Rofo 2020; 192(S 01): S83
DOI: 10.1055/s-0040-1703356
Vortrag (Wissenschaft)
Thoraxradiologie
© Georg Thieme Verlag KG Stuttgart · New York

Adversarial Attacks in der Erkennung von Pneumothoraxes aus Röntgenthoraxaufnahmen: Eine beachtenswerte Schwachstelle in der Translation Künstlicher Neuronaler Netzwerke in die klinischen Anwendung

A Bucher
1   Universitätsklinikum Frankfurt am Main, Institut für Diagnostische und Interventionelle Radiologie, Frankfurt
,
A Distergoft
2   Deutsches Krebsforschungszentrum, Abteilung Medizinische Bildverarbeitung, Heidelberg, Deutschland
,
D Kuegler
3   Deutsches Zentrum Für Degenerative Erkrankungen, Abteilung Image Analysis, Bonn, Deutschland
,
A Rajkarnikar
4   Technische Universität Darmstadt, Graphisch-Interaktive Systeme, Darmstadt, Deutschland
,
M Uecker
4   Technische Universität Darmstadt, Graphisch-Interaktive Systeme, Darmstadt, Deutschland
,
D Mukhopadhyay
4   Technische Universität Darmstadt, Graphisch-Interaktive Systeme, Darmstadt, Deutschland
,
P Vogl
5   Universitätsklinikum Frankfurt am Main, Institut für Diagnostische und Interventionelle Radiologie, Frankfurt am Main, Deutschland
› Author Affiliations
Further Information

Publication History

Publication Date:
21 April 2020 (online)

 

Zielsetzung Adversarial Attacks (Digitale Bildmanipulationen) bezeichnen böswillige Manipulationen der Eingabebilder eines Künstlichen Neuronalen Netzwerkes (DNN), welche zwar unterhalb der Erkennungsgrenze eines menschlichen Lesers liegen, jedoch die Bewertung des DNN-Klassifikators substantiell verfälschen können. Wir haben die Verwundbarkeit eines hochmodernen DNN-Klassifikators in der Erkennung von Pneumothoraxes durch unterschiedliche Klassen von Adversarial Attacks getestet.

Material und Methoden Eine moderne DNN-Architektur (ResNet) wurde auf 9265 Thorax-Röntgenbildern trainiert, welche zur Lokalisierung von Pneumothoraxes manuell annotiert wurden. Wir testeten insgesamt 600 modifizierte Bilder (BA), basierend auf 150 vergleichbaren Röntgen-Thorax-Aufnahmen (BR). Die verwendeten Angriffskategorien waren Basic Iterative Method (BIM), Fast Sign Gradient Method (FGSM), Deep Fool Attack (DF) und Saliency Map Attack (SAM). Für jedes Testbild wurde eine Annotation des Bildbefundes durchgeführt.

Ergebnisse Die Genauigkeit der DNN-Klassifizierung für BR betrug 83.3% (Falsch-positiv-Rate [FPR]: 0.1, Falsch-negativ-Rate [FNR]: 0.35). Die Klassifizierung wurde in BA signifikant verfälscht (Genauigkeit: 16.7%, FPR: 0.9, FNR: 0.65; p<0.001). Die Sensitivität betrug 0.65 (BR) und 0.35 (BA), die Spezifität betrug 0.9 (BR) und 0.1 (BA; p<0.001). Die ROC-Analyse ergab eine AUC von 0.78 (BR) und 0.23 (BA, p<0.001). Alle Angriffskategorien erreichten die beabsichtigte Genauigkeit gemessen an FNR, FPR and AUC; diese waren zwischen den Angriffskategorien vergleichbar (jeweils p>0.1).

Schlußfolgerungen Eine Reihe von unterschiedlichen Adversarial Attack Klassen kann die DNN-basierte Detektion von Pneumothoraxes aus Röntgenaufnahmen hocheffektiv verfälschen. Diese Schwachstelle sollte bei der Übertragung von DNN-Klassifikatoren in den klinischen Bereich sorgfältig adressiert werden.