[논문 리뷰] Privacy-preserving Machine Learning for Medical Image Classification

Shreyansh Singh, K.K. Shukla|arXiv (Cornell University)|2021. 08. 29.

Privacy-Preserving Technologies in Data참고 문헌 27인용 수 4

한 줄 요약

이 논문은 흉부 X-ray를 이용한 폐렴 검출을 위한 암호화된 추론과 훈련을 가능하게 하는 프라이버시 보장 기계학습 프레임워크를 제안한다. 보안 다자간 계산(SMPC)과 차별적 프라이버시(DP)를 사용하여, 이는 의료 영상 분류에서 환자 데이터와 모델 예측의 기밀성을 유지한다. VGG16 모델은 전처리를 거친 경우 96.41%의 정확도를 달성했고, 평균 풀링을 사용한 경우 85.2%의 정확도를 기록했으며, DP 적용으로 인해 정확도가 약 10–13% 감소하는 것으로 나타나 프라이버시와 성능 사이의 상충 관계를 입증했다.

ABSTRACT

With the rising use of Machine Learning (ML) and Deep Learning (DL) in various industries, the medical industry is also not far behind. A very simple yet extremely important use case of ML in this industry is for image classification. This is important for doctors to help them detect certain diseases timely, thereby acting as an aid to reduce chances of human judgement error. However, when using automated systems like these, there is a privacy concern as well. Attackers should not be able to get access to the medical records and images of the patients. It is also required that the model be secure, and that the data that is sent to the model and the predictions that are received both should not be revealed to the model in clear text. In this study, we aim to solve these problems in the context of a medical image classification problem of detection of pneumonia by examining chest x-ray images.

연구 동기 및 목표

• 환자 데이터와 모델 예측이 모두 기밀 유지되어야 하는 의료 영상 분류에서 발생하는 프라이버시 리스크를 해결하기 위해.
• 원시 데이터나 예측 결과를 폭 lộ하지 않고도 암호화된 모델 추론을 가능하게 하기 위해 보안 다자간 계산(SMPC)을 구현하기 위해.
• 개인 환자 데이터를 보호하고 멤버십 추론 공격의 위험을 줄이기 위해 훈련 과정에 차별적 프라이버시(DP)를 통합하기 위해.
• 다양한 암호화 및 정규화 기법 하에서 모델 정확도와 프라이버시 간의 상충 관계를 평가하기 위해.
• 폐렴 검출을 넘어서도 적용 가능한 확장 가능한 프라이버시 보장 파이프라인을 개발하기 위해.

제안 방법

• 예측 과정 全 과정에서 모델과 데이터가 암호화된 상태를 유지하기 위해, SMPC 기반 추론을 구현하기 위해 텐서플로우 암호화(TFE)를 사용하였다.
• 두 가지 데이터 전처리 방법을 사용: 하나는 정규화와 데이터 증강을 포함하고, 다른 하나는 최소-최대 스케일링과 추가 증강을 통해 모델의 일반화 능력을 향상시키기 위한 것이다.
• SMPC로 암호화된 데이터를 사용해 딥 네트워크(DNN) 및 VGG16 모델을 훈련하였으며, 검증 정확도 최적화를 위해 모델 체크포인트와 조기 정지 기법을 적용하였다.
• 기울기 항목에 노이즈를 주입하여 훈련 중에 차별적 프라이버시를 적용하였으며, 정보 泄露 를 제어하기 위해 프라이버시 예산(ε)을 설정하였다.
• 다양한 에포크 수에 걸쳐 암호화 및 DP 훈련 설정 하에서 정확도, 교차 엔트로피 손실, 훈련 동역학을 평가하여 모델 성능을 평가하였다.
• TFE에서 지원하지 않는 레이어(예: 배치 정규화, 드롭아웃)를 피하기 위해 호환 가능한 레이어를 사용한 Keras 기반 모델을 사용하였다.

실험 결과

연구 질문

• RQ1 보안 다자간 계산(SMPC)은 원시 데이터나 모델 출력을 폭 lộ하지 않고도 의료 영상에 대한 프라이버시 보장 추론을 가능하게 하는가?
• RQ2 차별적 프라이버시가 의료 영상 분류에서 딥 러닝 모델의 정확도와 일반화 능력에 어떤 영향을 미치는가?
• RQ3 다양한 데이터 전처리 전략이 프라이버시 보장 환경에서 모델 성능에 어떤 영향을 미치는가?
• RQ4 모델 아키텍처와 풀링 방식(평균 풀링 대비 최대 풀링)이 암호화 및 DP 환경에서 정확도와 강건성에 어떤 영향을 미치는가?
• RQ5 실시간 의료 진단에 적용하기 위해 암호화된 딥 러닝 모델을 구현할 때 성능 저하 요인은 무엇인가?

주요 결과

• 두 번째 전처리 방법을 사용한 VGG16-2 모델이 가장 높은 정확도 96.41%를 기록하여 다른 모델들을 압도했다.
• DNN-Max 모델은 정확도 87.33%와 교차 엔트로피 손실 0.29를 기록하여 DNN-Av(정확도 85.2%, 손실 0.33)를 능가했다.
• 차별적 프라이버시를 적용한 훈련으로 인해 모델 정확도가 약 10–13% 감소했으며, DNN 모델에서 가장 큰 감소(13%)가 관찰되었고, VGG16 모델에서는 10–11%의 감소가 있었다.
• DP로 훈련한 VGG16-2 모델은 84.89%의 정확도를 기록하여 기대되는 프라이버시-성능 상충 관계를 확인했다.
• TF Encrypted를 사용한 SMPC 기반 추론은 깊이 있는 모델인 VGG16에 대해 특히 높은 지연 시간을 유발하여 실시간 배포에 어려움을 겪었다.
• TF Encrypted는 배치 정규화 및 드롭아웃과 같은 고급 Keras 레이어를 처리하는 데 한계를 보였으며, 이에 따라 모델 단순화 또는 커스텀 구현이 필요했다.