多云協同架構下的遙感圖像安全外包降噪方案

黃冬梅，張學儉，魏立斐，李夢思，蘇 誠

1.上海海洋大學 信息學院，上海201306

2.上海電力大學 電子與信息工程學院，上海201306

1 引言

隨著我國衛星的不斷發射升空，我國航天科技在航天遙感領域不斷取得突破。伴隨著航天遙感技術的飛速發展，每天都有海量的遙感數據通過衛星進行采集、回傳，由于天氣和傳輸介質的干擾，遙感圖像會受到很多噪聲（如高斯噪聲、椒鹽噪聲等）的影響，造成遙感圖像邊緣和紋理信息的丟失，導致圖像質量降低，影響圖像的進一步處理和應用。為了能更好地使用這些圖像，需要盡可能地減少圖像中的噪聲。

目前，遙感圖像降噪受到學術界和工業界的廣泛關注。文獻[1]提出基于小波變換的遙感圖像降噪方案，使用小波變換和中值濾波算法對混合噪聲下的遙感圖像進行降噪處理。文獻[2]提出基于證據理論的多時相遙感圖像融合降噪方案，降噪的效果明顯優于單幅遙感圖像的降噪算法。由于需要用多幅遙感圖像進行降噪，該方案對計算機的運算能力有較高的要求。文獻[3]提出基于量子疊加態的降噪方案，利用量子疊加態原理和雙樹復小波變換減少遙感圖像中的噪聲。隨著人工智能技術的發展，文獻[4]將深度卷積神經網絡與單向變異模型應用到遙感圖像的降噪過程中，每幅圖像的先驗模型都有25 個降噪器，盡管這些降噪器能滿足各種降噪需求，但在不使用圖形處理單元（Graphic Processing Unit，GPU）的情況下，該方案的計算量過高，不適用于普通計算機。當需要處理海量的遙感圖像時，計算量高，不能很好地滿足用戶需求，因此需要一種更加高效的圖像處理模式。云計算的存儲能力和計算能力為這種處理模式提供了支持。

云計算是對分布式處理、并行計算的一種擴展，能提供海量存儲空間和強大的計算能力，但云平臺并不是完全可信的[5]。為了保護用戶數據的安全性，云平臺在密文域完成數據處理是很有必要的。文獻[6]提出基于混淆電路和可搜索對稱加密的降噪方案，將生成的混淆電路發送給存儲加密圖像塊的外部云數據庫，根據兩者的比較結果進行圖像降噪，但應用到較大的圖像上，如遙感圖像上，會導致該方案的通信負擔過大。文獻[7]利用秘密共享和JL（Johnson-Lindenstraus）變換實現兩個云服務器之間的密文域圖像降噪，因為要多次遍歷整幅圖像，該方案的效率較低，且無法應用在份額有缺失的場景中。文獻[8]利用Paillier 算法實現密文域降噪，但Paillier算法會導致密文擴張，增加計算的復雜度。文獻[9]利用混淆電路表示激活函數，將機器學習應用到密文圖像降噪，由于要按像素點降噪，方案的復雜度較高。上述的密文域降噪方案只是針對普通圖像，文獻[10]實現多幀遙感圖像在密文域中的融合降噪。與文獻[8]類似，Paillier 算法成為這個方案的瓶頸，同時還要進行多幅圖像的融合，這同樣增加了方案的計算負擔。

本文在已有工作的基礎上，提出基于秘密共享的遙感圖像外包降噪方案，方案模型如圖1所示，將經過置亂的遙感圖像同時用于降噪權重計算和秘密共享。云服務器利用積分圖加速的非局部均值（Non-Local Means，NLM）算法在密文圖像上計算出降噪權重；通過秘密共享把密文圖像分成殘差矩陣和子秘密，并進一步共享殘差矩陣，將殘差矩陣的秘密分片與子秘密重新組合共享給云服務器，云服務器依據計算的權重在共享密文上進行降噪，最后通過圖像重構恢復出降噪后的遙感圖像。該方案利用(k,n)門限秘密共享和積分圖加速的非局部均值算法實現遙感圖像的外包降噪，秘密共享保證在部分份額缺失的情況下也能完成降噪任務，積分圖算法提高了傳統非局部均值的效率。本文主要貢獻如下：

（1）在秘密共享得到殘差矩陣和子秘密后，在這種共享模式下，殘差矩陣的存在對整個方案能否順利進行起著決定性作用，一旦殘差矩陣丟失，外包降噪將無法實現。本文提出二次共享概念，對殘差矩陣進行(k,n)門限共享，并將分片與已有子秘密重新組合成n 個秘密分片。在執行降噪方案時，只要獲得k 個秘密分片就能從中獲得原始圖像的k 個子秘密和殘差矩陣的k 個分片，重構出降噪所需的兩個密文圖像。

圖1 本文方案系統模型

（2）傳統的非局部均值算法因為要遍歷圖像，整體的效率較低，本文將積分圖的思想用于算法加速；為了提高算法的降噪效果，采用一種自適應濾波系數的核函數，使得NLM算法能更好地應用到本文的方案中。

2 系統描述

2.1 噪聲模型

本文考慮的是加性高斯噪聲，對任意一張含有加性高斯噪聲的圖像可以描述為v={v(i)|i ∈I}，其中I 表示整個圖像域。圖中的任意像素點可表示為：

其中，v(i)是圖像的觀測值，u(i)是圖像的原始灰度值，n(i)表示獨立同分布且服從N(0,σ2)分布的高斯噪聲。

2.2 敵手模型

根據敵手能力的強弱，可以大致分成三類：半誠實敵手、惡意敵手和隱蔽敵手。半誠實敵手也稱為“誠實且好奇的”敵手，這類敵手會遵循協議去執行用戶的算法，但會在執行過程中嘗試獲取數據，分析其他參與者的輸入、輸出，是一種較弱的敵手模型。惡意敵手在執行過程中存在修改執行順序、拒絕執行算法等行為，是一種較強的敵手模型。而隱蔽敵手是介于兩者之間的一種模型，這種敵手可能會為了自己的利益而去違背既定的協議，同時他還希望自己的惡意行為不被發現。本文假設云平臺是半誠實敵手，因為在實際中云平臺的提供商為了自己的聲譽不會惡意地篡改用戶的數據，但對用戶的數據充滿好奇。

2.3 算法描述

根據安全外包計算的形式化定義[11]，本文給出基于秘密共享的遙感圖像外包降噪方案的定義。方案包括四個算法：密鑰生成（KeyGen）、問題生成（ProbGen）、問題計算（Compute）和問題解決（Solve）。假設Im×m是待降噪的遙感圖像。

（1）密鑰生成：KeyGen(arr)→(skprem)。輸入624×1的矩陣arr，輸出隨機置亂密鑰skprem。

（2）問題生成：ProbGen(Im×m,skprem,k,n)→(ET,Sfi,對需要降噪的遙感圖像Im×m，用保距變換得到MT；用隨機置亂密鑰skprem分別對ET進行塊隨機置亂，對圖像Im×m進行像素隨機置亂，得到密文ET、Eimg和逆置亂密鑰；用(k,n)門限的秘密共享方案處理Eimg，得到n 個秘密分片Sfi。

（3）問題計算：Compute(Sfi,ET)→(E′S1,E′S2)。云平臺在ET上計算降噪權重，從n 個秘密分片Sfi中隨機選擇k 個不同的分片（至少k 個），恢復出密文ES1、ES2。根據權重在ES1和ES2上執行用戶定義好的降噪算法，得到降噪后的圖像分片E′S1和E′S2。

3 本文方案

如圖2所示，一個資源受限的用戶要對一張遙感圖像進行降噪：首先，把經過保距變換和秘密共享加密的密文圖像上傳到云平臺；接著，云平臺根據設計好的降噪算法對密文圖像降噪；最后，根據圖像重構算法得到降噪后的遙感圖像。

3.1 密鑰生成

本文方案采用文獻[12]提出的算法生成偽隨機序列skprem，將其作為置亂密鑰對圖像進行置亂，在得到置亂圖像的同時還有一個逆置亂密鑰，逆置亂密鑰由用戶保存。

3.2 問題生成

（1）保距變換

本文基于文獻[13]的JL 變換實現遙感圖像的保距變換。假設降噪選用的搜索窗口大小為D×D，鄰域窗口大小為d×d 。用戶以對稱填充的方式補全遙感圖像Im×m的像素得到圖像Isym，填充后，圖像的大小為表示向下取整。選用m×m 的窗口對圖像Isym分塊，并將每一個圖像塊轉成一個列向量，將所有向量堆疊得到矩陣。然后，云平臺根據置亂后的矩陣計算降噪的權重。

圖2 安全外包降噪方案流程圖

（2）圖像隨機置亂

為保障遙感圖像的機密性，需要通過置亂處理去破壞像素間的相關性。本文方案使用偽隨機序列破壞同一幅圖像中各像素間的位置關系。為了保證保距變換后的矩陣MT和秘密共享后的圖像保持關聯性，需使用同一個隨機序列（即skprem）分別對矩陣MT和遙感圖像Im×m進行隨機置亂。矩陣MT的行數與遙感圖像的像素點的數量相同，可分別按照行、像素點對兩幅圖像進行對置亂，將結果記作ET、Eimg，如算法1所示。

算法1 隨機置亂算法

Input：random scrambling key skprem,isometric transformed matrix MTand remote sensing image Im×m

Output：inverse scrambling key,scrambled image ET、Eimg

1. Transforming remote sensing image Im×minto a vectorand generating a continuous sequence Seq from 0 to m2

2. Inserting the Seq into the last column of the two images，and scrambling them with skprem

3. Taking out the last column which is used as inverse scrambling key

（3）秘密共享

通過(k,n)門限秘密共享方案[14]將置亂后的遙感圖像Eimg分成若干個秘密分片，分別由不同的云服務器持有。

①生成殘差矩陣Rmatrix

隨機構造一個m×k 的矩陣Am×k，且矩陣的秩滿足r(A)=k,m ＞2k-3,則投影矩陣S=(A(ATA)-1A)mod p,其中p 是一個遠大于任意像素點灰度值的素數，(·)T表示矩陣的轉置，(·)-1表示矩陣的逆。

②生成子秘密vi

選取n 個k 維向量xi，其中n ≥k，任意k 個向量是線性無關的，i=1,2,…,n。

③生成秘密分片

隨機選擇n 個不同的ri，將殘差矩陣按照文獻[15]進行處理，生成n 個Rmatrix的共享，即用vi和Gi構造秘密分片Sfi=[vi,Gi]。

通過保距變換、圖像隨機置亂處理和秘密共享得到ET和秘密分片Sfi，將秘密分片Sfi發送給服務器CSi,i=1,2,…,n,同時向所有的云服務器發送一個ET。

3.3 問題計算

選擇一個可信服務器作為秘密分片收集者，當收集到不少于k 個秘密分片時，通過這些秘密分片獲取密文ES1和ES2。在進行非局部均值降噪時，云服務器首先根據兩個像素間的歐氏距離d(i,j)確定降噪權重w(i,j)。為提高NLM 算法的速度，本文方案使用積分圖加速方法[16]的思想，一次性計算圖像所有像素點在某一偏移向量下的權重。

（1）計算密文ES1和ES2

從收集到的k 份秘密分片中拆分出vi和Gi，根據文獻[15]通過Gi計算出ES1，根據F=[v1,v2,…,vk]計算出ES2。

（2）計算歐氏距離

通過保距變換得到大小為m2×D2的密文ET，其中第一列代表原始圖像，即偏移量為0，記為I0T。通過I0T與其他圖像塊可估算出各圖像塊間對應點的距離。

（3）計算降噪權重

在非局部均值算法中，權重系數通常由一個與歐氏距離相關的核函數決定，本文方案基于余弦型高斯核函數[10，17]，提出一種基于自適應濾波系數h2的核函數，定義為：

其中，h1、h2為濾波參數，h2=Med{dT(0,i),i ∈[1,D2]},Med{·}表示中位數。則權重表示為：

文獻[10]是用多幅圖像做融合降噪，因此，文獻[10]中h2是所有歐式距離集合中第M 小的值，M 是融合降噪所選取的相似度最大的像素點個數。本文提出的中位數表示法，同樣適用于融合降噪。

（4）圖像重構

在圖像重構過程中，權重值為wmax,m(i,j)、n(i,j)和分別表示在位置(i,j)降噪前、降噪后的值，Flag 是和p 的關系矩陣，a(i,j)表示圖像(i,j)重構后的值。

假設m(i,j),n(i,j)∈Z 且小于p，有m(i,j)+n(i,j)∈[0,2p),則：

（5）圖像降噪

在獲得重構圖像E′后通過進一步計算得到降噪后的密文圖像IT。

其中，Isum、Wsum和wmax由積分圖加速的NLM 算法得到。

3.4 問題解決

經過云服務器的計算得到一幅降噪后的密文圖像IT，用對IT進行逆置亂得到降噪后的遙感圖像I′，如算法2所示。

算法2 逆置亂算法

Input：inverse scrambling key,denoised ciphertext image IT

Output：denoised remote sensing image I′

1. Transforming the ciphertext image ITinto a vector

3. Removing the last column and reshape the result into a m×m matrix I′

4. Outputting the denoised remote sensing image I′

4 性能分析

4.1 安全性分析

（1）保距變換的安全性

（2）秘密共享的安全性

在秘密共享過程中，經過一次(k,n)門限秘密共享方案，置亂后的圖像被分為1 份殘差矩陣和n 份子秘密。如果殘差矩陣丟失或被篡改，云平臺將無法完成降噪任務，為了增強降噪方案的安全性，本文方案對殘差矩陣進行二次(k,n)門限秘密共享，將兩次共享的子秘密重新拼接成n 份秘密分片，確保在存儲或傳輸過程中發生部分分片丟失的情況下，也能完成降噪。只進行一次共享，需要保證有k+1 個可信云服務器，但經過兩次秘密共享只需要k 個可信云服務器。在將圖像分成相同份額的情況下，本文方案只需k 個可信的云服務器就能實現密文域中的外包降噪，而文獻[7]的方案需要n 個可信的云服務器。

在門限秘密共享方案中，假設在該網絡中的服務器的數量為N ，在網絡中尋找服務器的平均查找路徑長度為L，服務器被攻破的概率為p，則在網絡中的服務器被攻破的概率為1-(1-p)L，該網絡中被攻破的總數為Nlost=N×(1-(1-p)L)。為保證本文方案能抵抗共謀攻擊（Collusion Attacks）和拒絕服務攻擊（Denial of Service，DoS），需要滿足n ∈[Nlost,N-Nlost]。閾值t 的選擇要保證任意t 或更多的秘密分片可以重構完整的秘密，任意t-1 或更少的分片不能恢復出秘密，因此表示向下取整。在一次秘密共享后得到1個殘差矩陣和n 個子秘密，這種共享方式把每一個像素視為共享的秘密，在秘密重構時相當于在一次共享過程中恢復多個秘密；在重構子秘密時，由任意k 個子秘密得到投影矩陣，根據投影矩陣和殘差矩陣重構原秘密。如果殘差矩陣丟失，將無法得到原秘密，因此需要根據文獻[15]對殘差矩陣進行共享。圖像的像素不是隨機值，而是與某一鄰域內的所有像素相同或相近的值，如果直接用文獻[15]進行門限共享，攻擊者可能用少于閾值的子秘密恢復出原圖像。因此，本文提出二次共享，通過第一次的秘密共享讓殘差矩陣的每個元素接近隨機值，再利用文獻[15]對殘差矩陣共享，當攻擊者得到的子秘密數量為t 時(t ＜k)，若要獲得原圖像，相當于用t 個等式求解k 個未知參數；若采用暴力破解，每個參數被破解的概率為1/65 535，則原圖像被破解的概率為(1/65 535)m×m/k,m 是圖像的大小，m 越大，這個值近似為0。因此，能在不影響投影矩陣的安全性的同時實現對殘差矩陣的保護。

4.2 降噪性能分析

在遙感圖像的外包降噪過程中，圖像中存在眾多相似性極小的像素點，這些點不僅降低了降噪效率，還削弱了降噪的性能。加權核函數對遙感圖像的降噪效率和性能起著舉足輕重的作用。理想的核函數應保證在鄰域距離較小時，權重值較大，并隨著距離的增大，權重值迅速減小，直到減為0。余弦型核函數的響應曲線在整個區域較平坦；高斯型核函數的響應曲線較平坦且權重隨著距離的增大而迅速下降；余弦高斯型核函數在距離較小時有更大的權重，并與距離呈負相關，能保證在相似的區域內有較大的權重，充分利用相似度高的鄰域進行降噪，同時能通過迅速降低權重，減少距離較大的鄰域的干擾。因此，本文方案提出了一種基于自適應濾波參數h2的加權核函數，如圖3 所示，當濾波參數h1=100,h2=200 時，本文方案核函數與余弦型核函數、高斯型核函數相比具有明顯優勢。

圖3 加權核函數響應曲線

為了提高NLM 算法的效率，本文方案采用了積分圖的思想。假設圖像的大小為m×m，則圖像中共有m2個像素點，搜索窗口的大小為D×D，鄰域窗口的大小為d×d，對于每個像素點都需要計算它與搜索窗口中所有像素點的鄰域相似度，兩個鄰域間相似度的計算時間為O(d2)，因此傳統NLM算法的復雜度為O(m2D2d2)。通過積分圖可以在常數時間內計算出兩個鄰域間的相似度，將復雜度降低到O(m2D2)。

4.3 算法復雜度分析

首先，從本地內存的使用上進行對比：文獻[10]需要在本地存儲兩張數據表T1和T2以提高Paillier 算法的效率，兩張表約占8 GB 內存空間。文獻[7]和本文方案只需要存儲約2 MB左右的逆置亂密鑰。

其次，分析降噪算法的復雜度。假設搜索窗口為D×D，鄰域窗口為d×d ，包含n 個像素點。在非局部搜索時，文獻[7]、文獻[8]和文獻[10]的計算復雜度為n×D2×d2，而本文方案的復雜度為D2×n；在進行權重濾波時，文獻[8]和文獻[10]需要用模乘和模指數運算，其中指數ex運算相當于1.5 lg x 次乘法運算，對單個像素降噪時，模乘的次數為D2-1，模指數的次數為D2，因此總的模乘次數為n×(D2×1.5 lg x+D2-1)，文獻[7]總的模乘次數為(D2-1)×n ，本文方案的復雜度為D2-1。表1列舉了四種方案的算法復雜度。

表1 復雜度對比結果

5 實驗結果

實驗環境為4臺PC機，分別模擬客戶端和云平臺，用3臺PC代表3個云平臺，其設備參數如下：Intel?CoreTMi5-6500 CPU@3.20 GHz 3.19 GHz處理器，12 GB內存，64位操作系統，Windows 10專業版。編程語言為Python，實驗數據選用Landsat 8衛星遙感影像。

在實驗中，添加均值為0，標準差σ 為700，900，1 100，1 300的高斯噪聲；濾波參數h1=k×σ,k 取0.1，0.2，0.3，0.4，0.5，0.6，0.7，0.8，0.9，1.0；NLM 算法的參數設置如下：搜索窗口D 的取值為7，9，11，13，鄰域窗口d 的取值為3，5，7，9，11，且滿足d ＜D。用峰值信噪比（Peak Signal-to-Noise Ratio，PSNR）和結構相似性（Structural Similarity，SSIM）表示算法的降噪效果，PSNR 值越高，降噪效果越好；SSIM值越高，降噪后的圖像與原圖像的結構相似度越高。表2是在鄰域窗口/搜索窗口為(9,11)時PSNR 與標準差/濾波系數的關系表。從表中可以看出，當濾波系數在0.5左右時，降噪效果較好。表3是在鄰域窗口/搜索窗口為(9,11)時SSIM 與標準差/濾波系數的關系表。從表中可以看出，當濾波系數大于等于0.5時，降噪前后的兩幅圖像的SSIM最高，達到0.98；在濾波系數小于0.5 時，隨著噪聲標準差的增加，SSIM 減少。表4 是濾波系數為0.5 時，鄰域窗口/搜索窗口對降噪效果的影響。從表中數據可以看出，隨著搜索窗口的增大，降噪效果明顯提升；在搜索窗口一定時，降噪效果與鄰域窗口基本上呈正相關，有待進一步驗證。表5是濾波系數為0.5 時，鄰域窗口/搜索窗口對SSIM 的影響。從表中數據可以看出，隨著搜索窗口或鄰域窗口的增大，SSIM增大；在搜索窗口和鄰域窗口一定時，SSIM隨著噪聲標準差的增大而減小。考慮圖片分辨率對SSIM 和PSNR 的影響，比較不同分辨率下的噪聲圖像和原圖像的SSIM 以及噪聲PSNR。其他參數設置為：高斯噪聲N(0,1 0242),鄰域窗口/搜索窗口(7,17)，濾波系數0.5。對比結果如表6 所示。從表中可以看出，當分辨率大于256×256 時，分辨率對SSIM 的影響可以忽略。

表2 PSNR與標準差/濾波系數間的關系dB

表3 SSIM與標準差/濾波系數間的關系

表4 PSNR與鄰域窗口/搜索窗口間的關系dB

表5 SSIM與鄰域窗口/搜索窗口間的關系

表6 不同分辨率下的PSNR和SSIM

為了更加直觀地看出鄰域窗口/搜索窗口和標準差/濾波系數對降噪效果的影響，在原有實驗的基礎上，根據已有結果重新仿真：選擇濾波系數為0.5，標準差為400～1 200，搜索窗口為7～13，鄰域窗口為3～11。如圖4所示，在相同的搜索窗口中，隨著鄰域窗口的擴大，降噪效果增強，但當鄰域窗口與搜索窗口大小相近時，降噪效果降低，搜索窗口大小是鄰域窗口的兩倍時，有較好的降噪效果。隨著噪聲標準差的增大，降噪效果降低。

圖4 本文方案的實驗結果

與文獻[7]對比時，由于文獻[7]的效率較低，實驗時用256×256 的遙感圖像，加入服從N(0,1 0242)分布的高斯噪聲，鄰域窗口/搜索窗口的參數設置為(5,17)、(5,11)、(7,17)，結果如表7和表8所示。從結果中可以看出，本文方案能在保證降噪效果的同時，使得降噪后圖像擁有較高的SSIM。

表7 方案對比結果（SSIM）

表8 方案對比結果（PSNR） dB

6 結束語

隨著云平臺的不斷發展，外包計算的安全性成為學術界和工業界的一個熱點研究問題，從最初的安全存儲數據，到現在安全處理數據，安全外包的研究工作不斷推進。本文針對遙感圖像的降噪處理，提出一種基于(k,n)秘密共享的遙感圖像安全外包降噪方案，采用圖像置亂、二次秘密共享和積分圖加速的非局部均值濾波算法共同實現遙感圖像的加密和降噪。與傳統的云平臺相比，本文方案的多云協同策略能確保在部分云平臺出現問題時也可以正常提供服務，同時通過增加云平臺的數量減少每個云平臺的計算負擔，提高效率。實驗結果表明，本文方案在保證圖像數據安全性的同時，能有效降低圖像的噪聲且保留更多的原圖像信息。下一步的工作擬改進降噪算法，進一步提高降噪效果。