CN106796711A - 嵌入水印系统和方法 - Google Patents

Abstract

一种设备包括用于保护利用照相机所捕获的场景的图像的图像处理模块。图像处理模块被配置成与图像相关联来检测已被嵌入在各自地理位置上照亮场景的光中的水印信号。进一步，图像处理模块被配置成在隐私数据库中查找检测到的水印信号并在此基础上选择性抑制图像的使用。

Description

嵌入水印系统和方法

技术领域

本披露涉及在照亮（illuminate）场景的光中嵌入水印信号，以致水印出现在利用照相机所捕获的场景的任何图像中。

背景技术

水印是能够被当作起源（origin）的指示的被嵌入在文档或介质中的信号。历史上，水印指的是在纸张被高举到光时变得可见的纸质文档中的微弱标志或图案。当今，水印也可以指的是典型地以相对于所谈论的文档或介质的主要内容而言被隐藏或者至少不显眼的方式被嵌入其它类型的文档或介质诸如电子图像或音频记录中的信号。

在利用照相机拍摄图像的情况下，常规地在图像已被捕获之后，水印被电子添加至该图像。然而，这只是保护具体图像和其拷贝而不是图像本身的主题。

WO2002/35850在另一方面描述一种系统，其中水印信号被嵌入照亮场景诸如现场音乐会、足球比赛或画展的光中，从而确保从场景中拍摄的任何图像将包含该水印。该技术被设计成使得法医跟踪能够劝阻未经授权的照片拍摄并允许未经授权的照片被识别。

发明内容

根据本披露的一个方面，提供一种设备，其包括用于保护利用照相机所捕获的场景的图像的图像处理模块。该设备可以包括照相机，其中图像处理模块被并入与照相机相同的单元（例如专用照相机单元或用户终端诸如智能手机或平板计算机）中。可供选择地，在其中实现图像处理模块的设备可以与照相机相分离，从而是具有用于从照相机接收图像的接口的分离单元。例如，分离设备能够是用户设备（例如，分离用户终端诸如台式或膝上型计算机或专用存储单元诸如外部硬盘驱动器）；或者，作为另一示例，分离设备可以包括（由一个或多个站点上的一个或多个服务器单元形成的）服务器。

无论在哪里进行实现，图像处理模块包括水印检测器，其被配置成与图像相关联来检测已被嵌入在各自地理位置上照亮场景的光中的水印信号。在实施例中，从所捕获的图像本身中检测水印。进一步，图像处理模块包括隐私过滤器，其被配置成在隐私数据库中查找所检测的水印信号并在此基础上选择性抑制（inhibit）图像的使用。

根据本文披露的另一方面，提供一种系统，其包括：多个光源，每一个光源被安排成在各自地理位置上照亮各自场景；和一个或多个控制器，其被安排成在来自所述光源之中的每一个光源的光照（illumination）中嵌入各自水印信号。该系统进一步包括隐私数据库和包括图像处理模块的设备，其中图像处理模块再次被配置成从利用照相机所捕获的所述场景之一的图像中检测各自水印信号，以便在隐私数据库中查找所检测的水印信号并在此基础上选择性抑制图像的使用。

例如，隐私设置可以阻止照相机将图像存储在任何本地储存器上和/或可以阻止照相机与任何其他的外部设备分享图像。作为另一示例，隐私设置可以阻止图像在因特网上被分享或阻止图像被上传至一个或多个社交媒体站点。

数据库中的隐私设置可以采用许多方式来实现。在实施例中，保护取决于是否水印被登记（register）在数据库中。在这种情况下，选择性抑制包括：若是在数据库中找到用于所检测的水印的隐私设置，则抑制图像的使用。即，如果特定场景的条目没有存在于数据库中，则该场景不受保护。可供选择地，隐私数据库可以将各自隐私设置映射至被嵌入在不同的各自地理位置上照亮各自场景的光中的多个水印信号之中的每一个水印信号。在这种情况下，数据库中的每一个隐私设置可以指定至少两个可能的分类级别之一，其中分类级别包括将场景定义为没有隐私保护的无保护级别和将场景定义为至少具有隐私度的至少一个隐私保护级别。即，在数据库中对于每一个场景（或者至少一些场景）具有记录是否那个场景受到保护的条目（因此，一些场景被明确标记为无保护）。在这种情况下，选择性抑制可以包括：若是所检测的水印的隐私设置指定隐私保护级别，则抑制图像的使用。

数据库可以仅在是/否基础上确定是否场景受到保护，或者可供选择地，数据库可以支持不同级别的隐私保护。因此，在实施例中，数据库中的每一个隐私设置可以指定两个或更多可能的分类级别之一，这些分类级别包括多个隐私保护级别，其中每一个隐私保护级别将场景定义为具有不同的隐私度；并且所述选择性抑制可以包括：根据被映射至所检测的水印的分类级别来抑制所述图像的使用范围。

例如，至少一些隐私保护级别可以对应于被授权使用图像的用户的不同类别，并且所述选择性抑制可以包括：根据被映射至所检测的水印的分类级别，阻止由除了被授权的用户之外的用户进行的图像的至少一种类型的使用。可供选择地或附加地，至少一些隐私保护级别可以对应于被允许的不同类型的使用，并且所述选择性抑制可以包括阻止根据被映射至所检测的水印的分类级别而不允许的使用的类型。进一步，至少一些隐私保护级别可以指定：对于不同类别的用户，将阻止哪些类型的使用的不同组合。

例如，隐私级别能够包括：用于其中不允许拍照的区域诸如军事或政府设施的高度机密级别；用于其中只能由授权人员拍摄和/或分发照片的比方说机密公司会议和/或研究设施的中隐私级别；和/或其中任何人能够拍摄照片但是只有某些授权用户能够通过某些渠道使得照片可用于其他人（例如只有朋友能够上传到社交媒体）的低隐私级别。

隐私数据库可以被实现为将水印直接映射至隐私设置的专用隐私数据库。可供选择地，隐私数据库可以使用两个或更多成分（constituent）数据库来实现，从而一个成分数据库将水印映射至某一其他属性，而第二成分数据库将那个属性映射至各自隐私设置。例如，隐私数据库可以基于位置数据库，而位置数据库可以出于某一其他原因而预先存在或为了隐私目的而被编译。在这种情况下，位置数据库将水印映射至利用嵌入水印(watermarked)的光所照亮的各自场景的地理位置的指示，而第二成分数据库将地理位置映射至各自隐私设置。

此外，在实施例中，数据库中的隐私设置之中的一个或多个隐私设置可以是时间的函数，以致能够针对一天中的不同时间指定隐私设置的不同值（例如，是受到保护还是无保护，或不同级别的保护）。

在进一步实施例中，该设备可以被配置成经由介质来接收补码而不在利用照相机所接收的光中嵌入信息。隐私过滤器可以被配置成随后使用补码来验证或解密水印以及分别地在没有成功验证或解密所检测的水印的情况下默认地自动抑制图像的使用。

在还进一步实施例中，该系统可以包括用于接受与所述地理位置之中的至少一个有关的支付（payment）的支付基础设施。基于该支付，支付系统则能够或者：（i）使得对至少一个地理位置感兴趣的一方能够在隐私数据库中登记各自水印，和/或选择被映射至各自水印的各自隐私设置；或者（ii）使得希望使用至少一个地理位置的图像的一方能够接收补码来验证或解密水印。

作为(i)的示例，通过将支付客户在期望位置上的照明安排成利用嵌入的水印来发出并随后向数据库登记，能够给支付客户提供其位置的隐私。例如，音乐会的组织者能够将场地登记为受到保护并阻止音乐会的未授权照片被发布（而在实施例中，比方说，仍允许音乐会乐迷（goer）拍摄照片以供私人使用）。或者作为另一示例，用户诸如名人能够利用嵌入水印的光照来照亮他或她的家或花园并支付来阻止不需要的照片在私人场合被拍摄。作为(ii)的示例，照相师或摄像师能够支付来接收拍摄事件或记录事件的视频的许可证（license）（在捕获之后立即存储图像是能够进行控制的一种类型的使用）。

可以采用数字许可证的形式将补码提供给用户。这样的许可证可以例如使用采用物理令牌的形式的一方识别符与那一方相关联，以致许可证不能被复制和/或可以与设备相关联，以致许可证是特定于那个设备的（例如，使用设备识别符）。例如，在上面的照相机示例中，数字许可证本身可以利用只可用于那个照相机的设备密钥来加密。

根据在本文披露的另一方面，提供一种方法，其包括：

在多个各自地理位置之中的每一个地理位置上照亮各自场景；在照亮各自场景之中的每一个场景的光照中嵌入各自水印信号；使得隐私数据库继续登记水印信号之中的至少一些水印信号；与利用照相机在所述场景之一上所捕获的图像相关联来检测各自水印信号；在隐私数据库中查找所检测的水印信号；以及基于所述查找，选择性抑制图像的使用。

在实施例中，该方法可以包括接收与所述地理位置之中的至少一个地理位置有关的支付并在响应中或者：(i)允许对至少一个地理位置感兴趣的一方在隐私数据库中登记各自水印，和/或选择被映射至各自水印的各自隐私设置；或者(ii)给希望使用图像的一方提供补码来验证或解密水印。

在进一步实施例中，该方法可以包括根据任何的本文所讨论的设备、照明控制器和/或数据库特性的进一步步骤。

根据进一步方面，可以提供一种被收录在至少一个计算机可读存储介质上的计算机程序产品，其被配置以便当在设备上被执行时，照明控制器和/或托管（host）隐私数据库的计算机（例如服务器）执行分别根据在本文披露的任何实施例的设备、控制器和/或隐私数据库的操作。

附图说明

为了帮助理解本披露以及显示如何可以将实施例付诸实施，通过示例来参考附图，其中：

图1是用于照亮场景和保护场景的图像的系统的示意框图，

图2是用于保护场景的图像的图像处理模块的示意框图，和

图3是用于在多个位置之中的每一个位置上照亮各自场景和保护场景之中的每一个场景的系统的示意框图。

具体实施方式

图1举例说明根据本披露的实施例的照明系统。该系统包括具有一个或多个照明元素（例如LED）的光源2，其被安排成照亮包括被认为是私人的一个或多个有生命或无生命对象的场景4，其中对那一个或多个对象感兴趣的人员希望阻止或者限制拍摄一个或多个对象的照片和/或视频。

包括照相机8的照相设备6也存在于该系统中。照相机8具有光圈和图像传感器（未显示），其中图像传感器包括像素传感器的二维阵列。光源2被安排，以致它发出的光将通过照相机8的光圈从场景4中的一个或多个对象中进行反射，从而在照相机8的图像传感器上形成场景4的图像。因而，照相机能够捕获场景4的图像。然而，注意：虽然所捕获的图像的像素样本可以采用易失性形式临时存在于照相机的逻辑中（诸如存在于照相机的锁存器、寄存器或RAM中），但是如本文使用的术语“捕获”本身并不暗示：一定利用照相机8即采用任何非临时形式（非易失性形式）、甚至不在本地储存器中存储图像。如不久将更详细讨论的，在一些实施例中，该系统提供对于是否照相机8被允许在任何本地储存器中存储所捕获图像的控制。

也注意：照相机8可以是用于捕获静止图像的照相机和/或用于捕获移动视频图像的摄像机。在本文提到图像的地方，除非另有说明，否则这可以指的是或静止图像（单个帧）或视频图像（多帧序列）。

来自光源2的光优选地采取光照的形式来照亮场景4以使得场景中的一个或多个对象是可见的，例如房间照明、舞台照明或泛光照明。这个光本身并不包含任何的对用户而言可见的图像内容，即，其本身并不为了被用户查看的好处而将任何静止或移动图像投射到场景4中（例如，不同于电影放映机）。相反，光被照射到场景4上，以致在从存在于场景4中的一个或多个对象之中的无论哪一个对象中被反射时，则将在查看那个场景的任何眼睛或照相机8的图像传感器上形成包括一个或多个对象的细节的那个场景的图像。例如，在实施例中，由光源2发出的光可以是普通的单色光诸如基本上白色光或者可以是为了其美学外观而设计的多色舞台照明或环境照明，但是尽管如此其本身并不传递任何的打算用于用户的图像内容（再次，不同于电影放映机）。

尽管如此，为了促进场景的隐私，该系统包括（本地或远程通过有线或无线连接）连接至光源2的控制器3，其中控制器3被配置成将水印信号嵌入由光源2发出的光中。水印信号是被嵌入光中的代码，其被设计成利用图像处理模块18来电子读取。由于这个代码被嵌入照亮场景4的光中，所以这意味着：它将存在于利用任何照相机8所捕获的场景4的任何图像和这样的图像的任何拷贝之中。因而，能够确保：场景4本身利用水印来保护，而不是仅仅场景的一些个别图像被嵌入水印。

优选地，所嵌入的水印在场景的光照中对于人眼而言是不可见的（例如不引起可见闪烁）并且在所捕获的图像中对于人眼而言是不可见的。虽然在不太优选的可供选择的方案中，所嵌入的水印对人类而言可以只是不显眼的。具有许多合适的用于将代码嵌入来自光源2的光照中的技术。

一个选项是使用编码光。根据编码光技术，由光源2发出的光的强度被调制在足够高的频率上，以致对于人眼而言是不可见的（或者至少与此相当）。在实施例中，调制可以包括单个色调（正弦曲线）或单个振荡波形（例如矩形波），并且这个色调或波形的频率充当所嵌入的代码（即，不同的光源2各个利用不同的唯一调制频率发出光，其在所谈论的系统内是唯一的）。可供选择地，为了嵌入更复杂的数据，更复杂的调制方案是可能的。例如，调制频率可以根据频移键控方案被改变来代表数据，或者调制频率的相位可以根据相移键控方案被改变来代表数据，或者调制的振幅可以根据振幅键控方案（例如曼彻斯特码）被改变来代表数据。

为了检测编码光，在实施例中，照相机8是卷帘式快门照相机8，其中图像传感器的像素被分组为多条线（例如水平行），并且照相机8通过在略微不同的连续时间上按顺序曝光每一条线来捕获图像。因而，每一条线在略微不同的时间上并因此在调制的不同相位上捕获来自光源2的光。如果线速率相对于调制频率而言是足够高的话，这因此使得调制能够在图像中被检测到。如果代码相对于帧中的线的数量而言是足够短的话，则能够在单个帧中检测到该代码；或否则，能够在视频图像的多个帧上检测到该代码。并且，如果照相机8不是卷帘式快门照相机而是一次曝光整个帧的全局快门照相机，则在帧速率相对于调制频率而言是足够高的情况下仍能够从视频图像中检测到编码光。合适的编码光技术本身对于本领域技术人员而言将是熟悉的。

在实施例中，控制器3被配置成在两个或更多不同的调制频率上或同时或在其之间交替而将同一水印嵌入来自给定光源2的光，以便确保：该水印是利用可能存在于各自场景上的任何或大多数照相机而可检测的。编码光中的调制频率在它是1/Texp的整数倍的情况下将是不可检测的，其中Texp是照相机8的曝光时间（在卷帘式快门照相机的情况中的线曝光时间或在全局快门照相机的情况中的帧曝光时间）。如对于本领域技术人员而言将是已知的，在n/Texp上的这些“盲点（blind spot）”归因于照相机的传递函数中的过滤效应。然而，如果在两个不同的优选地在其之间具有非理性关系的调制频率上发射同一水印，则水印在这两个调制频率之一上将始终是可检测的而不管照相机8的曝光时间是什么。控制器3可以被配置成在两个或更多调制频率之间交替或者更优选地同时在两个或更多不同的调制频率上发出水印。

作为编码光的可供选择的方案，另一选项是将水印编码到光的光谱成分中。例如，光源2可以包括三个以上不同的个别可寻址的具有不同的光谱内容诸如不同的原色或荧光粉（phosphor）转换颜色的发光元件（例如LED）。例如，光源2可以包括红色、蓝色、绿色、白色和琥珀色LED。在这种情况下，光源2被配置成操作在至少两种不同的状态中，这些状态各个利用基本上相同的色点即相同的颜色外观诸如白色墙上的白色或具体的柔和颜色来表征；但是尽管如此每一个状态利用不同的光谱成分来表征，例如，一个包括显著红色光分量，而另一个并不包括（或者只有极少）红色光分量。

通过以场景4中被照亮的某种颜色的对象将快速改变其颜色外观的方式在两个或更多不同的状态之间交替或振荡，光谱中的相对差使得信息能够被嵌入光中。例如，红色对象将显现为从红色变成灰色/棕色并随后变回到红色，而场景的白色部分在外观保持白色。在这两个或更多状态之间改变的速度优选地高于100Hz，更优选地高于150Hz，并且最优选地高于1kHz（而且两个状态的持续时间可以个别地进行设置）。因此，该交替在足够高的频率上，以致对人类而言不是明显的但是通过比较不同帧中的非白色对象的表观颜色而能够被电子检测到。在实施例中，这通过比较某颜色分量的强度（例如通过比较红色分量）来完成。

在一个示例中，光源2包括红色（R）、蓝色（B）、绿色（G）、冷白色（CW）和琥珀色（A）LED。为了实现某个目标色点（例如具有2700K的色温的暖白色），所述多个LED光源的若干设置是可能的：例如，仅使用R-G-B，或使用所有的颜色，或者仅使用CW和A。具有各种不同的全部在白色墙上实现相同的白色外观的组合。然而，这些设置之中的每一种设置的光谱内容是不同的。

为了改善检测，所比较的分量（例如红色分量）的光谱光强度差在两个交替状态之间是优选地至少30%、更优选地大于50%并且最优选地大于70%。

无论利用什么手段来实现水印，利用图像处理模块18来检测水印，其中图像处理模块被配置成取决于水印来选择性应用相关联的隐私策略。如图1所示，图像处理模块18可以被实现在许多不同的可能地方中的一个或多个地方中，诸如：在与照相设备8相同的单元中（意味着被集成在相同的外壳中）；在外部设备12（除照相设备6以外的分离单元即分离外壳中的设备）中；或者服务器16（包括在一个或多个站点上即在一个或多个数据中心或地理位置上的一个或多个服务器单元）。

参考图2，图像处理模块18包括水印检测器20和隐私过滤器22。这些可以在被存储在一个或多个存储器中并被安排用于在相关设备的一个或多个处理器上运行的软件中进行实现或者可以在专用硬件电路或可配置的或可重新配置的硬件电路（例如PGA或FPGA）或者这样的选项的任何组合中进行实现。

水印检测器20被配置成根据上面讨论的技术之中的任何一种或多种技术（或者实际上任何其他合适的光嵌入水印技术）来检测被包括在照亮所捕获的场景4的光中的水印。隐私过滤器22被配置成随后在隐私数据库26中查找水印。隐私数据库26可以全部或者部分被实现在与水印检测器20和/或隐私过滤器22相同的设备6、12、16中（例如在用户设备6上）；和/或隐私数据库24可以全部或部分被实现在分离的外部设备（例如分离服务器）中，在这种情况下，隐私过滤器22被配置成在网络诸如因特网14上访问数据库24。也注意：在本文使用的术语“数据库”并不暗示任何具体的大小或数据结构，并且可以指的是从小型查找表到大型数据库的任何合适的信息源。

在实施例中，水印检测器20被配置成从源于照相机8的场景4的捕获图像中检测水印。即，受到保护的图像也是从中检测（例如在利用卷帘式快门照相机所捕获的图像的线中不可见显现的调制中检测）水印的相同图像。这具有以下优点：即使制作图像的拷贝，水印也继续具有其保护效应。例如，如果隐私过滤器22被实现在外部设备12或服务器16中，则可以从自照相机8接收的记录材料中检测水印。然而，可供选择地，在其中水印检测器被实现在照相机8上的情况中，并不排除：能够在另一时刻诸如在快门开启时间期间检测水印，或者甚至能够使用分离传感器来检测水印。例如，当利用照相机8诸如智能手机的照相机来拍摄静止图像时，与作为图像内容捕获的仅仅一个“照片”帧相比，捕获设备将针对较长的时间被暴露于现场的光。以这样的方式，甚至静止照相机也能够感测超过一帧长度的编码光代码。

参考图3，该系统包括在多个不同的地理位置上的多个不同的场景4。每一个场景4利用不同的各自光源2来照亮，每一个光源2被控制来发出被嵌入有不同的各自水印的光，即，对于各自位置上的场景而言独特的（在所谈论的嵌入水印方案中独特的）不同的唯一代码。注意：如果在给定位置上的给定场景4利用多个嵌入水印的光源2来照亮，则在那个位置上的不同光源2优选地被同步来利用相同的定时与相同的水印一起发出（即同步调制）。这可以或利用在所谈论的位置上的常见控制器3或利用彼此协商的分离控制器3来完成。也注意：在不同位置上的光源2各个可以被控制成利用其自己的各自的分离控制器3来嵌入其各自水印；或者在不同位置上的一些或所有的光源2可以一起被联网并且利用常见的中央控制器3来控制。

隐私数据库24包括不同的各自位置的至少一些水印（即嵌入代码）的寄存器。隐私过滤器22被配置成（本地或远程）访问数据库24，以便查找所检测的水印来确定：是否各自场景4受到隐私保护和/或各自场景4被隐私保护至什么程度，并且取决于在数据库24中查找的结果来抑制或启用所捕获的图像的一个或多个使用。例如，所抑制的使用可以包括所捕获的图像内容的存储、分发和/或查看。抑制可以包括对于所谈论的使用的完全取缔或允许仅由某些授权用户和/或在某些授权时间上的使用或者取缔由某些禁止用户和/或在某些禁止时间上的使用。

在图1中，标记（*）的箭头显示可以取决于与所检测的水印相关联的隐私策略来限制的数据传送的各个阶段的示例。

在实施例中，图像处理模块18的实例与照相机8和照相设备6的任何本地储存器10（任何一个或多个非易失性存储器）一起被集成在与照相设备6相同的单元中。例如，照相设备6可以采取专用照相单元或移动用户终端诸如智能手机或平板计算机的形式。在这种情况下，图像处理模块18可以禁止照相设备6在本地储存器10中记录嵌入水印的图像、外部传送图像至另一设备12、在网络14（例如因特网）上传送图像和/或在照相机单元6的本地显示器上显示图像或者在没有授权的情况下做这些之中的一个或多个。注意：在其中照相设备6既不能本地存储图像、本地显示图像、也不能将其传送至任何外部设备的情况下，这相当于一旦捕获则立即毁坏图像的指令（最严格的使用抑制）。

在实施例中，图像处理模块18的实例可以可供选择地或附加地在外部设备12中进行实现。即，对于照相设备6的外壳而言外部的设备。例如，外部设备12可以是用户终端诸如台式或膝上型计算机、平板计算机或智能手机；或者可以是任何其他类型的外部设备，诸如外部硬盘驱动器。在这种情况下，即使照相设备6可操作来（通过有线或无线连接、直接地或者在网络上）将图像的拷贝传送至外部设备12，则图像的进一步扩散仍可以利用外部设备12上的图像处理模块18来抑制。水印检测器20检测仍存在于它从照相设备6接收的图像的拷贝中的水印。基于此，隐私过滤器22在隐私数据库24中查找相关联的隐私设置，并且相应地动作。例如，外部设备12可以被阻止：将图像存储在任何的其自己的本地储存器（非易失性存储器）中、向前传送至对其本身而言外部（即在还另一外壳中）的任何进一步外部设备、在网络（例如因特网）上传送图像和/或显示图像或者在没有授权的情况下做这些之中的一个或多个。

在还进一步实施例中，图像处理模块18的实例可以可供选择地或附加地在服务器16中进行实现。注意：服务器在此可以指的是逻辑服务器，即，因此服务器可以在一个或多个站点（一个或多个数据中心或地理位置）上的一个或多个服务器单元（一个或多个服务器外壳）中进行实现。如果服务器被分布在一个或多个单元和/或站点上，则它与其他服务器相区别，这是因为它由指定方来操作。在服务器的情况下，服务器16可以可操作来或直接地或代理地经由与照相设备6和服务器16相分离的另一设备12在网络14诸如因特网上从照相设备6接收图像的拷贝。在服务器16上的水印检测器20随后检测仍存在于它接收的图像的拷贝中的水印，并且隐私过滤器查找相关联的隐私过滤器和相应地动作。例如，水印可以阻止服务器16在社交媒体站点上发布图像或使得图像以任何方式在诸如因特网之类的网络上可获得的或者在没有授权的情况下这样做。

将认识到：这些是示例，并且许多其他的应用也是可能的。作为更广泛的（但是未必详尽的）示例的列表，隐私设置可以阻止照相设备6、外部设备12和/或服务器16做以下之中的一个或多个：

a）将图像记录在所述设备的任何本地储存器上，

b）与任何外部设备分享图像，

c）与除了一个或多个授权设备之外的任何外部设备分享图像，

d）与一个或多个禁止设备分享图像，

e）与除了一个或多个授权用户的一个或多个设备之外的任何外部设备分享图像，

f）与一个或多个禁止用户的一个或多个外部设备分享图像，

g）在任何网络上发送图像，

h）在除了一个或多个授权网络之外的任何网络上发送图像，

i）在一个或多个禁止网络上发送图像，

j）将图像发送至除了一个或多个授权地址之外的任何网络地址，

k）将图像发送至一个或多个禁止网络地址，

l）在因特网上发送图像，

m）在因特网上发布图像，

n）将图像上传至任何网站，

o）将图像上传至除了一个或多个授权网站之外的任何网站，

p）将图像上传至一个或多个禁止网站，

q）将图像上传至任何社交媒体服务，

r）将图像上传至除了一个或多个授权社交媒体服务之外的任何社交媒体站点，

s）将图像上传至一个或多个禁止社交媒体服务，

t）从任何外部设备接受图像，

u）从除了一个或多个授权设备之外的任何外部设备接受图像；

v）从一个或多个禁止设备接受图像，

w）从照相机接受图像，

x）显示图像，

y）制作图像的任何拷贝，和/或

z）发布图像（即，使得图像通过任何手段而公开可获得的）。

注意：抑制图像的使用（例如阻止图像的存储、传送、显示或发布）在本文可以指的是整个图像或可以指代图像的任何部分。因此，如果在本文说到阻止图像被存储，则在实施例中这可以仅仅意味着阻止整个图像被存储，或者更优选地，在实施例中这可以意味着阻止图像内容的任何部分被存储。类似地，如果在本文谈到阻止图像被传送等等，则在实施例中这可以仅仅意味着阻止整个图像被传送，或者更优选地，在实施例中这意味着阻止图像内容的任何部分被传送。例如，在多个帧上检测到水印以致所谈论的图像是视频图像的情况下，如果谈到阻止图像被存储、被传送、被显示等等，则这优选地意味着：（根据隐私策略）没有视频的个别帧被允许存储、传送和/或显示。例如，因此分享或发布静止或视频图像可以被认为是一种形式的视频图像的分享或发布。

具有实现隐私数据库24的许多方式。在实施例中，隐私数据库可以仅仅支持关于是否场景受到保护的是/否决定。在这种情况下，隐私过滤器22被配置有固定的隐私策略，例如阻断（block）上面动作之中的一个或多个，其取决于是否嵌入水印的场景在隐私数据库24中受到保护而或应用或不应用这些动作。在一个实现方式中，隐私数据库24仅仅登记受到保护的那些场景的水印，而不登记无保护的场景。在这种情况下，隐私过滤器22查找所检测的水印来确定是否用于那个水印的条目存在于数据库24中。如果没有条目被找到，则各自场景4不受隐私保护并且隐私过滤器22不应用任何的隐私策略，但是如果在数据库24中找到水印，则隐私过滤器22的确将其隐私策略应用于所谈论的场景4的图像（例如，阻断隐私过滤器22被预配置成对于受保护场景所阻断的上面动作或上面动作的组合中的无论哪个）。也将有可能以另一方式来实现数据库，以致只有无保护的场景被记录在隐私数据库24中并且在默认情况下图像被视为受到保护，除非在隐私数据库24中找到图像。

在可供选择的实现方式中，隐私数据库24将各自隐私设置映射至用于不同的各自位置的至少一些水印之中的每一个。在这种情况下，隐私过滤器22被配置成（本地或远程）访问数据库24、查找被映射至所检测的水印的相关联的隐私设置并且取决于相关联的隐私设置来抑制或启用所捕获图像的一个或多个使用。隐私设置可以指定是否各自嵌入水印的场景4受到隐私保护。即，不同于上面选项，数据库以一种或另一方式明确声明场景是受到保护还是无保护的。在这种情况下，隐私过滤器22被配置成：在隐私数据库24中查找被映射至所检测的水印的各自设置，并且取决于各自设置将各自场景4分类为受到隐私保护还是无保护的而应用隐私策略或不应用隐私策略。

可供选择地或附加地，数据库24中的每一个隐私设置可以从两个或更多不同的隐私保护级别之中进行选择。例如，可用设置能够包括：没有保护，低隐私，中隐私，和高隐私。或者，这些设置能够只是：低隐私，中隐私和高隐私，其中如果没有所检测的水印的条目被发现存在于数据库中，则图像被视为无保护的。不同级别之中的一些或所有级别可以对应于被阻断的不同动作或动作的组合；和/或不同级别中的一些或所有级别可以对应于被授权使用图像或被授权执行与图像有关的某些动作的不同用户、设备或目的地。例如，高隐私级别可以不允许图像被存储、被查看或被传送，以致它一旦捕获或接收就必须立即被设备6、12、16删除；而中级图像可以允许图像本地进行存储和查看，但是只允许由某些授权用户外部传送图像和/或外部传送图像至某些授权用户；以及低隐私级别可以允许包括在个别设备之间的传送的大多数使用，但是可能不允许图像（例如经由一个或多个网络或社交媒体服务）被发布。

具有在本文披露的技术的许多可能的应用。一个示例应用是阻止非法的、未经授权的或不需要的视频记录和/或摄影被记录在家和/或专业场合中以及在公共和/或私人空间中。例如，在摄像机、智能手机或平板计算机中实现的图像处理模块18的实例可以被配置成直接阻止利用恰当嵌入水印的光所照亮的任何场景的视频记录和/或摄影。这将牵涉与用户设备6、12的制造商和/或用户设备的操作系统的生产商进行的协议，以便在其产品中包括图像处理模块18的实例，以致市场上所有现成的用户设备将尊重与出现在所捕获图像中的水印相关联的一个或多个隐私策略。

例如，所披露的技术可以用于避免在音乐或戏剧扮演的现场表演期间非法的视频记录和/或摄影、避免狗仔队(Paparazzi)视频记录和/或摄影、避免在博物馆中的非法记录和/或摄影、避免在学校或其他公共区域中不需要的视频记录和/或摄影、和/或避免在任何其他设置中不需要的视频记录和/或摄影。例如，在瑞典，在私人场合中偷偷拍摄视频和照片已被宣布犯法。

在本文披露的技术的另一示例应用是阻止图像被上传至因特网。隐私问题由于社交媒体和搜索引擎的日益增加使用的结果而不断增长。被上传至因特网的视频记录的量正以指数方式增长。当前，数百小时的视频每分钟被上传至媒体分享站点，并且数十亿小时的视频每个月以地球上每个人一小时的量级被观看。因此，在实施例中，图像处理模块18可以由因特网提供商、搜索引擎和/或社交媒体服务的运营商使用来确定是否允许特定视频记录或摄影被上传至因特网或者经由因特网被发布。这将牵涉与因特网提供商、搜索引擎的提供商和/或社交媒体服务的提供商进行的协议，以便在其各自服务器16上包括图像处理模块18的实例，以致将自动地阻断包括特定水印的视频记录和/或摄影经由那个服务器在因特网上的发布。

注意：至于数据库24的实现方式，如以前所提到的，这可以远程地在隐私过滤器22在网络（例如因特网14）上访问的分离服务器上进行实现或可以在与隐私过滤器12相同的设备6、12或16上本地进行实现。在实施例中，如果在网络上远程访问的话，则具有在经由网络的访问失败的情况下有时数据库24将不可用于隐私过滤器的可能性。考虑到此，在实施例中，如果不能访问数据库24，则隐私过滤器可以默认将任何嵌入水印的图像视为私人的（例如，在支持不同的隐私级别的情况下的最大隐私级别）。即，捕获图像被视为私人的或最私人的，除非能够获得它不是私人的或具有较低隐私度的许可。可供选择地或附加地，数据库24（或其拷贝）能够在与隐私过滤器相同的设备6、12、16上本地进行实现，因而避免其由于网络问题而不是可访问的风险。例如，如果隐私过滤器22被实现在照相设备6上，则它可以时不时地（例如定期地）检查针对数据库24的更新并将任何更新的拷贝下载至其本地储存器10（或者类似地，如果隐私过滤器22被实现在外部设备12或社交媒体服务的服务器16等等上），或者这样的更新能够被推送至设备6、12、16。

在实施例中，隐私数据库24可以是将隐私设置直接映射至水印的专用隐私数据库。可供选择地，隐私数据库可以包括将水印映射至各自嵌入水印的场景的各自位置的成分位置数据库和将位置映射至隐私设置的第二成分数据库。例如，可以在数据库中依据场景4中或靠近场景4的中心或代表点的地理坐标或划界（bound）场景的一组坐标、邮政地址和/或地名来定义位置。这可以允许用户依据位置来指定隐私请求而不需要指定水印代码。和/或，这可以允许数据库也被用于除了只是抑制图像的记录、查看或分发之外的一个或多个附加的基于位置的功能，例如，诸如跟踪拍摄图像的用户。

在实施例中，隐私数据库24中的隐私设置也可以被设置为时间的函数。即，因此在某个位置上的场景4能够在一天中的某些小时期间被定义为隐私保护和在一天中的其他时间被定义为无保护的。或者，场景4可以在一天中的不同时间上被给予不同级别的隐私保护。

在实施例中，水印信号也可以包含当前时间的指示和/或关于被照亮的地理位置的信息。例如，这将启用检测相对照相机方位的可能性。

在进一步实施例中，控制器3可以被配置成取决于在场景4的环境中所检测的环境光级别来适配编码光信噪比（SNR），以便在较高环境光条件下增加SNR。环境光级别能够利用作为照明系统的一部分被耦合至控制器3的外部环境光传感器单元来检测或者利用被并入在其中安置光源2的灯具中的嵌入式环境光传感器来检测。所检测的关于环境级别的信息可以经由控制器3被连接至的网络诸如包括光源2以及一个或多个其他光源和/或一个或多个外部光传感器的照明网络而被提供至控制器3。例如，控制器3可以被集成到与光源2相同的灯具中，并且照明网络可以包括一个或多个其他这样的灯具和/或一个或多个外部光传感器。为了增加SNR，控制器3可以例如：增加信号的振幅，降低信号频率，或者多次重复信号。

另一选项是取决于环境光级别颜色的信号的颜色的改变。

在进一步实施例中，该系统进一步包括支付基础设施26，其被配置成接受针对将被登记在隐私数据库24中的期望位置上的水印的支付。随后通过给支付客户提供关于某些水印或某些位置的隐私，能够生成收入。例如，客户能够支付，以致具有相同的位置和时间作为客户周围受保护的虚拟空间的每一个数字照片或记录能够被禁止上传或甚至被毁坏。可选地，也可以提供允许拍摄照片或者制作视频记录的位置和/或时间线被跟踪的服务。例如，能够从水印和位置数据库中确定：在预定义区域中诸如在客户自己的住宅和私产中或在客户自己的住宅和私产的周围、和/或在学校、剧院、博物馆和/或公共建筑中摄影了或录像了。

在还进一步实施例中，具有图像处理模块18的实例的设备6、12、16被配置成接收与所检测的水印相对应的补码。这个补码经由介质来接收而非在利用照相机8所捕获的可见光中信息的嵌入，例如，可以在包含所述图像的图像文件的元数据中（例如在标题或边信息中）接收补码，或者可以经由侧通道(side channel)（即基于除了可见光之外的介质的通信信道，优选地无线侧通道，诸如Wi-Fi、Bluetooth或RFID标签）来接收补码。

根据一种可能性，补码包括用于验证其对应水印的真实性的代码。隐私过滤器22被配置成随后对照所检测的水印来检查所接收的补码，以便验证是否该水印是合法的。如果否的话，则自动抑制图像的使用。例如，在默认情况下应用最大级别的隐私，或者图像被毁坏。例如水印可以被密码签名并且补码可以包括用于验证数字签名的真实性的公钥或证书。

可供选择地或附加地，水印可以采用加密的形式被嵌入光中。在这种情况下，补码包括用于解密水印的公钥，并且隐私过滤器22被配置成使用这个密钥来解密所检测的水印。如果无法解密（或因为其没有密钥或密钥是错误的），则再次自动抑制图像的使用，例如，在默认情况下应用最大级别的隐私，或者图像被毁坏。

与现有的数字版权管理（DRM）术语相类比，这样的代码或密钥可以被称为数字许可证的一部分。数字许可证给用户（直接地或间接地）提供权利和可能性来使用内容项。DRM系统倾向于使用加密来阻断针对内容的访问，因此许可证一般包含所需的密钥或获取密钥所需的数据。

在其中补码被插入图像文件的元数据中的情况下，这个可以利用照相设备6被添加至该文件。如果另一外部设备12、16随后接收到图像的拷贝，它自己的隐私过滤器22则能够对照元数据代码来检查水印，以确定是否图像显现为在利用照相机6进行的捕获与利用外部设备12、16进行的接收之间已被篡改。这将有助于阻止恶意方滥用水印系统。

在实施例中，照片或视频文件的元数据也指示是否水印已被检测到。

在其中经由侧通道来发射补码的情况中，这可以采用许多方式来实现。例如，发射机可以被部署在场景4的附近，其被配置成基于本地（短距离）RF技术诸如Wi-Fi或Bluetooth或近场通信（NFC）技术（例如RF标签）来发射补码。当照相机8捕获包括在照亮那个场景4的光中嵌入的水印的场景4的图像时，照相设备6也经由侧通道接收补码。例如，它经由Wi-Fi或Bluetooth侧通道无线地接收它，或者用户对照RF标签来刷（swipe）照相设备6。照相设备6中的隐私过滤器22随后检查是否所接收的补码匹配所检测的水印。这能够有助于阻止恶意方通过在场景中引入伪造的水印来干扰位置的隐私。

可选地，可以向一方收费，以便在他或她的设备6、12上接收补码，以致能够向客户收费来允许客户制作视频记录和/或拍照。这可以是支付基础设施26的可供选择的或附加使用，以便从客户接受针对用于期望位置的补码的支付。

在其中多个不同的隐私级别是可能的实施例中，一些示例应用如下。

高度机密区：例如军事区、警察和政府大楼。在此，完全不允许拍摄照片。因此，所有的智能手机照相机在其检测到这个独特的隐私分类级别识别符的情况下被禁用。甚至不允许在记录设备本身上的本地存储。

公司和/或工业区：在此也不允许拍摄照片。然而，偶尔智能手机被用于将会议的白板笔记分发至与会者等等。再次，需要特别授权。可选地，拷贝被发送至老板以便授权。

博物馆和教堂：默认情形是在这些建筑中不允许记录。然而，在一些地方能够购买访问密钥。如果具有这个密钥的话，则允许私人存储。也可以允许在因特网上与朋友分享。所需的密钥能够被购买（每次访问支付），以确保：这些照片此后能够被上传至因特网。

VIP（例如明星、王室成员等等）：当然，他们需要被记录。其生活的一部分是公开的。然而，记录能够被控制。

新闻/记者可以获得特别密钥或许可证（在支付之后），以便在特殊场合（公共事件、包括后台的音乐会等等）期间拍摄照片并将其用于商业用途。

如果狗仔队没有支付许可证，则狗仔队可能不被授权来拍摄照片。

正常人被允许拍摄流行音乐会和公共事件的个人照片用于私人使用（例如，经由社交媒体分享），但是他们没有授权来提供官方内容。在官方安排之外的所有其他图片被分类为私人的并因此被禁止捕获。

私人庆典/聚会：照片是私人的并只能在朋友之间进行分享而不能进行任何进一步分享。

将认识到：仅通过示例描述了上面的实施例。通过研究附图、披露内容和所附的权利要求书，本领域技术人员在实践所请求保护的发明中能够明白和实施针对所披露实施例的其他变异。在权利要求书中，词“包括”并不排除其他的元素或步骤，并且不定冠词“一”或“一个”并不排除多个。单个处理器或其他单元可以履行在权利要求书中叙述的若干项的功能。在互不相同的从属权利要求中叙述某些措施的纯粹事实并不指示不能有利使用这些措施的组合。计算机程序可以被存储和/或被分布在合适介质诸如与其他硬件一起或者作为其他硬件的一部分所供应的光存储介质或固态介质上，并且也可以采用其他的形式诸如经由因特网或其他的有线或无线电信系统来分发。权利要求书中的任何参考符号不应被解释为限制该范畴。

Claims (21)

1.一种系统，包括：

多个光源（2），每一个光源被安排成在各自地理位置上照亮各自场景（4）；

一个或多个控制器（3），其被安排成在来自所述光源之中的每一个光源的光照中嵌入各自水印信号；

隐私数据库（24）；和

包括图像处理模块（18）的设备，所述图像处理模块被配置成：从利用照相机（8）所捕获的所述场景之中的一个场景的图像中检测各自水印信号，以便在所述隐私数据库中查找所检测的水印信号，并在此基础上选择性抑制所述图像的使用。

2.一种设备，其包括用于保护利用照相机（8）所捕获的场景（4）的图像的图像处理模块（18），所述图像处理模块包括：

水印检测器（20），其被配置成与所述图像相关联来检测已被嵌入在各自地理位置上照亮所述场景的光中的水印信号；和

隐私过滤器（22），其被配置成在隐私数据库（24）中查找所检测的水印信号，并在此基础上选择性抑制所述图像的使用。

3.根据权利要求2的设备或根据权利要求1的系统，其中所述水印检测器（20）被配置成从所述图像中检测所述水印信号。

4.根据任一在前权利要求的设备或系统，其中：

选择性抑制包括：若是在所述隐私数据库（24）中找到用于所检测的水印的隐私设置，则抑制所述图像的使用；和/或

所述隐私数据库（24）将各自隐私设置映射至被嵌入在不同的各自地理位置上照亮各自场景的光中的多个水印信号中的每一个水印信号，所述隐私过滤器（22）被配置成：查找被映射至所检测的水印信号的隐私设置，并在此基础上根据各自隐私设置来选择性抑制所述图像的使用。

5.根据权利要求4的设备或系统，其中所述数据库中的隐私设置之中的每一个隐私设置指定至少两个可能的分类级别之一，所述分类级别包括将所述场景定义为没有隐私保护的无保护级别和将所述场景定义为至少具有隐私度的至少一个隐私保护级别，以及其中所述选择性抑制包括：若是用于所检测的水印的隐私设置指定隐私保护级别，则抑制所述图像的使用。

6.根据权利要求4或5的设备或系统，其中所述数据库中的隐私设置之中的每一个隐私设置指定两个或更多可能的分类级别之一，所述分类级别包括多个隐私保护级别，每一个隐私保护级别将所述场景定义为具有不同的隐私度，以及其中所述选择性抑制包括根据被映射至所检测的水印的分类级别来抑制所述图像的使用范围。

7.根据权利要求6的设备或系统，其中所述隐私保护级别之中的至少一些隐私保护级别对应于被授权使用所述图像的用户的不同类别，以及所述选择性抑制包括：根据被映射至所检测的水印的分类级别，阻止由除了被授权的用户之外的用户进行的所述图像的至少一种类型的使用。

8.根据任一在前权利要求的设备或系统，其中并且所述选择性抑制包括：取决于被映射至所检测的水印的隐私设置，选择性阻止所述设备执行以下类型的使用之中的一种或多种：

（a）将所述图像记录在所述设备的任何本地储存器上，

（b）与任何外部设备分享所述图像，

（c）与除了一个或多个授权设备之外的任何外部设备分享所述图像，

（d）与一个或多个禁止设备分享所述图像，

（e）与除了一个或多个授权用户的一个或多个设备之外的任何外部设备分享所述图像，

（f）与一个或多个禁止用户的一个或多个外部设备分享所述图像，

（g）在任何网络上发送所述图像，

（h）在除了一个或多个授权网络之外的任何网络上发送所述图像，

（i）在一个或多个禁止网络上发送所述图像，

（j）将所述图像发送至除了一个或多个授权地址之外的任何网络地址，

（k）将所述图像发送至一个或多个禁止网络地址，

（l）在因特网上发送所述图像，

（m）在因特网上发布所述图像，

（n）将所述图像上传至任何网站，

（o）将所述图像上传至除了一个或多个授权网站之外的任何网站，

（p）将所述图像上传至一个或多个禁止网站，

（q）将所述图像上传至任何社交媒体服务，

（r）将所述图像上传至除了一个或多个授权社交媒体服务之外的任何社交媒体站点，

（s）将所述图像上传至一个或多个禁止社交媒体服务，

（t）从任何外部设备接受所述图像，

（u）从除了一个或多个授权设备之外的任何外部设备接受所述图像，

（v）从一个或多个禁止设备接受所述图像，

（w）从所述照相机接受所述图像，

（x）显示所述图像，

（y）制作所述图像的任何拷贝，和/或

（z）发布所述图像。

9.根据从属于权利要求6或7的权利要求8的设备或系统，其中所述隐私保护级别之中的至少一些隐私保护级别指定：(a)-(z)之中的哪些的不同组合将被阻止。

10.根据从属于权利要求7的权利要求9的设备，其中所述隐私保护级别之中的至少一些隐私保护级别指定：对于不同类别的用户，(a)-(z)之中的哪些的不同组合将被阻止。

11.根据任一在前权利要求的设备或系统，其中所述设备包括被并入与所述图像处理模块相同的单元中的所述照相机。

12.根据权利要求1-11之中任一权利要求的设备或系统，其中所述设备是：

在与所述照相机相分离的单元中实现的用户设备（12），所述用户设备包括用于从所述照相机接收所述图像的接口；或

服务器（16），其包括在一个或多个站点上的一个或多个服务器单元并且与所述照相机相分离，所述服务器包括用于在网络上接收所述图像的网络接口。

13.根据任一前述权利要求的设备或系统，其中所述隐私数据库（24）包括将所述水印信号映射至各自地理位置的第一成分数据库和将所述地理位置映射至各自隐私设置的第二成分数据库。

14.根据任一前述权利要求的设备或系统，其中所述数据库（24）中的所述隐私设置之中的至少一个隐私设置是时间的函数。

15.根据任一前述权利要求的设备或系统，其中所述设备被配置成经由介质来接收补码而非在利用所述照相机（8）所接收的光中嵌入信息；以及其中所述隐私过滤器（22）被配置成使用所述补码来验证或解密所述水印，以及分别地在所检测的水印没有成功地被验证或被解密的情况下默认地自动抑制所述图像的使用。

16.根据权利要求1或3-15之中任一权利要求的系统，进一步包括支付基础设施（26），其被安排成接受与所述地理位置之中的至少一个地理位置有关的支付，并且基于所述支付来：

使得对所述至少一个地理位置感兴趣的一方能够支付来在所述隐私数据库中登记各自水印，和/或选择根据权利要求4或从属于权利要求4的任一权利要求的各自隐私设置；或

使得希望使用所述至少一个地理位置的图像的一方能够接收权利要求15的补码。

17.一种用于保护利用照相机（8）所捕获的场景（4）的图像的方法，所述方法包括：

与所述图像相关联来检测已被嵌入在各自地理位置上照亮所述场景的光中的水印信号；和

在隐私数据库（24）中查找所检测的水印信号，并在此基础上选择性抑制所述图像的使用。

18.根据权利要求17的方法，进一步包括：

在多个各自地理位置之中的每一个地理位置上照亮各自场景（4）；和

在照亮各自场景之中的每一个场景的光照中嵌入各自水印信号；

其中所述检测包括与利用所述照相机（8）在所述场景之一上所捕获的图像相关联来检测各自水印信号；和

所述查找基于各自水印。

19.根据权利要求17或18的方法，进一步包括：

使得所述隐私数据库（24）继续登记所述水印信号之中的至少一些水印信号。

20.根据权利要求18或19的方法，包括接收与所述地理位置之中的至少一个地理位置有关的支付，并在响应中：

允许对所述至少一个地理位置感兴趣的一方支付来在所述隐私数据库（24）中登记各自水印和/或选择被映射至各自水印的各自隐私设置；或

给希望使用图像的一方提供补码来验证或解密各自水印。

21.一种存储在计算机可读介质上的计算机程序产品，其包括程序代码指令，用于当所述程序被加载并被执行在计算机上时实现根据权利要求17或从属于权利要求17的权利要求20的方法。