Ferramentas gratuitas para anonimização de imagens médicas

A preparação de dados é uma fase importante e obrigatória para qualquer data scientist (cientista de dados) que se preze ao embarcar em um projeto de análise de dados. Consiste em várias etapas que variam dependendo do tipo de projeto que você vai liderar e do tipo de dados que possui.

Preparação de dados de imagens médicas de IA: uma etapa essencial

Nesta série de artigos, o foco será na preparação de dados de tipo imagens médicas (por exemplo, imagens de TC, RM) para um projeto de análise de imagem em « deep learning » (aprendizagem profunda). Normalmente, as imagens médicas são armazenadas em formato DICOM no PACS da unidade de saúde onde foram coletadas. Para poder utilizá-las como parte de um projeto de análise de imagens, é essencial preservar o anônimato pois as mesmas carregam dados pessoais dos pacientes.
Conforme visto em um artigo anterior, anonimizar ou desidentificar arquivos DICOM equivale a tratar informações ou diferentes “traços” (em inglês “tags”) no arquivo que podem conter informações pessoais do paciente. Você encontrará detalhes sobre estes “traços” em questão e as diversas recomendações de privacidade em acordo com a norma padrão DICOM PS 3.15: apêndice E neste artigo. Além deste processo, você deve se certificar que a imagem em si não contém dados pessoais, especialmente quando as anotações podem estar "gravadas" na imagem (em inglês “burned in annotations”). Se a imagem incluir anotações, a desidentificação também deve ser feita através de uma "limpeza" dos pixels da imagem.
Existem muitas ferramentas para anonimizar “traços” ou ” tags ” DICOM que contém metadados associados à imagem, mas poucas também permitem a anonimização do “dados de pixel” (em inglês “pixel data“).
Neste texto, vamos nos concentrar na desidentificação de arquivos DICOM (metadados e “pixel data”) e nas ferramentas gratuitas disponíveis no mercado.

Teste de ferramentas de desidentificação

Em um de nossos projetos de P&D, precisamos desidentificar arquivos DICOM antes de podermos usar as imagens de TC em um algoritmo de classificação. Em seguida, procuramos, os métodos existentes para isso. Graças a [1], aprendemos sobre ferramentas gratuitas para anonimização de metadados e pixel data de arquivos DICOM. Para chegarmos à uma conclusão, nós testamos estes métodos e vamos ompartilhar o resultado destes teste com você.
Dividimos as ferramentas de anonimização de arquivos DICOM identificados por [1] em dois grupos: as que permitem a desidentificação de metadados e os "pixel data" e as que permitem a desidentificação apenas de metadados. Algumas das ferramentas identificadas por [1] foram excluídas do nosso comparativo, por não serem mais fornecidas (TudorDicom, K-PACS), ou por necessitarem a instalação de outros softwares para serem utilizadas ​​(Conquest Dicom, GDCM), dificultando o acesso.

Ferramentas para desidentificação de anotações incorporadas (em inglês “burned in annotations”)

Entre os dez softwares de anonimização referenciados por [1], apenas 3 incluem a limpeza de pixels de imagens de TC / RM. Segue a lista:

• RSNA Clinical Trial Processor (CTP):

Software disponibilizado pelo Medical Imaging Resource Center (MIRC) da North American Radiological Society (RSNA) [2]. Ele pode funcionar de dois modos:

• ocasional (“Launcher”), e
• contínuo (“Runner”) para um uso institucional.

Nós utilizamos o modo ocasional, pois é o que correspondia à realidade do nosso projeto de P&D em análise de imagens. Ele funciona como um servidor. A sua interface gráfica permite configurar os fluxos de dados entre o servidor (“Launcher”) e a base de dados (neste caso o disco rígido) que contém os arquivos DICOM a serem tratados.

Sua interface também serve para a configuração da pipeline de processamento de imagem escolhida que pode ser:

• selecionar entre várias configurações pré-estabelecidas,
• ou selecionar uma nova pipeline definida pelo usuário.

Escolhemos a pipeline “DICOM DE-identification to Local Storage”, pois correspondia ao nosso projeto e ambiente (arquivos DICOM armazenados localmente em nosso computador). Para que o fluxo de dados fluísse entre nosso armazenamento local (por exemplo, o disco rígido do computador) e o servidor, foi necessária a instalação do plug-in FileSender.
Em seguida, tudo o que precisamos fazer foi iniciar o servidor, configurar a conexão entre o FileSender e o servidor e selecionar o arquivo DICOM a ser anonimizado. O mesmo é processado pela pipeline de desidentificação e, logo depois, salvo (automaticamente “./CTP/roots/FileStorageService/__default/”).
Esta ferramenta usa um script para definir automaticamente as áreas da imagem a serem anonimizadas. O script padrão pode ignorar a área onde as anotações estão localizadas, fazendo assim uma anonimização incompleta (veja as imagens antes / depois abaixo).

Em seguida, você terá que completar o script de anonimização de pixel padrão com os campos específicos para o conjunto de dados. Então, salvar nas configurações da pipeline (veja a imagem).

O que o diferencia: pode tratar vários arquivos DICOM ao mesmo tempo (por exemplo, por estudo, por série), a área da imagem a ser anonimizada é detectada automaticamente pela ferramenta sem precisar fazer uma seleção manual.

Desvantagens: a área da imagem a ser anonimizada é detectada automaticamente pela ferramenta. Este recurso é conveniente, mas requer conhecimento da linguagem de script para alterar a definição de áreas da imagem para torná-la anônima de acordo com o conjunto de dados. Caso contrário, as anotações incorporadas podem ser mal localizadas pela ferramenta e anonimizadas de forma incompleta.

• DICOM Cleaner ^TM:

O software proposto por PixelMed^TM [3], permite escurecer os pixels da imagem que representam as informações de identificação. Sua interface gráfica consiste em três partes principais: as duas áreas estruturais das pastas onde os arquivos originais e anônimos são armazenados, e a área de configuração do processamento de desidentificação.

Depois de importar um arquivo DICOM, é possível definir valores específicos para a desidentificação de metadados, aplicar valores aleatórios ou aplicar valores padrão.

O programa primeiro anonimiza os metadados no arquivo DICOM e, a partir do arquivo anônimo, permite o escurecimento dos pixels incorporados na imagem de TC / RM.

Existem três tipos de escurecimento:

• impressão sobreposta: o menor valor de pixel possível, considerando a assinatura e a profundidade de bits dos dados de pixel, será utilizado,
• preenchimento (em inglês “padding”): o valor do pixel preenchido será usado se estiver presente no cabeçalho,
• valor zero.

A área é definida manualmente pelo usuário com a ajuda da “bounding box”. Se todas as imagens a serem anonimizadas forem do mesmo tamanho e as anotações estiverem nos mesmos locais, então é possível processá-las todas ao mesmo tempo.

O que o diferencia: você pode selecionar manualmente as áreas da imagem a serem anonimizadas. Vários arquivos podem ser processados de uma vez (por exemplo, por estudo, por série) se as imagens forem todas do mesmo tamanho e as anotações estiverem no mesmo local.

Desavantagens: não pode ser usado em um processo de anonimização em lotes de dados com um script de desidentificação, o que permitiria o escurecimento de pixels incorporados com base no tamanho da imagem ou metadados.

• YAKAMI DICOM tools:

Disponibilizado pela Universidade de Kyoto [4]. Apesar de não ter sido atualizado desde 2014, pareceu importante incluí-lo, pois, assim como os dois programas citados anteriormente, é uma das poucas ferramentas na lista de [1] a proporcionar a anonimização de informações incorporadas na imagem. Testamos apenas o leitor de arquivos DICOM e a ferramenta de desidentificação. Este pacote de software foi fácil de instalar. O DICOM Viewer é fácil de usar e possui todas as ferramentas que você esperaria de um tal programa. Por exemplo: carregar uma imagem, exibição de multi-janelas, exibir em sobreposição os metadados do arquivo DICOM, modificar o windowing e o contraste, etc... Também permite adicionar anotações como pontos, linhas, polígonos, medidas de distância.

O recurso de desidentificação funciona ou com a ajuda de um script de conversão onde são definidos os campos do arquivo a ser modificado e como fazê-lo, ou configurando as opções de conversão através da interface do usuário (veja imagem abaixo).

Infelizmente, não foi possível visualizar o resultado da conversão porque o arquivo final estava corrompido, não conseguimos identificar de onde veio o erro.

O que o diferencia: permite escolher os valores que tornarão anônimos os metadados do arquivo DICOM, a ferramenta de visualização dos arquivos DICOM é bastante completa.
Desvantagens: difícil encontrar um guia de usuário ou um fórum ativo. A compreensão do funcionamento da ferramenta de conversão (desidentificação) não é fácil e intuitiva.

Ferramentas de desidentificação de metadados

Depois de termos visto como tornar anônimos os “pixel data” dos arquivos DICOM, vamos ver como desidentificar os metadados da imagem.
As três ferramentas anteriores tornam os pixels e metadados anônimos na imagem, mostramos esta opção em detalhes para você. Para que a comparação das ferramentas referenciadas por [1] seja completada, mostraremos os recursos que anonimizam apenas os metadados da imagem armazenada no arquivo DICOM (DICOM Library, DicomWorks).

• RSNA CTP: 

Ao usar a pipeline de desidentificação, os metadados da imagem relacionados às informações do paciente e do estudo são anonimizados, substituindo-os por valores aleatórios ou sendo excluídos (veja a imagem abaixo).

As regras de substituição são definidas em um script que é inserido como um parâmetro da pipeline de desidentificação.

O que o diferencia: a precisão na configuração graças aos scripts de configuração do anonimizador.
Desvantagens: você deve estar familiarizado com a linguagem de script para definir as regras de substituição de valores.

• DICOM Cleaner ^TM:

Antes da desidentificação dos pixels, este programa substitui os metadados do paciente e do estudo. Você pode definir as regras de substituição aplicadas entre as seguintes opções:

• valores aleatórios,
• ou valores automáticos,
• ou valores personalizados (veja imagem abaixo).

Você também pode selecionar os metadados a serem excluídos quando não substituídos (veja a imagem abaixo).

O que o diferencia: a interface gráfica facilita a definição dos valores de substituição e aqueles a serem excluídos. Vários arquivos podem ser processados ao mesmo tempo (por exemplo, por estudo, por série).

Desvantagens: não pode ser usado em um processo de anonimização em lote de dados com um script de desidentificação, o que permitiria o tratamento de vários pacientes com diferentes identificadores alternativos (pseudoanonimização).

• YAKAMI DICOM tools:

Os arquivos salvos após a anonimização das informações do paciente foram corrompidos. Não foi possível avaliar totalmente a ferramenta.

• DICOM Library:

Ferramenta online [5] da qual já falamos no nosso artigo sobre os 5 melhores visualizadores DICOM. Permite a anonimização dos metadados do arquivo DICOM. A lista de "tags" DICOM anônimas e suas regras de substituição estão disponíveis nos termos de uso. Porém, esta ferramenta não desidentifica os pixels se eles estiverem incorporados na imagem, como informa o site da DICOM Library com a menção “Não carrega arquivos com informações gravadas na imagem!”.

O que o diferencia: nenhuma instalação ou configuração necessária.

Desvantagens: conexão internet necessária.

• DICOM Works:

Ferramenta proposta por [6]. A interface gráfica e o upload de arquivos são fáceis de usar. A anonimização de metadados de arquivos existe na versão licenciada do programa. O DicomWorks busca todas as “tags” DICOM pertencentes aos grupos (0010) e (0008), ou seja, informações do paciente e do estudo. Em seguida, ele os substitui por valores predefinidos, como “Anonymized with DicomWorks” e “???” (veja a imagem abaixo).

Pros: No settings.

Cons: You need a license to access the anonymization of the metadata of the DICOM file. In trying to obtain the license, we were unable to complete the request process due to a service bug.

O que o diferencia: nenhuma configuração necessária.

Desvantagens: é preciso uma licença para acessar a anonimização dos metadados do arquivo DICOM. Ao tentar obter a licença, não foi possível concluir o processo de solicitação devido a um bug no serviço.

Quadro comparativo das ferramentas de desidentificação

Abaixo você verá um quadro comparativo das soluções apresentadas anteriormente. Seguindo os seguintes critérios de avaliação:

1. Respeito da confidencialidade dos dados durante o processamento;
2. Facilidade de instalação;
3. Facilidade de uso;
4. O quão completa é a ferramenta (anonimização de metadados e "pixel data");
5. Qualidade da anonimização (tipo de perfil confidencial usado, limpeza de pixel);
6. Capacidade de tratar um lote de dados (estudo, série de imagens).

Classificação: 0 critério não atendido, 5 critério atendido, NA critério não aplicável (por exemplo: incapacidade de avaliar a ferramenta de acordo com este critério)

Solução	Critério 1: Confidencialidade dos dados	Critério 2: Facilidade de instalação	Critério 3: Facilidade de uso	Critério 4: O quão completa é a ferramenta	Critério 5: Qualidade da anonimização	Critério 6: Capacidade de tratar uma série de imagens ao mesmo tempo
RSNA CTP	5 Software instalado no computador	3 Diferentes requisitos de instalação, documentação necessária para o engenheiro de sistemas	3 Conhecimento sobre linguagem de script e funcionamento do servidor cliente necessários	5	5 Se os scripts de anonimização são configurados de acordo com o conjunto de dados	5
DICOM CleanerTM	5 Software instalado no computador	5 Download e então pronto para uso	5 Interface de usuário de fácil compreensível	5	5	4 Se a pseudoanonimização não for necessária
YAKAMI DICOM Tools	5 Software instalado no computador	5 Download do arquivo, extração e pronto para uso	3 DICOM Viewer fácil de usar, o conversor DICOM é menos óbvio, especialmente devido à falta de um guia do usuário	5	NA Os arquivos salvos após anonimização estavam corrompidos	NA Os arquivos salvos após anonimização estavam corrompidos
DICOM Library	5 Serviço de anonimização antes de ser baixado no servidor do site	NA	5 Serviço web automático para anonimização	5	5	5
DICOM Works	5 Software instalado no computador	5 Download do arquivo, extração e pronto para uso	5 Com a condição de ter uma licença para a ferramenta	5  Com a condição de ter uma licença para a ferramenta	NA  NA  Sem uma licença, a ferramenta de anonimato não está disponível	NA  Sem uma licença, a ferramenta de anonimato não está disponível

Nossa opinião sobre as ferramentas de desidentificação

O software DICOM Cleaner^TM de PixelMed^TM parece ser a ferramenta de anonimização de arquivos DICOM gratuita mais adaptável e fácil de usar. Apesar de não ser possível processar vários arquivos de uma vez como o RSNA CTP, ele permite a desidentificação de pixels incorporados nas imagens e metadados de imagem. Apesar de sua incapacidade de incorporar um processo de anonimização em lote de dados (por exemplo, para pseudoanonimização), como o RSNA CTP, permite a desidentificação de pixels incorporados e metadados nas imagens.

Existem outras maneiras de tornar os metadados anônimos, além dos softwares de desidentificação. Por exemplo, se a imagem for usada somente no projeto de análise de imagem e não tiver pixels incorporados, a conversão do arquivo DICOM para o formato NIfTI é possível. O formato NIfTI armazena apenas os pixels da imagem. Ou, se os metadados devem ser preservados, pois serão variáveis ​​explicativas durante a análise da imagem, então pode-se considerar a codificação de um script de desidentificação da tag DICOM.

Quanto ao anonimato dos pixels da imagem, os métodos de machine learning / deep learning podem ser uma solução para a desidentificação manual.

Essas outras opções para desidentificar arquivos DICOM serão assunto dos próximos artigos.