本研究由任万碧（Renwan Bi）、熊金波（Jinbo Xiong）、田有亮（Youliang Tian）、李琦（Qi Li）以及Kim-Kwang Raymond Choo共同完成。任万碧和熊金波来自福建师范大学计算机与网络安全学院及福建省网络安全与密码学重点实验室，同时隶属于信息工程大学河南省网络密码技术重点实验室；田有亮来自贵州大学公共大数据国家重点实验室；李琦来自南京邮电大学计算机学院及浙江省密码学重点实验室；Kim-Kwang Raymond Choo来自得克萨斯大学圣安东尼奥分校信息系统与网络安全系。该论文发表于《IEEE Internet of Things Journal》第10卷第3期，出版日期为2023年2月1日，数字对象标识符为10.1109/JIOT.2022.3212464。
网联自动驾驶汽车（Connected Autonomous Vehicles，CAVs）通过车载高分辨率摄像头和传感器捕获周围环境图像，并利用车到车（Vehicle-to-Vehicle，V2V）通信技术共享这些图像，以克服单一车辆感知范围和视角的局限性。然而，车载电池和计算能力不足以支撑深度神经网络（Deep Neural Networks，DNNs）所需的庞大计算量。边缘计算（Edge Computing）虽然能够显著降低CAVs的计算成本并提高态势感知能力，但原始图像中包含大量隐私信息，如人脸、车牌、街道建筑以及车辆行驶轨迹等，直接上传至边缘服务器会导致严重的隐私泄露问题。
现有隐私保护方案主要集中在数据采集阶段和数据处理阶段。前者采用差分隐私（Differential Privacy，DP）向原始图像添加随机噪声，但会导致图像失真并影响检测精度；后者采用同态加密（Homomorphic Encryption，HE）和混淆电路（Garbled Circuit，GC）支持加密特征学习，但计算开销巨大，不适合时延敏感的CAVs系统。Liu等人利用加法秘密共享（Additive Secret Sharing，ASS）设计了基于Faster R-CNN的安全目标检测框架，但该框架未考虑目标位置隐私保护。基于上述不足，本文提出了基于ASS的轻量级隐私保护目标检测框架（Privacy-Preserving Object Detection，P²OD），旨在同时保护目标分类隐私和位置隐私，并在不影响检测精度的前提下降低计算开销。
本研究构建了包含三类实体的系统模型：K台CAVs、两个非共谋边缘服务器S₁和S₂，以及一个轻量级第三方服务器T。CAVs捕获图像后以像素级方式随机拆分为两个共享份额，分别上传至S₁和S₂。T负责离线生成并分发随机数给两个边缘服务器，不参与在线交互。安全模型假设S₁和S₂为诚实但好奇（Honest-but-Curious，HBC）的非共谋服务器，攻击者至多能腐化一个服务器并窃听其通信。
研究的核心工作流程分为四个阶段。第一阶段为安全图像特征提取：S₁和S₂在随机图像份额上本地执行卷积（Convolutional，Conv）层操作，并设计了SRU（Secure ReLU）协议和SMP（Secure Max-Pooling）协议来安全实现ReLU激活函数和最大池化操作。SRU协议通过SComp协议安全比较输入特征与零的关系，输出激活后的特征份额；SMP协议通过迭代调用SComp和SMul协议，在不泄露特征值的前提下选出每个池化子区域的最大值。
第二阶段为安全目标边界检测：采用区域建议网络（Region Proposal Network，RPN）检测目标边界框。为保护目标位置隐私（即偏移参数的机密性），设计了SAT（Secure Anchor Transform）协议，通过STMA协议将锚框的宽度、高度和中心坐标转换为预测边界框份额。随后设计了SNMS（Secure Non-Maximum Suppression）协议，安全地执行非极大值抑制以消除冗余边界框。SNMS协议通过对分数份额进行降序排序，利用SComp协议比较边界框之间的交并比（Intersection over Union，IoU），保留高分数且低冗余的边界框，整个过程不泄露任何边界框坐标信息。
第三阶段为安全目标特征匹配：ROI池化层负责将目标边界框与对应的图像特征图进行匹配。本研究设计了SRP（Secure ROI Pooling）协议，通过将每个目标的每个池化子区域泛化到整个图像特征图，并利用SComp和SMul协议计算特征索引是否属于目标子区域，实现了对目标位置信息的泛化和隐藏。如果特征不属于目标子区域，则添加一个足够小的值ε使其不干扰最大池化结果；属于子区域的特征保持不变。随后使用随机掩码λ隐藏特征值，最终获得目标特征图份额。
第四阶段为安全目标分类与回归：在全连接层、ReLU层和Softmax层上安全执行分类和边界框回归。SSM（Secure Softmax）协议通过调用SDiv和SExp协议安全实现指数运算和除法运算，将分类分数归一化为概率向量。SExp协议通过将指数运算转化为乘法份额形式，避免了传统方法中多项式迭代带来的高通信开销。
在理论分析层面，本研究通过模拟器范式证明了STMA、STAM、SMul、SDiv、SComp、SExp等基础协议在HBC模型下的安全性，进而证明了SRU、SMP、SAT、SNMS、SRP、SSM以及整个P²OD框架的安全性。复杂度分析表明，与SecRCNN和SecureNN相比，本文提出的安全协议在计算复杂度和通信复杂度方面均具有显著优势，特别是SComp协议仅采用算术电路而无需布尔电路或环间转换，通信轮数为常数。
实验在64位个人计算机上进行，CPU为1.80 GHz，内存20 GB，使用Python 3和NumPy包实现，训练和测试数据集采用KITTI数据集，包含7480个训练样本和7500个测试样本，图像尺寸为3×1000×300，目标类别分为卡车、行人、厢式货车、轿车和有轨电车五类。
在安全协议性能评估方面，实验结果显示SRU和SMP协议的运行时间随特征数量线性增加，且明显优于SecureNN和Falcon方案，仅略高于明文环境下的Faster R-CNN。SAT、SNMS、SRP和SSM协议同样呈现与输入数量近乎线性的增长关系。计算误差分析表明，SRU、SMP、SAT、SRP和SSM协议的计算误差随输入值范围缓慢增加，而SNMS协议的误差始终为零，这是因为SAT协议产生的可忽略误差不会影响相似边界框之间的筛选结果。
在P²OD框架整体性能方面，第一阶段的线性运算可在两个边缘服务器上并行执行，计算成本可压缩至原始成本的一半；第三阶段SRP协议引入了较大的计算和通信开销，这主要源于目标位置泛化操作的代价。分类和回归误差分别控制在10⁻¹²和10⁻¹⁴量级以内，证明安全计算引入的误差可忽略不计。
在安全性可视化验证方面，研究随机选取了KITTI测试集中的若干图像进行目标检测。原始图像的像素灰度值集中分布在0至100区间，而随机拆分后的两个共享图像的像素值均匀分布在0至255区间，表明统计分布特征被成功隐藏。将两个共享图像相加即可精确恢复原始图像，体现了秘密共享的可计算性和可逆性。最终检测结果的分类精度达到80.69%，与明文Faster R-CNN模型的检测精度完全一致。
本研究提出的P²OD框架成功实现了CAVs系统在随机图像份额上的安全目标检测。理论分析证明了各安全协议的正确性和安全性，实验结果表明该框架能够在保护目标分类隐私和位置隐私的同时，取得与明文Faster R-CNN完全相同的检测精度，分类和回归误差均控制在极低水平。该研究具有重要的科学价值：首次在CAVs场景下利用ASS实现了同时保护分类和位置隐私的目标检测框架；提出的乘性份额与加性份额安全转换协议（STMA和STAM）避免了传统多项式迭代方法的高通信开销；SRP协议通过泛化目标位置为隐私保护提供了新思路。在应用价值方面，该框架为CAVs系统的隐私保护目标检测提供了一条切实可行的轻量级方案，能够在边缘计算环境下有效防范位置轨迹推断、身份画像等隐私攻击。
本研究的首要亮点在于提出了乘性份额与加性份额之间的安全双向转换协议，利用基本的因式分解性质实现了非线性函数的安全计算，无需高次多项式迭代，将安全计算的通信轮数从与比特宽度相关降至常数级。其次，SRP协议创新性地将目标子区域泛化至整个特征图，在实现ROI池化功能的同时隐藏了目标的精确位置，解决了现有方案忽视位置隐私保护的问题。第三，P²OD框架在保持与原始Faster R-CNN模型完全一致的检测精度的前提下，将安全计算误差控制在10⁻¹²以下，实现了隐私保护与检测性能的良好平衡。此外，本研究还探讨了P²OD框架在多服务器场景下的可扩展性，采用(n, 2)秘密共享方法支持任意两台最近服务器协作完成任务，容忍n−2台服务器断连，提高了系统的鲁棒性和实用性。