基于可逆神經網絡的神經輻射場水印

摘 要：針對面向隱式表達的神經輻射場的3D模型的版權問題，將神經輻射場水印的嵌入與提取視為一對圖像變換的逆問題，提出了一種利用可逆神經網絡水印保護神經輻射場版權方案。利用二維圖像的水印技術以實現對三維場景的保護，通過可逆網絡中的正向過程在神經輻射場的訓練圖像中嵌入水印，利用逆向過程從神經輻射場渲染出的圖像提取水印，實現對神經輻射場以及三維場景的版權保護。但神經輻射場在渲染過程中會造成水印信息丟失，為此設計了圖像質量增強模塊，將渲染圖像通過神經網絡進行恢復然后再進行水印提取。同時在每個訓練圖像中均嵌入水印來訓練神經輻射場，實現在多個視角下均可提取水印信息。實驗結果表明了提出的水印方案達到版權保護的目的，證明方案的可行性。

關鍵詞：可逆神經網絡； 數字水印； 神經輻射場； 渲染

中圖分類號：TP309.2 文獻標志碼：A

文章編號：1001-3695（2024）06-035-1840-05

doi：10.19734/j.issn.1001-3695.2023.10.0433

Watermarking for neural radiation fields by invertible neural network

Abstract：Aimin at the copyright problem surrounding 3D models of neural radiation fields focused on implicit representation， this paper tackled this issue by considering the embedding and extraction of neural radiation field watermarks as inverse problems of image transformations，and proposed a scheme for protecting the copyright of neural radiation fields using invertible neural network watermarking. This scheme utilized 2D image watermarking technology to safeguard 3D scenes. In the forward process of the invertible network， the watermark was embedded in the training image of the neural radiation field. In the reverse process， the watermark was extracted from the image rendered by the neural radiation field. This ensured copyright protection for both the neural radiation field and the 3D scene. However， the rendering process of the neural radiation field may result in the loss of watermark information. To address this， the paper introduced an image quality enhancement module. This module utilized a neural network to recover the rendered image and subsequently extract the watermark. Simultaneously， the watermark was embedded in each training image to train the neural radiation field. This enabled the extraction of watermark information from multiple viewpoints. Experimental results demonstrate that the watermarking scheme outlined in this paper effectively achieves copyright protection and highlights the feasibility of the proposed approach.

Key words：invertible neural network; digital watermarking; neural radiation field（NeRF）; rendering

0 引言

隱式神經表示（implicit neural representation，INR）也稱為基于坐標的表示，是一種對各種信號進行參數化的方法。傳統的信號表示通常是離散的，而隱式神經表示將信號參數化為一個連續函數。當前，INR最典型的應用是神經輻射場（NeRF）［1］ ，NeRF是一種面向三維隱式空間建模的深度學習模型，使用神經網絡隱式地表示3D場景中每個點的顏色和密度函數。目前NeRF的研究致力于3D內容表示更高質量［2～5］、更快渲染［6～8］和稀疏視圖重建［9～12］等工作。隨著NeRF在3D內容表示方面的不斷進步，面向隱式表達的神經輻射場3D模型的版權保護問題也成為一個亟需解決的課題。

傳統3D模型的水印主要分為基于3D網格模型水印算法［13～17］和基于3D點云模型的水印算法。基于3D網格模型水印算法，采用多分辨率框架對目標三角形或多邊形網格進行小波分解或傅里葉變換，然后通過修改網格模型的拓撲或幾何特征或者在網格頂點之間建立相關性函數實現水印嵌入?；?D點云模型水印算法［18］首先建立點云之間同步關系，然后根據徑向半徑將模型分成球環，并將水印重復插入到每個球環的頂點中以實現水印的嵌入。NeRF的3D模型表示與傳統的3D模型不同，NeRF沒有使用傳統意義上的幾何結構，而是通過神經網絡直接學習并生成逼真的渲染結果，它本質上是對3D場景進行隱式表達的神經網絡。因此傳統的3D模型水印算法無法應用于對神經輻射場的水印。實際上，針對神經網絡的版權保護，即神經網絡水印已經成為安全領域一個重要的研究方向。神經網絡的水印主要分為白盒水印、黑盒水印、無盒水印和脆弱神經網絡水印四種。在白盒水印方案中［19］，驗證者在驗證網絡的版權時可以進入網絡的內部并訪問權重等信息；黑盒水印方案［20］適用于驗證者無法進入網絡內部而只能通過遠程API接口調用網絡的情況；無盒水印［21］主要用于生成式網絡的版權認證，其策略是訓練網絡使得所生成的圖像包含水印信息，驗證者可以直接從生成的圖像驗證版權；脆弱水印［22］不同于以上三種，它根據水印被破壞的情況來檢測網絡的功能是否被惡意竄改，例如是否有注入后門等行為。

未來人們將會類似分享圖像與視頻一樣，通過網絡分享自己捕獲的3D內容，為了保護作者在網絡分享供他人欣賞的NeRF及3D場景的版權，防止他人在未經作者本人允許的情況下以自己的名義發布到網絡上，StegaNeRF［23］首次建立起神經輻射場和信息隱藏的關系。采用兩步訓練法將秘密信息嵌入在網絡不重要的權重參數中，確保從NeRF渲染出的圖像包含水印信息，利用提取網絡對渲染圖像進行水印信息的提取。但StegaNeRF直接修改網絡參數的方法會影響NeRF自身的3D內容表示能力，降低渲染出的圖像質量。目前游戲、電影制作和平面設計等新媒體，需要從3D模型的2D渲染中檢索信息，因此保證渲染圖像的質量尤為重要。針對此問題本文提出了一種全新的利用可逆神經網絡水印保護神經輻射場的方案，該方案不對NeRF網絡進行修改，即不會影響網絡的3D內容表示能力。而是通過借助圖像水印技術，實現對NeRF模型的保護。該方案首先利用可逆神經網絡的正向網絡水印算法對用于訓練NeRF的訓練集中的每個圖像分別嵌入水印信息。接著利用NeRF模型進行3D建模。版權驗證方可以利用一個訓練好的圖像質量增強網絡對將NeRF渲染出的圖像進行圖像恢復，以抵消NeRF渲染帶來的圖像質量的影響。最后驗證方利用可逆網絡的逆向過程，即提取網絡提取出嵌入的水印信息。在黑盒場景下，一旦懷疑3D模型未經授權被他人使用，只要與訓練集相同角度下驗證方均可提取出水印信息驗證網絡版權。

1 本文方法

1.1 方案框架

本文算法框架如圖1所示，包含頻域變換模塊、可逆模塊、神經輻射場和圖像質量增強塊組成。在可逆神經網絡水印中嵌入與提取為一對逆過程：

Iem=H（I，MW）（1）

（Ir，RW）=H-1（QEM（NeRF（Iem）））（2）

其中：H（·）為正向嵌入水印過程；H-1（·）為反向提取水印過程。在正向嵌入水印過程中，訓練圖像I與水印信息MW作為輸入，首先對其進行離散小波變換DWT將其分解成高頻與低頻小波子帶輸入進可逆神經網絡中。經過可逆神經網絡輸出再次進行逆小波變換IWT生成嵌入圖像Iem及損失信息r。其中需對所有用于訓練NeRF的圖像均執行上述操作，保證最終可以從訓練集中的每個角度均可提取水印信息。將生成的嵌入圖像Iem輸入用于訓練NeRF模型，生成渲染圖像I′。在反向提取水印過程中，首先將渲染圖像向輸入圖像質量增加模塊IQEM中得到I″以抵消NeRF渲染過程中導致的失真影響。在反向提取水印過程中，由于網絡的可逆性，反向提取過程需要引入一個隨機向量Z。向量Z是從一個任意高斯分布中隨機抽取的，該分布應與r的分布相同，通過在訓練時從后面表示的提取損失學習得到。將隨機向量Z及質量增強的渲染圖像I″通過頻域變換以及可逆神經網絡處理生成恢復水印RW和恢復圖像Ir。

1.2 網絡結構

1.2.1 頻域變換模塊

水印圖像嵌入在像素域容易導致紋理復制偽影和顏色失真［24，25］。相比于像素域，頻域和高頻域更適合于嵌入水印。本文采用頻域變換模塊（frequency domain transform module，FDTM）將圖像在進行可逆變換前分成低頻和高頻小波子帶，其中高頻子帶包含圖像細節，低頻子帶則包含圖像的整體特征，使網絡能更好地將水印信息融合到載體圖像中。相比于在原始圖像域直接操作，小波變換具有較好的視覺保真度，只在少數子帶中嵌入水印信息，對圖像整體的影響相對較小，一般難以察覺。此外，小波良好的重構特性［26］有助于減少信息損失，提高水印嵌入能力。在圖像進入可逆塊之前，將其輸入進FDTM，經過DWT將尺寸（B，C，H，W）的特征圖轉換為（B，4C，H/2，W/2），其中B為批量大小，H為高度，W為寬度，C為通道數。DWT可以降低計算成本，這有助于加速訓練過程。在經過最后一個可逆塊之后，將特征圖（B，4C，H/2，W/2）輸入進FDTM進行IWT將特征圖大小恢復成（B，C，H，W）生成嵌入圖像Iem。

1.2.2 可逆塊

在一個可逆的網絡結構中，將圖像水印提取建模為圖像水印嵌入的反向過程，只需對網絡進行一次訓練，就可以得到水印嵌入和提取的所有網絡參數。利用可逆神經網絡的優勢，如圖1所示，隱藏過程和恢復過程具有相同的子模塊，共享相同的網絡參數，只是信息流方向相反。本文網絡結構有8個結構相同的可逆塊，構造如下：對于正向過程中的第L個隱藏塊，輸

在反向過程中，與正向過程信息流方向相反，先經過第l+1層再經過第l層。最后經過第一層可逆變換以后，再對其進行逆小波變換（IWT）得到恢復圖像Ir和恢復水印RW。

1.2.3 神經輻射場

神經輻射場是一種用于生成三維場景的神經網絡模型。它的網絡結構由多層感知器構成，用于對場景的表面進行編碼，如圖2所示。

在神經輻射場模型中，輸入圖像的每個像素位置都可以表示為場景中的三維坐標點，從而準確地定位和渲染場景中的物體。NeRF中輸入空間點的3D坐標位置x=（x，y，z）和方向d=（θ，），輸出空間點的顏色c=（r，g，b）和對應位置（體素）的密度σ。

FΘ：（x（x，y，z），d（θ，Φ））→（c（r，g，b），σ）（7）

NeRF輸入一系列有限的離散的圖片和對應視角的相機參數生成一個連續的靜態三維場景，并可以從無窮個角度來渲染生成新視角圖片。體渲染是一個三維到二維的建模過程，利用三維重建得到的3D點的像素值c和體密度σ，沿著觀測方向上的一條射線進行像素點采樣加權疊加得到最終的2D圖像像素值。

其中：r（t）為根據相機光心位置o及視角方向d得到的一條射線r（t）=o+td；T（t）表示該射線從近端tn到遠端邊界tf這段路徑上的累計透光度。本文基于NeRF的這一特點，可以隨機選擇相機參數從任意視角提取水印，實現對NeRF版權的保護。

1.2.4 圖像質量增強模塊

在反向過程提取水印之前，為了消除NeRF渲染過程中帶來的失真變化的影響，本文設置了一個圖像質量增強模塊（image quality enhancement module，IQEM），采用殘差卷積編解碼網絡［27］，如圖3左邊6個是卷積編碼器，提取失真的圖像I′不同層次的特征信息，然后把特征輸入右邊的反卷積解碼器同時輸入的還有上一層傳過來的殘差，把最終結果疊加到原始圖像上去就完成了圖像的修復。通過在水印提取過程中加入IQEM，使得渲染圖像I′在進入可逆神經網絡之前被預處理確保向后傳遞的輸入中能夠與嵌入圖像Iem足夠相似，使可逆神經網絡能夠更完整地提取出水印信息。

1.3 損失函數

本文提出的與網絡模型訓練相關的損失主要由四部分組成：

a）嵌入損失L嵌入。嵌入損失的目的是保證生成的嵌入圖像Iem與訓練圖像I不可區分：

b）低頻小波損失L低頻。文獻［28］驗證了嵌入在高頻分量中的水印信息比嵌入在低頻分量中的水印信息更不容易被察覺。為了保證更高的視覺保真度，最小化由于水印信息的嵌入對圖像整體的影響，讓水印信息盡可能嵌入在圖像的高頻區域，本文采用了訓練圖像I與嵌入圖像Iem的低頻子帶的損失約束。

c）提取損失L提取。為保證提取出的恢復水印RW與嵌入的水印信息MW的一致性。最小化恢復水印RW與嵌入的水印信息MW之間的差異，提升模型的水印提取準確率。

其中：N代表訓練樣本的數量；Exc計算水印信息MW與恢復水印RW之間的差異。隨機向量z采樣的過程是隨機的。

可逆神經網絡的總損失函數是嵌入損失、低頻小波損失和提取損失的加權求和：

L總計（θ）=λ1L嵌入+λ2L低頻+λ3L提取（12）

在訓練過程中，首先將λ2設為0，即不考慮L低頻對網絡的影響直接對網絡模型進行預訓練，使網絡模型先獲得基本的嵌入-提取能力。然后逐漸添加L低頻約束項，進一步優化網絡模型將水印信息嵌入在訓練圖像的高頻區域，使得最小化由于水印信息的嵌入對圖像整體的影響。

d）圖像質量增強模塊的損失MSE。為了保證水印的嵌入不對原始的2D圖像內容產生破壞，本文的圖像質量增強模塊與可逆神經網絡的訓練是獨立的，圖像質量增加模塊的損失采用MSE來約束，目的是保證由NeRF渲染出的圖像I′能夠恢復成由可逆神經網絡生成的嵌入圖像Iem來抵抗渲染過程中導致的圖像水印破壞與丟失。

其中：I′i為第i個渲染圖像；Iemi為第i個水印圖像。

2 實驗結果及分析

2.1 實驗設置

本文網絡模型使用PyTorch平臺，CUDA版本為11.6，GPU為NVIDIA GeForce RTX2070。本實驗使用NeRFSynthetic的Lego、hotdog、chair等數據集，引用NeRF［1］源代碼進行訓練得到3D場景。其中利用可逆神經網絡只對訓練的數據集進行水印嵌入，本文采用的可逆神經網絡結構在HiNet［29］基礎上進行修改。由于DIV2K數據集是一個具有多樣性、高分辨率、真實性的數據集。使用DIV2K［30］訓練數據集（800張圖像，分辨率1024×1024）用于訓練可逆神經網絡模型。使用DIV2K驗證數據集（100張圖像，分辨率1024×1024）用于驗證網絡模型的效果。使用DIV2K測試數據集（100張圖像，分辨率1024×1024）用于測試網絡模型的效果。使用Adam優化器，λ1=5，λ2=0.5，λ3=1，learning rate=1×10-4.5，batch size=2來訓練網絡模型。整個網絡模型可逆塊數量為8，每個塊分別使用3個包含7層卷積塊的DenseNet塊作為f（·）、r（·）和y（·）。

2.2 評價指標

本文采用峰值信噪比（peak signal to noise ratio，PSNR）、結構相似性（structural similarity，SSIM）、均方根誤差（root mean square error，RMSE）和平均絕對值誤差（mean absolute error，MAE）四個度量標準來衡量網絡模型的水印嵌入以及提取能力。

PSNR通過均方差（mean square error，MSE）進行定義，給定兩個圖像大小為W×H的圖像X、Y：

其中：Xi，j和Yi，j指的是圖像X、Y分別在（i，j）位置的像素值；MAX代表圖像點的最大像素值；PSNR值越大表示失真越小。

SSIM也是一種圖像質量評價指標，它分別從亮度、對比度、結構三方面度量圖像相似性。

其中：μx、σx分別為圖像X的均值和方差；μy、σy分別為圖像Y的均值和方差；σxy為X和Y的協方差；C1、C2、C3為常數，通常取C1=（K1×L）2，C2=（K2×L）2，C3=C2/2，一般地K1=0.01，K2=0.03，L=255，則

SSIM（X，Y）=l（x，y）×c（x，y）×s（x，y）（17）

SSIM取值為［0，1］，其數值越大圖像失真越小。

RMSE表示預測值和觀測值之間差異（稱為殘差）的樣本標準差，相當于L2范數，對數據中的異常值較為敏感。

MAE表示預測值和觀測值之間絕對誤差的平均值，相當于L1范數。

2.3 嵌入圖像的不可感知性

可逆網絡水印方案（IWNeRF），能夠實現盲水印，即訓練圖像I應與嵌入圖像Iem之間的失真率盡可能小。本文采用四種指標PSNR、SSIM、MAE和RMSE，來評價本文方法的不可感知性。將100張訓練圖像I與生成的嵌入圖像Iem進行對比，如表1所示，實驗數據表明IWNeRF能夠實現盲水印。同時根據圖4顯示說明通過對三個數據集Lego、hotdog和chair的圖像嵌入水印，對比訓練圖像I與嵌入圖像Iem發現在視覺效果上無法感知是否在訓練圖像中嵌入過水印信息，實驗表明通過本文方法嵌入的水印是不可感知的，達到實現盲水印的目的。

2.4 水印提取的準確性

IWNeRF通過正向可逆神經網絡對Lego、hotdog和chair三個數據集將水印信息MW嵌入，然后利用NeRF進行訓練，接著對三維場景進行渲染以得到該視角下的圖像，而后將渲染出的圖像經過圖像質量增強模塊處理，最后通過反向可逆神經網絡提取出恢復水印RW。提取出的水印信息RW與原始水印信息MW采用四種指標評價準確性。如圖5所示，100張圖像每個指標的平均值、PSNR均達到22 dB以上，SSIM約為0.55，MAE約為9.2，RMSE約為29。

IWNeRF在Lego、hotdog和chair三個數據集對原始訓練圖像角度及非原始訓練圖像角度分別進行了水印提取。影響圖像角度的兩個參數Θ和Φ，本文通過固定Φ調整Θ來控制角度變化。在原始角度Θ=30、Θ=45和Θ=60的基礎上對視角+1進行偏移，驗證選擇角度與原始訓練角度不同時是否可以提取出水印信息。實驗結果如圖6所示，當選取角度與原始訓練圖像角度相同時，可以提取水印信息，但選取角度為非原始訓練圖像角度即其他角度則無法準確提取水印信息。

2.5 圖像質量增強模塊

傳統的深度學習圖像魯棒水印技術，如HiNet［29］、ISN［31］等不能直接適用于本文的任務，它們依賴可逆性且沒有考慮圖像在NeRF渲染過程中圖像中嵌入的水印容易被破壞，因此IWNeRF在提取水印操作之前增加了圖像質量增強模塊，以抵消NeRF渲染帶來的影響。通過增加IQEM結構，使得MW和RW的PSNR從5.31 dB增加到22.23 dB，如表2所示，實驗結果表明了IQEM對水印信息的成功提取具有重要價值。

2.6 渲染圖像質量對比

IWNeRF采取可逆神經網絡水印的方法來保護NeRF，通過對用于訓練NeRF的2D圖像利用正向網絡進行水印嵌入以及從渲染的圖像中通過逆向網絡提取水印來證實NeRF的版權。相比于StegaNeRF直接修改MLP結構將會影響網絡結構本身的渲染能力，IWNeRF采用的方法由于沒有更改網絡結構，而是通過間接的方法實現版權的保護，所以不會影響NeRF自身的能力。同時由于可逆神經網絡水印優異的性能，相比于傳統水印算法LSB以及基于深度學習的其他2D水印算法對原始訓練圖像進行水印嵌入后影響較小，通過實現發現訓練相同的Epoch（50 000），從主觀視覺上看，IWNeRF渲染出的圖像質量高于LSB、DeepStega和StegaNeRF渲染的圖像，如圖7所示。

分別將通過四種方案渲染得到的13個角度圖像與相同角度的原始訓練圖像進行對比，得到四種評價指標的量化結果如表3所示。第一行的標準NeRF為由未經嵌入水印的NeRF渲染出的圖像質量作為渲染圖像質量的上限。IWNeRF渲染出的圖像與原始圖像在四種評價指標上與標準NeRF接近且均優于其他方法，表明IWNeRF能夠實現在不影響NeRF渲染能力的情況下實現版權保護。

3 結束語

本文首次提出利用可逆神經網絡水印保護神經輻射場的方案（IWNeRF），實現了對NeRF的版權保護。IWNeRF采用可逆神經網絡對2D圖像進行水印的嵌入和提取，將水印的嵌入和提取建模為可逆網絡的正向和反向過程，同時在中間過程中增加了圖像質量增強模塊，以彌補NeRF渲染過程中造成的水印信息丟失，實現對神經輻射場表示的3D模型的保護。實驗結果表明IWNeRF能夠實現水印的嵌入與提取，但是水印的提取質量還有待進一步提高。

參考文獻：

［1］Mildenhall B， Srinivasan P P， Tancik M， et al. NeRF： representing scenes as neural radiance fields for view synthesis［EB/OL］. （2020）. https：//arxiv.org/abs/2003.08934.

［2］Barron J T， Mildenhall B， Tancik M， et al. Mip-NeRF： a multiscale representation for anti-aliasing neural radiance fields［C］//Proc of IEEE/CVF International Conference on Computer Vision. Pisca-taway，NJ：IEEE Press， 2021： 5835-5844.

［3］Tanik M， Casser V， Yan X， et al. Block-NeRF： scalable large scene neural view synthesis［EB/OL］. （2022-02-11）. https：//arxiv.org/abs/2202.05263.

［4］范騰， 楊浩， 尹穩， 等. 基于神經輻射場的多尺度視圖合成研究［J］. 圖學學報，2023，44（6）：1140-1148. （Fan Teng，Yang Hao，Yin Wen， et al. Survey of residual network［J］.Journal of Graphics，2023，44（6）：1140-1148.）

［5］馬漢聲， 祝玉華， 李智慧， 等. 神經輻射場多視圖合成技術綜述［J］. 計算機工程與應用， 2024，60（4）：21-38. （Ma Hansheng， Zhu Yuhua， Li Zhihui， et al. Survey of neural radiance fields for multi-view synthesis technologies［J］. Computer Engineering and Applications， 2024，60（4）：21-38.）

［6］Yu A， Fridovich-keil S， Tancik M， et al. Plenoxels： radiance fields without neural networks［C］//Proc of IEEE/CVF Conference on Computer Vision and Pattern Recognition. Piscataway，NJ：IEEE Press， 2022： 5491-5500.

［7］Myuller T， Evans A， Schied C， et al. Instant neural graphics primitives with a multiresolution hash encoding［EB/OL］. （2022-01-16）. https：//arxiv.org/abs/2201.05989.

［8］Wang Liao， Zhang Jiakai， Liu Xinhang， et al. Fourier PlenOctrees for dynamic radiance field rendering in real-time［EB/OL］. （2022-02-17）. https：//arxiv.org/abs/2202.08614.

［9］Xu Dejia， Wang Peihao， Jiang Yifan， et al. Signal processing for implicit neural representations［EB/OL］. （2022-10-17）.https：//arxiv.org/abs/2210.08772.

［10］Chen Di， Liu Yu， Huang Lianghua， et al. GeoAug： data augmentation for few-shot NeRF with geometry constraints［C］//Proc of European Conference on Computer Vision. Cham： Springer， 2022： 322-337.

［11］Chen Anpei， Xu Zexia， Zhao Fuqiang， et al. MVSNeRF： fast gene-ralizable radiance field reconstruction from multi-view stereo［C］//Proc of IEEE/CVF International Conference on Computer Vision. Piscataway，NJ：IEEE Press， 2021： 14104-14113.

［12］Zhang Jian， Zhang Yuanqing， Fu Huan， et al. Ray priors through reprojection： improving neural radiance fields for novel view extrapolation［EB/OL］. （2022-05-12）. https：//arxiv.org/abs/2205.05922.

［13］Qin Chuan， Zhang Xinpeng. Effective reversible data hiding in encrypted image with privacy protection for image content［J］. Journal of Visual Communication and Image Representation， 2015，31： 154-164.

［14］Liao Xin， Shu Changwen. Reversible data hiding in encrypted images based on absolute mean difference of multiple neighboring pixels［J］. Journal of Visual Communication and Image Representation， 2015， 28： 21-27.

［15］Hou J U， Kim D G， LEE H K. Blind 3D mesh watermarking for 3D printed model by analyzing layering artifact［J］. IEEE Trans on Information Forensics and Security， 2017， 12： 2712-2725.

［16］Son J， Kim D， Choi H Y， et al. Perceptual 3D watermarking using mesh saliency［C］//Proc of Information Science and Applications. Singapore： Springer， 2017： 315-322.

［17］Hamidi M， Chetouani A， El Haziti M， et al. Blind robust 3-D mesh watermarking based on mesh saliency and QIM quantization for copyright protection［C］//Proc of Pattern Recognition and Image Analysis. Cham： Springer International Publishing， 2019： 170-181.

［18］Liu Jing， Yang Yajie， Ma Douli， et al. A novel watermarking algorithm for three-dimensional point-cloud models based on vertex curvature［J］. International Journal of Distributed Sensor Networks， 2019，15（1）：155014771982604.

［19］Uchida Y， Nagai Y， Sakazawa S， et al. Embedding watermarks into deep neural networks［C］//Proc of ACM on International Conference on Multimedia Retrieval， New York：ACM Press，2017.

［20］Adi Y， Baum C， Cisse M， et al. Turning your weakness into a strength： watermarking deep neural networks by backdooring［EB/OL］. （2018-08-15）. https：//arxiv.org/abs/1802.04633.

［21］Wu Hanzhou， Liu Gen， Yao Yuwei， et al. Watermarking neural networks with watermarked images［J］. IEEE Trans on Circuits and Systems for Video Technology， 2021，31（7）： 2591-2601.

［22］Guan Xiquan， Feng Huamin， Zhang Weiming， et al. Reversible watermarking in deep convolutional neural networks for integrity authentication［EB/OL］. （2021-04-09）. https：//arxiv.org/abs/2104.04268.

［23］Li Chenxin， Feng B Y， Fan Zhiwen， et al. StegaNeRF： embedding invisible information within neural radiance fields［EB/OL］. （2022-12-03）. https：//arxiv.org/abs/2212.01602.

［24］Fridrich J， Goljan M， Du R. Detecting LSB steganography in color， and gray-scale images［J］. IEEE MultiMedia， 2001，8（4）： 22-28.

［25］Weng Xinyu， Li Yongzhi， Chi Lu， et al. High-capacity convolutional video steganography with temporal residual modeling［C］//Proc of International Conference on Multimedia Retrieval. New York：ACM Press， 2019：87-95.

［26］Mallat S G. A theory for multiresolution signal decomposition： the wavelet representation［J］. IEEE Trans on Pattern Analysis and Machine Intelligence， 1989，11（7）： 674-693.

［27］郭玥秀， 楊偉， 劉琦， 等. 殘差網絡研究綜述［J］. 計算機應用研究， 2020，37（5）： 1292-1297. （Guo Yuexiu，Yang Wei，Liu Qi， et al. Survey of residual network［J］. Application Research of Computers， 2020，37（5）： 1292-1297.）

［28］Baluja S. Hiding images in plain sight： deep steganography［C］//Proc of the 31st International Conference on Neural Information Processing Systems. Piscataway，NJ：IEEE Press， 2017：2066-2076.

［29］Jing Junpeng， Deng Xin， Xu Mai， et al. HiNet： deep image hiding by invertible network［C］//Proc of IEEE/CVF International Confe-rence on Computer Vision. Piscataway，NJ：IEEE Press， 2021： 4713-4722.

［30］Agustsson E. Challenge on single image super-resolution： dataset and study （ supplementary material ）［C］//Proc of IEEE Conference on Computer Vision and Pattern Recognition Workshops. Piscataway，NJ：IEEE Press， 2017：1122-1131.

［31］Lu Shaoping， Wang Rong， Zhong Tao， et al. Large-capacity image steganography based on invertible neural networks［C］//Proc of IEEE/CVF Conference on Computer Vision and Pattern Recognition. Piscataway，NJ：IEEE Press， 2021： 10811-10820.