A Safety Envelope for Foundation-Model Dental Diagnosis: Bounded-Deviation Guarantees and Cross-Center Refusal

Resumo Técnico: Um Envelope de Segurança para Diagnóstico Odontológico Baseado em Modelos de Fundação

Definição do Problema
Embora os modelos de fundação para radiografia odontológica tenham alcançado alta precisão diagnóstica, eles carecem das propriedades de confiabilidade necessárias para a implantação clínica. Especificamente, esses modelos frequentemente sofrem de má calibração (onde a confiança relatada não corresponde à frequência empírica), degradação silenciosa ao serem implantados em novos ambientes e a incapacidade de abster-se de previsões em entradas desconhecidas (fora da distribuição ou OOD — out-of-distribution). Os sistemas atuais focam em métricas de acurácia, mas falham em fornecer garantias de desvio limitado ou mecanismos de recusa fundamentados, criando uma lacuna entre o alto desempenho e a segurança clínica.

Metodologia
Os autores propõem um "envelope de segurança" agnóstico ao backbone que envolve qualquer codificador de fundação congelado sem exigir o retreinamento do backbone. O sistema opera em recortes ao nível do dente a partir de radiografias panorâmicas e consiste em três componentes integrados:

1. Linha de Base Calibrada: Uma sonda linear com escalonamento de temperatura é ajustada sobre os embeddings congelados para estabelecer uma previsão de linha de base confiável e calibrada.
2. Envelope de Segurança de Desvio Limitado: Uma cabeça residual rasa adiciona uma correção por condição ao logit da linha de base. Esta correção é cortada rigidamente (hard-clipped) a um limite simétrico $\delta$. Esta restrição estrutural garante que a previsão final desvie da linha de base confiável em no máximo $\delta$ e recupere a linha de base exatamente se a cabeça residual for zero. Isso fornece uma garantia de pior caso provável contra a degradação silenciosa.
3. Portão de Recusa de Fora da Distribuição (OOD): Um detector OOD baseado na distância de Mahalanobis do embedding de entrada em relação à distribuição de treinamento. Entradas que excedem um limiar (ajustado para uma taxa de recusa específica de dentro da distribuição, por exemplo, 5%) são adiadas para um clínico em vez de receberem uma previsão.

O método é projetado para ser leve, exigindo apenas o treinamento de uma pequena cabeça e um único cálculo de distância sobre um codificador congelado.

Principais Contribuições
O artigo delineia quatro contribuições primárias:

• (C1) Garantia de Desvio Limitado: Uma cabeça de envelope residual com um corte rígido que impõe um limite provável $\delta$ no desvio em relação a uma linha de base calibrada, garantindo a recuperação exata no pior caso (Proposição 1).
• (C2) Mecanismo de Recusa OOD: Um portão de embedding usando distância de Mahalanobis que se abstém de entradas desconhecidas, ajustado para uma taxa de recusa de dentro da distribuição específica.
• (C3) Evidência Empírica de Má Calibração: Demonstração via um "zoológico de classificadores" (três arquiteturas) e ablação de cabeça multirrótulo de que classificadores odontológicos precisos são sistematicamente mal calibrados, motivando a necessidade de uma camada de segurança post-hoc em vez de complexidade arquitetônica.
• (C4) Validação Cross-Center: Avaliação em um banco de dados clínico genuinamente diferente (Tufts Dental Database) mostrando que o mecanismo de recusa adia a maioria das entradas de centros não vistos, mantendo baixas taxas de recusa em seu próprio centro.

Resultados
Experimentos foram conduzidos no benchmark panorâmico DENTEX e validados cruzados no Tufts Dental Database e no conjunto de validação externa ADCD. Dois encoders estruturalmente diferentes e congelados foram testados: um Vision Transformer dentário específico (ViT-L) e um modelo de Visão-Linguagem biomédico (BiomedCLIP).

• Calibração e Discriminação: No backbone dentário, o envelope melhorou o Erro de Calibração Esperada (ECE) de 0,040 para 0,034, enquanto melhorou ligeiramente o macro-AUC (0,849 para 0,857). No backbone biomédico, preservou a calibração e melhorou a discriminação. A garantia de desvio manteve-se em todas as dezoito condições testadas (três sementes $\times$ dois backbones $\times$ varredura de $\delta$).
• Métricas de Ponto de Operação: Em um limiar de decisão de 0,5, o envelope aumentou o macro-F1 de 0,46 para 0,58, principalmente ao recuperar a sensibilidade em condições raras (Cárie Profunda e Lesão Periapical) que a linha de base ignorava.
• Desempenho de Recusa: No conjunto de dados Tufts (um país e um sistema de aquisição diferentes), o envelope recusou 84,7% das entradas em um ponto de operação que recusou apenas 5,1% de seu próprio centro (DENTEX). O portão baseado em Mahalanobis superou significativamente os detectores baseados em logits (MSP, Energy, ODIN) na distinção do centro não visto (AUROC 0,968 vs. ~0,78).
• Robustez: O método foi robusto ao hiperparâmetro $\delta$, com desempenho ideal observado no intervalo $[1,0, 2,0]$. A garantia de desvio foi verificada empiricamente como estrita e nunca violada.

Significância e Alegações
O artigo alega que a principal contribuição é a segurança, não um aumento uniforme na acurácia. A significância reside em fornecer uma "tríade de segurança":

1. Calibração: Pontuações de confiança significativas.
2. Desvio Limitado: Um contrato estrutural que impede a degradação silenciosa em relação a uma linha de base confiável.
3. Recusa: A capacidade de adiar para um clínico em dados desconhecidos.

Os autores enfatizam que a garantia de segurança é arquitetônica, não estatística; ela se mantém para qualquer entrada e qualquer backbone porque depende da operação de corte, em vez de suposições de distribuição de dados. O método é projetado para ser imediatamente reutilizável conforme modelos de fundação odontológica mais fortes sejam lançados, atuando como uma camada de segurança portátil que "melhora onde necessário, nunca prejudica e fornece uma garantia formal". O artigo afirma explicitamente que os ganhos de discriminação são modestos por design, e o trabalho não deve ser lido como um resultado de desempenho, mas como um framework para implantação confiável.

Limitações Notadas pelos Autores

• Os ganhos de discriminação são modestos; o foco é estritamente nas propriedades de segurança.
• Os conjuntos de dados (DENTEX, Tufts, ADCD) são públicos e relativamente pequenos; uma coorte clínica prospectiva com rótulos por dente é necessária para uma avaliação definitiva de confiabilidade.
• O codificador dentário usado foi treinado em imagens periapicais, mas aplicado a recortes panorâmicos; no entanto, testes com um backbone capaz de panorâmicas mostraram resultados semelhantes, sugerindo que os erros são de nível de tarefa e não artefatos de mudança de domínio.
• A garantia de desvio limitado é relativa a uma linha de base calibrada simples; substituir isso por um prior derivado de um clínico tornaria o contrato clinicamente significativo.
• O método não localiza dentes; requer uma etapa de detecção de dentes anterior.
• O método não faz o benchmarking contra métodos de incerteza baseados em ensembles (ex: deep ensembles), pois estes são incompatíveis com o cenário de backbone congelado e sem retreinamento.