A Safety Envelope for Foundation-Model Dental Diagnosis: Bounded-Deviation Guarantees and Cross-Center Refusal

Technische Samenvatting: Een Veiligheidsenvelop voor Fundamentele Modellen in de Tandheelkundige Diagnostiek

Probleemstelling
Hoewel fundamentele modellen voor tandheelkundige radiografie een hoge diagnostische nauwkeurigheid hebben bereikt, missen ze de betrouwbaarheidseigenschappen die vereist zijn voor klinische inzetbaarheid. Specifiek lijden deze modellen vaak aan miskalibratie (waarbij de gerapporteerde zekerheid niet overeenkomt met de empirische frequentie), stille degradatie bij herinvoering in nieuwe omgevingen, en het onvermogen om voorspellingen te onthouden bij onbekende inputs (out-of-distribution of OOD). Huidige systemen richten zich op accuratiewaarden, maar falen in het bieden van garanties voor afwijkingen binnen bepaalde grenzen of principiële weigeringsmechanismen, wat een kloof creëert tussen hoge prestaties en klinische veiligheid.

Methodologie
De auteurs stellen een backbone-agnostische "veiligheidsenvelop" voor die elke bevroren fundamentele encoder omhult zonder dat de backbone opnieuw getraind hoeft te worden. Het systeem werkt op basis van tand-niveau crops uit panoramische röntgenfoto's en bestaat uit drie geïntegreerde componenten:

1. Gekalibreerde Baseline: Een met temperatuur geschaalde lineaire probe wordt gefit op de bevroren embeddings om een vertrouwde, gekalibreerde baseline-voorspelling te vestigen.
2. Bounded-Deviation Safety Envelope (Veiligheidsenvelop met Begrensde Afwijking): Een ondiepe residuele kop voegt een correctie per conditie toe aan de baseline logit. Deze correctie wordt hard geclipst naar een symmetrische grens $\delta$. Deze structurele beperking zorgt ervoor dat de uiteindelijke voorspelling niet meer dan $\delta$ afwijkt van de vertrouwde baseline en de baseline exact herstelt als de residuele kop nul is. Dit biedt een bewijsbaar, worst-case scenario tegen stille degradatie.
3. Out-of-Distribution Refusal Gate (OOD-Weigeringspoort): Een OOD-detector gebaseerd op de Mahalanobis-afstand van de input-embedding tot de trainingsdistributie. Inputs die een drempelwaarde overschrijden (afgestemd op een specifieke in-distributie weigeringspercentage, bijv. 5%) worden gedeferreerd naar een clinicus in plaats van een voorspelling toegekend te krijgen.

De methode is ontworpen om lichtgewicht te zijn; het vereist alleen de training van een kleine kop en een enkele afstandsberekening bovenop een bevroren encoder.

Belangrijkste Bijdragen
Het artikel beschrijft vier primaire bijdragen:

• (C1) Bounded-Deviation Guarantee (Garantie op Begrensde Afwijking): Een residuele envelop-kop met een harde clip die een bewijsbare grens $\delta$ afdwingt op de afwijking van een gekalibreerde baseline, wat zorgt voor exacte herstel in het slechtste geval (Propositie 1).
• (C2) OOD Refusal Mechanism (OOD-Weigeringsmechanisme): Een poort in de embedding-ruimte gebaseerd op de Mahalanobis-afstand die onthoudt bij onbekende inputs, afgestemd op een specif근 in-distributie weigeringspercentage.
• (C3) Empirisch Bewijs van Miskalibratie: Demonstratie via een "classifier zoo" (drie architecturen) en multi-label head-ablatie dat accurate tandheelkundige classificators systematisch misgekalibreerd zijn, wat de noodzaak voor een post-hoc veiligheidslaag in plaats van architecturale complexiteit motiveert.
• (C4) Cross-Center Validatie: Evaluatie op een fundamenteel andere klinische database (Tufts Dental Database) die laat zien dat het weigeringsmechanisme de meerderheid van de inputs uit onbekende centra afwijst, terwijl het lage weigeringspercentages behoudt op zijn eigen centrum.

Resultaten
Experimenten werden uitgevoerd op de DENTEX panoramische benchmark en kruisgewalideerd op de Tufts Dental Database en de ADCD externe validatieset. Twee structureel verschillende bevroren encoders werden getest: een tandheelkundige-specifieke Vision Transformer (ViT-L) en een biomedisch Vision-Language model (BiomedCLIP).

• Kalibratie en Discriminatie: Op de tandheelkundige backbone verbeterde de envelop de Expected Calibration Error (ECE) van 0.040 naar 0.034, terwijl de macro-AUC licht verbeterde (0.849 naar 0.857). Op de biomedische backbone behield het de kalibratie en verbeterde het de discriminatie. De afwijkingsgarantie werd nagekomen in alle achttien geteste condities (drie seeds $\times$ twee backbones $\times$ $\delta$-sweep).
• Operating Point Metrics: Bij een beslissingsdrempel van 0.5 verhoogde de envelop de macro-F1 van 0.46 naar 0.58, primair door de sensitiviteit te herstellen op zeldzame condities (Deep Caries en Periapical Lesion) die de baseline miste.
• Refusal Performance (Prestaties van het Weigeren): Op de Tufts-dataset (een ander land en een ander acquisitiesysteem) weigerde de envelop 84,7% van de inputs bij een werkpunt dat slechts 5,1% van zijn eigen centrum (DENTEX) weigerde. De Mahalanobis-gebaseerde poort presteerde significant beter dan logit-gebaseerde detectoren (MSP, Energy, ODIN) in het onderscheiden van het onbekende centrum (AUROC 0.968 vs. ~0.78).
• Robuustheid: De methode was robuust tegen de hyperparameter $\delta$, waarbij optimale prestaties werden waargenomen in het bereik $[1.0, 2.0]$. De grens werd empirisch geverifieerd als nauwkeurig en werd nooit geschonden.

Significantie en Claims
Het artikel claimt dat de primaire bijdrage veiligheid is, niet een uniforme toename in nauwkeurigheid. De significantie ligt in het bieden van een "veiligheidstriade":

1. Kalibratie: Betekenisvolle betrouwbaarheidsscores.
2. Bounded Deviation (Begrensde Afwijking): Een structureel contract dat stille degradatie ten opzichte van een vertrouwde baseline voorkomt.
3. Refusal (Weigering): Het vermogen om te delegeren aan een clinicus bij onbekende data.

De auteurs benadrukken dat de veiligheidsgarantie architecturaal is, niet statistisch; het geldt voor elke input en elke backbone omdat het rust op de clipping-operatie in plaats van op aannames over de datadistributie. De methode is ontworend om direct herbruikbaar te zijn wanneer sterkere tandheelkundige fundamentele modellen worden uitgebracht, als een draagbare veiligheidslaag die "verbetert waar nodig, nooit schaadt, en een formeel garant biedt." Het artikel stelt expliciet dat de winsten in discriminatie bij ontwerp bescheiden zijn, en dat het werk niet gelezen moet worden als een prestatieresultaat maar als een framework voor betrouwbare inzetbaarheid.

Door de auteurs opgemerkte beperkingen

• De winsten in discriminatie zijn bescheiden; de focus ligt strikt op veiligheidseigenschappen.
• De datasets (DENTEX, Tufts, ADCD) zijn publiek en relatief klein; een prospectieve klinische cohort met per-tand labels is nodig voor een definitieve evaluatie van de betrouwbaarheid.
• De gebruikte tandheelkundige encoder werd getraind op periapicale afbeeldingen maar toegepast op panoramische crops; echter, testen met een panoramische-geschikte backbone toonden vergelijkbare resultaten, wat suggereert dat fouten op taalniveau liggen en niet op domain-shift artefacten.
• De bounded-deviation garantie is relatief aan een eenvoudige gekalibreerde baseline; het vervangen hiervoor door een door een clinicus afgeleide prior zou het contract klinisch betekenisvol maken.
• De methode lokaliseert geen tanden; het vereist een upstream tand-detectiestadium.
• De methode benchmarkt niet tegen ensemble-gebaseerde onzekerheidsmethoden (bijv. deep ensembles), aangezien deze incompatibel zijn met de bevroren, no-retraining setting.