[发明专利]一种用于图像处理模型版权保护的模型水印方法

权利要求书

1.一种用于图像处理模型版权保护的模型水印方法，利用了不可见的图像水印机制，进行水印的嵌入和所有权验证，包括：

获取一个训练完成的图像处理模型M(θ；·)；

在原始训练数据(X,Y)的GT图像集Y中嵌入一个不可见的水印w得到嵌入水印后的GT图像集Y_w；

然后在嵌入水印后的训练数据(X,Y_w)上训练该模型来改变模型的参数为其嵌入水印，得到嵌入水印后的模型M(θ_w；·)。

2.根据权利要求1所述的方法，其特征在于：还包括所有权验证，从输入图像x中选取触发图像T输入至模型M(θ_w；·)或可疑模型SM中，再从得到的每一张输出图像SM(t)中提取出水印信息，计算出触发图像中水印提取的成功率，从而对模型M(θ_w；·)或可疑模型SM实现版权验证。

3.根据权利要求1或2所述的方法，其特征在于：水印的嵌入过程适用三阶段的训练，包括：

图像水印阶段：训练得到encoder E，然后利用E在GT图像Y中嵌入水印w；

模型水印阶段：通过在嵌入水印后的训练数据(X,Y_w)上训练该模型从而得到嵌入水印后的模型M_w；

提取强化阶段：加强decoder D的提取能力，目的是使其能够从M_w的输出图像中提取出水印w，而从其他模型的输出中提取出空白图像b。

4.根据权利要求3所述的方法，其特征在于：图像水印阶段中，

E的输入是Y和w的组合，输出是嵌入水印后的图像Y_w；

训练目标是Y_w和Y保持视觉上的一致性；

D以Y_w和Y作为输入，并且应该能够从Y_w中提取出水印w，从Y中提取出一张空白图片b。

5.根据权利要求4所述的方法，其特征在于：

把Y_w和Y之间的视觉相似程度用下面三个损失函数来表示：

image distortion loss，它衡量了Y_w和Y之间的L₂距离，表示为

L_img＝||Y_w-Y||² (5)；

perceptual loss，它衡量了Y_w和Y的VGG特征之间的L₂距离，表示为

L_vgg＝||VGG_k(Y_w)-VGG_k(Y)||² (6)；

adversarialloss，它衡量了encoderE欺骗adversaryA的能力，表示为

L_adv＝log(1-A(Y_w)) (7)；

同时，把decoderD的提取能力表示为message distortion loss，它衡量了从Y_w和Y中提取出来的水印和设置的w，b之间的L₂距离，表示为

L_msg＝||D(Y_w)-w||²+||D(Y)-b||² (8)；

训练E和D来最小化损失函数L_ED：

L_ED＝λ_imgL_img+λ_uggL_vgg+λ_advL_adv+λ_msgL_msg (9)，

λ_img、λ_vgg、λ_adv、λ_msg均为超参数，均可在实验过程中确定其最优数值；

训练A来最小化损失函数L_A，来加强A区分Y_w和Y中的能力：

L_A＝log(1-A(Y))+log(A(Y_w)) (10)；

在整个训练过程中，交替更新E，D(E和D同时更新)和A。