CN109379717A - 基于假位置的时空关联隐私保护方法 - Google Patents

Abstract

本发明公开了一种基于假位置的时空关联隐私保护方法，主要解决现有技术中用户隐私泄露问题。其方案是：真实查询用户首先考虑时间敏感边信息，并结合自身真实查询信息产生多个假位置，制定四个假位置筛选条件，筛选各假位置并分配相应查询内容，再将筛选出满足要求的假位置点、分配的查询内容、自身真实查询信息，一起形成最终查询集合发送给位置服务器；位置服务器收到该信息后，查找数据库，形成相应的候选结果集并返回给真实查询用户；真实查询用户根据其真实信息，筛选出满足要求的查询结果。本发明采用独立架构和假位置筛选机制，确保了假位置的合理性和可用性，能抵御轨迹相似性攻击，减小了隐私泄露风险，可用于各种连续查询位置服务中。

Description

基于假位置的时空关联隐私保护方法

技术领域

本发明属于无线网络安全领域，特别涉及一种隐私保护方法，可用于各种连续查询位置服务中。

背景技术

位置服务LBS，又称定位服务，其是由移动通信网络和卫星定位系统结合在一起提供的一种增值业务，通过一组定位技术获得移动终端的位置信息，如经纬度坐标数据，并将此位置信息提供给移动用户本人、其他人或者通信系统，来实现各种与位置相关的业务。

位置服务可以被应用于不同的领域，与此同时，在移动互联网大发展的趋势下，各类应用也在蓬勃发展。尤其，随着定位技术的快速发展，使得嵌入了位置服务LBS功能的应用得到了广泛的普及，给人们的生活带来了极大的便利。但LBS服务需要获知用户精确的位置信息，其对用户的隐私造成了极大的威胁。所以，在保证用户服务质量的同时，如何有效的保护用户的隐私信息是LBS服务目前所面临的巨大挑战。特别地，由于连续查询场景下用户位置信息之间的时空关联性，其隐私信息更容易泄露，其常常遭遇两种攻击——连续查询攻击和轨迹攻击。为了抵御这两种攻击，学者们提出了许多解决方法:

第一种方法是：传统的k-匿名方案k-anonymity。该方案主要用于单点查询中。将该方案直接用于连续查询场景时，其主要存在三个问题：第一，虽然连续查询每个查询位置点都满足k-匿名的要求，但由于连续查询的匿名位置集具有时空联系，导致即使查询的各个时刻都进行了k匿名保护，但其仍易遭受位置关联攻击也叫连续查询攻击，即攻击者将若干个位置集合取交集，就可以很容易的得到或以很大的概率猜测真实查询用户，其过程如图3所示，包括三个图，其中图3(a)表示查询发起者U在t_i-1时刻所形成的匿名区域示意图，图3(b)表示查询发起者U在t_i时刻所形成的匿名区域示意图，图3(c)表示查询发起者U在t_i+1时刻所形成的匿名区域示意图，且每个图都包含U、B、C、D、E、F、G、H这8个用户。图3(a)中实线矩形框表示查询发起者t_i-1时刻所形成的匿名区域，其匿名用户集合为{C,E,F,U}；图3(b)中实线矩形框表示查询发起者t_i时刻所形成的匿名区域，其匿名用户集合为{D,E,G,U}；图3(c)中实线矩形框表示查询发起者t_i时刻所形成的匿名区域，其匿名用户集合为{B,D,H,U}；图3(b)和图3(c)中的虚线矩形框分别表示查询发起者t_i-1时刻的匿名用户在t_i时刻和t_i+1时刻所形成的匿名区域，其匿名用户集合都为{C,E,F,U}，观察这三个虚线矩形框可以看出，随着查询时间的推移t_i-1时刻形成的匿名用户集合变得越来越大，同时攻击者收集这三个时刻的匿名用户集合{C,E,F,U}、{D,E,G,U}、{B,D,H,U}，对其取交集就可得出查询的真实用户为用户U。

第二，整个连续查询期间的匿名位置集合只是用最初选择的k-匿名位置集，虽然该方法在一定程度上避免了位置关联攻击，但是由于用户移动是动态变化的，所以最初形成的k-匿名位置集会聚集在一起，或者过于分散，从而导致服务质量无法保证。

第三，该方法直接用于连续查询中易遭受轨迹攻击，即连续查询每个时刻都进行了匿名保护，但由于连续查询的时空关联性，使得攻击者在一定时间段内可推测出该查询发起者的真实查询轨迹，其原理如图4所示，共包括五个图，其中图4(a)表示t₁时刻的匿名区域示意图，图4(b)表示t₂时刻的匿名区域示意图，图4(c)表示t₃时刻的匿名区域示意图，图4(d)表示t₄时刻的匿名区域示意图，图4(e)表示t₅时刻的匿名区域示意图，且每个时刻都含有{U,B,C,D,E,F,G,H}8个移动用户，用于查询过程中用户隐私信息保护，其匿名用户集合分别为{U,B,C,G}、{U,B,D,F}、{U,D,H,G}、{U,B,E,F}、{U,D,F,H}，虽然查询发起者U每个时刻的位置信息都进行了4-匿名保护，但在t₁-t₅时刻连续查询期间内，由于连续查的时空关联性，导致具有丰富背景知识的攻击者即使不知道查询发起者U在各个时刻真实的位置信息，但其仍会以很大的概率推测出该查询发起者U在t₁-t₅时间段内的运动轨迹，如图4(a)-(e)中贯穿t₁-t₅5个时刻的实线矩形框的红色实线所示。

第二种方法是：基于假位置方案，该方案可应用于单点查询和连续查询中。但该方案也存在一些缺点，即在产生假位置点时缺少背景知识的考虑，导致所产生的某些位置点不合理，从而使得攻击者很容易根据背景知识排除掉这些不合理点，最终大大提高攻击概率。即使充分考虑了背景知识，但其选择和产生需要消耗一定的资源，代价太高。同时它们还是虚假位置，没有任何实际意义和实用价值。现有的基于假位置的隐私保护方案，仍存在轨迹泄露问题。

图6给出了一个由于轨迹相似性而造成轨迹泄露的情形，其包括T₁、T₂、T₃、T₄和T₅五个查询时间段的匿名区域以及各时间段内假位置点构成的轨迹，每个匿名区域都实现了8-匿名隐私保护，即1个真实位置点和7个假位置点，实心圆点表示真实位置点，空心圆点表示假位置点，实线表示真实查询用户的真实轨迹，虚线表示假位置点构成的虚假轨迹；图6给出了一种比较极端的情形，即任意两个相邻时刻内假位置点形成的假轨迹和真实轨迹很相似。在这种情况下，虽然每个时刻都实现了8-匿名隐私保护，但是由于各时刻选出的假位置点构成的假轨迹与真实轨迹相似性太高，其间接泄露了真实查询用户的运动轨迹，即图6中8条运动趋势大概一致，其极大地提高了攻击者推测真实查询用户运动轨迹的概率，增加了用户隐私泄露的风险。

图7给出了一个由于真实位置点位置出入度个数太少造成运动轨迹泄露的情形，其包括p-1时刻位置点集合Loc_p-1和p时刻位置点集合Loc_p，且每个位置点集合都包括1个真实位置点和5个假位置点，实心圆点表示真实位置点，空心圆点表示假位置点，实线表示真实位置点可能形成的轨迹，虚线表示假位置点可能构成的轨迹；由图7可知，p-1时刻位置点集合Loc_p-1中真实位置点的位置出度个数为1，p-1时刻第一个假位置点的位置出度个数为2，p-1时刻第二个假位置点的位置出度个数为2，p-1时刻第三个假位置点的位置出度个数为3，p-1时刻第四个假位置点的位置出度个数为3，p-1时刻第五个假位置点的位置出度个数为2，p时刻位置点集合Loc_p中真实位置点的位置入度个数为1，p时刻第一个假位置点的的位置入度个数为4，p时刻第二个假位置点的的位置入度个数为2，p时刻第三个假位置点的的位置入度个数为2，p时刻第四个假位置点的的位置入度个数为2，p时刻第五个假位置点的的位置入度个数为2；从图7可得，在相邻查询时刻p-1和p内，真实位置点的位置度和位置入度个数都为1，故该真实位置点的位置出入度个数最小，导致由真实查询位置点构成的可能轨迹只有一条，而由其他假位置点构成的可能轨迹个数依次为2、2、3、3和2，因此在这种情况下泄露了真实位置点的运动轨迹，进一步侵害用户隐私。

第三种方法是：基于用户协作方案，该方案可用于单点查询和连续查询中，其具体方法是聚集附近k个用户一起协作完成k-匿名，然后进行查询。该方法在一定程度上保护了用户隐私，但其也存在一定的缺点，即协作用户之间的通信开销相比其他方案较大，同时其很难保证协作用户的隐私。

发明内容

本发明的目的在于针对上述已有技术的不足，提出一种基于假位置的时空关联隐私保护方法，以确保筛选出的k-1个假位置点的合理性，有效降低由轨迹相似性和位置出入度太小引起的轨迹泄露风险，保护真实位置点的隐私。

实现本发明的技术方案，包括如下：

(1)基于移动用户和位置服务器构成的独立式隐私保护框架，由手机生产厂商为每部手机安装一个缓存装置，用于用户在查询过程中对有用信息的存储；

(2)真实查询用户先收集时间敏感边信息TSSI，再利用该时间敏感边信息TSSI和真实查询用户T_p时刻的真实位置在本地产生大量假位置点；

(3)真实查询用户根据自己在T_p时刻的真实位置最大速度信息和运动方向计算其T_p+1时刻可能到达的区域范围R_p+1；

(4)真实查询用户根据T_p时刻各个假位置点和真实位置点的信息，制定区域可达性评估条件，并根据制定的区域可达性条件对各假位置点进行第一次筛选；

(5)真实查询用户根据T_p-1时刻和T_p时刻两个相邻匿名区域中所有位置点的信息，制定时间可达性评估条件，并根据该时间可达性评估条件对各假位置点进行第二次筛选；

(6)真实查询用户根据T_p-1和T_p两个相邻时刻内，各假位置点与真实查询用户间的运动趋势变化情况，制定T_p和T_p+1两个相邻时刻内各假位置点与真实查询用户间的轨迹相似性评估条件，并根据该轨迹相似性评估条件对各假位置点进行第三次筛选；

(7)真实查询用户将T_p时刻所有的假位置分为组，每组k-1个假位置点，并将其T_p时刻的真实位置添加到每组假位置中，组成新的组位置点，且每组共k个位置点，其中N表示T_p时刻假位置点总数，k表示匿名保护时所需的最小假位置点个数；

(8)真实查询用户计算新的组中每组k个位置点在T_p-1时刻的位置出度个数O_p-1、T_p时刻位置出入度个数I_p、各位置点位置出度平均数AO_p-1和位置入度平均数AI_p以及各假位置点与真实位置点间的欧氏距离EDS；

(9)真实查询用户选择真实用户位置出度值与入度值在所有位置点出入度值中适中且形成的匿名区域面积最小的假位置点作为最终的候选假位置点，并将该组假位置点与自身真实信息一起，形成最终查询集合FQ发送给位置服务器；

(10)位置服务器收到最终查询集合FQ后，查找自己的数据库，形成候选结果集CRS，并返回给真实查询用户；

(11)真实查询用户根据自身真实信息，筛选出满足其要求的查询结果，并将其记录在缓存器中。

本发明具有如下优点：

1)本发明由于使用了独立式基于假位置点的隐私保护方法，有效避免了集中式中可信第三方的单点攻击和存储空间有限的问题；

2)本发明由于在产生假位置时，不仅考虑了常见的背景信息，还考虑了时间敏感边信息，其实现了时间信息的细粒度化，故使得产生假位置点查询频率更加准确，更接近真实查询用户的查询频率；

3)本发明由于使用了缓存机制，使得用户在查询时变得方便快捷，降低了通信开销、减少了访问查询位置服务器的频率；

4)本发明由于在对各假位置点进行筛选时同时考虑了相邻前两个时刻位置点的运动趋势，故其对当前时刻假位置点的筛选提供了很好地参考依据，使得筛选出的假位置点可用性更高，隐私保护效果更好；

5)本发明由于在对各假位置点进行筛选时同时考虑了各个位置点间的区域覆盖性、时间可达性、轨迹相似性、入度与出度个数、相邻查询的时间间隔这些因素，能很好的保证筛选假位置点的合理性和可用性，使得其可同时降低由轨迹相似度太高和位置出入度太少而导致的轨迹泄露风险；

6)本发明由于在筛选假位置点时，同时考虑了各假位置点在真实查询用户下一时刻的区域可达性和前两个相邻时刻的运动趋势，故充分考虑了连续查询场景下各位置点间的时空关联性，降低了已筛选出的假位置点间的时空关联性，可有效抵御轨迹攻击；

7)本发明由于采用了位置k-匿名和查询L-多样度相结合的方法，同时实现了用户位置和查询内容隐私保护；

附图说明

图1是现有独立式基于移动终端隐私保护架构图；

图2是本发明的实现流程图；

图3是现有的位置关联攻击示意图；

图4是现有的轨迹攻击示意图；

图5是本发明中的时间边信息示意图；

图6是现有的轨迹泄露示意图；

图7是现有的真实位置出度和入度示意图；

图8是本发明中的真实用户下一时刻可达区域示意图。

具体实施方案

本发明采用图1独立式基于假位置的隐私保护架构进行隐私保护。

参照图1，基于假位置的隐私保护架构，包括移动用户和位置服务器。该移动用户，是移动互联网中普通的移动用户，其拥有具有缓存装置的移动设备，用于在移动通信网络中某个查询发起者发出查询请求时，其自身首先依据相关的假位置产生算法产生多个假位置，并根据自身查询特点和隐私保护需求，设计假位置点筛选条件；然后对个假位置点进行筛选，并根据自身查询内容，给各假位置点分配相应的查询内容；最后将筛选出满足要求的假位置点、分配的查询内容信息、自身真实位置以及查询内容，一起形成最终查询集合FQ发送给位置服务器。该位置服务器,其内部存储着所有LBS服务所需的信息，用于LBS查询服务结果的提供。在位置服务中，其操作应依照LBS系统的相关规则和协议，但不排除其是不诚实且感兴趣的，故在本方案中位置服务器是半可信的，其主要用于用户请求查询结果的提供，形成的候选结果集CRS，并返回给查询发起者，查询发起者收到候选结果集CRS后，根据其自身真实查询信息筛选出满足其要求的查询结果。

基于该隐私保护框架，真实查询用户在发送查询请求给位置服务器之前，真实查询用户需要首先考虑时间敏感边信息，再利用该时间敏感边信息和真实查询用户T_p时刻的真实位置产生多个假位置，并根据自身连续查询的特点和隐私保护需求，制定区域覆盖性、时间可达性、轨迹相似性和位置出入度个数占比四个假位置点筛选条件；然后真实查询用户根据设计的四个筛选条件对各个假位置点进行筛选，并根据其自身查询内容，给筛选出的各假位置点分配相应的查询内容；最后真实查询用户将筛选出满足要求的假位置点、分配的查询内容信息、自身真实位置以及查询内容，一起形成最终查询集合FQ发送给位置服务器。位置服务器根据所收到的查询集合FQ，查找数据库，形成相应的候选结果集CRS并返回给真实查询用户。真实查询用户收到该候选结果集CRS后，根据其自身真实信息，对该候选结果集进行过滤，筛选出满足其要求的查询结果，并将该查询内容及其结果存储于其缓存器中，以便自身查询需要。

参照图2，本发明基于上述隐私保护框架进行隐私保护的实现步骤如下：

步骤1，在独立式基于假位置的隐私保护框架基础上，由手机生产厂商为每部手机安装一个缓存装置，用于用户在查询过程中对有用信息的存储。

步骤2，真实查询用户利用时间敏感边信息TSSI和真实查询用户T_p时刻的真实位置在本地产生大量假位置点。

(2.1)真实查询用户首先将整个查询覆盖全区域R划分为M个小区域，并统计该M个小区域分别在0:00～3:00、3:00～6:00、6:00～9:00、9:00～12:00、12:00～15:00、15:00～18:00、18:00～21:00和21:00～24:00这8个时间段的概率，并将其作为时间敏感边信息TSSI：

其中R_g表示第g个小区域；P₁ ^g表示第g个小区域在0:00～3:00时间段内的查询频率；P₂ ^g表示第g个小区域在3:00～6:00时间段内的查询频率；P₃ ^g表示第g个小区域在6:00～9:00时间段内的查询频率；P₄ ^g表示第g个小区域在9:00～12:00时间段内的查询频率；P₅ ^g表示第g个小区域在12:00～15:00时间段内的查询频率；P₆ ^g表示第g个小区域在15:00～18:00时间段内的查询频率；表示第g个小区域在18:00～21:00时间段内的查询频率；P₈ ^g表示第g个小区域在21:00～24:00时间段内的查询频率；1≤g≤M；

图5给出了一个含有时间敏感边信息的实例。该实例将整个查询区域划分为16个小区域，并统计这16个小区域中每一个小区域在T₁、T₂和T₃这3个时间段的查询频率，其中T₁表示时间段0:00～8:00，T₂表示时间段8:00～16:00，T₃表示时间段16:00～24:00。图5中等号左侧区域表示16个小区域3个时间段的整体边信息，即每个小区域统计3个时间段内所有查询的次数，并将该查询次数与这3个时间段内16个小区域整体查询总数的比值，作为该小区域的整体查询频率，由图5可以看出，小区域1到16的整体查询次数依次为：6、4、4、4、3、3、3、2、3、4、3、5、6、5、4、5，则小区域1到16的整体查询频率依次为： 图5中每个小区域中不同的形状表示不同的查询内容，小区域1到16的不同查询内容的个数依次为：4、3、4、4、3、3、3、2、3、3、2、4、4、4、4、4；等号右侧表示该整体查询区域在T₁、T₂和T₃这3个时间段内的查询情况，则小区域1到16在T₁时间段的查询频率依次为： 小区域1到16在T₂时间段的查询频率依次为： 小区域1到16在T₃时间段的查询频率依次为： 由图5可看出，各个小区域在不同时间段内的查询频率小于其整体查询频率，而且查询内容的种类也相对较少，故将各个小区域在不同时间段内的查询频率作为其最终查询频率更为精确，可以更有效的抵御攻击者根据背景信息发起的攻击。

(2.2)真实查询用户根据收集时间敏感边信息TSSI和真实查询用户T_p时刻的真实位置在本地产生大量假位置，其实现如下：

首先，真实查询用户根据其T_p时刻的查询位置找到其属于整个查询区域R中对应的区域

然后，真实查询用户根据当前查询的时刻T_p，得出时刻T_p属于0:00～3:00、3:00～6:00、6:00～9:00、9:00～12:00、12:00～15:00、15:00～18:00、18:00～21:00和21:00～24:00这8个时间段中对应的时间段T_f，并计算该时间段T_f内区域的查询频率P_f；

其中T_f为0:00～3:00、3:00～6:00、6:00～9:00、9:00～12:00、12:00～15:00、15:00～18:00、18:00～21:00和21:00～24:00这8个时间段中任意一个时间段，P_f表示与时间段T_f对应的查询频率；

最后，真实查询用户在整个查询区域R中寻找与自身T_p时刻查询频率P_f相近的所有假位置点，并将其存入假位置点集合DLS^p：

其中表示T_p时刻第i个假位置点的位置，且1≤i≤N，N表示与真实查询用户当前查询频率P_f相近的假位置点总数。

步骤3，真实查询用户计算其T_p+1时刻可能到达的区域范围R_p+1。

(3.1)真实查询用户首先设两个实数参数C₁、C₂和一个角度参数C₃，然后根据设定的参数和真实查询用户T_p时刻的信息，计算如下七个数值：

真实查询用户T_p时刻的运动趋势：

时间间隔ΔT_p+1内，真实查询用户所经过的路程：

中间变量：

T_p+1时刻半径的最小值：

T_p+1时刻半径的最大值：

T_p+1时刻角度的最小值：

T_p+1时刻角度的最大值：

其中，0≤C₁≤1≤C₂；表示从0到中，任意取一个角度值；RAND(C₁,C₂)表示从C₁到C₂中，任意取一个实数值；ΔT_p+1＝T_p+1-T_p；

(3.2)真实查询用户根据上述计算的数值，以其T_p时刻自身真实位置为中心，根据半径参数和角度参数和作区域，该区域即为真实查询用户T_p+1时刻可能到达的区域范围R_p+1。其过程如图8所示，图8中阴影区域即为真实查询用户T_p+1时刻可能到达的区域范围R_p+1。

步骤4，真实查询用户根据区域可达性条件对各假位置点进行第一次筛选。

(4.1)真实查询用户根据其自身T_p时刻的运动趋势制定运动趋势范围其中ζ表示用户自己设定的角度范围，且ζ∈[00,600]；

(4.2)真实查询用户根据制定的运动趋势范围Δθ和其自身ΔT_p+1时间间隔内所经过的路程设定区域可达性评估条件：

若假位置点沿Δθ方向行驶路程时，可到达区域R_p+1，则保留该假位置点；

若假位置点沿Δθ方向行驶路程时，不可到达区域R_p+1，则舍弃该假位置点；

其中ΔT_p+1＝T_p+1-T_p；

(4.3)真实查询用户根据设定的区域可达性评估条件，对假位置点集合DLS^p中的各假位置点进行筛选，舍弃不满足条件的假位置点，保留满足条件的假位置点，并用保留满足条件的各假位置点构成第一次筛选集合FFS：

其中表示T_p时刻第e个假位置点的位置，且1≤e≤E，E表示满足区域可达性评估条件的假位置点个数，且1≤E≤N。

步骤5，真实查询用户根据时间可达性条件对各假位置点进行第二次筛选。

(5.1)真实查询用户收集T_p-1时刻k-匿名位置集合DLS^p-1：

其中表示T_p-1时刻第j个假位置点的位置，且1≤j≤k-1，表示T_p-1时刻真实查询用户的位置；表示T_p-1时刻第j个假位置点的最大速度；表示T_p-1时刻真实查询用户的最大速度；

(5.2)真实查询用户根据上述收集的信息，制定时间可达性条件：

若在时间间隔ΔT_p内，第j个假位置点以其自身T_p-1时刻最大速度行驶的路程在内时，则保留该假位置点；

若在时间间隔ΔT_p内，第j个假位置点以其自身T_p-1时刻最大速度行驶的路程不在内时，则舍弃该假位置点，其中，ΔT_p＝T_p-T_p-1；表示第j个假位置点以其自身T_p-1时刻最大速度行驶时间间隔ΔT_p后的路程；表示真实查询用户以其自身T_p-1时刻最大速度行驶时间间隔ΔT_p后的路程；Δd表示真实查询用户设定的距离阈值；

(5.3)真实查询用户根据设定的时间可达性评估条件，对第一次筛选集合FFS中的各假位置点进行筛选，舍弃不满足条件的假位置点，保留满足条件的假位置点，并用保留满足条件的各假位置点构成第二次筛选集合SFS：

其中表示T_p时刻第h个假位置点的位置，且1≤h≤H，H表示满足时间可达性评估条件的假位置点个数，且1≤H≤E。

步骤6，真实查询用户根据轨迹相似性条件对各假位置点进行第三次筛选。

(6.1)真实查询用户收集T_p-2时刻匿名位置集合DLS^p-2：

其中表示T_p-2时刻第j个假位置点的位置，且1≤j≤k-1；表示T_p-2时刻真实查询用户的位置；

(6.2)真实查询用户计算T_p-2时刻匿名位置集合DLS^p-2中各假位置点到T_p-1时刻匿名位置集合DLS^p-1中各假位置点间的运动趋势，其实现如下：

首先，真实查询用户计算T_p-2时刻匿名位置集合DLS^p-2中每一个假位置点可以到达T_p-1时刻匿名位置集合DLS^p-1中的假位置点，并构成可达假位置点集合ADLS^p-1：

其中，表示DLS^p-2中第j个假位置点的可达位置点集合；表示DLS^p-2中第j个假位置点到DLS^p-1中第v个可达的位置点；1≤j≤k-1，1≤v≤k；

然后，真实查询用户计算DLS^p-2中各假位置点与可达假位置点集合ADLS^p-1中可达位置点间的运动趋势，并将其存入T_p-2时刻运动趋势集合MTS^p-2：

其中，表示DLS^p-2中第j个假位置点与ADLS^p-1中可达位置点间的运动趋势集合；表示DLS^p-2中第j个假位置点与ADLS^p-1中第v个可达位置点间的运动趋势；1≤j≤k-1，1≤v≤k；

接着，真实查询用户计算MTS^p-2中各假位置点与真实查询用户运动趋势间的差值，将计算出的运动趋势差值存入T_p-2时刻运动趋势差集合MTDS^p-2：

其中，表示DLS^p-2中第j个假位置点的运动趋势与真实查询用户运动趋势间的差值集合；表示DLS^p-2中第j个假位置点与ADLS^p-1中第v个可达位置点间的运动趋势与真实查询用户运动趋势间的差值；

最后，真实查询用户根据运动趋势差集合MTDS^p-2，对DLS^p-2中每一个假位置点T_p-2时刻的运动趋势进行判断，即将出现频率最多的运动趋势作为该假位置点T_p-2时刻的运动趋势，并将其存入T_p-2时刻最终运动趋势集合FMTS^p-2：

其中，表示DLS^p-2中第j个假位置点T_p-2时刻的运动趋势，且为中出现频率最多的运动趋势；

(6.3)真实查询用户计算T_p-1时刻匿名位置集合DLS^p-1中各假位置点到T_p时刻匿名位置集合DLS^p中各假位置点间的运动趋势，其实现如下：

首先，真实查询用户计算T_p-1时刻匿名位置集合DLS^p-1中每一个假位置点可以到达T_p时刻匿名位置集合DLS^p中的假位置点，并构成T_p时刻可达假位置点集合ADLS^p：

其中，表示DLS^p-1中第j个假位置点的可达位置点集合；表示DLS^p-1中第j个假位置点到DLS^p中第v个可达的位置点；1≤j≤k-1，1≤v≤k；

然后，真实查询用户计算DLS^p-1中各假位置点与可达假位置点集合ADLS^p中可达位置点间的运动趋势，并将其存入T_p-1时刻运动趋势集合MTS^p-1：

其中，表示DLS^p-1中第j个假位置点与ADLS^p中可达位置点间的运动趋势集合；表示DLS^p-1中第j个假位置点与ADLS^p中第v个可达位置点间的运动趋势；1≤j≤k-1，1≤v≤k；

接着，真实查询用户计算MTS^p-1中各假位置点与真实查询用户运动趋势θ_r ^p-1间的差值，将计算出的运动趋势差值存入T_p-1时刻运动趋势差集合MTDS^p-1：

其中，表示真实查询用户T_p-1时刻的运动趋势；表示T_p-1时刻DLS^p-1中第j个假位置点的运动趋势与真实查询用户运动趋势间的差值集合；表示T_p-1时刻DLS^p-1中第j个假位置点与ADLS^p中第v个可达位置点间的运动趋势与真实查询用户运动趋势间的差值；

最后，真实查询用户根据运动趋势差集合MTDS^p-1，对DLS^p-1中每一个假位置点T_p-1时刻的运动趋势进行判断，即将出现频率最多的运动趋势作为该假位置点T_p-1时刻的运动趋势，并将其存入T_p-1时刻最终运动趋势集合FMTS^p-1：

其中，表示DLS^p-1中第j个假位置点T_p-1时刻的运动趋势，且为中出现频率最多的运动趋势；

(6.4)真实查询用户根据T_p-2时刻运动趋势集合FMTS^p-2中各假位置点的运动趋势和T_p-1时刻运动趋势集合FMTS^p-1中各假位置点的运动趋势，制定T_p-1时刻到T_p时刻各假位置点轨迹相似性评估条件：

若则运动轨迹相似；

若则运动轨迹不相似；

(6.5)真实查询用户根据设定的轨迹相似性评估条件，对第二次筛选集合SFS中的各假位置点进行筛选，舍弃不满足条件的假位置点，保留满足条件的假位置点，并用保留满足条件的各假位置点构成第三次筛选集合TFS：

其中表示T_p时刻第l个假位置点的位置，且1≤l≤L，L表示满足轨迹相似性评估条件的假位置点个数，且1≤L≤H。

步骤7，真实查询用户将T_p时刻所有的假位置分为组，每组k-1个假位置点，并将其T_p时刻的真实位置添加到每组假位置中，组成新的组位置点。

(7.1)真实查询用户收集组候选假位置信息G：

其中，G_F表示第F组候选用户信息，且 表示第F组第j个候选假位置点信息；

(7.2)真实查询用户将其自身T_p时刻位置信息添加到上述组中每组假位置中，构成组新候选假位置信息NG：

其中NG_F表示第F组新的候选位置信息。

步骤8，真实查询用户计算新的组中每组k个位置点T_p-1时刻的位置出度个数O_p-1、T_p时刻位置出入度个数I_p、各位置点位置出度平均数AO_p-1和位置入度平均数AI_p。

(8.1)真实查询用户计算T_p-1时刻k-匿名位置集合DLS^p-1中k个位置点到T_p时刻新候选假位置信息NG中各组位置点的位置出度个数O_p-1：

首先，真实查询用户需要计算DLS^p-1中每个位置点以速度行驶时间间隔ΔT_p时，能够到达T_p时刻新候选假位置信息NG中各组位置点的个数；

然后，真实查询用户将计算出的个数值作为该假位置点到NG中各组新候选假位置点的出度值，并将其存入位置出度集合O_p-1中：

其中，表示第F组候选假位置点的位置出度值信息；表示第F组第j个假位置点位置出度值信息；1≤j≤k-1；ΔT_p＝T_p-T_p-1；

(8.2)真实查询用户计算T_p时刻新候选假位置信息NG中每组k个位置点到T_p-1时刻k-匿名位置集合DLS^p-1中k个位置点的位置入度个数I_p：

首先，真实查询用户需要计算T_p时刻新候选假位置信息NG中每组k个位置点以速度行驶时间间隔ΔT_p时，能够到达T_p-1时刻k-匿名位置集合DLS^p-1中位置点的个数；

然后，真实查询用户将计算出的个数值作为该位置点到T_p-1时刻k-匿名位置集合DLS^p-1的位置入度个数，并将其存入位置入度集合I_p中：

其中，表示第F组候选假位置点的位置入度值信息；表示第F组第j个假位置点位置出度值信息；1≤j≤k-1；ΔT_p＝T_p-T_p-1；

(8.3)真实查询用户根据位置出度集合O_p-1和位置入度集合I_p，计算各位置点位置出度平均数和位置入度平均数：

首先，真实查询用户统计位置出度集合O_p-1中k个位置点的位置出度平均数，即将位置出度集合O_p-1中k个位置点的位置出度值求和，并将该求和结果除以k的值作为这k个位置点的位置出度平均数AO_p-1：

其中，表示第F组候选假位置点的位置出度平均数；

然后，真实查询用户统计位置入度集合I_p中k个位置点的位置入度平均数，即将位置入度集合I_p中k个位置点的位置入度值求和，并将该求和结果除以k的值作为这k个位置点的位置入度平均数AI_p：

其中，表示第F组候选假位置点的位置入度平均数。

步骤9，真实查询用户计算新的组中每组k-1个假位置点与真实位置点间的欧氏距离，并用计算出的欧式距离构成欧氏距离集合EDS：

其中表示第F组中k-1个候选假位置点与真实位置点间的欧氏距离集合；

表示第F组中第j个候选用户与真实查询用户间的欧氏距离。

步骤10，真实查询用户形成最终查询集合FQ。

(10.1)真实查询用户根据收集整理的组各组位置点位置出度平均数AO_p-1和位置入度平均数AI_p，制定真实查询用户位置出入度评估条件：

若且则真实查询用户位置出度值和入度值接近该组位置点位置出度和入度平均数；

若且则真实查询用户位置出度值和入度值不接近该组位置点位置出度和入度平均数；

(10.2)真实查询用户根据真实查询用户位置出入度评估条件和欧式距离之和，比较各组位置点中各真实查询用户位置出入度范围和欧式距离之和，并将真实用户位置出度与入度接近该组位置点出入度平均数且形成的匿名区域面积最小的假位置点组，作为最终的候选假位置点组FCDS：

其中，表示第J组第j个候选假位置点信息；1≤j≤k-1；且J≠F；

(10.3)真实查询用户根据其自身查询内容信息QC_r，给最终候选假位置点组FCDS中各假位置点分配相应与其自身真实查询内容QC_r相近的查询内容，并将其构成候选查询集合CQS：

其中表示第J组第j个候选假位置点的查询内容信息；表示第J组第j个候选假位置点的标记信息；

(10.4)真实查询用户将候选查询集合CQS信息与自身真实查询信息一起整理形成最终查询集合FQ：

其中，ID_j表示第j个假位置点的最终身份信息，ID_k表示真实查询用户的最终身份信息；(x_j，y_j)表示第j个假位置点的位置信息，QC_j表示第j个假位置点的查询信息；表示第J组第j个假位置点的标记信息，且1≤j≤k-1， 表示第J组第j个候选假位置点的位置信息；表示第J组中第j个假位置点的查询内容信息；表示T_p时刻真实查询用户；表示T_p时刻真实查询用户的位置信息；表示T_p时刻真实查询用户的查询内容信息；(x_r,y_r)表示真实查询用户最终的位置信息，QC_r表示真实查询用户最终的查询信息。

步骤11，位置服务器和真实查询用户间进行信息交互。

(11.1)真实查询用户将最终查询集合FQ发送给位置服务器；

(11.2)位置服务器收到最终查询集合FQ后，查找自己的数据库，形成候选结果集CRS，并返回给真实查询用户；

(11.3)真实查询用户收到此候选结果集CRS后，根据自身真实信息，筛选出其所需的查询结果，并将该查询结果记录在其缓存器中。

以上描述仅是本发明的一个具体实例，并未构成对本发明的任何限制，显然对于本领域的专业人员来说，在了解了本发明内容和原理后，都可能在不背离本发明原理、结构的情况下，进行形式和细节上的各种修改和改变，但是这些基于发明思想的修正和改变仍在本发明的权利要求保护范围之内。

Claims (9)

1.一种基于假位置的时空关联隐私保护方法，包括：

(1)基于移动用户和位置服务器构成的独立式隐私保护框架，由手机生产厂商为每部手机安装一个缓存装置，用于用户在查询过程中对有用信息的存储；

(2)真实查询用户先收集时间敏感边信息TSSI，再利用该时间敏感边信息TSSI和真实查询用户T_p时刻的真实位置在本地产生大量假位置点；

(3)真实查询用户根据自己在T_p时刻的真实位置最大速度信息和运动方向计算其T_p+1时刻可能到达的区域范围R_p+1；

(4)真实查询用户根据T_p时刻各个假位置点和真实位置点的信息，制定区域可达性评估条件，并根据制定的区域可达性条件对各假位置点进行第一次筛选；

(5)真实查询用户根据T_p-1时刻和T_p时刻两个相邻匿名区域中所有位置点的信息，制定时间可达性评估条件，并根据该时间可达性评估条件对各假位置点进行第二次筛选；

(6)真实查询用户根据T_p-1和T_p两个相邻时刻内，各假位置点与真实查询用户间的运动趋势变化情况，制定T_p和T_p+1两个相邻时刻内各假位置点与真实查询用户间的轨迹相似性评估条件，并根据该轨迹相似性评估条件对各假位置点进行第三次筛选；

(7)真实查询用户将T_p时刻所有的假位置分为组，每组k-1个假位置点，并将其T_p时刻的真实位置添加到每组假位置中，组成新的组位置点，且每组共k个位置点，其中N表示T_p时刻假位置点总数，k表示匿名保护时所需的最小假位置点个数；

(8)真实查询用户计算新的组中每组k个位置点在T_p-1时刻的位置出度个数O_p-1、T_p时刻位置出入度个数I_p、各位置点位置出度平均数AO_p-1和位置入度平均数AI_p以及各假位置点与真实位置点间的欧氏距离EDS；

(9)真实查询用户选择真实用户位置出度值与入度值在所有位置点出入度值中适中且形成的匿名区域面积最小的假位置点作为最终的候选假位置点，并将该组假位置点与自身真实信息一起，形成最终查询集合FQ发送给位置服务器；

(10)位置服务器收到最终查询集合FQ后，查找自己的数据库，形成候选结果集CRS，并返回给真实查询用户；

(11)真实查询用户根据自身真实信息，筛选出满足其要求的查询结果，并将其记录在缓存器中。

2.根据权利要求1所述的方法，其中所述(2)，其实现如下：

2a)真实查询用户首先将整个查询覆盖全区域R划分为M个小区域，并统计该M个小区域分别在0:00～3:00、3:00～6:00、6:00～9:00、9:00～12:00、12:00～15:00、15:00～18:00、18:00～21:00和21:00～24:00这8个时间段的概率，再将其作为时间敏感边信息TSSI：

其中R_g表示第g个小区域；P₁ ^g表示第g个小区域在0:00～3:00时间段内的查询频率；表示第g个小区域在3:00～6:00时间段内的查询频率；表示第g个小区域在6:00～9:00时间段内的查询频率；表示第g个小区域在9:00～12:00时间段内的查询频率；表示第g个小区域在12:00～15:00时间段内的查询频率；表示第g个小区域在15:00～18:00时间段内的查询频率；表示第g个小区域在18:00～21:00时间段内的查询频率；表示第g个小区域在21:00～24:00时间段内的查询频率；1≤g≤M；

2b)真实查询用户根据收集时间敏感边信息TSSI和真实查询用户T_p时刻的真实位置在本地产生大量假位置：

2b1)真实查询用户根据其T_p时刻的查询位置找到其属于整个查询区域R中对应的区域

2b2)真实查询用户根据当前查询的时刻T_p，得出时刻T_p属于0:00～3:00、3:00～6:00、6:00～9:00、9:00～12:00、12:00～15:00、15:00～18:00、18:00～21:00和21:00～24:00这8个时间段中对应的时间段T_f，并计算该时间段T_f内区域的查询频率P_f；

其中T_f为0:00～3:00、3:00～6:00、6:00～9:00、9:00～12:00、12:00～15:00、15:00～18:00、18:00～21:00和21:00～24:00这8个时间段中任意一个时间段，P_f表示与时间段T_f对应的查询频率；

2b3)真实查询用户在整个查询区域R中寻找与自身T_p时刻查询频率P_f相近的所有假位置点，并将其存入假位置点集合DLS^p：

其中表示T_p时刻第i个假位置点的位置，且1≤i≤N，N表示与真实查询用户当前查询频率P_f相近的假位置点总数。

3.根据权利要求1所述的方法，其中(3)真实查询用户计算其T_p+1时刻可能到达的区域范围R_p+1，其实现如下：

3a)真实查询用户首先设两个实数参数C₁、C₂和一个角度参数C₃，然后根据设定的参数和真实查询用户T_p时刻的信息，计算如下七个数值：

真实查询用户T_p时刻的运动趋势：

时间间隔ΔT_p+1内，真实查询用户所经过的路程：

中间变量：

T_p+1时刻半径的最小值：

T_p+1时刻半径的最大值：

T_p+1时刻角度的最小值：

T_p+1时刻角度的最大值：

其中，0≤C₁≤1≤C₂；表示从0到中，任意取一个角度值；RAND(C₁,C₂)表示从C₁到C₂中，任意取一个实数值；ΔT_p+1＝T_p+1-T_p；

3b)真实查询用户根据上述计算的数值，以其T_p时刻自身真实位置为中心，根据半径参数和角度参数和作区域，该区域即为真实查询用户T_p+1时刻可能到达的区域范围R_p+1。

4.根据权利要求1所述的方法，其中所述步骤(4)其实现如下：

4a)真实查询用户根据其自身T_p时刻的运动趋势制定运动趋势范围其中ζ表示用户自己设定的角度范围，且ζ∈[0°,60°]；

4b)真实查询用户根据制定的运动趋势范围Δθ和其自身ΔT_p+1时间间隔内所经过的路程设定区域可达性评估条件：

若假位置点沿Δθ方向行驶路程时，可到达区域R_p+1，则保留该假位置点；

若假位置点沿Δθ方向行驶路程时，不可到达区域R_p+1，则舍弃该假位置点；

其中ΔT_p+1＝T_p+1-T_p；

4c)真实查询用户根据设定的区域可达性评估条件，对假位置点集合DLS^p中的各假位置点进行筛选，舍弃不满足条件的假位置点，保留满足条件的假位置点，并用保留满足条件的各假位置点构成第一次筛选集合FFS：

其中表示T_p时刻第e个假位置点的位置，且1≤e≤E，E表示满足区域可达性评估条件的假位置点个数，且1≤E≤N。

5.根据权利要求1所述的方法，其中所述步骤(5)，其实现如下：

5a)真实查询用户收集T_p-1时刻k-匿名位置集合DLS^p-1：

其中表示T_p-1时刻第j个假位置点的位置，且1≤j≤k-1，表示T_p-1时刻真实查询用户的位置；表示T_p-1时刻第j个假位置点的最大速度；表示T_p-1时刻真实查询用户的最大速度；

5b)真实查询用户根据上述收集的信息，制定时间可达性条件：

若在时间间隔ΔT_p内，第j个假位置点以其自身T_p-1时刻最大速度行驶的路程在内时，则保留该假位置点；

若在时间间隔ΔT_p内，第j个假位置点以其自身T_p-1时刻最大速度行驶的路程不在内时，则舍弃该假位置点；

其中，ΔT_p＝T_p-T_p-1；表示第j个假位置点以其自身T_p-1时刻最大速度行驶时间间隔ΔT_p后的路程；表示真实查询用户以其自身T_p-1时刻最大速度行驶时间间隔ΔT_p后的路程；Δd表示真实查询用户设定的距离阈值；

5c)真实查询用户根据设定的时间可达性评估条件，对第一次筛选集合FFS中的各假位置点进行筛选，舍弃不满足条件的假位置点，保留满足条件的假位置点，并用保留满足条件的各假位置点构成第二次筛选集合SFS：

其中表示T_p时刻第h个假位置点的位置，且1≤h≤H，H表示满足时间可达性评估条件的假位置点个数，且1≤H≤E。

6.根据权利要求1所述的方法，其中所述步骤(6)，其实现如下：

6a)真实查询用户收集T_p-2时刻匿名位置集合DLS^p-2：

其中表示T_p-2时刻第j个假位置点的位置，且1≤j≤k-1；表示T_p-2时刻真实查询用户的位置；

6b)真实查询用户计算T_p-2时刻匿名位置集合DLS^p-2中各假位置点到T_p-1时刻匿名位置集合DLS^p-1中各假位置点间的运动趋势：

6b1)真实查询用户计算T_p-2时刻匿名位置集合DLS^p-2中每一个假位置点可以到达T_p-1时刻匿名位置集合DLS^p-1中的假位置点，并构成可达假位置点集合ADLS^p-1：

其中，表示DLS^p-2中第j个假位置点的可达位置点集合；表示DLS^p-2中第j个假位置点到DLS^p-1中第v个可达的位置点；1≤j≤k-1，1≤v≤k；

6b2)真实查询用户计算DLS^p-2中各假位置点与可达假位置点集合ADLS^p-1中可达位置点间的运动趋势，并将其存入T_p-2时刻运动趋势集合MTS^p-2：

其中，表示DLS^p-2中第j个假位置点与ADLS^p-1中可达位置点间的运动趋势集合；表示DLS^p-2中第j个假位置点与ADLS^p-1中第v个可达位置点间的运动趋势；1≤j≤k-1，1≤v≤k；

6b3)真实查询用户计算MTS^p-2中各假位置点与真实查询用户运动趋势间的差值，将计算出的运动趋势差值存入T_p-2时刻运动趋势差集合MTDS^p-2：

其中，表示DLS^p-2中第j个假位置点的运动趋势与真实查询用户运动趋势间的差值集合；表示DLS^p-2中第j个假位置点与ADLS^p-1中第v个可达位置点间的运动趋势与真实查询用户运动趋势间的差值；

6b4)真实查询用户根据运动趋势差集合MTDS^p-2，对DLS^p-2中每一个假位置点T_p-2时刻的运动趋势进行判断，即将出现频率最多的运动趋势作为该假位置点T_p-2时刻的运动趋势，并将其存入T_p-2时刻最终运动趋势集合FMTS^p-2：

其中，表示DLS^p-2中第j个假位置点T_p-2时刻的运动趋势，且为中出现频率最多的运动趋势；

6c)真实查询用户计算T_p-1时刻匿名位置集合DLS^p-1中各假位置点到T_p时刻匿名位置集合DLS^p中各假位置点间的运动趋势：

6c1)真实查询用户计算T_p-1时刻匿名位置集合DLS^p-1中每一个假位置点可以到达T_p时刻匿名位置集合DLS^p中的假位置点，并构成T_p时刻可达假位置点集合ADLS^p：

其中，表示DLS^p-1中第j个假位置点的可达位置点集合；表示DLS^p-1中第j个假位置点到DLS^p中第v个可达的位置点；1≤j≤k-1，1≤v≤k；

6c2)真实查询用户计算DLS^p-1中各假位置点与可达假位置点集合ADLS^p中可达位置点间的运动趋势，并将其存入T_p-1时刻运动趋势集合MTS^p-1：

其中，表示DLS^p-1中第j个假位置点与ADLS^p中可达位置点间的运动趋势集合；表示DLS^p-1中第j个假位置点与ADLS^p中第v个可达位置点间的运动趋势；1≤j≤k-1，1≤v≤k；

6c3)真实查询用户计算MTS^p-1中各假位置点与真实查询用户运动趋势间的差值，将计算出的运动趋势差值存入T_p-1时刻运动趋势差集合MTDS^p-1：

其中，表示真实查询用户T_p-1时刻的运动趋势；表示T_p-1时刻DLS^p-1中第j个假位置点的运动趋势与真实查询用户运动趋势间的差值集合；表示T_p-1时刻DLS^p-1中第j个假位置点与ADLS^p中第v个可达位置点间的运动趋势与真实查询用户运动趋势间的差值；

6c4)真实查询用户根据运动趋势差集合MTDS^p-1，对DLS^p-1中每一个假位置点T_p-1时刻的运动趋势进行判断，即将出现频率最多的运动趋势作为该假位置点T_p-1时刻的运动趋势，并将其存入T_p-1时刻最终运动趋势集合FMTS^p-1：

其中，表示DLS^p-1中第j个假位置点T_p-1时刻的运动趋势，且为中出现频率最多的运动趋势；

6d)真实查询用户根据T_p-2时刻运动趋势集合FMTS^p-2中各假位置点的运动趋势和T_p-1时刻运动趋势集合FMTS^p-1中各假位置点的运动趋势，制定T_p-1时刻到T_p时刻各假位置点轨迹相似性评估条件：

若则运动轨迹相似；

若则运动轨迹不相似；

6e)真实查询用户根据设定的轨迹相似性评估条件，对第二次筛选集合SFS中的各假位置点进行筛选，舍弃不满足条件的假位置点，保留满足条件的假位置点，并用保留满足条件的各假位置点构成第三次筛选集合TFS：

其中表示T_p时刻第l个假位置点的位置，且1≤l≤L，L表示满足轨迹相似性评估条件的假位置点个数，且1≤L≤H。

7.根据权利要求1所述的方法，其中(7)中真实查询用户将其T_p时刻的位置添加到每组假位置中，组成新的组位置点，且每组共k个位置点，其实现如下：

(7a)真实查询用户收集组候选假位置信息G：

其中，G_F表示第F组候选用户信息，且 表示第F组第j个候选假位置点的位置信息；

(7b)真实查询用户将其自身T_p时刻位置信息添加到上述组中每组假位置中，构成组新候选假位置信息NG：

其中NG_F表示第F组新的候选位置信息。

8.根据权利要求1所述的方法，其中所述步骤(8)，其实现如下：

8a)真实查询用户计算T_p-1时刻k-匿名位置集合DLS^p-1中k个位置点到T_p时刻新候选假位置信息NG中各组位置点的位置出度个数O_p-1：

8a1)真实查询用户需要计算DLS^p-1中每个位置点以速度行驶时间间隔ΔT_p时，能够到达T_p时刻新候选假位置信息NG中各组位置点的个数；

8a2)真实查询用户将计算出的个数值作为该假位置点到NG中各组新候选假位置点的出度值，并将其存入位置出度集合O_p-1中：

其中，表示第F组候选假位置点的位置出度值信息；表示第F组第j个假位置点位置出度值信息；1≤j≤k-1；ΔT_p＝T_p-T_p-1；

8b)真实查询用户计算T_p时刻新候选假位置信息NG中每组k个位置点到T_p-1时刻k-匿名位置集合DLS^p-1中k个位置点的位置入度个数I_p：

8b1)真实查询用户需要计算T_p时刻新候选假位置信息NG中每组k个位置点以速度行驶时间间隔ΔT_p时，能够到达T_p-1时刻k-匿名位置集合DLS^p-1中位置点的个数；

8b2)真实查询用户将计算出的个数值作为该位置点到T_p-1时刻k-匿名位置集合DLS^p-1的位置入度个数，并将其存入位置入度集合I_p中：

其中，表示第F组候选假位置点的位置入度值信息；表示第F组第j个假位置点位置入度值信息；1≤j≤k-1；ΔT_p＝T_p-T_p-1；

8c)真实查询用户根据位置出度集合O_p-1和位置入度集合I_p，计算各位置点位置出度平均数和位置入度平均数：

8c1)真实查询用户统计位置出度集合O_p-1中k个位置点的位置出度平均数，即将位置出度集合O_p-1中k个位置点的位置出度值求和，并将该求和结果除以k的值作为这k个位置点的位置出度平均数AO_p-1：

其中，表示第F组候选假位置点的位置出度平均数；

8c2)真实查询用户统计位置入度集合I_p中k个位置点的位置入度平均数，即将位置入度集合I_p中k个位置点的位置入度值求和，并将该求和结果除以k的值作为这k个位置点的位置入度平均数AI_p：

其中，表示第F组候选假位置点的位置入度平均数；

8d)真实查询用户计算组中每组k-1个假位置点与真实位置点间的欧氏距离，并将其存入欧氏距离集合EDS：

其中表示第F组中k-1个候选假位置点与真实位置点间的欧氏距离集合；

表示第F组中第j个候选用户与真实查询用户间的欧氏距离。

9.根据权利要求1所述的方法，其中所述步骤(9)，其实现如下：

9a)真实查询用户根据收集整理的组各组位置点位置出度平均数AO_p-1和位置入度平均数AI_p，制定真实查询用户位置出入度评估条件：

若且则真实查询用户位置出度值和入度值接近第F组位置点位置出度和入度平均数；

若且则真实查询用户位置出度值和入度值不接近第F组位置点位置出度和入度平均数；

9b)真实查询用户根据真实查询用户位置出入度评估条件和欧式距离之和，比较各组位置点中各真实查询用户位置出入度范围和欧式距离之和，并将真实用户位置出度与入度接近该组位置点出入度平均数且形成的匿名区域面积最小的假位置点组，作为最终的候选假位置点组FCDS：

其中，表示第J组第j个候选假位置点信息；1≤j≤k-1；且J≠F；

9c)真实查询用户根据其自身查询内容信息QC_r，给最终候选假位置点组FCDS中各假位置点分配相应与其自身真实查询内容QC_r相近的查询内容，并将其构成候选查询集合CQS：

其中表示第J组第j个候选假位置点的查询内容信息；表示第J组第j个候选假位置点的标记信息；

9d)真实查询用户将候选查询集合CQS信息与自身真实查询信息一起整理形成最终查询集合FQ：

其中，ID_j表示第j个假位置点的最终身份信息，ID_k表示真实查询用户的最终身份信息；(x_j,y_j)表示第j个假位置点的位置信息，QC_j表示第j个假位置点的查询信息；表示第J组第j个假位置点的标记信息，且1≤j≤k-1， 表示第J组第j个候选假位置点的位置信息；表示第J组中第j个假位置点的查询内容信息；表示T_p时刻真实查询用户；表示T_p时刻真实查询用户的位置信息；表示T_p时刻真实查询用户的查询内容信息；(x_r,y_r)表示真实查询用户最终的位置信息，QC_r表示真实查询用户最终的查询信息。