基于深度生成模型的个性化可逆人脸去识别方法

3334基于解纠缠身份信息处理的个性化可逆人脸去识别曹静怡1、刘波2、温云倩1、谢荣1、李松11上海交通大学图像通信与网络工程研究所2悉尼科技大学计算机科学学院{cjycaojingyi，wenyunqian，xierong，song li}@ sjtu.edu.cn，bo. uts.edu.au摘要包括智能电话和监控摄像头的智能设备的普及导致更严重的隐私问题。去身份化被视为视觉隐私保护的有效工具，其过程是隐藏或替换身份信息。 大多数现有的去识别方法都受到一些限制，因为它们主要集中在保护过程上，并且通常是不可逆的。在本文中，我们提出了一种基于深度生成模型的个性化和可逆的去识别方法，其主要思想是引入用户特定的密码和可调参数来控制身份变化的方向和程度。大量的实验表明，我们提出的框架的有效性和推广的人脸去识别和恢复。1. 介绍智能手机和数码相机等手持设备的广泛使用有利于图像生产，社交媒体的发展促进了图像的广泛传播和轻松获取，以及计算机视觉技术和深度学习的日益普遍的应用。上述因素导致图像隐私和安全受到严重威胁。最重要的是，人脸图像通常被认为包含丰富的隐私信息。最早的技术通过像素级处理来混淆隐私敏感信息，这已经被证明是脆弱的并且对效用的影响很差[23]。 最近基于GAN的方法，如[10，16]，显着提高了去识别结果的质量和实用性。此外，对解纠缠表示的研究[5，18]有助于在不改变身份信息的情况下其他面部属性，这使得去识别结果与原始图像保持视觉相似性成为可能。大多数去身份识别方法仅关注保护阶段，这有助于在正常情况下的监控或在社交媒体上上传图像时保护身份。考虑到在刑事调查中寻找身份或与亲密朋友分享照片时，希望使用原始图像而不是去识别的图像。因此，如何恢复原始图像也是一个至关重要的任务。此外，请注意，隐私和实用性之间的权衡对所有隐私保护方法构成了重大挑战，并且在不同的场景中需要不同级别的隐私。我们认为，理想的综合去识别方法应该：a）避免恶化非敏感信息，如面部表情，行为等，b）根据应用控制隐私保护程度，c）能够在安全条件。为了实现上述目标，本文提出了一种个性化的和可逆的人脸去识别方法。主要框架可概括为以下三个阶段：（1）提取解纠缠的身份和属性，并确保在去身份过程中属性不变，（2）基于密码p和隐私级别参数d，利用身份修改模块计算受保护或恢复的身份，（3）实现图像重构。如图1，与现有的去识别方法相比，该方法能保持与原方法更多的相似性。与Gu等提出的以口令为条件的生成式对抗网络不同。[8]，需要对不同的密码重新训练网络，我们的加密过程相对独立于深度生成网络，因此密码形式可以更灵活地定义，复杂度将大大降低，身份变化的范围可以无限扩大。不同于k-可以提供隐私保证和控制3335×个(a) 原始（b）模糊(c)像素化(d)噪声（e）DeepPrivacy(f)Gu等人（g）我国（d=0）（h）我国（d=9）图1：与现有方法相比的去识别结果，其中（b），（c），（d）是传统方法，（e），（f）基于深度学习。从左至右：原始图像，高斯模糊（s =8），像素化（8 8），高斯噪声（σ =15），DeepPrivacy [10]，Gu等人。[8]以及我们的去识别结果，具有最小和最大隐私级别d。隐私保护水平的整个数据集，我们的方法可以控制的程度，身份的变化，为每个图像。综上所述，我们的主要贡献如下：• 一个通用的框架，可以转换身份的输入，同时确保其他属性保持相似。• 可以使用用户指定的密码生成个性化的去识别结果，并且可以控制识别变化的程度。• 当且仅当提供了相应的加密参数时，才可以恢复原始图像。• 实验结果表明，与现有方法相比，该方法能够生成具有更好隐私性和实用性的去身份化结果，以及更高质量的恢复结果.2. 相关工作在本节中，我们将讨论构成我们目前工作的基础和动机的相关工作。2.1. 人脸去识别传统的人脸去识别方法简单地使用模糊、掩蔽或像素化。这些方法主要集中在对敏感信息进行直接模糊处理，这会带来令人不快的伪影，对图像的实用性造成很大的危害。基于k-匿名[21]的k-相同家族算法可以保证每个去识别图像与k个图像相关联，以将被识别的概率限制为1/k。有一些改进基于在k-相同[17]上，例如，k-相同-选择[6]旨在保留面部属性，并且k-相同-M [7]试图通过引入主动外观模型（AAM）来移除由于未对准而引起的令人不快的伪影。谢谢随着深度生成模型的进步，人们提出了更新颖的基于GAN的去识别方法来生成更高质量的图像。DeepPrivacy [10]生成整个面部区域，以保护充满敏感信息的区域。最近，出现了一些可恢复的识别方法。Yamac等人[25]介绍了一种与用于视频监控应用的多级加密方案相结合的可逆隐私保护压缩方法。Gu等人[8]描述了一个生成对抗网络，该网络使用图像和预先定义的密码进行训练，可以使用逆密码重建原始密码。在[19]中提出了一种用于低分辨率视频的可逆去识别方法，该方法可以生成包含重建所需的所有信息的真实去识别流。由于这些可恢复的方法主要基于条件信息，针对特定密码进行训练，或者需要关于保护过程的额外信息，因此应用灵活性和保护安全性将受到影响，而我们的方法可以解除这些限制。2.2. 解纠缠表示已经提出了许多不同级别的监督学习方法来学习解纠缠表示。Hu等人[9]使用两个特征块混合和解混-3336.ΣFFFF×× ×使用自动编码器来学习图像表示，而无需任何数据域知识。身份和属性分离的研究在去身份化[1]和换脸[13]任务中也得到了广泛的关注，希望专注于身份转换，同时保持其他属性不受影响。其中大多数遵循类似的方式，使用预先训练的人脸识别网络来推断身份表示并指导生成器的训练。Cho等人[3]提出了一种网络，将潜在向量分解为身份表示和面部特征。Chen等人[2]构建了一个基于变分生成对抗网络VGAN的解纠缠网络，用于身份切换和表达一致性。 Nitzan等人[18]设计了一种基于StyleGAN的身份参考图像和属性参考图像的身份相关嵌入分解和合成方法。Gong等[5]建立了一个双重架构，称为替换和恢复变分自动编码器多级属性编码器............身份发生器身份编码器训练过程图2：训练过程的框架，包括身份编码器，多级属性编码器和生成器。其中D（X，Y）表示图像X和Y之间的同一性距离，并且较大的距离指示较低的相似性。可恢复性。如果用户将去识别结果F（X，p，d）、对应的密码p和d作为输入，则以确保身份无关信息可以被完全解开。3. 问题公式化我们的身份转换算法主要具有定义和恢复-1，这两者都需要输入源面部图像X、用户特定的密码p和隐私级别参数d。口令可以确定身份变化的方向，d可以控制身份变化的程度。受Guet al启发。[8]，我们在这一节中用数学-去识别。为了实现身份保护的有效性，我们的目标是保护图像将具有与原始图像不同的身份信息，其可以被公式化为，I（F（X，p，d））=×I（X），（1）其中（X，p，d）表示具有参数p和d的去标识的X，I（X）表示图像X的标识。考虑到去识别结果的效用，我们希望（X，p，d）看起来与X以及面部区域和关键点仍然可以被面部检测器检测到。多样性我们可以设置不同的密码p，以产生不同的去识别结果，这可以提高身份保护的安全性。I（F（X，p1，d））×=I（F（X，p2，d）），p1=×p2.（二）可控性。我们可以通过可调参数d控制去识别图像与原始图像之间的相似性，D（F（X，p，dl）， X）>D（F（X，p，d2）， X），dl>d2，⑶可以成功地恢复原始图像X，这可以是公式为，F−1（F（X，p，d），p，d）=X，I（X）=I（X）.（四）然而，如果攻击者试图在没有正确的身份加密密码的情况下恢复，他只能获得具有另一个身份的图像，而不是原始的。F−1（F（X，p1，d1），p2，d2）=Y，I（X）×=I（Y），（5）其中p1=p2，d1=d2。 除上述者外，我们亦预期经去识别及经恢复的结果两者均具有高图像质量及令人满意的视觉感知。4. 我们的方法培训过程的框架如图所示 2和保护过程和恢复过程的流程如图2所示。3，其主要由两个编码器E_id和E_attr、身份修改模块M和生成器M组成G. 在第一阶段，我们提取图像表示并将其分解为身份zid和属性zattr。其次，我们通过身份修改模块M计算受保护身份znew或恢复的zid。最后，G基于znew和zattr生成de-identified结果（或基于zid和zattr 生 成restored 结果）。本节将详细描述每个部分。4.1. 网络架构身份编码器。 与大多数关于身份和属性的分解表示的研究类似，我们使用预先训练的人脸识别模型作为身份编码器E id，并且给定图像X的身份表示zid=Eid（X）取自最终全连接层之前的最后一个特征向量。R2VAEs 基于因子不变策略3337attrattr····--L22LL−attr2attrattr.21Σ属性编码器。为了更好地保留属性的细节，如表情、姿势、光照等，我们采用了类似于U-Net的结构，并将属性表示为多级特征图，其可以公式化为，4.2. 训练过程在训练过程中，身份编码器E_id被冻结，而其他编码器是可训练的，其中属性编码器E_attr被训练为嵌入从z_id中分解的属性表示，并且生成器G被训练为重新构造。z属性=z1K2attr，···znΣ，（6）使用zid和zattr构造原始图像。我们使用身份一致性损失L_id来确保其中，zattr（k= l，2， …，n）表示从U-Net解码器的k层获得的第k个属性嵌入。身份修改模块。 身份修改-生成的图像X′= G（zid，zattr）的恒等式仍然保持不变。特征模块主要是利用隐空间操作对身份嵌入进行编辑。就像大多数最先进的述盖= 1Eid（X′）·Eid（X）Eid（X′）（八）人脸识别或验证模型，如ArcFace [4]，CosFace [24]和SphereFace [14]，都将身份特征转换到超球面空间，并使用基于角度的余弦相似性，这促使我们旋转身份。与其他向量操作（如转换）相比，实体向量是一种更有效的更改身份信息的方法。我们还定义了属性一致性损失attr，其可以公式化为：nL=¨zk（X′）− zk（X）¨。（九）k=1lation.考虑到恢复的可行性，我们希望引入一个确定的过程，而不是像高斯噪声那样引入随机性。因此，我们实现去识别过程znew=M（zid，p，d）或恢复如果恢复结果X’是用相同的zid和zattr，它应该尽可能地类似于原始图像。我们设置像素级L2距离作为重建损失1通过改变相位来处理zid=M−1（znew，p，d）身份嵌入更详细地，在保护期间Lrec=X′− X（十）过程中，我们首先从预定义的参考身份向量库中提取参考向量ZR=f（p），其中f表示ZR与密码之间的映射关系p.每个参考身份zr是通过从训练集中随机选择k个不同的身份进行组合而获得的，其目的是确保不存在真实的对应身份，并避免身份泄漏。在超平面上以度数θ旋转z_id之后的新恒等表示z_new可以公式化为，其中z90是从zr分解的分量向量并形成具有zid的正交基的集合，其确定-Mines旋转方向，并且Znew可以对应于不真实的人的身份。函数θ=g（d）被设计为控制身份随隐私级别d的变化程度。在恢复阶段，我们可以用逆运算来计算原始恒等式，更多详细的计算将在第4.4节中介绍。生成器. 生成器需要实现基于z_id和z_attr的图像重建。以往的研究[1]表明，简单的嵌入关联可能会导致相对模糊的结果。 为了解决这个问题，已经提出了新的自适应注意力去规范化（AAD）层[13]来改善多个级别中的特征集成。 我们在生成器中采用级联的n-AAD残差块来调整z_id和z_attr的注意区域，使得它们可以参与合成不同的部分。我们利用对抗学习来训练框架，并引入对抗损失adv来约束生成的结果，使其与真实图像无法区分。为了提高图像质量，有必要扩大鉴别器的感知范围，因此我们采用m个多尺度鉴别器[22]，其具有铰链损失函数，用于生成图像的不同分辨率版本。adv（Xm′，Xm）=log（D（Xm））+log（1D（Xm′）），（十一）其中，Xm指示第m次下采样之后的低分辨率图像。总损失函数是上述损失的加权和，其可以公式化为，Ltotal=λadvLadv+λidLid+λattrLattr+λrecLrec 其中λadv、λ id、λ attr和λ rec是折衷参数。4.3. 保护过程在保护阶段，我们的方法将原始图像X，用户设置的密码p和隐私级别参数d作为输入。我们的目标是生成一个特定的去识别图像，其中p和d的身份受到保护，而其他属性保持不变。对于原始图像X，我们首先得到身份嵌入zid=Eid（X）和属性嵌入zattr=Eattr（X）。去识别身份表示znew=M（zid，p，d）可以公式化为，，z23338M（zid，p，d）=z¯id·cosg（d） +z90·sing（d），（13）3339FF×个.FA=new新×个图3：保护过程和恢复过程的框架。哪里z90=f（p）−（z¯id·f（p））·z¯id，（14）z¯id表示归一化的zi d，f（p）是密码p对应的参考标识。最后，我们将去识别结果生成为：F（X，p，d）= G（z新，z属性）。（十五）4.4. 恢复过程在恢复阶段，我们的方法仅在提供正确的密码和隐私级别时才能将已定义的图像（X，p，d）恢复为原始图像X，这主要不同于身份修改模块M中的保护过程。对于已识别的图像（X，p，d），我们用预先训练的编码器提取z（new）和z（attr）。恢复的恒等式嵌入zid=M−1（znew，p，d）可以计算为：实验设置。 我们使用预训练的ArcFace[4]作为身份编码器E_id，并且在等式（1）中设置属性表示的数量n= 8。（六）、我们使用Adam训练我们的网络，其中β1=0，β2=0。999，并将学习率设置为410−4。等 式 中的折衷参数(12)设 为λ adv=0。1，λid=5和λ attr=λ rec=10。 我们将p定义为六位数密码，每个参考身份zr由随机k=10个不同的身份计算，并将f（p）定义为一对一映射。基于在CelebA-HQ上的测试，同时考虑隐私保护效果和图像质量，当θ= 90◦时无法恢复，我们将θ和d的关系定义为g（d）=70+d×5d∈ [0，4），70+（d +1）× 5d ∈ [4，9].5.2. 评价结果5.2.1去识别M−1（znew哪里，p，d）=znew−f（p）·sing（d），（16）cosg（d）−A·sing（d）不同的密码。我们通过使用不同的密码产生不同的去识别结果来评估我们的方法的多样性。定性结果见cos2g（d）−（z−f（p）·sing（d））·zsing（d）·cosg（d）（十七）见图4。可以看出，我们的方法可以在由密码p确定的大范围内将身份转换为不同的身份。并且znew=Ei d（（X，p，d））。恢复的图像Xf可以被公式化为，X=G（zi d，zatt r）.（十八）5. 实验5.1. 实现细节数据集。我们使用CelebA-HQ [11]数据集训练网络，该数据集来自CelebA [15]，其中包含30 k张名人面孔的高档图像。随机选择27k张图像进行训练，其他图像进行测试。每个图像已被对齐并裁剪为覆盖整个面部区域的 256 256 。 此 外 ， 我 们 还 在 FFHQ [12] 和 CASIA-WebFace [26]上测试了泛化能力。正确恢复身份编码器身份原始身份编码器身份鉴别修改模块去识别鉴别修改模块错误恢复保护过程恢复过程隐私级别d密码属性多层次属性编码器属性多级属性编码器错误密码正确密码发生器发生器3340不同的隐私级别。我们通过测试不同的隐私级别d来评估可控性，并在图中呈现定性结果。6.当d增加时，身份差异扩大，而去识别的结果通常仍然可以与原始结果共享相似的外观，并且它们中的大多数已经成功地欺骗了人脸验证模型，我们将在下面的部分中提供定量评估。定量评价。我们从隐私保护和图像效用的角度来评估我们的方法的性能。在此，我们提出我们使用的指标的定义或解释。(1) 隐私保护：几乎所有的人脸验证模型都是通过比较身份嵌入距离来判断两幅图像是否具有相同的身份，因此我们定义了3341↑↓Σ1Σ−人脸识别FaceNet（CASIA）FaceNet（VGGFace2）DeepPrivacy [10]0.74623 /0.9391.19684 /0.7341.22889 /0.816Gu等人[8]0.82234/0.9611.14419 /0.7041.16245 /0.695我们的0.79195 /0.9751.24421/0.9131.27270/0.928图4：各种去识别结果。最左边的一列表示原始图像，最后五列表示使用不同密码的各种去识别结果。特别地，每列的图像共享相同的密码。表1：去识别结果的隐私评估，其中表中的值指示身份距离和成功去识别率Id-dis / SR。我们选择人脸识别库的阈值为τ=0。6，FaceNet的阈值为τ=1。根据[20]。DRPixel-dis脸地标眼睛鼻子嘴DeepPrivacy [10]1.0 5.0052.5061.50217993288Gu等人[8]0.85850.925我们的0.99730.2252.3461.9691.8101.9062.1391.23615461900表2：去识别结果的效用评价。使用OpenCV检测人脸区域，并使用dlib检测界标。(2) 图像实用程序：我们将已识别图像中的面部的比率定义为等式中的面部可检测性（DR）。(21)来衡量计算机视觉任务的效用NDR=fNi=1det（F（X，p，d）），（21）图5：身份距离（Id-dis）。距离越大，去识别效果越好。当身份距离超过阈值时，面部验证模型认为身份已经改变。识别距离（Id-dis）和成功保护率（SR）进行保护效果评价。Id-dis表示从人脸识别模型中提取的身份向量Eid之间的距离，其可以公式化为Id-dis=D（e_id（X），e_id（F（X，p，d））。（十九）SR表示成功去识别的比例为N如果可以检测到面部，则fdet= 1，否则fdet= 0。我们还检测人脸区域和地标，以计算从原始图像的像素级距离（pixel-dis）我们从CelebA-HQ中随机选择几个图像，并使用随机密码p和隐私级别d对它们进行去识别。隐私评估与DeepPri- vacy [10]和Gu等人进行了比较。[8]表1中表示，可以得出结论，我们的方法对于身份保护更有效，具有更大的身份距离和更高的成功率。我们还使用每个隐私级别的随机密码生成去身份结果，身份距离随d的变化如图所示。五、在表2中，我们对去识别图像应用计算机视觉算法，并比较去识别结果与原始图像之间的面部区域、地标、眼睛、鼻子和嘴巴的像素级差异，以及去识别的检测率。地标指示总共68个关键点的平均距离，而眼睛/鼻子/嘴巴表示关键点对应的SR=11fNi=1ver（X，F（X，p，d）），（20）每个面部区域。效用评价证明我们的方法能够保证人脸区域当Id-dis>τ时，当f_ver=0，否则f_ver=1时，考虑两个不同的恒等式，N为检验次数。我们分别使用人脸识别库，在CASIA上训练的FaceNet和在VG-GFace 2上训练的FaceNet进行评估，其中D的具体形式都是欧几里得距离。和地标更好，并且可以检测到大多数去识别的面部，这证明它保证了身份不可知的计算机视觉任务的更好实用性。我们还展示了图中隐私和效用之间的权衡。7.提高隐私保护级别将增加像素差异，这意味着图像的实用性将降低。3342|↓ ↑ ↑ ↓×个X（a）d = 0（b）d = 1（c）d = 2（d）d = 3（e）d = 4（f）d = 5（g）d= 6（h）d= 7（i）d= 8 （j）d= 9图6：最左边的列表示原始图像，其余的列表示具有不同隐私级别的去识别结果（从左到右，隐私级别参数d从0增加到9）。图7：去身份化结果的隐私和效用之间的权衡。横坐标表示人脸识别库测量的身份距离，纵坐标是人脸区域和关键点的像素差。人脸识别FaceNet（CASIA）FaceNet（VGGFace2）错误恢复0.794/0.904 1.243/0.854 1.257 /0.879正确恢复0.228/0.035 0.368/0.035 0.401 /0.035表3：不正确/正确恢复的Id-dis/SR评价。5.2.2恢复在图中呈现了具有正确或错误密码的恢复结果。8.当攻击者试图用错误的密码恢复去身份图像时，他仍然可以获得质量良好的人脸图像，但无法获得原始身份信息，这可能会使他感到困惑，并实现更可靠的保护。虽然我们的框架是在CelebA-HQ上训练的，但在FFHQ和CASIA-WebFace上测试的通用化结果如图所示。10，并得出结论，我们的 方法可以适用于更广泛的图像范围。为了（a）X（b）p1 （c）p2（d）p2|p1（e）p1|p2（f）X图8：接收结果。 X：原始图像，p1，2：两个不同的去识别结果，p mp n：使用p n恢复用pm 去 识 别 的图 像，X：正确的接收结果。LPIPS PSNR SSIM MAE模糊0.24228.3960.8020.026我们的表4：恢复的图像质量的比较。为了与模型输入保持一致，我们首先转换所有测试图像的大小为256 256之前，饲料的模型。小的伪影被认为是由于插值或未对准引起的图像失真。我们将CelebA-HQ和CA的去识别结果、错误恢复和正确恢复与[8]进行像素化0.44723.1590.6710.040噪声0.26422.1630.7010.046Gu等人0.18627.6020.8270.0293343(a) p1（b）p2（c）Y（d）X（a）p1（b）p2（c）Y（d）X图9：与Gu等人的结果比较。[8]的一项建议。左边是CelebA-HQ，右边是CASIA-WebFace。 对于相同的输入图像，上面一行是我们的结果，下面一行是[8]生成的结果。(a)X（b）p1 （c）p2 （d）p3 （e）Y（f）X（图10：在CelebA-HQ上训练的模型的FFHQ和CASIA泛化结果。上面两行是而下面的是CASIA。 X：原始图像，p1，2，3：具有三个不同通行证的识别结果，Y⑩ ：错误接收，X⑩ ：正确接收。图中所示的SIA。9，这表明我们的去识别结果可以与原始结果保持更多的相似性。不正确和正确恢复的身份评估如表3所示，其中，当使用正确的密码时，恢复是有效的，而错误的密码将以高概率生成不同的身份。我们使用LPIPS（学习感知图像块相似性）[27]距离来测量感知相似性，使用PSNR（峰值信噪比）和MAE（平均绝对误差）来测量像素级的失真，以及使用SSIM（结构相似性）来测量结构相似性，从而评估表4中的恢复质量。我们比较了三个传统的方法和顾等。”[8]“我是说，我们在那里，在那里，在那里。通过双线性插值来移动像素化，并且通过非局部平均来去噪。基于比较，我们的方法得到的恢复图像是最接近的原始图像质量高。6. 结论在本文中，我们提出了一个个性化的和可逆的去识别方法的隐私保护。我们的方法首先解开身份和属性的表示，基于密码和隐私级别参数的潜在空间操作加密或恢复身份，并最终重建去识别或恢复的图像。在保护阶段，我们的方法可以使用不同的密码生成个性化的去识别结果，并通过隐私级别参数控制与原始身份的距离。在恢复阶段，当且仅当给出相应的密码时，我们的方法才能恢复，而当攻击者尝试错误的密码时，将生成具有另一个身份的图像。实验结果表明，与传统的或最先进的方法相比，该方法在隐私保护和图像实用性方面具有令人满意的性能，并且恢复的质量也很好。将所提出的框架一般化以处理不同分辨率和不同姿态的人脸图像是我们未来工作的一部分。此外，视频中的去识别化也是一个值得研究的问题。致谢本工作得到MoE-中国移动研究基金项目（MCM20180702 ） 、 国 家 重 点 研 发 项 目 （ 2019 YFB1802701）、111项目（B 07022和Sheitc No.150633）和上海市数字媒体处理与传输重点实验室的支持。3344引用[1] Jianmin Bao，Dong Chen，Fang Wen，Houqiang Li，and Gang Hua.面向开集身份保持的人脸合成。2018年IEEE/CVF计算机视觉和模式识别会议，第6713-6722页[2] Jiawei Chen，Janusz Konrad和Prakash Ishwar.基于Vgan的图像表示学习用于隐私保护的面部表情识别。在IEEE计算机视觉和模式识别会议（CVPR）研讨会上，2018年。[3] Durkhyun Cho，Jin Han Lee，and Il Hong Suh.Cleanir：可控属性保留自然身份去除器。应用科学，10 ：1120，2020.[4] 邓健康，贾国，薛念南，Stefanos Zafeiriou。Arcface：用于深度人脸识别的附加角度余量损失。在IEEE/CVF计算机视觉和模式识别会议论文集（CVPR），2019年。[5] Maoguo Gong ， Jialu Liu ， Hao Li ， Yu Xie ， andZedong Tang.解纠缠表示学习，用于多属性保留人脸识别 。 IEEE Transactions on Neu- ral Networks andLearning Systems，2020。[6] Ralph Gross ， Edoardo Airoldi ， Bradley Malin ， andLatanya Sweeney.将效用集成到面部去识别中。在PET[7] Ralph Gross ， Latanya Sweeney ， Fernando De laTorre，and Simon Baker.基于模型的面部去识别。2006年[8] Xuye Gu，Weixin Luo，Michael S Ryoo，and Yong JaeLee.密码条件匿名化和去匿名化与人脸身份转换器。2020年欧洲计算机视觉会议[9] QiyangHu ， AttilaSzabo´， TizianoPortenier ，PaoloFavaro，and Matthias Zwicker. 通过混合来分解变异 因 素 在 IEEE 计 算 机 视 觉 和 模 式 识 别 会 议（CVPR），2018年。[10] Ha˚konHuk k e la˚ s，RudolfMeste r，andFrankLindseth. 深度隐私：一个用于人脸匿名化的生成对抗网络。在Advances in Visual Computing 中 ， 第 565-578 页 。Springer International Publishing，2019。[11] Tero Karras ， Timo Aila ， Samuli Laine ， and JaakkoLehtinen.GANs的逐步增长，以提高质量，稳定性和变化。在2018年国际学习代表[12] Tero Karras Samuli Laine和Timo Aila一个基于样式的生成器架构，用于生成对抗网络。在IEEE/CVF计算机视觉和模式识别会议论文集（CVPR），2019。[13] Lingzhi Li，Jianmin Bao，Hao Yang，Dong Chen，andFang Wen.Faceshifter：朝向高逼真度和遮挡感知的人脸交换。arXiv预印本arXiv：1912.13457，2019。[14] 刘未央，温延东，余智定，李明，拉吉比丘，宋乐Sphereface：用于人脸识别的深度超球面2017年视觉和模式识别（CVPR），第6738[15] Ziwei Liu ， Ping Luo ， Xiaogang Wang ， and XiaoouTang.在野外深度学习人脸属性。在2015年国际计算机视觉会议（ICCV）上发表[16] MaximMaxim ov，IsmailElezi，andLauraLeal-T ai xe´. 条件身份匿名生成对抗网络。在IEEE/CVF计算机视觉和模式识别会议论文集，第5447-5456页[17] 伊莱恩·牛顿，拉坦娅·斯威尼，布拉德利·马林。通过去 识 别 面 部 图 像 来 保 护 隐 私 IEEE Trans- actions onKnowledge and Data Engineering，17（2）：232[18] Yotam Nitzan ， Amit Bermano ， Yangyan Li ， andDaniel Cohen-Or.基于潜在空间映射的人脸身份解纠缠。ACM Transactions on Graphics（TOG），39：1[19] HugoProenca.uu-net：视觉监控录像的可识别面。ArXiv，abs/2007.04316，2020。[20] FlorianSchroffDmitryKalenichenkoJamesPhilbinFacenet：用于人脸识别和聚类的统一嵌入在IEEE计算机视觉和模式识别会议（CVPR）上，2015年。[21] 拉坦亚·斯威尼K-匿名：保护隐私的典范。Int. J.不确定。模糊知识基于的系统，10（5）：557[22] 唐伟、李桂、鲍新元、李腾。Mscgan：用于人物图像生成的多尺度条件生成对抗网络。2020中国控制与决策会议（CCDC），第1440-1445页[23] [1] Nishant Vishwamitra ， Bart Knijnenburg ， HongxinHu，Yi-fang P Kelly Caine，et al.模糊与块：调查图像隐私增强模糊处理的有效性。在IEEE计算机视觉和模式识别研讨会会议论文集，第39[24] 王昊、王一通、周征、纪兴、龚地宏、周景超、李志峰、刘伟。Cosface：用于深度人脸识别的大幅度余弦损失。2018年IEEE/CVF计算机视觉和模式识别会议，第5265-5274页[25] Mehmet Yamac ， Mete Ahishali ， Nikolaos Passalis ，Jenni Raitoharju，Bulent Sankur，and Moncef Gabbouj.使用多级加密和压缩感知的可逆隐私保护arXiv电子版，第arXiv：1906.08713页，2019年6月。[26] Dong Yi，Zhen Lei，Shengcai Liao，and Stan Z.李从头开始学习面部表示ArXiv，abs/1411.7923，2014。[27] 放大图片作者：Richard Zhang，Phillip Isola，Alexei A.艾弗罗斯，伊莱·谢克特曼，奥利弗·王.深度特征作为感知度量的不合理有效性。在IEEE计算机视觉和模式识别会议，2018年。