《Journal of Imaging》：From Oracle to Predicted Masks: Auditing Protection Failures in Grayscale Fundus Image Watermarking on IDRiD
编辑推荐：
中文翻译摘要
水印排除掩膜通常使用参考标注进行评估，尽管图像发布需要一个无需这些标注即可生成的掩膜。本研究在27张IDRiD测试眼底图像上，使用依赖侧信息的块离散余弦变换（block-DCT）水印，以八位灰度格式测量了这种差异。对于64位载荷，将仅背景放置替换
中文翻译摘要
水印排除掩膜通常使用参考标注进行评估，尽管图像发布需要一个无需这些标注即可生成的掩膜。本研究在27张IDRiD测试眼底图像上，使用依赖侧信息的块离散余弦变换（block-DCT）水印，以八位灰度格式测量了这种差异。对于64位载荷，将仅背景放置替换为预测保护掩膜后，每张图像的平均改变标注像素数从479.2降至221.4（配对均值减少257.9；95%图像自助法置信区间187.0–337.6）。27张图像中有23张仍存在改变。类别分析显示，在64位时出血点无平均减少，而视盘变化减少了162.8像素；视盘属于正常解剖结构。仅病变区域的减少率为31.2%，而全联合区域为53.8%。一个辅助掩膜通过验证集选择的绿色通道对比度规则增强了预测结果。在IDRiD上，它将出血点平均变化从146.3降至46.2，微动脉瘤变化从12.0降至零，而视盘变化从11.5升至19.0。在来自e-ophtha-MA数据集的68个访视文件夹中的148张标注图像上，固定对比度规则将微动脉瘤/小出血点联合标注的平均变化从3.00降至0.23（配对减少2.77；95%访视自助法置信区间1.01–5.01）。原始水印在JPEG压缩、低水平噪声和已知帧尺寸调整后能被精确恢复，但在中值滤波下失败。一个五头比较器产生了222.8的联合区域平均变化，且合格块数量比原始预测器减少了67.6%。经过中值滤波的64位输出在20次密钥/消息抽取中全部坍缩为零；测试的汉明编码未能恢复提取。研究结果揭示了参考掩膜与可用掩膜之间存在类别依赖的差距；外部标签未能分离出血点，且冻结的原始模型迁移仅产生3.42%的平均排除召回率。
论文解读文章
1. 研究背景与问题
数字水印技术通过在医学图像中嵌入信息以实现所有权识别或溯源追踪，但其嵌入过程可能改变支持临床判读的关键像素。现有研究多采用参考标注（即“金标准”掩膜）来评估水印对感兴趣区域（ROI）的保护效果，然而在实际部署场景中，水印嵌入时无法获得此类标注，只能依赖预测生成的掩膜。这一“金标准”与“可部署”掩膜之间的性能差异尚未得到系统性量化。此外，针对彩色眼底图像中糖尿病视网膜病变（如微动脉瘤、出血点等）的小尺度、分散性病灶，全局均方误差（MSE）或峰值信噪比（PSNR）等指标无法反映局部临床重要结构的保护情况。因此，有必要开展一项受控审计研究，明确当排除掩膜的来源从参考标注切换为预测掩膜时，水印对标注像素的实际影响如何变化。
2. 研究内容与结论
研究人员在IDRiD数据集的27张测试眼底图像上，采用相同的块离散余弦变换（block-DCT）水印嵌入器、密钥推导、嵌入强度及载荷，比较了三种策略：仅背景排除、使用冻结预测掩膜排除、以及使用测试集参考标注作为上限（Oracle）排除。主要结论包括：
- •
在64位载荷下，预测掩膜策略将每张图像的平均改变标注像素数从479.2降至221.4，配对减少257.9（95%图像自助法置信区间187.0–337.6），相对减少53.8%；但仍有23/27张图像存在残留变化。
- •
类别分析显示，预测掩膜对出血点（HE）无平均改善，对视盘（正常解剖结构）减少162.8像素；仅病变区域的减少率仅为31.2%。
- •
引入绿色通道对比度规则的辅助掩膜后，出血点和微动脉瘤的变化显著降低，但视盘变化略有上升；在外部e-ophtha-MA数据集上，该固定规则同样有效。
- •
水印在JPEG压缩、高斯噪声和已知帧尺寸调整后能精确恢复，但在中值滤波下完全失效，所有64位输出坍缩为零。
- •
五头比较器架构虽改变了掩膜组成，但未解决残留保护和中值滤波失效问题；冻结模型的迁移学习在外部数据集上仅实现3.42%的平均排除召回率。
3. 关键技术与方法
研究人员使用了以下关键技术方法：
- •
数据来源：IDRiD数据集（81张图像，其中54张训练、27张测试）和e-ophtha-MA数据集（148张标注图像，来自68个访视文件夹）。
- •
水印嵌入与提取：基于8×8块离散余弦变换（block-DCT），通过量化索引奇偶性调制嵌入64/128/256位载荷，重复5次，步长36；解码需依赖保存的保护掩膜侧信息。
- •
预测掩膜生成：采用紧凑型U-Net启发编码器-解码器网络，在RGB补丁上训练，阈值由验证集最大Dice系数选定，输出经8像素膨胀后用于块排除。
- •
辅助掩膜策略：基于绿色通道的对比度规则（高斯模糊减绿通道，阈值8），与预测掩膜取并集，并在验证集上确保至少1280个合格块。
- •
攻击与稳定性测试：包括JPEG压缩（质量90/70/50）、加性高斯噪声（标准差2/255）、3×3中值滤波、双三次下采样至90%再回采样，以及错误纠正码（汉明(7,4)码）尝试。
4. 研究结果
4.1 主要64位比较
在27张IDRiD测试图像上，预测掩膜策略相比仅背景排除，平均改变标注像素数减少257.9（95% CI 187.0–337.6），相对减少53.8%；25张图像改善，2张恶化。预测掩膜的平均像素级召回率为0.654，但与残留变化的相关性较弱（Spearman ρ = –0.244）。
4.2 容量、攻击与诊断结果
随着载荷增加（128/256位），预测掩膜策略的改变像素数相应增加，但相对减少率维持在约52%。所有非中值滤波攻击下，水印均能精确恢复；中值滤波导致所有记录完全失败，BER等于载荷中“1”比特的比例。独立分割模型的Dice变化极小（<0.0002），但基线Dice仅0.391，不足以证明病变可判读性。
4.3 类别特异性保护审计
在64位时，预测掩膜对硬渗出物（EX）和视盘（OD）有显著减少，但对出血点（HE）无平均改善（配对减少0.0），对微动脉瘤（MA）减少仅2.9像素。在256位时，HE变化甚至高于背景对照（608.2 vs. 523.1）。
4.4 红色病变候选辅助掩膜
加入绿色通道对比度规则后，64位下HE变化从146.3降至46.2，MA变化从12.0降至零，但OD变化从11.5升至19.0。所有载荷下提取均无误，无容量回退。
4.5 外部e-ophtha-MA评估
在148张外部图像上，固定对比度规则使64位下平均改变标注像素数从3.00降至0.23，配对减少2.77（95% CI 1.01–5.01），覆盖率达84.65%。
4.6 定性分析与消融实验
两例恶化图像显示，预测掩膜的低召回率（约0.33）导致更多HE像素被修改。仅病变区域分析表明，预测掩膜的减少率仅为31.2%，远低于全联合区域的53.8%。组合掩膜（预测+规则）进一步降低了改变像素数，但容量代价显著（合格块从100,014降至7,540）。
4.7 密钥/消息敏感性
20次随机密钥/消息抽取后，预测掩膜策略的平均改变像素数为286.38，组合掩膜为132.67，中值滤波在所有情况下均导致全零输出。
4.8 更强攻击与嵌入敏感性
扩展攻击测试显示，JPEG质量≥30时所有策略均可恢复，而中值滤波和高斯模糊（σ≥1）导致全面失败。调整边距、步长、重复次数或DCT系数均未能恢复中值滤波下的提取。
4.9 多头部掩膜比较
五头比较器虽提高了MA/HE的排除召回率，但总体改变像素数与原始预测器相当（222.81 vs. 221.37），且容量下降67.58%，中值滤波失效依旧。
4.10 冻结模型的外部迁移
冻结的原始U-Net模型在e-ophtha-MA上的平均召回率仅为0.034，132张图像召回率为零，表明跨数据集迁移效果极差。
5. 讨论与结论
研究讨论：研究表明，即使PSNR较高，水印仍可能改变少量但关键的标注像素，因此PSNR不能替代逐像素审计。预测掩膜策略虽能显著减少整体改变，但类别依赖性明显，尤其是出血点保护不足。中值滤波导致的完全提取失败是该水印方案的根本脆弱性，且简单的汉明编码无法修复。外部数据集验证表明，固定对比度规则具有良好的迁移性，而学习型掩膜则因域差异表现不佳。
研究结论：本研究的贡献在于提供了一项受控测量，量化了当评估专用的金标准掩膜被实际可用的预测掩膜取代时所发生的变化，同时进行了容量、攻击和任务稳定性审计。研究结果揭示了一个类别依赖的参考掩膜与可用掩膜之间的差距；外部标签未能隔离出血点，且冻结的原始模型迁移仅产生3.42%的平均排除召回率。研究不声称实现了密码学认证或诊断安全性。
