基于显著性检测的抗剪切攻击的图像数字水印方法

Anti⁃cropping digital image watermarking based on saliency detection

摘要

为了保证水印嵌入的区域在剪切时以较大的概率被保留，提出了基于显著性检测的抗剪切攻击的图像数字水印方法。首先，使用显著性检测网络确定嵌入区域；其次，使用Transformer网络将变换后的水印嵌入该区域中；再次，为了保证水印的鲁棒性，在提取水印之前，使用噪声层攻击嵌入水印的图像；最后，使用全卷积网络提取显著性区域中的水印。实验结果表明：在常见的9种攻击方法下，本文方法具有更好的鲁棒性；在基于显著性目标检测的剪切攻击时，本文方法依然可以准确地提取出水印。

Abstract

To ensure that the embedded area of the watermark is preserved with a high probability during cropping， we propose an effective and anti-cropping attacked watermarking method. Firstly， we use a saliency detection network to select the embedding region； then we use a Transformer network to embed the transformed watermark into this region； to ensure the robustness of the watermark， a noise layer is used to attack the embedded image before extracting the watermark； finally， we use a fully convolutional network to extract watermark from the salient region. The experimental results show that the proposed method has higher robustness than compared methods under common nine attack methods. Our method can accurately extract the embedded watermark under saliency detection-based cropping attack.

Graphical abstract

关键词

计算机应用 / 图像水印 / 显著性检测 / 剪切

Key words

computer application / image watermarking / saliency detection / cropping

0 引 言

1994年，van Schyndel等^［1］提出了数字水印的概念，后被广泛用于多媒体产权的保护中。传统的水印方法通常基于经典的数字信号处理技术，如离散余弦变换^［2］、离散傅里叶变换^［3］、小波变换^［4，5］等。李喜艳等^［6］对原始图像进行离散小波变换和最优离散余弦变换后将水印信息嵌入其中，提高了水印的有效嵌入量；Hsu等^［7］提出了一种基于QR码的数字水印方案，水印的每个位都有4个副本，隐藏在不同的图像块中，对剪切攻击有很好的鲁棒性；Liu等^［8］通过多级离散小波变换（Discrete wavelet transform，DWT）将原始图像分解为多个子带，同时对水印图像进行奇异值分解（Singular value decomposition，SVD）操作，通过由果蝇优化算法计算得到的缩放因子，将水印嵌入原始图像的低频-低频子带（Low-low subband，LL）子带中。传统水印算法虽然可以嵌入一定的水印信息，但是此类方法嵌入的水印信息容量有限，并且鲁棒性依赖于算法的设计，通常情况下不能很好地抵抗剪切攻击。

随着深度学习的不断发展，基于深度学习的水印方法在对抗各种攻击时表现出较好的鲁棒性。Zhu等^［9］首次将用于水印嵌入的编码器和用于水印提取的解码器联合训练，并在训练过程中直接添加噪声，使得嵌入的水印具有较好的鲁棒性；Lu等^［10］将DWT与卷积网络结合，使模型在训练的过程中学习到更稳定的特征表示；Liu等^［11］提出了两阶段可分离深度学习框架，包括无噪声的端到端对抗训练和有噪声的解码器训练两部分；Zhang等^［12］通过逐步融合水印图像和原始图像的频率特征及深度特征实现水印的嵌入。虽然神经网络的应用使得水印方法的鲁棒性有了进一步的发展，但面对大尺度的剪切攻击（如图像缩略图^［13-15］）时，现有方法无法有效提取出水印信息。

为了解决现有方法对基于显著性的剪切攻击鲁棒性较差的问题，本文设计了一种具有较强抗剪切攻击的数字图像水印方法。由于图像显著性从语义层面上将图像划分为包含主要内容的前景区域和信息较少的背景区域，将水印信息嵌入显著性区域可以极大地减少由于图像剪切导致信息丢失的可能性。为了保证嵌入的水印信息经过大尺度裁剪后仍然能被有效提取出来，本文设计了一种基于排列重组的水印冗余方法，当部分水印信息受损后，可通过嵌入的冗余水印恢复。实验结果表明：在常见的9种攻击方法下，本文方法具有更高的鲁棒性。特别是在基于显著性检测的剪切攻击下，现有方法基本上无法提取出水印信息，而本文方法仍然可以准确地提取出水印。本文的主要贡献如下：①将显著性检测用于确定水印的嵌入区域，有效解决了基于图像内容的裁剪攻击导致无法提取出水印的问题；②利用排列重组的简单策略实现水印图像冗余，进一步提升了水印嵌入方法的抗剪切攻击能力。

1 相关工作

目前针对抵抗剪切攻击的水印方法较少，现有水印方法仅是在训练过程中添加剪切的扰动以抵抗剪切攻击。但是这种做法忽略了大尺度剪切攻击对水印图像带来的影响。传统的水印方法通过将水印嵌入图像的特定位置以抵抗剪切攻击。例如Thahab等^［16］采用一种被称为“同心矩形”的嵌入方法，从图像中心开始，沿着边界向外嵌入数据，以克服剪裁和旋转攻击。基于深度学习的方法通过将水印进行冗余操作和在噪声层中增加剪切的扰动提高水印方法对剪切攻击的鲁棒性。例如Jia等^［17］将水印进行冗余后通过消息处理器将其扩散到整张图像上以提高水印对剪切攻击的鲁棒性。Ding等^［18］改进了StegaStamp方法^［19］，在模型的训练过程中引入剪切的扰动，增强了模型抵抗剪切攻击的能力。虽然该方法具有较强的鲁棒性，但嵌入的水印信息仅20 bit。Ahmadi等^［20］提出了一种端到端的深度扩散水印框架，扩大了水印嵌入的容量，水印信息以图像的形式被嵌入，通过扩散水印的方式，在多个图像块之间共享水印数据，提高了水印鲁棒性。虽然这些深度方法可以在一定程度上抵御剪切攻击，但是在面对基于显著性检测的剪切时，现有方法提取的水印图像质量较差。本文将显著性区域作为水印嵌入区域，从语义层面上降低了由于剪切造成水印信息丢失的可能性，从而极大地提高了本文水印方法的抗剪切攻击能力。

2 本文方法

本文提出的基于显著性检测的抗剪切攻击的图像数字水印方法的框架如图1所示。首先使用显著性网络确定水印的嵌入区域，然后将冗余的水印图像嵌入图像中。为了提高鲁棒性，使用噪声层添加噪声，最终使用水印提取网络提取嵌入的水印。

2.1　基于排列重组的水印冗余

剪切图像时，嵌入的水印信息同样被丢弃。基于重复水印信息的传统冗余方法只适用于嵌入水印信息少的情况，当嵌入的水印图像分辨率较高时，简单地重复水印不能有效实现冗余。本文提出一种简单的、适用于图像的水印冗余方法，即将图像分块后再排列，具体方法如图2所示。给定水印图像\mathit{W}\in {\mathbb{R}}^{h\times w}，将其分成4块，依次从左上角到右下角编号为B_{\mathrm{1}}、B_{\mathrm{2}}、B_{\mathrm{3}}、B_{\mathrm{4}}。重新排列后，可以得到新的水印图像{\mathit{W}}_i。公式如下：

{\mathit{W}}_i=\mathrm{𝒫}(\mathit{W},r_i)（1）

式中：\mathrm{𝒫}为排列操作；r_i为排列顺序。r_{\mathrm{1}}=[\mathrm{1,2},\mathrm{3,4}]，r_{\mathrm{2}}=[\mathrm{2,1},\mathrm{4,3}]，r_{\mathrm{3}}=[\mathrm{3,4},\mathrm{1,2}]，r_{\mathrm{4}}=[\mathrm{4,3},\mathrm{2,1}]。

例如采用r_{\mathrm{2}}的排列顺序时，水印图像从左上角到右下角依次为B_{\mathrm{2}}、B_{\mathrm{1}}、B_{\mathrm{4}}、B_{\mathrm{3}}。当裁剪导致{\mathit{W}}_i的部分信息丢失时，可由其他水印图像{\mathit{W}}_j{|}_{j\ne i}恢复出丢失的信息。

2.2　基于显著性区域的水印嵌入区域选择

本文使用PoolNet^［21］提取图像中的显著性区域作为水印的嵌入区域。图像显著性从语义层面保证了水印被嵌入到图像重要区域，可以有效避免背景剔除或基于显著性的图像剪切导致水印信息丢失。给定显著性网络{\Phi }_{\mathrm{S}}(\cdot ;{\theta }_{\mathrm{S}})，原始图像{\mathit{I}}_{\mathrm{c}\mathrm{o}}的显著性检测结果记为{\mathit{S}}_{\mathrm{c}\mathrm{o}}。使用阈值T得到显著性区域的掩码{\mathit{M}}_{\mathrm{c}\mathrm{o}}（{\mathit{M}}_{\mathrm{c}\mathrm{o}}={\mathit{S}}_{\mathrm{c}\mathrm{o}}\ge T）。当显著性区域的最小外接矩形B的面积S\ge \mathrm{0.4}\times H\times W时，水印的嵌入区域为当前显著性区域的最小外接矩形区域，否则水印的嵌入区域为整张图像。实验发现：嵌入水印后的图像{\mathit{I}}_{\mathrm{e}\mathrm{m}}经过噪声层处理后的显著性检测结果{\mathit{S}}_{\mathrm{e}\mathrm{m}}可能与{\mathit{S}}_{\mathrm{c}\mathrm{o}}之间存在较大差异，增加了水印提取的难度。因此，将{\mathit{S}}_{\mathrm{c}\mathrm{o}}作为{\mathit{S}}_{\mathrm{e}\mathrm{m}}的真值，微调显著性网络。损失函数采用二值交叉熵（Binary cross entropy，BCE）损失函数，定义如下：

{\mathrm{ℒ}}_{\mathrm{1}}=\mathrm{B}\mathrm{C}\mathrm{E}({\mathit{S}}_{\mathrm{e}\mathrm{m}},{\mathit{S}}_{\mathrm{c}\mathrm{o}})（2）

2.3　基于Transfromer的水印嵌入网络

水印嵌入网络将图像{\mathit{I}}_{\mathrm{c}\mathrm{o}}和冗余的水印图像{\mathit{W}}_i{|}_{i=\mathrm{1}}^{\mathrm{4}}作为输入，输出嵌入水印的图像{\mathit{I}}_{\mathrm{e}\mathrm{m}}，其详细结构如图3所示。使用多个Transformer模块提取图像特征，并与水印特征相加后送入多层感知机进行融合。融合后的特征经过多个Transformer模块恢复出嵌入水印后的图像。具体过程公式化表示如下：

\begin{array}{c}{\mathit{I}}_{\mathrm{e}\mathrm{m}}={\Phi }_{\mathrm{E}}({\mathit{I}}_{\mathrm{c}\mathrm{o}},{\mathit{W}}_i{|}_{i=\mathrm{1}}^{\mathrm{4}};{\theta }_{\mathrm{E}})=\\ \mathrm{D}\mathrm{e}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}\mathrm{r}(\mathrm{E}\mathrm{n}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}{\mathrm{r}}_{\mathrm{1}}({\mathit{I}}_{\mathrm{c}\mathrm{o}})+\mathrm{E}\mathrm{n}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}{\mathrm{r}}_{\mathrm{2}}({\mathit{W}}_i{|}_{i=\mathrm{1}}^{\mathrm{4}}))\end{array}（3）

式中：\mathrm{D}\mathrm{e}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}\mathrm{r}(\cdot )为用于恢复图像信息的解码模块；\mathrm{E}\mathrm{n}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}{\mathrm{r}}_{\mathrm{1}}(\cdot )和\mathrm{E}\mathrm{n}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}{\mathrm{r}}_{\mathrm{2}}(\cdot )两个编码模块分别用于编码图像和水印信息。

图像编码模块\mathrm{E}\mathrm{n}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}{\mathrm{r}}_{\mathrm{1}}(\cdot )由24个Transformer块和一个线性层组成，将图像编码成长度为1 024的向量，其公式表示为：

{\mathit{v}}_{\mathrm{i}\mathrm{m}}=FC(N(T{B}_{\mathrm{24}}(P\epsilon ({\mathit{I}}_{\mathrm{c}\mathrm{o}})+{\mathit{p}}_{\mathrm{e}\mathrm{n}})))（4）

式中：FC(\cdot )为全连接层；N(\cdot )为层规范化操作；T{B}_{\mathrm{24}}(\cdot )为由24个连续的Transformer块组成的网络；P\epsilon (\cdot )为分块操作；{\mathit{p}}_{\mathrm{e}\mathrm{n}}为位置编码。

水印编码模块\mathrm{E}\mathrm{n}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}{\mathrm{r}}_{\mathrm{2}}(\cdot )由一个全连层将水印转换成长度为1 024的向量，其公式化表示为：

{\mathit{v}}_{\mathrm{w}}=FC(P\epsilon ({\mathit{W}}_i{|}_{i=\mathrm{1}}^{\mathrm{4}}))（5）

解码模块\mathrm{D}\mathrm{e}\mathrm{c}\mathrm{o}\mathrm{d}\mathrm{e}\mathrm{r}(\cdot )由一个多层感知机、8个Transformer块、一个全连层组成，其公式化表示为：

{\mathit{I}}_{\mathrm{e}\mathrm{m}}=FC(N(T{B}_{\mathrm{8}}(\mathrm{M}\mathrm{L}\mathrm{P}({\mathit{v}}_{\mathrm{i}\mathrm{m}}+{\mathit{v}}_{\mathrm{w}})+{\mathit{p}}_{\mathrm{e}\mathrm{n}})))（6）

为了保证嵌入水印的图像{\mathit{I}}_{\mathrm{e}\mathrm{m}}与原图像{\mathit{I}}_{\mathrm{c}\mathrm{o}}的相似性，本文采用均方误差（Mean squared error， MSE）损失函数，定义如下：

{\mathrm{ℒ}}_{\mathrm{2}}=\mathrm{M}\mathrm{S}\mathrm{E}({\mathit{I}}_{\mathrm{e}\mathrm{m}},{\mathit{I}}_{\mathrm{c}\mathrm{o}})（7）

2.4　基于全卷积的水印提取网络

水印提取网络{\Phi }_D(\cdot ;{\theta }_D)如图4所示，包括特征提取部分和水印提取部分。特征提取部分采用UNet结构，使用最后一层卷积特征提取水印。水印提取部分采用4个独立的提取分支，分别提取冗余的水印图像，然后再使用卷积将冗余的水印图像合并为最终的水印图像。使用\mathit{X}表示图像特征，每一个分支使用卷积、批处理规范化、Sigmoid操作提取水印图像，具体公式如下：

{\mathit{W}}_i\text{'}=\sigma (B(C_i(\mathit{X})))（8）

式中：C_i(\cdot )为第i个分支的卷积；B(\cdot )为批处理规范化；\sigma (\cdot )为Sigmoid函数。

{\mathit{W}}_i\text{'}{|}_{i=\mathrm{1}}^{\mathrm{4}}对应水印冗余模块中4个重新排列后的水印图像。通过融合重新排列的{\mathit{W}}_i\text{'}{|}_{i=\mathrm{1}}^{\mathrm{4}}，可以准确地恢复水印图像，其计算公式如下：

\widehat{\mathit{W}}=C(R(C([(P({\mathit{W}}_i\text{'},r_i\text{'})]{|}_{i=\mathrm{1}}^{\mathrm{4}})))（9）

式中：C(\cdot )为卷积操作；R(\cdot )为ReLU激活函数；P(\cdot ,r_i\text{'})为将排列顺序r_i\text{'}还原成r_{\mathrm{1}}；[\cdot ]{|}_{i=\mathrm{1}}^{\mathrm{4}}为拼接操作。

本文采用均方误差损失函数训练水印提取网络，其损失函数定义如下：

{\mathrm{ℒ}}_{\mathrm{3}}=\mathrm{M}\mathrm{S}\mathrm{E}(\widehat{\mathit{W}},\mathit{W})+{\displaystyle \sum _{i=\mathrm{1}}^{\mathrm{4}}}\mathrm{M}\mathrm{S}\mathrm{E}({\mathit{W}}_i\text{'},{\mathit{W}}_i)（10）

为了防止水印提取网络过拟合，本文使用对抗训练的方式，将无水印图像{\mathit{I}}_{\mathrm{c}\mathrm{o}}作为输入，全零图作为真值，得到额外的损失函数：

{\mathrm{ℒ}}_{\mathrm{4}}=\mathrm{M}\mathrm{S}\mathrm{E}(\widehat{\mathit{W}},\mathrm{0})+{\displaystyle \sum _{i=\mathrm{1}}^{\mathrm{4}}}\mathrm{M}\mathrm{S}\mathrm{E}({\mathit{W}}_i\text{'},\mathrm{0})（11）

基于式（2）（7）（10）（11），可得整体损失函数定义为：

{\mathrm{ℒ}}_{\mathrm{T}\mathrm{o}\mathrm{t}\mathrm{a}\mathrm{l}}={\lambda }_{\mathrm{1}}{\mathrm{ℒ}}_{\mathrm{1}}+{\lambda }_{\mathrm{2}}{\mathrm{ℒ}}_{\mathrm{2}}+{\lambda }_{\mathrm{3}}{\mathrm{ℒ}}_{\mathrm{3}}+{\lambda }_{\mathrm{4}}{\mathrm{ℒ}}_{\mathrm{4}}（12）

式中：{\lambda }_i（i=1，2，3，4）是平衡系数，分别为1、7、35、20。

本文方法使用Pytorch实现，硬件设备使用NVIDIA 3090，采用Adam优化算法，学习率设置为0.000 01，批处理大小设置为2，模型训练30轮。

3 实 验

3.1　实验设置

数据集：由于没有公开的水印数据集，本文从ImageNet^［22］数据集中随机挑选100类图像用于训练和测试，将其命名为ImageNet 100，其中训练集有128 967张图像，测试集有5 000张图像。水印图像为一张大小为\mathrm{224}\times \mathrm{224}像素的黑白图像。

对比方法：实验选取了传统的水印嵌入方法DIWm^［8］和基于深度学习的水印嵌入方法ReDMark^［20］以及DAH-Net^［12］进行对比。DIWm的原始图像是尺寸为512\times512像素的灰度图，提取的水印图像为256\times256像素。ReDMark的原始图像是512\times512像素的灰度图，提取的水印图像是尺寸为224\times224像素的灰度图。DAH-Net的原始图像是256\times256像素的三通道RGB图像，提取的水印图像是尺寸为256\times256像素的灰度图。为了公平比较，使用相同的水印图片训练模型，在比较时将水印图像的真值分别缩放到DIWm、ReDMark和DAH-Net提取水印的目标尺寸。

量化指标：本文采用峰值信噪比（Peak signal to noise ratio，PSNR）和结构相似性指数（Structural similarity index，SSIM）衡量嵌入水印后图像的质量，使用比特误码率（Bit error ratio，BER）和SSIM衡量水印图像的质量。

3.2　结果分析

3.2.1　无攻击的图像和水印质量比较

表1对比了不同水印方法嵌入水印后的图像质量和提取水印的质量。可以发现，DIWm嵌入水印后图像的PSNR和SSIM高于ReDMark和本文方法，达到了32.13和0.96。然而DIWm和ReDMark只能在灰度图像上嵌入水印。本文方法提取的水印图像质量明显优于DIWm和ReDMark，BER低至0.002，SSIM达到了0.992 4， 但相比于DAH-Net低了0.006 7。表1中的量化结果表明本文方法具有较好的鲁棒性和不可见性。

图5展示了不同水印方法嵌入水印后的图像和提取的水印图像。在没有噪声攻击的情况下，所有水印方法都可以提取出水印图像。ReDMark提取的水印图像质量较差，其中的飞机轮廓不清晰且存在断裂。DIWm^［8］在灰度图像上嵌入水印，虽然可以提取出水印的轮廓，但水印图像前景区域像素值较低，且背景区域不干净。本文方法和DAH-Net不仅可以在彩色图像上嵌入水印，且提取的水印图像质量均较高。

3.2.2　不同攻击方法的水印质量比较

除了对图像进行显著性裁剪的攻击外，本文水印提取方法还可以抵抗其他图像攻击，如高斯滤波、裁剪、中值滤波等。从表2中可以看出，使用噪声层本文方法可以有效对抗椒盐噪声、裁剪、像素替换、高斯滤波、中值滤波、高斯噪声、JPEG压缩和缩放等攻击。在椒盐噪声、裁剪和高斯噪声攻击下，本文方法的BER在不同攻击参数下均低于0.005，并且SSIM均高于0.97。与之相比，DIWm、ReDMark和DAH-Net的BER最低为0.085，SSIM最高仅为0.856 6。在椒盐噪声和高斯噪声的攻击下，DIWm的SSIM甚至只有约0.3，表明其提取的水印图像受到了严重的噪声干扰。在裁剪替换攻击后，本文方法在攻击参数为0.1时，SSIM仅为0.694 2，这表明在当前参数下基本无法提取水印。但是，当攻击参数增至0.2和0.3时，SSIM的数值有所上升，这表明该方法对较大程度的裁剪替换攻击有一定的鲁棒性。然而，DIWm、ReDMark和DAH-Net在这两种参数的攻击下，SSIM均明显低于本文方法。在JPEG压缩的攻击下，DIWm的鲁棒性最强，在3种不同质量参数攻击下的效果均优于ReDMark、DAH-Net和本文方法。特别是当质量参数为50时，本文方法的SSIM仅为0.687 3，而DIWm^［8］的SSIM可以达到0.857 3，但是当质量参数增加时，本文方法也可以在一定程度上提取出水印。可视化结果图如图6所示，可以看出在面对大尺度的裁剪攻击时，DIWm、ReDMark和DAH-Net基本提取不出水印，而本文方法虽然在攻击系数为0.1的裁剪替换时所提取的水印有所缺失，但在其他参数的攻击下依然能够提取出高质量的水印图像。在高斯滤波、高斯噪声和椒盐噪声的攻击下，DIWm提取的水印图像有很多噪点，但是本文方法提取出的水印图像背景清晰没有噪声。本文的推理时间为每张图像0.15 s，虽多于ReDMark的每张图像0.06 s，但是水印的鲁棒性远高于ReDMark。

3.2.3　基于显著性检测的剪切水印图像质量比较

为了检验不同水印嵌入方法抵抗基于显著性检测的剪切攻击的能力，本文使用PoolNet^［21］作为图像显著性区域提取的基础网络。选取图像显著性区域的最小外接矩形作为剪切区域，用于提取水印图像。从表3中可以看出，当水印换成了224\times224像素的飞机图案后，DAH-Net提取出的水印图像接近嵌入的水印图像，但ReDMark和DIWm在嵌入水印的图像上提取的水印图像质量都不高，在没有对嵌入水印的图像进行显著性剪切的攻击时，ReDMark的SSIM仅为0.696 2，DIWm的SSIM仅为0.817 6。并且经过显著性剪切的攻击后，二者的BER都有显著上升。值得注意的是，采用ReDMark方法对图像进行显著性裁剪攻击后，水印图像的SSIM只下降了0.014 7，这是因为在很多张裁剪完显著性区域的嵌入水印的图像中，ReDMark方法是提不出水印图像的，它们的水印图是一张全黑的图像，全黑图像和要嵌入的水印图像的SSIM仅有0.678 4。

3.3　消融实验

为了验证本文方法提出的显著性网络、水印图像冗余模块的有效性，针对以上两个模块进行了以下消融实验。

3.3.1　显著性网络

在本文方法中，对原始图像添加水印之前，首先进行一次显著性检测，以提取图像的显著性区域。在水印提取过程中，采用在添加水印时基于显著性进行微调的显著性网络，以准确定位水印提取的区域。经过显著性网络裁剪后，在这个显著性区域进行水印的提取。实验结果（见表4）显示，在使用显著性网络和未使用显著性网络的情况下，二者嵌入水印的图像质量相差不大。但是在嵌入水印的图像中先提取显著性区域再提取水印时，未使用显著性网络提取的水印图像的SSIM为0.975 9，相比于使用了显著性网络的结果低了0.016 5。同时，未使用显著性网络提取的水印图像的BER也比使用了显著性网络提取的水印图像高出0.004。从图7可以看出，在未使用显著性网络时，经过显著性网络裁剪后再提取水印时，所提水印会丢失掉边缘的信息。使用显著性网络进行训练后，在嵌入水印的图像中提取显著性区域后再提取水印时可以提取出较高质量的水印图像。实验表明，显著性模块能够有效地将水印集中在图像的显著性区域。

3.3.2　水印冗余模块

由于编码器采用Transformer框架，水印按照编码顺序嵌入原始图像，所以该方法对于剪切攻击的鲁棒性较差。因此，本文方法设计了水印冗余模块，水印在经过水印冗余模块后生成4张重新排列的冗余图像。在水印提取阶段，对提取的4张图像进行重新裁剪，并按照原来的拼接顺序重新组合。通过水印融合模块将4张提取的水印图片融合成一张完整的水印图片。为了验证水印冗余模块的有效性，去掉水印冗余模块，直接使用水印图像作为水印编码器的输入，保持其他设置不变重新训练水印嵌入网络和提取网络，其结果如表5所示。可以发现，移除水印冗余模块前后，本文方法嵌入水印的图像其PSNR和SSIM基本上没有发生变化，但是使用水印冗余模块后提取的水印图像SSIM比未使用水印冗余模块提取的水印图像SSIM高了0.079 5，并且BER也降低了0.03。在测试过程中分别剪切掉嵌入水印的图像，左上角、左下角、右上角和右下角的1/4部分后，如图8所示，未使用水印冗余模块时，分别裁剪掉这4个部分会导致其所提取水印对应位置的信息丢失，但是使用水印冗余模块后，丢失的部分可以通过冗余的信息进行补全。

4 结束语

本文提出了一种具有较强抗剪切攻击能力的数字图像水印方法。利用显著性检测选取图像中语义信息丰富的图像区域作为嵌入区域，从语义层面降低图像嵌入水印区域被剪切的可能性。此外，本文设计一种基于排列重组的水印冗余方法。利用Transformer网络将冗余水印嵌入图像中，并使用卷积网络提取水印图像。提取时通过冗余水印的融合，进一步提高了水印图像的质量。通过在ImageNet上随机选取100类图像数据进行训练和测试，结果表明，本文方法可以有效抵抗9种常见的攻击方法。在对比方法无法抵抗基于图像内容的剪切攻击时，本文方法依然可以准确地提出水印图像。大量实验表明本文方法的有效性。

参考文献

[1] Van Schyndel R G, Tirkel A Z, Osborne C F. A digital watermark[C]∥Proceedings of 1st International Conference on Image Processing,Austin, USA, 1994: 86-90.

[2] Ko H J, Huang C T, Horng G, et al. Robust and blind image watermarking in DCT domain using inter-block coefficient correlation[J]. Information Sciences, 2020, 517: 128-147.

[3] Cedillo-Hernandez M, Cedillo-Hernandez A, Garcia-Ugalde F J. Improving dft-based image watermarking using particle swarm optimization algorithm[J]. Mathematics, 2021, 9(15): No. 1795.

[4] Giri K J, Quadri S M K, Bashir R, et al. DWT based color image watermarking: a review[J]. Multimedia Tools and Applications, 2020, 79: 32881-32895.

[5] Assini I, Badri A, Safi K, et al. A robust hybrid watermarking technique for securing medical image[J]. International Journal of Intelligent Engineering and Systems, 2018, 11(3): 169-176.

[6] 李喜艳, 周夏冰, 刘征. 基于高容量强鲁棒的图像水印算法[J]. 吉林大学学报: 工学版, 2022, 52(1): 174-179.

[7] Li Xi-yan, Zhou Xia-bing, Liu Zheng. High-capacity and robust image watermarking algorithm[J]. Journal of Jilin University (Engineering and Technology Edition), 2022, 52(1): 174-179.

[8] Hsu C S, Tu S F. Enhancing the robustness of image watermarking against cropping attacks with dual watermarks[J]. Multimedia Tools and Applications, 2020, 79(17/18): 11297-11323.

[9] Liu J, Huang J, Luo Y, et al. An optimized image watermarking method based on HD and SVD in DWT domain[J]. IEEE Access, 2019, 7: 80849-80860.

[10] Zhu J, Kaplan R, Johnson J, et al. Hidden: hiding data with deep networks[C]∥Proceedings of the European Conference on Computer Vision (ECCV),Munich, Germany, 2018: 657-672.

[11] Lu J, Ni J, Su W, et al. Wavelet-based CNN for robust and high-capacity image watermarking[C]∥IEEE International Conference on Multimedia and Expo (ICME), Taipei, China, 2022: 1-6.

[12] Liu Y, Guo M, Zhang J, et al. A novel two-stage separable deep learning framework for practical blind watermarking[C]∥Proceedings of the 27th ACM International Conference on Multimedia,Nice, France,2019: 1509-1517.

[13] Zhang L, Lu Y, Li J, et al. Deep adaptive hiding network for image hiding using attentive frequency extraction and gradual depth extraction[J]. Neural Computing and Applications, 2023, 35(15): 10909-10927.

[14] Marchesotti L, Cifarelli C, Csurka G. A framework for visual saliency detection with applications to image thumbnailing[C]∥IEEE 12th International Conference on Computer Vision, Kyoto, Japan, 2009: 2232-2239.

[15] 刘洋, 毛克明. 基于自适应反馈机制的小差异化图像纹理特征信息数据检索[J]. 江苏大学学报: 自然科学版, 2025, 46(1): 73-81.

[16] Liu yang, mao Ke-ming. Retrieval of texture feature information data for small differentiated images based on adaptive feedback mechanism[J]. Journal of Jiangsu University(Natural Science Edition), 2025, 46(1): 73-81.

[17] Tu Y, Niu L, Zhao W, et al. Image cropping with composition and saliency aware aesthetic score map[C]∥Proceedings of the AAAI Conference on Artificial Intelligence, New York, USA,2020: 12104-12111.

[18] Thahab A T, Shahadi H I. Robust image watermarking against crop and rotation attacks for public communication networks[C]∥Third Scientific Conference of Electrical Engineering,Baghdad, Iraq, 2018: 105-110.

[19] Jia Z, Fang H, Zhang W. Mbrs: enhancing robustness of dnn-based watermarking by mini-batch of real and simulated jpeg compression[C]∥Proceedings of the 29th ACM International Conference on Multimedia, Chengdu, China, 2021: 41-49.

[20] Ding J, Cao Y, Shi C. CropDefender: deep watermark which is more convenient to train and more robust against cropping[J/OL].[2024-03-05].

[21] Tancik M, Mildenhall B, Ng R. Stegastamp: invisible hyperlinks in physical photographs[C]∥Proceedings of the IEEE/CVF Conference on Computer Vision and Pattern Recognition, Seattle, USA,2020: 2117-2126.

[22] Ahmadi M, Norouzi A, Karimi N, et al. ReDMark: framework for residual diffusion watermarking based on deep networks[J]. Expert Systems with Applications, 2020, 146: No.113157.

[23] Liu J J, Hou Q, Cheng M M, et al. A simple pooling-based design for real-time salient object detection[C]∥Proceedings of the IEEE/CVF Conference on Computer Vision and Pattern Recognition,Long Beach, USA, 2019: 3912-3921.

[24] Deng J, Dong W, Socher R, et al. ImageNet: a large-scale hierarchical image database[C]∥IEEE Conference on Computer Vision and Pattern Recognition, Miami, USA, 2009: 248-255.

基金资助

天津市科技计划项目(20JCQNJC00720)