찾은 실질적인 최적점은 하이브리드 방식이었습니다. 즉, 획득 점수 산정에 사용되는 작고 민감한 요약 통계량에는 안전한 집계를 사용하고, 모델 업데이트 자체에는 차분 프라이버시(DP)를 적용하는 것입니다.

아키텍처: 기둥들을 짜 맞추기

여러 반복 끝에 제가 수렴한 아키텍처입니다. 유효한 설계가 전부는 아니지만, 실제 규정 준수 제약 조건과의 접촉을 견뎌낸 방식입니다.

┌─────────────────────────────────────────────────────────────┐
│                    중앙 오케스트레이터 (Central Orchestrator)                     │
│  (획득 점수 산정, 예산 추적, ε-계정)       │
...

제가 실험을 통해 얻은 핵심 통찰력은 다음과 같습니다: 획득 점수 자체도 프라이버시를 보존해야 합니다. 만약 오케스트레이터가

실험을 통해 이 설계를 적용하면서 흥미로운 점을 발견했습니다: DP를 위해 추가된 노이즈가 능동 학습(active learning) 효율성을 예상보다 더 저해합니다. 라운드당 $\epsilon=1$로 설정했을 때, 상위-k 선택은 본질적으로 무작위였습니다. 따라서 (a) 예산을 늘리거나, (b) 민감도(sensitivity)가 더 높은 지수 메커니즘(exponential mechanism)과 같은 더 스마트한 메커니즘을 사용하거나, 또는 (c) 라운드 수를 줄이고 배치 크기(batch size)를 늘려야 했습니다. 옵션 (c)가 가장 실용적인 해결책이었습니다.

구현 세부 사항: 작동 프로토타입

제가 구축한 시스템의 핵심 부분을 설명하겠습니다. 명확성을 위해 단순화했지만, 필수적인 패턴은 모두 담고 있습니다.

1단계: Opacus를 사용한 로컬 DP 학습

import torch
from opacus import PrivacyEngine

...

2단계: 모델 업데이트의 안전 집계(Secure Aggregation)

import hashlib

def secure_aggregate(shares_list, prime=2**61 - 1):
...

3단계: DP 획득 점수 산정(DP Acquisition Scoring)

여기서 중요한 부분입니다. 획득 점수는 집계된(aggregated) 모델에 대해 계산되어야 하지만, 각 기관은 집계된 모델(좋음)과 자체의 레이블링되지 않은 데이터(역시 좋음)만 가지고 있습니다. 따라서 해당 기관이 로컬 점수를 계산한 다음, 어떤 샘플을 질의할지 선택하기 위해 지수 메커니즘을 적용합니다.

def exponential_mechanism_selection(scores, k, epsilon, sensitivity=1.0):
    """
    확률이 exp(ε·score/(2Δ))에 비례하는 k개의 항목을 선택합니다.
...

4단계: 관할권 간 예산 회계(Cross-Jurisdictional Budget Accounting)

여기서 다중 관할권 규정 준수 문제가 정말 까다로워집니다. GDPR의 '목적 제한(purpose limitation)'은 새로운 법적 근거 없이는 데이터를 새로운 목적으로 재사용할 수 없다는 의미입니다. HIPAA의 최소 필요 기준(minimum necessary standard)이 미국에서 적용됩니다. 싱가포르의 PDPA는 자체적인 동의 모델을 가지고 있습니다. 제가 제시한 해결책은 단순히 $\epsilon$뿐만 아니라 각 질의의 _목적_까지 추적하는 **기관별 프라이버시 원장(per-jurisdiction privacy ledger)**이었습니다.

from dataclasses import dataclass, field
from datetime import datetime
from typing import List
...

다중 관할권 데이터 거버넌스에 대해 학습하면서, 가장 어려운 부분은 암호화(cryptography) 자체가 아니라 법적 요구사항(legal)을 시스템이 자동으로 강제할 수 있는 코드로 인코딩하는 것이라는 점을 깨달았습니다. 위에 제시된 원장 패턴(ledger pattern)은 규정 준수(compliance)가 감사 가능하고 기계적으로 검사 가능하도록 만들려는 저의 시도입니다.

실제 적용 사례 (Real-World Applications)

종양 위원회 의사 결정 지원 (Tumor Board Decision Support)

제가 연구한 프로토타입 배포 중 하나에서는, 능동 학습 루프(active learning loop)가 분자 종양 위원회가 어떤 환자 케이스를 심층적으로 논의할지 우선순위를 지정하는 데 사용되었습니다. 이 모델은 치료 권고 사항에 가장 불확실성이 높으면서도 추가 검토로 인한 예측 이점(predicted benefit)이 가장 높은 케이스에 플래그를 표시했습니다. 프라이버시 보존 획득(Privacy-preserving acquisition) 덕분에, 이러한 플래그 지정 자체가 사이트 간 환자 신원을 유출하지 않았습니다.

희귀 변이 해석 (Rare Variant Interpretation)

희귀 발암성 변이(Rare oncogenic variants)는 정의상 학습 데이터에서 과소 대표됩니다. 다양성 샘플링을 이용한 능동 학습은 여기서 특히 가치가 높습니다. 이는 모델이 잘 대표되는 영역을 단순히 정교화하는 것이 아니라, 변이 공간(variant space)의 커버리지를 확장하는 샘플을 쿼리하도록 보장합니다. 연합 설정(Federated setup)은 근본적인 환자 데이터를 이동시키지 않으면서 기관 간에 변이 해석을 통합할 수 있게 합니다.

적응형 임상 시험 강화 (Adaptive Clinical Trial Enrichment)

이것이 최전선 응용 분야입니다. 적응형 임상 시험(adaptive trials)에서는 실험적 치료로 가장 큰 이점을 얻을 가능성이 높은 환자를 등록하고자 합니다. 프라이버시 보존 능동 학습은 블라인드를 유지하고 각 관할권의 임상 시험 규정을 준수하면서 강화(enrichment)를 안내할 수 있습니다. 아직 상용 배포 사례는 본 적이 없지만, 이론적으로는 탄탄하며 인센티브도 강력합니다.

과제와 해결책 (Challenges and Solutions)

과제 1: 프라이버시-유틸리티-획득 삼중고리 (The Privacy-Utility-Acquisition Trilemma)

모든 DP 메커니즘은 유틸리티를 사생활 보호(privacy)와 교환합니다. 능동 학습(Active learning)은 라벨링 비용을 모델 품질과 교환합니다. 이 둘이 합쳐지면 세 가지 측면의 긴장 관계가 형성됩니다. 저의 해결책은 **적응형 예산 할당(adaptive budget allocation)**입니다. 모델이 약하고 획득 결정(acquisition decisions)이 가장 중요할 때 초기에 더 많은 $\epsilon$을 사용하고; 이미 모델이 좋다면 나중에는 적게 사용하는 방식입니다.

def adaptive_epsilon_schedule(total_epsilon, n_rounds, decay=0.85):
    """능동 학습 라운드에 걸쳐 사생활 보호 예산을 전방 배치합니다."""
    weights = np.array([decay ** i for i in range(n_rounds)])
...

도전 과제 2: 관할권 간의 구성(Composition Across Jurisdictions)

GDPR의 구성 규칙과 HIPAA의 비식별화 표준은 DP의 $\epsilon$-구성 방식에 깔끔하게 매핑되지 않습니다. 저는 결국 병렬 회계 방식을 유지했습니다. 기술적 보장을 위한 DP $\epsilon$과 규제 준수를 위한 별도의 법률 장부를 운영한 것입니다. 이 둘은 관련이 있지만 동일하지 않으며, 이를 혼동하는 것은 제가 초기에 저지른 실수였습니다.

도전 과제 3: 사이트 간의 비-IID 데이터(Non-IID Data Across Sites)

연합 종양학 데이터는 매우 비-IID입니다. 일본의 한 사이트는 브라질의 사이트와 다른 암 발생 패턴을 보입니다. 표준 FedAvg 방식으로는 어려움이 있었습니다. 저는 개인화된 연합 학습(personalized federated learning) (각 사이트가 작은 로컬 헤드(local head)를 유지하는 방식)과 공유 표현(shared representation)을 결합한 것이 훨씬 효과적이라는 것을 발견했습니다. 또한 이는 사생활 보호 스토리와도 잘 맞아떨어지는데, 로컬 헤드는 절대 사이트를 떠나지 않기 때문입니다.

도전 과제 4: 콜드 스타트 문제(The Cold Start Problem)

능동 학습은 시드 모델(seed model)이 필요합니다. 하지만 DP를 사용하면 심지어 시드 모델의 훈련 과정도 예산을 소모합니다. 저의 해결책은 공개 데이터셋(예: 이미 비식별화되어 공개적으로 이용 가능한 TCGA)을 사용하여 부트스트랩한 다음, 사적으로 미세 조정(fine-tune)하는 것입니다. 이는 잘 알려진 트릭이지만 강조할 가치가 있습니다.

향후 방향 (Future Directions)

양자 강화 보안 컴퓨팅 (Quantum-Enhanced Secure Computation)