CN103987011B - 基于位置服务中无需用户精确位置的隐私保护方法 - Google Patents

Abstract

本发明公开了一种基于位置服务中无需用户精确位置的隐私保护方法，涉及特别适用于特定功能的数据处理方法技术领域。在移动用户发出任何基于位置服务的查询之前，该用户首先在可信服务器上进行身份注册。可信服务器根据从所有注册用户接收到的k*最近邻信息建立一个邻近关系图和k*最近邻关系图。提供商服务器根据所接收到的匿名后请求进行查询处理，并将查询候选结果集发送给可信服务器。可信服务器通过访问数据库表找到假名id’与真实标识id的匹配关系，进而将查询结果转交给相应用户。所述方法根据用户信号强弱判断位置邻近性，获得基于位置的服务，可防止隐私泄露的问题。

Description

基于位置服务中无需用户精确位置的隐私保护方法

技术领域

本发明涉及特别适用于特定功能的数据处理方法技术领域，尤其涉及一种基于位置服务中无需用户精确位置的隐私保护方法。

背景技术

为保护位置隐私，Marco Gruteser等提出了基于时空匿名的位置K-匿名模型：当一个移动用户的位置无法与其他(K-1)个用户的位置相区别时，称此位置满足位置K-匿名。图1是一个位置3-匿名(K＝3)的例子，A、B、C的位置被扩展为区域R(用户A、B、C组成匿名集)，攻击者无法确定他们在R中的确切位置。

为达上述目的，现有的大部分隐私保护方法均假设存在一个可信实体，网络中的所有用户均向该实体发送真实位置。可信实体根据接收到的真实位置为查询请求用户寻找位置邻近的用户并形成匿名集，匿名集的最小边界矩形(Minimum Boundary Rectangle，MBR)作为匿名区域发布。这里存在一个很强的假设，即所有用户均可信。但是，在实际应用中并非如此：第一，网络中不存在任何可信实体。每一个用户都可能成为恶意用户，向第三方提供他人真实位置或其它敏感信息。

如图2所示，在图1-2的例子中如果用户A与用户B串通，共享彼此位置。又由于匿名方法公开，攻击者(这里即A和B)知道匿名区域是覆盖所有用户的最小边界矩形，则C一定存在于图3所示的阴影区域内。如果该隐性区域过于小将产生用户C隐私泄露的问题。第二，由于不存在任何可信实体，假设所有用户将真实位置发送给可信实体的说法并不现实。同时，由于不信任感的存在，不是所有用户愿意共享真实位置。现有匿名算法中为寻找邻近用户使用的“精确位置”正是用户想要保护的对象。所以现有的利用确切位置寻找匿名集，进而保护用户位置隐私的方法应用领域有限。亟待寻找一种在不提供确切位置的前提下为半可信用户寻找匿名集的方法。

发明内容

本发明所要解决的技术问题是提供一种基于位置服务中无需用户精确位置的隐私保护方法，所述方法根据用户信号强弱判断位置邻近性，并且移动用户以“协作”的方式完成匿名区域的生成，使用户无需提供精确位置亦可获得满足位置隐私需求的匿名位置，进而获得基于位置的服务，可防止隐私泄露的问题。

为解决上述技术问题，本发明所采取的技术方案是：一种基于位置服务中无需用户精确位置的隐私保护方法，其特征在于包括以下步骤：

步骤A：移动用户用于将查询请求Q＝(id',con,k*nn)发送给可信服务器，其中id’是用户注册时从可信服务器获得的假名，con表示查询内容，k*nn是该移动用户的k*最近邻列表；

步骤B：可信服务器通过接收到的所有用户发送的k*nn信息创建临近关系图proximity G和k*最近邻图G；

步骤C：可信服务器利用k*最近邻图G和邻近关系图proximity G将所有用户分组，根据匿名需求K为用户寻找匿名集(CID，idlist)，其中CID表示匿名集标识符，idlist是一个集合，由匿名集中包含的用户组成；

步骤D：idlist中的所有用户通过协作的方式形成满足用户位置隐私需求的匿名区域；

步骤E:可信服务器从idlist中找到用户u对应的R，将用户u的查询请求以Q＝(id',R,con)的形式发送给提供商服务器；

步骤F：提供商服务器根据所接收到的请求Q＝(id',R,con)进行查询处理，并将查询结果的候选集返回给可信服务器；

步骤G：可信服务器根据数据库中存储的id与id’的匹配关系找出真实用户，并将候选结果转交给用户；

步骤H：移动用户根据真实位置从可信服务器返回的候选结果中，选择正确的查询结果。

进一步技术方案在于：步骤B中服务空间中注册LBS服务的所有用户组成图proximity G和G的顶点，用户u发来的k*最近邻列表k*nn的形式为{id’₁，id’₂，…，id’_k}，在proximity G中，如果u与id’_i(1≤i≤k*)之间没有边，则在二者之间添加一条无向边；在G中，如果u与id’i之间没有边，则进一步判断u是否在id’i的k*nn列表中，如果在，则在二者之间加一条边。

进一步技术方案在于：

步骤C进一步包括：

步骤C1：计算k*最近邻图G的补图；

步骤C2：利用Welsh-Powell着色算法将划分为几个相互独立的独立子集，这些独立子集组成集合CP；

步骤C3：对于CP中的每一个团P，判断P中包含的用户数是否不小于匿名度需求K，若是则P中用户组成匿名集(CID，idlist)并执行步骤D；否则执行步骤C4；

步骤C4：对于包含用户个数小于匿名度需求K的团P，对候选匿名集合P进行调整，使其与在G中邻接的点所在团合并，直至包含的顶点数不小于K；

步骤C5：为k*NNG中的孤立用户寻找匿名集。

进一步技术方案在于：

步骤C4进一步包括：

步骤C41：对一个候选用户集合P，在G中找到与P中顶点邻接的顶点nv，且该顶点不属于P，将顶点nv所在团称为P的邻接团；

步骤C42：从P的所有邻接团中找到团minc，minc满足与P合并后组成连通子图的边权值和最小；

步骤C43：将团minc中的用户与P中用户合并；

步骤C44：判断合并后的集合包含的用户数是否小于匿名度K，若是，则继续执行步骤C41，否则将合并后的用户集合作为匿名集合(CID，idlist)。

进一步技术方案在于：

步骤C5进一步包括：

步骤C51：为k*NNG中的孤立用户iso_v在临近关系图proximity G中寻找最近的邻接点v；

步骤C52：找到v所在的候选用户集合c_v；

步骤C53：判断c_v中包含的用户数是否不小于K-1，如果是则执行下一步，否则执行步骤C51；

步骤C54：将v与c_v中所有用户合，合并后的用户集合组成匿名集(CID，idlist)。

进一步技术方案在于：

步骤D进一步包括：

步骤D1:触发用户ut按规则1生成初始候选匿名区域矩形R；

规则1具体为:触发用户ut从[P，maxT]范围内取两个随机数R1和R2，其中P表示用户的位置隐私需求，即攻击者根据中间计算结果和背景知识推测触发用户ut在一维空间上的位置范围[loc1l，loc1r]，则|loc1r-loc1l|的长度不能小于P，P＝p*min(wid，hgt)，其中p是用户的最小位置隐私需求，wid/hgt为系统的宽/高；maxT是系统值，说明了用户可接受服务质量的最差值，分别以R1和R2作为R的高和宽，生成一个覆盖用户当前位置的矩形R，用户真实位置随机出现在该矩形内的任意一点；

步骤D2：从触发用户ut开始进行深度优先遍历，选择与触发用户ut邻接且具有最小边权值的用户V；

步骤D3：根据用户V相对于R的位置类型，选择相应的规则根据V的位置隐私需求获取随机数δn，对R进行扩展；

步骤D4：判断idlist中是否存在未访问用户，如果存在，则ut＝V并执行步骤D2，否则执行下一步；

步骤D5：判断遍历后的候选匿名集合idlist包含的用户数是否大于匿名度K，如果是则将idlist作为匿名集合和伴随生成的匿名区域R以(CID，idlist，R)形式返回给可信服务器。

进一步技术方案在于：

在步骤D3中：一个用户相对于一个矩形R的位置类型分4种：x型用户，y型用户，xy型用户和内点型用户，设矩形R和点V，计算由R和V形成的最小边界矩形MBR，如果V仅对MBR边界的x值有贡献，则称V是x型用户；如果V仅对MBR边界的y值有贡献，则称V是y型用户；如果V对MBR边界的x和y值同时有贡献，则称V是xy型用户；如果V被R覆盖，则称V是内点型用户。

进一步技术方案在于：

步骤D3进一步包括：

步骤D31：如果接收用户V是x型用户，则按规则2获取随机数δn；

规则2具体为:如果接收用户V是x型用户，设从[b_n，maxT-wid]范围中按照高斯分布取随机数r_n，其中

其中Cx是用户V在x轴方向上对边界的贡献，

设扩展长度为δn，则

从Top/Down方向上随机选取一个方向dir，则在用户有贡献的Cx方向和选取的dir方向上扩展δn；

步骤D32：如果接收用户V是y型用户，则按规则3获取随机数δn；

规则3具体为：如果接收用户是y型用户，设从[b_n，maxT-hgt]范围中按照高斯分布取随机数rn，其中

设扩展长度为δn，则

从Right/Left方向上随机选取一个方向dir，则在用户贡献Cy的方向和选取的方向dir上扩展δn，V.P为隐私度；

步骤D33：如果按照步骤D31或D32执行扩展后，在用户对R边界没有贡献的方向上，如果候选区域的高或宽在扩展δn后依然小于用户的隐私度V.P，则从高和宽两个方向上再次扩展Δn，其中Δn＝V.P-扩展后匿名区域的高或宽；

步骤D34：如果接收用户V是xy型用户，则按规则4获取随机数δn；

规则4的具体为：利用规则2计算x方向的扩展度δx，利用规则3计算y方向的扩展度δy，候选匿名区域的扩展度δn＝max(δx，δy)，从Cx和Cy贡献的方向上均扩展δn；

步骤D35：如果接收用户u是内点型用户，则按规则5获取随机数δn；

规则5具体为：如果接收用户是内点型用户，并且候选匿名区域R的宽或高小于用户最小隐私需求V.P，则按从[V.P-min(wid，hgt)，maxT-min(wid，hgt)]范围内按照高斯分布取随机数δn，随机从{Top，Down}和{Left，Right}方向中任取一个方向dir1和dir2，在dir1和dir2方向上同时扩展δn；

步骤D36：如果扩展后的匿名区域R的面积大于系统阈值Amax，则说明覆盖该用户的矩形已超过最差服务质量要求，该用户V是异类点，其中Amax是系统阈值表示用户可接受的最差服务质量，从候选匿名集合idlist中将异类点去除，并返回执行步骤D2，如果候选匿名集合集合idlist中的所有用户均已被遍历，则执行步骤E。

采用上述技术方案所产生的有益效果在于：所述方法根据用户信号强弱判断位置邻近性，并且移动用户以“协作”的方式完成匿名区域的生成，使用户无需提供精确位置亦可获得满足位置隐私需求的匿名位置，进而获得基于位置的服务，可防止隐私泄露的问题。

附图说明

下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1-2是根据K-匿名模型得出的3-匿名模型的示意图；

图3是根据3-匿名模型得出的匿名区域示意图；

图4是本发明中的系统方框图；

图5是根据本发明的基于位置服务移动用户本地保存3最近邻(3NN)的一个例子的示意图；

图6是根据本发明的六位用户2最近邻的一个例子的示意图；

图7是根据本发明的图6建立的邻近关系图的例子的示意图；

图8是根据本发明的图6建立的k*最近邻关系图的例子的示意图；

图9是本发明所述方法的流程图；

图10是本发明对查询请求进行匿名处理寻找匿名集的详细流程图；

图11是本发明的k*最近邻关系图的另一个例子的示意图；

图12是本发明为匿名集合用户寻找匿名区域的详细流程图；

图13是本发明的一个用户位置相对一个矩形的位置的类型的示意图；

图14是根据本发明的一个匿名集合寻找匿名区域的例子的示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其他不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施例的限制。

如图4所示，本发明的涉及的系统包括：多个移动用户、可信服务器以及提供商服务器。

移动用户可以通过无线和蜂窝通信协议访问可信服务器。同时，移动用户之间可以通过无线实现与其他用户的点对点连接，因此，许多移动用户组成无线移动Ad-hoc网络，由虚线矩形表示。移动用户均使用具有自定位能力(如GPS)的移动设备，该设备配有一组与外界进行无线交互的接口(如蓝牙、Wifi)。通过判断对等点间的信号强弱(RSS)或对象到达基站的时间差(TDOA)，用户可以获知其附近存在哪些用户，以及距离该用户的大致距离。根据这些WiFi RSS信息，每位移动用户本地维护和保存一组k*最近邻的列表信息。

图5给出了一个移动用户保存3最近邻(3NN)的例子。在移动用户发出任何基于位置服务(LBS)的查询之前，该用户首先在可信服务器上进行IP地址或电话号码的身份注册，同时从可信服务器获得一个经过哈希(Hash)处理转换得到的假名id’。当移动用户提出LBS查询时，查询请求以Q＝(id',con,k*nn)的形式发送给可信服务器。其中id’表示用户标识；con表示查询内容，如最近医院等；k*nn是本地维护的k*最近邻列表信息。

可信服务器根据从所有注册用户接收到的k*最近邻(k*NN)信息建立一个邻近关系图和k*最近邻关系图。图中的顶点表示用户，边表示两个用户的临近关系，边上的权值暗示两个用户的相对距离。图6列举了六位用户的2NN信息，图7和图8分别示出了根据图6建立的邻近关系图和k*最近邻关系图的例子示意图。可信服务器利用图中信息为用户寻找匿名集。可信服务器虽然参与了匿名过程，但是其仅知道用户的临近信息而非用户的确切位置。获得匿名集后，可信服务器通知在同一匿名集中的用户。用户之间通过“协作”方式生成匿名区域R，由可信服务器将匿名后的查询请求Q'＝(id',con,R)发送到提供商服务器。

提供商服务器根据所接收到的匿名后请求进行查询处理，并将查询结果发送给可信服务器。可信服务器通过访问数据库表找到假名id’与真实标识id的匹配关系，进而将查询结果转交给相应用户。移动用户根据自己的真实位置进行查询结果的求精。

以上是本发明的核心思想，接下来结合图9、图10和图12，对本发明的方法进行详细的说明。

如图9所示，根据本发明的方法包括以下步骤：

步骤A：移动用户将查询请求Q＝(id',con,k*nn)发送给可信服务器。其中id’是用户注册时从可信服务器获得的假名；con表示查询内容；k*nn是该移动用户的k*最近邻列表。

步骤B：可信服务器通过接收到的所有用户发送的k*nn信息创建临近关系图proximity G和k*最近邻图G。

具体地说，服务空间中注册LBS服务的所有用户组成图proximity G和G的顶点。用户u发来的k*最近邻列表k*nn的形式为{id’₁，id’₂，…，id’_k}。在proximity G中，如果u与id’_i(1≤i≤k*)之间没有边，则在二者之间添加一条无向边；在G中，如果u与id’_i之间没有边，则进一步判断u是否在id’i的k*nn列表中，如果在，则在二者之间加一条边。

如图6显示了u₁-u₆用户的2NN用户列表。在图7中，由于u₂和u₃是u₁的2NN，则在u₁和u₂之间、u₁和u₃之间分别创建一条边。同理可得图7中的其他无向边。从图6可知，u₂是u₃的2NN之一，同时u₃也是u₂的2NN之一，所以在k*NNG G的图中u₂和u₃之间创建一条边，同理可得图8中的其他边。

步骤C：可信服务器利用k*最近邻图G和邻近关系图proximity G将所有用户分组，根据匿名需求K为用户寻找匿名集(CID，idlist)，其中CID表示匿名集标识符，idlist是一个集合，由匿名集中包含的用户组成。

具体地说，如图10所示，步骤C进一步包括：

步骤C1：计算k*最近邻居图G的补图。

步骤C2：利用Welsh-Powell着色算法将划分为几个相互独立的独立子集，这些独立子集组中集合CP。中的独立子集在G中表现为极大团。应该注意的是Welsh-Powell着色算法为本领域普通技术人员所熟知的技术，因此在这里不做详述。

图11是k*NNG(k*＝4)的另一个例子的示意图。经过步骤C2，从图11中可以得到极大团集合CP＝{{A，B，I}，{C，H}，{D，E，F，G}}。

步骤C3：对于CP中的每一个团P，判断P中包含的用户数是否不小于匿名度需求K，若是则P中用户组成匿名集(CID，idlist)并执行步骤D；否则执行步骤C4。

步骤C4：对于包含用户个数小于K的团P，对候选匿名集合P进行调整，使其与在G中邻接的点所在团合并，直至包含的顶点数不小于K。

具体来说，步骤C4进一步包括：

步骤C41：对一个候选用户集合P，在G中找到与P中顶点邻接的顶点nv，且该顶点不属于P。将顶点nv所在团称为P的邻接团。

步骤C42：从P的所有邻接团中找到团minc，minc满足与P合并后组成连通子图的边权值和最小。

步骤C43：将团minc中的用户与P中用户合并。

步骤C44：判断合并后的集合包含的用户数是否小于匿名度K，若是，则继续执行步骤C41，否则将合并后的用户集合作为匿名集合(CID，idlist)。

根据前面图11的示例，设K＝4，则包含用户数小于K的团NegSet＝{{H，C}，{A，B，I}}。依次取出NegSet中的团赋值于P，如P＝{H，C}，根据图11，{H，C}的邻接团有{A，B，I}和{D，E，F，G}。由于{A，B，C，H，I}的边权值和最小，所以minc＝{A，B，I}，则将{C，H}与{A，B，I}合并组成{A，B，C，H，I}，此时{A，B，C，H，I}所包含的用户数已大于K，则{A，B，C，H，I}作为匿名集返回。

步骤C5：为k*NNG中的孤立用户寻找匿名集。

具体来讲，

步骤C51：为k*NNG中的孤立用户iso_v在临近关系图proximity G中寻找最近的邻接点v。

步骤C52：找到v所在的候选用户集合c_v。

步骤C53：判断c_v中包含的用户数是否不小于K-1，如果是则执行下一步，否则执行步骤C51。

步骤C54：将v与c_v中所有用户合，合并后的用户集合组成匿名集(CID，idlist)。

根据前面图8的例子，步骤C2G被划分为{{u₂，u₃，u₄}，{u₅，u₆}，u₁}。其中u₁是孤立用户，根据图6，u₁的最近邻NN(u₁)＝u₂，u₂所在的用户集合c_u₂＝{u₂，u₃，u₄}。由于c_u₂包含3(＝K-1)个用户，所以将u₁与c_u₂合并组成匿名集合{u₁，u₂，u₃，u₄}。

步骤D：idlist中的所有用户通过协作的方式形成满足用户位置隐私需求的匿名区域。

具体来讲，匿名集合中最先提出查询的用户作为触发用户首先生成一个满足自己最小位置隐私需求的候选匿名区域R。位置隐私需求表现为用户不愿让任何人获知自己在一定范围内出现的概率不能大于一个事先预定的阈值p。将候选匿名区域R依次传递给匿名集中的其他用户，每一个用户分别选取R的{Top，Down}和{Right，Left}方向中的一个，根据自身位置隐私需求，生成适当的随机数δn。在选取的扩展方向上，将候选匿名区域R的长和宽分别扩展δn，从而最终形成满足所有用户位置隐私需求的匿名区域。

具体来讲，如图12所示，该步骤进一步包括：

步骤D1:触发用户ut按规则1生成初始候选匿名区域矩形R。

规则1的具体定义为:触发用户从[P，maxT]范围内取两个随机数R1和R2，其中P表示用户的位置隐私需求，即攻击者根据中间计算结果和背景知识推测用户ut在一维空间上的位置范围[loc1l，loc1r]，则|loc1r-loc1l|的长度不能小于P(＝p*min(wid，hgt))，其中p是用户的最小位置隐私需求，wid/hgt为系统的宽/高)；maxT是系统值，说明了用户可接受服务质量的最差值。分别以R1和R2作为R的高(hgt)和宽(wid)，生成一个覆盖用户当前位置的矩形R。用户真实位置随机出现在该矩形内的任意一点。

步骤D2：从用户ut开始进行深度优先遍历，选择与ut邻接且具有最小边权值的用户V。

步骤D3：根据V相对于R的位置类型，选择相应的规则根据V的位置隐私需求获取随机数δn，对R进行扩展。

一个用户相对于一个矩形R的位置类型分4种：x型用户，y型用户，xy型用户和内点型用户。设矩形R和点V，计算由R和V形成的最小边界矩形MBR。如果V仅对MBR边界的x(y)值有贡献，则称V是x(y)型用户，如图13(a)和13(b)；如果V对MBR边界的x和y值同时有贡献，则称V是xy型用户，如图13(c)所示；如果V被R覆盖，则称V是内点型用户，如图13(d)所示。

具体地，该步骤进一步包括：

步骤D31：如果接收用户V是x型用户，则按规则2获取随机数δn。

规则2的具体定义为:如果接收用户V是x型用户，设从[bn，maxT-wid]范围中按照高斯分布取随机数rn，其中

其中Cx是用户V在x轴方向上对边界的贡献。设扩展长度为δn，则

从Top/Down方向上随机选取一个方向dir，则在用户有贡献的Cx方向和选取的dir方向上扩展δn。

以图13(a)的x型用户为例，要生成一个覆盖V点的矩形R’，矩形R右侧边界至少向右(right)扩展Cx＝V.x-R.r，其中V.x是V的x坐标，R.r是矩形R的右侧边界在x轴上坐标。当wid+Cx>V.P时，因为扩展最小值已满足用户的隐私需求，所以根据公式(1)扩展底线bn是Cx；当wid+Cx<V.P时，根据公式(2)扩展底线bn＝V.P-(wid+Cx)，扩展度δn＝Cx+rn。总之，在[bn，maxT-wid]范围内按照高斯分布取随机数rn，其中bn按公式(1)计算。然后按照公式(2)计算候选区域的扩展度，将R在Cx贡献方向，图13(a)的例子中是右侧，扩展δn。最后，从y轴上或下随机取一个方向，如选“down”，同样扩展δn。总之，矩形R向右(right)和向下(down)同时扩展δn。

步骤D32：如果接收用户V是y型用户，则按规则3获取随机数δn。

规则3的具体定义为：如果接收用户是y型用户，设从[bn，maxT-hgt]范围中按照高斯分布取随机数rn，其中

设扩展长度为δn，则

从Right/Left方向上随机选取一个方向dir，则在用户贡献Cy的方向和选取的方向dir上扩展δn。

步骤D33：如果按照步骤D31或D32执行扩展后，在用户对R边界没有贡献的方向上，如果候选区域的高(宽)在扩展δn后依然小于用户的隐私度V.P，则从高和宽两个方向上再次扩展Δn，其中Δn＝V.P-扩展后匿名区域的高(宽)。

根据前面图13(a)的例子，矩形R向右和向下同时扩展了δn。由于δn是根据用户位置隐私需求和R的宽度计算获得的扩展随机数，计算过程中并没有考虑矩形R的高，所以矩形R的高可能不满足用户的位置隐私需求V.P。如果不满足，则计算Δn＝V.P-hgt。把R继续向右向下扩展Δn。

步骤D34：如果接收用户V是xy型用户，则按规则4获取随机数δn。

规则4的具体定义为：利用规则2计算x方向的扩展度δx，利用规则3计算y方向的扩展度δy，候选匿名区域的扩展度δn＝max(δx，δy)。从Cx和Cy贡献的方向上均扩展δn。

根据图13(c)，根据规则2计算δx，根据规则3计算δy。如果δx>δy，则在此例中，将R向上和向右同时扩展δx。

步骤D35：如果接收用户u是内点型用户，则按规则5获取随机数δn。

规则5的具体定义为：如果接收用户是内点型用户，并且候选匿名区域R的宽或高小于用户最小隐私需求V.P，则按从[V.P-min(wid，hgt)，maxT-min(wid，hgt)]范围内按照高斯分布取随机数δn。随机的从{Top，Down}和{Left，Right}方向中任取一个方向dir1和dir2。在dir1和dir2方向上同时扩展δn。

步骤D36：如果扩展后的匿名区域R的面积大于系统阈值Amax，则说明覆盖该用户的矩形已超过最差服务质量要求，该用户V是异类点，其中Amax是系统阈值表示用户可接受的最差服务质量。从候选匿名集合idlist中将异类点去除，并返回执行步骤D2。如果候选匿名集合集合idlist中的所有用户均已被遍历，则执行步骤E。

步骤D4：判断idlist中是否存在未访问用户。如果存在，则ut＝V并执行步骤D2，否则执行下一步。

步骤D5：判断遍历后的候选匿名集合idlist包含的用户数是否大于匿名度K，如果是则将idlist作为匿名集合和伴随生成的匿名区域R以(CID，idlist，R)形式返回给可信服务器。

以图7为例，{A，B，C，H，I}组成匿名集，假设其真实位置如图14所示。用户C是触发用户，根据规则1，C生成了矩形R1。与C邻接的用户有B和H。通过比较权值，C将R1发送给H。H较R1是一个xy型点，故根据规则4计算扩展度δ1，向Cx和Cy方向均扩展δ1，得矩形R2，如图14(b)所示。H将R2发送给I，I是内型点，并且R2的宽高均满足I的隐私需求，故I直接将R2发送给A。A相对于R2来讲是一个x型点，根据规则1向左向上扩展δ2得R3如图14所示，并转交给B。B发现已在该匿名区域内，故最终以R3作为匿名区域返回。

步骤E:可信服务器从idlist中找到用户u对应的R，将用户u的查询请求以Q＝(id',R,con)的形式发送给提供商服务器。

步骤F：提供商服务器根据所接收到的请求Q＝(id',R,con)进行查询处理，并将查询结果的候选集返回给可信服务器。应该说明的是，数据库服务器的查询处理是为大家所熟知的技术，并且不是本发明的重点，因此在此不对其做详述。

步骤G：可信服务器根据数据库中存储的id与id’的匹配关系找出真实用户，并将候选结果转交给用户。

步骤H：移动用户根据真实位置从可信服务器返回的候选结果中，选择正确的查询结果。

通过本发明可知，根据用户信号强弱判断位置邻近性，并且移动用户以“协作”的方式完成匿名区域的生成的方式，使用户无需提供精确位置亦可获得满足位置隐私需求的匿名位置，进而获得基于位置的服务。

Claims (7)

1.一种基于位置服务中无需用户精确位置的隐私保护方法，其特征在于包括以下步骤：

步骤A：移动用户用于将查询请求Q＝(id',con,k*nn)发送给可信服务器，其中id’是用户注册时从可信服务器获得的假名，con表示查询内容，k*nn是该移动用户的k*最近邻列表；

步骤B：可信服务器通过接收到的所有用户发送的k*nn信息创建邻近关系图proximityG和k*最近邻图G；

步骤B中服务空间中注册位置服务的所有用户组成图proximityG和G的顶点，用户u发来的k*最近邻列表k*nn的形式为{id’₁，id’₂，…，id’_k}，在proximity G中，如果u与id’_i(1≤i≤k*)之间没有边，则在二者之间添加一条无向边；在G中，如果u与id’_i之间没有边，则进一步判断u是否在id’_i的k*nn列表中，如果在，则在二者之间加一条边；

步骤C：可信服务器利用k*最近邻图G和邻近关系图proximityG将所有用户分组，根据匿名需求K为用户寻找匿名集(CID，idlist)，其中CID表示匿名集标识符，idlist是一个集合，由匿名集中包含的用户组成；

步骤D：idlist中的所有用户通过协作的方式形成满足用户位置隐私需求的匿名区域；

步骤E:可信服务器从idlist中找到用户u对应的匿名区域矩形R，将用户u的查询请求以Q＝(id',R,con)的形式发送给提供商服务器；

步骤F：提供商服务器根据所接收到的请求Q＝(id',R,con)进行查询处理，并将查询结果的候选集返回给可信服务器；

步骤G：可信服务器根据数据库中存储的id与id’的匹配关系找出真实用户，并将候选结果转交给用户；

步骤H：移动用户根据真实位置从可信服务器返回的候选结果中选择正确的查询结果。

2.根据权利要求1所述的基于位置服务中无需用户精确位置的隐私保护方 法，其特征在于：

步骤C进一步包括：

步骤C1：计算k*最近邻图G的补图

步骤C2：利用Welsh-Powell着色算法将划分为几个相互独立的独立子集，这些独立子集组成集合CP；

步骤C3：对于CP中的每一个团P，判断P中包含的用户数是否不小于匿名度需求K，若是则P中用户组成匿名集(CID，idlist)并执行步骤D；否则执行步骤C4；

步骤C4：对于包含用户个数小于匿名度需求K的团P，对候选匿名集合P进行调整，使其与在G中邻接的点所在团合并，直至包含的顶点数不小于K；

步骤C5：为k*NNG中的孤立用户寻找匿名集。

3.根据权利要求2所述的基于位置服务中无需用户精确位置的隐私保护方法，其特征在于：

步骤C4进一步包括：

步骤C41：对一个候选用户集合P，在G中找到与P中顶点邻接的顶点nv，且该顶点不属于P，将顶点nv所在团称为P的邻接团；

步骤C42：从P的所有邻接团中找到团minc，minc满足与P合并后组成连通子图的边权值和最小；

步骤C43：将团minc中的用户与P中用户合并；

步骤C44：判断合并后的集合包含的用户数是否小于匿名度K，若是，则继续执行步骤C41，否则将合并后的用户集合作为匿名集合(CID，idlist)。

4.根据权利要求2所述的基于位置服务中无需用户精确位置的隐私保护方法，其特征在于：

步骤C5进一步包括：

步骤C51：为k*NNG中的孤立用户iso_v在邻近关系图proximityG中寻找最近的邻接点v；

步骤C52：找到v所在的候选用户集合c_v；

步骤C53：判断c_v中包含的用户数是否不小于K-1，如果是则执行下一步，否则执行步骤C51；

步骤C54：将v与c_v中所有用户合并，合并后的用户集合组成匿名集(CID，idlist)。

5.根据权利要求1所述的基于位置服务中无需用户精确位置的隐私保护方法，其特征在于：

步骤D进一步包括：

步骤D1:触发用户ut按规则1生成初始候选匿名区域矩形R；

规则1具体为:触发用户ut从[P，maxT]范围内取两个随机数R1和R2，其中P表示在不违反用户隐私需求的前提下用户发布位置的下限，即攻击者根据中间计算结果和背景知识推测触发用户ut在一维空间上的位置范围[loc1l，loc1r]，则|loc1r-loc1l|的长度不能小于P，P＝p*min(wid，hgt)，其中p是用户的最小位置隐私需求，wid/hgt为系统的宽/高；maxT是系统值，说明了用户可接受服务质量的最差值，分别以R1和R2作为R的高和宽，生成一个覆盖用户当前位置的矩形R，用户真实位置随机出现在该矩形内的任意一点；

步骤D2：从触发用户ut开始进行深度优先遍历，选择与触发用户ut邻接且具有最小边权值的用户V；

步骤D3：根据用户V相对于R的位置类型，选择相应的规则根据V的位置隐私需求获取随机数δn，对R进行扩展；

步骤D4：判断idlist中是否存在未访问用户，如果存在，则ut＝V并执行步骤D2，否则执行下一步；

步骤D5：判断遍历后的候选匿名集合idlist包含的用户数是否大于匿名度K，如果是则将idlist作为匿名集合和伴随生成的匿名区域R以(CID，idlist，R)形式返回给可信服务器。

6.根据权利要求5所述的基于位置服务中无需用户精确位置的隐私保护方法，其特征在于：

在步骤D3中：一个用户相对于一个矩形R的位置类型分4种：x型用户，y型用户，xy型用户和内点型用户，设矩形R和点V，计算由R和V形成的最小边界矩形MBR，如果V仅对MBR边界的x值有贡献，则称V是x型用户；如果V仅对MBR边界的y值有贡献，则称V是y型用户；如果V对MBR边界的x和y值同时有贡献，则称V是xy型用户；如果V被R覆盖，则称V是内点型用户。

7.根据权利要求6所述的基于位置服务中无需用户精确位置的隐私保护方法，其特征在于：

步骤D3进一步包括：

步骤D31：如果接收用户V是x型用户，则按规则2获取随机数δn；

规则2具体为:如果接收用户V是x型用户，设从[b_n，maxT-wid]范围中按照高斯分布取随机数r_n，其中

其中Cx是用户V在x轴方向上对边界的贡献，

设扩展长度为δn，则

从Top/Down方向上随机选取一个方向dir，则在用户有贡献的Cx方向和选取的dir方向上扩展δn；

步骤D32：如果接收用户V是y型用户，则按规则3获取随机数δn；

规则3具体为：如果接收用户是y型用户，设从[b_n，maxT-hgt]范围中按照高斯分布取随机数rn，其中

设扩展长度为δn，则

从Right/Left方向上随机选取一个方向dir，则在用户贡献Cy的方向和选取的方向dir上扩展δn，V.P为隐私度；

步骤D33：如果按照步骤D31或D32执行扩展后，在用户对R边界没有贡献的方向上，如果候选区域的高或宽在扩展δn后依然小于用户的隐私度V.P，则从高和宽两个方向上再次扩展Δn，其中Δn＝V.P-扩展后匿名区域的高或宽；

步骤D34：如果接收用户V是xy型用户，则按规则4获取随机数δn；

规则4的具体为：利用规则2计算x方向的扩展度δx，利用规则3计算y方向的扩展度δy，候选匿名区域的扩展度δn＝max(δx，δy)，从Cx和Cy贡献的方向上均扩展δn；

步骤D35：如果接收用户u是内点型用户，则按规则5获取随机数δn；

规则5具体为：如果接收用户是内点型用户，并且候选匿名区域R的宽或高小于用户最小隐私需求V.P，则按从[V.P-min(wid，hgt)，maxT-min(wid，hgt)]范围内按照高斯分布取随机数δn，随机从{Top，Down}和{Left，Right}方向中任取一个方向dir1和dir2，在dir1和dir2方向上同时扩展δn；

步骤D36：如果扩展后的匿名区域R的面积大于系统阈值Amax，则说明覆盖该用户的矩形已超过最差服务质量要求，该用户V是异类点，其中Amax是系统阈值表示用户可接受的最差服务质量，从候选匿名集合idlist中将异类点去除，并返回执行步骤D2，如果候选匿名集合集合idlist中的所有用户均已被遍历，则执行步骤E。