具体实施方式

：

下面结合附图与实施例对本公开作进一步说明。

应该指出，以下详细说明都是例示性的，旨在对本公开提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本公开所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本公开的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。

实施例一

本公开实施例一介绍了一种基于卷积神经网络去噪思想的数字水印攻击方法。

水印信息嵌入的是多个环节的合理优化的结果，如对水印的预处理、嵌入位置选择、嵌入及提取方式等。完整的水印方法通常包含水印嵌入(如图1所示)和水印提取(如图2所示)两个部分，输入数据包括数字水印信息W、原始载体I和密钥K，输出的结果为含水印的数据I_W。数字水印系统中的水印信息可以由多种数据形式构成，例如随机序列、伪随机序列、二值图像、灰度图像或彩色图像等。

水印的生成算法G需要满足水印的唯一性、有效性和不可逆性等约束条件，密钥一般用来提高整个系统的安全性，即避免未经所有者授权情况下的数字水印提取，则水印嵌入可以定义为：I_W＝E(I,W,K)，其中，E表示嵌入算法，K表示密钥信息，W表示水印信息。在水印提取阶段，同时可将原始数据分为忙提取和非盲提取两类。实际的应用环境中，由于原始数据难以获取，基于忙提取的数字水印算法往往有着更重要的研究价值。

在数字水印提取的过程中，原始载体数据I的非盲提取方法可描述为：W'＝D(I'_W,I,K)；无先验知识条件下的忙提取方法可描述为：W'＝D(I'_W,K)；其中，D代表提取水印的算法，W'表示通过D提取的水印信息，I'_W表示攻击后的含水印载体数据，K表示与水印嵌入过程相同的密钥。

如图3所示的一种基于卷积神经网络去噪思想的图像水印攻击方法，包括：

步骤S01：基于极谐-傅里叶矩在图像中嵌入水印，得到含水印图像；

步骤S02：进行含水印图像的预处理；

步骤S03：构建卷积神经网络模型，基于模型对含水印含噪声图像训练，输出去噪图像；

步骤S04：计算去噪图像与含水印图像的相似程度，判断嵌入水印的受攻击程度。

图像矩是一种稳定的图像特征，具有强大的几何不变性和全局特征描述能力。矩的概念最早出现在统计学及经典力学的研究领域，于1962年由Hu等人引入到了图像处理领域，并提出了用于描述图像特征的图像矩理论。之后学者们先后提出旋转矩(RotationalMoments，RM)和复数矩(Complex Moments，CM)可以构造旋转、缩放和平移不变量；然而它们的基函数是非正交的，存在信息冗余问题而导致很难重构原始图像。为解决重构难的问题，学者们由正交函数理论出发提出正交矩的概念，可以方便的通过少量矩来重构原图像。正交矩分为离散正交矩和连续正交矩，连续正交矩的显著特点是不存在信息冗余，可以重构图像，并且具有良好的几何不变性。极谐-傅里叶矩(Polar Harmonic Fourier Moments,PHFM)是连续正交矩的一种，且由于其径向基函数具有良好的数值稳定性，因此该水印算法具有良好的鲁棒性，本实施例重点研究了卷积神经网络对该鲁棒水印嵌入算法的攻击效果。

作为一种或多种实施方式，步骤S01中的基于极谐-傅里叶矩在图像中嵌入水印得到含水印图像，如图4所示，具体过程为：

步骤S101：计算原始图像的极谐-傅里叶矩，选择适合嵌入水印的鲁棒极谐-傅里叶矩图像，对所选的极谐-傅里叶矩图像进行幅值量化；

步骤S102：在所选的极谐-傅里叶矩图像中嵌入水印，得到含水印的极谐-傅里叶矩图像；

步骤S103：对得到的含水印的极谐-傅里叶矩图像进行重构，将重构后的含水印的极谐-傅里叶矩图像与幅值量化后的极谐-傅里叶矩图像进行结合，得到含水印图像。

在基于极谐-傅里叶矩的水印嵌入过程中，首先计算原始图像的PHFM，选择适合嵌入水印的鲁棒PHFM，最后使用量化方法将水印信息嵌入到PHFM的幅值中。假定I＝{f(x,y),0≤x,y<N}为原始图像，W＝{w(k),0≤k<L}为二值水印信息，为增强算法的鲁棒性，需要从以下三个方面选取适合嵌入水印的鲁棒PHFM：

a)由于重复度为m＝0的PHFM是不精确的，需将其去除。

b)由于PHFM的幅值是关于重复度m＝0对称的，故只选取重复度m>0的PHFM。

c)选取满足n+|m|≤K＝n_max可以有效的缩短重构时间，从而减少本算法的运算时间；其中，n是阶数，m是重复度，n_max代表最大矩阶数。

同时，对于极坐标图像f(r,θ),阶数为n(n≥0)重复度为m(|m|≥0)的PHFM定义如下：

其中，基函数H_nm(r,θ)是由径向基函数T_n(r)和角向傅里叶因子exp(jmθ)构成：

H_nm(r,θ)＝T_n(r)exp(jmθ)

其中径向基函数T_n(r)为：

综上所述，适合嵌入水印的鲁棒PHFM的集合为S＝{φ_mn,m>0,n+|m|≤k＝n_max}，

同时为增强算法的安全性，使用密钥K₁在集合S中随机选取L个PHFM构造矩向量然后使用量化嵌入方法将水印信息嵌入到PHFM幅值中，量化公式如下：

其中，代表PHFM的初始幅值，为嵌入水印之后的幅值，mod(x,y)为取余函数，round(·)为四舍五入函数，Δ为量化步长。

在本实施例中，水印提取时采用盲提取的方法，因此不需要原始图像信息。

用I^*代表经过攻击后的含水印图像，首先计算出I^*的PHFM，然后得到适合嵌入水印的鲁棒PHFM集合用密钥K₁在集合S^*中随机选取L个PHFM构造矩向量使用与嵌入过程相同的量化步长Δ在PHFM幅值中提取出水印信息，提取公式如下式：

其中，为向下取整函数，

W^*＝{w^*(k),0≤k≤L}为提取出的水印信息。

作为一种或多种实施方式，在步骤S02和步骤S03中，对含水印图像进行预处理时，给含水印的灰度图片I增加随机噪声，制作含水印含噪声数据集I_w，以此作为卷积神经网络的输入端。如图5和图6所示，含水印含噪图像I_w经过该卷积神经网络，卷积核大小为3×3，步长设置为1进行填充，激活函数使用Leaky—ReLu得到与I_w同尺寸的残差特征图I_r，然后将含水印含噪图像I_w减去残差特征图I_r，得到去噪后的图像I_o；最终将含水印图像I与去噪图像I_o进行对比，并判断水印信息的去除效果。在此过程中，将图片的噪声进行去除，同时使得水印信息得到破坏。

在模型训练阶段，我们使用均方误差(MSE)作为损失函数，该损失函数的公式如下所示：其中，y_i为训练数据的真实值，表示神经网络的输出预测值，i表示数据的维度，最终模型的损失值是总损失除以全部迭代训练次数的平均值。

本实施例中，卷积神经网络模型使用三种不同尺寸的水印图片分别嵌入1000张256×256的灰度图像制作数据集并进行训练，水印图片尺寸如图7所示，从左到右大小尺寸分别为8×8、16×16、32×32。分别使用三种该尺寸的水印图片嵌入256×256灰度Lena图作为测试图像，批处理的大小设置为128，损失函数为公式1.6并采用Adam作为优化器。迭代训练的次数为30次，学习率设置为1e-4。使用pytorch1.4作为模型框架，硬件条件为NVIDIAQuadro P4000。

为更好的评估模型的攻击及重构图像的效果，本实施例中采用峰值信噪比(PeakSignal to Noise Ratio，PSNR)衡量图像的重构质量，其数值可以表示受攻击后图像与含水印图像之间的失真程度，计算公式为

含水印图像和受攻击后的图像用含水印图像分别用f(x,y)和f'(x,y)表示，大小为M×N，PSNR的值越大，代表图像之间的差别越小。

同时，采用结构相似性指数(structural similarity，SSIM)衡量攻击后图像与含水印图像的相似程度，给定图像x和y，两张图像的结构相似性计算公式为其中，μ_x是x的平均值，μ_y是y的平均值，是x的方差，是y的方差，σ_xy是x和y的协方差，c1、c2是维持稳定的常数。SSIM的取值范围在[-1，1]之间，两张图像越相似则值越大，完全相同时，SSIM取值为1。

为判断所嵌入水印遭受攻击的程度，本实施例中采用误码率(Bit Error Ratio，Ber)为衡量标准。BER的计算公式为其中，B代表提取的水印信息种错误的比特数值，P×Q为所嵌入水印信息的总比特数，BER的值越大，代表水印信息被去除的越多，即水印算法的鲁棒性越差，相反则代表鲁棒性越好。

实施例二

本公开实施例二在实施例一的基础上，基于实施例一种的方法，介绍了不同噪声强度对水印信息的影响程度。

在预处理阶段，对含水印图像数据集添加不同强度的噪声，噪声的强度分别从10增加到40，而后输入网络进行训练。训练后使用测试图像输入网络，得到攻击后的图像，从而验证网络对嵌入水印信息的影响。

以基于极谐-傅里叶矩的形式嵌入16×16水印信息为例，得到的实验结果如图8(从左到右，从上到下依次为未受攻击的含水印图像、添加噪声强度分别为10、15、20、25、30、35、40的图像及提取的水印图片)所示。

添加的噪声强度越高，经过神经网络攻击之后的图像失真越严重，不可感知性也越差，同时水印被破坏的程度也越大。为了满足图像高度不可感知性的同时最大程度的破坏水印信息，如图9、图10所示，当噪声强度从20增加到25时，此时BER的值增长速度最快且SSIM较高，攻击后的图像从视觉感官上来看受损情况较小。因此后续对比实验我们采用噪声强度为25时的实验数据作为本方法模型的代表值。

1.与传统水印攻击方法进行对比

为了衡量该网络的攻击效果，本实施例对比了6种不同的传统水印攻击方法，同样用基于极谐-傅里叶矩的水印嵌入方法嵌入16×16水印信息为例，不同攻击的效果如图11和图12所示。

对比图11和图12中受各种攻击后的图像，旋转攻击对图像造成的失真程度最大，但其却对水印信息造成的影响却基本最小，这是由于矩的旋转不变性特点，即图像经过旋转之后计算出的极谐-傅里叶矩保持不变，对水印信息的影响有限。无论是受攻击后的含水印图像的复原情况，还是水印信息所受到的破坏程度，本方法模型均取得了最好的结果，说明实施例一中的方法能够对水印信息产生有效的攻击，效果且优于部分传统攻击。各项评价指标如下表1所示：

表1对含水印图像应用不同水印攻击后的指标(水印大小为16×16)

2.对不同尺寸的水印信息的攻击对比

在1.与传统水印攻击方法进行对比中的实验结果表明，网络在保证了图像细节纹理等损失最小的情况下，仍能对16×16水印信息产生有效的攻击。本实施例继续验证了该网络对更大(32×32)、更小(8×8)尺寸水印信息的攻击效果。

基于神经网络对32×32尺寸的水印信息图像进行攻击，并与传统攻击相比，分别如图13和图14所示，各项评价指标如下表2所示：

表2对含水印图像应用不同水印攻击后的指标(水印大小为32×32)

基于神经网络对8×8尺寸的水印信息图像进行攻击，并与传统攻击相比，分别如图15和图16所示，各项评价指标如下表2所示：

表3对含水印图像应用不同水印攻击后的指标(水印大小为8×8)

对比图13和图14中受各种攻击后的图像，水印信息的尺寸越大，神经网络在训练阶段能够学习到的水印信息特征就越多，最终对水印信息的攻击效果就越好。同样的，水印尺寸占图像的比值越大，神经网络在复原图像时会使部分细节缺失，这也导致了PSNR及SSIM值的降低。但从人眼视觉感官来看，经过神经网络复原的图像大部分细节及纹理仍得到了保留。相比评价指标数值接近的中值滤波攻击来说，虽然其对水印的攻击效果同样较好，但在图像复原程度上无法满足高度不可感知性的要求。乘性噪声攻击对图像的视觉改变较小，但其是因为未对水印信息造成有效的破坏，这也无法满足我们的要求，达不到破坏水印信息的同时保持图像的大部分细节。

实施例三

本公开实施例三介绍了一种基于卷积神经网络去噪思想的图像水印攻击系统。

如图17所示的一种基于卷积神经网络去噪思想的图像水印攻击系统，采用了实施例一种所述的基于卷积神经网络去噪思想的图像水印攻击方法，包括：

获取信息模块，用于获取含水印图像；

预处理模块，用于对获取的含水印图像预处理，得到含水印含噪声图像；

去噪模块，将得到的含水印含噪声图像输入到预设的卷积神经网络模型中，得到去噪图像；

判断模块，用于计算去噪图像与含水印图像的相似程度，判断嵌入水印的受攻击程度；

其中，所获取的含水印图像是基于极谐-傅里叶矩在图像中嵌入水印。

详细步骤与实施例一提供的基于卷积神经网络去噪思想的数字水印攻击方法相同，在此不再赘述。

实施例四

本公开实施例四提供了一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现如本公开实施例一所述的基于卷积神经网络去噪思想的数字水印攻击方法中的步骤。

详细步骤与实施例一提供的基于卷积神经网络去噪思想的数字水印攻击方法相同，在此不再赘述。

实施例五

本公开实施例五提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的程序，所述处理器执行所述程序时实现如本公开实施例一所述的基于卷积神经网络去噪思想的数字水印攻击方法中的步骤。

详细步骤与实施例一提供的基于卷积神经网络去噪思想的数字水印攻击方法相同，在此不再赘述。

以上所述仅为本公开的优选实施例而已，并不用于限制本公开，对于本领域的技术人员来说，本公开可以有各种更改和变化。凡在本公开的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本公开的保护范围之内。