CN105516190B

CN105516190B - 连续位置服务中基于路网的位置隐私保护方法

Info

Publication number: CN105516190B
Application number: CN201610019711.2A
Authority: CN
Inventors: 叶阿勇; 李亚成; 林少聪; 陈秋玲
Original assignee: Fujian Normal University
Current assignee: Fujian Normal University
Priority date: 2016-01-13
Filing date: 2016-01-13
Publication date: 2018-05-04
Anticipated expiration: 2036-01-13
Also published as: CN105516190A

Abstract

本发明涉及一种连续位置服务中基于路网的位置隐私保护方法，实现步骤主要分为两个阶段：初始化阶段：在系统初始化时，匿名服务器首先对服务区进行分区处理，然后根据路网信息为每个分区构造一个公用的轨迹库。匿名处理阶段：当用户进行连续查询时，首先从轨迹库中挑出l‑1条距离最近的轨迹，构成一个最优l‑覆盖轨迹；然后，根据每次查询的位置，对最优l‑覆盖轨迹内的各轨迹进行抽样处理，分别构造一个能覆盖所有轨迹的最小覆盖区域；并且，对查询用户ID进行匿名映射。本发明能够抵抗经典位置k‑匿名机制在连续位置服务中遇到的位置和轨迹关联推测攻击，并且能在使用最小查询区域的条件下，提供轨迹l多样性保护。

Description

连续位置服务中基于路网的位置隐私保护方法

技术领域

本发明涉及位置信息服务技术领域，特别是一种连续位置服务中基于路网的位置隐私保护方法。

背景技术

基于位置的服务(Location-Based Services，简称LBS)是通过获取移动用户的位置信息为用户提供包括交通引导、兴趣点查询、车辆跟踪、紧急呼叫等众多增值服务。用户在向基于位置的服务器提出服务请求时提供的位置信息越准确，服务器返回给用户的服务信息的质量就越高。如果服务器系统存在安全漏洞或内部人员滥用服务器收集的位置数据，则将导致用户位置信息泄露。因此人们在享受基于位置的服务所带来的便利的同时，也受到了隐私可能暴露的威胁。

位置k-匿名是目前LBS应用中最主流的位置隐私保护方法。其主要思想是：引入一个可信的第三方匿名服务器，通过将查询用户及其位置分别泛化成一个包含其他k-1个用户的匿名用户集和区域，使得攻击者无法确切获得查询用户的身份信息(攻击成功的概率为1/k)和位置信息，从而提高了LBS系统的位置隐私安全。然而，位置k-匿名方法只能保护单次服务查询的位置隐私。如果用户在移动过程中多次进行服务查询，则位置k-匿名方法仍然有可能泄露用户的位置信息。攻击情形一：攻击者可以将用户不同查询时刻所处的匿名区域串联起来，推测出其大致的行动路线，再根据路网信息等背景知识，则可能挖掘出用户的行为特征，从而猜测出其身份信息。如某用户从公司下班回家的路上发起了连续查询请求，并且在该时间段内经过某一超市购物，则攻击者可以推测出该用户大致在哪里上班、在哪里购物、住哪个住宅，进而或者用户的身份，生活水平，兴趣爱好等敏感信息。攻击情形二：攻击者将连续服务的匿名集进行交集运算，则有可能获得用户的身份信息。如假设系统有用户A～E，用户A分别在t₁、t₂、t₃时刻发出服务查询，每次查询的匿名集分别为{A,B,C}、{A,D,C}和{A,D,E}，攻击者只要将这些匿名集进行交集，即可获知真正的查询者是用户A。

发明内容

有鉴于此，本发明的目的是提出一种连续位置服务中基于路网的位置隐私保护方法，解决位置k匿名方法在连续位置服务的应用中存在的用户身份容易暴露的的问题，利用路网信息构建l条相似的轨迹集，并确保用户每次查询的区域都能涵盖l-覆盖轨迹，同时对用户身份进行匿名硬是，使得位置服务器无法确切获得用户的真实轨迹和身份，从而提高隐私安全性。该方法能在使用最小查询区域的条件下，提供轨迹l多样性的隐私保护。

本发明采用以下方案实现：在本方案中，我们利用路网信息构造最优l-覆盖轨迹，并对各轨迹进行抽样处理，进而构造包含l条距离最近的点轨迹的最小覆盖区域，保证用户轨迹具有l-多样性。为了便于方案设计，我们首先做以下假设：1)系统存在一个可信的第三方服务器，负责对用户的查询进行匿名处理。匿名服务器在匿名处理时将对用户的身份进行匿名映射处理，确保提交给位置服务器的查询信息中没有显性的用户身份信息，且位置服务器能够响应查询身份的服务请求；2)匿名服务器已知用户在当前分区内的移动轨迹，即匿名服务器可根据分区路网分布情况与用户当前所处路段预测其离开该分区的移动路径。

本发明具体包括以下步骤；

步骤S1：进行系统初始化处理:在系统初始化时，匿名服务器首先对服务区进行分区处理，然后根据路网信息为每个分区构造一个公用的轨迹库；

步骤S2：当用户进行连续查询时，首先从轨迹库中挑出l-1条距离最近的轨迹，构成一个最优l-覆盖轨迹；所述l值是轨迹隐私系数，l越大，则真实轨迹暴露的概率越小；其中，将用户的每一个查询消息表示为：

QM＝{u_id,(x,y),poi,t}；

其中，u_id表示能唯一标识用户的身份信息，(x,y)表示查询用户当前位置坐标，t表示该单次查询的有效时间，poi表示查询的主题；

步骤S3：根据用户每次查询的位置，对最优l-覆盖轨迹内的各轨迹进行抽样处理；

步骤S4：分别构造一个能覆盖所有轨迹的最小覆盖区域；

步骤S5：对查询用户的ID进行匿名映射。

进一步地，所述步骤S1中分区处理具体为：采用四叉树算法，根据路网密度对服务区域进行分区，使得每个分区内道路的数目不超过一个设定的阈值τ，其中τ≥l；τ值越小，则分区小，服务质量越好；但覆盖的轨迹越少，并且轨迹交叉点越少，安全系数越低。

进一步地，所述步骤S1中轨迹库的构造方法具体为：首先，获取本区域内所有道路的端点，构成一个端点集；再利用启发式寻路算法以任意两个不同端点为起始点，生成一条轨迹，直至遍历所有端点。

进一步地，步骤S2中最优l-覆盖轨迹的构造方法具体为：对于分区内每一条待处理的轨迹，计算其与用户轨迹的距离，进而选出最近的l-1条，构成一个最优l-覆盖轨迹，其中轨迹的距离计算公式如下：

其中，为基准轨迹T_u与分区内任意一条点轨迹T_v的距离，假设

T_u＝(t_u1,t_u2,…,t_un)，

T_v＝(t_v1,t_v2.…,t_vm)；

其中，|t_ui,t_vj|表示位置点t_ui到位置点t_vj的欧式距离，n,m分别表示轨迹T_u和T_v内包含的位置点的个数，其中

T_i＝(t_i1,t_i2,…,t_in)＝((x₁,y₁),(x₂,y₂),…,(x_n,y_n))。

进一步地，步骤S3具体为：分别以目标轨迹T_u内的每一个位置点为基准点，对于最优l-覆盖轨迹中的每一条点轨迹，采用折半查找法得到距离基准点最近的位置点，并将该位置点作为抽样点，最终形成对应于目标轨迹的抽样轨迹。

进一步地，所述步骤S4具体为：由于最优l-轨迹已经过抽样处理，因此，在构造第i个覆盖区域时，只需要依时间顺序依次选取每条轨迹上的第i个抽样位置点，并以距离最远的两个位置点为直径构造一个圆，该圆形区域即为最小覆盖区域，也即所求匿名区域。

进一步地，所述步骤S5具体为：对于用户的每一次查询请求，匿名服务器为其分配一个随机的查询ID，并保存这种映射关系，以便查询结果的准确返回。

与现有技术相比，本发明有以下有益效果：

1、通过路网构造的点轨迹能保证具有连通性，不会出现跳跃或者奇异点(不可达的位置点)，从而可保证构造出遮掩轨迹具有较好地合理性，提高了轨迹的隐私安全。

2、路网信息已经包含着所有可能的轨迹，因此基于路网来构造遮掩轨迹，可以实现在使用最小查询区域(可获得最优服务质量)的条件下，获得轨迹l-多样性的隐私安全级别。

附图说明

图1是本发明的系统流程图。

图2是本发明的覆盖轨迹示意图。

图3是本发明的轨迹抽样处理图。

图4是本发明的匿名区域构造图。

具体实施方式

下面结合附图及实施例对本发明做进一步说明。

在本实施例中，我们先进行下列定义：

定义1(查询消息QM)：对用户的每一个查询消息，我们可形式化表示为：

QM＝{u_id,(x,y),poi,t}；

其中，u_id表示能唯一标识用户的身份信息，(x,y)表示查询用户当前位置坐标，t表示该单次查询的有效时间，poi表示查询的主题。

定义2(点轨迹)：离散的位置点序列可定义为一条点轨迹，令T_i表示一条点轨迹，则T_i可形式化表示为：

T_i＝(t_i1,t_i2,…,t_in)＝((x₁,y₁),(x₂,y₂),…,(x_n,y_n))；

其中，n为整数，表示一条轨迹包含的位置点个数，t_ij(1≤j≤n)为j时刻轨迹T_i的一个位置记录点，(x,y)为坐标。

定义3(轨迹距离)：对于任意两条点轨迹T_u和T_v，假设T_u＝(t_u1,t_u2,…,t_un)，T_v＝(t_v1,t_v2.…,t_vm)，其中T为基准轨迹，则T_u和T_v之间的距离定义为：

其中，|t_ui,t_vj|表示位置点t_ui到位置点t_vj的欧式距离，n,m分别表示轨迹T_u和T_v内包含的位置点的个数。显然，

定义4(l-覆盖轨迹)：假设有l条轨迹T₁～T_l；其中T₁为基准点轨迹，T₁＝(t₁₁,t₁₂,…,t_1n)；如果有一个离散的区域系列CT＝(Z₁,Z₂,...,Z_n)，并且满足以下条件，则称CT为T₁的一个l-覆盖轨迹：

(1)任取则

(2)任取则Z_i至少覆盖每条点轨迹中的一个位置点；

则{T₂～T_l}也称为CT的成员轨迹。

定义5(最优l-覆盖轨迹)：假设点轨迹T_u共有n条l-覆盖轨迹，定义为CTS＝{CT₁,CT₂,...,CT_n}；如果有一个l-覆盖轨迹CT_i(1≤i≤n)，对于任意CT_j∈CTS(1≤j≤n，)都满足以下条件：

则称CT_i为T_u的最优l-覆盖轨迹，简称BCT(T_u)。

下面我们根据图1至图4，给出本发明的具体实现步骤(图1为本发明的流程示意图)：

步骤1系统初始化：在系统初始化时，匿名服务器首先根据路网密度对服务区进行基于四叉树算法的分区处理，然后为每个分区构造一个公用的轨迹库；首先，获取本区域内所有道路的端点，构成一个端点集；再利用启发式寻路算法(如A*算法)以任意两个不同端点为起始点，生成一条轨迹，直至遍历所有端点。假设某个区域有n条道路，则可以认为共有2n个端点，因此，可以获得C_2n ²条轨迹。

步骤2构造最优l-覆盖轨迹：对于分区内每一条待处理的轨迹，根据定义3计算并比较其与用户轨迹T_u的距离，进而选出最近的l-1条，构成一个最优l-覆盖轨迹。如图2所示。

步骤3轨迹的抽样处理：对于最优l-覆盖轨迹中的每一条点轨迹，采用折半查找法来寻找距离基准点最近的位置点；首先确定基准位置点，然后在待处理轨迹点集中找出中间序号点，并再在中间点左右各取一个序号最近的位置点与基准位置点进行距离的比较，从而进一步确定最近位置点的范围；重复上述查找过程，最终得到该点轨迹中对应于基准位置点的最近位置，并将该位置点作为抽样点取出，以便进行后续的匿名处理。如图3所示。

步骤4最小覆盖区域的构造：由于最优l-轨迹已经过抽样处理，因此，在构造第i个覆盖区域时，只需要依时间顺序依次选取每条轨迹上的第i个抽样位置点，并以距离最远的两个位置点为直径构造一个圆，该圆形区域即为最小覆盖区域，也即所求匿名区域。如图4所示。

步骤5匿名映射：对于用户的每一次查询请求，匿名服务器为用户u_id随机生成一个查询ID(Q_id)，并将各自的对应关系信息存储起来。

以上所述仅为本发明的较佳实施例，凡依本发明申请专利范围所做的均等变化与修饰，皆应属本发明的涵盖范围。

Claims

1.一种连续位置服务中基于路网的位置隐私保护方法，其特征在于包括以下步骤：

QM＝{u_id,(x,y),poi,t}；

其中，u_id表示能唯一标识用户的身份信息，(x,y)表示查询用户当前位置坐标，t表示单次查询的有效时间，poi表示查询的主题；

步骤S4：分别构造一个能覆盖所有轨迹的最小覆盖区域；

步骤S5：对查询用户的ID进行匿名映射。

2.根据权利要求1所述的一种连续位置服务中基于路网的位置隐私保护方法，其特征在于：所述步骤S1中分区处理具体为：采用四叉树算法，根据路网密度对服务区域进行分区，使得每个分区内道路的数目不超过一个设定的阈值τ，其中τ≥l；τ值越小，则分区小，服务质量越好；但覆盖的轨迹越少，并且轨迹交叉点越少，安全系数越低。

3.根据权利要求1所述的一种连续位置服务中基于路网的位置隐私保护方法，其特征在于：所述步骤S1中轨迹库的构造方法具体为：首先，获取本区域内所有道路的端点，构成一个端点集；再利用启发式寻路算法以任意两个不同端点为起始点，生成一条轨迹，直至遍历所有端点。

4.根据权利要求1所述的一种连续位置服务中基于路网的位置隐私保护方法，其特征在于：步骤S2中最优l-覆盖轨迹的构造方法具体为：对于分区内每一条待处理的轨迹，计算其与用户轨迹的距离，进而选出最近的l-1条，构成一个最优l-覆盖轨迹，其中轨迹的距离计算公式如下：

<mrow> <msub> <mi>D</mi> <msub> <mi>T</mi> <mi>u</mi> </msub> </msub> <mrow> <mo>(</mo> <msub> <mi>T</mi> <mi>v</mi> </msub> <mo>)</mo> </mrow> <mo>=</mo> <munderover> <mo>&Sigma;</mo> <mrow> <mi>i</mi> <mo>=</mo> <mn>1</mn> </mrow> <mi>n</mi> </munderover> <munder> <mrow> <mi>m</mi> <mi>i</mi> <mi>n</mi> </mrow> <mrow> <mi>j</mi> <mo>=</mo> <mn>1</mn> <mo>,</mo> <mo>...</mo> <mo>,</mo> <mi>m</mi> </mrow> </munder> <mo>|</mo> <msub> <mi>t</mi> <mrow> <mi>u</mi> <mi>i</mi> </mrow> </msub> <mo>,</mo> <msub> <mi>t</mi> <mrow> <mi>v</mi> <mi>j</mi> </mrow> </msub> <mo>|</mo> <mo>;</mo> </mrow>

其中，D_Tu(T_v)为基准轨迹T_u与分区内任意一条点轨迹T_v的距离，假设

T_u＝(t_u1,t_u2,…,t_un)，

T_v＝(t_v1,t_v2.…,t_vm)；

T_i＝(t_i1,t_i2,…,t_in)＝((x₁,y₁),(x₂,y₂),…,(x_n,y_n))。

5.根据权利要求1所述的一种连续位置服务中基于路网的位置隐私保护方法，其特征在于：步骤S3具体为：分别以目标轨迹T_u内的每一个位置点为基准点，对于最优l-覆盖轨迹中的每一条点轨迹，采用折半查找法得到距离基准点最近的位置点，并将该位置点作为抽样点，最终形成对应于目标轨迹的抽样轨迹。

6.根据权利要求1所述的一种连续位置服务中基于路网的位置隐私保护方法，其特征在于：所述步骤S4具体为：由于最优l-覆盖轨迹已经过抽样处理，因此，在构造第i个覆盖区域时，只需要依时间顺序依次选取每条轨迹上的第i个抽样位置点，并以距离最远的两个位置点为直径构造一个圆，该圆形区域即为最小覆盖区域，也即所求匿名区域。

7.根据权利要求1所述的一种连续位置服务中基于路网的位置隐私保护方法，其特征在于：所述步骤S5具体为：对于用户的每一次查询请求，匿名服务器为其分配一个随机的查询ID，并保存这种映射关系，以便查询结果的准确返回。