[论文解读] Adversarial Examples for Electrocardiograms

Xintian Han, Yuxuan Hu+4 more|arXiv (Cornell University)|May 13, 2019

Cardiac electrophysiology and arrhythmias参考文献 19被引用 4

一句话总结

本文提出了一种方法，用于生成平滑、生理上合理的对抗性单导联心电图（ECG），这些心电图对心脏病专家而言无法辨别，却能被深度神经网络错误分类。通过应用时间平滑和扰动技术，作者生成的对抗性心电图在74%的案例中成功欺骗了最先进模型，表明此类攻击并非罕见，且对现实世界中的基于心电图的医疗人工智能系统构成重大风险。

ABSTRACT

In recent years, the electrocardiogram (ECG) has seen a large diffusion in both medical and commercial applications, fueled by the rise of single-lead versions. Single-lead ECG can be embedded in medical devices and wearable products such as the injectable Medtronic Linq monitor, the iRhythm Ziopatch wearable monitor, and the Apple Watch Series 4. Recently, deep neural networks have been used to automatically analyze ECG tracings, outperforming even physicians specialized in cardiac electrophysiology in detecting certain rhythm irregularities. However, deep learning classifiers have been shown to be brittle to adversarial examples, which are examples created to look incontrovertibly belonging to a certain class to a human eye but contain subtle features that fool the classifier into misclassifying them into the wrong class. Very recently, adversarial examples have also been created for medical-related tasks. Yet, traditional attack methods to create adversarial examples, such as projected gradient descent (PGD) do not extend directly to ECG signals, as they generate examples that introduce square wave artifacts that are not physiologically plausible. Here, we developed a method to construct smoothed adversarial examples for single-lead ECG. First, we implemented a neural network model achieving state-of-the-art performance on the data from the 2017 PhysioNet/Computing-in-Cardiology Challenge for arrhythmia detection from single lead ECG classification. For this model, we utilized a new technique to generate smoothed examples to produce signals that are 1) indistinguishable to cardiologists from the original examples and 2) incorrectly classified by the neural network. Finally, we show that adversarial examples are not unique and provide a general technique to collate and perturb known adversarial examples to create new ones.

研究动机与目标

• 开发一种生成单导联心电图对抗性样本的方法，使其在生理上合理且对人类专家而言与真实心电图无法区分。
• 解决传统对抗性攻击方法（如PGD）产生的方波伪影问题，这些伪影在真实心电图中并不存在。
• 证明心电图分类中的对抗性样本并非孤立案例，而是属于更广泛、连续的扰动空间的一部分。
• 研究深度学习模型在心电图心律分类任务中，面对细微、逼真的扰动时的鲁棒性。
• 探索从现有对抗性样本生成新对抗性样本的技术，以强化此类攻击的普遍性和可泛化性。

提出的方法

• 使用在2017年PhysioNet/CinC挑战赛数据集上训练的13层卷积神经网络作为目标模型，在测试数据上达到88%的准确率和87%的F1分数。
• 通过在相邻时间步上取加权平均，对对抗性扰动应用了一种新颖的平滑技术，消除了方波伪影，确保了生理上的合理性。
• 采用经过修改的对抗性攻击方法生成对抗性样本，以保持信号连续性并模拟自然心电图的变异性。
• 作者在每个对抗性样本周围引入了一个扰动带，通过随机采样、拼接和高斯噪声注入，从该带中生成新的对抗性样本。
• 使用多种数据增强策略，包括信号拼接和噪声注入，从单一基础扰动生成多样化的对抗性样本。
• 通过让专家评估250对原始与对抗性心电图，完成了临床医生验证，以确认其感知上的不可区分性。

实验结果

研究问题

• RQ1 能否为单导联心电图生成既生理上合理又对人类心脏病专家无法察觉的对抗性样本？
• RQ2 传统对抗性攻击方法（如PGD）是否会产生使它们不适用于心电图信号的伪影？
• RQ3 对抗性心电图的空间是稀疏还是密集的？能否从现有样本中可靠地生成新的对抗性样本？
• RQ4 对抗性样本在噪声和结构修改下仍有多大概率保持有效性？
• RQ5 对抗性脆弱性对人工智能在心电图分析中实际部署（尤其是可穿戴和植入式设备）有何影响？

主要发现

• 所提出的方法成功生成了对心脏病专家而言与原始心电图无法区分的对抗性心电图，临床医生在250对中正确识别出246.5对为匹配。
• 深度神经网络将74%的对抗性样本错误分类，表明尽管扰动平滑且逼真，攻击仍具有很高的成功率。
• 在注入高斯噪声后，对抗性样本仍保持鲁棒性，1,000次噪声实现后仍有87.6%的样本被错误分类。
• 将不同对抗性样本的信号半段拼接可生成新的对抗性样本，证实了此类攻击存在连续且密集的空间。
• 在扰动带内进行随机采样也生成了新的对抗性样本，进一步证明对抗性样本并非孤立异常，而是广泛存在且可复现的现象。
• 本研究揭示，当前用于心电图分类的深度学习模型对细微、逼真的扰动具有脆弱性，这在可穿戴和植入式设备等关键安全应用场景中引发了严重担忧。