[论文解读] Privacy-preserving medical image analysis

Alexander Ziller, Jonathan Passerat‐Palmbach+9 more|arXiv (Cornell University)|Dec 10, 2020

Privacy-Preserving Technologies in Data参考文献 17被引用 7

一句话总结

本文提出 PriMIA，一个用于隐私保护医学影像分析的免费开源框架，采用安全联邦学习和端到端加密推理。该框架在儿科胸部X光片分类任务中表现优于人类专家，同时通过安全多方计算和对基于梯度的反演攻击的抵抗能力，保护患者数据和模型完整性。

ABSTRACT

The utilisation of artificial intelligence in medicine and healthcare has led to successful clinical applications in several domains. The conflict between data usage and privacy protection requirements in such systems must be resolved for optimal results as well as ethical and legal compliance. This calls for innovative solutions such as privacy-preserving machine learning (PPML). We present PriMIA (Privacy-preserving Medical Image Analysis), a software framework designed for PPML in medical imaging. In a real-life case study we demonstrate significantly better classification performance of a securely aggregated federated learning model compared to human experts on unseen datasets. Furthermore, we show an inference-as-a-service scenario for end-to-end encrypted diagnosis, where neither the data nor the model are revealed. Lastly, we empirically evaluate the framework's security against a gradient-based model inversion attack and demonstrate that no usable information can be recovered from the model.

研究动机与目标

• 解决大规模医学数据使用与人工智能驱动诊断中患者隐私之间的冲突。
• 开发一个安全、可扩展且具有临床相关性的隐私保护机器学习框架，用于医学影像。
• 在不共享原始患者数据的前提下，实现在不同机构间的联邦学习，确保符合伦理和法律标准。
• 提供端到端加密的推理即服务，保护数据和模型的机密性。
• 通过实证验证框架对基于梯度的模型反演攻击的防护能力。

提出的方法

• 扩展 PySyft/PyGrid 以支持医学影像工作负载，提供命令行界面用于分布式训练和推理。
• 实现安全多方计算（SMPC）以在联邦节点之间安全聚合模型更新。
• 基于本地数据集大小应用加权联邦平均，并支持本地早停以防止过拟合。
• 使用函数秘密共享实现端到端加密推理，确保数据和模型在明文形式下均不暴露。
• 引入跨机构的数据集统计信息（均值和标准差）的安全聚合，以提升模型泛化能力。
• 采用先进的密码学协议，防范数据重建攻击，包括基于梯度的反演攻击。

实验结果

研究问题

• RQ1 隐私保护的联邦学习框架是否能在未见过的儿科胸部X光片数据上实现优于人类专家的诊断性能？
• RQ2 该框架在抵抗试图从模型梯度中重建输入数据的模型反演攻击方面有多有效？
• RQ3 安全聚合在医学影像联邦学习设置中在多大程度上提升了模型更新的安全性？
• RQ4 端到端加密推理能否在不损害性能的前提下高效地应用于临床诊断？
• RQ5 在不同网络条件下，该框架的推理延迟与最先进的安全推理协议相比如何？

主要发现

• 经过安全聚合的联邦学习模型在两个独立测试集上的表现优于人类专家，分别在测试集1和测试集2上达到 Matthews 相关系数（MCC）0.62 和 0.58。
• 在测试集1上，模型的 AUC-ROC（类别加权平均）达到 0.85，显著优于人类阅片者（McNemar 检验，p < 0.05）。
• 该框架对基于梯度的模型反演攻击表现出强抵抗力，安全模型的均方误差（MSE）为 3.22 ± 1.41，FID 为 2651 ± 1293，显著高于非安全模型和本地训练模型（ANOVA 和 t 检验，p < 0.001）。
• 与 SecureNN 相比，推理延迟在 10ms 网络延迟下平均降低 35%，在 100ms 延迟下降低 47%，且具有统计显著性（p < 0.001）。
• 安全聚合机制有效防止了从模型梯度中恢复可用的患者数据，证实了框架对数据泄露的抗性。
• 该框架成功实现了模型训练和推理，而无需暴露原始数据或模型权重，满足了真实临床场景下的端到端隐私保障。