基于单次机器遗忘(One-Shot Machine Unlearning)与噪声最大化(Noise Maximization)的隐私保护多类别皮肤病变分类方法

《IEEE Aerospace and Electronic Systems Magazine》：Privacy-Preserving Multi-Class Skin Lesion Classification Using Single-Shot Machine Unlearning and Noise Maximization

　　

摘要：数据分析、机器学习（ML）与人工智能（AI）的融合已变革包括医疗在内的多个领域，其中深度学习显著提升了皮肤病变分类的准确性。在皮肤科等高保密性领域，模型训练数据的遗忘（Unlearning）至关重要，其通过删除不必要信息优化数据处理并降低医疗设备负担。然而，此类模型在临床环境中的部署面临平衡模型性能与患者隐私的挑战。本文提出一种新颖方法，解决从预训练模型中遗忘（Forgetting）特定类别（聚焦色素性皮肤病变）的关键任务。研究人员采用基于HAM10000数据集的单轮（One-Epoch）方法，向训练好的模型添加噪声以策略性针对特定类别进行遗忘，随后使用单轮微调重新校准剩余类别的模型，提供完整的扰动与恢复框架。研究在四种不同模型架构（MobileNet-V2、EfficientNetB2、ResNet-50及VGG-19）上评估该方法效率，验证了所提方法的鲁棒性与适应性，为其应用于现实临床环境的动态数据管理与模型优化提供了见解。

论文解读：基于单次机器遗忘与噪声最大化的隐私保护多类别皮肤病变分类研究

一、研究背景与意义

在皮肤科人工智能（AI）诊断中，深度卷积神经网络对皮肤病变（Skin Lesion）的高精度分类依赖大规模患者数据集训练，这引发数据隐私泄露风险。现行法规如《通用数据保护条例》（GDPR）赋予用户"被遗忘权"，要求模型能选择性删除特定数据或类别的知识而不必完全重训练（Exact Unlearning/Retraining from Scratch）。现有精确遗忘（如SISA分片训练）与近似遗忘（Approximate Unlearning，含影响函数、梯度反转等）计算开销大，难以实时部署于临床；且医学数据集普遍存在类别不平衡（Class Imbalance），缺乏针对类别级选择性遗忘（Class-Specific Selective Forgetting）在高度不平衡医学影像上的有效方案。为此，研究人员开展此项研究，提出一种基于噪声最大化矩阵（Noise-Maximization Matrix）的单次（One-Shot/Single-Epoch）机器遗忘（Machine Unlearning, MUL）框架，旨在以低计算成本实现特定皮肤病变类别的有效遗忘并维持留存类别的分类性能。该文发表于《IEEE Aerospace and Electronic Systems Magazine》。

二、关键技术方法

研究人员选用HAM10000数据集（含10,015张图像，涵盖光化性角化病akiec、基底细胞癌bcc、良性角化样病变bkl、皮肤纤维瘤df、黑色素瘤mel、黑色素细胞痣nv、血管病变vasc共7类，具典型类别不平衡特性）。使用在ImageNet上预训练并经HAM10000全类微调（30 epoch，Adam lr=1e-4，batch=128）的四种架构：MobileNet-V2、EfficientNetB2、ResNet-50、VGG-19作为基线。遗忘流程为两阶段单轮执行：(1)损伤阶段（Impair Step）：针对待遗忘类（Forget Class）样本，通过反向传播优化输入空间噪声张量为N ∈ R^B×C×H×W，使其最大化待遗忘类的交叉熵（Cross-Entropy, CE）损失并受L₂范数正则约束（超参数λ），生成扰动输入X+N，混合留存类（Retain Class）原始样本构成损伤数据集，模型以较高学习率（0.1）单轮训练使模型丧失对遗忘类的判别能力；(2)修复阶段（Repair Step）：仅用留存类原始数据单轮微调，恢复模型对留存类的判别性能。评估指标包括初始准确率A_i、扰动后准确率A_p、恢复后准确率A_r、遗忘影响指数（UII = (A_i-A_r)/遗忘数据百分比）、扰动诱发退化度（PID = A_i-A_p）、恢复效率商（REQ = A_r/A_i）、再学习时间（RT）及模型参数漂移（MPD，即预训练与遗忘后权重欧氏距离）。

三、研究结果

A. 评估指标（Evaluation Metrics）

研究人员定义了UII、PID、REQ、RT及MPD，用以量化遗忘强度、留存效用及计算/参数代价，形成兼顾隐私（遗忘）与效用的评价体系。

B. 实验设置（Experimental Setup）

在NVIDIA A100上以224×224输入、80:20划分、固定随机种子进行实验。测试单类遗忘（少数类bcc占5%、多数类nv占66%）及多类遗忘（C₂约14%、C₄约30%数据量）。各架构基线准确率经全类训练获得。

C. 单类遗忘（Single Class Unlearning）

少数类bcc遗忘时PID为3%–6%；多数类nv遗忘时PID达23%–37%，因多数类在权重中表征更强，噪声矩阵对其扰动更大。尽管nv的PID最高，其UII表现优（单位遗忘量带来的性能损失比低），且再学习时间最短。表明该方法对多数类遗忘效率高，对少数类遗忘扰动小。

D. 多类遗忘（Multi-Class Unlearning）

C₄（4类遗忘）取得最低UII，C₂次之，说明噪声矩阵在更大比例数据遗忘时仍有效。ResNet-50恢复能力最强（单类REQ达0.978）。MPD显示MobileNet-V2漂移最小，VGG-19最大（>800）；过大参数漂移虽助遗忘但损害留存类恢复能力，理想轨迹为最小化MPD同时最大化PID。

E. 讨论与局限性（Discussion and Limitation）

正则化系数λ与噪声幅值是关键超参数：λ过大抑制遗忘，过小致过拟合噪声破坏留存类边界；极端类别不平衡下（如遗忘占66%的nv类）扰动可能超出修复能力。方法在跨架构表现稳健但未在多中心异质数据集验证，未来需测跨域泛化性及抗成员推理攻击（Membership Inference Attack）能力。

F. 训练轮数消融（Ablation of Epoch Count）

对比1/2/3轮修复发现：单轮损伤即产生足够遗忘信号，增加轮次导致过拟合与不稳定，确认单次（Single-Epoch）执行策略最优。

四、讨论与结论总结

研究人员证实，所提基于噪声最大化矩阵的单次机器遗忘框架可在不重训练前提下，对皮肤病变分类模型中特定类别实现有效遗忘，在四种主流卷积架构上保持留存类高精度（REQ接近0.98），且计算耗时仅为一轮前向-反向传播加一轮微调。该方法特别适用于临床中需依GDPR要求删除敏感患者数据或调整诊断类别场景。局限在于超参数需针对数据分布调优，且未在多中心数据验证抗隐私攻击能力。未来工作将拓展至多中心皮肤影像数据集验证，引入可解释性分析（如Grad-CAM）及正式隐私攻击测评以强化临床可信度。