街景模糊化：故意把阈值调歪的那道题

一句话

这一章表面在教目标检测（object detection），真正教的是代价不对称时怎么定操作点：漏糊一张人脸是不可逆的隐私事故，多糊一块招牌只是一张难看的照片——于是正确答案不是精确率与召回率平衡的那个点，而是故意偏向高召回、低精确率，再靠一级专杀假阳性的后处理和一条人工举报回路把偏过头的部分收回来。

Glossary · 术语表

坐标

《ML System Design Interview》Part II 十道真题的第二道。输入还是图像，任务从 Ch2 的「编码成向量 + 检索」换成了「定位 + 分类」；它也是全书唯一一道业务目标是合规、不是体验的题。下启 Ch5（有害内容检测）——同样是低底率、阈值、人工复审三件套。现实对应 Google 街景与 Apple Look Around 的脱敏管道，以及自动驾驶路采数据在 GDPR 下的匿名化作业。

这章要解决什么

街景车在几十个国家的公共道路上拍照，照片里必然有没被征询过意见的路人和车牌。隐私法规（欧盟 GDPR 及各地法律）要求发布前去标识化，街景项目本身也在多个国家引发过隐私争议与监管审查。

难点不在「能不能检测人脸」，在量级与后果：

• 量：图库按 10 亿张计，人工按每张 5 秒的粗看速度算也要 5×10⁹ 秒 ≈ 158 人年，而采集车每天仍在增量拍摄。纯人工不是贵，是不存在。
• 后果不对称：漏一张 → 能认出具体某个人的照片被公开在互联网上，会被抓取、缓存、转存，撤不干净，还可能触发监管处罚；多糊一块招牌 → 一张画质变差的街景图。

所以真正的题面不是「把 mAP 做到多少」，而是「在业务能容忍的误糊水平下，把召回率顶到多高」。当成普通精度优化题做，方案第一轮就偏了。

核心内容，讲透

一、翻译成 ML 问题：为什么必须是检测，不能是分类

图像分类只回答「这张图里有没有人脸」。但你要模糊的是那一块像素，没有坐标就无从下手——所以任务必须是目标检测，输出一组 (框, 类别, 置信度)，类别两个：人脸、车牌。

一个容易被跳过的推论：这是多类别检测，而两类目标难度并不相等。人脸朝向、遮挡、尺度多变（远处的脸只有十几个像素高）；车牌形状规整、有文字先验，但会反光、透视变形，海报与玩具上的假车牌还会骗过模型。两个类别就该有两个独立阈值，共用一个是把两道题当一道做（§6 的开源实证正是这么设计的）。

二、检测器的两种骨架：两段式 vs 一段式

两段式（two-stage，代表 Faster R-CNN）：骨干网络先把整图压成特征图 → 区域候选网络以锚框为模板粗筛出几百到几千个「这里可能有东西」的框 → 第二段只对这些候选框做分类并精修坐标。先圈后认。

一段式（one-stage，代表 SSD、YOLO）：一次前向，在特征图每个位置上直接输出「有没有目标 + 是什么 + 框偏多少」，没有候选阶段。

权衡的根子在算力花在哪：两段式把「哪里可能有」和「那是什么」拆开，重算力只花在少量候选上，精度通常更高、对小目标尤其明显；代价是流程长、单图耗时高。一段式省掉候选阶段，同代硬件上往往快数倍，代价是历史上对小而密集的目标偏弱（后来 focal loss 之类把差距缩小了不少）。

书里把两条路摆开，结论跟着前提走：街景脱敏是离线批处理，没有在线延迟预算，那就按准确率（尤其召回）优先，选两段式。这个结论必须连着前提一起背——换成采集端实时脱敏，答案立刻变成一段式。面试里只说「选两段式，因为更准」，就丢掉了得分点。

三、训练信号：定位 + 分类，两件事加起来

检测的监督信号天然是两件事：框画得准不准（回归，比较预测坐标与真值坐标）、类别判得对不对（分类，交叉熵）。合成一个多任务损失 L = L_cls + λ·L_box——λ 是权重旋钮，调大则模型更在意框贴得紧，调小则更在意别判错类。

本题有个好用的特性：框大一圈几乎无害（糊宽点没人投诉），漏掉才要命——所以工程上常把检测出的框按固定比例外扩再模糊，用余量吃掉定位的小误差。

数据这一侧，标注是一框一框画出来的，很贵；书里靠数据增强（data augmentation）放大数据量：水平翻转、随机裁剪、旋转、调亮度 / 饱和度、转灰度。离线增强预先生成变体存盘，训练快但占存储；在线增强训练时现场变换，省存储但拖慢每一步。一句领域判断：街景重力方向固定，垂直翻转出来的样本现实中不存在，属于白费。

四、一张脸被圈了十几次：NMS

检测器会在相邻位置、不同锚框上对同一张脸各报一个框，一张街景图轻易冒出几十上百个互相重叠的框。NMS 的做法朴素得像常识：按置信度从高到低排队，取最高的那个留下，把与它 IoU 超过某个值（常用 0.5）的其余框全部丢掉，然后在剩下的框里重复。

为什么这一章必须讲它：没有 NMS，召回率和精确率都是错的。同一张脸的 12 个框会被统计成 12 个检测，误糊面积也算不准——而这一章的所有决策都建立在这两个数字上。

五、这一章的灵魂：阈值往哪偏

置信度阈值是一个单旋钮：调低 → 报出更多框 → 召回率上去、精确率下来（误糊变多）；调高 → 反过来。绝大多数 ML 题的默认答案是「取 F1 最高那点」，这道题的正确答案是明确地不取那一点。

理由一行就够：记漏检一张脸的代价为 C_fn、误糊一块招牌为 C_fp，这里 C_fn / C_fp 大到几个数量级（一边是不可逆的隐私事故与监管风险，一边是画质），所以期望损失最小的操作点落在高召回那一侧。

但高召回不是免费的。阈值一路往下压，召回每多一个点，误糊会陡增：街景里开始出现被抹掉的商铺招牌、广告牌人像、玩具车牌。正确的解法不是在一条曲线上找妥协，而是加一级结构：检测器就待在高召回、低精确率的操作点，后面接一道专杀假阳性的后处理——用检测器看不到的领域信息否决明显不可能的框，比如尺寸配不上所在景深、整个框落在天空里、同一位置在相邻几帧里完全不一致。好处是两种错误各归各治，而不是让一个阈值同时背两件事。

六、评估：mAP 不够，得报「给定误糊率下的召回」

离线指标的地基是 IoU 定「对上没对上」，再算 AP / mAP。但 mAP 是把两类错误揉成一个数的综合分，隐私场景拍板要的是分开的两个数：在能接受的假阳性水平下召回率是多少（即 PR 曲线上指定精确率处的召回）。拿一个综合分向法务解释「我们漏了多少」，解释不通。

还有一条更容易漏的：必须分层报。整体召回 95% 能轻松掩盖「正脸 99%、侧脸 70%、远处小脸 40%」，而漏检偏偏集中在后两类。按地域、光照、人群分层看，是唯一能防自欺的动作。

在线指标回到运营：每百万张图的补糊举报数、举报中确认为真漏检的比例、误糊的抽样复核率。

关键权衡与选型

表 1 · 一段式还是两段式（由延迟预算决定，不由精度偏好决定）

表 2 · 操作点选哪个：这道题唯一真正的设计决策

表 3 · 指标怎么报（隐私系统不能只报一个综合分）

三张表指向同一句话：这道题的技术选择几乎都不是「哪个更强」，而是「代价怎么定」。把代价说清楚，选型是推论；说不清楚，任何选型都站不住。

为什么重要 / 落到真实系统

落地形态是批处理管道，不是在线服务：新采集的图片按地理分片进队列 → GPU / TPU 集群跑检测 → NMS 与后处理 → 模糊服务把框外扩后做高斯模糊 → 落对象存储再上线。两个约束必须一开始就设计进去：一是模糊破坏性且不可逆，原图的保留期限与访问权限得按隐私政策卡死；二是管道必须能按新版本模型重跑历史图，否则改进只作用于新照片，历史库里的漏检永远留在那里。

另一半是人工回路：任何人可举报「这是我的脸 / 我家门牌，请糊掉」，人工复核后补糊——这些样本恰好是模型最缺的难例，回灌训练集就是天然的主动学习（active learning）。它的意义不只是补救：合规要求的是存在可用的救济渠道，而不是模型 100% 准确。把人工兜底当成技术不足的遮羞布，是对这一章的误读。

换个类别就能复用：路采数据匿名化、医疗影像去标识、会议录像白板打码、直播实时遮挡。只要「必须遮住某类东西、漏一个就出事」，答案就是这一章。

易错点与争议

• 建成图像分类：「判断这张图里有没有人脸」拿不到坐标，糊不了。这是这道题的头号淘汰点。
• 忘了 NMS：同一张脸的十几个框会被统计成十几个检测，召回率、精确率、误糊面积全部失真，后面所有决策都建在错数字上。
• 只报 mAP：综合分适合比模型，不适合拍隐私决策。该报的是「可接受误糊率下的召回」和分层的那几个数。
• 一个阈值走天下：人脸和车牌难度与代价都不同，该分开调；更重要的是单阈值拿不到两级结构的收益。
• 忽略公平性：公开评测多次发现人脸类算法在不同人群、不同成像条件下错误率并不一致。漏检不均等，直接等于隐私保护不均等——这是分层报指标的真正理由，不是形式主义。
• 「糊上了就安全了」：有研究表明模糊并非绝对不可逆；何况同一个人还可能靠衣着、车辆、门牌号被旁证认出。模糊是降低风险，不是消除风险。
• 没给管道留重跑能力：模型换版本后无法回填历史图，改进就只对新照片生效。
• 时代局限：本书 2023 年成书，答案以专用两段式检测器为中心。此后开放词表检测与分割（用一句文本指定「要遮什么」）让新增一类遮挡对象不必重新标数据；但在十亿级批处理的单位成本与可审计性上，专用小模型目前仍占优——这句是笔者判断，不是书里的结论。

要点