《Data Science and Engineering》：VFCI: A Federated Framework for Vertical Causal Inference
编辑推荐：
因果推断（Causal Inference, CI）对于理解因果与效应之间的关系至关重要，并广泛应用于医学和政策决策等领域。当输入数据分布在多个参与方时，大多数因果推断模型需要将数据集中聚合。然而，由于数据保护法规和隐私顾虑，参与方通常被禁止或不愿共享敏感数据
因果推断（Causal Inference, CI）对于理解因果与效应之间的关系至关重要，并广泛应用于医学和政策决策等领域。当输入数据分布在多个参与方时，大多数因果推断模型需要将数据集中聚合。然而，由于数据保护法规和隐私顾虑，参与方通常被禁止或不愿共享敏感数据。为解决这一问题，联邦学习（Federated Learning, FL）被提出以隐私保护的方式执行数据分析。具体而言，垂直联邦学习（Vertical Federated Learning, VFL）是其一个子类别，其中参与方拥有相同的实例集合但不同的特征空间。当因果推断与垂直联邦学习相遇时，产生了一个新主题：如何在保护数据隐私的同时，从多源垂直分布数据中执行因果推断？本文提出一个通用框架，称为VFCI，用于垂直联邦因果推断（Vertical Federated Causal Inference）。研究人员设计了一个通用工作流，利用三阶段拆分机制（three-phase split mechanism）安全地训练传统因果推断模型。基于该通用工作流，研究人员进一步展示了如何实例化更复杂的因果推断模型，例如两阶段方法（two-stage approaches）。此外，研究人员对该框架的安全性进行了全面分析。大量实验结果验证了VFCI在不同工作负载下的有效性和效率。
因果推断（Causal Inference, CI）旨在基于效应发生条件识别因果关系，在医学、金融和政策决策等领域具有重要作用。其基本问题之一是治疗效应估计；观察数据存在选择偏差（selection bias），即混杂因素（confounders）可能同时影响治疗分配和结局，调整变量（adjustment variables）则只影响结局。现有因果推断方法多假设数据集中可用，但实际观测数据常分布于不同组织，隐私法规和机构政策常禁止直接共享数据。联邦学习（Federated Learning, FL）允许在不集中原始数据的情况下协同训练模型，并可结合差分隐私（Differential Privacy, DP）、同态加密（Homomorphic Encryption, HE）和安全多方计算（Secure Multi-party Computation, SMC）等技术。按数据分布，FL可分为水平和垂直设置；垂直联邦学习（Vertical Federated Learning, VFL）中参与方拥有相同实例但不同特征子集。垂直联邦因果推断（Vertical Federated Causal Inference, VFCI）关注协变量垂直划分、标签所有者持有治疗T和结局Y的场景。其挑战包括：原始特征和标签敏感，训练中交换的中间消息也可能泄漏信息；垂直因果模型训练需要反复通信，效率重要；因果模型架构和训练流程多样，框架需支持端到端模型和两阶段估计器等异构模型。已有Vinh Vo et al.的FedCI、Han et al.的异质数据加权方法和Xiong et al.的个体统计聚合估计器等工作主要研究水平联邦因果推断，垂直联邦因果推断研究仍较少。因此，研究人员提出VFCI通用框架，采用拆分学习（split learning）避免发送本地敏感数据，设计三阶段拆分机制安全训练传统因果推断模型，并扩展到两阶段方法；同时进行安全分析和多工作负载实验。其意义在于在保护数据隐私的同时联合分布式协变量估计治疗效应，并支持异构因果模型的安全与效率评估。
关键技术方法（不超过250字）：VFCI采用拆分学习架构，各客户端持有bottom模型，服务器持有middle模型，标签所有者持有top模型，并通过RPC（Remote Procedure Call）通信；三阶段拆分将标签相关头和损失评估放在标签所有者端以降低标签泄漏；默认使用TLS（Transport Layer Security）保护通信，并提供HE实现。研究以DragonNet和DCN-PD实例化端到端与两阶段模型，在IHDP（半合成数据，747个实例、25个特征）和ACIC 2018（源自LBIDD，随机选取3个规模10k、177个特征的数据集）上按特征垂直划分2个和4个分区，按80%/20%划分训练集和测试集，比较Local、Central和SplitNN（two-phase）基线，并使用均方误差（Mean Square Error, MSE）、∈
PEHE、∈
ATE、标签推断攻击、客户端数量和运行时间进行评估。
6.2 Performance on DragonNet and DCN-PD：在两种分区策略下，DragonNet和DCN-PD的MSE、∈
PEHE和∈
ATE结果表明，VFCI的指标接近Central方法，误差明显小于Local方法；与两阶段SplitNN消融相比，在相同模型容量和训练设置下，VFCI取得可比的因果估计精度，同时具有更严格的隐私边界。结果还反映两种实例化的不同适用情形：DragonNet为端到端模型，更适合表示学习关键且数据充足的场景；DCN-PD为两阶段设计，在阶段式训练带来更稳定倾向评分估计并提高选择偏差下鲁棒性时更可取。
6.3 Performance under Label Inference Attack：研究考虑基于logits的攻击和基于梯度的攻击，并报告复合攻击准确率及攻击优势。在诚实但好奇（honest-but-curious, HBC）服务器下，三阶段VFCI降低标签泄漏：与两阶段SplitNN相比，复合攻击准确率从0.9716降至0.7506，攻击优势从0.9432降至0.5012。该改善主要来自VFCI的协议边界，即标签相关头和损失评估保留在标签所有者端，服务器不观察logits或最后层梯度等常含高度标签信息的数据。
6.4 Effect of the Number of Clients：研究将数据集划分为八部分，随机选择1、2、4、6、8个客户端参与训练，并在DCN-PD和DragonNet上运行VFCI。观察到随着客户端数量增加，三项指标均下降，模型更准确，验证了联邦学习的价值，即引入更多数据源有益于训练模型。
6.5 Scalability Evaluation：研究通过变化客户端数量评估可扩展性并报告每epoch运行时间；运行时间随客户端增加而增加，原因包括通信量和同步开销上升。TLS与HE比较显示，TLS保护传输数据，适合主要关注外部窃听且服务器可在HBC模型下明文处理中间张量的情形；在IHDP与DragonNet上，客户端从2增至8时TLS产生1.31×减慢，主要来自通信开销；HE使中间激活和梯度对计算主机保密，但增加大量计算成本，且随客户端增加重复加解密使差距扩大。因此，建议默认使用TLS，仅在需要更强保护时使用HE。三阶段拆分与部分参与、有界陈旧或异步更新等缓解同步瓶颈的标准技术正交，可在不改变隐私边界的情况下集成。
讨论与结论：安全分析在HBC服务器和HBC客户端假设下进行，并考虑服务器与部分客户端合谋及客户端间合谋；外部窃听和链路篡改可由TLS等安全通道缓解，需要密文域保护中间消息时可使用HE。VFCI不共享原始特征或标签；服务器和其他客户端仅观察中间激活和梯度，减少原始特征直接暴露，但中间消息仍可能携带信息并成为重构攻击目标。标签隐私方面，两阶段SplitNN将标签相关头和损失侧张量暴露给服务器，扩大标签攻击面；三阶段拆分将标签相关头和损失评估保留在标签所有者端，使服务器不观察logits或最后层梯度，但反向传播的中间消息仍可能泄漏标签相关信息，因此不声称完美标签隐私；更强防御可集成激活或梯度扰动、梯度裁剪及中间张量安全计算。数据保护技术比较中，DP引入噪声并存在保护与聚合准确性权衡；SMC可保证聚合正确，但大规模联盟协议复杂、通信和计算成本高、对客户端掉线敏感且需针对算子专门设计；HE支持密文运算并保证聚合正确性，但需额外加解密成本；TLS效率更高。VFCI默认采用TLS，也提供HE实现。结论翻译：本文提出VFCI，一种用于垂直联邦因果推断的通用框架。研究人员用VFCI实例化通用训练工作流，该工作流采用拆分学习策略和数据加密工具保护数据隐私。与传统拆分学习方法不同，研究人员提出三阶段拆分策略以保护标签隐私。将通用工作流视为oracle，研究人员进一步展示如何支持更复杂的因果推断模型。此外，研究人员仔细分析所提方法的数据保护能力。研究人员在不同工作负载上开展大量实验，以评估所提框架的有效性和效率。
