On the Effectiveness of Visible Watermarks论文解读

通常水印的处理

当从单个图像自动去除水印是非常具有挑战性的

视觉水印通常包含复杂的结构，例如细线和阴影，使它们更难以去除

水印通常以一致的方式添加到许多图像中。 这种一致性可以被利用来自动推断水印图案并且以高精度获得原始的，无水印的内容。

• ICA 独立成分分析
  使用独立分量分析（ICA）来分离源图像与水印。 这些技术在单个图像上操作，需要用户手动标记水印区域，并且不能处理大的水印区域（图4（b））。

论文概要

本论文提出了一种广义的多图像消隐算法，它将不必要的图像集合作为输入，并自动估计“前景”（水印），其“阿尔法”和“背景”（原始）图像。由于这种攻击依赖于图像集合中水印的一致性， 在水印过程中可能引入的不同类型的不一致性的鲁棒性，如水印的位置和混合因子的随机改变，或者在嵌入时对水印应用微小的几何变形在每个图像，可能潜在地用于使水印更加安全。我们演示网络上可用的股票图像算法，并对合成水印数据进行广泛的定量分析。本文的一个关键外包信息是，可视水印应该被设计成不仅可以抵抗从单个图像中移除的鲁棒性，而且还可以更好地抵抗图像集合中的大规模删除。

论文展示了在集合中随机改变水印的位置并不能防止这种攻击检测和去除水印，也不会随机改变水印的不透明度或颜色。有趣的是，我们发现在嵌入期间对水印应用小的空间变形可以显着降低水印去除图像的质量，只有水印本身的不可察觉的变化。

算法

水印图像 J 通常通过将水印 W 叠加到自然图像 I 来获得。

其中p =（x，y）是像素位置，并且α（p）是空间变化的不透明度或α无光泽。 最常用的水印是半透明的，以保持底层的图像内容部分可见。 也就是说，对于所有像素，α（p）<1，或者α= c·αn，其中c <1是常数混合因子，αn∈[0,1]是归一化的α遮罩。 类似于自然图像消光，对于αn，大多数像素只是背景（αn（p）= 0）或仅前景（αn（p）= 1）。

按照公式 1，并且给定W和α，可以通过每像素操作来简单地反转水印处理

然而，当没有先前的信息可用时，单独给予J的恢复I的问题是非常困难和固有的低估 - 每像素有三个未知的（W，α，I）和单个约束 （等式1）。

但是，如第二节所述。 1，水印通常以一致的方式添加到许多图像中。 形式上，对于图像集合{Ik}，由相同的W和α标记，我们有（为了简洁省略像素索引p）

我们的目标是恢复W，α和{Ik} k = 1..K 给定{Jk} k = 1…K

对于K色图像，每像素有3K个方程和3（K + 1）+ 1个未知数，这个多图像消光问题仍然被确定。

水印去除算法由几个组成步骤

我们首先考虑一个一致的水印方案的情况，即在相同的位置，图像以相同的水印和阿尔法无光泽标记。 然后允许位置变化，以及整个集合中微妙的几何和颜色变化。

                    图3.初始水印估计和检测。 

（a）用户在单个图像中围绕水印提供了一个粗略的边界框（对于网络上的当前库存集，这不需要;参见文本）。

（b）（a）的梯度大小。

（c）水印检测和估计的2次迭代之后的集合中的中值梯度的幅度（见第3.1节）。

• I.估计Matted水印
  鉴于图像中水印区域的当前估计,我们通过观察整个集合中的一致图像来确定集合中的哪些图像结构属于公共水印。 具体来说，我们在x和y方向独立地计算水印图像梯度的中值，每个像素位置p：
  
  随着图像数K的增加， 4收敛到真正无水印的梯度Wm =αW，直到移位。 为了证明为什么会这样，我们将Ik和Jk视为随机变量，并计算异常E [∇Jk]。 使用方程 3我们有，

  

• 水印检测
  鉴于当前估计∇Wm，我们使用通常用于对象检测和识别中模板匹配的倒角距离来检测每个图像中的水印。 具体来说，对于给定的水印图像，我们获得一个详细的边缘图（使用Canny边缘检测器[4]），并计算其欧几里德距离变换，然后与∇Wm（水平和垂直翻转）卷积以获得倒角距离 从每个像素到最近的边缘。 最后，水印位置被认为是地图中距离最小的像素。 我们发现这种检测方法非常强大，为不同水印和不同的不透明度水平提供了很高的检测率
  为了初始化联合估计，如果水印在图像中的相对位置是固定的（如我们在网上观察到的任何股票图像集合的情况），我们得到水印梯度的初始估计∇Wm，由 相对于它们的中心注册图像并执行步骤I.如果水印位置不固定，则仅需要用户在其中一个图像中标记水印周围的粗略边界框。 然后，我们使用给定边界框中的梯度作为水印梯度的初始估计。 我们发现在步骤I和II之间进行迭代。 2-3次足以获得准确的检测和可靠的无水印水印估计。

• 多图像匹配和重建
  给定所有输入图像中的对齐检测，我们的目标是解决多图像消隐问题，即将每个图像中观察到的强度分解为其水印，字母和原始图像分量。 挑战是如何彻底自动，可靠地解决这个问题的内在模糊。

  

  

  ε= 0.001是逼近L1距离的鲁棒函数（为简洁起见，省略了p）。
  术语Ereg（∇I）和Ereg（∇W）是正则化项，它们鼓励重建图像和水印分段平滑，其中α亚光的梯度强。 将Ereg（∇I）定义为

  

  

  

  优化

  结果优化问题（方程6）是非线性的，当处理大集合（O（KN）不知道时，未知数的数量可能非常大，其中N和K是每个图像年龄和图像数量）。 为了应对这些挑战，我们引入辅助变量{Wk}，其中Wk是第k个图像的水印。 每个图像水印Wk需要接近W.原则上，我们重写如下的目标

  

  使用这些辅助变量，我们解决了更小和更简单的优化问题（使用交替最小化）。 所得到的迭代算法包括以下步骤。

  • 水印图片分解
    在这一步，我们最小化目标w.r.t. Wk和Ik，同时保持α
    和W固定。 因此，等式 10减少到：

    

    我们使用迭代 - 重叠 - 最小二乘法（IRLS）来解决这个最小化问题。

  • 水印更新
    在此步骤中，我们选择通过最小化Eaux术语来估计与所有估计的每图像水印{Wk}一致的全局水印W。 这个步骤减少到取中位数{Wk}。 也就是说，W = mediank Wk。

  • 遮罩更新
    在这里，我们解决α，同时保持其他未知数固定。 在这种情况下，我们最小化以下目标超过α：

    

    这里也使用IRLS获得解决方案（最终的线性系统是在SM中得到的）。

  这些步骤被迭代几次，直到收敛。

• 删除新图像中的水印
  一旦我们得到了W和α的解决方案，我们可以使用它们从其标记的任何新图像中去除水印，而不需要再次运行整个流水线。非常微妙的水印或alpha哑光错误可能会显现出明显的视觉效果。 因此，我们避免直接重建和替代执行我们的多图像消隐算法的图像水印分解步骤（等式11）。

反水印去除—-广义水印模型

一致的水印模型（等式3）是我们在网络上遇到的每个库存图像集合中实际使用的水印模型。 然而，一个自然的问题是是否可以通过破坏整个集合中水印的一致性来避免攻击。 为了获得视觉效果，我们探讨了从图像到图像的水印和alpha蒙板的变化的影响。

我们假设水印不能被任意改变，因为在生成和放置图像时考虑到各种设计原则和艺术选择。 因此，我们专注于大致保留水印的原始外观的微妙变化。 具体来说，我们推广我们的模型以允许两种类型的变体：

（i）微妙的不透明度变化

（ii）微妙的空间扰动（变形）

第k个图像的广义形成模型由下式给出

代表密集的翘曲场（应用于W和α）

ck是每图像混合因子（控制不透明度）。

堵塞方程 13进入我们的目标函数（方程6），并且在翘曲场上增加正则化项导致

Wm = αW 在这里，我们也使用交替最小化，即我们的多图像消隐算法具有两个附加步骤：每个图像的混合因子估计（ck解））和α感知流量估计（求解ωk）。

• 混合因子
  产生平均混合因子。 然后我们从该估计中求出每个图像的小偏差。

• α感知流
  在此步骤中，我们基于W，α，c和I的当前估计求解ω。这导致与常规光流相似的算法，可以使用IRLS求解。 为此，我们需要对数据项进行线性化。 使用现有估计ω，我们的目标是估计最优增量dω=（du，dv）。 泰勒扩张结果

  

  其中Wm’= Wm（ω），α’=α（ω），αx’，αy’，Wm’x，Wm’y分别为α’和Wm’的偏导数。 线性化数据项由（省略常数混合因子c）

结果

通过知名的股票摄影网站以及我们生成的水印数据集广泛地测试了我们的算法对水印图像集合的影响。 对于每个数据集，图1中报告了图像的数量，长边和水平分辨率。

我们通过经验设置多图像消隐算法的参数：λI∈[0,1]，λα= 0.01，λW∈[0.001,0.1]β∈[0.001,0.01]。 在所有实验中，我们使用了来自整个集合和4次迭代的50个图像的子集，并重建了所有水印图像。 我们使用每个数据集中的所有可用图像来获得水印的初始估计。 我们展示图像数量对补充材料的性能的影响。 运行时间在表1中使用非优化的MATLAB实现报告。

• 股票图像的结果

  我们使用15种预定义查询（如“时尚”，“食物”，“运动”和“自然”）从流行的股票内容网站中搜索公开的预览图像。
  在图像的一部分，水印区域是高度纹理的，而在其他图像中它是平滑的。 水印的不透明度低，并且在不同的数据集之间变化（估计的混合因子显示在每行之上）。 在所有这些情况下，我们的算法精确地估计了水印（图7）和原始图像（图6）。

• 对水印变化的鲁棒性

  我们评估了我们的广义框架对每图像水印变化的鲁棒性（见第4节）。 为此，我们生成了许多数据集，使用与之前相同的标志。 我们首先对每个图像的水印进行不同位置的均匀采样。 我们通过在全局混合因子c周围的几个强度水平下均匀采样每个图像的混合因子ck，即ck∈[c-x / 255，c + x / 255]（我们使用x = 10,20）。 我们通过用高斯滤波器平滑两个i.i.d随机噪声图像（用于扰动的x和y分量）来产生小的空间扰动。 我们将每个方向的最大扰动限制为一个定义的值（我们使用最多0.5和1个像素）。 然后我们使用那些作为位移字段来扭曲原始水印和alpha遮罩（使用双线性插值）。 最后，我们还使用上述变体的组合生成了数据集。

我们将结果报告在表3中。可以看出，对于各种变化，检测是非常强大的。 由于CVPR17标志大部分是非纹理的，并且不含强度，所以检测更具挑战性，但其检测率仍然很高。 我们进一步观察到，不透明度变化不会对结果产生太大的影响，几何扰动对重建质量影响最大。 请注意，扰动不会阻止算法提取可靠的估计值（因为几何噪声仍然可以在许多图像上集成）。 因此，我们的广义框架管理在一定程度上提高了重建质量（见图5（c-d））（上图））。 然而，它不能准确地对准扰动的水印，并且视觉伪影仍然是显着的（参见图5（c-d）底部）。

结论

我们透露了使用可见水印的方式的漏洞，这样可以自动删除它们并以高精度恢复原始图像。 攻击利用了许多图像中的水印的一致性，并不受水印的复杂性或其在图像中的位置的限制。 我们进一步研究和评估是否在水印中添加小的随机变化的地理/不透明度可以有助于防止这种情况。 我们发现攻击最受几何变化的影响，与目前的传统水印方案相比，可以有效改善水印安全性。

图示出了攻击的示例限制。 特别是，当图像平滑时，估计微妙水印结构的不准确性偶尔会显示为可见的伪影。 我们推测，除了内容感知水印放置[12]之外，还可以利用这一事实来进一步提高去除的鲁棒性。

水印变异的鲁棒性。 我们用几种类型的随机，每图像水印变化生成的水印数据集的检测率（超过所有图像），PNSR和DSSIM（平均超过50图像）：平移，不透明度，几何扰动及其组合。 请参阅文本中变化和幅度的解释。