[論文レビュー] Identify Susceptible Locations in Medical Records via Adversarial Attacks on Deep Predictive Models

Mengying Sun, Fengyi Tang+3 more|arXiv (Cornell University)|Feb 13, 2018

Machine Learning in Healthcare参考文献 36被引用数 7

ひとこと要約

本論文は、深層LSTMベースの予測モデルにおける脆弱性を活用して、電子歴史記録（EHR）における脆弱な場所を特定する敵対的攻撃フレームワークを提案する。時間優先的でスパースな敵対的摂動を生成することで、記録が不正確な場合に誤分類を引き起こす可能性が最も高い臨床的測定値を特定し、わずか3％の記録をわずかな摂動で変更するだけで50％以上の患者をだますことが可能であることを示している。

ABSTRACT

The surging availability of electronic medical records (EHR) leads to increased research interests in medical predictive modeling. Recently many deep learning based predicted models are also developed for EHR data and demonstrated impressive performance. However, a series of recent studies showed that these deep models are not safe: they suffer from certain vulnerabilities. In short, a well-trained deep network can be extremely sensitive to inputs with negligible changes. These inputs are referred to as adversarial examples. In the context of medical informatics, such attacks could alter the result of a high performance deep predictive model by slightly perturbing a patient's medical records. Such instability not only reflects the weakness of deep architectures, more importantly, it offers guide on detecting susceptible parts on the inputs. In this paper, we propose an efficient and effective framework that learns a time-preferential minimum attack targeting the LSTM model with EHR inputs, and we leverage this attack strategy to screen medical records of patients and identify susceptible events and measurements. The efficient screening procedure can assist decision makers to pay extra attentions to the locations that can cause severe consequence if not measured correctly. We conduct extensive empirical studies on a real-world urgent care cohort and demonstrate the effectiveness of the proposed screening approach.

研究の動機と目的

• 深層学習モデルがEHR予測システムにおいて、わずかな入力摂動によって予測が著しく変化するという脆弱性に対処すること。
• EHRにおける特定の臨床的測定値と時間的ポイントが、敵対的摂動に対して最も感受性であるかを同定すること。
• 順序付けられたEHRデータに特化した、効率的でスパースかつ時間優先的な敵対的攻撃手法を開発すること。
• 個々の患者および集団レベルでの感受性スコアを導入し、臨床的注意とモニタリング頻度をガイドすること。
• 実際の救急ケアデータ（MIMIC-III）を用いて攻撃の有効性を評価し、スパースな敵対的攻撃を評価するための新しい指標を提案すること。

提案手法

• EHRシーケンスに対して最小摂動を生成するための反復的最適化に基づくスパースな敵対的攻撃フレームワークを開発する。
• 臨床的意義を反映するために、摂動の優先順位をシーケンス内の最近のタイムステップに置く時間優先戦略を実装する。
• LSTMベースの予測モデルにおける誤分類成功確率を最大化しつつ摂動の大きさを最小化する制約付き最適化アプローチを採用する。
• 患者全体にわたって計算された各タイムステップにおける特徴ごとの感受性スコアを導入し、高リスクの測定値を同定する。
• 攻撃の効率性を評価するため、スパarsityと摂動の大きさを組み合わせた新しい評価指標を提案する。
• 実際のMIMIC-III EHRデータに攻撃を適用し、敵対的例を生成するとともに、集団レベルでの感受性の高い領域（ホットスポット）を同定する。

実験結果

リサーチクエスチョン

• RQ1 深層予測モデルにおいて、EHRのどの臨床的測定値と時間的ポイントが、小さな敵対的摂動に対して最も感受性であるか。
• RQ2 時間依存的な感受性を有する、順序付けられた異種のEHRデータに対して、敵対的攻撃をどのように効率的に適合させられるか。
• RQ3 敵対的攻撃のパターンは、個々の患者および集団レベルで臨床的に意味のある感受性スコアを明らかにできるか。
• RQ4 EHRにおいて、攻撃成功率、スパarsity、摂動の大きさの間にはどのようなトレードオフがあるか。
• RQ5 感受性スコアは、最適な臨床的モニタリング頻度や診断検査頻度を決定するのにどのように活用できるか。

主な発見

• MIMIC-IIIコhortの50％以上が、記録のわずか3％の場所を摂動することで、正しく分類されなくなる。
• 攻撃に成功するための平均摂動の大きさは0.02未満であり、モデルが微小な変化に極めて感受性であることを示している。
• 意思決定境界に近い患者では、最大摂動閾値が顕著に低く、モデルの不確実性が高まっていることを示している。
• 摂動グリッドにおけるホットスポット（感受性が強い領域）は、特に最近測定された場合に、生命徴やCMPなどの検査項目と相関している。
• 1から0への攻撃方向（例：高リスクから低リスクへの予測変更）は、逆方向よりも困難であり、モデルの意思決定境界における非対称な感受性を示している。
• 感受性スコアは、CMPのような高コストな検査の採取頻度を調整するのを医師が支援でき、リスク予測の正確性を損なわずコスト削減が可能になる。