[論文レビュー] Adaptive Adversarial Training to Improve Adversarial Robustness of DNNs for Medical Image Segmentation and Detection

Linhai Ma, Liang Liang|arXiv (Cornell University)|Jun 2, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、医療画像分類、ランドマーク検出、オブジェクト検出の分野において、クリーンデータの精度を損なうことなく耐性を向上させるために、トレーニング中にサンプル固有の adversarial ノイズを生成する新しい手法である Adaptive-Margin Adversarial Training (AMAT) を提案する。AMAT は、標準的な adversarial training (SAT) よりも耐性とクリーンデータ精度の両方を上回りつつ、類似したトレーニング効率を維持する。

ABSTRACT

It is known that Deep Neural networks (DNNs) are vulnerable to adversarial attacks, and the adversarial robustness of DNNs could be improved by adding adversarial noises to training data (e.g., the standard adversarial training (SAT)). However, inappropriate noises added to training data may reduce a model's performance, which is termed the trade-off between accuracy and robustness. This problem has been sufficiently studied for the classification of whole images but has rarely been explored for image analysis tasks in the medical application domain, including image segmentation, landmark detection, and object detection tasks. In this study, we show that, for those medical image analysis tasks, the SAT method has a severe issue that limits its practical use: it generates a fixed and unified level of noise for all training samples for robust DNN training. A high noise level may lead to a large reduction in model performance and a low noise level may not be effective in improving robustness. To resolve this issue, we design an adaptive-margin adversarial training (AMAT) method that generates sample-wise adaptive adversarial noises for robust DNN training. In contrast to the existing, classification-oriented adversarial training methods, our AMAT method uses a loss-defined-margin strategy so that it can be applied to different tasks as long as the loss functions are well-defined. We successfully apply our AMAT method to state-of-the-art DNNs, using five publicly available datasets. The experimental results demonstrate that: (1) our AMAT method can be applied to the three seemingly different tasks in the medical image application domain; (2) AMAT outperforms the SAT method in adversarial robustness; (3) AMAT has a minimal reduction in prediction accuracy on clean data, compared with the SAT method; and (4) AMAT has almost the same training time cost as SAT.

研究の動機と目的

• 医療画像解析タスク（セグメンテーション、ランドマーク検出、オブジェクト検出など）における adversarial 耐性とクリーンデータ精度のトレードオフを解消すること。
• すべてのトレーニングサンプルに同じノイズレベル ε を適用する標準的な adversarial training (SAT) の制限を克服すること。この方法では、クリーンまたは低ノイズデータで性能が低下する。
• タスクに依存しない、損失関数に基づくマージン戦略を提案し、モデルの不確実性と損失ダイナミクスに基づいて、各サンプルごとに適応的なノイズ生成を可能にすること。
• 5つの公開データセットを用いて、多様な医療画像処理タスクにおける AMAT の有効性を実証すること。
• SAT と同等のトレーニング時間で、耐性の向上を実現すること。

提案手法

• AMAT は、バックプロパゲーション中に損失値に基づいて、各トレーニングサンプルの摂動の大きさを動的に計算する損失に基づくマージン戦略を用いる。
• SAT がすべてのサンプルに固定された ε を適用するのに対し、AMAT は各サンプルの難易度に応じて適応的なノイズレベルを生成し、難易度の高いサンプルには強い摂動、簡単なサンプルには弱い摂動を適用する。
• モデルが高ノイズのサンプルに過剰適合しないように、損失勾配に応じて調整されるマージンを統合することで、耐性のある特徴を学習可能にする。
• 損失関数が微分可能で明確に定義されていれば、任意のディープラーニングモデルと互換性があるため、セグメンテーション、検出、ランドマーク定位のタスクに適用可能である。
• トレーニングの目的関数は、標準損失と adversarial 損失の組み合わせであり、adversarial ノイズは、損失値から計算されたサンプル固有の ε を用いた PGD 攻撃によって生成される。
• 適応的マージンは損失の大きさから導出され、損失が大きい（難易度が高い）サンプルにはより大きな摂動が与えられ、一般化性能と耐性の向上が図られる。

実験結果

リサーチクエスチョン

• RQ1 適応的 adversarial training は、クリーンデータの性能を低下させることなく、医療画像セグメンテーションにおける耐性を向上させることができるか？
• RQ2 医療画像解析タスクにおいて、サンプルごとの適応的ノイズレベルは、固定ノイズレベルに比べて優れているか？
• RQ3 提案された AMAT 法は、耐性とクリーンデータ精度の両方を向上させながら、トレーニング効率を維持できるか？
• RQ4 多様な adversarial 攻撃（例：PGD、IFGSM）の下で、AMAT は標準的な adversarial training (SAT) や標準モデル (STD) と比較して、複数の医療画像処理タスクで優れているか？
• RQ5 AMAT フレームワークは、セグメンテーション、ランドマーク検出、オブジェクト検出といった異なる医療画像解析タスクに一般化可能か？

主な発見

• AMAT は、すべてのテストタスクにおいて、クリーンデータおよびノイズありデータの両方で、平均相対誤差（MRE）が最低となり、SAT や STD モデルを上回った。
• BCCD データセットでは、AMAT はクリーンデータで mAP0.5:0.95 が 0.5989、平均ノイズありデータで 0.2262 を達成し、SAT1（0.5810 と 0.1709）および SAT15（0.2565 と 0.1320）を上回った。
• AMAT はクリーンデータでの性能をほぼ STD と同等に維持（例：mAP 0.5989 対 STD の 0.5993）しながら、耐性面で SAT モデルを大きく上回った。
• STD モデルは非常に小さなノイズレベル（例：IF.5 で 0.0005 mAP）においてほぼゼロの mAP に低下しており、微細な adversarial パーティクル摂動に対して極めて脆弱であることが示された。
• AMAT は SAT と比較してほとんどトレーニング時間のオーバーヘッドがなく、すべての実験でほぼ同等のトレーニングコストを維持した。
• セグメンテーションタスク（Heart、Hippocampus、Prostate）では、AMAT がクリーンデータの Dice スコアで標準モデル（STD）を上回った。これは、精度のトレードオフなしに耐性を達成可能であることを示している。