[論文レビュー] Adversarial Examples for Electrocardiograms

Xintian Han, Yuxuan Hu+4 more|arXiv (Cornell University)|May 13, 2019

Cardiac electrophysiology and arrhythmias参考文献 19被引用数 4

ひとこと要約

本稿では、心電図専門医が識別できないがディープニューラルネットワークによって誤分類される、滑らかで生理学的に妥当な敵対的例を単一誘導心電図に対して生成する手法を提案する。時間的平滑化と摂動技術を適用することで、著者らは74%の成功率で最先端のモデルをだます敵対的心電図を生成した。これは、このような攻撃がまれなケースではなく、実世界の心電図ベースの医療AIシステムに顕著なリスクをもたらすことを示している。

ABSTRACT

In recent years, the electrocardiogram (ECG) has seen a large diffusion in both medical and commercial applications, fueled by the rise of single-lead versions. Single-lead ECG can be embedded in medical devices and wearable products such as the injectable Medtronic Linq monitor, the iRhythm Ziopatch wearable monitor, and the Apple Watch Series 4. Recently, deep neural networks have been used to automatically analyze ECG tracings, outperforming even physicians specialized in cardiac electrophysiology in detecting certain rhythm irregularities. However, deep learning classifiers have been shown to be brittle to adversarial examples, which are examples created to look incontrovertibly belonging to a certain class to a human eye but contain subtle features that fool the classifier into misclassifying them into the wrong class. Very recently, adversarial examples have also been created for medical-related tasks. Yet, traditional attack methods to create adversarial examples, such as projected gradient descent (PGD) do not extend directly to ECG signals, as they generate examples that introduce square wave artifacts that are not physiologically plausible. Here, we developed a method to construct smoothed adversarial examples for single-lead ECG. First, we implemented a neural network model achieving state-of-the-art performance on the data from the 2017 PhysioNet/Computing-in-Cardiology Challenge for arrhythmia detection from single lead ECG classification. For this model, we utilized a new technique to generate smoothed examples to produce signals that are 1) indistinguishable to cardiologists from the original examples and 2) incorrectly classified by the neural network. Finally, we show that adversarial examples are not unique and provide a general technique to collate and perturb known adversarial examples to create new ones.

研究の動機と目的

• 心電図専門医にとって本物の心電図と区別がつかない生理学的に妥当な敵対的例を単一誘導心電図に対して生成する手法を開発すること。
• PGDのような従来の敵対的攻撃手法に起因する、実際の心電図に見られない正方形波アーチファクトの問題を解決すること。
• 心電図分類における敵対的例が孤立した事例ではなく、連続的かつ広範な摂動空間に属することを示すこと。
• 微細で現実的な摂動に対して、深層学習モデルの心電図リズム分類における耐性を調査すること。
• 既存の敵対的例から新たな敵対的例を生成する技術を検討し、こうした攻撃の広範性と一般化可能性を強化すること。

提案手法

• 2017年PhysioNet/CinCチャレンジデータセットで訓練された13層の畳み込みニューラルネットワークをターゲットモデルとして用い、テストデータで88%の正答率と87%のF1スコアを達成した。
• 敵対的摂動に対して、隣接する時間ステップの重み付き平均をとる新しい平滑化技術を適用し、正方形波アーチファクトを排除し、生理学的妥当性を確保した。
• 信号の連続性を保ち、自然な心電図の変動を模倣するように、信号連続性を維持する修正された敵対的攻撃を用いて敵対的例を生成した。
• 著者らは、各敵対的例の周囲に摂動帯を導入し、ランダムサンプリング、連結、ガウスノイズ注入を用いて新たな敵対的例を生成した。
• 信号連結とノイズ注入を含む複数のデータ拡張戦略を用い、1つの基本摂動から多様な敵対的例を生成した。
• 臨床医による検証として、専門家が250組のオリジナルと敵対的心電図を評価し、知覚的同一性を確認した。

実験結果

リサーチクエスチョン

• RQ1 単一誘導心電図に対して、生理学的に妥当でかつ心電図専門医に検出されない敵対的例を生成できるか？
• RQ2 PGDのような従来の敵対的攻撃手法は、心電図信号に不適切なアーチファクトを生じさせるか？
• RQ3 敵対的心電図の空間は疎か密集か？また、既存の例から信頼性高く新たな敵対的例を生成できるか？
• RQ4 ノイズや構造的変更を加えても、敵対的例はどの程度効果を保つのか？
• RQ5 敵対的脆弱性は、特にウェアラブルおよびインプラント可能なデバイスに実用化されるAIの心電図解析にどのような意味を持つのか？

主な発見

• 提案手法により、心電図専門医が識別不能な敵対的心電図が生成され、250組中246.5組が臨床医によって同一と判定された。
• 深層ニューラルネットワークは74%の敵対的例を誤分類した。これは、摂動が滑らかで現実的であるにもかかわらず、攻撃の成功率が非常に高いことを示している。
• ガウスノイズ注入に対しても敵対的例は耐性を示し、1,000回のノイズ実装後も87.6%の例が依然として誤分類された。
• 異なる敵対的例の信号半分を連結することで新たな敵対的例が得られ、攻撃の連続的かつ密集した空間が存在することを確認した。
• 摂動帯内でのランダムサンプリングによっても新たな敵対的例が生成された。これは、敵対的例が孤立した異常ではなく、広範かつ再現可能な現象の一部であることを裏付けた。
• 本研究は、現在の心電図分類用深層学習モデルが微細で現実的な摂動に対して脆弱であることを明らかにした。これは、ウェアラブルおよびインプラント可能なデバイスにおける安全性が求められる応用分野において深刻な懸念を喚起する。