基于可逆神經網絡的小波域抗屏攝數字水印

中圖分類號：TP929 文獻標志碼：A

Screen-shooting resilient digital watermarking based on invertible neural network in wavelet domain

CHENG Senmao1， GUO Daidou’，LIFengyong2， HAN Yanfang1，QIN Chuan1 （1.SchoolofOptical-ElectricalandComputerEnginering，UniversityofanghaifoienceandThologangha03， China;2.CollgeofComputer ScienceandTechnology，Shanghai UniversityofElectricPower，Shanghai 2Ol306，China）

Abstract： Multimedia security in screen-shooting channel transmisson remains a major challenge in the digital watermarking research. In view of the problems of differences in light intensities and sampling distortions during the screen-shooting process， watermarking schemes designed based on digital channels are not suitable for screen-shooting channels. Therefore， a screen-shooting resilient watermarking scheme based on invertible neural networks in the wavelet domain was proposed to address the issue of \"cross-media robustness\". First， the watermark message and the original image were preprocessed using a preprocessing network based on the U-Net structure to generate the residual image. Next， the residual image was subjected to discrete wavelet transform with the original image， and the invertible neural network was used to embed and extract watermarks in the wavelet domain. Finally， a noise pool was integrated into the model training process to enhance the robustness against screenshooting noise atacks. Simulation results demonstrate that the proposed scheme generates watermarked images with better visual quality and achieves high accuracy of watermark extraction at diffrent distances， angles， and light intensities of screen-shooting.

Keywords： robust watermarking; screen-shooting; invertible neural network; wavelet domain

隨著智能便攜攝影設備擁有越來越高的拍照性能和普及率，拍照成為了日常生活中最簡單高效的信息傳遞方式之一。人們只需要對顯示在屏幕上的多媒體內容進行拍照就可以實現信息的獲取，且不會留下任何記錄痕跡。因此，屏幕拍照過程中的信息泄露問題亟需解決。抗屏攝數字水印的目標是通過在多媒體數據中嵌入水印信息，使得顯示在屏幕上的多媒體數據即使被相機所捕獲，水印信息仍然能夠保證可提取，從而達到版權保護和追蹤溯源的目的[1-2]

相較于人為設計嵌入規則的傳統魯棒水印方法，基于深度學習的魯棒水印方法可以更好地發揮特征擬合能力，并通過端到端的聯合訓練實現高質高效嵌入，包括一般的深度魯棒水印技術[3-7]和針對跨媒介通信的深度魯棒水印技術[8-12]。然而，一般的深度魯棒水印方法通常只考慮數字傳輸信道的魯棒性，例如噪聲、平移、縮放、JPEG壓縮和濾波等，忽略了跨媒介傳輸信道，特別是屏攝傳輸信道所帶來的噪聲攻擊。與數字傳輸信道相比，屏攝傳輸信道中涉及的噪聲更加復雜，例如屏幕顯示和相機成像之間的數模轉換、傳感器以及后處理操作等，導致成像過程不僅受到硬件設備（如顯示器類型和攝像頭質量）的影響，還受到人為和環境因素（如環境光源、拍攝角度和拍攝距離）的影響。因此，真實屏攝環境下的噪聲對含水印圖像的干擾性更強，這就對水印信息的提取精度提出了更高的要求。

為了解決該問題，研究者們提出了一系列基于深度神經網絡的抗屏攝數字水印方法。例如，Zhu 等[13]提出了HiDDeN水印框架，通過在端到端的訓練中引入噪聲層來增強魯棒性。Liu等[14]提出了一種基于深度學習的兩階段可分離水印框架。第一階段采用多層特征編碼策略來訓練編碼器；第二階段結合真實的噪聲攻擊生成噪聲圖像，利用噪聲圖像對解碼器進行訓練，以增強解碼器的魯棒性。Tancik等[15]提出了適用于“打印-拍照”過程的水印方法——StegaStamp，并使用生成對抗網絡[1]（generative adversarial network，GAN）對圖像進行對抗訓練。此外，還有SSDeN[17]、RIHOOP[18]和 PIMoG[19] 等深度抗屏攝數字水印方法。上述抗屏攝水印方法基本上都遵循著編碼器-噪聲層-解碼器的結構，雖然在不同程度上提升了抗屏攝攻擊的能力，但是，該結構也存在著一些局限性。例如，解碼器及其隱變量是由數據推斷出的近似似然評估，這意味著模型訓練目標不是一個精確的形式，會導致不可逆的特征丟失，不利于水印信息的提取。

針對上述問題，本文提出了一種基于可逆神經網絡（invertibleneuralnetwork，INN）的小波域抗屏攝水印方法，通過構建一個基于U-Net網絡結構的預處理網絡，對水印信息和原始圖像進行預編碼，提高含水印圖像的視覺質量與魯棒性。另外，基于可逆神經網絡參數共享機制，在Haar小波域內實現水印信息的嵌入和提取，提升模型的訓練效率和不可感知性，并增加了一個集成有數字攻擊和真實屏攝攻擊的噪聲池，加強抵抗屏攝噪聲攻擊的能力。

1 基于可逆神經網絡的小波域抗屏攝水印方法

如圖1所示，本文所提出的基于可逆神經網絡的小波域抗屏攝水印方法包括5個部分：預處理模塊、可逆模塊、噪聲池、矯正模塊和信息提取模塊。圖中：DWT和IWT分別表示離散小波變換（discretewavelettransform，DWT）和逆離散小波變換（inversewavelet transform，IWT）； F_o 和 F_r 分別表示原始圖像特征和殘差圖像特征； F_e 和 F_t 分別表示含水印圖像特征和原始圖像特征 F_o 的輸出； S 為縮放強度因子； F_d1 和 F_d2 分別為噪聲圖像特征和輔助變量； F_r^′ 和 F₀^' 為恢復殘差圖像特征和恢復圖像特征； ?（?） 、 ρ（?） 和 η（?） 是任意函數。

1.1 預處理模塊

預處理模塊由一個全連接層（fullyconnectedlayer，FC）和一個簡化版的U-Net網絡[20]組成。簡化版U-Net網絡有6層網絡結構，其中包括：2個下采樣層，用于降低輸入圖像尺寸，增強圖像局部特征的提取；中間的1個卷積層，用于提取圖像局部特征；2個上采樣層，用于將特征圖恢復到原始輸入圖像的尺寸；上采樣和下采樣之間的跳躍連接可以更多地傳遞上下文信息和保留細節；最后1層為信息分類層。相較于常規的全連接層網絡，U-Net網絡的設計使其在圖像處理時能夠更好地保留空間信息，有效地融合了深層特征和淺層特征，從而能夠同時捕獲圖像的全局信息和細節信息。為了提升模型的訓練速度，本文設計了簡化版的U-Net網絡作為預處理模塊，減少模型的深度和卷積層中的參數數量，在保證圖像質量的同時降低了過擬合風險。

首先，預處理網絡將水印信息 M∈（0，1）^K 通過全連接層形成 C×（H/4）×（W/4） 的張量；然后，再經過上采樣操作生成與原始圖像 具有相同大小的張量；最后，將該張量和原始圖像進行級聯并輸入到U-Net網絡中，得到含有水印信息的殘差圖像 I_r 。其中： C 表示通道數； H 表示圖像的高度； W 表示圖像的寬度； K 表示水印信息的長度。由于預處理模塊實現了水印信息到原始圖像的預編碼，因此，該模塊的加入會增強含水印圖像的視覺質量和魯棒性，其處理過程如下：

式中，fFc（.）、fus、fu和 f_PM（?） 分別表示全連接操作、上采樣操作、經過U-Net和經過預處理模塊處理的操作。

1.2 基于頻域的可逆神經網絡

在INN中，給定一個變量 x 和正向計算 y=f（x） ，可以通過反向計算 x=f^-1（y） 直接恢復出變量 x ，正向函數 f 與反向函數 f^-1 共享相同的參數[21-22]。受此啟發，為了提升模型的訓練效率和降低訓練難度，本文使用INN作為骨干網絡實現水印的嵌入和提取。此外，根據人類視覺系統（humanvisualsystem，HVS）的掩蔽效應，水印信息可以被嵌入到原始圖像中不易被感知的區域，特別是離散小波變換域中的高頻區域。因此，為了提高不可感知性，本研究將INN與Haar小波域相結合。與傳統的U-Net網絡相比，INN的設計允許在網絡的正向和反向傳播中精確地重建輸入數據，這意味著在頻域上進行水印的嵌入和提取時，它能夠更好地保留圖像的原始信息和細節。另外，INN能夠區分和處理圖像信號的不同頻率成分，這使得它在面對噪聲干擾時，特別是在處理高頻噪聲時表現出更好的魯棒性。INN的逆向過程通過執行與正向過程相反的操作來進行，其中，正向傳播和逆向傳播共享參數。

在嵌入過程中，大小為 C×H×W 的原始圖像I_o 和殘差圖像 I_r 經過DWT后分別被轉換成大小為 4C×（H/2）×（W/2） 的張量，得到 F_o 和 F_r ，其變換過程如下：

F₀=fDWT（I₀）

F_r=f_DWT（I_r）

式中， f_DWT（?） 表示離散小波變換。

接著，在將 F_o 和 F_r 輸入到INN的正向傳播過程中，獲得 F_e 和 F_t° 將 F_e 經強度因子 S 縮放并添加到 F_t 中，通過IWT后得到含水印圖像 I_e∈（0，255）^C×H×W ，計算過程如下：

F_e=F_r⊕?（F_o）

（5）式中： ⊕ 表示加法運算； ? 表示點積運算；fiwr表示逆離散小波變換。這里使用了swintransformer[23]的網絡結構，如圖2所示。

提取過程中，噪聲圖像 I_d 通過DWT后得到F_d1 ，將其復制并作為輔助變量 F_d2 ，同時輸入到INN的反向傳播過程中，得到 F_r^' 和 F₀^' 。由于所提方法的最終目標是恢復水印信息 M^′ ，本文將 F_o^' 丟棄，只保留 F_r^' 。最后，通過IWT得到恢復殘差圖像 I_r^′ ，公式如下：

式中， 表示減法運算。

1.3 噪聲池

為了提升抵抗噪聲攻擊的能力，本研究設計了一個噪聲池來模擬屏攝過程中可能存在的攻擊，噪聲池主要集成了5種攻擊：透視變換、裁剪攻擊、JPEG壓縮、組合噪聲攻擊、摩爾紋攻擊。針對攻擊透視變換-攻擊組合噪聲攻擊，本文使用可微函數進行近似模擬。例如：使用一個隨機單應性模擬與圖像傾斜的相機效果模擬透視變換；使用高斯噪聲模型來解釋成像噪聲；結合Shin 等[24]的方法運用分段函數逼近量化步長來模擬JPEG壓縮。

由于無法使用可微函數對屏攝過程中產生的摩爾紋進行定量分析，本文借鑒Wengrowski等[25]的方法，采用CameraDisplay 1M數據集對類似于U-Net網絡的失真網絡進行訓練來模擬摩爾紋攻擊，具體結構如圖3所示。

對含水印圖像的攻擊可表示為

I_d=f_NP（I_e）=A（I_e）+Z

式中： I_d 表示受到攻擊后的含水印圖像，即噪聲圖像； Z 表示疊加的失真摩爾紋； A（?） 表示5種隨機噪聲攻擊； 表示經過噪聲池處理的操作。

1.4 矯正模塊

在屏攝過程中，通過相機捕獲的屏攝圖像I_s 可能不僅包括含水印圖像本身，還包括部分多余的背景信息。這些背景信息的存在會嚴重干擾水印信息的提取精度。所以，去除多余的背景信息非常必要。為了解決該問題，本文采用了DeepLab V3+^[26] 語義分割模型實現目標區域的定位和分割，如圖4所示。同時，使用基于中值濾波的Canny檢測方法和Hough變換對分割區域的邊緣進行平滑處理和角點定位。通過已定位角點對得到的分割圖像進行透視變換處理，最后獲得矯正圖像 I_p ，計算過程如下：

I_p=f_CN（I_s）=（f_Hough（f_Camy（f_DM（I_s））））

式中， f_DM（?）?Γ，Γf_Canny（?）?Γf_Hough（?） 和 f_CN（?） 分別表示定位分割操作、Canny檢測、Hough變換和經過矯正模塊處理的操作。

1.5 信息提取模塊

信息提取模塊由4個卷積層和1個全連接層組成，其主要目標是從恢復的殘差圖像 I_r^' 中提取出已嵌入的二進制水印信息 M^'∈（0，1）^K ，水印信息的提取過程如下：

式中， f_IE（?） 表示信息提取模塊處理的操作。

1.6 損失函數

為了保證含水印圖像的視覺質量以及水印信息的提取準確率，在訓練過程中，分別使用了3種不同的損失函數對模型進行監督：縮小含水印圖像 I_e 與原始圖像 I_o 之間感知差異的損失函數L_c ；提高信息恢復準確率的信息損失函數 L_R ；增強水印隱蔽性的低頻小波損失函數 L_f°

為了使編碼后的含水印圖像 I_e 與原始圖像I_o 在視覺感知上盡可能相似，設計了感知相似度損失函數 L_c

式中， 表示對每個元素的平方求和，然后再計算平方根。

在信息提取過程中，給定含水印圖像 I_e ，信息提取網絡應該能夠盡可能準確地恢復出長度為K 的二進制水印信息 M^′ ，本文通過信息損失函數L_R 監督該過程：

由于人眼對圖像高頻子帶噪聲的敏感度較低，將水印信息嵌入到DWT域的高頻成分中，可以提高隱蔽性。受此啟發，文中提出了低頻小波損失（low frequencywaveletloss， LL）L_f 來增強所提方法的隱蔽性。通過最小化原始圖像和含水印圖像在 L_f 上的差值，使更多的水印信息嵌入到圖像的高頻成分中，低頻小波損失函數的定義如下：

式中： I_oLL 表示原始圖像在離散小波域的低頻子帶信息； I_eLL 表示含水印圖像在離散小波域的低頻子帶信息。

最后，總損失函數 L_total 是 L_c 、 L_f 的加權和，即

L_total=λ_cL_c+λ_RL_R+λ_fL_f

式中， λ_c 、R和 λ_f 是超參數。在模型訓練初始階段，只有 L_c 和 L_R 參與訓練，隨著模型逐漸收斂，最后將 L_f 添加到端到端的訓練過程中。

2 實驗結果及分析

2.1 實驗數據集及參數設置

實驗中所使用的原始圖像均來自于COCO2014數據集[27]，其中，訓練集包括 40000張圖像，測試集包括10000張圖像，訓練集中的圖像數據與測試集中的圖像數據均不相同。為了保證圖像尺寸的統一性，使用中心裁剪的方式對原始圖像進行統一裁剪，像素大小設置為 256×256 。二進制水印信息則采用隨機生成的方式獲取，長度設置為64bit。整個模型使用雙Nvidia3090顯卡進行訓練，其中，批量大小設置為8，學習率設置為0.0001，優化算法選擇Adam算法。圖像分割模型DeepLabV3+所使用的數據集則為自建屏攝數據集，采集標準如下：相機拍攝角度控制在±25^° 的偏轉范圍內，拍攝距離小于等于 50cm ，所拍攝的圖像來自于ImageNet 數據集[28]，并對每張屏攝圖像的角點進行標記，生成訓練標簽。

超參數 λ_c 、R和 λ_f 取值分為以下3種情況：無噪聲池參與的模型在訓練過程中，參數分別設置為5.0、0.1和5.0；只添加數字攻擊對模型進行訓練時，參數分別設置為5.0、1.0和5.0；同時添加數字攻擊和屏攝攻擊對模型進行訓練時，參數分別設置為1.0、1.0和1.0。

縮放強度因子 S 隨著訓練的進行而逐步減小，初始取值為1.5，每個訓練周期之后衰減0.05。20個訓練周期之后衰減到最小值0.5，之后不再變化。

2.2 評價指標

實驗通過計算水印信息的提取精度（accuracy，ACC）進行魯棒性評估，如式（16）所示，誤碼率（biterrorrate，BER）如式（17）所示。

A=1-B

式中： A 為提取精度； B 為誤碼率； M_i 表示原始水印信息的第 i 個比特； M_i^′ 表示恢復水印信息的第 i 個比特。

通過使用峰值信噪比（peaksignal-to-noiseratio，PSNR）和結構相似性（structural similarityindex，SSIM）對含水印圖像的圖像質量進行評估：

式中： P 為峰值信噪比； E_MSE 為均方誤差（meansquared error，MSE）， I_e（x，y）]² ； 為衡量結構相似性的指標； I_o（x， y） 和 I_e（x，y） 分別表示原始圖像 I_o 和含水印圖像

I_e 在坐標 （x，y） 處的像素； I_MAX 指圖像的最大像素值； o^（i） 和 e^（i） 是 I_o 和 I_e 的第 i 個塊； N 是指塊的總數； μ_o^（i） 和 μ_e^（i） 指 o^（i） 和 e^（i） 的均值； σ_oe^（i） 指 o^（i） 和 e^（i） 的協方差； σ_o^（i） 和 σ_e^（i） 指 o^（i） 和 e^（i） 的標準差； C₁ 和C₂ 是兩個趨近于0的小常數。

2.3 圖像質量比較

對于含水印圖像的質量分析，實驗分別與StegaStamp、HiDDeN、 CIN^[29] ！ UDH^[30] 和PIMoG方法進行比較。所有方法均使用來自于COCO2014數據集中相同的1000張原始圖像，水印信息的長度設置為 64bit 。圖5是一組原始圖像以及分別用5種方法所生成的含水印圖像示例。通過圖5可以看到，與其他5種方法相比，通過本文方法生成的含水印圖像在大塊純色區域上，陰影大幅度減少，較好地保留了圖像的細節特征，在生成的含水印圖像質量上也有著較為明顯的優勢，詳細實驗結果見表1。由表1可知，本文方法生成的含水印圖像，其PSNR值和SSIM值分別達到35.07dB和0.9736，相較于抗屏攝水印模型 StegaStamp，PSNR值提高了 7.82dB ，SSIM值提高了0.0709。同時，表1數據說明，本文方法也分別優于CIN、HiDDeN、UDH和PIMoG這4種模型

2.4 魯棒性比較

為了更加全面客觀地評價本文方法的魯棒性，實驗分別對6種方法所生成的含水印圖像進行了數字攻擊，對 StegaStamp、CIN、UDH、PIMoG和本文方法進行了真實屏攝攻擊，其中，水印信息的長度同樣設置為64bit。

2.4.1抗數字攻擊的性能評估

實驗隨機選取了來自COCO2014數據集中的1000張圖像作為原始圖像，并使用3種常見的數字攻擊，即裁剪、JPEG壓縮和組合噪聲對含水印的圖像進行測試。a.裁剪攻擊：現實屏攝過程中，異物遮擋鏡頭常導致拍攝到的圖像不完整。為了模擬物體遮擋的情況，本研究選用不同比例大小的黑色像素塊隨機覆蓋含水印圖像，實驗結果見圖6。b.JPEG壓縮：在圖像存儲和傳輸過程中，為了節省圖像存儲空間以及增加傳輸效率，一般會采用JPEG格式對圖像進行有損壓縮，本研究使用了不同的壓縮質量因子對含水印圖像進行測試，實驗結果見圖7。c.組合噪聲：實驗中主要考慮了最常見的椒鹽噪聲和高斯噪聲。椒鹽噪聲在圖像中表現為離散分布的純白色或黑色像素點，高斯噪聲是指噪聲密度函數服從高斯分布的噪聲，標準方差的大小代表了噪聲強度。實驗主要對含水印圖像隨機添加不同強度的椒鹽噪聲和高斯噪聲進行測試，實驗結果見圖8。通過圖 6～ 8可以看出，相較于StegaStamp、HiDDeN、CIN、PIMoG和UDH，本文方法在不同類型和不同強度的數字攻擊下均有著較高的提取準確率。

2.4.2抗屏攝攻擊的性能評估

針對真實的屏攝攻擊，實驗隨機選取了來自COCO2014數據集中的50張圖像作為原始圖像，并對各方法生成的含水印圖像在不同的拍攝距離、拍攝角度和光照度條件下進行測試。

a.不同拍攝距離：實驗分別在20、35、50cm 下對含水印圖像進行拍攝。圖9顯示了在不同距離下的屏攝結果和對應的矯正圖像示例，實驗結果見表2。通過表2可以看出，本文方法的水印信息提取準確率優于StegaStamp、CIN、UDH和PIMoG模型。

b.不同的拍攝角度：實驗選擇了 60^° 、 45^° 和30^° 作為拍攝位置與屏幕所在位置的夾角，正號（+） 和負號（-）分別代表左向拍攝和右向拍攝，垂直拍攝距離設置為 35cm ，實驗結果見圖10和表3。根據表3可知，在不同的拍攝角度下，本文方法的水印提取準確率依然有著較為明顯的優勢。

c.不同的光照度：在低光照環境下拍攝圖像時，為了實現理想曝光，通常需要提高感光度，但高感光度會顯著增加畫面噪點。本研究分別在光照強度為50、150、 300lx 的環境下進行了實驗，垂直拍攝距離為 35cm 。圖11展示了不同光照強度下的屏幕拍攝圖像及其對應的矯正圖像示例。另外，通過表4可以看出，本文方法在不同光照度下的水印提取準確率同樣優于StegaStamp、CIN、UDH和PIMoG方法。

2.5 消融實驗

本研究主要對以下3種情況進行了消融實驗：

a.對預處理模塊PM的重要性討論。本文方法的預處理模塊PM主要用于提升含水印圖像的質量。因此，為進一步驗證預處理模塊PM的重要性，對其進行了消融實驗，實驗的參數設置與上文保持一致，實驗結果見表5。通過表5可以看出，在未添加PM模塊的情況下，PSNR值和SSIM值分別為33.96dB和0.9685，而添加PM之后，PSNR值和SSIM值均有明顯提升。

b.對PM中有/無原始圖像 I_o 參與的討論。對該問題進行兩種情況的討論： （a）預處理模塊PM的輸人僅與水印信息 M 有關，原始圖像 I_o 不參與此模塊的輸入；（b）水印信息 M 和原始圖像I_o 均作為預處理模塊PM的輸入。通過對上述兩種情況生成的含水印圖像 I_e"進行分析，實驗結果見表6。通過表6可以看出，有原始圖像 I_o"參與PM訓練的情況下，PSNR值和SSIM值均優于原始圖像 I_o"不參與PM訓練情況下的相應數值。

表6原始圖像 I₀"是否參與PM訓練的含水印圖像質量 Tab.6Watermarked image quality with or without I_o

c.對函數 ?（?） 、 ρ（?） 和 η（?） 不同結構的討論。實驗針對不同結構的 ?（?） 、 ρ（?） 和 η（?） 進行了比較，候選結構分別為RDB （residual dense block）[28]模塊與文中使用的ST （swin transformer）模塊，實驗結果見表7。通過該表可以看出，在使用ST結構的情況下，含水印圖像的PSNR值和SSIM值均優于使用RDB結構的相應數值。

3結論

本文提出了一種基于可逆神經網絡的小波域抗屏攝噪聲攻擊的水印方法。為了提高含水印圖像的質量，提出了一種基于U-Net網絡結構的預處理網絡。此外，可逆神經網絡用于預處理后的水印信息的嵌入和提取。本文還在噪聲池中加入了真實的屏攝攻擊，使得模型對現實世界中不可微的噪聲也具有較強的魯棒性。相較于抗屏攝數字水印方法StegaStamp，本文方法在含水印圖像質量上有極大的提升。相較于基于可逆神經網絡的CIN數字水印方法和基于深度學習的UDH和HiDDeN魯棒水印方法，本文方法提升了抵抗多種噪聲攻擊的能力。

參考文獻：

[1]易開祥，石教英，孫鑫.數字水印技術研究進展[J].中國 圖象圖形學報，2001，6（A）（2）： 111-117.

[2]徐軍軍，毛倩，董德存.一種基于人類視覺系統的彩色圖 像水印算法[J].上海理工大學學報，2010，32（5）： 475-478，492.

[3]付笛，孔平，周亮，等.一種密文域醫學圖像可逆信息隱 藏算法[J].上海理工大學學報，2022，44（3）：262-268.

[4]LIUG，XIANGRT，LIUJ，etal.Aninvisibleand robust watermarkingschemeusingconvolutionalneural networks[J]. Expert Systems with Applications， 2022， 210： 118529.

[5] CU V L，NGUYEN T， BURIE J C，et al. A robust watermarking approach for security issue of binary documentsusingfullyconvolutionalnetworks[J]. InternationalJournalon DocumentAnalysisand Recognition， 2020，23（3）： 219-239.

[6] LI F， WAN C， HUANG F J. Adaptive robust watermarking method based on deep neural networks[C]//Proceedings of the 2lst International Workshop on Digital Forensics and Watermarking. Cham： Springer， 2022： 162-173.

[7]王馨雅，華光，江昊，等.深度學習模型的版權保護研究 綜述[J].網絡與信息安全學報，2022，8（2）：1-14.

[8] NAKAMURA T， KATAYAMA A， YAMAMURO M， et al.Fast watermark detection scheme for camera-equipped cellular phone[C]//Proceedings of the 3rd International Conference on Mobile and Ubiquitous Multimedia. Colege Park Maryland： ACM， 2004： 101-108.

[9] KIM W G， LEE S H， SEO Y S. Image fingerprinting scheme for print-and-capture model[C]//Proceedings of the 7th Pacific Rim Conference on Multimedia on Advances in Multimedia Information Processing. Hangzhou： Springer， 2006： 106-113.

[10] PRAMILA A， KESKINARKAUS A， SEPPANEN T. Toward an interactive poster using digital watermarking and a mobile phone camera[J]. Signal， Image and Video Processing， 2012， 6（2）： 211-222.

[11] YAMADA T， KAMITANI M. A method for detecting watermarks in print using smart phone： finding no mark[C]//Proceedings of the 5th Workshop on Mobile Video. Oslo： ACM， 2013： 49-54.

[12] FANG H， ZHANG W M， ZHOU H， et al. Screen-shooting resilientwatermarking[J].IEEETransactionson Information ForensicsandSecurity， 2019，14（6）： 1403-1418.

[13] ZHU JR， KAPIAN R， JOHNSON J， et al. HiDDeN： hiding data with deep networks[C]//Proceedings of the 15th European Conference on Computer Vision. Munich： Springer，2018： 682-697.

[14] LIU Y， GUO M X， ZHANG J， et al. A novel two-stage separable deep learning framework for practical blind watermarking[C]//Proceedingsofthe27thACM International Conference on Multimedia. Nice： ACM， 2019： 1509-1517.

[15] TANCIK M， MILDENHALL B， NG R. StegaStamp： invisiblehyperlinksinphysicalphotographs[C]// Proceedings of 2020 IEEE/CVF Conference on Computer Vision and Pattern Recognition. Seattle： IEEE，2020： 2114-2123.

[16] GOODFELLOW I J， POUGET-ABADIE J， MIRZA M， et al. Generative adversarial nets[C]//Proceedings of the 28th International Conference on Neural Information Processing Systems. Montreal： MIT Press，2014： 2672-2680.

[17] BAI R， LI L， ZHANG S Q， et al. SSDeN： framework for screen-shooting resilient watermarking via deep networks in the frequency domain[J]. Applied Sciences，2022， 12（19）： 9780.

[18] JIA J， GAO Z P， CHEN K， et al. RIHOOP： robust invisible hyperlinks in offline and online photographs[J]. IEEE Transactions on Cybernetics， 2022， 52（7）： 7094-7106.

[19] FANG H， JIA Z Y， MA Z H， et al. PIMoG： an effective screen-shooting noise-layer simulation for deep-learningbased watermarking network[C]//Proceedings of the 30th ACM International Conference on Multimedia. Lisboa： ACM，2022： 2267-2275.

[20] RONNEBERGER O，FISCHER P，BROX T. U-Net： convolutionalnetworksforbiomedicalimage segmentation[C]//Proceedings of the 18th International Conference on Medical Image Computing and ComputerAssisted Intervention. Munich： Springer， 2015： 234-241.

[21] DINH L，KRUEGER D， BENGIO Y. NICE： non-linear independent components estimation[DB/OL]. [2014-10- 30]. ttps：//arxiv.org/abs/1410.8516.

[22]DINH L， SOHL-DICKSTEIN J，BENGIO S. Density estimation using real NVP[C]/Proceedings of the 5th International Conference on Learning Representations. Toulon： ICLR， 2017.

[23]LIU Z， LIN Y T， CAO Y，et al. Swin transformer： hierarchical vision transformer using shifted windows[C]//ProceedingsofIEEE/CVFInternational Conference on Computer Vision. Montreal： IEEE，2021： 9992-10002.

[24] SHINR， SONGD.Jpeg-resistantadversarial images[C]/Proceedingsofthe3lstInternational Conference on Neural Information Processing Systems. Long Beach： Curran Associates Inc.，2017： 8.

[25] WENGROWSKI E， DANA K. Light field messaging with deep photographic steganography[C]//Proceedings of 2019 IEEE/CVF Conference on Computer Vision and Pattern Recognition. Long Beach： IEEE， 2019： 1515-1524.

[26] CHENL C， ZHU Y K，PAPANDREOU G， et al. Encoderdecoder with atrous separable convolution for semantic image segmentation[C]//Proceedings of the 15th European Conference on Computer Vision. Munich： Springer， 2018： 833-851.

[27]LIN T Y， MAIRE M， BELONGIE S，et al. Microsoft COCO： common objects in context[C]//Proceedings of the 13th European Conference on Computer Vision. Zurich， Switzerland： Springer，2014： 740-755.

[28] DENG J， DONG W， SOCHER R， et al. ImageNet： a largescale hierarchical image database[C]//Proceedings of 2009 IEEE Conference on Computer Vision and Pattern Recognition. Miami： IEEE， 2009： 248-255.

[29]MA R， GUO M X，HOU Y，et al. Towards blind watermarking： combining invertible and non-invertible mechanisms[C]//Proceedingsofthe30thACM International Conference on Multimedia. Lisboa： ACM， 2022： 1532-1542.

[30] ZHANG C N， BENZ P， KARJAUV A，et al. UDH： universal deep hiding for steganography， watermarking， and light field messaging[C]/Proceedings of the 34th International Conference on Neural Information Processing Systems. Vancouver： Curran Associates Inc.，2020： 857.

（編輯：丁紅藝）