[논문 리뷰] Identify Susceptible Locations in Medical Records via Adversarial Attacks on Deep Predictive Models

Mengying Sun, Fengyi Tang외 3명|arXiv (Cornell University)|2018. 02. 13.

Machine Learning in Healthcare참고 문헌 36인용 수 7

한 줄 요약

이 논문은 깊이 학습 기반의 예측 모델에서의 취약점을 악용하여 전자 건강 기록(EHR) 내 취약한 위치를 특정하는 적대적 공격 프레임워크를 제안한다. 시간 우선 순서를 고려한 희박한 적대적 페르튜베이션을 생성함으로써, 잘못 기록되었을 경우 잘못 분류될 가능성이 가장 높은 임상 측정치를 특정한다. 이는 3% 미만의 기록만 변경해도 최소한의 페르튜베이션으로 50% 이상의 환자를 오도할 수 있음을 보여준다.

ABSTRACT

The surging availability of electronic medical records (EHR) leads to increased research interests in medical predictive modeling. Recently many deep learning based predicted models are also developed for EHR data and demonstrated impressive performance. However, a series of recent studies showed that these deep models are not safe: they suffer from certain vulnerabilities. In short, a well-trained deep network can be extremely sensitive to inputs with negligible changes. These inputs are referred to as adversarial examples. In the context of medical informatics, such attacks could alter the result of a high performance deep predictive model by slightly perturbing a patient's medical records. Such instability not only reflects the weakness of deep architectures, more importantly, it offers guide on detecting susceptible parts on the inputs. In this paper, we propose an efficient and effective framework that learns a time-preferential minimum attack targeting the LSTM model with EHR inputs, and we leverage this attack strategy to screen medical records of patients and identify susceptible events and measurements. The efficient screening procedure can assist decision makers to pay extra attentions to the locations that can cause severe consequence if not measured correctly. We conduct extensive empirical studies on a real-world urgent care cohort and demonstrate the effectiveness of the proposed screening approach.

연구 동기 및 목표

• 깊이 학습 모델이 EHR 예측 시스템에서 작은 입력 페르튜베이션으로 인해 예측이 극적으로 변화할 수 있는 취약성을 해결하기 위해.
• EHR 내 특정 임상 측정치와 시간 포인트가 적대적 페르튜베이션에 가장 취약한지를 특정하기 위해.
• 순차적인 EHR 데이터에 특화된 효율적이고 희박하며 시간 우선 순서를 고려한 적대적 공격 방법을 개발하기 위해.
• 개별 환자 및 인구 집단 수준에서의 취약도 점수를 도입하여 임상 주의 집중과 모니터링 빈도를 안내하기 위해.
• 실제 응급 간호 데이터(MIMIC-III)를 사용하여 공격의 효과성을 평가하고, 희박한 적대적 공격를 평가하기 위한 새로운 지표를 제안하기 위해.

제안 방법

• EHR 시퀀스에 최소한의 페르튜베이션을 생성하기 위해 반복 최적화 기반의 희박한 적대적 공격 프레임워크를 개발한다.
• 최근 시간 단계를 우선순위로 하는 시간 우선 전략을 구현하여, 임상적 관련성을 반영한다.
• LSTM 기반 예측 모델에서 오분류 성공률을 극대화하면서도 페르튜베이션 크기를 최소화하기 위해 제약 조건이 있는 최적화 접근법을 사용한다.
• 환자 전체에 걸쳐 계산된 각 시간 단계에서의 기능별 취약도 점수를 도입하여 고위험 측정치를 식별한다.
• 공격 효율성을 평가하기 위해 희박성과 페르튜베이션 크기를 통합한 새로운 평가 지표를 제안한다.
• 실제 MIMIC-III EHR 데이터에 공격를 적용하여 적대적 예시를 생성하고, 인구 집단 수준의 취약성 핫스팟을 도출한다.

실험 결과

연구 질문

• RQ1 깊이 학습 예측 모델에서 EHR 내 어떤 임상 측정치와 시간 포인트가 작은 적대적 페르튜베이션에 가장 취약한가?
• RQ2 시간에 따라 민감도가 변화하는 순차적이고 이질적인 EHR 데이터에 대해 적대적 공격를 어떻게 효율적으로 맞춤화할 수 있는가?
• RQ3 적대적 공격 패턴은 개인 환자 및 인구 집단 수준에서 임상적으로 의미 있는 취약도 점수를 드러낼 수 있는가?
• RQ4 EHR 내 공격 성공률, 희박성, 페르튜베이션 크기 사이의 상호 교환 관계는 어떠한가?
• RQ5 취약도 점수는 최적의 임상 모니터링 및 진단 검사 빈도를 안내하는 데 어떻게 활용될 수 있는가?

주요 결과

• MIMIC-III 코hort의 50% 이상 환자들이 EHR 기록의 3% 미만만 훼손해도 성공적으로 잘못 분류될 수 있다.
• 성공적인 공격를 위해 필요한 평균 페르튜베이션 크기는 0.02 이하로, 이는 모델이 작은 변화에 매우 민감함을 시사한다.
• 결정 경계 근처에 있는 환자들에 대해 최대 페르튜베이션 임계값이 상당히 낮게 나타나, 모델의 불확실성이 높음을 나타낸다.
• 페르튜베이션 격자에서의 핫스팟 영역—즉, 높은 취약도를 나타내는 영역—은 특히 최근에 측정된 맥박, 체온, 혈압 등의 생체 징후 및 CMP와 같은 검사 결과와 상관관계가 있다.
• 1에서 0으로의 공격 방향(예: 고위험 예측에서 저위험 예측으로의 전환)은 반대 방향보다 더 어려운데, 이는 모델의 결정 경계에 비대칭적인 취약성이 있음을 시사한다.
• 취약도 점수는 CMP와 같이 비용이 많이 드는 검사의 샘플링 빈도 조정을 도와줄 수 있으며, 이는 위험 예측 정확도를 유지하면서 비용을 절감할 수 있다.