自从电子医疗系统通过分享数据协助医生进行远程诊断以来，数据安全一直是研究和讨论的重要主题(Li等，2013)。病历和医学图像中的患者信息是黑客极为关注的内容，而患者的医疗数据在医院内部网或互联网传输过程中，往往缺乏有效保障其保密性、完整性和隐私性的安全工具，可能会遭遇一些严重问题，例如恶意篡改(欧博等，2022)和隐私泄露(温文媖等，2022)。在患者医疗数据存储和分享方面，医学影像云(Zhang等，2017)是不可或缺的，云存储和云服务的进步为纸质存储提供了替代方法，有助于患者医疗信息维护，并给患者数据访问带来便捷。但由于云是半信任的，在云环境中存储和分享患者医疗数据时，需要更加安全地保护患者的敏感信息。同时，在半信任环境下患者敏感数据匹配也存在问题(Oleshchuk，2019)。因此，需要一种安全高效的保护技术，确保医疗数据从发送到接收整个过程每一步的安全性。

对于上述远程医疗诊断中存在的问题，需要解决3个主要挑战：1)医学图像与患者信息数据量很大，实现节约存储和避免患者隐私信息泄露；2)在医学图像数据采样阶段和采样之后保护机密性，避免患者有价值的信息被非法用户获取，达到最佳的安全性；3)在保证医疗数据完整性的同时，容忍数据在传输和读取过程中产生的一定水平的噪声。

数据隐藏(data hiding，DH)技术(Khari等，2020)在为秘密信息提供安全保障的同时，还可以实现载体图像和秘密信息的完美恢复。在远程医疗诊断中，医学图像的任何轻微失真都可能干扰医生的诊断。为提高图像质量，Ahmad等人(2013)在差分扩展(difference expansion, DE)的基础上，提出一种基于4分量法与DE方法相结合的隐写图像质量改进算法，能够实现在完美重建原始图像的同时，嵌入载体图像的信息也能够被正确重建，保护了患者及其对应数据的安全和隐私性。为改善医学图像细节信息的视觉质量，Yang等人(2020)通过直方图平移(histogram shifting, HS)和对比度增强的方法将数据嵌入到图像低纹理区域，提高主观感知下的图像质量。然而，这些方法存在图像中数据嵌入率过低的问题。对于远程医疗诊断而言，医生需要借助患者大量敏感信息，包括身份信息和病历等，以做出更快更准确的诊断。这就要求将患者大量医疗敏感信息安全传输给医生。因此，应首先将患者大量敏感数据嵌入到医学图像中以防止患者的隐私泄露。

对患者和医疗机构来说，嵌入患者各种敏感数据的医学图像中包含的医疗信息对诊断也是至关重要的。图像加密是确保医学图像的隐私和机密不受破坏的最重要技术手段(Anand和Singh，2022)。压缩感知(compressed sensing, CS)作为一种新颖的信号压缩采样理论(Donoho，2006)在众多领域受到高度关注，已成为物联网数据采集的一种极具前景的方法。CS不仅可实现同步采样和压缩，还可看做是一个密码系统。与传统的加密方法相比，CS具有计算量小、加密与压缩同步进行以及密文鲁棒性强等优点，为解决加密域数据安全问题提供了新的途径。为降低存储空间，Wen等人(2020)引入半张量积(semi-tensor product, STP)，这是一种关于矩阵的新型计算方法，允许尺寸不匹配的矩阵相乘，并证明STP可以用于CS。受此启发，本文采用半张量积压缩感知(semi-tensor product compressed sensing，STP-CS)的压缩采样方式，为大规模测量矩阵的存储节省空间。然而，考虑到CS是带有压缩性的加密，CS密码系统会因为重构算法只进行有限次的迭代而引入重构噪声，从而致使解密不能完美地得到原始的明文。Rachlin和Baron(2008)证明压缩感知不能满足Shannon关于数据完美安全性的定义，因此，为提高数据的安全性，仅采用STP-CS方法是不够的，可以采用一些传统高效的加密方法进一步提高图像数据在传输过程中的安全性。

医学图像数据作为医疗诊断的基础，准确性和完整性对诊断结果至关重要(Liu等，2021)。然而，Ahmad等人(2013)和Yang等人(2020)都是仅从机密性的角度考虑安全问题，没有考虑数据完整性问题。医学图像数据传输时，一旦遭到破坏，对诊断者将造成很大影响，甚至可能比没有收到数据信息的影响还严重。数据破坏有两种情况，一是传输信道发生意外或受到很大的噪声影响；二是人为因素，如非法攻击者篡改信息数据或者恶意破坏数据。因此判别医学图像数据的破坏程度，就是验证接收端医学数据的完整性，对此需要设计可认证方案。传统的完整性验证方法(Zhan等，2008)首先通过对原始信息进行压缩映射得到一定长度的序列值，如Hash值，验证时再对验证消息按照同样的映射方法再次生成相同长度的序列值，最后与原始序列进行对比判断数据是否完整。然而传统认证方法在CS框架中是无效的。原因是：假设在传统方法中原始消息产生的序列值为$hash(\boldsymbol{x})$，而接收端生成的序列值为$hash(\boldsymbol{x}')$，其中，$\boldsymbol{x}'$代表可能遭受破坏的信号。在CS框架中，传输的是观测值而非原始信号，所以接收端收到的是观测值，记为$\boldsymbol{y}'$，代表可能遭受破坏的观测值。

针对CS的特性，应该设计鲁棒的完整性验证方案，要能够有效区分出是重构噪声、信号噪声还是篡改引起的数据改动。Wu和Ruland(2017)设计了鲁棒的CS认证方案，执行CS采样时，通过引入一个新的大小为$M_\text{AUT}×N$的测量矩阵$\boldsymbol{ \phi }_\text{AUT}$，生成用于验证的、长度为$M_\text{AUT}$的校验序列$\boldsymbol{Y}_\text{AUT}$。该方案能够在容忍重构噪声的同时检测到一些篡改操作。Zhang等人(2021)在此基础上做了一些细节上的改进，包括构造认证矩阵、重构噪声以及篡改操作之间的阈值界限等。

结合医疗图像数据分享背景，为节约数据存储空间，避免患者敏感信息被非法用户获取以及确保医疗数据在传输和读取过程的完整性，本文提出一种基于STP-CS的加密域高容量信息隐藏与认证方案，主要创新性如下：1)根据医学图像高冗余的特性，提出一种面向医学图像数据的高效隐藏与认证方法。通过预测残差矩阵将医学图像数据分为敏感数据部分和非敏感数据部分，采样端只需分享观测值(采样率为0.25)及非敏感部分，就能在接收端稳定恢复远高于传统CS重建的图像质量，并且能腾出大容量的加密域空间(约3.75 bit/像素)用于患者敏感信息嵌入。同时，采用残差值预测提供数据嵌入空间的方式使数据提取和图像恢复具有独立性和可分离性。2)采用STP-CS的压缩采样方式，通过构造低阶高斯混沌矩阵对医学图像进行半张量积压缩采样。在接收端，通过观测值重建敏感数据初步恢复医学图像信息，再根据残差矩阵恢复高质量医学图像，使图像分享方案具有逐步重建能力。STP-CS数倍降低了测量矩阵的储存空间，且提升了重构的实时性。3)基于STP-CS理论，提出一种高效的认证方式，在残差预测的同时生成消息认证码(compressive sensing based MAC，CSMAC)，通过非线性提取CSMAC打破限定等距性，保证攻击者不能从CSMAC中获取医学图像的任何有效信息。相比传统的CS认证方式，本文方案能更有效区分重构噪声、信号噪声或被攻击者篡改引起的数据改动，实现对医学图像的完整性高效认证。此外，本文算法对各种不可预知的攻击具有较好的鲁棒性。

压缩感知(CS)是Donoho (2006)提出的一种新颖的信号压缩采样理论，能够以比香农采样定理给出的采样率低得多的采样率对信号进行采样，并且在某些条件下，仍然能通过这些少量的采样数据准确恢复原始信号。

假设$\boldsymbol{S}$为待采样的$N$维信号，$\boldsymbol{S}∈\textbf{R}^{N}$。在压缩感知理论中，信号可以被$m(\ll N)$个观测值线性采样，即

$ \boldsymbol{y}_{M \times N}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{M \times N} \boldsymbol{x} $

(1)

式中，$\boldsymbol{ \phi }_{M×N}∈\textbf{R}^{M×N}$为CS测量矩阵。考虑到信号的稀疏性，即$\boldsymbol{x}=\boldsymbol{ \psi S}$，其中$\boldsymbol{ \psi }$通常是大小为$N×N$的稀疏基，$\boldsymbol{x}$包含稀疏系数${x}_{0}$，且${x}_{0}≤k$，$k$表示$\boldsymbol{S}$中非零向量数目。

CS可以从观测值$\boldsymbol{y}$恢复原始信号$\boldsymbol{x}$。当测量矩阵大小为$M × N$时，方程式(1)中未知数的个数大于方程数，具有无数多个解，似乎不可能从等式获得唯一的解。CS理论指出，测量矩阵满足限定等距性(restricted isometry property，RIP)的条件下，可以通过求解最优化问题成功重构信号，即

$ \tilde{\boldsymbol{S}}=\arg \min \|\boldsymbol{S}\|_0 \text {, s. t. } \boldsymbol{y}_{M \times N}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{M \times N} \boldsymbol{\psi} \boldsymbol{S} $

(2)

式中，$||\boldsymbol{S}||_{0}$表示$\boldsymbol{S}$的$\ell _{0}$范数，即包含非零元素的个数。通过计算$\boldsymbol{ \psi} \tilde{\boldsymbol{S}}$，便可得到重构信号$\tilde{\boldsymbol{x}}$。目前有许多用于CS重建的优化算法，本文采用正交匹配追踪算法(orthogonal matching pursuit，OMP)重构信号。

半张量积(STP)是一种新型的矩阵乘法，是介于传统矩阵乘法与张量积乘法之间的一种新运算，即当矩阵$\boldsymbol{A}$的列数与$\boldsymbol{B}$的行数呈倍数关系时，可以在两者之间进行左半张量积乘法(Xie等，2016)。

令$\boldsymbol{A}∈\textbf{R}^{p×q}$, $\boldsymbol{B}∈\textbf{R}^{m×n}$, $a_{ij}$∈$\boldsymbol{A}$, b$_{ij}$∈$\boldsymbol{B}$。$p$是$n$的因子$(n=pt)，$则

$ \boldsymbol{T}=\boldsymbol{A} \ltimes \boldsymbol{B}=\left[\begin{array}{ccc} a_{11} & \cdots & a_{1 q} \\ \vdots & \ddots & \vdots \\ a_{p 1} & \cdots & a_{p q} \end{array}\right] \ltimes\left[\begin{array}{ccc} b_{11} & \cdots & b_{1 n} \\ \vdots & \ddots & \vdots \\ b_{m 1} & \cdots & b_{m n} \end{array}\right] $

(3)

式中，$\boldsymbol{T}$为$\boldsymbol{A}$和$\boldsymbol{B}$的左半张量积。将$\boldsymbol{B}$划分为$n×p$个相等大小的$t$维列向量$\boldsymbol{B}_{11}$, $\boldsymbol{B}_{12}, …, \boldsymbol{B}_{pn}$，则左半张量积可表示为

$\boldsymbol{T}=\left[\begin{array}{ccc} a_{11} & \cdots & a_{1 q} \\ \vdots & \ddots & \vdots \\ a_{p 1} & \cdots & a_{p q} \end{array}\right] \ltimes\left[\begin{array}{ccc} \boldsymbol{B}_{11} & \cdots & \boldsymbol{B}_{1 n} \\ \vdots & \ddots & \vdots \\ \boldsymbol{B}_{q 1} & \cdots & \boldsymbol{B}_{p n} \end{array}\right] $

(4)

将式(4)展开，得

$ \boldsymbol{T}=\left[\begin{array}{ccc} \sum\limits_{i=1}^n a_{1 i} \boldsymbol{B}_{i 1} & \cdots & \sum\limits_{i=1}^n a_{1 i} \boldsymbol{B}_{i n} \\ \vdots & \ddots & \vdots \\ \sum\limits_{i=1}^n a_{p i} \boldsymbol{B}_{i 1} & \cdots & \sum\limits_{i=1}^n a_{p i} \boldsymbol{B}_{i n} \end{array}\right] $

式中，$\boldsymbol{B}_{11}$, $\boldsymbol{B}_{12}, …, \boldsymbol{B}_{pn}$皆为长度为$t$的列向量。在左边矩阵列数不等于右边矩阵行数的情况下，通过左半张量积实现矩阵相乘，即$T^{ij}=Row_{i}(\boldsymbol{A})Col_{j}(\boldsymbol{B})$, $i=1, 2, …, p$, $j=1, 2, …, n$。由此可知，$\boldsymbol{A} \ltimes \boldsymbol{B}$计算所得结果为一个$p×n$矩阵。

根据STP运算，STP-CS模型可定义为

$ \boldsymbol{y}_{M \times N}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{t \times t} \ltimes \boldsymbol{\psi} \boldsymbol{s} $

(5)

式中，$\boldsymbol{ \phi }_{t×t}$表示低阶测量矩阵，大小为$t \times t, t=\frac{n}{a} \in \bf{Z}^{+}$，$a \in \bf{Z}^{+}。$

比较式(1)和式(5)可知，式(5)中的测量矩阵$\boldsymbol{ \phi }_{t×t}$所需的存储空间远小于式(1)中的测量矩阵$\boldsymbol{ \phi }_{M×N}$。例如，原始图像大小为1 024×1 024像素，若采用单精度浮点数格式进行传统CS压缩采样(设采样率为0.25)，则高斯混沌测量矩阵需要1 024 KB的存储空间；若选取$a=16$，采用本文所述STP-CS模型，测量矩阵仅需4 KB。可以看出，相比传统的CS采样，STP-CS采样所需的测量矩阵尺寸大幅减小。

图像数据在传输过程中可能遭到攻击者篡改，但是并不是所有对图像数据的操作都是有害的，例如压缩、量化、降低分辨率和低功耗噪声等，虽然对图像数据有所改变，但却是患者和医疗机构可以接受的范围。

医疗数据的完整性对于远程医疗诊断至关重要。所以，要求重建图像数据的完整性认证能够检测到一些恶意内容更改操作。同时，考虑到医疗图像的大量传输，需要容忍一定水平的量化噪声、信号噪声以及重构噪声等保留内容操作。基于CS的数据完整性认证框架包含3个核心功能。1)认证矩阵生成器(authentication matrix generator，GEN)。类似于伪随机数生成，GEN采用尺寸信息和初始值作为输入构建混沌矩阵用于认证。2)值提取功能(extraction value operations，Evo)。基于CS的消息认证码(compressive sensing based MAC，CSMAC)是在Evo的帮助下通过提取$\boldsymbol{y}_\text{MAC}$的值顺序获得的。Evo对输入序列进行排序，然后输出相应的顺序序列，例如$Evo$([8, 3, 5, 9, 6, 2]) = [5, 2, 3, 6, 4, 1]。3)信息验证功能。验证者在相同的键生成认证矩阵的帮助下，对接收到和生成的两种消息认证码($CSMAC$，$CSMAC'$)进行距离比较，设置阈值$ε$以便判别其真实性。

在采样过程中，通过GEN生成认证矩阵$\boldsymbol{ \phi }_\text{MAC}$，认证矩阵中的各元素设置为小的整数。对原始信号$\boldsymbol{x}$提取认证信息$\boldsymbol{y}_\text{MAC}$，再通过Evo提取$\boldsymbol{y}_\text{MAC}$的值顺序来获取基于CS的CSMAC，即

$\boldsymbol{y}_{\mathrm{MAC}}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{\mathrm{MAC}} \boldsymbol{x} $

(6)

$ {CSMAC}= {Evo}\left(\boldsymbol{y}_{\mathrm{MAC}}\right) $

(7)

在接收端，利用共享密钥构造相同的认证矩阵$\boldsymbol{ \phi }_\text{MAC}$，并以类似于生成$CSMAC$的方式，从重构的信号$\overline{\boldsymbol{x}}$中生成新的消息认证码$CSMAC'$。通过计算$CSMAC$与$CSMAC'$之间的$\ell _{1}$范数距离及预先设置的阈值$ε$来确定$\boldsymbol{x}$是否被篡改，具体为

$ \rho\left\|C S M A C-C S M A C^{\prime}\right\|_1<\varepsilon $

(8)

式中，$ρ$表示调整参数。只要式(8)成立，说明原始信号未被篡改；否则，视为遭受篡改。

压缩感知认证可容忍较低强度的图像失真，并对于恶意干扰有着相当强的识别能力。通过Evo对原始图像非线性提取，打破了RIP条件，因此攻击者不能从已有的$CSMAC$推测出原始图像的任何信息。

本文方法包括预处理、敏感信息加密与嵌入、医学图像加密与解密、安全认证、图像恢复以及秘密信息提取等6个阶段，如图 1所示。

本地医疗中心通过采样并预重建载体医学图像，以获得观测数据估计值为患者敏感信息嵌入腾出空间，同时利用观测数据估计值生成$CSMAC$，加密后将患者医学图像存储在云端。这样不仅能够保证医疗数据在传输过程的高效和安全性，还能够防止医疗数据被恶意篡改和泄露，避免患者敏感信息被非法用户获取，有效保障患者敏感信息的保密性、完整性和隐私性。

远程医疗中心在认证完整性后能获取存储在云中的患者相关的医疗数据，可分别通过秘密信息加密密钥和载密图像加密密钥进行患者敏感信息提取和载体医学图像恢复，具有独立性和可分离性。采样端和接收端的处理框架分别如图 2和图 3所示，本文使用的关键符号如表 1所示。

预处理的主要目的是采样并预重建图像，以获得观测数据估计值为秘密信息嵌入腾出空间。具体步骤如下：

1) 信号稀疏表示。假设$\boldsymbol{S}$是大小为$n × n$的原始图像，$\boldsymbol{S}=\{\boldsymbol{s}_{1}$, $\boldsymbol{s}_{2}, …, \boldsymbol{s}_{i}, …, \boldsymbol{s}_{n}\}$，其中$\boldsymbol{s}_{i}$ $(1≤i≤n)$是长度为$n$的向量。采用正交基字典$\boldsymbol{ \psi }$将原始图像$\boldsymbol{S}$稀疏表示为

$ \boldsymbol{X} = \boldsymbol{\psi S} $

(9)

2) STP-CS采样。利用高斯混沌矩阵$\boldsymbol{ \phi }∈\textbf{R}^{t×t}$对$\boldsymbol{X}$进行STP采样，$t=n/a∈\textbf{Z}^{+}$，$a∈\textbf{Z}^{+}$，即$\boldsymbol{Y}= \mathit{\boldsymbol{ \boldsymbol{ \phi } }} \ltimes \boldsymbol{X} $。这里$\boldsymbol{ \phi }$是一个方形测量矩阵。

3) 观测数据$\boldsymbol{Y}$预测。对$\boldsymbol{Y}$进行拆分，目的是通过$\boldsymbol{Y}$的部分数据预测出$\boldsymbol{Y}$的全局数据。具体地，选取$\boldsymbol{Y}$的前$m$行数据$\boldsymbol{Y}_{(:m)}$($m<n$)进行STP-CS重构与真实值$\boldsymbol{X}$存在误差的预测值$\boldsymbol{\bar{X}}$。在采样端仅使用$\boldsymbol{\bar{X}}$即可初步恢复医学图像的全局信息，因此将$\boldsymbol{\bar{X}}$称为计算医学图像的敏感数据。再将$\boldsymbol{Y}$的剩余$n-m$数据$\boldsymbol{Y}_{(m:n)}$作为本文算法需要嵌入秘密信息的部分，这部分可以通过$\boldsymbol{\bar{X}}$来预测，具体为

$ \overline{\boldsymbol{X}}=\gamma\left(\boldsymbol{Y}_{(: m)}, \mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{(: m / a)}\right) $

(10)

$ \hat{\boldsymbol{Y}}_{(m: n)}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{(m / a: t)} \ltimes \overline{\boldsymbol{X}} $

(11)

式中，函数$γ(*)$表示STP-CS的重建算法，通过预测重建获得敏感数据$\boldsymbol{\bar{X}}$是采样率为$r=m/n$的STP-CS重建过程。

利用STP-CS采样得到的估计值进行残差预测用于秘密信息的嵌入。通过敏感数据$\boldsymbol{\bar{X}}$预测残差矩阵，计算得到医学图像的残差值，即

$ \boldsymbol{e}=\hat{\boldsymbol{Y}}_{(m ; n)}-\boldsymbol{Y}_{(m: n)} $

(12)

采用均匀标量量化器对$\boldsymbol{Y}_{(m:n)}$和$\boldsymbol{e}$进行编码。$\boldsymbol{Y}_{(m:n)}$将被编码为8位二进制数，$\boldsymbol{e}$则拆分成$\boldsymbol{e}_\text{abs}$和$\boldsymbol{e}_\text{sign}$。其中，$\boldsymbol{e}_\text{abs}$为残差矩阵数值部分，$\boldsymbol{e}_\text{sign}$为残差矩阵符号部分。$\boldsymbol{e}_\text{abs}$用$b$个最低有效位(least significant bits，LSBs)表示，8-$b$最高有效位设置为0。$\boldsymbol{e}_\text{sign}$被编码为1位二进制数。在接收端必须先利用观测值$\boldsymbol{Y}_{(:m)}$来STP-CS重构获得$\boldsymbol{\bar{X}}$，再利用$\boldsymbol{e}$重新获得完整的测量值，恢复高质量医学图像。而仅使用$\boldsymbol{e}$无法重建患者的医学图像。此外，当残差矩阵$\boldsymbol{e}$被攻击者窃取时，并不能获得有用信息，因此将$\boldsymbol{e}$称为计算医学图像的非敏感数据，即

将编码后的$\boldsymbol{Y}_{(:m)}$和$\boldsymbol{e}$构成载体图像$\tilde{\boldsymbol{Y}}$，表示为

$ \tilde{\boldsymbol{Y}}=\left[\begin{array}{c} \boldsymbol{Y}_{(: m)} \\ \boldsymbol{e} \end{array}\right] $

(13)

式中，$\tilde{\boldsymbol{Y}}$的大小与$\boldsymbol{Y}$相同，$\tilde{\boldsymbol{Y}}$前$m$行为真实部分，剩余部分称为$\tilde{\boldsymbol{Y}}$的预测部分。

为保证秘密信息的安全性，有必要对嵌入秘密信息进行加密处理，本文采用传统的流加密方法。具体操作是：内容所有者根据加密密钥$K_{1}$生成伪随机序列$PR_{1}$，与秘密信息$\boldsymbol{I}$进行异或运算(XOR)计算得到加密嵌入信息，具体为

$ \boldsymbol{I}_e=\boldsymbol{I} \oplus P R_1 $

(14)

通过替换$\tilde{\boldsymbol{Y}}$的后$n$-$m$行，将$\boldsymbol{I}_{e}$信息嵌入到载体图像$\tilde{\boldsymbol{Y}}$中。具体做法是：将嵌入数据$\boldsymbol{I}_{e}$分成一系列组，每组具有8-$b$位，最后将加密数据从左到右、从上到下嵌入到载体图像$\tilde{\boldsymbol{Y}}$中，并替换对应像素位置的8-$b$个最高有效位(most significant bits，MSBs)，最终构成载密图像$\tilde{\boldsymbol{Y}}$。

为保证医学图像分享中能达到Shannon定义的数据完美安全性，利用加密密钥$K_{2}$生成伪随机序列$\boldsymbol{PR}_{2}$，并与载密图像$\boldsymbol{\bar{Y}}$进行XOR运算，得到加密后的载密图像。即

$ \boldsymbol{E}=\overline{\boldsymbol{Y}} \oplus \boldsymbol{P R}_2 $

(15)

利用$\boldsymbol{e}_\text{sign}$与生成器GEN生成认证矩阵$\boldsymbol{ \phi }_\text{MAC}$，具体为

$ {\mathit{\boldsymbol{ \boldsymbol{ \phi } }} _{{\rm{MAC}}}}(i, j) = \left\{ {\begin{array}{*{20}{l}} {{\lambda _1}}&{{\boldsymbol{e}_{{\rm{sign}}}}(i, j) = 0}\\ {{\lambda _2}}&{{\boldsymbol{e}_{{\rm{sign}}}}(i, j) = 1} \end{array}} \right. $

(16)

式中，$\boldsymbol{ \phi }_\text{MAC}∈\textbf{R}^{t_\text{mac}×t}$，$λ_{1}$和$λ_{2}$代表非零的较小整数，例如2和3、1和-1、1和2等，$\boldsymbol{ \phi }_\text{MAC}$的每个元素均为$λ_{1}$或$λ_{2}$。$t_\text{mac}$表示认证矩阵的行数，设定为远小于2$k$和$m$。$\boldsymbol{ \phi }_\text{MAC}$与$\boldsymbol{\bar{X}}$生成的认证值为

$ \boldsymbol{y}_{\text {mac }}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{\mathrm{MAC}} \overline{\boldsymbol{X}} $

(17)

式中，$\boldsymbol{ \phi }_\text{MAC}$并不满足RIP条件。因此，$\boldsymbol{ \phi }_\text{MAC}$用于生成消息认证码$CSMAC$，能够达到攻击者不能从$CSMAC$中推测出医学图像任何信息，不存在暴露原始信息的安全隐患。具体为

$ C S M A C= {Evo}\left(\boldsymbol{y}_{\text {mac }}\right) $

(18)

式中，函数$Evo(·)$为值序提取方法。不同于Zhang等人(2021)的方法，CS采集到的信号是浮点数据，数据量比较大，不适用于消息验证码。本文采用原始信号的预估计值$\boldsymbol{\bar{X}}$计算认证值$\boldsymbol{y}_\text{mac}$，再通过值排序操作生成$CSMAC$。这不仅可以将采样后数组中的浮点数据变为整数，还可通过预测重建信号的方式降低原始信号与重建信号之间的误差，以降低量化噪声、信道噪声和重构噪声等加性噪声对认证的干扰。因此，本文方法能更有效地判别信号是否被人为篡改。

接收端获取到由$E$的前$m$行和$CSMAC$组成的数据$i$后，通过STP-CS重构算法重建原始医学图像，并进行完整性认证，检测图像数据是否被篡改。与采样端$CSMAC$生成方式类似，接收端通过$\boldsymbol{ \phi }_\text{MAC}$和重建信号$\boldsymbol{X}'$生成$CSMAC'$，具体为

$ \boldsymbol{y}_{\mathrm{mac}}^{\prime}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{\mathrm{MAC}} \boldsymbol{X}^{\prime} $

(19)

$ C S M A C^{\prime}= {Evo}\left(\boldsymbol{y}_{\text {mac }}^{\prime}\right) $

(20)

通过计算$CSMAC'$与$CSMAC$之间的$\ell _{1}$范数距离，判断式(8)是否成立。若式(8)成立，则可认为接收到的医学图像信息未被篡改；反之，医学图像视为被篡改。

接收者利用密钥$K_{2}$对加密后医学图像进行解密，可以逐步恢复高质量的重建图像$\boldsymbol{S}'$，具体步骤如下：

1) 接收到加密的载密图像$\boldsymbol{E}$后，用$K_{2}$对$\boldsymbol{E}$进行解密，将预测部分的MSBs设置为0，获得载体图像$\tilde{\boldsymbol{Y}}$，其中$\tilde{\boldsymbol{Y}}$由$\boldsymbol{Y}_{(:m)}$和$\boldsymbol{e}$构成。

2) 对$\boldsymbol{Y}_{(:m)}$通过重建算法$γ(·)$生成与真实值$\boldsymbol{X}$存在误差的敏感数据部分$\boldsymbol{X}'$，并对残差矩阵反量化获得非敏感数据部分$\boldsymbol{e}$。将敏感数据预测估计值$\boldsymbol{Y}$'$_{(m:n)}$与$\boldsymbol{e}$组合，重新构建完整的测量值，以得到近似真实值$\boldsymbol{Y}'' _{(m:n)}$，具体为

$ \boldsymbol{X}^{\prime}=\gamma\left(\boldsymbol{Y}_{(: m)}, \mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{(: m / a)}\right) $

(21)

$ \boldsymbol{Y}_{(m: n)}^{\prime}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}_{(m / a: t)} \ltimes \boldsymbol{X}^{\prime} $

(22)

$\boldsymbol{Y}_{(m: n)}^{\prime \prime}=\boldsymbol{Y}_{(m: n)}^{\prime}+\boldsymbol{e} $

(23)

3) 通过观测值$\boldsymbol{Y}$的前$m$行$\boldsymbol{Y}_{(:m)}$和$\boldsymbol{Y}_{(m:n)}$误差估计近似值$\boldsymbol{Y}'' _{(m:n)}$，以获得近似于真实完整的观测值，具体为

$ \boldsymbol{Y}(: n)=\left[\begin{array}{c} \boldsymbol{Y}_{(: m)} \\ \boldsymbol{Y}_{(m: n)}^{\prime \prime} \end{array}\right] $

(24)

值得注意的是，在图像采样阶段所用的测量矩阵是可逆的，因此本文方案可以采用半张量积轻松恢复高质量图像，即

$ \boldsymbol{X}^{\prime \prime}=\mathit{\boldsymbol{ \boldsymbol{ \phi } }}^{-1} \ltimes \boldsymbol{Y}(: n) $

(25)

接收方首先从载密图像$\boldsymbol{\bar{Y}}$中提取加密秘密信息$\boldsymbol{I}_{e}$；再按照顺序扫描$\boldsymbol{\bar{Y}}$的后$n$-$m$行相应预测部分的像素，并通过提取每个像素的8-$b$ MSBs来获得加密的秘密信息；最后，接收方利用密钥$K_{1}$解密来无损恢复秘密信息$\boldsymbol{I}$。

实验在AMD R5-4600U和16 GB RAM的计算机上进行，利用MATLAB 2016B软件进行仿真。实验选择4幅512 × 512像素、1幅1 024 × 1 024像素和1幅1 634 × 1 634像素的真实医学图像进行测试。根据半张量积压缩感知的特性，选取$a=8$的比例构造测量矩阵。与传统CS测量矩阵相比，STP-CS测量矩阵的存储空间有效缩小了64倍。在此基础上，对本文所提算法的安全性、防篡改鲁棒性能、压缩性能和重建时间等进行实验分析。

密钥空间指加密算法中能使用不同密钥的总数。为了抵抗蛮力攻击，密钥空间应该足够大。本文算法中的密钥来源于两方面，一是用于生成STP测量矩阵$\boldsymbol{ \phi }$和认证矩阵$\boldsymbol{ \phi }_\text{MAC}$的混沌系统初始参数；二是对秘密数据$\boldsymbol{I}$加密的密钥$K_{1}$以及对载密图像$\boldsymbol{\bar{Y}}$的加密密钥$K_{2}$。因此，本文算法密钥空间为$10^{16}×10^{16}×10^{24}×10^{24}=10^{80}≈2^{240} (\gg 2^{100})$，足以防止蛮力攻击。

直方图展示了图像在每个灰度上像素值的分布。一个好的加密算法，加密图像的直方图应当服从均匀分布，以防止攻击者获取直方图信息来抵抗统计分析攻击。图 4为MRI002原始图像和加密图像对应的直方图分析，图像尺寸均为512 × 512像素，直方图的$X$轴表示灰度范围，$Y$轴表示灰度值的频率。可以看出，嵌入秘密信息和未嵌入秘密信息的两个加密图像的直方图均是平坦且均匀的，通过直方图分析，说明本文加密方案可以防止攻击者获取有价值的信息。

图像熵可以理解为图像中平均信息量的多少。换句话说，像素值越均匀，熵越大。一个良好的加密系统应当使加密后的图像中所有像素值出现的概率尽可能相等。图像熵定义为

$ E=-\sum\limits_{i=0}^{255} P\left(S_i\right) \log _2 p\left(S_i\right) $

(26)

式中，$S_{i}$为像素值$(0≤S_{i}≤255)$，$P(S_{i})$表示像素值$S_{i}$出现的概率。显然，$\sum\limits_{i=0}^{255} P\left(S_i\right)=1$。理想情况下，当所有像素具有相等概率时，图像熵可取得上限值$E=8$。表 2列出了4幅原始图像及对应的嵌入秘密信息和未嵌入秘密信息的加密图像的熵。可以看出，所有加密图像的熵均接近于理想值8，因此，本文方案具有抵抗熵密码分析的能力。

相邻像素间的相关性是评价加密方案置乱效果的重要指标。为评估本文加密方案的置乱效果，从MRI002图像(明文图像)和与其对应的未嵌入和已嵌入秘密信息的两种加密图中随机选择3 000对相邻像素，计算水平、垂直和对角线3个方向上的相关系数，相关性分析如图 5所示，$x$和$y$轴分别表示相应图像的像素点取值。可以看出，本方案中的加密方法会破坏原始图像的水平、垂直和对角线方向的相关性。

另外，表 3中列出了3个方向上的相关系数。可以看出，原始图像中各方向像素之间存在较强的相关性，相关系数均大于0.96。而这些值在相应的加密图像中都小于0.004 4，进一步验证了所提加密方案良好的置乱效果，具有较高的安全性。

本文方案在可完全提取真实秘密信息的前提下，嵌入秘密信息的容量和恢复图像的质量也是十分关键的。峰值信噪比(peak signal-to-noise ratio，PSNR)是评价图像重建质量的客观指标，用来描述图像之间的差异。本文方案中，STP-CS的采样率、秘密信息的嵌入率、图像分辨率以及重建时间对图像重建质量至关重要。

1) 嵌入率。为均衡压缩率和重建效果，当采样率为0.25时，本文算法不仅能对医学图像进行有效压缩，还可以较好地重建医学图像。本实验中，通过固定其他参数，当采样率为0.25时，对比4幅医学图像在不同嵌入率时的图像重建质量，如图 6所示。可以看出，嵌入率越低，图像重建的质量越高。然而嵌入率太低，无法将患者大量敏感信息嵌入载体图像，因此需要在重建质量与嵌入率之间寻找均衡点。图 7为不同嵌入率PSNR散点图分析，可以看出，当嵌入率$k$低于3.75 bit/像素时，可以得到令人满意的图像恢复质量。即选取嵌入率$k=3.75 $ bit/像素时，不仅有着高容量的嵌入空间，还保证了较高的图像重建质量。

2) 采样率。根据先验知识，采样率(compression ratio，CR)越高，图像恢复的质量越高。实验在保证其他参数不变及嵌入率为3.75 bit/像素的情况下，比较其他CS重建方案在不同采样率下的PSNR值。图 8为本文方案与Wen等人(2020)、Gan等人(2020)和Chai等人(2020)方案在不同采样率下，在MRI001、MRI002、MRI003、MRI004中的PSNR散点图。可以看出，与其他重建方案相比，采样率越低，本文方案与其他方案的PSNR差值越大，进一步证明了本文方案在保证高容量嵌入的同时有着出色的图像重建质量。

3) 重建时间。远程医疗诊断中，患者医疗信息的分享效率是关注的重点，对图像数据进行重建所需时间是检验算法效率的重要指标。本文方案采用STP-CS策略，不仅可以减小测量矩阵的存储空间，而且可以提升图像重建速度。在采样率为0.5的情况下，选取4幅医学图像作为测试图像，与Wen等人(2020)、Gan等人(2020)和Chai等人(2020)等其他方案的重建时间对比，本文方法的逐步重建时间结果如表 4所示，与其他方案的对比结果如图 9和表 5所示。可以看出，本文算法所需的重建时间主要花费在初步重建上，对于完全重建部分花费时间微乎其微。相比于其他的重建方案，本文方案有着较快的重建速度，说明本文方案可以提供更好的实时医疗数据分享服务。

4) 分辨率。在远程医疗诊断中，不同医学图像的分辨率并不是固定的，随着分辨率的增高，可能导致重建算法计算复杂度越来越高，加密图像难以重建。本文STP-CS策略中测量矩阵是根据原始图像的尺寸判定后生成的，因此不同分辨率下仍然能保证图像的压缩和信息隐藏。为了进一步展示不同分辨率下医学图像的重建质量，图 10展示了采样率为0.25的情况下，分辨率为512 × 512像素、1 024 × 1 024像素和1 634 × 1 634像素的图像重建实验数据。可以看出，随着分辨率越来越高，仍然具有出色的图像重建质量，说明本文方案可以为不同分辨率下的医学图像提供更好的医疗数据分享服务。

数据在公共信道传输时，可能遭受噪声(Zhang等，2020)、裁剪(Yin等，2020)和有损压缩(Zhu等，2022)等接收端不可预知的攻击。图像数据遭受攻击的情况下是否具备完整性，是检验隐藏算法优劣的重要指标。STP-CS模型具有对重构信号的鲁棒性，即在信号数据经受一定程度的污染或一定量的丢失后，仍然能够恢复出可令人接受的信号。具体来说，STP-CS是利用少量的观测值来精确恢复原始信号，当测量矩阵满足RIP的条件下，STP-CS得到的每一个观测值都具有近似相等的能量。在这种情况下，当部分测量值发生偏差时，其余观测值在一定程度上减少了这些偏差带来的影响，因此基于STP-CS的加密域高容量信息隐藏与认证方案在噪声信道和数据丢包情况下具有一定鲁棒性。在鲁棒性分析实验中，选取大小为512 × 512像素的MRI003作为载体图像，大小为350 × 350像素的Lena图像作为秘密信息。从遭受攻击的加密载密图像中提取的秘密信息，与未受攻击的加密载密图像提取的秘密信息进行比较，得到误码率$R_\text{be}$。具体为

$ R_{\mathrm{be}}=\frac{n_{\text {err }}}{n_{\mathrm{pro}}+n_{\text {err }}} $

(27)

式中，$n_\text{pro}$和$n_\text{err}$分别为提取正确和提取错误的比特数。为对提出算法进行鲁棒性分析，选取了裁剪、JPEG压缩以及噪声3种攻击方式，各攻击方式对应的参数说明如表 6所示。

在发生数据丢失时的性能表现是鲁棒性分析的重要指标，通常采用剪切攻击的形式进行仿真实验。实验依次对MRI003的加密载密图像在纵向上剪切大小为32 × 512像素的区域、在中心区域剪切大小为80 × 80像素和160 × 160像素的数据。图 11展示了3种剪切攻击下的加密载密图像、重建的载体图像和提取到的秘密图像。表 7列出了3种剪切攻击和理想环境下(未受攻击)载体图像的PSNR以及秘密信息提取的误码率。

可以看出，中心剪切方式对载体图像的重建影响较小，即使部分像素发生变化仍然能够确保其他信息提取的准确率。因此针对恶意剪切攻击的干扰，本文算法具有良好的鲁棒性，并且可以精确地提取高于95%的嵌入秘密消息。

实验中，对MRI003的加密载密图像进行压缩攻击，其中压缩攻击的质量因子$Q$分别为65%、75%和85%。图 12展示了在上述3种压缩攻击下的载密加密图像、重建的载体图像和提取到的秘密图像。表 8列出了对应于3种压缩攻击和理想环境(未受攻击)下载体图像的PSNR以及秘密信息提取的误码率。从图 12和表 8可见，针对不同质量因子的压缩攻击，本文算法在保证3.75 bpp嵌入率的情况下，载体图像和秘密信息都能够正确提取。

为定量评价本文算法在各种噪声环境下的抗干扰能力，对MRI003的加密载密图像进行3种不同类型的噪声攻击，包括椒盐噪声(salt and pepper noise，SPN)、乘性噪声(speckle noise，SN)以及高斯噪声(Gaussian noise，GN)，各类型的噪声强度参数如表 6所示。不同噪声干扰下的提取及重建结果如图 13所示，实验数据如表 9所示。

可以看出，椒盐噪声和乘性噪声对载体图像的影响较小，载体图像在视觉质量上几乎没有变化，而高斯噪声对载体图像的影响较为明显；在误码率方面，3种噪声的秘密信息的误码率较低，对不同噪声干扰具有稳定的性能，并且可以精确地提取高于95%的嵌入秘密消息。

数据的准确性和完整性对于医疗诊断十分重要。因此，数据完整性认证机制的设计在医疗数据分享系统中是必不可少的，为展示本文所提出方案的认证性能，选取了最近提出的两种CS认证方案，即Wu和Ruland(2017)和Zhang等人(2021)方法进行对比实验。考虑MRI001在4种环境下传输，即理想环境(无篡改及PSNR高于50 dB)、嘈杂环境(PSNR低于30 dB)、局部攻击环境(载体图像部分遭受篡改)以及全局攻击环境(载体图像完全被替换)，实验中选取$λ_{1}= 2$，$λ_{2}= 3$，如图 14所示。根据大量训练测试，可以预先设置阈值$ε$。

表 10列出了3种认证方法在嘈杂、局部攻击、全局攻击与理想环境下对应的发送端消息认证码$CSMAC$和接收端消息验证码$CSMAC'$之间$\ell _{1}$范数距离的比值。可以看出，相比于其他CS认证方案，本文认证方法在3种攻击情况下(包括嘈杂环境、局部攻击环境以及全局攻击环境)与理想环境下的$\ell _{1}$范数距离的比值相差更为明显，能够更有效判别医学图像是否受到恶意篡改。值得注意的是，当对医学图像数据在传输过程中的损耗较为敏感时，可以将阈值设置较小；若允许对医学图像数据在传输过程中的损耗较大时，可以将阈值设置大一点。通过远程诊断实际环境设置适当的阈值$ε$可以轻松地验证所接收图像的数据完整性，这也证实了本文方案的STP-CS认证框架能够有效地区分正常噪声还是恶意篡改造成数据的变化。

在远程医疗诊断中，患者医疗数据分享面临诸多挑战。医学图像与患者信息数据量庞大，云存储和云服务为纸质存储数据提供了替代方案，但同时需要节约存储和避免患者隐私信息泄露。病历和医学图像中的患者敏感医疗隐私信息是黑客极为关注的内容，因此需要避免医学图像中患者的信息被非法用户获取；患者医疗数据在医院内部网或互联网传输过程中，往往缺乏有效保障患者敏感信息保密性、完整性、隐私性的安全工具，同样需要考虑黑客攻击或篡改对远程医疗诊断带来的干扰。为进一步展示本文方案的优越性，实验选取Khari等人(2020)、Yang等人(2020)和Wen等人(2020)的信息隐藏方案，从像素压缩、加密、嵌入容量、逐步恢复和认证5方面进行对比，结果如表 11所示。

本文针对远程医疗诊断提出一种基于STP-CS的加密域医学图像高容量信息隐藏与认证方法。该方法采用STP-CS预重建来预测残差矩阵，在医学图像的加密域中腾出大量空间用以嵌入大量患者秘密信息，实现对患者敏感信息无损提取以及逐步恢复高质量医学图像，并且高效认证图像与嵌入秘密信息的完整性。从安全性分析、重建分析、鲁棒性分析和认证分析等方面进行测试，结果表明，本文方案不仅可以在不同嵌入率下稳定恢复医学图像，还具备不同于现有医学图像共享方案的新功能，如认证、像素压缩和大容量嵌入秘密信息等。

近年来，深度学习在图像处理应用中取得了巨大成功，也促使研究人员考虑将迭代优化方法与神经网络工程相结合。本文方案目前还是利用传统算法来重建图像，接下来的工作将考虑用深度学习的方法优化重建图像的质量和嵌入的容量，以达到降低设备计算负担和节省内存的目的。