[论文解读] Improve robustness of DNN for ECG signal classification:a noise-to-signal ratio perspective

Linhai Ma, Liang Liang|arXiv (Cornell University)|May 18, 2020

Adversarial Robustness in Machine Learning参考文献 12被引用 4

一句话总结

本文提出两种新型损失函数，通过在训练过程中降低噪声对信号比（NSR），提升深度神经网络（DNNs）在心电图（ECG）信号分类任务中的对抗鲁棒性。通过在损失函数中引入正则化项以最小化NSR，该方法在不降低干净数据准确率的前提下，增强了对PGD和SPSA对抗攻击的鲁棒性，其中loss2在MLP和CNN架构上均优于标准对抗训练与雅可比正则化方法，基于MIT-BIH心电图数据集。

ABSTRACT

Electrocardiogram (ECG) is the most widely used diagnostic tool to monitor the condition of the cardiovascular system. Deep neural networks (DNNs), have been developed in many research labs for automatic interpretation of ECG signals to identify potential abnormalities in patient hearts. Studies have shown that given a sufficiently large amount of data, the classification accuracy of DNNs could reach human-expert cardiologist level. A DNN-based automated ECG diagnostic system would be an affordable solution for patients in developing countries where human-expert cardiologist are lacking. However, despite of the excellent performance in classification accuracy, it has been shown that DNNs are highly vulnerable to adversarial attacks: subtle changes in input of a DNN can lead to a wrong classification output with high confidence. Thus, it is challenging and essential to improve adversarial robustness of DNNs for ECG signal classification, a life-critical application. In this work, we proposed to improve DNN robustness from the perspective of noise-to-signal ratio (NSR) and developed two methods to minimize NSR during training process. We evaluated the proposed methods on PhysionNets MIT-BIH dataset, and the results show that our proposed methods lead to an enhancement in robustness against PGD adversarial attack and SPSA attack, with a minimal change in accuracy on clean data.

研究动机与目标

• 解决DNN在生命关键性心电图分类任务中对对抗攻击的脆弱性。
• 在不牺牲干净数据准确率的前提下，提升对白盒（PGD）与黑盒（SPSA）对抗攻击的鲁棒性。
• 提出一种基于噪声对信号比（NSR）最小化的新型训练范式，以增强DNN鲁棒性。
• 在多种攻击场景下，于PhysioNet MIT-BIH心律失常心电图数据集上评估所提方法。

提出的方法

• 提出两种新型损失函数loss1与loss2，通过引入正则化项在DNN训练过程中最小化噪声对信号比（NSR）。
• loss1通过惩罚网络在干净输入与对抗输入下输出的L2范数差异，降低NSR。
• loss2在L2损失基础上增加基于边距的正则化，进一步约束网络对对抗扰动的敏感性。
• 训练所用对抗样本通过PGD生成，迭代10步，噪声水平ε = 0.1, 0.2, 0.3。
• 模型使用Adamax优化器训练，固定初始学习率为0.001，批量大小为128。
• 通过过采样处理类别不平衡问题，确保训练集与测试集中各类别表示均衡。

实验结果

研究问题

• RQ1 在训练过程中降低噪声对信号比（NSR）是否能提升DNN在心电图分类任务中的对抗鲁棒性？
• RQ2 基于NSR的正则化方法与标准对抗训练及雅可比正则化相比，在抵抗PGD与SPSA攻击方面表现如何？
• RQ3 所提方法在提升鲁棒性的同时，是否能保持对干净心电图数据的高分类准确率？
• RQ4 在不同网络架构下，所提两种损失函数（loss1与loss2）中哪一种能实现更优的鲁棒性？

主要发现

• 在MIT-BIH心电图数据集上，loss2方法在CNN架构下于ε = 0.1的100-PGD攻击下达到最高测试准确率（71%）与精确率（78%）。
• 对于MLP模型，loss2在相同PGD攻击下实现61%准确率与64%精确率，优于所有基线方法，包括ε = 0.2与ε = 0.3的10-PGD对抗训练。
• 在MLP与CNN模型上，loss2方法在白盒（PGD）与黑盒（SPSA）攻击下，均显著优于标准对抗训练（10-PGD）与雅可比正则化方法。
• 所提方法保持了高干净数据准确率，与标准交叉熵训练相比性能下降极小，表明其在不引入性能权衡的前提下实现鲁棒性增强。
• 消融实验确认，loss1与loss2均对鲁棒性有贡献，其中loss2在各类攻击类型与网络架构中展现出更优的泛化能力。