CN108882152B - 一种基于路径选择上报的用户隐私保护方法 - Google Patents

Abstract

本发明涉及用户轨迹隐私保护领域，提供一种基于路径选择上报的用户隐私保护方法，包括如下步骤：1、首先将公开的城市地图转化为无向图；2、根据历史轨迹信息计算各个路段之间的转移概率；3、由用户轨迹的起始点和终点查找计算相同起始点和终点的多条轨迹，并根据路段之间的转移概率计算各轨迹的概率；4、根据各轨迹概率值计算真实轨迹的先验概率；5、根据差分隐私来度量用户隐私保护强度，并以差分隐私保护原则计算最优上报路段集；6、用户上报最优路段集，上报数据为传感器在对应路段采集到的数据和相应的路段信息；本发明能在本地端完成，有效地保护用户轨迹隐私。

Description

一种基于路径选择上报的用户隐私保护方法

技术领域

本发明涉及数据采集和用户轨迹隐私保护技术领域，具体涉及一种基于路径选择上报的用户隐私保护方法。

背景技术

城市环境、交通等状况与人们生活息息相关，对于城市级状况的检测主要依赖于大规模的铺设无线传感器网络；但是，部署大量无线传感器节点不仅对人力财力的消耗巨大，而且会受到能量、通信能力的限制以及后续的维护难度较大。因此，新型的群智感知网络数据采集方式受到了人们的青睐。

近些年，移动智能设备的广泛应用，由于其强大的功能和嵌入有各种传感器，使得不再需要铺设大规模无线传感器网络进行数据采集。群智感知网络是持有移动智能设备的参与用户构成的数据采集网络系统，用户根据接收到来自服务器发布的任务，通过利用智能设备自带的传感器进行数据采集并上报数据，并依赖多用户间的协作完成对整个城市的数据采集。但是，采集的城市状况数据往往需包含时空信息，用户的时空信息泄露将导致其个人轨迹隐私暴露，使得攻击者能够推断出参与用户的家庭工作地址、个人兴趣爱好等隐私信息。因此，在利用群智感知网络进行数据采集过程中，如何保护参与用户的轨迹隐私是一个关键问题。现有的对于用户位置轨迹隐私保护方案有K-匿名、泛化、位置混淆、假轨迹生成、加密等方法。

但是，这些方案主要存在下述的问题：1、采集数据精度问题，该问题主要是由数据真实采集位置和上报位置不一致引起，主要是因为现有的多种用户位置或轨迹隐私保护方案均是通过一定程度地模糊用户真实位置实现的；2、在实际路网中，这些方案存在可行性问题；例如：针对用户某一采样位置采用假位置法进行保护，生成的虚假位置可能是建筑物或者河流等所处的位置，从而使得该位置不可用；3、利用加密算法实现对用户轨迹隐私的保护，其关键问题在于加密算法的计算性复杂，对于用户的智能设备而言，需消耗极大的运行代价。

发明内容

本发明目的在于提供一种基于路径选择上报的用户隐私保护方法，适用于群智感知网络中移动用户参与数据采集的系统，能够在本地完成且不需要用户间的相互协作，避免了恶意参与用户的可能性。

为达成上述目的，本发明提出如下技术方案：

一种基于路径选择上报的用户隐私保护方法，其特征在于，包括如下步骤：

(1)首先将公开的城市地图转化为无向图；

(2)根据历史轨迹信息计算各个路段之间的转移概率；

(3)由用户轨迹的起始点和终点查找计算相同起始点和终点的多条轨迹，并根据路段之间的转移概率计算各轨迹的概率；

(4)根据各轨迹概率值计算真实轨迹的先验概率；

(5)以差分隐私来度量用户隐私保护强度，并根据差分隐私保护原则计算最优上报路段集；

(6)用户上报根据步骤(5)计算出的最优路段集及路段相关数据信息。

进一步的，步骤(1)中城市地图转化为相应的逻辑地图G＝(V，E)；

城市地图中道路的交点作为无向图的顶点v，得到顶点集合V，V＝{v₁,v₂,…,v_num}，num表示城市地图中道路的交点数量；

城市地图中各路段作为无向图中的边e，得到边集合E，E＝{e₁,e₂,…,e_m}，m为城市地图道路中路段的数量。

进一步的，步骤(2)中通过历史轨迹计算各路段之间转移概率的方法包括如下步骤：

(1.1)将用户原始行驶轨迹转换为用顶点v表达的的有序序列；

(1.2)统计各路段经过的数量N_count(i)，以及该路段转移到其他各路段的数量count(i,j)；

(1.3)路段i到路段j的转移概率记为P(i,j)，则P(i,j)＝count(i,j)/N_count(i)，其中i≠j。

进一步的，步骤(3)中通过路段之间的转移概率计算与用户真实轨迹相同起始和终止点的各轨迹概率的步骤如下：

(1.1)移动智能设备获取到用户真实轨迹，确定该轨迹的起始和终止位置；

(1.2)搜索用户通过相同起始和终止位置的可能轨迹t_n，得到可能轨迹集合，记为T，T＝{t₁,t₂,…,t_n}，n表示轨迹集中轨迹的数量，即与真实轨迹相同起始点和终点的轨迹的数量；

(1.3)即假设用户将要行驶的路段取决于当前所处的路段，且只考虑路段之间一步转移概率，则若原始行驶轨迹转化后为

则该轨迹概率为：

其中，A表示路段，t_R为轨迹集合中的真实轨迹，R为真实轨迹的下标，r表示真实轨迹的长度，k为真实轨迹的第k个路段。

进一步的，步骤(4)中用户真实轨迹t_R的先验概率记为π(t_R)，为真实轨迹t_R的概率P(t_R)与所有可能轨迹T＝{t₁,t₂,…,t_n}的概率和的比值；

定义用户起始点和终点分别为v_s、v_e，轨迹集合T＝{t₁,t₂,…,t_n}，各轨迹概率大小分别记为P(t₁),P(t₂),…,P(t_n)，则用户真实轨迹t_R的先验概率为：

其中，1≤a≤n，a表示用户可能通过的轨迹下标。

若用户上报路段集为{e₁,e₂,…,e_j}，后验概率记为σ(t_R)，表示攻击者推测出真实轨迹的概率，即：

公式(1-3)中

是表明路段e_q是否属于轨迹t_l；其中，l表示轨迹集合T中第l条轨迹，J表示第l条轨迹的路段数量，q表示第l条轨迹的第q个路段。

进一步的，所述步骤(5)中采用差分隐私保护作为用户轨迹隐私保护的度量标准，以用户上报路段后攻击者推断出用户真实轨迹概率与原来用户真实轨迹的概率的比值作为用户隐私需求的强度；

用户隐私满足ε-差分隐私的所有上报路段，其后验概率和先验概率的比值满足式(1-4)；

e^-ε≤σ(t_R)/π(t_R)≤e^ε (1-4)

其中，ε为差分隐私保护参数。

进一步的，步骤(6)中采用贪心算法和分支界限法计算寻找出最优上报路段集。

由以上技术方案可知，本发明的技术方案提供的基于路径选择上报的用户隐私保护方法，获得了如下有益效果：

1)本发明的用户隐私保护方法，采用差分隐私保护参与用户的轨迹隐私，考虑了攻击者对用户信息的掌握，相比较K-匿名隐私保护方法，能够在本地完成且不需要用户间的相互协作，避免了恶意参与用户的可能性；

2)本发明相比较假位置和假轨迹法，采用城市地图的无向图，其不受城市地图的限制，解决了虚假位置和轨迹的可用性问题；

3)本发明相较于加密算法，通过简单计算就可以选择出需上报的路段集，计算量相对较小，不需要进行大量计算，减轻了移动智能设备的计算消耗；

4)本发明相较于传统的数据采集方案，不需大规模铺设无线传感器网络，而是通过解决群智感知中用户隐私安全问题，从而实现群智感知网络的构建进行城市级数据采集，极大的减少了人力物力的投入，以及解决后续维护困难的问题。

应当理解，前述构思以及在下面更加详细地描述的额外构思的所有组合只要在这样的构思不相互矛盾的情况下都可以被视为本公开的发明主题的一部分。

结合附图从下面的描述中可以更加全面地理解本发明教导的前述和其他方面、实施例和特征。本发明的其他附加方面例如示例性实施方式的特征和/或有益效果将在下面的描述中显见，或通过根据本发明教导的具体实施方式的实践中得知。

附图说明

附图不意在按比例绘制。在附图中，在各个图中示出的每个相同或近似相同的组成部分可以用相同的标号表示。为了清晰起见，在每个图中，并非每个组成部分均被标记。现在，将通过例子并参考附图来描述本发明的各个方面的实施例，其中：

图1为本发明系统流程图；

图2为本发明的数据采集及应用构建的具体模型；

图3(a)转化前的城市道路地图，3(b)转化后的逻辑地图；

图4为最优路段上报方案计算流程图。

具体实施方式

为了更了解本发明的技术内容，特举具体实施例并配合所附图式说明如下。

在本公开中参照附图来描述本发明的各方面，附图中示出了许多说明的实施例。本公开的实施例不必定意在包括本发明的所有方面。应当理解，上面介绍的多种构思和实施例，以及下面更加详细地描述的那些构思和实施方式可以以很多方式中任意一种来实施，这是因为本发明所公开的构思和实施例并不限于任何实施方式。另外，本发明公开的一些方面可以单独使用，或者与本发明公开的其他方面的任何适当组合来使用。

本发明旨在通过构建群智感知网络进行城市级的数据采集，在本发明中群智感知网络是持有移动智能设备的参与用户构成的数据采集网络系统，因此要求参与用户上报采集到的数据和相应的时空信息。但是，用户上报的时空信息可能泄露用户的相关隐私，如家庭工作地址、个人爱好、个人健康状况等隐私信息。现已有的对于用户位置轨迹隐私保护方案有K-匿名、泛化、位置混淆、假轨迹生成、加密等方法。这些方案主要包括采集数据精度问题、方案存在可行性问题和加密算法的计算复杂等问题。

在本发明中，上报的数据为真实路段与其相对应的数据，因此不存在精度问题；而且，我们以路段为基本单位进行数据采集和上报，避免了位置的不可用性；同时本发明通过简单计算就可以选择出需上报的路段集，计算量相对较小。此外，采用差分隐私保护参与用户的轨迹隐私，考虑了攻击者对用户信息的掌握，一定程度避免了辅助信息导致用户隐私泄露的可能。

结合图1所示，本发明提出一种基于路径选择上报的用户隐私保护方法，应用于用户的移动终端中，通过计算逻辑地图中用户真实轨迹和相同起始和终止的可能轨迹的概率，进而计算得到所有可以上报路径的后验概率和先验概率，采用差分隐私保护作为用户轨迹隐私保护的度量标准，选择性上报用户真实轨迹中部分路段，进而达到保护用户轨迹的目的；相对于现有技术中各种数据采集方案和用户隐私保护方法，能在本地完成且不需要大量计算，解决群智感知中用户隐私安全问题，降低数据采集投入。

结合图2所示，实施例以车载智能设备作为本发明中的移动智能设备，用以数据采集和数据上报，其中在整个数据采集的协同过程中，可通过多个车载用户及其持有的移动终端，例如智慧型移动通信终端，通过移动终端能够进行相应数据信息的采集，如城市地图采集；任务服务器发布来自于应用服务器的具体任务要求，发布的任务通常为仍需数据采集的某些区域或路段。

本发明主要包括两部分数据处理模块，城市地图转换模块和路径选择模块。

(1)城市地图转换

结合图3(a)和图3(b)所示，本发明对于城市地图转化为相应的逻辑地图图G＝(V,E)，通过提取地图中关键结点，一般为道路中的交叉口或路段转折点，作为无向图的顶点v，得到顶点集合V，V＝{v₁,v₂,…,v_num}，num表示城市地图中道路的交点数量，再根据城市地图中路段之间的连接情况完成无向图中边的添加，无向图中的边记为e，得到边集合E，E＝{e₁,e₂,…,e_m}，m为城市地图道路中路段的数量。

由此，可在后续的处理中，将用户的移动轨迹转化为一个由顶点v组成的有序序列。

因此在本发明中，基于路段选择上报即转化为在无向图中选取部分边在满足用户隐私需求的情况下进行数据采集和上报。

(2)路径选择

首先，移动智能设备获取到用户真实轨迹t，以及确定该轨迹的起始和终止位置，进一步搜索用户通过相同起始和终止位置的可能轨迹t_n，得到可能轨迹集合，记为T，T＝{t₁,t₂,…,t_n}，n表示轨迹集中轨迹的数量，即与真实轨迹相同起始点和终点的轨迹的数量。

其次，根据用户历史轨迹计算各路段之间的转移概率，利用该转移概率作为城市地图中路段之间的联系情况参考标准，从而计算出可能轨迹T＝{t₁,t₂,…,t_n}中每条轨迹的概率情况，并且此概率在本发明中作为用户轨迹信息的先验概率。

通过历史轨迹计算路段间转移概率的方法为，用户原始行驶轨迹转换为顶点的有序序列后，通过统计每个路段经过的数量N_count(i)，以及该路段转移到其它各路段的数量count(i,j),以count(i,j)与N_count(i)的比值作为路段i到路段j的转移概率，并记为P(i,j)，即路段i到路段j的转移概率为：P(i,j)＝count(i,j)/N_count(i)，其中i≠j。

进而，在本发明中，仅考虑了路段之间的一步转移概率，通过路段间转移概率计算对于每条可能轨迹概率如下，即假设用户将要行驶的路段取决于当前所处的路段，若一原始行驶轨迹转化后为

则该轨迹概率为：

其中，A表示路段，t_R为轨迹集合中的真实轨迹，R为真实轨迹的下标，r表示真实轨迹的长度，k为真实轨迹的第k个路段。

在本发明中采用差分隐私保护作为用户轨迹隐私保护的度量标准。

其中，差分隐私在本发明中即以用户上报路段后攻击者推断出用户真实轨迹概率与原来用户真实轨迹的概率的比值作为用户隐私需求的强度。具体的定义如下，若上报路段后，后验概率和先验概率的比值满足下式，则称用户隐私满足ε-差分隐私：

e^-ε≤σ(t_R)/π(t_R)≤e^ε (1-4)

其中，ε为差分隐私保护参数。

对于用户真实轨迹t_i的先验概率计算方式如下：将轨迹t_R的概率P(t_R)与所有可能轨迹T＝{t₁,t₂,…,t_n}的概率和的比值作为真实轨迹的先验概率，该过程实质为归一化处理，保证所有可能轨迹的先验概率之和为1。用户上报部分路段后，攻击者根据用户的上报路段将增加其推测出用户真实轨迹的概率。假设用户起始点和终点分别为v_s、v_e，轨迹集合T＝{t₁,t₂,…,t_n}，各轨迹概率大小分别记为P(t₁),P(t₂),…,P(t_n)，因此某一参与用户真实轨迹t_i的先验概率为：

其中，1≤a≤n，a表示用户可能通过的轨迹下标。

若一用户上报路段集为{e₁,e₂,…,e_j}，则攻击者推测出真实轨迹的概率即后验概率为：

公式(1-3)中

是表明路段e_q是否属于轨迹t_l；其中，l表示轨迹集合T中第l条轨迹，J表示第l条轨迹的路段数量，q表示第l条轨迹的第q个路段。

由于用户真实轨迹t_i的先验概率能够根据可能轨迹集T计算得到，同时根据公式(1-4)能够得到真实轨迹后验概率的取值范围。在路段选择过程中，其判断依据即选定部分上报路段集后，真实轨迹的取值范围是满足公式(1-4)。

针对于最优上报路段选择方案，上述后验概率计算式子可以说明若某一路段不满足上报要求，则任何包含该路段的方案均不满足用户隐私需求，因此可以利用贪心算法、分支界限法加剪枝求解最优路段上报方案，具体步骤如附图4所示，先计算单个路段能否上报，再从能够上报的路段中选择两两结合计算，删除不满足的情况；依次计算上报路段数q＝3,4,…,Max时的情况，选择路段数最多的方案上报。

用户在计算出最优路段上报方案后，当用户处于需要上报路段位置时，则利用智能设备进行采集相应的数据(如：道路拥塞情况、信号强度等)进行上报。

虽然本发明已以较佳实施例揭露如上，然其并非用以限定本发明。本发明所属技术领域中具有通常知识者，在不脱离本发明的精神和范围内，当可作各种的更动与润饰。因此，本发明的保护范围当视权利要求书所界定者为准。

Claims (7)

1.一种基于路径选择上报的用户隐私保护方法，其特征在于，包括如下步骤：

(1)首先将公开的城市地图转化为无向图；

(2)根据历史轨迹信息计算各个路段之间的转移概率；

(3)由用户轨迹的起始点和终点查找计算相同起始点和终点的多条轨迹，并根据路段之间的转移概率分别计算走各轨迹的概率；

(4)根据各轨迹概率值计算真实轨迹的先验概率；

(5)以差分隐私来度量用户隐私保护强度，并根据差分隐私保护原则计算最优上报路段集；

(6)用户上报根据步骤(5)计算出的最优路段集及路段相关数据信息。

2.根据权利要求1所述的基于路径选择上报的用户隐私保护方法，其特征在于，步骤(1)中城市地图转化为相应的逻辑地图G＝(V，E)；

城市地图中道路的交点作为无向图的顶点v，得到顶点集合V，V＝{v₁,v₂,…,v_num}，num表示城市地图中道路的交点数量；

城市地图中各路段作为无向图中的边e，得到边集合E，E＝{e₁,e₂,…,e_m}，m为城市地图道路中路段的数量。

3.根据权利要求2所述的基于路径选择上报的用户隐私保护方法，其特征在于，步骤(2)中通过历史轨迹计算各路段之间转移概率的方法包括如下步骤：

(1.1)将用户原始行驶轨迹转换为用顶点v表达的的有序序列；

(1.2)统计各路段经过的数量N_count(i)，以及该路段转移到其他各路段的数量count(i,j)；

(1.3)路段i到路段j的转移概率记为P(i,j)，则P(i,j)＝count(i,j)/N_count(i)，其中i≠j。

4.根据权利要求3所述的基于路径选择上报的用户隐私保护方法，其特征在于，步骤(3)中通过路段之间的转移概率计算与用户真实轨迹相同起始和终点的各轨迹概率的步骤如下：

(1.1)移动智能设备获取到用户真实轨迹，确定该轨迹的起始和终止位置；

(1.2)搜索用户通过相同起始和终止位置的可能轨迹t_n，得到可能轨迹集合，记为T，T＝{t₁,t₂,…,t_n}，n表示轨迹集中轨迹的数量，即与真实轨迹相同起始点和终点的轨迹的数量；

(1.3)即假设用户将要行驶的路段取决于当前所处的路段，且只考虑路段之间一步转移概率，则若原始行驶轨迹转化后为

则该轨迹概率为：

其中，A表示路段，t_R为轨迹集合中的真实轨迹，R为真实轨迹的下标，r表示真实轨迹的长度，k为真实轨迹的第k个路段。

5.根据权利要求4所述的基于路径选择上报的用户隐私保护方法，其特征在于，步骤(4)中用户真实轨迹t_R的先验概率记为π(t_R)，为真实轨迹t_R的概率P(t_R)与所有可能轨迹T＝{t₁,t₂,…,t_n}的概率和的比值；

定义用户起始点和终点分别为v_s、v_e，轨迹集合T＝{t₁,t₂,…,t_n}，各轨迹概率大小分别记为P(t₁),P(t₂),…,P(t_n)，则用户真实轨迹t_R的先验概率为：

其中，1≤a≤n，a表示用户可能通过的轨迹下标；

若用户上报路段集为{e₁,e₂,…,e_j}，后验概率记为σ(t_R)，表示攻击者推测出真实轨迹的概率，即：

公式(1-3)中

是表明路段e_q是否属于轨迹t_l；其中，l表示轨迹集合T中第l条轨迹，J表示第l条轨迹的路段数量，q表示第l条轨迹的第q个路段。

6.根据权利要求5所述的基于路径选择上报的用户隐私保护方法，其特征在于，步骤(5)中采用差分隐私保护作为用户轨迹隐私保护的度量标准，以用户上报路段后攻击者推断出用户真实轨迹概率与原来用户真实轨迹的概率的比值作为用户隐私需求的强度；

用户隐私满足ε-差分隐私的所有上报路段，其后验概率和先验概率的比值满足式(1-4)；

e^-ε≤σ(t_R)/π(t_R)≤e^ε(1-4)

其中，为差分隐私保护参数。

7.根据权利要求6所述的基于路径选择上报的用户隐私保护方法，其特征在于，步骤(6)中采用贪心算法和分支界限法计算寻找出最优上报路段集。

Images