CN105307111A - 一种基于增量近邻查询的位置隐私保护方法 - Google Patents

Abstract

本发明公开了一种基于增量近邻查询的位置隐私保护方法，该方法包括三个步骤，分别是：1、匿名区构造；2、查询点估算；3、增量近邻查询。该保护方法在P2P系统结构下结合路网环境，采用增量近邻查询算法来保护位置隐私，其优势在于：1）用户在寻求代理用户时首先参考路网密度构造匿名区，以匿名区代替真实位置来保证位置隐私需求，为减小查询用户与位置服务器的通信开销，位置服务器使用四叉树结构来存储分割成的基本单元空间；2）查询用户根据兴趣点的分布情况估算出查询点的位置，使得通讯开销可控的同时保证返回的结果集满足查询用户的要求；3）重新定义了需求空间的范围和查询结束的条件，使得以查询点为圆心的增量近邻查询达到查询结束条件时，查询范围可以覆盖查询用户期望的k近邻结果范围。

Description

一种基于增量近邻查询的位置隐私保护方法

技术领域

本发明涉及一种移动终端在基于位置的服务中的隐私保护方法，具体是一种通过增量近邻查询使攻击者无法推断出用户准确位置以保护位置隐私的方法。

背景技术

近年来，随着智能移动终端的快速普及，无线通信技术的不断发展，基于位置的服务（LocationBasedService，LBS）渗透到人们生活的方方面面。LBS是指移动终端利用各种定位技术获得自己当前的位置，并提出与用户位置有关的服务。这种服务给人们的生活带来了极大的方便，潜移默化地改变了人们的生活方式。随着LBS的快速发展，位置隐私问题日益受到人们的关注。例如当用户享受最近邻查询“离我最近的医院在哪里”，最短路径查询“XX餐厅的最近路径”等服务的过程中，攻击者通过截获用户的查询信息，能够推测出用户的个人信息、位置信息等。这对用户个人的隐私造成了巨大威胁，因而位置隐私保护问题亟待解决。

用于位置隐私保护的系统结构可以分为客户端服务器结构、中心服务器结构、移动P2P结构等。其中，1）采用客户端服务器结构的方法有基于k匿名的假名，用户向位置服务器发送k个位置信息，包括用户的真实位置和k-1个假位置，使得位置服务器无法分辨出用户的真实位置。用户还可以构造出包括用户位置的匿名区，位置服务器根据用户提交的匿名区无法定位用户所在的准确位置。客户端服务器结构易于实现，但是移动终端必须具备强大的计算能力和存储能力，而且只利用自身的知识进行匿名，无法利用周边环境中其它用户的位置信息，所以不仅容易受到攻击者的攻击，而且会造成可共享资源的浪费。2）研究者基于中心服务器结构提出了位置k匿名技术，即当用户提出位置服务的需求时，不是直接发送包括自身确切位置的单个LBS请求到位置服务器，而是采用了匿名服务器，该匿名服务器收集k个相邻用户的请求并构造匿名区发送给位置服务器。由于匿名服务器需不断进行匿名处理以及查询结果求精，其负担过大，而且当匿名服务器被攻击者控制或者攻击的时候，会给整个系统带来严重的隐私泄露问题。3）移动P2P结构不需要固定基础设施，用户提出服务请求时，通过多跳路由随机选定一个对等点作代理，然后该对等点把用户的服务请求发送给服务器，服务器返回查询结果集给该对等点，该对等点最后把查询结果返回给查询用户。该体系结构适用于无固定基础设施的移动网络中，但其假定了每个对等点都是可信任的，当对等点中存在攻击者时，用户的位置隐私保护就难以保证。

因此现有的技术和方案己经难以满足用户的要求，研究在合适的系统结构下的有效位置隐私保护方法成为一个日益迫切的问题。

发明内容

本发明针对背景技术中存在的既无法保证为自己提供P2P服务的对等移动用户是可信的，又无法保证为我们提供查询服务的位置服务器是可信的，所以本发明的目的在于提供一种隐私保护方法可以在非可信的系统结构中提供相对安全的隐私保护。

实现本发明目的的技术方案为：一种基于增量近邻查询的的位置隐私保护方法，该方法包括以下步骤：

本发明所述的一种基于增量近邻查询的位置隐私保护方法，其使用P2P系统结构，查询用户委托代理用户完成查询请求，并且考虑了路网环境对查询结果的影响。本发明提出的方法与现有的基于增量近邻查询的方法SpaceTwist相比具有以下优点：

1）查询用户以匿名区代替真实位置向代理用户发起查询请求。移动P2P结构不能保证每个对等点是可信的，用户发起查询请求时要将请求发送给代理用户，为了防止不可信的代理用户带来的隐私威胁，用户在寻求代理用户前首先要构造匿名区，以匿名区代替真实位置来保证位置隐私需求，而且查询用户在构造匿名区时考虑了路网密度因素。

2）通过估算每个匿名区的兴趣点来确定查询点位置。代理用户向位置服务器发起以查询点为中心的增量近邻查询，在SpaceTwist方案中，查询点是随机选择的，这样会带来查询通讯开销和查询结果集不可控制的问题，本文考虑了路网密度对查询结果的影响，通过估算路网密度确定增量近邻查询的查询点。

3）增量近邻查询可以覆盖查询用户期望的k近邻结果范围。确定了查询点之后，代理用户向位置服务器提出增量近邻查询，本文对SpaceTwist方案中的增量近邻查询进行了改进，改变了需求空间的定义和查询结束的条件，使查询范围可以覆盖查询用户期望的k近邻结果范围。

附图说明

图1是本发明的系统结构图。

图2是本发明的二维空间十字分割图。

图3是本发明的增量近邻查询临界情况图。

具体实施方式

下面结合附图对本发明作进一步地说明。

如图1所示，本发明所述的一种基于增量近邻查询的位置隐私保护方法，其系统结构由移动用户、基站和位置服务器组成。每个移动终端具备基本的定位功能，且不仅能够通过移动基站与位置服务器进行通信，还能与其他用户进行P2P通信，其中发起查询请求的是查询用户（记为），接收查询用户请求并与位置服务器进行增量近邻查询的是代理用户（记为）。位置服务器提供基于位置的近邻查询、范围查询等服务。

具体地，本发明所述的基于增量近邻查询的位置隐私保护方法，其主要分为三个主要步骤：

步骤一：匿名区构造

P2P网络不能保证代理用户的可信度，所以在查询用户发出LBS查询时，向代理用户提出的查询请求不能包含用户的准确位置。本发明提出的匿名区构造方法参考了路网密度，因为路网密度和人口密度有正相关关系，路网密集的地方人口密度也相应较大。

1、定义查询请求，查询用户以的形式向代理用户发起查询请求，其中表示用户标识符；=表示查询用户的匿名区的圆心点经纬度坐标；表示匿名区半径；表示查询用户估算出的增量近邻查询的查询点；表示查询用户的查询请求内容；

2、定义代理请求，代理用户以的形式向位置服务器发出代理查询请求，其中表示代理用户的标识符；表示从查询请求中获得的增量近邻查询的查询点；表示从查询请求中获得的查询用户的查询请求内容；

3、定义路网粒度，设为平面空间区域中的任意一个子空间区域，为的周长，为内道路总长度，则定义为的路网粒度；

为了容易实施且不失一般性，我们把位置服务器负责的二维空间视为一个正方形G，然后进行十字递归分割G，直到分割成的正方形空间的不大于一个给定值，如图2所示。查询用户向位置服务器发出LBS请求前先从位置服务器获得对G的分割结果。

为了减小查询用户与位置服务器的通信开销，我们使用四叉树结构来存储这些基本单元空间，四叉树中每个节点对应一块分割区域，且每个节点的数据域中存储区域中心点坐标、区域边长、区域内道路长度等信息，区域中心点坐标、区域边长用于确定对应的分割区域，区域内道路长度用于估算查询点。四叉树结构中叶节点对应基本单元空间，非叶节点对应需要继续分割的区域。查询用户得到分割结果后递归搜索该四叉树，找到自己所在的单元空间，并将该单元空间的外接圆区域作为查询用户的匿名区。

步骤二：查询点估算

本发明提出的增量近邻查询要求查询结果集维持在一个相对稳定的规模，使得通讯开销可控的同时保证返回的结果集满足查询用户的要求。查询点估算方法为：查询用户向位置服务器请求区域分割结果时发送查询主题（如餐馆、医院等）至位置服务器，位置服务器返回区域分割四叉树的同时附带了数据集上该主题的密度因子（单位长度的道路上分布的兴趣点数）；根据密度因子和单元空间的道路长度计算出每个单元空间中分布的兴趣点数；以匿名区所在的单元空间为中心向四周扩大搜索范围，直到搜索范围内估算的兴趣点数满足查询用户的需求；构造此搜索范围的最小外接圆，把该外接圆上的任意一点作为查询点，这样可以解决查询点距匿名区过大或过小问题。

步骤三：增量近邻查询

定义供应空间：以查询点为圆心的圆形空间，其半径为最近返回的查询结果与查询点的距离。

定义需求空间：与查询用户的匿名区具有相同圆心的圆形空间，其半径R为位置服务器返回查询结果到匿名区圆心的距离，其中为已返回的查询结果中最接近圆心同时与圆心的距离又大于查询点与圆心的距离的查询结果点，即满足：

这样保证需求空间不小于查询用户期望的k近邻结果范围，其中表示位置服务器当前已返回的结果数，表示其中的任一查询结果，min()表示取最小值，表示两点之间的距离。

增量近邻查询过程：代理用户收到查询用户的查询请求后形成代理请求并发送代理请求至位置服务器；代理用户初始化供应空间半径为0，初始化需求空间半径R为，计算查询点到需求空间圆心距离；位置服务器以查询点为中心进行近邻查询并不断将结果返回给代理用户；代理用户计算返回的查询结果与查询点的距离，更新供应空间半径；代理用户计算返回的查询结果与匿名区中心的距离，若大于且小于当前的需求空间半径R，则更新需求空间半径R使其等于；每次更新供应空间半径和需求空间半径R后，检查是否满足，若满足则供应空间完全包含需求空间，查询结束。

根据对增量近邻查询过程的描述可以得到如图3所示的临界情况。此时的和满足。需要注意的是查询结束条件并不能保证正好位于如图3所示的虚线圆上，实际上是虚线圆外最接近虚线圆的一个查询结果，这样可以保证查询范围覆盖期望的k近邻结果范围的同时尽量地缩小查询范围，减小通信开销。

Claims (5)

1.一种基于增量近邻查询的位置隐私保护方法，其系统结构由移动用户、基站和位置服务器组成，其特征在于：该方法包括以下步骤：

步骤一：匿名区构造

1）定义查询请求，查询用户以的形式向代理用户发起查询请求，其中表示用户标识符；=表示查询用户的匿名区的圆心点经纬度坐标；表示匿名区半径；表示查询用户估算出的增量近邻查询的查询点；表示查询用户的查询请求内容；

2）定义代理请求，代理用户以的形式向位置服务器发出代理查询请求，其中表示代理用户的标识符；表示从查询请求中获得的增量近邻查询的查询点；表示从查询请求中获得的查询用户的查询请求内容；

3）定义路网粒度，设为平面空间区域中的任意一个子空间区域，为的周长，为内道路总长度，则定义为的路网粒度；

步骤二：查询点估算

查询用户向位置服务器请求区域分割结果时发送查询主题至位置服务器，位置服务器返回区域分割四叉树的同时附带了数据集上该主题的密度因子；根据密度因子和单元空间的道路长度计算出每个单元空间中分布的兴趣点数；以匿名区所在的单元空间为中心向四周扩大搜索范围，直到搜索范围内估算的兴趣点数满足查询用户的需求；

步骤三：增量近邻查询

定义供应空间：以查询点为圆心的圆形空间，其半径为最近返回的查询结果与查询点的距离；

定义需求空间：与查询用户的匿名区具有相同圆心的圆形空间，其半径R为位置服务器返回查询结果到匿名区圆心的距离，其中为已返回的查询结果中最接近圆心同时与圆心的距离又大于查询点与圆心的距离的查询结果点，即满足：

这样保证需求空间不小于查询用户期望的k近邻结果范围，其中表示位置服务器当前已返回的结果数，表示其中的任一查询结果，min()表示取最小值，表示两点之间的距离。

2.根据权利要求1所述的一种基于增量近邻查询的位置隐私保护方法，其特征在于：在步骤二中，将位置服务器负责的二维空间视为一个正方形G，然后进行十字递归分割G，直到分割成的正方形空间的不大于一个给定值，查询用户向位置服务器发出LBS请求前先从位置服务器获得对G的分割结果。

3.根据权利要求1或2所述的一种基于增量近邻查询的位置隐私保护方法，其特征在于：在步骤二中，位置服务器使用四叉树结构来存储分割成的基本单元空间，四叉树中每个节点对应一块分割区域，且每个节点的数据域中存储区域中心点坐标、区域边长、区域内道路长度信息，区域中心点坐标、区域边长用于确定对应的分割区域，区域内道路长度用于估算查询点，四叉树结构中叶节点对应基本单元空间，非叶节点对应需要继续分割的区域，查询用户得到分割结果后递归搜索该四叉树，找到自己所在的单元空间，并将该单元空间的外接圆区域作为查询用户的匿名区。

4.根据权利要求1所述的一种基于增量近邻查询的位置隐私保护方法，其特征在于：在步骤三中，查询用户根据各基本单元空间内兴趣点的分布数量估算出增量近邻查询范围，将该范围的最小外接圆圆心作为增量近邻查询查询点。

5.根据权利要求1所述的一种基于增量近邻查询的位置隐私保护方法，其特征在于：在步骤三中，代理用户收到查询用户的查询请求后形成代理请求并发送代理请求至位置服务器；代理用户初始化供应空间半径为0，初始化需求空间半径R为，计算查询点到需求空间圆心距离；位置服务器以查询点为中心进行近邻查询并不断将结果返回给代理用户；代理用户计算返回的查询结果与查询点的距离，更新供应空间半径；代理用户计算返回的查询结果与匿名区中心的距离，若大于且小于当前的需求空间半径R，则更新需求空间半径R使其等于；每次更新供应空间半径和需求空间半径R后，检查是否满足，若满足则供应空间完全包含需求空间，查询结束。