兩種車外視頻圖像脫敏效果評測方法的研究

文/滕添益 趙 劍 趙梓健

隨著傳感器技術、第五代移動通信技術和大數據技術等的快速發展，汽車正在向智能化和網聯化的方向加速發展，汽車將由代步工具逐步轉變為移動智能終端。智能網聯汽車在行駛過程中會產生多種圖像和視頻數據，包括環境感知、場景定位和決策控制生成的數據、駕駛習慣、路途軌跡和車牌等信息。這些數據的收集規范和使用去向，以及由網絡安全漏洞和惡意攻擊導致的汽車數據泄露，都是行業和公眾熱切關注的焦點。

一、車外視頻圖像脫敏效果評測方法標準現狀

2021年8月，中央網絡安全和信息化委員會辦公室聯合四部委頒布的《汽車數據安全管理若干規定（試行）》提出了“倡導汽車數據處理者在開展汽車數據處理活動中堅持脫敏處理原則，盡可能進行匿名化、去標識化等處理”“因保證行車安全需要，無法征得個人同意采集到車外個人信息且向車外提供的，應當進行匿名化處理，包括刪除含有能夠識別自然人的畫面，或者對畫面中的人臉信息等進行局部輪廓化處理等”要求。據此，中國汽車工業協會于2022年8月發布了《汽車傳輸視頻及圖像脫敏技術要求與方法》（T/CAAMTB 77-2022）。該標準依據智能網聯汽車車身視頻采集設備采集的車外視頻或圖像數據中的人臉和車牌數據，來統一數據脫敏技術的要求與方法，并以此為企業提供數據處理工作的引導，保證企業能夠合法、合規地在車端數據處理設備上消除采集數據中的敏感信息，保障國家安全、公共安全和個人隱私安全。2022年10月，正在制定的“汽車數據通用要求”標準公開征求意見，提出了對車外人臉車牌的視頻圖像數據進行個人信息匿名化處理試驗方法。全國信息安全標準化技術委員會于2023年1月發布的“網絡安全標準實踐指南——車外畫面局部輪廓化處理效果驗證”（征求意見稿）（以下簡稱“TC260-PG-2023XX”）給出了人臉、車牌局部輪廓化處理的效果驗證方法，為汽車數據處理者和有關機構驗證局部輪廓化處理效果提供參考。

T/CAAMTB 77-2022采用的是有真值的脫敏效果驗證法（以下簡稱“真值驗證法”），即測試時需要同時依據未脫敏（真值）和脫敏后的視頻圖像數據，對未脫敏數據進行人臉車牌標注得到真實的人臉車牌數量，對脫敏后數據進行脫敏區域標注，得到實際脫敏的人臉車牌數量，最后計算指標評估脫敏效果。正在制定的“智能網聯汽車數據通用要求”和TC260-PG-2023XX均采用了無真值的脫敏效果驗證法（以下簡稱“無真值驗證法”），即只需依據脫敏后的視頻圖像數據進行脫敏效果評估。由于“智能網聯汽車數據通用要求”的技術性難題難以實施，故本文只復現并實驗了真值驗證法和無真值驗證法，并分析討論兩種方法的優缺點。

二、真值驗證法的評測流程與優化建議

1. 評測流程

① 測試數據準備

試驗車輛在車端采集車外含有人臉和車牌的視頻圖像，在車端進行匿名化處理后，將脫敏后的視頻圖像數據連同真值數據一同導出，作為測試數據。

② 測試數據處理

測試數據包含真值數據和脫敏數據。

·真值數據處理

測試人員對真值視頻進行抽幀，將真值視頻抽取為圖片，然后使用算法對真值圖片進行自動標注，識別真值圖片中需要進行匿名化處理的人臉和車牌，并在圖片相應位置進行標記。由于算法對真值圖片的標注結果可能存在誤差，測試人員隨后會進行人工校核，對被算法漏標的人臉和車牌進行補充，對被算法誤標的人臉和車牌進行刪除。

·脫敏數據處理

測試人員對脫敏視頻進行抽幀，將脫敏視頻抽取為圖片，然后使用算法對脫敏圖片進行自動標注，識別脫敏圖片中已對人臉和車牌進行匿名化處理的打碼框，并在圖片相應位置進行標記。由于算法對脫敏圖片的標注結果可能存在誤差，測試人員隨后會進行人工校核，對算法沒有識別到的打碼框進行補充，對被算法誤識別的打碼框進行刪除。

③ 脫敏指標計算

測試人員通過對比真值圖片標注和脫敏圖片標注的結果，可以統計出人臉檢出數、車牌檢出數、誤檢數、人臉標注數、車牌標注數、人臉真值數和車牌真值數等值，進而計算人臉檢出率、車牌檢出率和誤檢率等關鍵指標。同時，測試人員通過計算真值框和標注框的面積，可以計算交并比。

④ 結果評估并生成報告

測試人員根據計算得出的人臉檢出率、車牌檢出率和誤檢率等關鍵指標，進行匿名化結果評估，給出評估結論（通過/未通過），并生成最終的匿名化測試報告。

2. 方法落地與應用案例

基于上述流程，我們開發了一套圖像和視頻脫敏測評系統。該系統具備真值數據管理模塊，包括真值數據上傳、真值視頻抽幀、真值圖片篩選、真值圖片標注和人工修改真值標注等功能；具備脫敏數據管理模塊，包括脫敏數據上傳、脫敏視頻抽幀、脫敏圖片標注和人工修改脫敏標注等功能；具備效果測評模塊，包括關鍵指標計算、結果報告輸出等功能；具備系統模塊，包括用戶管理參數設置等功能。

目前，有真值的車端視頻圖像脫敏效果評測方法已服務于多家企業。以汽車品牌路特斯為例，本文使用脫敏測評系統，開展了車外人臉車牌匿名化效果驗證：以使用車外攝像頭和魚眼拍攝的原始視頻和其在車端通過匿名化算法處理完的脫敏視頻為輸入，通過系統自動標注和人工標注相結合的方式，計算檢出率、誤檢率和交并比等關鍵指標，最終輸出匿名化測試報告。這套脫敏測評系統實現了以系統工具為依托，以人工校核為輔助，從視頻輸入到報告輸出的測試全流程閉環，論證了該汽車匿名化算法的有效性。圖1為該案例的截圖。

3. 優化建議

通過實際的應用測試和案例研究，本文建議對真值驗證法進行以下優化。

① 進一步細化清晰度指標

真值驗證法要求人臉與車牌，除滿足像素要求外，還應滿足完整度、清晰度的要求才能夠被視為真值。本研究發現人臉、車牌清晰度的指標（如高斯模糊和運動模糊）在技術上難以量化，而脫敏測評系統是基于像素來判斷真值圖片中的人臉和車牌是否需要標注；又由于該系統采用的是“算法檢測+人工校核”的方式進行檢測，人工校核時需要對被算法漏標的人臉和車牌主觀判斷其是否清晰可見，這在一定程度上影響了測試結果的準確性。

② 進一步完善測評系統

匿名化效果的測試結論高度依賴脫敏測評系統的標注結果，而脫敏測評系統標注效率和結果準確性又高度依賴其內部算法能力。若系統內部算法性能不夠優秀，會對真值人臉、車牌造成大量誤標、漏標，或對企業打碼框的識別造成大量偏差，就會使整個測評流程涉及大量人工校驗和修改系統標注結果的工作，造成較高的人力成本，也會導致測試結果存在較大誤差。

三、無真值驗證法的測評流程與優化建議

1. 評測流程

① 測試數據準備

試驗車輛在指定場景采集車外含有人臉和車牌的視頻圖像，在車端進行匿名化處理后，將脫敏后的視頻圖像數據通過指定鏈路對外傳輸。測試人員實時抓包，獲得測試數據。

② 測試數據處理

測試數據僅包含脫敏數據，測試人員依次采用兩種方法開展驗證，并得到對應驗證結果。

·方法一

首先，測試人員使用5種不同算法對測試數據進行人臉、車牌檢測，識別視頻圖像中是否殘留人臉、車牌信息；然后，從測試數據中抽取樣本進行人工校核，識別視頻圖像中是否殘留人臉、車牌信息；基于算法識別和人工校核結果計算未通過驗證的樣本數量。

·方法二

測試人員通過檢測算法和人工校核相結合的方式對脫敏區域及其周圍進行檢測，驗證是否沒有五官、面部皮膚等人臉殘留，字母、漢字和數字等車牌殘留，計算未通過驗證的樣本數量。

③ 結果評估并生成報告

基于兩種方法的驗證結果，即未通過驗證的樣本數量，測試人員分別計算兩種方法所對應的未通過率， 無真值驗證法要求形成測試結論，分別為通過、未通過和未完成，并生成最終的匿名化測試報告。

2. 優化建議

基于上述流程，我們進行了技術能力建設和實驗測試方法的可行性研究，并發現這套方法在實際落地過程中存在以下2點可優化的內容。

① 明確5種算法的具體內容

一方面，無真值驗證法提出采用5種不同的算法，卻未明確具體的算法差異（如各個算法不同在哪里，怎樣才算不同），為該方法的研發落地帶來了困難；另一方面，根據其對于算法性能的要求，該方法所需的5種不同人臉檢測算法和5種不同車牌檢測算法在指定數據集下，應達到一定指標，以保證檢測效果。在行業內該指標要求較高，故脫敏效果檢測工具可能會需要較高的建設成本和較長的開發周期。

② 提升驗證數據充分性

無真值驗證法使用的算法成本較高，卻不能獲得可信的結果。根據實際應用經驗來看，達到TC260-PG-2023XX所需指標的算法并不能保證在實際車外視頻圖像的人臉車牌識別中能達到很好的效果，實際仍需提供大量標注好的車外人臉車牌數據集來訓練算法。否則，即使采用了5種不同的算法進行驗證，通過算法得到的檢測結果仍會存在較大誤差。況且該方法中對算法檢測結果無人工校核的步驟，只是額外對數據進行抽樣人工校核，這樣也會進一步增大檢測結果的誤差。

四、兩評測方法的對比分析

本文針對真值和無真值驗證法進行對比分析，討論它們各自的優點和不足。

首先，無真值驗證法在合規性上，要優于真值驗證法。前者在測試數據準備階段完全不涉及原始數據出車，且測試道路不受開放場地和封閉場地的限制；而后者由于在測試數據準備階段需要把原始數據出車作為真值，可能會涉及汽車數據安全、合規風險。根據數據安全相關法律法規，收集處理個人信息數據需要告知個人并獲得同意，即若原始數據要出車，需要對數據中涉及的個人進行告知同意。要滿足這一條件的話，該類數據收集，可能只能在封閉場地中進行測試以達到原始數據出車，只有國家出臺明確的針對檢測機構的豁免條款才能在開放道路進行測試。

不過，在方法的規范性上真值驗證法要優于無真值驗證法。前者詳細列明了數據格式要求、樣本質量要求、脫敏功能要求和性能要求，保證了檢測依據的清晰明確和檢測過程的規范，這對于檢測方法的最終落地實施具有非常重要的意義；而后者在測試方法、樣本選取、算法指標要求和算法差異性要求等方面都不夠明確，造成了實際落地困難、測試結果可信度不高等問題。

此外，在成本控制和可操作性上，真值驗證法也要優于無真值驗證法。相比于后者需要5種不同的人臉車牌算法，前者只需要1種人臉車牌算法，大大節省了研發成本，縮短了開發周期，同時在后期對算法本身的迭代優化和功能維護上也會更加方便，具有更佳的可操作性。

在具備相同算法性能的條件下，真值驗證法結果的準確性也優于無真值驗證法。雖然，兩者都是基于檢測算法和人工校核相結合的方式，但前者是通過人工校核對算法檢測結果中可能存在的漏標、誤標進行檢查，以保證識別結果的可靠性，而后者是算法檢測一遍后，對數據進行抽樣人工校核，在結果的準確性上相對較弱。此外，由于后者人工檢測對象是抽樣的數據而不是全量數據，使其人力消耗低于前者。

五、總 結

本文基于T/CAAMTB 77-2022和TC260-PG-2023XX中對于車外視頻圖像脫敏效果評測的相關要求，提出真值驗證法更具有規范性和可操作性，而且其算法少、成本低，檢測結果也更具有可靠性，但該方法受限于真值數據的獲取，被測機構可能因為數據安全合規因素而無法提供車外視頻圖像的真值數據。無真值驗證法則可以解決這個問題，它只需接受脫敏后的車外視頻圖像數據的輸入。但該方法目前無論在規范性上還是結果的可靠性上都仍有欠缺，且其需要的多種高質量算法，也會增加實際落地應用的難度。綜上所述，目前，真值驗證法在多方面都表現較為良好，無真值驗證法有待在未來得到進一步的優化與改善，從而解決脫敏效果評測時被測機構無法提供原始視頻圖像的問題。