一种多重的高精度深度学习模型黑盒水印方法

本发明涉及人工智能领域，具体为一种多重的高精度深度学习模型黑盒水印方法。

背景技术：

1、如今，人工智能的浪潮席卷全球，我们在生活中的方方面面都享受到了人工智能给我们带来的便利，例如门禁系统的人脸识别，手机的语音助手和汽车中的自动驾驶技术。这些技术都诞生于优秀的深度学习模型。随着深度学习的蓬勃发展，深度学习模型规模不断增长，人们也在不断探索大规模参数的模型的商业化模式，例如model as a service(maas)和区块链。在百度ai市场已经对模型的商业化进行了初步的探索，通过商城的形式来进行深度学习模型的交易。但对深度学习模型的保护措施却远远达不到人们的要求。深度学习模型的知识产权保护仍有很大的不足之处，急需相关技术支持。借鉴于传统水印技术，深度学习水印也被运用在深度学习知识产权保护领域。但现有的深度学习水印技术并不支持对深度学习模型进行权限分离的验证，往往只能进行单一权限的识别，深度学习模型所有者和使用者的权益无法通过水印技术得到统一保障。因此，需要一种能够对深度学习模型不同权限进行认证的技术来保护深度学习的知识产权。

技术实现思路

1、为了达到上述目的，本发明提供一种多重的高精度深度学习模型黑盒水印方法。

2、本发明采用的技术方案如下：

3、包括如下步骤，

4、第一步：条件生成对抗网络技术，

5、cgan主要包括两个模型，一个是生成器g和判别器d，g模拟数据分布，d估计样本来自训练数据而不是g的概率，cgan的训练是一个动态过程，是生成器g和判别器d之间的相互博弈过程，cgan的目标函数表示为下列式子(1)：

6、

7、cgan的训练过程是一个生成对抗的过程，并达到全局最优，通过cgan输入标签就可以生成我们需要的图像数据；

8、第二步：混沌加密技术

9、一维logistic映射，其数学表达式如下式子(2)：

10、xn+1＝μ*xn*(1-xn),μ∈[0,4],x∈[0,1]       (2)

11、采用logistic映射作为混沌自动标注的混沌方程；

12、第三步：所提取的水印技术方案

13、1.准备正训练数据集dp和负训练数据集ds迭代训练cgan每次都相互读取，上一次模型保存的参数，直到cgan生成的数据处于决策边界迭代停止，

14、2.用预先训练的cgan生成所有权触发样本nk和使用权触发样本mk，

15、3.选取初值xs和参数μs对logistic映射迭代n次生成混沌序列，分配给步骤2中生成的所有权触发样本nk，现在每个所有权触发样本都拥有了一个logistic映射值同理，选取初值xu和参数μu对logistic映射迭代n次生成混沌序列现在每个使用权触发样本都拥有了一个logistic映射值

16、4.所有权触发集的标注过程为：根据参数值μs，将混沌序列值划分为两个区间[0,μs]和[μs,1]，则将触发样本标记为l1，的触发样本标记为l2，同理，使用权的触发集的标注过程也相同；根据参数值μu，将混沌序列值划分为两个区间[0,μu]和[μu,1]，则将触发样本标记为l1，的触发样本标记为l2，

17、5.与常规触发集训练方法不同，该方案训练时在每个batch都对触发集进行训练计算损失函数，通过这样的手段来强化水印嵌入的效果。

18、本发明的有益效果：

19、1.提出了一种多重水印的证明深度学习智能模型身份的黑盒水印方案

20、我们利用混沌系统对初值和参数敏感的特性，将混沌系统中的初值和参数作为密钥，通过不同的密钥制造不同的混沌序列。例如上文的所有权混沌序列和使用权混沌序列利用这些特定的混沌序列标注由cgan产生的位于决策边界的触发样本，制造出了多重水印，可细分为所有权水印和使用权水印。与之前只能嵌入单一水印的方案不同，该方案完成了多重水印的嵌入，实现了对深度学习所有权和使用权的分别验证，更加符合实际的应用场景。

21、2.较少的触发样本情况下就能完成很好的水印嵌入效果

22、在现有的深度学习水印方案中，往往关注的是如何制作水印的方式，对深度学习水印如何嵌入并没有展开深入研究，往往只采用与训练集打乱混合之后一起训练。我们方案探索了在训练中每个batch都对触发集进行训练，能够做到在较少触发集的情况下，很好完成水印的嵌入，具有很高的水印提取率。

23、3.自动化的触发样本生成和标注

24、在现有水印方案中，触发集通过在原始数据中添加额外的特征来构造，或者通过错误分类的后门来构造，但总体上而言，触发集图片选取依赖于人工，是低效且的。我们的触发集内容不依赖于人工选取，完全由cgan生成的方式，节省了人力资源，缩短了制作触发集时间，并且摆脱了人工选取触发集的弊端，不影响模型精度，适用于大规模的触发集制作。在触发集标注上我们的专利采用了混沌自动标注，具有混沌系统的优良特性。从触发集内容和标注完成了自动化。

25、4.保证了原模型的高精度

26、我们的触发集样本是处于决策边界的样本，不像基于后门的触发集会破坏模型精度，我们触发集对模型的精度影响小，甚至能略微提升模型的精度，是一种高精度的黑盒水印算法。

27、5.水印的鲁棒性很强

28、我们触发集标注使用了混沌自动标注具有混沌系统的优良特性，混沌系统对初值和参数非常敏感。一点点的初始值和参数变化都会导致完全不同的混沌序列。当我们使用这些初始值和参数作为密钥时，触发集的安全性大大提高。混沌的不可预测性使得攻击者无法通过统计方法获得混沌序列。混沌的随机性保证了我们生成的混沌序列的唯一性。它不再像以往研究者提出的触发集那样易于推广，解决了触发器集的特征容易伪造、无法抵抗欺诈所有权主张攻击的问题。水印具有很强鲁棒性。

技术特征：

1.一种多重的高精度深度学习模型黑盒水印方法，其特征在于：包括如下步骤，

技术总结
本发明公开了一种多重的高精度深度学习模型黑盒水印方法。本发明采用的技术方案如下：包括如下步骤，第一步：条件生成对抗网络技术，CGAN主要包括两个模型，一个是生成器G和判别器D，G模拟数据分布，D估计样本来自训练数据而不是G的概率，CGAN的训练是一个动态过程，是生成器G和判别器D之间的相互博弈过程。在现有的深度学习水印方案中，往往关注的是如何制作水印的方式，对深度学习水印如何嵌入并没有展开深入研究，往往只采用与训练集打乱混合之后一起训练。我们方案探索了在训练中每个batch都对触发集进行训练，能够做到在较少触发集的情况下，很好完成水印的嵌入，具有很高的水印提取率。

技术研发人员：张盈谦,黄梓杰
受保护的技术使用者：厦门大学嘉庚学院
技术研发日：
技术公布日：2024/1/11