本文基于可逆去噪网络、可逆缩放网络和可逆灰度化网络进行实验。由于需要保证网络的可逆性，使用TIFF格式存储浮点数图像，以避免转换为8 bit位图的取整误差。实验对生成图像的质量、隐写容量与消息提取准确率、隐写安全性以及隐写的时间成本进行了验证。

在图像质量方面，本文的载密图像与载体图像相当于不同隐变量生成的图像，理论上无论是视觉还是定量指标都相差无几。实验对3种方法分别在SIDD(smartphone image denoising dataset)验证集(Abdelhamed等，2018)、Div2k(diverse 2K resolution high quality images)(Agustsson和Timofte，2017)和Kodak24(Franzen，1999)数据集上进行测试，这些数据集都是原方法在测试时使用的。视觉效果如图 5所示。对于可逆去噪网络，嵌入消息生成的去噪图像与正常去噪的图像视觉效果无法区分；对于可逆缩放网络和可逆灰度化网络，在恢复过程中嵌入消息，可以看到隐写后的恢复效果与正常恢复效果基本一致。

为了定量描述隐写对使用的可逆图像处理网络的影响，使用对比各自真实数据的峰值信噪比PSNR和结构相似度SSIM描述载体图像与载密图像的视觉指标。从表 1可以看出，对各种方法，载体图像和载密图像的指标的差距都可以忽略，证实了隐写与否理论上不会影响原网络处理与恢复的结论。

表 1 载体图像与载密图像的定量指标 Table 1 Quantitative metrics of cover and stego

对一种隐写方法而言，隐写容量和安全性是最重要的两个方面。本文提出的隐写框架的隐写容量由使用可逆图像处理网络的隐变量的大小和嵌入位数决定。设嵌入位数为$ k $，可逆去噪网络和可逆缩放网络的正向过程都是将图像的宽和高减少到初始尺寸的1/4，因此隐变量的大小为初始图像像素值的15/16，即隐写容量都为0.937 5$ k $ bit/像素。而可逆灰度化的正向过程则是将RGB三通道的彩色图像转换为一通道灰度图，因此隐变量的大小为初始图像像素值的2/3，即隐写容量为$2k/3$ bit/像素。

虽然使用TIFF格式存储载密图像避免了浮点数到整数的取整误差，但由于可逆网络自身使用浮点数计算会引入部分误差，本文方法实际上不能完全准确地提取消息。并且嵌入位数越多，隐变量中不同消息对应的区间越窄，误差导致的提取错误率就越高。表 2给出了本文方法在不同嵌入位数下的消息提取准确率。可以看到，对于可逆去噪网络和可逆缩放网络，即使每个隐变量嵌入6 bit消息，隐写容量高达5.625 bit/像素，仍然能获得接近99%的消息提取准确率，在使用纠错码后能够在保持较大隐写容量的同时完成准确提取。另外，可以观察到利用可逆灰度化网络进行隐写的消息提取准确率明显低于前两者，即使在相同嵌入位数下可逆灰度化隐写的嵌入容量远小于前两者。这是因为可逆灰度化网络对正向过程输出的隐变量和灰度图解耦更彻底导致的。如图 2所示，不同的隐变量恢复的彩色图像之间的差值极小。因此相应地，彩色图像中存在的微小计算误差会导致消息提取时获得的隐变量具有较大差距，进而影响消息提取。

表 2 不同嵌入位数下的消息提取准确率 Table 2 Message extraction accuracy with different embedding bits  

对于本文方法的安全性，用深度学习隐写分析方法SRNet(Boroumand等，2019)和Zhu-Net(Zhang等，2020)进行了实验验证。首先，在10 000幅彩色的Bossbase图像上使用了可逆缩放网络，产生了10 000幅由可逆缩放网络下采样并恢复的图像，作为载体图像。对这些载体图像使用HILL(Li等，2014)在0.2 bit/像素嵌入率下隐写生成载密图像，由于HILL只针对灰度图像，对彩色图像的每个通道都使用了HILL进行隐写。在这10 000对载体—载密对上训练深度学习隐写分析器，检测准确率如表 3所示，第1行结果表明，深度学习隐写分析器能够有效区分在使用的图像载体上进行的自适应隐写。并且，因为可逆缩放网络恢复的高分辨率图像会不可避免地丢失部分复杂区域的信息，而HILL需要在复杂区域嵌入消息才能获得安全性，所以这种分两步完成的隐写方式安全性很低，两种隐写分析网络都能以超过90%的准确率检测。

表 3 深度学习隐写分析器对不同方法的检测准确率 Table 3 Detection accuracy of deep learning steganalyser for different methods  

随后，测试这两种深度学习隐写分析方法能否检测使用本文框架的隐写。由于可逆缩放和可逆灰度化测试用的数据集太小，无法用于隐写分析网络的训练，本文在10 000幅彩色BossBase图像上运用可逆缩放和可逆灰度化，再分别使用正常采样得到的隐变量和消息映射得到的隐变量进行恢复，得到各自的载体图像和载密图像。而对于可逆网络去噪，本文则直接在SIDD验证集上分别使用正常采样得到的隐变量和消息映射得到的隐变量参与去噪，得到载体图像和载密图像。分别使用SRNet和Zhu-Net在3种方法上训练后，测试结果如表 3所示。本文多次调整网络参数进行训练，结果网络计算的交叉熵损失都保持在0.693 1附近不下降，验证时的准确率保持50%附近，即相当于随机猜测。这表明网络无法从载体图像和载密图像中学习到任何能够区分它们的特征。

由于本文的隐写框架可以基于不同的可逆图像处理网络，隐写所需的时间为正常使用网络消耗的时间加上消息映射耗费的时间，因此对不同消息映射方法的效率进行了实验测试。实验时，固定隐变量长度为10 000，测试在不同嵌入位数下不同采样方法消耗的时间。如图 6所示，拒绝采样所需要的时间随嵌入位数增大指数上升，而直接由截断正态分布采样和由均匀分布采样映射消耗的时间都基本不变。这与本文2.2节的理论推导一致，证明了本文提出的逆映射采样能够大幅提高这类消息映射的效率，进而提高隐写算法的效率。