CN109362032B - 一种基于位置服务的用户位置个性化差分隐私保护方法 - Google Patents

一种基于位置服务的用户位置个性化差分隐私保护方法 Download PDF

Info

Publication number
CN109362032B
CN109362032B CN201811510356.4A CN201811510356A CN109362032B CN 109362032 B CN109362032 B CN 109362032B CN 201811510356 A CN201811510356 A CN 201811510356A CN 109362032 B CN109362032 B CN 109362032B
Authority
CN
China
Prior art keywords
user
location
positions
probability
confusion
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811510356.4A
Other languages
English (en)
Other versions
CN109362032A (zh
Inventor
张顺
汪改
刘瑞鹏
刘鑫
许祥成
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Anhui University
Original Assignee
Anhui University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Anhui University filed Critical Anhui University
Priority to CN201811510356.4A priority Critical patent/CN109362032B/zh
Publication of CN109362032A publication Critical patent/CN109362032A/zh
Application granted granted Critical
Publication of CN109362032B publication Critical patent/CN109362032B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]

Abstract

本发明公开了一种基于位置服务的用户位置个性化差分隐私保护方法，其步骤包括：1利用指数机制生成扰动位置；2根据敌手对t时刻用户所处位置的先验概率、指数机制概率分布及生成的扰动位置得到敌手对t时刻用户所处位置的后验概率；3判断敌手对t时刻用户所处位置的后验概率是否满足安全性需求；若满足，将扰动位置和查询请求发送给服务方；若不满足，添加混淆位置；4添加混淆位置，当满足安全性需求后，将由混淆位置和扰动位置组成的位置集发送给服务方；5对服务方返回的查询结果进行筛选。本发明能解决因服务方不可信所造成的用户位置隐私泄露问题，同时可以有效的应对贝叶斯攻击，从而能提高基于位置服务中用户位置隐私的安全性。

Description

一种基于位置服务的用户位置个性化差分隐私保护方法
技术领域
本发明涉及网络与信息安全技术领域，具体涉及基于位置服务中用户位置隐私的一种个性化差分隐私保护方法。
背景技术
基于位置服务指的是用户将自身的位置和查询请求发送给服务方，服务方将查询结果返回给用户的一种商业模式。近年来，随着互联网和智能手机的快速发展，基于位置服务也呈现出一片欣欣向荣的良好态势，美团、滴滴等基于位置服务App已经成为人们手机中常见的App。
基于位置服务不仅给人们生活带来了便利，也创造了极大的社会价值，但基于位置服务也同时加深了人们对于位置隐私的忧虑。一旦用户位置信息泄露，敌手不仅可以得知用户的家庭位置、工作位置、移动轨迹模式，甚至可以获悉用户的健康状况、宗教信仰等，因此对用户位置隐私的保护亟待解决。
现有的位置保护方案大部分基于K-匿名或差分隐私。由于基于K-匿名的方案发送给服务方的位置集中包含用户的真实位置，因此会造成一定的安全性损失，且K-匿名计算代价较大。基于差分隐私的方案发送给服务方的是扰动位置，且不依赖敌手的背景知识，但基于差分隐私的方案在敌手后验概率较大时不能抵抗贝叶斯攻击，敌手可以根据贝叶斯攻击得到一个估计位置，当敌手后验概率较大时，估计位置距离真实位置很近，甚至可以直接得出真实位置，因此，基于差分隐私的方案在敌手后验概率较大时是不安全的。还有一些现有的方案把用户的真实位置发送给服务方，如果服务方不可信，同样会造成用户位置信息的泄露，因此，有效的保护用户位置隐私在基于位置服务中是至关重要的。
发明内容
本发明为了克服现有技术存在的不足之处，提供一种基于位置服务的用户位置个性化差分隐私保护方法，以期能有效解决因服务方不可信造成的用户位置隐私泄露的问题，同时更好的应对贝叶斯攻击，从而能提高用户位置隐私的安全性。
本发明为解决技术问题所采用的技术方案是：
本发明一种基于位置服务的用户位置个性化差分隐私保护方法的特点是应用于由用户和服务方所组成的查询环境中，并假定敌手对任意时刻用户所处位置的先验概率是已知的，所述用户位置个性化差分隐私保护方法是按如下步骤进行：
步骤一、利用指数机制生成扰动位置；
令χt表示t时刻用户可能所在的位置集合，令
Figure GDA0002462177310000021
表示位置集合χt中第i个位置，
Figure GDA0002462177310000022
i＝1,2,…,card(χt)，其中card(χt)表示位置集合χt的基数，即位置集合χt所包含的位置数量，令
Figure GDA0002462177310000023
是位置集合χt中第j个位置，并表示用户的真实位置，
Figure GDA0002462177310000024
1≤j≤card(χt)，利用式(1)所示的指数机制概率分布生成扰动位置
Figure GDA0002462177310000025
Figure GDA0002462177310000026
式(1)中，
Figure GDA0002462177310000027
表示生成的扰动位置，且
Figure GDA0002462177310000028
1≤z≤card(χt)，z≠j，
Figure GDA0002462177310000029
表示当t时刻用户真实位置为
Figure GDA00024621773100000210
时，利用指数机制生成扰动位置为
Figure GDA00024621773100000211
的概率，当
Figure GDA00024621773100000212
时，
Figure GDA00024621773100000213
表示生成的扰动位置
Figure GDA00024621773100000214
为位置集合χt中除真实位置
Figure GDA00024621773100000215
以外的假位置，ε表示隐私参数，
Figure GDA00024621773100000216
表示真实位置
Figure GDA00024621773100000217
和扰动位置
Figure GDA00024621773100000218
之间的欧氏距离；xt k表示表示位置集合χt中第k个位置，k＝1,2,…,j-1,j+1,…,card(χt)；
步骤二、获取敌手对t时刻用户所处位置的后验概率；
令
Figure GDA00024621773100000219
和
Figure GDA00024621773100000220
表示敌手对t时刻用户所处位置的先验概率和后验概率，令
Figure GDA00024621773100000221
表示先验概率
Figure GDA00024621773100000222
中的第i项，表示敌手在用户发布查询之前判断t时刻用户真实位置为
Figure GDA00024621773100000223
的概率，
Figure GDA00024621773100000224
令
Figure GDA00024621773100000225
表示后验概率
Figure GDA00024621773100000226
中的第i项，表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000227
的概率，
Figure GDA00024621773100000228
若发送给服务方的位置为扰动位置
Figure GDA00024621773100000229
则利用式(2)得到在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000230
的概率
Figure GDA00024621773100000231
从而得到敌手对t时刻用户所处位置的后验概率
Figure GDA00024621773100000232
Figure GDA00024621773100000233
式(2)中，
Figure GDA00024621773100000234
表示假设真实位置为
Figure GDA00024621773100000235
生成扰动位置为
Figure GDA00024621773100000236
的概率，当
Figure GDA00024621773100000237
时，
Figure GDA00024621773100000238
Figure GDA00024621773100000239
表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000240
的概率，xt n表示位置集合χt中第n个位置，n＝1,2,…,card(χt)；
步骤三、判断所述后验概率
Figure GDA0002462177310000031
是否满足
Figure GDA0002462177310000032
若满足，则将扰动位置
Figure GDA0002462177310000033
和查询请求发送给服务方，直接执行步骤五；若不满足，则执行步骤四；其中，
Figure GDA0002462177310000034
和
Figure GDA0002462177310000035
分别表示扰动位置
Figure GDA0002462177310000036
的后验概率
Figure GDA0002462177310000037
和先验概率
Figure GDA0002462177310000038
中值最大的一项，ω是用户定义的阈值，且
Figure GDA0002462177310000039
的值是公开的；
步骤四、添加混淆位置，当满足安全性需求后，将由混淆位置和扰动位置组成的位置集L发送给服务方；
令L表示由扰动位置
Figure GDA00024621773100000310
和混淆位置所组成的位置集，并初始化
Figure GDA00024621773100000311
向位置集L中添加混淆位置，直至位置集L满足式(3)后停止添加混淆位置，并将位置集L和查询请求发送给服务方；
Figure GDA00024621773100000312
式(3)中，card(L)表示位置集L的基数，且
Figure GDA00024621773100000313
其中，
Figure GDA00024621773100000314
表示添加的card(L)-1个混淆位置，
Figure GDA00024621773100000315
表示位置集L的平均后验概率最大值，
Figure GDA00024621773100000316
表示位置集L的平均后验概率，并有：
Figure GDA00024621773100000317
式(4)中，
Figure GDA00024621773100000318
表示第s个混淆位置
Figure GDA00024621773100000319
的后验概率，s＝1，2，…，card(L)-1；
步骤五、对服务方返回的查询结果进行筛选；
若服务方只返回一个位置的查询结果，将所返回的查询结果发送给用户；若服务方返回多个位置的查询结果，则将与真实位置距离最近的位置的查询结果发送给用户；若返回的多个位置的查询结果中包含真实位置的查询结果，将直接真实位置的查询结果发送给用户。
本发明所述的用户位置个性化差分隐私保护方法的特点也在于：所述步骤四中的位置集L中任意第s个混淆位置
Figure GDA00024621773100000320
的添加是按如下步骤进行：
步骤4.1、令
Figure GDA00024621773100000321
表示添加前s-1个混淆位置时选择的假位置集合，s＝1时，
Figure GDA00024621773100000322
为空集，在位置集合
Figure GDA00024621773100000323
中任意选择一个除真实位置
Figure GDA00024621773100000324
以外的假位置，用xt f表示所述选择的假位置，
Figure GDA00024621773100000325
1≤f≤card(χt)，f≠j，利用式(5)的指数机制概率分布生成混淆位置：
Figure GDA0002462177310000041
式(5)中，
Figure GDA0002462177310000042
表示生成的混淆位置，
Figure GDA0002462177310000043
1≤y≤card(χt)，y≠f，
Figure GDA0002462177310000044
表示当假位置为
Figure GDA0002462177310000045
时，利用指数机制生成混淆位置为
Figure GDA0002462177310000046
的概率，当
Figure GDA0002462177310000047
时，
Figure GDA0002462177310000048
即生成的混淆位置
Figure GDA0002462177310000049
为位置集合χt中除假位置
Figure GDA00024621773100000410
以外的位置，ε表示隐私参数，
Figure GDA00024621773100000411
表示假位置
Figure GDA00024621773100000412
和混淆位置
Figure GDA00024621773100000413
之间的欧氏距离；xt m表示表示位置集合χt中第m个位置，m＝1,2,…,f-1,f+1,…,card(χt)；
步骤4.2、利用式(6)计算若发送给服务方的位置为混淆位置
Figure GDA00024621773100000414
敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000415
的概率
Figure GDA00024621773100000416
从而得到敌手对t时刻用户所处位置的后验概率
Figure GDA00024621773100000417
Figure GDA00024621773100000418
式(6)中，
Figure GDA00024621773100000419
表示假设真实位置为
Figure GDA00024621773100000420
生成混淆位置为
Figure GDA00024621773100000421
的概率，当
Figure GDA00024621773100000422
时，
Figure GDA00024621773100000423
Figure GDA00024621773100000424
表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000425
的概率；
步骤4.3、利用式(7)对假位置
Figure GDA00024621773100000426
生成的混淆位置
Figure GDA00024621773100000427
进行安全性筛选，若满足式(7)，则表示满足安全性需求，即敌手不能分辨出扰动位置
Figure GDA00024621773100000428
和混淆位置
Figure GDA00024621773100000429
否则表示敌手能根据式(8)分辨出扰动位置
Figure GDA00024621773100000430
和混淆位置
Figure GDA00024621773100000431
Figure GDA00024621773100000432
Figure GDA00024621773100000433
式(7)中，
Figure GDA00024621773100000434
表示混淆位置
Figure GDA00024621773100000435
的后验概率最大值；
若假位置
Figure GDA00024621773100000436
生成的混淆位置
Figure GDA00024621773100000437
不满足安全性需求，则从位置集合
Figure GDA00024621773100000438
删除假位置
Figure GDA00024621773100000439
后，返回步骤4.1重新选择假位置并生成相应的混淆位置；若假位置
Figure GDA00024621773100000440
生成的混淆位置
Figure GDA00024621773100000441
满足安全性需求，执行步骤4.4对混淆位置
Figure GDA0002462177310000051
进行效用性筛选；
步骤4.4、令
Figure GDA0002462177310000052
表示由扰动位置
Figure GDA0002462177310000053
和s-1个混淆位置所组成的位置集的平均后验概率，即
Figure GDA0002462177310000054
其中，
Figure GDA0002462177310000055
表示s-1个混淆位置中第v个混淆位置
Figure GDA0002462177310000056
的后验概率，v＝1，2，…，s-1；令
Figure GDA0002462177310000057
表示由混淆位置
Figure GDA0002462177310000058
扰动位置
Figure GDA0002462177310000059
和s-1个混淆位置所组成的位置集的平均后验概率，即
Figure GDA00024621773100000510
当加入混淆位置
Figure GDA00024621773100000511
后，若满足式(9)，则表示混淆位置
Figure GDA00024621773100000512
满足效用性需求，令
Figure GDA00024621773100000513
并将
Figure GDA00024621773100000514
加入位置集L；若不满足式(9)，则从位置集合
Figure GDA00024621773100000515
中删除假位置
Figure GDA00024621773100000516
后，返回步骤4.1重新选择假位置并生成相应的混淆位置；
Figure GDA00024621773100000517
式(9)中，
Figure GDA00024621773100000518
表示平均后验概率
Figure GDA00024621773100000519
中值最大的一项。
相对于现有技术中的方案，本发明的有益效果体现在：
1、本发明结合了差分隐私和K-匿名，通过对扰动位置进行混淆，解决了现有技术中对于用户的位置隐私保护，无法有效应对贝叶斯攻击的问题，从而降低了用户位置隐私泄露的风险。
2、本发明利用指数机制选择扰动位置和混淆位置，不仅可以有效的应对用户位置信息泄露的威胁，而且还能确保用户向服务方发送的位置的可用性，保证了返回的查询结果的效用，当添加的混淆位置中包含真实位置时，可以得到100％的查询效用。
3、本发明充分考虑了服务方的计算代价问题，若用户使用差分隐私机制发布一个扰动位置能达到安全性需求，则只发布一个扰动位置，只有在用户使用差分隐私机制发布一个扰动位置达不到安全性需求时，才加入混淆位置，因此，本方案在满足安全性的前提下服务方的计算代价更小。
4、本发明安全性需求阈值ω由用户自己定值，考虑到用户在不同时刻、不同位置、不同查询请求时可能需要不同的安全性，实现了用户安全性需求的个性化。
附图说明
图1为本发明方法流程图；
图2为本发明应用场景示意图。
具体实施方式
本实施例中，如图2所示，一种基于位置服务的用户位置个性化差分隐私保护方法是应用于由用户和服务方所组成的查询环境中，并假定敌手对任意时刻用户所处位置的先验概率是已知的，如图1所示，该方法是按如下步骤进行：
步骤一、利用指数机制生成扰动位置；
令χt表示t时刻用户可能所在的位置集合，令
Figure GDA0002462177310000061
表示位置集合χt中第i个位置，
Figure GDA0002462177310000062
i＝1,2,…,card(χt)，其中card(χt)表示位置集合χt的基数，即位置集合χt所包含的位置数量，令
Figure GDA0002462177310000063
是位置集合χt中第j个位置，并表示用户的真实位置，
Figure GDA0002462177310000064
1≤j≤card(χt)，利用式(1)所示的指数机制概率分布生成扰动位置
Figure GDA0002462177310000065
Figure GDA0002462177310000066
式(1)中，
Figure GDA0002462177310000067
表示生成的扰动位置，且
Figure GDA0002462177310000068
1≤z≤card(χt)，z≠j，
Figure GDA0002462177310000069
表示当t时刻用户真实位置为
Figure GDA00024621773100000610
时，利用指数机制生成扰动位置为
Figure GDA00024621773100000611
的概率，当
Figure GDA00024621773100000612
时，
Figure GDA00024621773100000613
表示生成的扰动位置
Figure GDA00024621773100000614
为位置集合χt中除真实位置
Figure GDA00024621773100000615
以外的假位置，ε表示隐私参数，
Figure GDA00024621773100000616
表示真实位置
Figure GDA00024621773100000617
和扰动位置
Figure GDA00024621773100000618
之间的欧氏距离；xt k表示表示位置集合χt中第k个位置，k＝1,2,…,j-1,j+1,…,card(χt)；
步骤二、获取敌手对t时刻用户所处位置的后验概率；
令
Figure GDA00024621773100000619
和
Figure GDA00024621773100000620
表示敌手对t时刻用户所处位置的先验概率和后验概率，令
Figure GDA00024621773100000621
表示先验概率
Figure GDA00024621773100000622
中的第i项，表示敌手在用户发布查询之前判断t时刻用户真实位置为
Figure GDA00024621773100000623
的概率，
Figure GDA00024621773100000624
令
Figure GDA00024621773100000625
表示后验概率
Figure GDA00024621773100000626
中的第i项，表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000627
的概率，
Figure GDA00024621773100000628
若发送给服务方的位置为扰动位置
Figure GDA00024621773100000629
则利用式(2)得到在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000630
的概率
Figure GDA00024621773100000631
从而得到敌手对t时刻用户所处位置的后验概率
Figure GDA00024621773100000632
Figure GDA0002462177310000071
式(2)中，
Figure GDA0002462177310000072
表示假设真实位置为
Figure GDA0002462177310000073
生成扰动位置为
Figure GDA0002462177310000074
的概率，当
Figure GDA0002462177310000075
时，
Figure GDA0002462177310000076
Figure GDA0002462177310000077
表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA0002462177310000078
的概率，xt n表示位置集合χt中第n个位置，n＝1,2,…,card(χt)；
步骤三、判断后验概率
Figure GDA0002462177310000079
是否满足
Figure GDA00024621773100000710
若满足，则将扰动位置
Figure GDA00024621773100000711
和查询请求发送给服务方，直接执行步骤五；若不满足，则执行步骤四，其中，
Figure GDA00024621773100000712
和
Figure GDA00024621773100000713
分别表示扰动位置
Figure GDA00024621773100000714
的后验概率
Figure GDA00024621773100000715
和先验概率
Figure GDA00024621773100000716
中值最大的一项，ω是用户定义的阈值，且
Figure GDA00024621773100000717
的值是公开的，即本方案的安全性不依赖
Figure GDA00024621773100000718
的值，敌手获知
Figure GDA00024621773100000719
的值对本方案的安全性无影响；
将用户安全性需求设为
Figure GDA00024621773100000720
是为了防止敌手在t时刻发布查询之后判断用户所处位置为真实位置
Figure GDA00024621773100000721
的概率
Figure GDA00024621773100000722
较大，从而不能有效抵抗贝叶斯攻击；将
Figure GDA00024621773100000723
的上限设为
Figure GDA00024621773100000724
是为了防止出现当
Figure GDA00024621773100000725
较大或
Figure GDA00024621773100000726
较小时，难以找到满足安全性条件的扰动位置，从而导致服务方计算代价增加的情况；若将
Figure GDA00024621773100000727
的上限设为
Figure GDA00024621773100000728
则当
Figure GDA00024621773100000729
较小时，难以找到满足安全性条件的扰动位置；若将
Figure GDA00024621773100000730
的上限设为ω，则当
Figure GDA00024621773100000731
较大时，难以找到满足安全性条件的扰动位置；因此，将
Figure GDA00024621773100000732
的上限设为
Figure GDA00024621773100000733
步骤四、添加混淆位置，当满足安全性需求后，将由混淆位置和扰动位置组成的位置集L发送给服务方；
令L表示由扰动位置
Figure GDA00024621773100000734
和混淆位置所组成的位置集，令L的初始值为
Figure GDA00024621773100000735
向位置集L中添加混淆位置，直至位置集L满足式(3)后停止添加混淆位置，将位置集L和查询请求发送给服务方；
Figure GDA00024621773100000736
式(3)中，card(L)表示位置集L的基数，且
Figure GDA00024621773100000737
其中，
Figure GDA0002462177310000081
表示添加的card(L)-1个混淆位置，
Figure GDA0002462177310000082
表示位置集L的平均后验概率最大值，
Figure GDA0002462177310000083
表示位置集L的平均后验概率，并有：
Figure GDA0002462177310000084
式(4)中，
Figure GDA0002462177310000085
表示第s个混淆位置
Figure GDA0002462177310000086
的后验概率，s＝1，2，…，card(L)-1；
具体实施中，向位置集L中添加第s个混淆位置
Figure GDA0002462177310000087
的具体操作步骤如下所示：
步骤4.1、令
Figure GDA0002462177310000088
表示添加前s-1个混淆位置时选择的假位置集合，s＝1时，
Figure GDA0002462177310000089
为空集，在位置集合
Figure GDA00024621773100000810
中任意选择一个除真实位置
Figure GDA00024621773100000811
以外的假位置，用xt f表示选择的假位置，
Figure GDA00024621773100000812
1≤f≤card(χt)，f≠j，利用式(5)的指数机制概率分布生成混淆位置：
Figure GDA00024621773100000813
式(5)中，
Figure GDA00024621773100000814
表示生成的混淆位置，
Figure GDA00024621773100000815
1≤y≤card(χt)，y≠f，
Figure GDA00024621773100000816
表示当假位置为
Figure GDA00024621773100000817
时，利用指数机制生成混淆位置为
Figure GDA00024621773100000818
的概率，当
Figure GDA00024621773100000819
时，
Figure GDA00024621773100000820
即生成的混淆位置
Figure GDA00024621773100000821
为位置集合χt中除假位置
Figure GDA00024621773100000822
以外的位置，ε表示隐私参数，
Figure GDA00024621773100000823
表示假位置
Figure GDA00024621773100000824
和混淆位置
Figure GDA00024621773100000825
之间的欧氏距离；xt m表示表示位置集合χt中第m个位置，m＝1,2,…,f-1,f+1,…,card(χt)；
步骤4.2、利用式(6)计算若发送给服务方的位置为混淆位置
Figure GDA00024621773100000826
敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000827
的概率
Figure GDA00024621773100000828
从而得到敌手对t时刻用户所处位置的后验概率
Figure GDA00024621773100000829
Figure GDA00024621773100000830
式(6)中，
Figure GDA00024621773100000831
表示假设真实位置为
Figure GDA00024621773100000832
生成混淆位置为
Figure GDA00024621773100000833
的概率，当
Figure GDA00024621773100000834
时，
Figure GDA00024621773100000835
Figure GDA00024621773100000836
表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure GDA00024621773100000837
的概率；
步骤4.3、利用式(7)对假位置
Figure GDA0002462177310000091
生成的混淆位置
Figure GDA0002462177310000092
进行安全性筛选，若满足式(7)，则表示满足安全性需求，即敌手不能分辨出扰动位置
Figure GDA0002462177310000093
和混淆位置
Figure GDA0002462177310000094
否则表示敌手能根据式(8)分辨出扰动位置
Figure GDA0002462177310000095
和混淆位置
Figure GDA0002462177310000096
即将位置集L中后验概率最大值小于等于
Figure GDA0002462177310000097
的位置判定为混淆位置；
Figure GDA0002462177310000098
Figure GDA0002462177310000099
式(7)中，
Figure GDA00024621773100000910
表示混淆位置
Figure GDA00024621773100000911
的后验概率最大值；
若假位置
Figure GDA00024621773100000912
生成的混淆位置
Figure GDA00024621773100000913
不满足安全性需求，则从位置集合
Figure GDA00024621773100000914
删除假位置
Figure GDA00024621773100000915
后，返回步骤4.1重新选择假位置并生成相应的混淆位置；若假位置
Figure GDA00024621773100000916
生成的混淆位置
Figure GDA00024621773100000917
满足安全性需求，执行步骤4.4对混淆位置
Figure GDA00024621773100000918
进行效用性筛选；
步骤4.4、令
Figure GDA00024621773100000919
表示由扰动位置
Figure GDA00024621773100000920
和s-1个混淆位置所组成的位置集的平均后验概率，即
Figure GDA00024621773100000921
其中，
Figure GDA00024621773100000922
表示s-1个混淆位置中第v个混淆位置
Figure GDA00024621773100000923
的后验概率，v＝1，2，…，s-1；令
Figure GDA00024621773100000924
表示由混淆位置
Figure GDA00024621773100000925
扰动位置
Figure GDA00024621773100000926
和s-1个混淆位置所组成的位置集的平均后验概率，即
Figure GDA00024621773100000927
当加入混淆位置
Figure GDA00024621773100000928
后，若满足式(9)，则表示混淆位置
Figure GDA00024621773100000929
满足效用性需求，令
Figure GDA00024621773100000930
并将
Figure GDA00024621773100000931
加入位置集L；若不满足式(9)，则添加混淆位置
Figure GDA00024621773100000932
是无效的，且会增加服务方计算代价，从位置集合
Figure GDA00024621773100000933
中删除假位置
Figure GDA00024621773100000934
后，返回步骤4.1重新选择假位置并生成相应的混淆位置；
Figure GDA00024621773100000935
式(9)中，
Figure GDA00024621773100000936
表示平均后验概率
Figure GDA00024621773100000937
中值最大的一项。
步骤五、对服务方返回的查询结果进行筛选；
若服务方只返回一个位置的查询结果，将所返回的查询结果发送给用户；若服务方返回多个位置的查询结果，则将与真实位置距离最近的位置的查询结果发送给用户；若返回的多个位置的查询结果中包含真实位置的查询结果，将直接真实位置的查询结果发送给用户。

Claims (2)

1.一种基于位置服务的用户位置个性化差分隐私保护方法，其特征是应用于由用户和服务方所组成的查询环境中，并假定敌手对任意时刻用户所处位置的先验概率是已知的，所述用户位置个性化差分隐私保护方法是按如下步骤进行：
步骤一、利用指数机制生成扰动位置；
令χt表示t时刻用户可能所在的位置集合，令
Figure FDA0002462177300000011
表示位置集合χt中第i个位置，
Figure FDA0002462177300000012
i＝1,2,…,card(χt)，其中card(χt)表示位置集合χt的基数，即位置集合χt所包含的位置数量，令
Figure FDA0002462177300000013
是位置集合χt中第j个位置，并表示用户的真实位置，
Figure FDA0002462177300000014
1≤j≤card(χt)，利用式(1)所示的指数机制概率分布生成扰动位置
Figure FDA0002462177300000015
Figure FDA0002462177300000016
式(1)中，
Figure FDA0002462177300000017
表示生成的扰动位置，且
Figure FDA0002462177300000018
1≤z≤card(χt)，z≠j，
Figure FDA0002462177300000019
表示当t时刻用户真实位置为
Figure FDA00024621773000000110
时，利用指数机制生成扰动位置为
Figure FDA00024621773000000111
的概率，当
Figure FDA00024621773000000112
时，
Figure FDA00024621773000000113
表示生成的扰动位置
Figure FDA00024621773000000114
为位置集合χt中除真实位置
Figure FDA00024621773000000115
以外的假位置，ε表示隐私参数，
Figure FDA00024621773000000116
表示真实位置
Figure FDA00024621773000000117
和扰动位置
Figure FDA00024621773000000118
之间的欧氏距离；xt k表示表示位置集合χt中第k个位置，k＝1,2,…,j-1,j+1,…,card(χt)；
步骤二、获取敌手对t时刻用户所处位置的后验概率；
令Pt -和Pt +表示敌手对t时刻用户所处位置的先验概率和后验概率，令
Figure FDA00024621773000000119
表示先验概率Pt -中的第i项，表示敌手在用户发布查询之前判断t时刻用户真实位置为
Figure FDA00024621773000000120
的概率，
Figure FDA00024621773000000121
令
Figure FDA00024621773000000122
表示后验概率Pt +中的第i项，表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure FDA00024621773000000123
的概率，
Figure FDA00024621773000000124
若发送给服务方的位置为扰动位置
Figure FDA00024621773000000125
则利用式(2)得到在用户发布查询之后判断t时刻用户真实位置为
Figure FDA00024621773000000126
的概率
Figure FDA00024621773000000127
从而得到敌手对t时刻用户所处位置的后验概率Pt +：
Figure FDA00024621773000000128
式(2)中，
Figure FDA0002462177300000021
表示假设真实位置为
Figure FDA0002462177300000022
生成扰动位置为
Figure FDA0002462177300000023
的概率，当
Figure FDA0002462177300000024
时，
Figure FDA0002462177300000025
Figure FDA0002462177300000026
表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure FDA0002462177300000027
的概率，xt n表示位置集合χt中第n个位置，n＝1,2,…,card(χt)；
步骤三、判断所述后验概率Pt +是否满足maxPt +≤max{eε·maxPt -,ω}，若满足，则将扰动位置
Figure FDA0002462177300000028
和查询请求发送给服务方，直接执行步骤五；若不满足，则执行步骤四；其中，maxPt +和maxPt -分别表示扰动位置
Figure FDA0002462177300000029
的后验概率Pt +和先验概率Pt -中值最大的一项，ω是用户定义的阈值，且
Figure FDA00024621773000000210
max{eε·maxPt -,ω}的值是公开的；
步骤四、添加混淆位置，当满足安全性需求后，将由混淆位置和扰动位置组成的位置集L发送给服务方；
令L表示由扰动位置
Figure FDA00024621773000000211
和混淆位置所组成的位置集，并初始化
Figure FDA00024621773000000212
向位置集L中添加混淆位置，直至位置集L满足式(3)后停止添加混淆位置，并将位置集L和查询请求发送给服务方；
Figure FDA00024621773000000213
式(3)中，card(L)表示位置集L的基数，且
Figure FDA00024621773000000214
其中，
Figure FDA00024621773000000215
表示添加的card(L)-1个混淆位置，
Figure FDA00024621773000000216
表示位置集L的平均后验概率最大值，
Figure FDA00024621773000000217
表示位置集L的平均后验概率，并有：
Figure FDA00024621773000000218
式(4)中，
Figure FDA00024621773000000219
表示第s个混淆位置
Figure FDA00024621773000000220
的后验概率，s＝1，2，…，card(L)-1；
步骤五、对服务方返回的查询结果进行筛选；
若服务方只返回一个位置的查询结果，将所返回的查询结果发送给用户；若服务方返回多个位置的查询结果，则将与真实位置距离最近的位置的查询结果发送给用户；若返回的多个位置的查询结果中包含真实位置的查询结果，将直接真实位置的查询结果发送给用户。
2.根据权利要求1所述的用户位置个性化差分隐私保护方法，其特征是：所述步骤四中的位置集L中任意第s个混淆位置
Figure FDA00024621773000000221
的添加是按如下步骤进行：
步骤4.1、令
Figure FDA00024621773000000222
表示添加前s-1个混淆位置时选择的假位置集合，s＝1时，
Figure FDA00024621773000000223
为空集，在位置集合
Figure FDA0002462177300000031
中任意选择一个除真实位置
Figure FDA0002462177300000032
以外的假位置，用xt f表示所述选择的假位置，
Figure FDA0002462177300000033
1≤f≤card(χt)，f≠j，利用式(5)的指数机制概率分布生成混淆位置：
Figure FDA0002462177300000034
式(5)中，
Figure FDA0002462177300000035
表示生成的混淆位置，
Figure FDA0002462177300000036
1≤y≤card(χt)，y≠f，
Figure FDA0002462177300000037
表示当假位置为
Figure FDA0002462177300000038
时，利用指数机制生成混淆位置为
Figure FDA0002462177300000039
的概率，当
Figure FDA00024621773000000310
时，
Figure FDA00024621773000000311
即生成的混淆位置
Figure FDA00024621773000000312
为位置集合χt中除假位置
Figure FDA00024621773000000313
以外的位置，ε表示隐私参数，
Figure FDA00024621773000000314
表示假位置
Figure FDA00024621773000000315
和混淆位置
Figure FDA00024621773000000316
之间的欧氏距离；xt m表示表示位置集合χt中第m个位置，m＝1,2,…,f-1,f+1,…,card(χt)；
步骤4.2、利用式(6)计算若发送给服务方的位置为混淆位置
Figure FDA00024621773000000317
敌手在用户发布查询之后判断t时刻用户真实位置为
Figure FDA00024621773000000318
的概率
Figure FDA00024621773000000319
从而得到敌手对t时刻用户所处位置的后验概率
Figure FDA00024621773000000320
Figure FDA00024621773000000321
式(6)中，
Figure FDA00024621773000000322
表示假设真实位置为
Figure FDA00024621773000000323
生成混淆位置为
Figure FDA00024621773000000324
的概率，当
Figure FDA00024621773000000325
时，
Figure FDA00024621773000000326
Figure FDA00024621773000000327
表示敌手在用户发布查询之后判断t时刻用户真实位置为
Figure FDA00024621773000000328
的概率；
步骤4.3、利用式(7)对假位置
Figure FDA00024621773000000329
生成的混淆位置
Figure FDA00024621773000000330
进行安全性筛选，若满足式(7)，则表示满足安全性需求，即敌手不能分辨出扰动位置
Figure FDA00024621773000000331
和混淆位置
Figure FDA00024621773000000332
否则表示敌手能根据式(8)分辨出扰动位置
Figure FDA00024621773000000333
和混淆位置
Figure FDA00024621773000000334
Figure FDA00024621773000000335
maxPt +＞max{eε·maxPt -,ω} (8)
式(7)中，
Figure FDA00024621773000000336
表示混淆位置
Figure FDA00024621773000000337
的后验概率最大值；
若假位置
Figure FDA00024621773000000338
生成的混淆位置
Figure FDA00024621773000000339
不满足安全性需求，则从位置集合
Figure FDA00024621773000000340
删除假位置
Figure FDA00024621773000000341
后，返回步骤4.1重新选择假位置并生成相应的混淆位置；若假位置
Figure FDA0002462177300000041
生成的混淆位置
Figure FDA0002462177300000042
满足安全性需求，执行步骤4.4对混淆位置
Figure FDA0002462177300000043
进行效用性筛选；
步骤4.4、令
Figure FDA0002462177300000044
表示由扰动位置
Figure FDA0002462177300000045
和s-1个混淆位置所组成的位置集的平均后验概率，即
Figure FDA0002462177300000046
其中，
Figure FDA0002462177300000047
表示s-1个混淆位置中第v个混淆位置
Figure FDA0002462177300000048
的后验概率，v＝1，2，…，s-1；令
Figure FDA0002462177300000049
表示由混淆位置
Figure FDA00024621773000000410
扰动位置
Figure FDA00024621773000000411
和s-1个混淆位置所组成的位置集的平均后验概率，即
Figure FDA00024621773000000412
当加入混淆位置
Figure FDA00024621773000000413
后，若满足式(9)，则表示混淆位置
Figure FDA00024621773000000414
满足效用性需求，令
Figure FDA00024621773000000415
并将
Figure FDA00024621773000000416
加入位置集L；若不满足式(9)，则从位置集合
Figure FDA00024621773000000417
中删除假位置
Figure FDA00024621773000000418
后，返回步骤4.1重新选择假位置并生成相应的混淆位置；
Figure FDA00024621773000000419
式(9)中，
Figure FDA00024621773000000420
表示平均后验概率
Figure FDA00024621773000000421
中值最大的一项。
CN201811510356.4A 2018-12-11 2018-12-11 一种基于位置服务的用户位置个性化差分隐私保护方法 Active CN109362032B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811510356.4A CN109362032B (zh) 2018-12-11 2018-12-11 一种基于位置服务的用户位置个性化差分隐私保护方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811510356.4A CN109362032B (zh) 2018-12-11 2018-12-11 一种基于位置服务的用户位置个性化差分隐私保护方法

Publications (2)

Publication Number Publication Date
CN109362032A CN109362032A (zh) 2019-02-19
CN109362032B true CN109362032B (zh) 2020-06-30

Family

ID=65332072

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811510356.4A Active CN109362032B (zh) 2018-12-11 2018-12-11 一种基于位置服务的用户位置个性化差分隐私保护方法

Country Status (1)

Country Link
CN (1) CN109362032B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109862507B (zh) * 2019-03-01 2021-09-21 华南理工大学 一种大范围车辆密度检测方法及系统
CN112069532B (zh) * 2020-07-22 2023-09-26 安徽工业大学 一种基于差分隐私的轨迹隐私保护方法与装置
CN112866993B (zh) * 2021-02-06 2022-10-21 北京信息科技大学 一种时序位置发布方法及系统

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104394509A (zh) * 2014-11-21 2015-03-04 西安交通大学 一种高效的差分扰动位置隐私保护系统及方法
CN104796858A (zh) * 2015-03-23 2015-07-22 电子科技大学 一种位置服务中基于假位置和几何学的位置隐私保护方法
CN104918214A (zh) * 2015-04-16 2015-09-16 南京工业大学 一种位置服务中隐私保护量化分析方法
CN106412826A (zh) * 2016-09-07 2017-02-15 清华大学 基于多源信息融合的室内定位方法及定位装置
CN107196974A (zh) * 2017-07-26 2017-09-22 安徽大学 一种基于差分隐私的空间众包工作者位置隐私保护方法
CN107360551A (zh) * 2017-07-12 2017-11-17 安徽大学 车载自组织网络中基于差分隐私的位置隐私保护方法
CN107862219A (zh) * 2017-11-14 2018-03-30 哈尔滨工业大学深圳研究生院 一种社交网络中需求隐私的保护方法
CN108520182A (zh) * 2018-04-09 2018-09-11 哈尔滨工业大学深圳研究生院 一种基于差分隐私和关联规则的需求隐私保护方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9195721B2 (en) * 2012-06-04 2015-11-24 Apple Inc. Mobile device with localized app recommendations
US10200824B2 (en) * 2015-05-27 2019-02-05 Apple Inc. Systems and methods for proactively identifying and surfacing relevant content on a touch-sensitive device
US10542019B2 (en) * 2017-03-09 2020-01-21 International Business Machines Corporation Preventing intersection attacks
CN108197492B (zh) * 2017-12-29 2021-06-01 南京邮电大学 一种基于差分隐私预算分配的数据查询方法及系统

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104394509A (zh) * 2014-11-21 2015-03-04 西安交通大学 一种高效的差分扰动位置隐私保护系统及方法
CN104796858A (zh) * 2015-03-23 2015-07-22 电子科技大学 一种位置服务中基于假位置和几何学的位置隐私保护方法
CN104918214A (zh) * 2015-04-16 2015-09-16 南京工业大学 一种位置服务中隐私保护量化分析方法
CN106412826A (zh) * 2016-09-07 2017-02-15 清华大学 基于多源信息融合的室内定位方法及定位装置
CN107360551A (zh) * 2017-07-12 2017-11-17 安徽大学 车载自组织网络中基于差分隐私的位置隐私保护方法
CN107196974A (zh) * 2017-07-26 2017-09-22 安徽大学 一种基于差分隐私的空间众包工作者位置隐私保护方法
CN107862219A (zh) * 2017-11-14 2018-03-30 哈尔滨工业大学深圳研究生院 一种社交网络中需求隐私的保护方法
CN108520182A (zh) * 2018-04-09 2018-09-11 哈尔滨工业大学深圳研究生院 一种基于差分隐私和关联规则的需求隐私保护方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
位置服务中基于贝叶斯的隐私泄露分析;吴振刚;《计算机应用研究》;20150430;第32卷(第4期);全文 *
基于k_匿名的LBS位置隐私保护研究;王娜;《中国优秀硕士学位论文全文数据库 信息科技辑》;20180715;全文 *
用户为中心的差分扰动位置隐私保护方法;张学军;《西安交通大学学报》;20161231;第50卷(第12期);全文 *

Also Published As

Publication number Publication date
CN109362032A (zh) 2019-02-19

Similar Documents

Publication Publication Date Title
Jiang et al. A utility-aware general framework with quantifiable privacy preservation for destination prediction in LBSs
Wagner et al. Technical privacy metrics: a systematic survey
US11509462B2 (en) Secure data distribution protocol using blockchains
CN109362032B (zh) 一种基于位置服务的用户位置个性化差分隐私保护方法
Xu et al. A survey of privacy preserving data publishing using generalization and suppression
CN102892073B (zh) 一种适用于位置服务系统中面向连续查询的位置匿名方法
CN108520182A (zh) 一种基于差分隐私和关联规则的需求隐私保护方法
Chen et al. Measuring query privacy in location-based services
CN110611667B (zh) 边缘计算环境下动态的位置隐私保护方法及装置
CN108600304A (zh) 一种基于位置k-匿名的个性化位置隐私保护方法
Xu et al. DP-LTOD: Differential privacy latent trajectory community discovering services over location-based social networks
WO2010011747A1 (en) System and method for protecting user privacy using social inference protection techniques
KR20130064701A (ko) 프라이버시―보존 협력 필터링
Wu et al. A novel dummy-based mechanism to protect privacy on trajectories
CN106254314B (zh) 一种位置查询服务信息保护方法及系统
CN111093191B (zh) 基于差分隐私的群智感知位置数据发布方法
Ozturk et al. From existing trends to future trends in privacy‐preserving collaborative filtering
Riboni et al. Differentially-private release of check-in data for venue recommendation
Gupta et al. SELI: statistical evaluation based leaker identification stochastic scheme for secure data sharing
CN103984764A (zh) 基于道路网络感知查询语义的个性化隐私保护方法
CN103902924A (zh) 社交网络数据发布的混合随机化隐私保护方法
CN107770722A (zh) 基于边信息约束的双隐形区域的位置服务的隐私保护方法
Kumar et al. Protecting location privacy in cloud services
CN113507704A (zh) 基于双重属性决策的移动群智感知隐私保护方法
CN108040321B (zh) 一种路网环境下抗重放攻击的位置匿名方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant