3. 鲁棒性威胁建模

在医学影像模型鲁棒性测试工程中，威胁建模是连接“模型可能失效”与“测试用例如何设计”的关键桥梁。它的核心任务不是简单罗列异常现象，而是把真实临床链路中可能出现的扰动，按来源、作用位置、统计特性和对模型决策的影响方式，整理成可分类、可参数化、可复现的威胁集合。只有先建立清晰的威胁分类，后续的测试数据构造、指标选择和通过判据才有依据。

一、威胁建模的基本视角

医学影像从采集到模型输出，通常经历“成像设备—重建/后处理—存储传输—预处理—模型推理”多个环节。威胁可以发生在任一环节，并沿信号链向下游传播。因此，威胁建模应同时回答三个问题：扰动从哪里来、以什么形式叠加到图像或数据上、它主要破坏模型的哪类能力。按来源划分，常见威胁可分为自然噪声、扫描仪差异、对比度变化、运动伪影、金属伪影和对抗攻击六大类；按作用方式，又可分为加性扰动、乘性扰动、几何形变、局部强干扰和语义定向扰动。

需要特别说明的是，医学影像中的“威胁”并不等同于“图像质量差”。有些扰动人眼几乎不可见，却可能显著改变模型输出，例如对抗攻击；有些扰动视觉上非常明显，但模型仍可能保持正确判断，例如局部金属伪影未覆盖病灶区域。因此，威胁建模必须同时记录扰动的物理来源和模型响应，而不能只凭视觉严重程度判断风险。

二、六类威胁的专业特征与测试参数

自然噪声主要来自成像物理过程。CT中的量子噪声近似泊松分布，低剂量条件下尤为明显；MRI中的热噪声通常建模为复高斯噪声。测试时常用归一化灰度标准差σ控制强度，例如在[0,1]灰度范围内取σ=0.01、0.03、0.05、0.10四档，观察模型Dice或敏感度随噪声水平的变化曲线。若模型在σ=0.05时Dice下降超过5个百分点，说明其对噪声较敏感，需要加入噪声增强训练或测试时去噪。

扫描仪差异是跨中心部署中最常见的威胁。同一解剖部位，不同厂商设备的重建核、层厚、窗宽窗位设置会导致灰度分布和纹理特征明显偏移。建模时应记录设备型号、管电压、管电流、重建算法、层厚、像素间距等元数据，并构造“源域训练—目标域测试”的跨域评估。例如，用A医院数据训练，在B医院数据上直接推理，若敏感度从0.92降至0.78，则需引入域适应或标准化预处理。

对比度变化可由窗宽窗位调节、曝光差异或造影剂浓度变化引起。它通常表现为全局或局部的灰度映射改变，可用幂律变换模拟：I' = I^γ，γ<1提升暗部对比度，γ>1压缩暗部。测试时取γ=0.5、0.8、1.2、2.0，重点观察低对比病灶的分割完整性和检测召回率。若模型对γ变化敏感，说明其特征提取过度依赖绝对灰度值，而非结构关系。

运动伪影包括呼吸运动、心脏搏动和患者自主移动。在图像域，可用平移、旋转、弹性形变模拟；在k空间，则表现为相位编码方向的条带。测试参数包括最大位移（如2mm、5mm、10mm）、旋转角度（如2°、5°）和形变场平滑度。评估时应关注病灶边界的Hausdorff距离和体积误差，而不仅是Dice。运动伪影常导致边界模糊，使分割模型倾向于欠分割或过分割。

金属伪影常见于CT，表现为放射状条带和暗带，导致金属周围CT值严重失真。建模时可在图像中嵌入不同尺寸和密度的金属掩膜，或使用真实金属植入病例。关键参数包括金属材料（钛、不锈钢）、尺寸、位置和扫描kVp。评估重点不是全图指标，而是金属附近感兴趣区的CT值误差和病灶可识别性。若模型在金属附近出现大面积误分割，需引入金属伪影校正或伪影感知训练。

对抗攻击是人为构造的、以误导模型为目标的扰动。与自然噪声不同，对抗扰动通常幅度很小（如ε=0.01~0.05），但方向经过梯度优化，能造成高置信度误判。医学影像中常见的攻击包括FGSM、PGD和通用扰动。测试时应固定攻击目标（如使病灶消失、使良性判为恶性），记录攻击成功率、扰动范数和模型置信度变化。对抗鲁棒性测试不仅关注准确率下降，更要关注误判的临床后果。

三、威胁建模的交付物与优先级

完成分类后，应形成一份可执行的威胁建模表，至少包含：威胁类别、来源环节、扰动形式、关键参数、注入位置、评估指标、通过判据和优先级。优先级可依据“发生概率×临床影响”排序。例如，运动伪影和扫描仪差异发生概率高，应优先覆盖；对抗攻击发生概率低但后果严重，也应纳入安全关键测试。下面给出一个简化的威胁建模示例表，参数为教学假设值，实际项目需根据设备、病种和临床要求调整。

最后需要强调，六类威胁并非彼此独立。真实场景中，低剂量扫描可能同时带来自然噪声和对比度变化，金属植入患者可能同时存在金属伪影和运动伪影。因此，在完成单威胁测试后，还应设计组合威胁场景，观察模型在多重扰动下的性能退化是否呈非线性叠加。组合测试的优先级可依据临床实际共现概率确定，例如“低剂量+运动”在急诊CT中较为常见，应优先纳入。