[论文解读] Out of Distribution Detection and Adversarial Attacks on Deep Neural Networks for Robust Medical Image Analysis

Anisie Uwimana, Ransalu Senanayake|arXiv (Cornell University)|Jul 10, 2021

COVID-19 diagnosis using AI被引用 9

一句话总结

本文提出了一种基于马氏距离的置信度分数，以增强深度学习模型在医学图像分析中的鲁棒性，特别是在疟原虫细胞分类任务中。通过利用预训练卷积神经网络中间层的特征激活，并计算样本特征到各类均值的马氏距离，该方法在ResNet-18和VGG-19模型上对分布外（OOD）样本及对抗样本的检测性能达到当前最先进水平，优于ODIN和LID基线方法，在多个指标上表现更优。

ABSTRACT

Deep learning models have become a popular choice for medical image analysis. However, the poor generalization performance of deep learning models limits them from being deployed in the real world as robustness is critical for medical applications. For instance, the state-of-the-art Convolutional Neural Networks (CNNs) fail to detect adversarial samples or samples drawn statistically far away from the training distribution. In this work, we experimentally evaluate the robustness of a Mahalanobis distance-based confidence score, a simple yet effective method for detecting abnormal input samples, in classifying malaria parasitized cells and uninfected cells. Results indicated that the Mahalanobis confidence score detector exhibits improved performance and robustness of deep learning models, and achieves stateof-the-art performance on both out-of-distribution (OOD) and adversarial samples.

研究动机与目标

• 通过检测分布外（OOD）和对抗样本等异常输入，提升深度神经网络在医学图像分析中的鲁棒性。
• 解决深度学习模型在真实世界医学应用中面临的关键局限，即分布偏移和对抗攻击可能导致不可靠预测。
• 评估并比较所提出的马氏距离置信度分数与当前最先进方法（ODIN和LID）在疟原虫细胞数据集上检测OOD和对抗样本的性能。
• 为临床环境中模型漏洞识别与部署安全性提供可靠的诊断框架。

提出的方法

• 该方法计算测试样本在预训练卷积神经网络选定中间层中的特征激活与各类均值之间的马氏距离。
• 对于每一层，马氏距离分数计算公式为 $ M_l( ilde{ extbf{x}}_*) = - (f( ilde{ extbf{x}}_*) - m{ ilde{oldsymbol{ u}}}_c)^T m{ ilde{oldsymbol{ u}}}_c^{-1} (f( ilde{ extbf{x}}_*) - m{ ilde{oldsymbol{ u}}}_c) $，其中 $ f( ilde{ extbf{x}}_*) $ 为特征向量，$ m{ ilde{oldsymbol{ u}}}_c $ 为类别均值。
• 最终置信度分数为各层分数的加权和：$ M^*( extbf{x}_*) = igsum_{l=1}^{L} m{ ilde{oldsymbol{ u}}}_l M_l( extbf{x}_*) $，其中层权重 $ m{ ilde{oldsymbol{ u}}}_l $ 在验证集上进行学习。
• 使用阈值 $ ho $ 对输入进行分类：若 $ M^*( extbf{x}_*) \geq \rho $，则判定为分布内样本，从而实现对OOD和对抗样本的检测。
• 对抗样本通过FGSM、BIM、DeepFool和CW攻击生成，噪声水平为 $ m{ ilde{oldsymbol{ u}}}_* $。
• 该方法在ResNet-18和VGG-19模型上进行评估，模型在包含13,779个感染细胞和13,779个未感染细胞的疟原虫细胞数据集上进行微调。

实验结果

研究问题

• RQ1 基于马氏距离的置信度分数能否有效检测医学图像分类中的分布外（OOD）样本？
• RQ2 所提出方法在多种攻击类型生成的对抗样本检测中，与当前最先进方法（如ODIN和LID）相比表现如何？
• RQ3 基于马氏距离的检测框架是否能提升预训练卷积神经网络（ResNet-18和VGG-19）在真实世界医学影像场景中的鲁棒性？
• RQ4 该方法在多种对抗攻击策略（FGSM、BIM、DeepFool、CW）下，检测性能是否保持较高水平？

主要发现

• 在VGG-19模型上，对于FGSM攻击，基于马氏距离的置信度分数在95%真正率（TPR）下实现了100.00%的真负率（TNR），优于LID方法的99.96% TNR。
• 在VGG-19模型上，对于CW攻击，马氏方法在95% TPR下达到98.11% TNR，而LID方法仅为75.93%。
• 在VGG-19模型上，FGSM攻击的AUROC达到99.98，显著高于LID的97.30和ODIN的97.30。
• 在DeepFool生成的对抗样本上，VGG-19模型中马氏方法在95% TPR下实现75.96% TNR，优于LID的74.48%。
• 在VGG-19模型上，FGSM攻击的检测准确率达到99.98%，超过LID的99.41%和ODIN的99.41%。
• 该方法在所有四种对抗攻击类型（FGSM、BIM、DeepFool、CW）下均表现出卓越的鲁棒性，在AUROC、TNR和检测准确率指标上持续优于LID和ODIN。