CN101873317B

CN101873317B - 一种感知服务质量的位置隐私保护方法

Info

Publication number: CN101873317B
Application number: CN 201010193368
Authority: CN
Inventors: 孟小峰; 肖珍
Original assignee: Individual
Current assignee: Individual
Priority date: 2010-06-07
Filing date: 2010-06-07
Publication date: 2013-03-13
Anticipated expiration: 2030-06-07
Also published as: CN101873317A

Abstract

一种感知服务质量的位置隐私保护方法，该方法包括步骤：A、移动对象提出基于位置的查询请求r，并将其传递给匿名服务器；B、匿名服务器将查询请求r匿名处理为r′＝(pid，MBR(r.U_out)，r.data)；C、匿名服务器将经过匿名处理后的查询请求发送给提供商服务器以供查询，并将从提供商服务器获得的查询结果返回给移动对象。通过本发明，根据选择不同隐私配置参数可以得到不同的隐私保护粒度和服务质量，从而很容易在隐私保护需求和查询服务质量之间找到平衡。

Description

一种感知服务质量的位置隐私保护方法

技术领域

本发明涉及位置服务领域，尤其是涉及一种感知服务质量的位置隐私保护方法。

背景技术

计算技术和无线通信设备的发展与结合使得随时随地获得个人位置成为可能，同时促进了新一类应用程序——位置服务(Location Based Service，LBS)的产生和发展。位置服务是与用户当前位置相关的增值服务。近年来，人们开始广泛使用各种方便快捷的位置服务，如位置相关的信息娱乐服务、移动对象的跟踪监控服务、商业广告和宣传信息等信息发布和紧急救援服务等。

但是，在人们享受各种位置服务的同时，移动对象个人信息泄露的隐私威胁也渐渐成为问题。越来越多的事实说明了移动对象在移动环境下使用位置服务可能导致自己随时随地被人跟踪，被人获知曾经去过哪里、做过什么或者即将去哪里，自己的兴趣爱好(如喜欢去哪个商店、哪种俱乐部、哪个诊所等等)等。而攻击者可能通过获取的信息向用户散播恶意广告，针对用户进行某种恶意行为等。换句话说，人们的敏感数据泄露了，导致人们的隐私和安全受到了威胁。

另外，在现有技术中，主要考虑了用户的隐私要求，对用户的服务质量要求(Quality of Service，简称QoS)考虑较少，也没有比较清楚的定义。

发明内容

本发明是鉴于上述技术问题而产生的。本发明的一个目的是提出一种感知服务质量的位置隐私保护方法。

在一个方面中，根据本发明的感知服务质量的位置隐私保护方法包括步骤：A、移动对象提出基于位置的查询请求r，并将其传递给匿名服务器，其中查询请求r包括：用户标识符id、用户位置l＝(x，y)，x和y分别表示用户的经度和纬度，查询内容data、查询发起时间t、最小匿名度k、以及最长匿名延迟时间Δt；B、匿名服务器将查询请求r匿名处理为r′＝(pid，MBR(r.U_out)，r.data)，其中pid为经过匿名处理的用户标识符，MBR(r.U_out)为请求r在有向图中所有出邻居构成的最小边界矩形，r.data为请求r的查询内容；C、匿名服务器将经过匿名处理后的查询请求发送给提供商服务器以供查询，并将从提供商服务器获得的查询结果返回给移动对象。

在这个方面中，其中步骤B进一步包括：B1、匿名服务器将所接收到的查询请求r插入到空间索引、小顶堆、以及有向图中。B2、匿名服务器从小顶堆中获取堆顶的查询请求r；B3、匿名服务器对查询请求r中的用户id进行处理以得到假名pid；B4、匿名服务器对查询请求r的匿名时间限制r.t+r.Δt与当前的时间t_now进行比较；B5、如果r.t+r.Δt-t_now≤ε，则进入步骤B6；B6、计算r的出邻居U_out和入邻居U_in里已经被成功匿名了的数目；B7、如果r的出邻居U_out和入邻居U_in里已经被成功匿名的数目都超过了r的最小匿名度k，则将r的位置处理为匿名区域r′＝(pid，MBR(r.U_out)，r.data)。

在这个方面中，其中查询请求r还包括最大匿名区域半径δ，即匿名区域和位置点之间可容忍的最大偏差。

在这个方面中，其中步骤B1进一步包括：当匿名服务器新收到请求r_i时，在空间索引中和小顶堆中插入r_i，其中空间索引根据r_i的l＝(x，y)构建，小顶堆根据r_i.t+r_i.Δt的值构建；在空间索引中执行以该请求的位置点r_i.l为中心，δ_max为半径的范围查询，其中δ_max是所有用户提出的匿名区域的半径的最大值，搜索查询得到的请求组成r_i在图中的邻居候选集；对于候选集中任意r_j而言，如果r_i和r_j之间距离小于等于r_i.δ，则构造从r_i到r_j的一条有向边，称r_j为r_i出邻居；如果该距离小于等于r_j.δ，则构造从r_j到r_i的一条有向边，称r_j为r_i的入邻居；更新各自的邻居集合。

通过本发明，根据选择不同隐私配置参数k，Δt或者δ，可以得到不同的隐私保护粒度和服务质量，从而很容易在隐私保护需求和查询服务质量之间找到平衡。

附图说明

结合随后的附图，从下面的详细说明中可显而易见的得出本发明的上述及其他目的、特征及优点。在附图中：

图1示出了根据本发明的感知服务质量的位置隐私保护系统的方框图；

图2示出了根据本发明的感知服务质量的位置隐私保护方法的流程图；

图3示出了根据本发明的用于对查询请求进行匿名处理的方法的流程图；

图4示出了用于对空间索引、小顶堆、以及有向图进行维护的方法的流程图。

具体实施方式

为了更全面地理解本发明及其优点，下面结合附图及具体实施例对本发明做进一步详细地说明。

首先，参考图1，图1示出了根据本发明的感知服务质量的位置隐私保护系统的方框图。

如图1所示，根据本发明的系统包括：移动对象、匿名服务器、以及提供商服务器。

移动对象用于提出基于位置的查询请求r，并将其发送给匿名服务器。

匿名服务器用于基于用户的隐私和服务质量需求将所接收到的查询请求r匿名处理为r′＝(pid，MBR(r.U_out)，r.data)。此外，匿名服务器将从提供商服务器获得的查询结果返回给移动对象。

提供商服务器用于响应匿名处理后的查询请求并把查询结果返回给匿名服务器。

接下来，结合图1和图2，对根据本发明的感知服务质量的位置隐私保护方法进行详细的说明。

如图2所示，根据本发明的方法包括以下步骤：

步骤A、移动对象提出基于位置的查询请求r，并将其发送给匿名服务器。

具体地说，每条查询请求r包括用户的标识符id、用户当前位置l＝(x，y)、查询内容data、以及查询发起时间t。除此之外，还包括用户对隐私和服务质量的一些需求，其包括：

(1)最小匿名度k：即k匿名性。

(2)最长匿名延迟时间Δt，即用户能够容忍的匿名处理带来的最长时间延迟。

优选地，查询请求还包括最大匿名区域半径δ，即匿名区域和位置点之间可容忍的最大偏差。

其中k表示用户对隐私的要求，而Δt和δ表达了用户对服务质量的要求。

因此，每条查询请求中包含上述这些信息以支持用户随时变化自己的需求。因此，每条请求可以表示为r＝(id，l，Δt，k，δ，data，t)。在下文中，为方便说明起见，还可将某个请求r_i的某个具体信息*表示为r_i.*，例如r_i.l、r_i.δ、r_i.t、r_i.Δt、r_i.data等等。

例如，张三想利用自己带有GPS的手机提出寻找距离他现在位置最近的餐厅，那么张三将发送查询请求r＝(12，116.351323，39.897987，1000，4，2.5，“离我最近的餐厅”，1275572819828)，其中id＝12，l为(116.351323，39.897987)，k为4，Δt为1000，δ为2.5，data为“离我最近的餐厅”，t为1275572819828(当前时间以毫秒表示，例如通常为当前时间与1970年1月1日00:00:00的偏移值)。

步骤B：匿名服务器基于用户的隐私和服务质量需求将查询请求r匿名处理为r′＝(pid，MBR(r.U_out)，r.data)，其中pid为经过匿名处理的用户标识符，MBR(r.U_out)为请求r在有向图中所有出邻居构成的最小边界矩形，r.data为请求r的查询内容。

下面参考图3，对匿名服务器对查询请求r的匿名处理流程进行更加详细地描述。

如图3所示，步骤B进一步包括：

步骤B1：匿名服务器将所接收到查询请求r插入到空间索引、小顶堆、以及有向图中。

在本发明中，采用三个数据结构：空间索引(例如R树)、有向图、以及小顶堆。由于这三个数据结构为本领域普通技术人员所熟知，因此在此不再详述。

有向图用于表示所有用户的请求之间的关系以找到某个节点的出入邻居集合，从而获得匿名集。为了方便有向图的构造和维护，构造一个空间索引(比如R树)来索引所有请求的位置点。在该空间索引上，可以执行范围查询来迅速找到某个请求在图中的邻居，方便构造有向图中的边。除此之外，使用小顶堆来根据每条请求的最长匿名截止时间(i.e.，t+Δt)索引所有查询请求，以按照该顺序处理所有查询请求，并监测每条查询请求是否过期。也就是说，小顶堆用来确定节点的处理顺序，这样可以使先提出的请求并且Δt小的请求能被优先处理。

下面参考图4，对空间索引、有向图、以及小顶堆的维护方法进行详细地说明。

如图4所示，当新收到一条请求r_i＝(id，l，Δt，k，δ，data，t)时，首先在有向图中创建相应的插入项，即为r_i创建一个新结点，并且令有向图中r_i.U_in＝{r_i}，r_i.U_out＝{r_i}，其中r_i.U_in表示r_i在有向图中入邻居的集合，r_i.U_out表示r_i在有向图中出邻居的集合。然后在空间索引中和小顶堆中插入r_i，其中空间索引根据r_i的l＝(x，y)构建，小顶堆根据r_i.t+r_i.Δt的值构建。

根据前面的示例，当匿名服务器受到张三的请求r＝(12，116.351323，39.897987，1000，4，2.5，“离我最近的餐厅”，1275572819828)后，首先在有向图中建立一个节点r₁₂，并将自身节点r₁₂加入其出入邻居集。然后根据位置(116.351323，39.897987)，将其插入到空间索引中，最后根据请求的时间和最长的请求时间之和，即1275572819828+1000，将请求插入到小顶堆中。

接下来更新有向图，首先在空间索引中执行以该请求的位置点r_i.l为中心，δ_max为半径的范围查询，其中δ_max是所有用户提出的匿名区域的半径的最大值，搜索查询得到的请求组成r_i在图中的邻居候选集。也就是说，在空间中执行Q＝((x-δ_max，y-δ_max)，(x+δ_max，y+δ_max))。对于候选集中任意r_j而言，如果r_i和r_j之间距离小于等于r_i.δ，则构造从r_i到r_j的一条有向边，称r_j为r_i的出邻居；如果该距离小于等于r_i.δ，则构造从r_j到r_i的一条有向边，称r_i为r_i的入邻居。最后，更新各自的邻居集合。

根据前面的示例，在更新有向图的步骤中，假设系统中的δ_max＝0.036199，为所有请求中最大的δ转换成经纬度的值，那么需要在空间索引中执行查询Q＝((116.351323-0.036199，39.897987-0.036199)，(116.351323+0.036199，39.897987+0.036199))。假设查询结果为r₁，r₃，r₅，r₆，r₇，r₈，r₉，r₁₁，r₁₃，然后计算其中每一条查询r_j的位置与张三的请求r₁₂的距离，如果距离小于r₁₂.δ，则在有向图中构造一条r₁₂到r_j的边，并将r_j加入到r₁₂的出节点集中，同时，如果距离小于r_j.δ，则在有向图中构造一条r_j到r₁₂的边，并将r_j加入到r₁₂的入节点集中。假设更新完成后r₁₂的出邻居集合是{r₆，r₇，r₈，r₉，r₁₁}，入邻居集合是{r₁，r₃，r₅，r₆，r₇}。

步骤B2：匿名服务器从小顶堆中获取最顶的查询请求r。

步骤B3：匿名服务器对查询请求中的用户id进行哈希处理以得到假名pid，并记录id与假名pid的对应关系。

步骤B4：匿名服务器对查询请求r的匿名时间限制r.t+r.Δt与当前的时间t_now进行比较。

步骤B5：如果r.t+r.Δt-t_now≤ε，则转入步骤B5，否则将推迟r的匿名处理过程到时间r.t+r.Δt-ε，其中ε为一个很短的时间间隔，通常为系统对一条请求做匿名处理的时间；

步骤B6：计算r的出邻居集U_out和入邻居集U_in里已经被成功匿名了的数目；

步骤B7：如果r的出邻居集U_out和入邻居集U_in里已经被成功匿名的数目都超过了r的最小匿名度要求k，则将r的位置处理为匿名区域r′＝(pid，MBR(r.U_out)，r.data)，否则，匿名过程失败，r将从有向图中删除。

其中MBR(r.U_out)为请求r在有向图中出邻居集中所有请求的位置l的最小边界矩形，指能够覆盖r.U_out里面所有请求位置的最小矩形。其求取步骤为：先计算出r.U_out所有请求位置l的最小和最大经度、纬度，以最小经度和最小纬度的点作为东南角，最大经度、最大纬度的点作为西北角所构成的矩形区域即为MBR(r.U_out)。

根据以上步骤，从小顶堆取出的查询为r₁₂时，系统首先会将r₁₂的id做哈希处理，假设得到新的id为pid为501020，然后计算1275572819828+1000-1275572820778(1275572819909为当前时间的毫秒形式)是否小于ε，假设这里ε为100，那么满足条件，接着计算r₁₂的出入邻居集合中已经成功匿名的请求数目，假设数目都已经大于4，即r₁₂.k，那么就可以计算出r₁₂的匿名区域为r₁₂.U_out的最小边界矩形，假设r₁₂.U_out中所有点的最小经度为116.321314，最大经度为116,378769，最小纬度为39.867325，最大纬度为39.912345，那么得到的MBR就是东北角为(116,378769，39.912345)，西南角为(116.321314，39.867325)的矩形，最终得到匿名处理后的请求r₁₂’为(501020，116,378769，39.912345，116.321314，39.867325，“离我最近的餐厅”)。

当r被成功匿名之后，延迟从有向图中删除r，直到它的所有邻居都已经被处理完。应该注意的是，对邻居结点的处理顺序是由小顶堆决定的。这是为了避免由于它被提前删除而丢失它与其他结点的邻居关系，当其他结点之后在处理时，由于邻居数减少，被匿名成功的机会也减小。

因此，将对r的所有出邻居和入邻居作一遍扫描。其中每个邻居自己的未处理邻居数将减1。如果r正好是某个已处理结点的最后一个待处理邻居，则可以将该结点从有向图中删除。如果所有r的邻居都在r之前成功处理过，则也可以从有向图中删除r。不管匿名过程是否成功，都需要将r从有向图中删除。

步骤C：匿名服务器向提供商服务器发起查询请求r′＝(pid，MBR(r.U_out)，r.data)，并将提供商服务器所获得的查询结果返回给移动对象。

具体地说，匿名服务器将经过匿名处理后的查询请求

r′＝(pid，MBR(r.U_out)，r.data)发送给提供商服务器以供查询。提供商服务器负责响应该查询请求，并把查询结果返回给匿名服务器。在匿名服务器收到提供商服务器返回的查询结果后，将结果发送给pid对应的移动对象。

根据以上步骤，匿名服务器会将匿名后的请求r₁₂’＝(501020，116,378769，39.912345，116.321314，39.867325，“离我最近的餐厅”)发送给提供商服务器，并在获得查询结果后，将结果返回给pid＝501020，也就是id＝12对应的用户张三。

通过本发明可知，根据选择不同隐私配置参数k，Δt或者δ，可以得到不同的隐私保护粒度和服务质量，从而很容易在隐私保护需求和查询服务质量之间找到平衡。本发明使用有向图来获得请求的匿名区域，可以支持较高的匿名度，同时获得较高的匿名效率。在计算有向图的过程中使用小顶堆来索引请求的次序，并且构建空间索引，在索引中进行查询以获得请求的出入邻居，计算有向图的效率高，速度快，匿名处理时间短。

此外，对于本领域的普通技术人员来说可显而易见的得出其他优点和修改。因此，具有更广方面的本发明并不局限于这里所示出的并且所描述的具体说明及示例性实施例。因此，在不脱离由随后权利要求及其等价体所定义的一般发明构思的精神和范围的情况下，可对其做出各种修改。

Claims

1.一种感知服务质量的位置隐私保护方法，包括步骤：

A、移动对象提出基于位置的查询请求r，并将其传递给匿名服务器，其中查询请求r包括：用户标识符id、用户位置1＝(x，y)，x和y分别表示用户的经度和纬度，查询内容data、查询发起时间t、最小匿名度k、以及最长匿名延迟时间Δt；

B、匿名服务器将查询请求r匿名处理为r′＝(pid，MBR(r.U_out)，r.data)，其中pid为经过匿名处理的用户标识符，MBR(r.U_out)为请求r在有向图中所有出邻居构成的最小边界矩形，r.data为请求r的查询内容；

C、匿名服务器将经过匿名处理后的查询请求发送给提供商服务器以供查询，并将从提供商服务器获得的查询结果返回给移动对象，

其中步骤B进一步包括：

B1、匿名服务器将所接收到的查询请求r插入到空间索引、小顶堆、以及有向图中；

B2、匿名服务器从小顶堆中获取堆顶的查询请求r；

B3、匿名服务器对查询请求r中的用户id进行处理以得到假名pid；

B4、匿名服务器对查询请求r的匿名时间限制t.t+r.Δt与当前的时间t_now进行比较；

B5、如果r.tr.Δt-t_now≤ε，则进入步骤B6；

B6、计算r的出邻居U_out和入邻居U_in里已经被成功匿名了的数目；

B7、如果r的出邻居U_out和入邻居U_in里已经被成功匿名的数目都超过了r的最小匿名度k，则将r的位置处理为匿名区域r′＝(pid，MBR(r.U_out)，r.data)；

ε为一个很短的时间间隔，通常为系统对一条请求做匿名处理的时间；r.t表示查询请求r的发起时间；

其中查询请求r还包括最大匿名区域半径δ，即匿名区域和位置点之间可容忍的最大偏差；

其中步骤B1进一步包括：

当匿名服务器新收到请求r_i时，在空间索引中和小顶堆中插入rx，其中空间索引根据r_i的1＝(x，y)构建，小顶堆根据r_i.t+r_i.Δt的值构建；

在空间索引中执行以该请求的位置点r_i.l为中心，δ_max为半径的范围查询，其中δ_max是所有用户提出的匿名区域的半径的最大值，搜索查询得到的请求组成r_i在图中的邻居候选集；

对于候选集中任意r_j而言，如果r_i和r_j之间距离小于等于r_i.δ，则构造从r_i到r_j的一条有向边，称r_j为r_i的出邻居；

如果该距离小于等于r_j.δ，则构造从r_j到r_i的一条有向边，称r_j为r_i的入邻居；

更新各自的邻居集合。