合成病历也能带隐私保证：在ε=8下，攻击判别接近随机，临床有效性达0.961
核心概要
合成电子健康记录长期在临床保真度与形式化隐私保证之间取舍。SynthEHR-DP把混合类型编码器、时间Transformer编码器与条件变分自编码器组合起来，在差分隐私随机梯度下降和Rényi隐私核算下训练，并在推理后加一层不消耗隐私预算的临床约束层。在MIMIC-IV上、总预算ε=8、δ=10⁻⁵时，成员推断攻击AUC为0.52，下游TSTR AUROC为0.786，比非私有的TRTR上界0.821低4.2%，临床有效性得分0.961。
深度剖析
合成电子健康记录现在可以同时带上形式化隐私保证和较高的临床有效性，而不必只在两者中选一个。 此前的合成路线要么牺牲临床保真度，要么不提供形式化隐私保证；在同等隐私预算下，DP感知基线中临床有效性最高的是DP-VAE-EHR的0.873。 在MIMIC-IV上、ε=8、δ=10⁻⁵、5个随机种子的条件下，SynthEHR-DP的临床有效性得分为0.961±0.003，比所有DP感知基线高出至少8.8个百分点，作者报告该差异在自助法重采样下p<0.05。
隐私一侧的表现接近随机猜测，说明训练时的差分隐私约束在经验攻击下确实起了作用。 不带隐私约束的medGAN在同一数据上成员推断AUC为0.68±0.02，而理想值是0.50。 SynthEHR-DP的成员推断AUC为0.52±0.01，TPR@1%FPR为1.2±0.1%；同一张表里AIM的AUC为0.51±0.01，作者把0.01的差距视为测量噪声量级。
生成过程分四步：先把异构静态特征压成统一嵌入，再把时间序列压成上下文向量，然后在加噪梯度下训练条件变分自编码器，最后在推理时修正输出。 混合类型编码器把超过10000维的ICD-10独热空间压到256维，从而降低梯度敏感度，也就降低了给定ε所需的噪声。 消融实验显示，去掉混合类型编码器后TSTR AUROC从0.786降到0.761，去掉时间Transformer编码器后降到0.744，去掉临床约束层后临床有效性从0.961降到0.872。
隐私预算按阶段分配：编码器预训练用公开本体数据，不消耗预算；编码器微调与主模型联合训练分别计入ε₁=2和ε₂=6。 临床约束层在生成之后施加，只使用聚合共现边际，因此不占用隐私预算。 在eICU上训练、不重新训练直接到MIMIC-IV上评估时，TSTR AUROC为0.764，比同分布结果低2.8%，临床有效性为0.948。
启示与展望
演示范围限于结构化电子健康记录，即表格与时间序列特征，不含自由文本临床记录；评估在MIMIC-IV与eICU上进行，总隐私预算为ε=8、δ=10⁻⁵。作者提出把框架扩展到自由文本、联邦多站点训练，以及借助公开数据预训练在更紧预算下提升效用。
作者指出部分从业者认为医疗场景可接受的ε在1到3之间，而在ε=1时TSTR AUROC降到约0.72；临床有效性得分只覆盖五类规则，部署级评估仍以临床专家审阅为准；序列截断到48个事件可能不足以代表住院超过7天的患者；差分隐私机制对罕见病症的统计保真度下降更明显，少数表型可能被低估。