面向醫(yī)療系統(tǒng)的隱私保護疾病預測研究

李 超，張艷玲，張清媛

(1.山東第一醫(yī)科大學 第二附屬醫(yī)院，山東 泰安 271000；2.山東第一醫(yī)科大學 醫(yī)學信息工程學院，山東 泰安 271016)

0 引言

當前的醫(yī)療系統(tǒng)是一個復雜的數(shù)據(jù)驅(qū)動網(wǎng)絡，依賴于對患者的連續(xù)監(jiān)控、數(shù)據(jù)共享和流式傳輸[1]，憑借先進的大數(shù)據(jù)分析為患者提供必要的醫(yī)療服務[2]。隨著物聯(lián)網(wǎng)(IoT)技術(shù)在現(xiàn)代醫(yī)療系統(tǒng)中的不斷發(fā)展，為患者和醫(yī)療專業(yè)人員帶來了便利。各種可穿戴式IoT監(jiān)測設備采集不同類型的病理數(shù)據(jù)并最終傳輸?shù)结t(yī)院云服務器中，這對醫(yī)療系統(tǒng)的隱私性和安全性提出了更高的要求[3]?？纱┐魇结t(yī)療數(shù)據(jù)采集設備有智能心電圖機、藍牙血糖測量設備和3G血壓測量設備等，主要用于監(jiān)測心率、血糖和血壓等各種生理癥狀[4]，并最終為疾病預測系統(tǒng)(DPS)提供數(shù)據(jù)支撐。然而，在現(xiàn)代醫(yī)療系統(tǒng)中，個人數(shù)據(jù)隱私越來越受到關(guān)注，尤其是涉及敏感的個人醫(yī)療數(shù)據(jù)。個人醫(yī)療數(shù)據(jù)面臨非法共享機密信息、非法使用私人數(shù)據(jù)、個人身份、敏感數(shù)據(jù)暴露等系列隱私問題[5]。因此，醫(yī)療系統(tǒng)必須同時兼顧數(shù)據(jù)隱私的安全性和疾病預測的準確性。

對于患者數(shù)據(jù)隱私保護方面，文獻[6]使用隨機森林(RF)技術(shù)的隱私保護計算協(xié)議，結(jié)合屬于多個終端的醫(yī)療系統(tǒng)提供安全訓練，并能夠做出準確疾病預測。此外，原始數(shù)據(jù)可執(zhí)行安全和計算處理并保存在云中。文獻[7]提出了隱私保護單決策樹方法，使用同態(tài)加密方式保護用戶數(shù)據(jù)，通過相同的密鑰對生成隨機數(shù)來防止攻擊方解密數(shù)據(jù)，然而，同態(tài)加密提供的安全性較差。文獻[8]開發(fā)了一種基于深度Q學習的神經(jīng)網(wǎng)絡框架，采用隱私保護方法(DQ-NNPP)，以保護從醫(yī)療物聯(lián)網(wǎng)設備傳輸?shù)拿舾谢颊哚t(yī)療數(shù)據(jù)免受外部威脅。所有這些模型中的數(shù)據(jù)保密性和安全性都較低。此外，在所有上述方法中也普遍缺乏預測效率和準確性。對于疾病預測方面，文獻[9]提出了基于模糊神經(jīng)分類器的醫(yī)療保健疾病預測系統(tǒng)，然而，云數(shù)據(jù)庫中的醫(yī)療數(shù)據(jù)的安全性不足。文獻[10]提出了基于多標簽k鄰近的多級醫(yī)學預診斷系統(tǒng)(ML-kNN)，通過服務器自動減少需要使用k均值聚類計算的醫(yī)療保健實例的數(shù)量，并結(jié)合基于ML-kNN分類向醫(yī)療保健用戶提供服務。然而，該系統(tǒng)的計算復雜度較高。文獻[11]提出了利用云和基于物聯(lián)網(wǎng)的數(shù)據(jù)庫的預測方法，用于預測使用從生物傳感器收集的患者數(shù)據(jù)的疾病。

為了在保護患者數(shù)據(jù)安全的前提下對疾病進行有效預測，DPS必須通過使用醫(yī)療數(shù)據(jù)建立分類預測模型，并且不能與第三方進行共享以防止數(shù)據(jù)泄密[12]。DPS能夠提高診斷的速度和準確性，并且提高醫(yī)療服務的質(zhì)量，因此，預測效率也是構(gòu)建DSP時應考慮的關(guān)鍵因素。文獻[13]提出了一種有效且保密的疾病預測系統(tǒng)?；颊呔驮\的醫(yī)療記錄被加密并發(fā)送到云服務器，使用單層感知器學習方法訓練預測模型，同時仍然保持患者隱私。文獻[14]提出了以混合推理為中心的隱私感知疾病預測支持系統(tǒng)(PDPSS)。利用模糊集理論、k鄰近和以案例為中心的推理組合優(yōu)勢改進的預測結(jié)果，從而將疾病預測支持系統(tǒng)(DPSS)擴展到以Pailliers同態(tài)加密為中心的PDPSS，從而保護患者的敏感數(shù)據(jù)免受非法用戶訪問，然而，該系統(tǒng)具有較高的通信和計算成本。

圖1 系統(tǒng)架構(gòu)

本文構(gòu)建了隱私保護疾病預測系統(tǒng)架構(gòu)，利用加密組合文本生成密鑰提高了系統(tǒng)認證階段的隱私性，提出了基于對數(shù)循環(huán)值的橢圓曲線密碼體制(LR-ECC)的數(shù)據(jù)加密方法，增強了數(shù)據(jù)傳輸階段的醫(yī)療數(shù)據(jù)的安全性。采用基于象群遺傳算法的的深度學習神經(jīng)網(wǎng)絡(EHGA-DLNN)分類技術(shù)對IoT監(jiān)測設備采集的感知數(shù)據(jù)進行分類，提高了DPS階段疾病預測的準確性。

1 系統(tǒng)結(jié)構(gòu)及原理

為了在醫(yī)療系統(tǒng)中有效地保護數(shù)據(jù)安全性并準確地預測疾病，本文構(gòu)建了面向醫(yī)療系統(tǒng)的隱私保護疾病預測系統(tǒng)，實現(xiàn)了保護患者數(shù)據(jù)的隱私性和疾病預測的準確性。由于IoT傳感器設備穿戴在患者身體上，并考慮到部署以太網(wǎng)的復雜性和WIFI網(wǎng)絡的局限性，本文的整體網(wǎng)絡架構(gòu)采用窄帶物聯(lián)網(wǎng)(NB-IoT)技術(shù)原理，NB-IoT是一種部署于GMS網(wǎng)絡或LTE網(wǎng)絡上的低頻段、低速率的網(wǎng)絡，支持低功率設備在廣域網(wǎng)絡的蜂窩數(shù)據(jù)連接，具有海量連接、深度覆蓋、穩(wěn)定可靠、綜合成本低等優(yōu)勢。該系統(tǒng)分為系統(tǒng)認證、安全數(shù)據(jù)傳輸和疾病預測系統(tǒng)(DPS)3個階段。用戶利用醫(yī)院的移動APP或網(wǎng)站向相應醫(yī)院進行注冊，當使用有效的認證方法成功完成登錄后，則傳感器值將通過霧層安全上傳至醫(yī)院云服務器。同時，相應的醫(yī)生可以安全地下載患者數(shù)據(jù)，并使用分類模型準確地完成疾病預測。本文提出的隱私保護疾病預測系統(tǒng)架構(gòu)，如圖1所示。

2 系統(tǒng)認證階段

為了加強系統(tǒng)和信息傳輸?shù)陌踩?，本文在醫(yī)生、醫(yī)護人員和醫(yī)院云服務器、患者和醫(yī)院云服務器以及醫(yī)院和醫(yī)院云服務器之間設計了認證功能。系統(tǒng)認證階段分為注冊、登錄和驗證3個部分。

2.1 注冊

在各種IoT設備訪問系統(tǒng)數(shù)據(jù)之前，需經(jīng)過系統(tǒng)管理員的批準。當批準通過后，管理員將數(shù)據(jù)反饋給IoT設備進行認證。注冊過程包括如下4個部分。

1)患者詳細信息：

用戶在注冊時提供患者詳細信息，患者詳細信息包含用戶名、患者姓名、性別、年齡、地址、密碼、患者ID、醫(yī)院ID、醫(yī)生名稱等，通過移動APP或網(wǎng)站輸入并保存到數(shù)據(jù)庫中。患者詳細信息集可以表示為：

(1)

2)組合文本：

輸入患者詳細信息后，將用戶ID和醫(yī)院ID合并為組合文本，組合文本可以表示為：

(2)

3)加密組合文本：

在注冊期間完成組合文本后執(zhí)行加密過程，從而使用替換密碼將組合文本轉(zhuǎn)換為密碼。替換密碼是根據(jù)預設系統(tǒng)將明碼轉(zhuǎn)化為密碼的加密方式。在所有的替換密碼中，密碼字母僅為明碼字母的簡單循環(huán)移位[15]。此外，密碼元素包括數(shù)字、標點符號和26個字母。組合文本的加密可以表示為：

(3)

在驗證時，密碼由醫(yī)院云服務器發(fā)送給數(shù)據(jù)所有者。當用戶試圖下載醫(yī)院云服務器中任何文件時，則醫(yī)院云服務器會要求用戶輸入密碼。當用戶輸入并發(fā)送正確的密碼時，醫(yī)院云服務器將用戶驗證為授權(quán)用戶，并允許用戶訪問數(shù)據(jù)。則替換密碼可以表示為：

(4)

(5)

4)密鑰生成：

醫(yī)院云服務器負責創(chuàng)建公鑰和私鑰，其中，公鑰自動生成并保存在醫(yī)院云服務器中；私鑰則發(fā)送到用戶注冊期間提供的電子郵件。公鑰與私鑰的數(shù)學表達式為：

(6)

(7)

2.2 登錄

登錄功能是用于驗證用戶的憑證集。當用戶請求登錄時，則醫(yī)院云服務器負責驗證用戶輸入的用戶ID和密碼。如果用戶提供了正確的私鑰，則通過醫(yī)院云服務器執(zhí)行文本文件的解密并通過霧層傳輸給用戶。當私鑰不正確時，則拒絕用戶訪問醫(yī)院云服務器。

2.3 驗證

驗證功能在系統(tǒng)登錄后執(zhí)行。系統(tǒng)將匹配用戶ID和密碼。如果所有詳細信息都匹配，則系統(tǒng)最終確定用戶已向相應的HCS完成注冊。否則，系統(tǒng)返回到注冊階段。

3 數(shù)據(jù)安全傳輸階段

(8)

4 疾病預測系統(tǒng)(DPS)階段

DPS是預測疾病在患者身上出現(xiàn)可能性的過程，利用IoT感測值來確定患者是否患有疾病。DPS階段分為數(shù)據(jù)收集、預處理、矩陣表示、矩陣降維和分類5個部分。

4.1 數(shù)據(jù)收集

DPS收集疾病數(shù)據(jù)集并形成數(shù)據(jù)庫，用于處理的疾病數(shù)據(jù)集可以表示為：

(9)

其中：hj為疾病數(shù)據(jù)信息，m為疾病數(shù)據(jù)的數(shù)量。

4.2 預處理

由于IoT采集的數(shù)據(jù)集可能包含重復數(shù)據(jù)，為了避免重復訓練相同的信息，降低系統(tǒng)計算的復雜度。本文通過重復數(shù)據(jù)刪除方式[18]來消除冗余數(shù)據(jù)。重復數(shù)據(jù)刪除是通過避免重復數(shù)據(jù)存儲和節(jié)省帶寬來有效管理云存儲空間的方法。重復數(shù)據(jù)刪除分為缺失值插補和最小最大歸一化兩個階段：

1)缺失值插補。當IoT采集的數(shù)據(jù)集出現(xiàn)缺失值時，采用缺失值插補處理數(shù)據(jù)；將缺失數(shù)據(jù)轉(zhuǎn)換為替代值的方法稱為插補[19]。任何記錄都包含少量缺失值，但可以通過改變針對特定屬性的缺失值與平均值來加載生成缺失值，從而完成缺失值插補。

2)最小最大歸一化。當IoT采集的數(shù)據(jù)集消除數(shù)據(jù)冗余(或重復)和不需要的特征(即插入、更新和刪除異常)時，采用最小最大歸一化處理數(shù)據(jù)。最小最大歸一化是通過改變特定范圍內(nèi)的數(shù)據(jù)值，在系統(tǒng)中實現(xiàn)歸一化的同時產(chǎn)生高效的輸出[20]。利用最小值和最大值在0～1之間或在-1～1之間更改數(shù)據(jù)值。通過對每個數(shù)據(jù)分別進行最小最大處理得到歸一化值：

(10)

以最小值和最大值為中心對缺失值進行替換，可以有效地提高數(shù)據(jù)的完整性。

4.3 矩陣表示

將預處理后的數(shù)據(jù)作為矩陣表示。通常，預處理后的數(shù)據(jù)表示為L×P矩陣，其中，L為實例數(shù)，P為實驗中存在的屬性數(shù)，即性別、年齡、地址等。矩陣中的每個單元格Ii，j均可等效，則預處理后的數(shù)據(jù)矩陣表示為：

(11)

4.4 矩陣降維

矩陣降維是將高維空間轉(zhuǎn)換為低維空間的數(shù)據(jù)轉(zhuǎn)換，從而使低維數(shù)據(jù)保留原始數(shù)據(jù)的關(guān)鍵屬性。本文利用高斯核函數(shù)線性判別分析(GK-LDA)算法[21]對預處理后的矩陣表示進行降維。其中，線性判別分析(LDA)通過檢測方向來降低類間散度與類內(nèi)散度比來加密信息，并在降維過程中實現(xiàn)監(jiān)督功能[22]。高斯核函數(shù)(GK)用于提高降維后的數(shù)據(jù)還原精度[23]。GK-LDA算法的具體步驟如下。

(12)

(13)

其中：

(14)

(15)

其中：Dn和Dm為數(shù)據(jù)點，sm為第m類樣本的數(shù)量，s為數(shù)據(jù)矩陣表示中樣本的數(shù)量。

步驟3：為了提高降維后的數(shù)據(jù)還原精度，利用GK計算數(shù)據(jù)點之間的距離，即權(quán)重：

(16)

其中：γmn為數(shù)據(jù)點Dn和Dm之間的超參數(shù)。

步驟4：在LDA搜索線性子空間R(c-1分量)中，利用不同類別的投影得到最佳劃分，結(jié)合最大化后續(xù)判別準則可得：

(17)

其中：Tom(·)為矩陣的跡，R為特征向量。除了R的正交約束外，可以計算廣義特征向量和特征值：

(18)

(19)

4.5 基于象群遺傳算法的的深度學習神經(jīng)網(wǎng)絡(EHGA-DLNN)分類

將(Hrf)v輸入到分類器，利用EHGA-DLNN算法[24]對訓練數(shù)據(jù)進行分類。正常的深度學習神經(jīng)網(wǎng)絡(DLNN)[25]也可對數(shù)據(jù)進行分類，然而，隨機權(quán)重值對正常和疾病嚴重程度的分類精度較低。利用遺傳算法(GA)[26]對象群進行優(yōu)化，可以減少DLNN算法中的反向傳播問題。DLNN分為輸入層、隱藏層和輸出層。

4.5.1 輸入層

將預處理后的矩陣降維集(Hrf)v用于訓練系統(tǒng)，并確定其等效權(quán)重，其描述如下：

(Hrf)v={hi}，i∈[1，k]

(20)

(Wew)v={wi}，i∈[1，k]

(21)

象群優(yōu)化算法(EHO)是以種群為中心的優(yōu)化技術(shù)，主要分為氏族更新算子和分離算子[27]。將GA的交叉變異與EHO中的更新步驟相結(jié)合得到象群遺傳算法(EHGA)[28]，從而提高搜索精度。EHGA具體步驟如下：

初始化種群空間、置信空間和可調(diào)算子。當涉及到氏族更新時，通過搜索策略更新大象的位置：

(22)

Tw，xl=T[(Tmin)max·fr]min

(23)

其中：Tw，xl為氏族xl上具有最差適應值的公象，Tmin和Tmax分別為搜索空間的上限和下限，fr為[0，1]范圍內(nèi)的隨機數(shù)。

將GA的交叉變異與EHO中的更新步驟相結(jié)合，從而提高搜索精度。因此，在公式(23)更新新位置之前，利用交叉變異中的兩點交叉可以得到：

T(t+1)=Tfr(t)+C1+C2

(24)

(25)

(26)

其中：t為迭代次數(shù)，C1和C2為交叉點的兩個點。

使用EHO算法更新新位置得到最優(yōu)權(quán)重：

(27)

將輸入值乘以權(quán)重后累加得到分配值：

(28)

因此，輸入到隱藏層的激活函數(shù)為：

(29)

4.5.2 隱藏層

隱藏層的輸出值為：

(30)

其中：Bias為偏置值。

4.5.3 輸出層

輸出層的輸出值為：

(31)

計算損失函數(shù)為：

(32)

算法1:EHGA-DLNN算法輸入:矩陣降維集(Hrf)v

輸出:受疾病影響的分類數(shù)據(jù)

計算訓練樣本數(shù)λ

ifλ=0

錯誤(λ不是整數(shù))

end if

for 每個減少的數(shù)據(jù) do

使用EHGA更新權(quán)重值的位置

使用如下公式更新新位置

whilev小于迭代次數(shù) do

則使用如下公式執(zhí)行激活函數(shù)

計算隱藏層的輸出

計算輸出層的輸出

end for

end while

5 實驗分析

為了對患者數(shù)據(jù)在傳輸過程實現(xiàn)隱私保護，并將IoT感測數(shù)據(jù)按嚴重程度分為正常數(shù)據(jù)和疾病數(shù)據(jù)。利用醫(yī)療數(shù)據(jù)集在JAVA中運行實驗評估本文方法的有效性。在數(shù)據(jù)安全傳輸階段，利用數(shù)據(jù)安全傳輸時間和安全級別分析所提出的LR-ECC方法的安全性。在DPS階段，采用不同的分類算法與所提出的EHGA-DLNN方法對比驗證疾病分類預測有效性。EHGA-DLNN算法的具體參數(shù)設置如下：1)EHO中的象群種群數(shù)量為5，最大迭代次數(shù)為100，族長效應比例因子為0.5；2)GA中的交叉率設置為0.6，變異率為0.2；3)DLNN中的學習率為0.01，衰減系數(shù)為0.99。

5.1 評估參數(shù)

本文選取加密時間、解密時間、準確率、靈敏度、特異性、精度、召回率和F1值等8個指標作為評估參數(shù)。

1)加密時間：加密開始和結(jié)束時間與加密算法從明碼構(gòu)造密碼所用時間之差。

2)解密時間：加密開始和結(jié)束時間之差。

3)準確率：準確地確定記錄可能是正?；蚴芗膊∮绊懙母怕省?/p>

4)敏感性：正確區(qū)分正常和疾病的比率。

5)特異性：影響總分類結(jié)果的疾病分類準確率。

6)精度：對于某個類別，準確記錄屬于該類別的概率。

7)召回率：對于特定類別，數(shù)據(jù)集中所有可用記錄中準確預測受疾病影響結(jié)果的計數(shù)。

8)F1值：利用精度和召回率對模型進行整體估計的調(diào)和均值。

5.2 安全級別性能分析

本文利用加密時間和解密時間分析所提出LR-ECC方法在數(shù)據(jù)安全傳輸?shù)男阅?，并與與橢圓曲線密碼編碼學(ECC)[17]、非對稱加密(RSA)[29]、全同態(tài)加密(FHE)[30]和迪菲-赫爾曼(DH)算法[31]進行比較。數(shù)據(jù)安全傳輸時間性能比較，如圖2所示。

圖2 數(shù)據(jù)安全傳輸時間性能對比

由圖2可見，為了安全傳輸10～50 kB不等的文件。對于加密時間指標，本文提出的LR-ECC方法加密10 kB的文件僅需465 ms。相比之下，ECC、RSA、FHE和DH算法分別需要801 ms、1 013 ms、1 346 ms和1 646 ms執(zhí)行加密。類似地，LR-ECC方法對20～50 kB的文件加密實現(xiàn)了更優(yōu)異的性能。對于解密時間指標，LR-ECC方法解密10 kB的文件僅需475 ms。相比之下，其他方法的性能明顯低于LR-ECC方法。類似地，LR-ECC方法對20～50 kB的文件解密同樣實現(xiàn)了更優(yōu)異的性能。因此，在數(shù)據(jù)安全傳輸階段，與其他方法相比，本文提出的LR-ECC方法在傳輸時間效率方面具有較高的性能。

本文提出的LR-ECC方法與ECC、RSA、FHE和DH算法的安全級別對比，如圖3所示。

圖3 安全級別對比

由圖3可見，本文提出的LR-ECC方法安全性達到98.87%，而ECC、RSA、FHE和DH算法的安全性分別為96.43%、95.89%、92.18%和87.67%。因此，在數(shù)據(jù)安全傳輸階段，與其他方法相比，本文提出的LR-ECC方法在傳輸安全性方面具有較高的性能。

5.3 疾病預測分類性能分析

利用人工神經(jīng)網(wǎng)絡(ANN)[32]、DLNN[25]、kNN[10]、支持向量機(SVM)[33]與本文提出的EHGA-DLNN方法對疾病預測分類進行對比。如表1所示。

表1 分類方法性能比較

由表1可見，與其他分類方法相比，所提出的EHGA-DLNN方法在疾病預測分類方面具有較高的性能。同時，就F1值和召回率等統(tǒng)計量而言，取得的結(jié)果表明，在DPS階段，與其他方法相比，本文提出的EHGA-DLNN方法能夠更快、更準確地預測疾病的嚴重程度。

6 結(jié)束語

在使用IoT設備的現(xiàn)代醫(yī)療系統(tǒng)中，患者的隱私和敏感醫(yī)療數(shù)據(jù)的安全性面臨風險。同時，為了有效地通過IoT感測數(shù)據(jù)及時對疾病預測進行分類，本文構(gòu)建了面向醫(yī)療系統(tǒng)的隱私保護疾病預測系統(tǒng)，實現(xiàn)了保護患者數(shù)據(jù)的隱私性和疾病預測的準確性。通過加密組合文本方式建立了系統(tǒng)加密認證，采用LR-ECC算法對IoT設備采集的感知數(shù)據(jù)進行加密，結(jié)合EHGA-DLNN分類技術(shù)對疾病數(shù)據(jù)進行分類。所提出的LR-ECC方法在加密時間、解密時間和安全級別分析方面，均優(yōu)于傳統(tǒng)ECC、RSA、FHE和DH算法的性能，且能夠達到98.87%的安全級別。同時，EHGA-DLNN方法在疾病預測分類方面，均優(yōu)于現(xiàn)有DLNN、ANN、KNN和SVM的性能，且準確率達到98.35%。實驗結(jié)果表明，本文方法在醫(yī)療系統(tǒng)的安全性和疾病預測的準確性均具有更高的效率。在未來的研究中，可使用更通用的策略來改進模型，從而在保持更高的安全性和隱私性的同時處理其他數(shù)據(jù)集類型。