CN1663276A - 用于信号验证的稳健签名 - Google Patents

Abstract

用于验证诸如数字图像或者视频的视听信号的方法、系统和计算机可读媒体，包括生成具有可变大小的稳健图像签名。在一个优选实施例中，计算数字图像的块的DC值，并且具有类似DC值的地区被合并在区域中。该签名基于所述区域并且具有可变长度，取决于希望的定位能力或者可容许的签名长度。所得到的签名位对于压缩和其他可容许的图像操作是稳健的。分级解决方案提供了稳健性和窜改定位。

Description

用于信号验证的稳健签名

技术领域

本发明通常涉及信号验证领域，并且更具体地涉及数字图像和视频的验证。

背景技术

数字成像和视频的成功已导致这个技术在很多的日常生活领域中的广泛使用。编辑、改变或者修改数字图像或者视频序列的技术在市场上可买到，并且允许修改所述图像或视频的内容而不留痕迹。对于各种各样的应用，诸如在法律实施中用于提供证据的成像、医学文献、用于保险目的的毁坏情况估计等等，必须确保图像或者视频没有被修改，并且与最初拍摄的图像或者视频是一致的。这导致了图像或者视频验证系统的开发，在图1中示出了其一个例子，其中对于数字信号即在1.10获取的图像或者视频在1.20生成签名或者水印。在1.30上，将该签名嵌入在该数字图像或者视频中。此后，该图像或者视频在1.40中进行处理或者窜改，在1.50中进行播放、记录或者提取，并且最后在1.60中进行验证，以便或者确保该数字图像或者视频的真实性被证明，或者该数字图像或者视频的修改被揭示。

在某些情形下，在验证图像/视频的真实性的时候，某些对图像的改变是希望的和可容许的，并且不应该被分类为恶意窜改。例如，当对数字图像施加有损压缩以降低存储容量或者提高传输速率的时候，发生这样的改变。有损压缩引起图像改变，但是没有达到降级图像的预定使用的程度。用于这样的压缩技术的一个例子是JPEG图像文件格式，其显著地降低数字图像的大小，即，该图像的比特和字节序列被修改，而该图像的感知信息被保持。

因此，需要图像验证，辨别可容许的图像修改诸如有损压缩和恶意的窜改诸如以新的内容或者利用从同一景色的在先或者在后的时间点上复制的内容替换图像区域。

验证图像的一种方案是使用古典密码术，借此使用密码密钥将数字图像转换为一个散列。所生成的散列被用作该数字图像的“指纹”。其真实性待验证的数字图像被使用相同的密码密钥转换为一个散列。如果新的散列与最初生成的散列完全相同，则该图像的真实性被证实。利用其特性，古典密码学是比特敏感的，并且在原始数字信号中一个比特的变化导致完全不同的散列。因此，当在例如发送或者存储期间例如通过压缩改变待证实的图像的一个比特时，待证实的图像被归类为被窜改。因此，古典密码术不适于验证具有上述涉及图像的可容许修改的要求的数字图像。

一种可供选择的方案是嵌入半易碎(semi-fragile)水印或者生成稳健(robust)数字签名。两个概念保持图像的感知信息，并且基于从该数字图像生成附加信息，以及在该图像本身或者其框架中隐藏该信息，或者通过独立地作为“元数据”随着该图像一起发射或者存储附加信息。

用于验证目的的半易碎的嵌入的水印提供了相对于可容许操作的容限，诸如以适度的压缩率的压缩。但是，当该数字信号已被窜改时，在已被窜改的原始信号的区域中水印检测失败。半易碎水印的嵌入一般不能提供辨别无伤大雅的和恶意的信号修改的能力。此外，其是易碎的，这是因为水印一般不能经受住高的压缩率。此外，在诸如平坦区域的某些情况下，水印不能被嵌入。最终，当在窜改期间在图像中插入平坦内容时，不可能识别数字信号的窜改。

稳健签名是一组比特，其概括图像内容并且其通过压缩或者其他的可容许操作是相对不变的，但是通过窜改而被显著改变。很多的图像特性可以被用于计算签名，例如边缘、时刻、DC值、直方图、压缩恒定量和在平滑的噪声图上的投影。生成签名的所有方法共同具有如下特点，即签名的大小随着保护水平即精确确定窜改的能力而迅速地增加。这由于存储和发送要求而造成问题，因为在将该签名嵌入数字图像的时候，特别是在作为稳健水印嵌入该签名的时候，签名的大小是决定性的。稳健水印被定义为这样的水印，甚至在显著降低或者损坏图像的操作诸如严重压缩或者例如通过某些像素的置换而窜改之后，该水印也允许正确提取有效负载比特。甚至在窜改之后，稳健水印与半易碎水印相对照也允许正确提取有效负载。但是，稳健水印方案的有效负载是非常有限的，一般只有数十比特。因此，本发明所要解决的问题被定义为如何对于视听信号诸如数字图像或者视频提供稳健窜改检测，允许确定窜改在信号中的位置，但是对该信号增加少许的有效负载。

发明内容

本发明通过根据所附的独立权利要求提供验证视听信号的系统和方法来克服在本技术领域中上述的缺陷和解决上述的问题，包括形成逐级的(progressive)和稳健的签名，其具有小的和可修改的签名大小。

根据本发明的实施例，公开了用于验证视听信号的方法、设备和计算机可读媒体。对于该视听信号，形成逐级签名，从而该视听信号被分解成块。然后，计算这些块的DC值。这些块被分配到具有类似DC值的区域，并且此后计算这些区域之间的DC差值。最终，基于计算的DC差值来生成签名位。

从以下描述的实施例中，本发明的这些及其他方面将是显而易见的，并且将参考这些实施例来阐述本发明的这些及其他方面。

附图说明

将在下面参考伴随附图的详细公开中描述本发明的优选实施例，其中：

图1示出一个现有技术的图像验证系统；

图2是说明根据本发明一个实施例的方法的流程图；

图3是说明如何将数字图像分成块的流程图；

图4是说明区域中块的分配的流程图；

图5是说明区域差计算的流程图；

图6是说明签名位生成的流程图；

图7是说明在第二运行中可选择的块生成的流程图；

图8说明根据本发明另一个实施例的设备；和

图9说明根据本发明再一个实施例的计算机可读媒体。

具体实施方式

签名生成

图2示出根据本发明优选实施例的流程图。对于数字图像生成签名的过程2在步骤2.10启动。计数器变量i被设置为零。在步骤2.20中，循环序列开始，并且定义在步骤2.30生成的块数目的变量M被设置为值M(i)，该值M(i)被分配给当前循环，而且定义在步骤2.30生成的M个块的大小的变量N1和N2被设置为分配给当前循环的值N1(i)和N2(i)。M的值至少是1，并且在数字图像的任意方向最大限度地等效于像素的最大数目。定义块大小的N1和N2的值是以数字图像的块的数目和大小为基础的，因此至少是1，并且在该数字图像的任意方向最大限度地等效于像素的最大数目。在第一循环中，用于M、N1和N2的值被选择为使得相对大的块被生成，例如128×128像素大小的块。

在步骤2.30中，该图像被细分成N1(i)×N2(i)大小的M(i)个块。此后，每个块的DC值在步骤2.40中进行计算。DC值被定义为平均亮度。

在步骤2.50，M(i)个块被分配给具有类似DC值的区域，这参考图4更详细地进行描述。

在上面分配的区域的平均DC值之间的差值在步骤2.60进行计算，并且参考图5更详细地进行描述。

签名位在步骤2.70生成，最好通过限定上述差值的阈值来生成。这个步骤在下面参考图6进一步详细地进行描述。

在步骤2.80，判定该循环是否将通过返回到步骤2.20来继续，或者在已生成希望数目的签名位时是否在步骤2.90终止签名生成。

图7示出对图2中的步骤2.30的一个备选方案。不从头开始分解整个图像，而可以分解在先前级别上形成的区域。当区域已在先前的运行中生成时，可以从循环2.20到2.80的第二轮运行中开始进行。

说明用于所有块的DC值计算的一个示范循环在图3中示出。循环变量j在3.10中被初始化，并且块B(j)的DC值在3.20中进行计算。在步骤3.30，如果还未计算所有块的DC值，增加该循环变量，对于下一个块，重复步骤3.20，否则结束块DC值的计算。

图4说明如何分配块给区域。首先，在4.10根据一个伪随机序列选取一个块。在步骤4.20，这个块B(Rnd)变为区域中的第一块。因此，该区域的初始DC值与第一块的DC值相同。接下来，在4.30至4.60中检查与第一块相邻的块。在步骤4.40，检查当前检查的块和当前区域的DC值之间的绝对差值是否小于阈值T_1，并且在该DC值较低的情况下，在步骤4.50将该块分配给当前区域，并且更新该区域的DC值。如果未检查所有的相邻块，则在步骤4.60该循环返回至步骤4.30，并且利用下一个相邻块继续。在4.70，检查是否每个可利用的块被分配给一个区域，并且在块还没有被分配给一个区域时，该循环返回到步骤4.10。

以根据图4形成区域的顺序根据图5来安排所得到的区域的DC值，并且在步骤5.20计算这些区域的DC值的差，即[DCr2-DCr1，DCr3-DCr2，DCr4-DCr3，…]。步骤5.10启动一个计数器变量s，并且步骤5.30检查是否已计算所有的差值。如果情况不是这样的话，该循环分支返回到步骤5.20，并且计算下一个DC差值，直到计算最后一个值。

根据图6生成签名位，借此在步骤6.10初始化计数器变量s，并且在步骤6.50检查上面计算的所有差值(图5)是否已被转换为签名位。在步骤6.20，检验当前检查的差值是否大于阈值T_2。如果这是肯定的，则在6.30给当前签名位分配“0”，否则在6.40将当前签名位设置为“1”。

上述的根据本发明的优选实施例提供了一种分级方案。首先，使用大的块大小在粗略水平上计算一些签名位。然后，使用逐渐较小的块大小在更精细水平上计算进一步签名位。签名中的最早比特是最稳健的，但是由于使用大的块大小而仅能够对任何图像改变提供差的定位。因此，该签名首先在粗略水平上并入涉及整个图像的信息，并且然后在逐渐更明细的水平上继续，直到容许的签名大小允许为止。

上述的根据本发明的优选实施例的定位能力自动地适应于图像内容。在具有稀疏细节和许多平坦区域的内容中，很多的块将被合并。这导致一些大尺寸的区域，并因此只有几个签名位。这允许进展到较小的块尺寸，并因而利用相同的签名长度实现更好的定位。

将明白，签名位是通过数字图像的最重要细节来确定的，因为所形成的区域被用于生成这些签名位。这些区域之间的边界是在数字图像中出现边缘和细节的地区中。

为了优化性能，在每个级别上的块尺寸以及在每个级别上用于判断是否添加一个块到一个区域的阈值的值是可调节的。

通过使用不同的图像块的DC值之间的差值，上述的签名生成是稳健的，这是因为DC差值是稳健的图像特性，其几乎不受压缩和其他的可接受的非恶意图像改变的影响。因此，在上述的根据本发明的实施例中DC值是优选的。当然，其他的图像特性也可以用于根据本发明计算可变签名，诸如边缘、时刻、直方图、压缩不变量和平滑的噪声图上的投影。

为了成功地伪造一个表面上真实的图像，任何改变的内容将必须利用在签名形成期间所考虑的每个块中给出类似DC值的内容来替换。成功伪造是非常困难的，这是因为块边界对于伪造者来说是未知的。

利用伪随机序列也提供安全性，其中该伪随机序列确定用于开始区域形成的块的选择。使用一个伪随机序列来确定与相邻块的DC值的比较的顺序，这用于建立额外的安全性。

改变限定块边界的网格的位置提供进一步的安全性以防伪造。在这种情况下，在验证设备中提供用于在检查签名之前确定网格边界的装置。一种这样的装置将经由利用该验证设备可检测的独立水印来指示网格位置。在出现抖动和剪切的情况下，这具有提供增加稳健性的额外优点。

在诸如安全成像的一些应用中，多个帧中只有一个帧(例如，在每50个帧中的一个帧)被存储。因此，重要的是每个帧能够验证它自己而不必参照在前或在后的帧。上述方法满足这个要求，因为此方法将每个视频帧当作单独的静止图像来处理。这也意味着，该方法同样可应用于静止图像和视频两者。

在上述方法中，签名形成继续，直到已生成所需数量的比特为止。可容许的签名长度是由可以存储/发送的元数据的比特的数目或者由将用于将签名嵌入图像中的水印的有效负载容量来确定的。该签名越长，则被窜改的图像区域的定位就越精确。

图8举例说明一个设备中本发明的实施例。示出了用于验证视听信号的一个系统10。在20中生成视听信号。最好，该视听信号在20中利用一个图像捕获设备摄像机诸如监视摄像机或者CCD阵列和/或用于捕获音频信号的合适装置诸如麦克风来捕获。但是，该视听信号还可以源于传输信号，诸如视频信号，或者源于一个存储设备，诸如硬盘驱动器或者类似的计算机可读媒体。装置30将该视听信号分解为块。利用装置40计算每个块的DC值。具有类似DC值的块由装置50分配给区域。此后，由装置60计算这些区域之间的DC差值，即，上述区域的DC值的差值，并且然后由装置70基于由装置60计算的DC差值来生成签名位。在80中，生成的签名被进一步处理，即，最好被嵌入该视听信号中，最好作为稳健水印。装置30、40、50、60和70最好在该系统10中作为模块来实现，最好包括微处理器或者类似的电子设备，诸如可编程阵列或者类似的电子电路。

图9举例说明本发明的另一个实施例，包括用于验证视听信号的计算机可读媒体100。在120中生成视听信号。最好，该视听信号在120中利用图像捕获设备摄像机诸如监视摄像机或者CCD阵列和/或用于捕获音频信号的合适装置诸如麦克风来捕获。但是，该视听信号还可以源于传输信号，诸如视频信号，或者源于一个存储设备，诸如硬盘驱动器或者类似的计算机可读媒体。第一程序模块130控制计算机110，从而将该视听信号分解为块。该计算机110包括执行来自在此所述的程序模块的计算指令的处理器111。每个块的DC值由控制计算机110的第二程序模块140来计算。具有类似DC值的块由控制计算机110的第三程序模块150分配给区域。此后，由控制计算机110的第四程序模块160计算这些区域之间的DC差值，即上述区域的DC值的差值，并且然后由控制计算机110的第五程序模块170基于由程序模块160计算的DC差值来生成签名位。在180中，生成的签名被进一步处理，即，最好被嵌入该视听信号中，最好作为稳健水印。

上述的方法、设备和程序指令包括固有的灵活性，即当存储器或者传输或者水印技术的发展例如由于更高的可利用的传输率或者较低价格上较大存储器芯片而改进时，可以容易地生成更多的签名位，这给出增加的定位能力，并且允许更大的签名。

通过使用数字图像的DC值之间的差值，所得到的签名位对于压缩和其他的可容许的图像操作是稳健的。

具有类似DC值的地区的合并得到具有减小尺寸的签名，并且进一步增加签名的稳健性，这是因为小的DC差值给出不可靠的签名位。

分级方案提供稳健性和窜改定位。

该签名自动地适应于图像内容，这是因为对于包含较少细节的图像，该签名提供自动增加的定位。

由于签名的计算不需要高的计算能力的事实，该签名可以被嵌入视频中。

因为该签名可以在适合当前应用的任何长度上截断，所以提供了灵活性。允许生成较大签名的该系统的其他部分中的改进直接导致改善的窜改定位。

因此，根据本发明的方法具有稳健性、窜改定位、短的签名长度和灵活性的优点。

为了判断一个图像的真实性，使用与签名形成类似的程序。但是，在每次比较DC值时，采用“软判定”，即，DC差值的值被用于判断块是否被合并在一个区域中的概率。以这样的方式，构成一个框架，其图解根据接收的图像形成不同的签名的概率。在一个实施例中，维特比(Viterbi)类型算法被用于确定形成和根据原始图像生成的签名相匹配的签名的最可能方式。利用水印给出的签名提供了最可能的区域形式，但是需要特殊关注以控制错误概率。

真实图像由于压缩或者其他可容许的处理而仅在其DC值中示出微小变化。因此，存在接收的图像能够生成一个匹配签名的高概率。但是，如果该图像已被恶意改变，则至少一个计算的DC差值被显著地改变，并且生成匹配签名的可疑图像的总体概率低，表示已发生较大的图像修改，以及在生成匹配签名期间在一个或多个点上必须进行的一些判定将具有非常低的相关概率。例如，对于是真实的图像，压缩必然使大的DC差值变得非常小，而这是不太可能的。这个事实可用于定位该图像的哪一些区域已被窜改。

在许多图像必须配备有验证能力的意义上，图像验证是一个非对称问题，但是实际上这些图像之中仅有相对少的图像要查验其真实性。在安全摄像机情形下，例如，利用该摄像机生成的所有帧使其签名被计算，但是在每五十个帧之中或许只有一个帧实际上将被记录。此外，只有非常少数量的记录的帧需要被验证，例如，在这些帧在诉讼案件中被用作证据时，需要验证。结果是：与很少执行的真实性验证相比较，对于每个帧执行的签名计算必须具有更低的计算要求。

在本发明的一个优选实施例中，签名计算因此被定位在靠近图像捕获设备，以防止在签名被计算之前发生窜改的可能性。在这种情况下，签名计算必须在摄像机内在视频信息流上实时进行，并且在适宜的时候将其嵌入作为水印。这对于签名计算和水印嵌入算法的复杂度设置严格的限制。

上述的签名生成方法是以计算DC值为基础的，这不是计算需求或者存储器渴望的任务。根据上述方法的签名生成和嵌入因此可以被实时进行。

在检测到窜改的情况下，着手分析该修改。上述的根据本发明的信号验证的应请和使用是各种各样的，并且包括示例性领域，诸如：

安全摄像机或者监视摄像机，例如用于法律实施、证据成像或者指纹；

保健制度，诸如远程医疗系统、医学扫描仪和病人文档；

保险文档编制应用，诸如车辆保险、财产保险和健康保险。

已经在上面参考特定的实施例描述了本发明。但是，除了上述的优选实施例之外的其他实施例在所附的权利要求书的范围内同样是可能的。

而且，术语“包括”不排除其他的单元或者步骤，术语“一”和“一个”并不排除多个和单个处理器或者可以实现在权利要求书中列举的若干单元或者电路的功能的其他单元。

Claims (24)

1.用于验证视听信号的一种方法，包括通过生成可变数量的签名位来形成逐级签名。

2.根据权利要求1的方法，包括以下步骤：

将所述视听信号分解为块；和

逐级降低所述块的大小。

3.根据权利要求2的方法，进一步包括以下步骤：

根据所述块的内容生成所述签名，从而所述签名位的数量随着块大小的降低而逐级增加。

4.根据权利要求1的方法，进一步的特征在于：

所述签名位的数量随着所述视听信号的复杂度而增加。

5.根据权利要求4的方法，进一步的特征在于以下步骤：

将所述视听信号分解为块；

将类似的块合并在区域中；和

基于所述区域生成所述签名。

6.根据权利要求5的方法，将类似的块合并在区域中和基于所述区域生成所述签名的步骤包括以下步骤：

对于每个所述块，计算图像特征值；

将具有类似图像特征值的块分配给区域；

计算所述区域的图像特征值之间的差值；和

基于所述区域的所述图像特征值之间的所述差值，生成所述数量的签名位。

7.根据权利要求6的方法，所述图像特征值是DC值。

8.根据权利要求6的方法，进一步的特征在于：所述用于形成所述逐级签名的步骤被至少循环一次。

9.根据权利要求8的方法，进一步的特征在于：在每个循环中降低所述块的大小。

10.根据权利要求1的方法，进一步的特征在于：具有可变数量签名位的所述签名的长度被限制到最大签名长度。

11.根据权利要求10的方法，进一步包括以下步骤：

在所述视听信号中作为水印嵌入所述签名，所述最大签名长度被定义为该水印的最大有效负载。

12.根据权利要求1的方法，进一步包括以下步骤：

在所述视听信号中插入所述签名，和/或存储或者发送所述视听信号。

13.根据权利要求12的方法，借此该签名被作为水印插入该视听信号中。

14.根据权利要求1-13的方法，进一步包括以下步骤：

通过证实所述签名来证实所述视听信号的真实性。

15.根据权利要求7的方法，借此分配所述块到具有类似DC值的区域的步骤包括重复以下步骤：

根据伪随机序列选取尚未分配给区域的第一块，其中所述第一块变成新区域的第一块，并且所述第一块的DC值变成所述新区域的DC值；和

检查所述第一块的每个相邻块，借此所述相邻块中的另一块被分配给所述新区域，并且如果所述另一块的DC值小于一个阈值，则利用该另一块的DC值来更新新区域的DC值，直至所有的块被分配给一个区域。

16.根据权利要求7的方法，借此计算所述区域之间的DC差值的步骤包括以下步骤：

以形成所述区域的顺序来安排所述区域的DC值；和

对于所有的区域，计算连续区域之间的所述DC差值。

17.根据权利要求6的方法，借此将所述视听信号分解为块的步骤的特征在于：在先前形成的区域中形成所述块。

18.根据权利要求7的方法，借此基于所述DC差值生成签名位的所述步骤的特征在于：限定所述DC差值的阈值。

19.根据任何一项在前权利要求的方法，其中所述视听信号是数字图像或者数字视频的帧。

20.一种用于验证视听信号的系统，包括用于生成可变数量的签名位来形成逐级签名的设备。

21.根据权利要求20的用于验证视听信号的系统，所述的用于形成逐级签名的设备包括：

用于将所述视听信号分解为块的装置；

用于计算所述块的DC值的装置；

用于分配所述块到具有类似DC值的区域的装置；

用于计算所述区域之间的DC差值的装置；和

用于生成所述签名位的装置，借此所述签名位基于所述DC差值。

22.一种计算机可读媒体，具有多个计算机可执行指令，用于执行根据权利要求1的方法，包括：

用于形成逐级签名的程序模块，给出指令给计算机，以生成可变数量的签名位。

23.根据权利要求22的计算机可读媒体，进一步具有多个计算机可执行指令，包括：

用于将视听信号分解为块的第一程序模块；

用于计算所述块的DC值的第二程序模块；

用于分配所述块到具有类似DC值的区域的第三程序模块；

用于计算所述区域之间的DC差值的第四程序模块；和

用于生成所述签名位的第五程序模块，所述签名位基于所述DC差值。

24.在监视摄像机、或者安全摄像机、或者数字图像摄像机或者数字视频摄像机、或者医学成像系统中根据权利要求1的方法的一种使用。

Images