CN115131188A - 一种基于生成对抗网络的鲁棒图像水印方法 - Google Patents

Abstract

本发明公开了一种基于生成对抗网络的鲁棒图像水印方法，包括：编码器将二进制的秘密信息嵌入到一张三通道的载体图像中，解码器从载密图像中提取出秘密信息；编码器网络和解码器网络组成一个端到端的模型作为生成器网络，通过生成器网络生成载密图像和提取出秘密信息，通过判别器网络对生成的编码图像的真假性进行判断；通过生成器网络和判别器网络之间相互对抗学习，使生成的载密图像和原始图像、解码的秘密信息和原始的秘密信息误差在一定范围内；使用数据集训练网络模型，得到最优的模型参数；通过训练好的网络模型得到鲁棒编码图像和提取秘密信息。本发明的模型具有鲁棒性，并且在对载密图像攻击后进行提取秘密信息的准确度也相对较高。

Description

一种基于生成对抗网络的鲁棒图像水印方法

技术领域

本发明属于图像处理、信息隐藏技术领域，尤其涉及一种基于生成对抗网络的鲁棒图像水印方法。

背景技术

作为信息隐藏最重要的方法之一，数字水印技术是利用数字水印技术将秘密信息隐藏到载体中，通过提取嵌入在编码图像中的秘密信息来达到版权保护的目的。该研究领域具有许多有用的应用，例如，知识产权[1]和神经网络模型[2]的所有权可以通过数字水印技术得到保护。目前，许多研究人员已将卷积神经网络(CNN)应用于数字水印技术和隐写术。Volkhonskiy等人[3]首先提出了一种基于深度卷积生成对抗网络(DCGAN)的新模型[4]，称为隐写生成对抗网络(SGAN)模型。该模型使用GAN生成器生成的图像作为原始图像，采用隐写分析网络模型作为判别器，使得隐写模型更加安全。shi等人[5]提出了基于GAN(SSGAN)的安全隐写模型。与SGAN模型相比，SSGAN可以更快地收敛并生成更高质量和更安全的编码图像。

与SGAN和SSGAN模型不同的是，Hayes等人[6]提出了一种基于GAN的图像隐写技术框架，称为HayesGAN,它包括三个子网络组件：编码器、解码器和判别器。但是，HayesGAN没有充分考虑编码图像的图像质量，以及编码图像与真实原始图像的差距，因此编码图像的不可见性较差。Hu等人基于HayesGAN模型[7]添加了一个隐写分析网络，以提高生成的隐写图像的质量和安全性。然而，上述模型在提取秘密信息方面的准确性较差。

Zhu等人[8]在HayesGAN模型的基础上提出了HiDDeN隐写模型，可以在像素随机丢弃、裁剪、高斯平滑等各种攻击下高精度提取嵌入的秘密信息。Tang等人[9]将自适应隐写术与GAN模型相结合，为秘密信息的嵌入寻找合适的位置，并提出了一种自动隐写术失真学习框架(ASDL-GAN)。Yang等人[10]改进了ASDL-GAN模型。在激活函数的选择上，将三元嵌入模拟器(TES)替换为tanh激活函数，解决了TES在网络训练过程中的反向传播问题，提高了模型的安全性。

Liu等人[11]提出了一个两阶段深度学习鲁棒水印模型。与端到端模型[8]的主要区别在于水印的嵌入和提取分为两个阶段。两阶段训练的优点是不需要将噪声攻击模拟为可微分噪声层，这使得解码器能够更好地抵抗像JPEG压缩那样难以直接建模成可微分网络层的噪声攻击。马修·坦西克等人[12]提出了可以抵抗打印、拍照、旋转、JPEG压缩等攻击的图像水印StegaStamp模型结构。目前，基于深度学习的水印模型也已应用于音视频领域，以保障各类载体的数据安全，应用范围不断扩大。

隐写术的目的是将秘密信息隐藏在常见载体中，通过不引起怀疑的多媒体载体来掩盖其中携带的秘密信息，而与其类似的是一种称为数字水印的技术，两者的不同之处在于，隐写术通常更关注的是秘密信息本身，因为隐写术是为了通过常见媒体的掩盖而完成传递秘密信息不引起怀疑的目的，关键在于秘密信息不被发现；数字水印也是隐藏信息到载体中，但是关注的重点在于保护多媒体数据本身，通过嵌入的水印信息标识图像所有权和保护知识产权。互联网技术与智能设备的发展产生了大量的多媒体数据，诸如图像，视频，音频。这些数据有可能在未取得原作者的许可的情况下在网络上被复制，传输和扩散，对数据拥有者的利益造成了损害。水印技术通过嵌入到多媒体数据中的秘密信息能够完成版权的追踪并标识数据的所有权，从而尽可能地减少了数据的盗版和滥用。隐写术通常假设传输信道是无损的，而数字水印很多情况下有鲁棒性的要求，即便载密图像遭受噪声攻击，还能从中提取出水印从而证明图像本身的所有权。近年来，传统的信息隐藏技术发展缓慢，众多学者将深度学习技术与信息隐藏相结合，在方法和性能上取得了一系列的研究成果，为信息隐藏技术的研究提供了良好的基础，但也存在着例如隐写后的图像颜色失真、抗攻击能力较弱、嵌入秘密信息容量有限等问题。

[1]X.Cao,J.Jia,and N.Z.Gong,“IPGuard:Protecting intellectual propertyof deep neural networks via fingerprinting the classification boundary,”Proceedings of the 2021ACM Asia Conference on Computer and CommunicationsSecurity,pp.14-25,2021.

[2]J.Zhang,D.Chen,J.Liao,W.Zhang and H.Feng,“Deep Model IntellectualProperty Protection via Deep Watermarking,”arXiv preprint arXiv:2103.04980,2021.

[3]D.Volkhonskiy,I.Nazarov,and E.Burnaev,“Steganographic GenerativeAdversarial Networks,”arXiv preprint arXiv:1703.05502,2017.

[4]A.Radford,L.Metz,and S.Chintala,“Unsupervised RepresentationLearning with Deep Convolutional Generative Adversarial Networks,”International Conference on Image and Graphics,pp.97-108,2015.

[5]H.Shi,J.Dong,W.Wang,Y.Qian,and X.Zhang,“SSGAN:Secure SteganographyBased on Generative Adversarial Networks,”Pacific Rim Conference onMultimedia,pp.534-544,2017.

[6]J.Hayes and G.Danezis,“Generating steganographic images viaadversarial training,”arXiv preprint arXiv:1703.0037,2017.

[7]D.Hu,L.Wang,W.Jiang,S.Zheng,and B.Li,“A novel image steganographymethod via deep convolutional generative adversarial networks,”IEEE Access,vol.6,pp.38303-38314,2018.

[8]J.Zhu,R.Kaplan,J.Johnson,and Fei-Fei.L,“HiDDeN:Hiding Data WithDeep Networks,”Proceedings of the European conference on computer vision,pp.657-672,2018.

[9]W.Tang,S.Tan,B.Li,and J.Huang,“Automatic Steganographic DistortionLearning Using a Generative Adversarial Network,”IEEE Signal ProcessingLetters,vol.24,no.99,pp.1547-1551,2017.

[10]J.Yang,D.Ruan,J.Huang,X.Kang,and Y.Q.Shi,“An Embedding CostLearning Framework Using GAN,”IEEE Transactions on Information Forensics andSecurity,vol.15,no.99,pp.839-851,2019.

[11]Y.Liu,M.Guo,J.Zhang,Y.Zhu,and X.Xie,“A novel two-stage separabledeep learning framework for practical blind watermarking,”Proceedings of the27th ACM International Conference on Multimedia,pp.1509-1517,2019.

[12]M.Tancik,B.Mildenhall,and R.Ng,“StegaStamp:Invisible Hyperlinksin Physical Photographs,”Proceedings of the IEEE/CVF Conference on ComputerVision and Pattern Recognition,pp.2117-2126,2019.

发明内容

发明目的：针对现有技术存在的问题，本发明提出一种基于生成对抗网络的鲁棒图像水印方法。通过卷积神经网络的自动学习将二进制比特的秘密信息自动嵌入到一幅三通道的彩色图像中，具有较好的编码图像不可见性，并且当编码图像被攻击后仍然能够准确的提取出秘密信息。

技术方案：为实现本发明的目的，本发明所采用的技术方案是：一种基于生成对抗网络的鲁棒图像水印方法，包括：

(1)构建编码器-解码器框架，编码器将二进制的秘密信息嵌入到一张三通道的载体图像中，解码器从载密图像中提取出秘密信息；

(2)构建对抗网络框架，编码器网络和解码器网络组成一个端到端的模型作为生成器网络，通过生成器网络生成载密图像和提取出秘密信息，通过判别器网络进行隐写分析，对生成的编码图像的真假性进行判断；

(3)通过生成器网络和判别器网络之间相互对抗学习，使生成的载密图像和原始图像误差在一定范围内，同时使解码的秘密信息和原始的秘密信息误差在一定范围内；

(4)使用获取的自然图像数据集训练网络模型，通过结构相似性指标和峰值信噪比来验证模型的不可见性，通过提取秘密信息的准确度来验证模型的鲁棒性，得到最优的模型参数；通过训练好的网络模型得到鲁棒编码图像和提取秘密信息。

进一步的，生成器和判别器对抗训练包括：

(a)生成器网络包括两个部分：编码器和解码器，其中编码器网络生成的编码图像要与原始图像误差在一定范围内；

(b)判别器网络用于隐写分析，即鉴别图像是编码图像还是原始图像，判断图像是否含有秘密信息；

(c)模拟噪声网络：将编码图像输入解码网络前设有一个模拟的攻击层，对编码图像进行模拟攻击，之后再输入解码器中进行解码；

(d)生成器网络在得到判别器网络的结果之后进行反向传播，利用梯度更新来更新编码器和判别器的参数，控制生成器生成图片质量。

进一步的，通过使用自然图像数据集进行训练得到最优的模型参数，训练流程包括：

第一步，首先将具有L长度的秘密信息扩展成三维的向量，再改变二进制比特的秘密信息的形状，使其与图像大小相同；

第二步，将秘密信息和图像相互拼接，输入编码器，编码器通过特征提取和特征融合后输出一个三通道的彩色图像，该彩色图像即为载密图像；

第三步，在解码前设有一个模拟的攻击层网络来模拟实际攻击，经过模拟的攻击层得到一个被攻击的载密图像；

第四步，将被攻击的载密图像输入解码器中进行解码得到二进制的秘密信息。

进一步的，编码器网络结构由卷积层加一个残差块组成；

首先将一串二进制秘密信息扩展成输入图像的尺寸，将扩展后的秘密信息与三通道的原始图像拼接在一起输入编码器，经过四次卷积操作用于特征的提取；然后经过一个残差块，即一个3×3的卷积层，提取特征信息；

每个卷积层得到的特征图都全连接到对应的上采样层，即不直接在高级特征图中进行监督和损失计算，结合低级特征图中的特征，使最终所得特征图中既包含高等级的特征，也包含低等级的特征，完成不同规模下的特征的融合；

最后，使用1×1的卷积层将多通道的特征图转化成三通道的彩色图像。

进一步的，解码器在接收到编码图像I_stego，从载密图像中提取出所嵌入的秘密信息；具体包括：

解码器首先由3个3*3卷积层组成，进行特征的提取；接着设有一个残差块用于特征提取和减少梯度消失；再者设四个3×3卷积层以产生L通道的秘密信息张量；然后利用平均池化层和单一线性层将映射转换为L长度矢量。

进一步的，网络模型使用不同的损失函数交替迭代更新编码器、解码器和判别器；消息损失函数用于保证模型的鲁棒性，图像损失函数和判别器损失函数用于保证模型的不可感知性；网络的损失函数构建如下：

使用图像损失函数L_eA保持原始图像I_cover和编码图像I_stego相似误差在一定范围内；L_eA的公式如下：

式中||·||₂是Frobenius范数，W、H和C分别表示输入图像的宽度、高度和通道数；

使用学习感知图像块相似性(LPIPS)损失L_lpips最小化原始图像I_cover和编码图像I_stego之间的距离；L_lpips计算如下：

其中l是用于提取特征堆栈的网络层，归一化的C_l维特征向量用和表示，其中包含图像I_cover在空间坐标h、w处的l层特征绝对值，I_cover和I_stego表示原始图像和编码图像；对于第l层，其中H_l,W_l和C_l是第l层中通道的高度、宽度和数量；w_l表示每个图像特征的自适应权重，⊙表示异或运算；

解码器用于从编码图像中恢复秘密信息，解码后的消息与输入的秘密消息相同；消息损失函数L_dB计算如下：

其中M_in是二进制秘密消息，L表示秘密信息长度，M_out是提取的秘密信息，M_in和M_out∈{0,1}^L；

判别器A用于判断接收到的图像是编码图像I_stego还是原始图像I_cover；使用判别器损失函数L_gA提高I_stego的视觉质量，L_gA计算如下：

L_gA＝log(1-A(I_stego))+log(A(I_cover)) (4)

其中log(*)表示对数函数；

在生成器的训练方面，模型为四个损失函数L_eA,L_lpips,L_dB和L_gA设置不同的权重以控制水印的鲁棒性和不可见性之间的平衡；

总损失函数L定义如下：

L＝λ_eAL_eA+λ_lpipsL_lpips+λ_dBL_dB+λ_gAL_gA (5)

其中λ_eA,λ_lpips,λ_dB和λ_gA分别为损失函数L_eA,L_lpips,L_dB和L_gA的权重。

有益效果：与现有技术相比，本发明的技术方案具有以下有益的技术效果：

本发明方法基于对抗网络的鲁棒图像隐写技术，为鲁棒图像隐写技术的真正广泛应用提供理论基础和应用支撑。提出基于生成对抗网络的鲁棒隐写模型，完成将秘密信息隐藏到三通道的彩色图像中，具有较高的图像不可见性和解码准确度。

本发明在HiDDeN[8]和StegaStamp[12]两个模型上进行改进，解决了这两个模型的图像不可见性以及提取秘密信息的准确率。本发明使用了对抗网络进行训练，使得模型在隐写的过程中能够更好地通过隐写分析器调整生成器的参数，使得生成的载密图像和原始图像尽可能一致。

本发明的模型具有鲁棒性，并且在对载密图像攻击后进行提取秘密信息的准确度也相对较高。本发明使用了一个复合的损失函数来进行训练模型，加快了损失函数的收敛速度，以及提高了载密图像的不可见性和解码的准确度。

附图说明

图1是本发明的RIW-GAN模型的框架；

图2是本发明的编码器结构；

图3是本发明的解码器结构；

图4是本发明的判别器结构；

图5是本发明的噪声攻击层可视化；

图6是本发明在300个epoch后的通用损失演化；

图7是本发明原始图像和编码图像之间的区别；

图8是本发明提出RIW-GAN模型在各种失真和强度下的比特准确率；

图9是本发明在不同模型的编码和原始图像示例。

具体实施方式

下面结合附图和实施例对本发明的技术方案作进一步的说明。

本发明所述的基于生成对抗网络的鲁棒图像水印方法，基于提出的基于生成对抗网络的鲁棒图像水印模型(RIW-GAN)的框架，如图1所示，消息M_in与输入图像I_cover结合，由水印编码器生成编码图像I_stego。I_stego失真，输出噪声图像I'_stego。解码器接收I'_stego并输出秘密信息M_out，判别器用于判断图像是编码图像还是原始图像。具体步骤包括：

(1)构建编码器-解码器框架，编码器将二进制的秘密信息嵌入到一张三通道的载体图像中，解码器从载密图像中提取出秘密信息。

编码器网络结构由卷积层加一个残差块组成；首先将一串二进制秘密信息扩展成输入图像的尺寸L×H×W，其中，L表示秘密信息的长度，H和W表示图像的高度和宽度，将扩展后的秘密信息与三通道的原始图像拼接在一起输入编码器，经过四次卷积操作用于特征的提取；然后经过一个残差块，即一个3×3的卷积层，不仅能够提取特征信息，还能更加有效地减少梯度消失，使得损失函数更加容易收敛；在编码网络的后半部分，前面每个卷积层得到的特征图都会全连接到对应的上采样层，从而实现对每层特征图都有效使用到后续计算中；这样能够避免了直接在高级特征图中进行监督和损失计算，而是结合了低级特征图中的特征，从而可以使得最终所得到的特征图中既包含了高等级的特征，也包含很多的低等级的特征，实现了不同规模下的特征的融合，提高模型的结果精确度。最后，使用了1×1的卷积层将多通道的特征图转化成三通道的彩色图像。编码器结构如图2所示，以I_cover和M_in为输入，I_stego为输出。

解码器在接收到编码图像I_stego，从载密图像中提取出所嵌入的秘密信息；具体包括：解码器首先由3个3*3卷积层组成，进行特征的提取；接着设有一个残差块用于特征提取和减少梯度消失；再者设四个3×3卷积层以产生L通道的秘密信息张量；然后利用平均池化层和单一线性层将映射转换为L长度矢量。解码器结构如图3所示，输入是I_stego，输出是解码后的秘密信息M_out。

(2)构建对抗网络框架，编码器网络和解码器网络组成一个端到端的模型作为生成器网络，通过生成器网络生成载密图像和提取出秘密信息，通过判别器网络进行隐写分析，对生成的编码图像的真假性进行判断；

(3)通过生成器网络和判别器网络之间相互对抗学习，使生成的载密图像和原始图像误差在一定范围内，同时使解码的秘密信息和原始的秘密信息误差在一定范围内；

生成器和判别器对抗训练包括：

(a)生成器网络包括两个部分：编码器和解码器，其中编码器网络生成的编码图像要与原始图像误差在一定范围内；

(b)判别器网络用于隐写分析，即鉴别图像是编码图像还是原始图像，判断图像是否含有秘密信息；向判别器中输入自然载体图像的样本，得到分析类别，判定是否与真实的类别一致；向判别器中输入生成的编码图像样本，得到分析类别，判定是否与真实的类别一致；

(c)模拟噪声网络：对生成的编码图像进行攻击，得到攻击后的编码图像；即，将编码图像输入解码网络前设有一个模拟的攻击层，对编码图像进行模拟攻击，之后再输入解码器中进行解码；

(d)生成器网络在得到判别器网络的结果之后进行反向传播，利用梯度更新来更新编码器和判别器的参数，控制生成器生成图片质量(生成质量更高的图片)。

(4)使用获取的自然图像数据集训练网络模型，验证模型的性能与泛化训练：通过结构相似性指标和峰值信噪比来验证模型的不可见性，通过提取秘密信息的准确度来验证模型的鲁棒性，得到最优的模型参数；使用不用的数据集进行训练，使得模型具有更强的泛化性；通过训练好的网络模型得到鲁棒编码图像和提取秘密信息。训练流程包括：

第一步，首先将具有L长度的秘密信息扩展成三维的向量，再改变二进制比特的秘密信息的形状，使其与图像大小相同；

第二步，将秘密信息和图像相互拼接，输入编码器，编码器通过特征提取和特征融合后输出一个三通道的彩色图像，该彩色图像即为载密图像；

第三步，在解码前设有一个模拟的攻击层网络来模拟实际攻击，经过模拟的攻击层得到一个被攻击的载密图像；

第四步，将被攻击的载密图像输入解码器中进行解码得到二进制的秘密信息。

网络模型使用不同的损失函数交替迭代更新编码器、解码器和判别器；更新参数和迭代训练：使用复合损失函数计算损失值，计算梯度，更新参数。消息损失函数用于保证模型的鲁棒性，图像损失函数和判别器损失函数用于保证模型的不可感知性；网络的损失函数构建如下：

使用图像损失函数L_eA保持原始图像I_cover和编码图像I_stego相似误差在一定范围内；L_eA的公式如下：

式中||·||₂是Frobenius范数，W、H和C分别表示输入图像的宽度、高度和通道数；

使用学习感知图像块相似性(LPIPS)损失L_lpips最小化原始图像I_cover和编码图像I_stego之间的距离；L_lpips计算如下：

其中l是用于提取特征堆栈的网络层，归一化的C_l维特征向量用和表示，其中包含图像I_cover在空间坐标h、w处的l层特征绝对值，I_cover和I_stego表示原始图像和编码图像；对于第l层，其中H_l,W_l和C_l是第l层中通道的高度、宽度和数量；w_l表示每个图像特征的自适应权重，⊙表示异或运算；

解码器用于从编码图像中恢复秘密信息，解码后的消息与输入的秘密消息相同；消息损失函数L_dB计算如下：

其中M_in是二进制秘密消息，L表示秘密信息长度，M_out是提取的秘密信息，M_in和M_out∈{0,1}^L；

判别器A用于判断接收到的图像是编码图像I_stego还是原始图像I_cover；判别器结构如图4所示；使用判别器损失函数L_gA提高I_stego的视觉质量，L_gA计算如下：

L_gA＝log(1-A(I_stego))+log(A(I_cover)) (4)

其中log(*)表示对数函数；

在生成器的训练方面，模型为四个损失函数L_eA,L_lpips,L_dB和L_gA设置不同的权重以控制水印的鲁棒性和不可见性之间的平衡；

总损失函数L定义如下：

L＝λ_eAL_eA+λ_lpipsL_lpips+λ_dBL_dB+λ_gAL_gA (5)

其中λ_eA,λ_lpips,λ_dB和λ_gA分别为损失函数L_eA,L_lpips,L_dB和L_gA的权重。

图5展示了本发明的噪声攻击层可视化，第一行：原始图像I_cover，第二行：编码图像I_stego，第三行：扭曲的图像I'_stego，第四行：放大的差异。图6展示了本发明在300个epoch后的通用损失演化，6(a)：整体损失，6(b)：编码器损耗，6(c)：解码器损失，6(d)：判别器损失。图7展示了本发明原始图像和编码图像之间的区别，前两列：原始图像和编码图像，最后三列：编码图像和原始图像之间的差异图像(增强1×、10×、20×)。

图8展示了本发明提出RIW-GAN模型在各种失真和强度下的比特准确率。图9展示了本发明在不同模型的编码和原始图像示例，图9(a)中，第一行：没有嵌入信息的封面图片，第二行：来自RIW-GAN模型的编码图像，第三行：来HiDDeN模型的编码图像，第四行：来自StegaStamp的编码图像，第五行：来自ReDMark的编码图像；图9(b)中，即图9的第六行：RIW-GAN模型的归一化差异，第七行：HiDDeN模型的归一化差异，第八行：StegaStamp模型的归一化差异，第九行：ReDMark模型的归一化差异。

表1和表2是本发明提出的算法对于数据集ImageNet和COCO在不同攻击下的提取秘密信息的准确度。表3是本发明提出的模型在COCO和ImageNet数据集与几种最先进的方案比较并且在三种不同长度的秘密消息下的解码准确度和编码图像的不可见性。表4是本发明提出的算法与最先进模型之间的稳健性比较。

表1

表2

表3

表4

本发明在基于生成对抗网络的框架下实现了将二进制比特的秘密信息隐藏到一张三通道的彩色图像中并且能够提取出秘密信息的任务，在生成的对抗网络的框架下让水印模型在训练的过程中模拟攻击，使得模型具有鲁棒性，并且用损失函数对编码图片进行约束，使得生成的编码图像的不可见性较高。

Claims (6)

1.一种基于生成对抗网络的鲁棒图像水印方法，其特征在于：该方法包括：

(1)构建编码器-解码器框架，编码器将二进制的秘密信息嵌入到一张三通道的载体图像中，解码器从载密图像中提取出秘密信息；

(2)构建对抗网络框架，编码器网络和解码器网络组成一个端到端的模型作为生成器网络，通过生成器网络生成载密图像和提取出秘密信息，通过判别器网络进行隐写分析，对生成的编码图像的真假性进行判断；

(3)通过生成器网络和判别器网络之间相互对抗学习，使生成的载密图像和原始图像误差在一定范围内，同时使解码的秘密信息和原始的秘密信息误差在一定范围内；

(4)使用获取的自然图像数据集训练网络模型，通过结构相似性指标和峰值信噪比来验证模型的不可见性，通过提取秘密信息的准确度来验证模型的鲁棒性，得到最优的模型参数；通过训练好的网络模型得到鲁棒编码图像和提取秘密信息。

2.根据权利要求1所述的基于生成对抗网络的鲁棒图像水印方法，其特征在于：生成器和判别器对抗训练包括：

(a)生成器网络包括两个部分：编码器和解码器，其中编码器网络生成的编码图像要与原始图像误差在一定范围内；

(b)判别器网络用于隐写分析，即鉴别图像是编码图像还是原始图像，判断图像是否含有秘密信息；

(c)模拟噪声网络：将编码图像输入解码网络前设有一个模拟的攻击层，对编码图像进行模拟攻击，之后再输入解码器中进行解码；

(d)生成器网络在得到判别器网络的结果之后进行反向传播，利用梯度更新来更新编码器和判别器的参数，控制生成器生成图片质量。

3.根据权利要求1或2所述的基于生成对抗网络的鲁棒图像水印方法，其特征在于：通过使用自然图像数据集进行训练得到最优的模型参数，训练流程包括：

第一步，首先将具有L长度的秘密信息扩展成三维的向量，再改变二进制比特的秘密信息的形状，使其与图像大小相同；

第二步，将秘密信息和图像相互拼接，输入编码器，编码器通过特征提取和特征融合后输出一个三通道的彩色图像，该彩色图像即为载密图像；

第三步，在解码前设有一个模拟的攻击层网络来模拟实际攻击，经过模拟的攻击层得到一个被攻击的载密图像；

第四步，将被攻击的载密图像输入解码器中进行解码得到二进制的秘密信息。

4.根据权利要求1所述的基于生成对抗网络的鲁棒图像水印方法，其特征在于：编码器网络结构由卷积层加一个残差块组成；

首先将一串二进制秘密信息扩展成输入图像的尺寸，将扩展后的秘密信息与三通道的原始图像拼接在一起输入编码器，经过四次卷积操作用于特征的提取；然后经过一个残差块，即一个3×3的卷积层，提取特征信息；

每个卷积层得到的特征图都全连接到对应的上采样层，即不直接在高级特征图中进行监督和损失计算，结合低级特征图中的特征，使最终所得特征图中既包含高等级的特征，也包含低等级的特征，完成不同规模下的特征的融合；

最后，使用1×1的卷积层将多通道的特征图转化成三通道的彩色图像。

5.根据权利要求1或4所述的基于生成对抗网络的鲁棒图像水印方法，其特征在于：解码器在接收到编码图像I_stego，从载密图像中提取出所嵌入的秘密信息；具体包括：

解码器首先由3个3*3卷积层组成，进行特征的提取；接着设有一个残差块用于特征提取和减少梯度消失；再者设四个3×3卷积层以产生L通道的秘密信息张量；然后利用平均池化层和单一线性层将映射转换为L长度矢量。

6.根据权利要求3所述的基于生成对抗网络的鲁棒图像水印方法，其特征在于：网络模型使用不同的损失函数交替迭代更新编码器、解码器和判别器；消息损失函数用于保证模型的鲁棒性，图像损失函数和判别器损失函数用于保证模型的不可感知性；网络的损失函数构建如下：

使用图像损失函数L_eA保持原始图像I_cover和编码图像I_stego相似误差在一定范围内；L_eA的公式如下：

式中||·||₂是Frobenius范数，W、H和C分别表示输入图像的宽度、高度和通道数；

使用学习感知图像块相似性(LPIPS)损失L_lpips最小化原始图像I_cover和编码图像I_stego之间的距离；L_lpips计算如下：

其中l是用于提取特征堆栈的网络层，归一化的C_l维特征向量用和表示，其中包含图像I_cover在空间坐标h、w处的l层特征绝对值，I_cover和I_stego表示原始图像和编码图像；对于第l层，其中H_l,W_l和C_l是第l层中通道的高度、宽度和数量；w_l表示每个图像特征的自适应权重，

表示异或运算；

解码器用于从编码图像中恢复秘密信息，解码后的消息与输入的秘密消息相同；消息损失函数L_dB计算如下：

其中M_in是二进制秘密消息，L表示秘密信息的长度，M_out是提取的秘密信息，M_in和M_out∈{0,1}^L；

判别器A用于判断接收到的图像是编码图像I_stego还是原始图像I_cover；使用判别器损失函数L_gA提高I_stego的视觉质量，L_gA计算如下：

L_gA＝log(1-A(I_stego))+log(A(I_cover)) (4)

其中log(*)表示对数函数；

在生成器的训练方面，模型为四个损失函数L_eA,L_lpips,L_dB和L_gA设置不同的权重以控制水印的鲁棒性和不可见性之间的平衡；

总损失函数L定义如下：

L＝λ_eAL_eA+λ_lpipsL_lpips+λ_dBL_dB+λ_gAL_gA (5)

其中λ_eA,λ_lpips,λ_dB和λ_gA分别为损失函数L_eA,L_lpips,L_dB和L_gA的权重。

Images