CN108513262A - 基于合成似真路径的位置隐私保护方法 - Google Patents

Abstract

一种基于合成似真路径的位置隐私保护方法。拟通过根据目标位置生成路径，来生成假位置，利用真假混合的方式构造位置集合。在生成假路径的过程中，我们采用取样的方式，只对轨迹的关键点进行替换，然后对关键点中间的路径进行填充，轨迹中的关键点是用户的活动改变的点，我们将其定义为停驻点。我们会根据区域的用户流量特征来构建区域的流量类别，同时基于用户的移动特征来建立用户的移动模型。这两者是生成轨迹的前提。为此，本发明公开基于用户移动行为建模的位置隐私保护方法。从而根据用户的真实位置生成假位置点，以此来混合数据，实现用户位置隐私的保护。

Description

基于合成似真路径的位置隐私保护方法

技术领域

本发明涉及位置隐私保护方法。

背景技术

在大数据时代，移动传感设备等位置感知技术的发展将用户的地理位置数据大量发送给服务应用，因此移动位置隐私保护的问题也越来越突出，攻击者会试图通过截取信息，攻击服务应用服务器来获得用户的真实地理位置。为保障用户的位置隐私，传统的位置隐私保护方法在日益加剧的隐私攻击下极易被攻破，因此传统的简单保护方法已无法满足实际需要。

在无线通信和移动数据库技术快速发展的今天，移动用户的位置敏感信息将会被广泛的采集使用，如何保护用户的位置信息的隐私安全成为了一个亟待解决的问题。在存在可信第三方的架构下，位置隐私保护方法的本质是将用户的某个真实位置用一个位置集合来代替，上传给基于位置服务的应用，应用会对集合中的每一个位置返回相应的信息，可信第三方会将真实位置的信息筛选出来发送给用户。根据位置集合的生成方式，现存方法可以分为三类：1.将其他用户的真实位置和目标位置混合生成位置集合的方法，例如，k匿名；2.将目标位置与其周边部分位置进行混合，例如，位置隐蔽(location cloaking)；3.根据目标位置生成假位置，利用真假混合的方式生成集合。

发明内容

位置隐私保护的方法面临的重要挑战是保护效果欠佳，或者计算复杂度高，这些是影响现存方法实用性的重要因素。本发明在于克服现有技术的不足，提出高效高实用性的位置隐私保护方法。

概括的技术方案：

拟通过根据目标位置生成路径，来生成假位置，利用真假混合的方式构造位置集合。在生成假路径的过程中，我们采用取样的方式，只对轨迹的关键点进行替换，然后对关键点中间的路径进行填充，轨迹中的关键点是用户的活动改变的点，我们将其定义为停驻点。我们会根据区域的用户流量特征来构建区域的流量类别，同时基于用户的移动特征来建立用户的移动模型。这两者是生成轨迹的前提。为此，本发明公开基于用户移动行为建模的位置隐私保护方法。从而根据用户的真实位置生成假位置点，以此来混合数据，实现用户位置隐私的保护。

进一步给出的技术方案：

得益于当前移动设备产生的丰富信息数据，我们可以获取到大量用户的真实轨迹的记录点数据，包括记录点位置、记录点时间、记录点的行驶状态等。我们基于区域和时间离散化的方法来实现隐私保护过程，根据区域大小将地图划分成不同的区域块，同时根据时长长短将时间分成多个时间片。我们在两个方面进行建模，第一是以区域为研究对象，提取区域的人流量特征，利用对称KL散度对区域进行聚类，将区域划分成不同类别。第二是以用户为研究对象，基于一阶马尔科夫模型提取用户的区域转移特征，同时提取穿越区域耗时的分布。基于以上两点设计一种基于伪造路径的保护位置隐私的方法，解决传统保护方法效用低，复杂度高的弊端，为信息化时代的位置安全问题的解决提供了新的思路和分析方法。

进一步给出技术方案：

一种基于合成似真路径的位置隐私保护方法，其特征在于，方法分为三个阶段：

第一阶段具体实施步骤：

步骤1-1，对用户轨迹数据进行预处理，如果用户的活动发生变化，那么变化的地点和时间记录＜r,t＞(r代表位置，t代表时间)就是一个停驻点。

步骤1-2，对用户轨迹数据进行预处理，停驻点之间的轨迹为一段路段。

第二阶段具体实施步骤：

步骤2-1，对于停驻点数据，统计每个区域内停驻点的时空分布，统计每个区域不同时段的进入人数N_in(r,t)，和出去人数N_out(r,t)。计算出每个区域内人流进入和人流流出随时间的分布模型

步骤2-2，利用公式d_s(A,B)＝α·SKL(P_inA,P_inB)+β·SKL(P_outA,P_outB)，计算出两个区域之间的距离，其中SKL是对称KL散度，α和β是常系数，P_inA和P_outA 分别是进入和离开区域A的人流量随着时间的分布，P_inB和P_outB分别是进入和离开区域B的人流量随着时间的分布。利用层次聚类根据区域之间的距离对区域进行离线聚类，得到不同的区域类别。

步骤2-3，在不同时段，统计用户从一个区域转移到另一个区域的概率，在这里只计算相邻区域的转移概率，如果不相邻，则认为转移概率为0，这样可以构成一个带权有向图模型G_p(t)，其中的节点是区域，有向边的权值是转移概率。在不同时段，统计用户从一个区域穿过另一个区域，到达新区域的消耗时间模型 T(t)。

其中：以上步骤2-1、2-2是递进进行，它们与2-3是并列进行着的。

第三阶段具体实施步骤：

步骤3-1，根据目标位置和上传的轨迹，找到轨迹中的起点和终点，提取出包含目标位置的一段路段。

步骤3-2，确定该路段中的每个停驻点的候选假点：如果在以前的假位置生成过程中对该停驻点生成过假点，那么候选点就是这些已经生成的假点，如果在以前没有生成过假点，那么候选点就是与该停驻点在同一个区域类别中的其它位置。

步骤3-3，可以构成多个二部图。每个部分为一个停驻点的候选假点，两个停驻点的候选假点之间的权值是这两个点的地理距离与其相对应的真实停驻点的地理距离的差。利用Kuhn-Munkres算法来匹配这些假点，根据最大权重和的原则，选出n个假点序列，这对应着n条假轨迹。

步骤3-4，对于每条假点序列，根据步骤2-3中计算得到的G_p(t)填充假点序列中相邻假点之间的点，然后根据步骤2-3中计算得到的T(t)对每个点加时间戳，根据目标位置的时间来选择假轨迹中的假点。

为此，给出的具体实现的算法技术方案为：

一种基于合成似真路径的位置隐私保护算法，其过程如下：

输入：用户历史轨迹信息、目标位置、目标时间两侧15小时内的轨迹

输出：目标位置、时间相应的多个假位置、时间

(1)根据用户的属性，提取用户历史轨迹的停驻点和路段，执行步骤(2)。

(2)根据用户历史轨迹中的停驻点数据，统计每个区域在不同时段的进入、流出人数，进而得到每个区域随着时间变化的流入人数分布P_in和P_out，利用对称KL散度计算任意两个区域之间的相似性，利用层次聚类对区域进行聚类，执行步骤(3)。

(3)根据用户历史轨迹中的路段数据，统计所有用户在不同时段里区域间的转移的概率G_p(t)，同时统计不同时段里通过区域的时间T(t)，执行步骤(4)。

(4)根据用户的目标位置和两侧轨迹，选取起点和终点，截取路径(目标点在路径中)，记录该路径中的停驻点，执行步骤(5)。

(5)根据区域的流量特征类别，根据距离相似的原则，选取与路径中停驻点相同流量特征的区域作为假停驻点，选取相应停驻点的时间作为假时间，执行步骤(6)。

(6)根据G_p(t)填充假停驻点之间的区域路径，根据T(t)填充该路径的时间，执行步骤(7)。

(7)在假轨迹中选取与目标时间相同的位置作为假位置，目标时间及为假时间。

首先基于LBS用户的历史轨迹数据，利用轨迹中停驻点的时空分布，对地图中不同区域建立区域进出人流量随时间分布模型(P_in(r,t)和P_out(r,t))，根据人流量特征进行分类，确定区域的不同类别。然后利用历史轨迹中路段数据，对所用用户整体的区域转移概率以及区域穿行时间进行建模(区域间转移概率G_p(t 和T(t))。在模型建好后，当输入一个目标位置，以及相应信息，先确定这个目标位置所在的用户轨迹，然后根据已建好的两个模型生成假的轨迹，最后选取假轨迹中相应时间的位置作为假位置。通过真假位置混合的方式保护用户真正的位置，同时不损失LBS的服务效用。

本发明经过实验证明，该方法在保护效用和计算时间上都优于先前的研究。

附图说明

图1本发明基于合成似真路径的位置隐私保护方法系统结构图

图2本发明算法流程图

图3为基于合成似真路径的隐私保护方法伪算法流程图

具体实施方式

基于行为建模的移动互联网用户身份识伪方法系统结构图，如图1所示。图 1分为三个阶段，第一个阶段是根据历史数据提取停驻点和路段，第二个阶段是根据历史数据离线生成区域流量特征，以及用户的移动特征，第三个阶段是输入目标位置，在线生成假位置。

详述如下

整个方案分为三个阶段：

第一阶段具体实施步骤：

步骤1-1，对用户轨迹数据进行预处理，如果用户的活动发生变化，那么变化的地点和时间记录＜r,t＞(r代表位置，t代表时间)就是一个停驻点。

步骤1-2，对用户轨迹数据进行预处理，停驻点之间的轨迹为一段路段。

第二阶段具体实施步骤：

步骤2-1，对于停驻点数据，统计每个区域内停驻点的时空分布，统计每个区域不同时段的进入人数N_in(r,t)，和出去人数N_out(r,t)。计算出每个区域内人流进入和人流流出随时间的分布模型

步骤2-2，利用公式d_s(A,B)＝α·SKL(P_inA,P_inB)+β·SKL(P_outA,P_outB)，计算出两个区域之间的距离，其中SKL是对称KL散度，α和β是常系数，P_inA和P_outA 分别是进入和离开区域A的人流量随着时间的分布，P_inB和P_outB分别是进入和离开区域B的人流量随着时间的分布。利用层次聚类根据区域之间的距离对区域进行离线聚类，得到不同的区域类别。

步骤2-3，在不同时段，统计用户从一个区域转移到另一个区域的概率，在这里只计算相邻区域的转移概率(对角区域也算)，如果不相邻，则认为转移概率为0，这样可以构成一个带权有向图模型G_p(t)，其中的节点是区域，有向边的权值是转移概率。在不同时段，统计用户从一个区域穿过另一个区域，到达新区域的消耗时间模型T(t)。

其中：以上步骤2-1、2-2是递进进行，它们与2-3是并列进行着的。

第三阶段具体实施步骤：

步骤3-1，根据目标位置和上传的轨迹，找到轨迹中的起点和终点，提取出包含目标位置的一段路段(起点到终点的轨迹)。

步骤3-2，确定该路段中的每个停驻点的候选假点：如果在以前的假位置生成过程中对该停驻点生成过假点，那么候选点就是这些已经生成的假点，如果在以前没有生成过假点，那么候选点就是与该停驻点在同一个区域类别中的其它位置。

步骤3-3，可以构成多个二部图。每个部分为一个停驻点的候选假点，两个停驻点的候选假点之间的权值是这两个点的地理距离与其相对应的真实停驻点的地理距离的差。例如，在图2中，点A、B、C、D是停驻点P1的候选假点，点E,、F、G是停驻点P2的候选假点，A和E之间连线的权值是AE间的距离与P1P2之间的距离之差的绝对值(||AE|-|P1P2||)。利用Kuhn-Munkres算法来匹配这些假点，可以根据最大权重和的原则，选出n个假点序列，这对应着n 条假轨迹。

步骤3-4，对于每条假点序列，根据步骤2-3中计算得到的G_p(t)填充假点序列中相邻假点之间的点，然后根据步骤2-3中计算得到的T(t)对每个点加时间戳，根据目标位置的时间来选择假轨迹中的假点。

算法

基于合成似真路径的隐私保护方法伪算法(具体流程见图3)

输入：用户历史轨迹信息、目标位置、目标时间两侧15小时内的轨迹

输出：目标位置、时间相应的多个假位置、时间

(1)根据用户的属性，提取用户历史轨迹的停驻点和路段，执行步骤(2)。

(2)根据用户历史轨迹中的停驻点数据，统计每个区域在不同时段的进入、流出人数，进而得到每个区域随着时间变化的流入人数分布和，利用对称KL 散度计算任意两个区域之间的相似性，利用层次聚类对区域进行聚类，执行

步骤(3)。

(3)根据用户历史轨迹中的路段数据，统计所有用户在不同时段里区域转移的概率，同时统计不同时段里通过区域的时间，执行步骤(4)。

(4)根据用户的目标位置和两侧轨迹，选取起点和终点，截取路径(目标点在路径中)作为假路径的生成模板，记录该路径中的停驻点，执行步骤(5)。

(5)根据区域的流量特征类别，根据距离相似的原则，选取与路径中停驻点相同流量特征的区域作为假停驻点，选取相应停驻点的时间作为假时间，执行步骤(6)。

(6)根据填充假停驻点之间的区域路径，根据填充该路径的时间，执行步骤(7)。

(7)在假轨迹中选取与目标时间相同的位置作为假位置，目标时间及为假时间。

经过实验证明，该方法在准确率和计算时间上都优于先前的研究。

本项目的创新点

1.提出“停驻点”的概念，将用户轨迹分成停驻点和路段。

2.利用停驻点的时空分布得到区域的人流量特征。

3.基于“忽视过程”的方法，在保证隐私效用的同时，降低算法的时间空间复杂度，使其具有实用性。

批注：本发明中的有关术语以及对于先前的主要技术可参见如下资料。

[1]D.Eckhoff and C.Sommer,“Driving for big data？privacy concernsinvehicular networking,”Proc.IEEE S&P,2014,vol.12,no.1,pp.77–79,2014.

[2]A.R.Beresford and F.Stajano,“Location privacy in pervasivecomputing,”IEEE Pervasive computing,vol.2,no.1,pp.46–55,2003.

[3]B.Lee,J.Oh,H.Yu,and J.Kim,“Protecting location privacyusinglocation semantics,”in Proc.ACM SIGKDD 2011.

[4]L.Yao,G.Wu,J.Wang,F.Xia,C.Lin,and G.Wang,“A clusteringk-anonymityscheme for location privacy preservation,”IEICE Transactionson Informationand Systems,vol.95,no.1,pp.134–142,2012.

[5]A.Khoshgozaran and C.Shahabi,“Blind evaluation of nearestneighborqueries using space transformation to preserve location privacy,”inProc.SSTD 2007.

[6]M.L.Yiu,C.S.Jensen,X.Huang,and H.Lu,“Spacetwist:Managingthe trade-offs among location privacy,query performance,and queryaccuracy in mobileservices,”in Proc.IEEE ICDE 2008.

[7]V.Bindschaedler and R.Shokri,“Synthesizing plausible

privacypreservinglocation traces,”in Proc.IEEE S&P 2016.

[8]J.Krumm,“Realistic driving trips for location privacy,”inProc.7^thInternational Conference on Pervasive Computing(Pervasive 2009).

[9]T.-H.You,W.-C.Peng,and W.-C.Lee,“Protecting movingtrajectorieswith dummies,”in Proc.IEEE MDM 2007.

[10]R.Shokri,G.Theodorakopoulos,J.-Y.Le Boudec,and J.-P.

Hubaux,“Quantifying location privacy,”in Proc.IEEE S&P 2011。

Claims (1)

1.一种基于合成似真路径的位置隐私保护方法，其特征在于，方法分为三个阶段：

第一阶段具体实施步骤：

步骤1-1，对用户轨迹数据进行预处理，如果用户的活动发生变化，那么变化的地点和时间记录＜r,t＞(r代表位置，t代表时间)就是一个停驻点。

步骤1-2，对用户轨迹数据进行预处理，停驻点之间的轨迹为一段路段。

第二阶段具体实施步骤：

步骤2-1，对于停驻点数据，统计每个区域内停驻点的时空分布，统计每个区域不同时段的进入人数N_in(r,t)，和出去人数N_out(r,t)。计算出每个区域内人流进入和人流流出随时间的分布模型

步骤2-2，利用公式d_s(A,B)＝α·SKL(P_inA,P_inB)+β·SKL(P_outA,P_outB)，计算出两个区域之间的距离，其中SKL是对称KL散度，α和β是常系数，P_inA和P_outA分别是进入和离开区域A的人流量随着时间的分布，P_inB和P_outB分别是进入和离开区域B的人流量随着时间的分布。利用层次聚类根据区域之间的距离对区域进行离线聚类，得到不同的区域类别。

步骤2-3，在不同时段，统计用户从一个区域转移到另一个区域的概率，在这里只计算相邻区域的转移概率，如果不相邻，则认为转移概率为0，这样可以构成一个带权有向图模型G_p(t)，其中的节点是区域，有向边的权值是转移概率。在不同时段，统计用户从一个区域穿过另一个区域，到达新区域的消耗时间模型T(t)。

其中：以上步骤2-1、2-2是递进进行，它们与2-3是并列进行着的。

第三阶段具体实施步骤：

步骤3-1，根据目标位置和上传的轨迹，找到轨迹中的起点和终点，提取出包含目标位置的一段路段。

步骤3-2，确定该路段中的每个停驻点的候选假点：如果在以前的假位置生成过程中对该停驻点生成过假点，那么候选点就是这些已经生成的假点，如果在以前没有生成过假点，那么候选点就是与该停驻点在同一个区域类别中的其它位置。

步骤3-3，可以构成多个二部图。每个部分为一个停驻点的候选假点，两个停驻点的候选假点之间的权值是这两个点的地理距离与其相对应的真实停驻点的地理距离的差。利用Kuhn-Munkres算法来匹配这些假点，根据最大权重和的原则，选出n个假点序列，这对应着n条假轨迹。

步骤3-4，对于每条假点序列，根据步骤2-3中计算得到的G_p(t)填充假点序列中相邻假点之间的点，然后根据步骤2-3中计算得到的T(t)对每个点加时间戳，根据目标位置的时间来选择假轨迹中的假点。