CN109472155B - 一种空间众包中的差分隐私空间数据发布方法 - Google Patents

Abstract

本发明公开了一种空间众包中的差分隐私空间数据发布方法，属于网络与信息安全领域。本发明通过对空间众包工作者的真实位置添加符合差分隐私机制的噪声，解决了现有技术中对空间众包中工作者的位置隐私保护无法抗背景知识攻击的问题，同时充分考虑了邻近划分区域数据分布较为相似的情况下噪声容易产生叠加的情况，并采用KD‑树划分对网格划分结果进行调整，从而降低了工作者位置隐私泄漏的风险，提高了数据发布的可用性以及工作者的参与积极性。

Description

一种空间众包中的差分隐私空间数据发布方法

技术领域

本发明属于网络与信息安全领域，具体涉及一种空间众包中的差分隐私空间数据发布方法。

背景技术

众包是指一种相关机构或个人通过公众的网络平台寻找非专职的人员解决某些问题的工作模式。近年来，移动终端技术与GPS技术不断发展，依赖于工作者位置数据的空间众包应用应运而生。智能手机在人们生活中迅速发展，依赖于智能手机的空间众包作为众包中一个特殊的分支，传统的方法不再适用这一新的领域，空间众包领域还存在大量的问题亟待解决。

在空间众包环境中，空间众包平台要求工作者提供实时精准的位置数据，而空间众包平台为不可信的第三方平台，这将会导致工作者的位置隐私遭受威胁。随着人们的隐私保护意识的增强，工作者将由于隐私泄漏风险而不愿参与任务的执行。如果空间众包平台不获取工作者位置数据，就不能根据工作者的位置信息和任务的位置信息高效地分配空间任务。因此，保护空间众包工作者位置隐私是十分必要的。

然而，现有的方法大都基于空间匿名技术保护空间众包工作者的位置隐私，该类方法很难抗背景知识攻击。同时，空间匿名技术的隐匿区域大小难以控制，容易导致由于过强的隐私保护而降低服务质量。基于差分隐私技术的隐私保护方法能很好地保护工作者的位置隐私，但现有的方法大都只能处理小规模二维空间数据，很难处理现实生活中大规模且偏斜的二维空间数据，因此有效保护工作者位置隐私的同时提高现实生活中的二维空间数据可用性是至关重要的。

发明内容

本发明的发明目的在于：针对上述存在问题或不足，本发明提供了一种空间众包工作者位置隐私保护方法，以有效处理现实生活中的大规模且偏斜的空间众包工作者位置数据，同时针对邻近划分区域数据分布较为相似的情况下噪声容易产生叠加的情况进行了充分考虑，采用KD-树划分对网格划分结果进行调整，实现提高工作者位置隐私保护程度的同时保证数据可用性。

为实现上述目的，本发明所采用的技术方案是，首先将空间众包工作者的真实位置数据存储到可信的移动服务提供商；当任务请求者发起任务请求时，空间众包平台向移动服务提供商发起工作者位置数据请求，此时移动服务提供商采用一定的隐私保护方法为空间众包平台提供工作者的位置数据差分隐私空间分解，从而在保护空间众包工作者位置数据的同时保证发布数据的可用性。

本发明为解决技术问题所采用的技术方案是：

一种空间众包中的差分隐私空间数据发布方法，包括下列步骤：

步骤1：移动服务提供商实时获取空间众包工作者真实的位置数据，并保存到移动服务提供商的数据服务器中，以保证向空间众包平台服务器提供实时的空间众包工作者的位置数据，响应该平台的查询请求；

步骤2：当空间众包平台上的任务请求者向空间众包平台发起任务请求时，空间众包平台向移动服务提供商发起空间众包工作者位置数据查询请求；

步骤3：移动服务提供商根据空间众包平台发起的空间众包工作者位置数据查询请求处理实时获取的空间众包工作者的位置数据，并构建一个关于空间众包工作者真实位置数据的差分隐私空间分解快照并返回给对应空间众包平台；

其中构建差分隐私空间分解快照的具体过程为：

步骤S31：针对多个空间众包工作者的真实位置数据D，采用满足差分隐私的伯努利随机采样处理，在原始的二维空间数据上抽取二维空间数据样本

步骤S32：根据伯努利随机抽样的抽样概率η以及预设的隐私预算ε计算出整个待划分的二维空间数据域分割所需要的隐私代价ε_η，其中ε_η＝ln(e^ε-1+η)-lnη，其中e表示自然底数；

并根据隐私预算分割比例λ分配两次划分时的隐私预算ε₁和ε₂，其中ε₁＝λε_η，ε₂＝(1-λ)ε_η；

以及记录位于空间数据样本

中的空间众包工作者的总数量N；

步骤S33：基于隐私预算ε₁计算循环周期内部的第一次空间众包工作者位置空间划分粒度：

将空间众包工作者的位置空间以粒度m_i进行初始划分，得到当前划分层中的每个第一初始划分单元，将当前第一初始划分所得到的粒度为m_i×m_i的网格结构记为G₁；

向每个第一初始划分单元中添加满足尺度参数为

的拉普拉斯分布的噪声

得到处理后的空间众包工作者的二维空间数据集D₁′，并计算每个第一初始划分单元的数据点总值，其中L表示预设的划分层数上限；

步骤S34：对网格结构G₁进行划分调整处理：

计算待划分调整处理的网格结构(G₁)的平方和误差并判断与预设网络结构阈值的大小关系，若小于或等于，则将当前网格结构作为调整后的第一划分单元；若大于，则对前网格结构进行二分分割处理：枚举待分割的网格结构中的非边界线的每一条网格线，选择使得分割后的两个子网格结构的平方和误差之和最小的网格线作为当前待分割的网络结构的分割线；

并对平方和误差大于网络结构阈值的子网格结构继续进行二分分割处理，直到分割后的子网格结构的平方和误差小于或等于网络结构阈值；

将平方和误差小于或等于网络结构阈值的子网格结构作为调整后的第一划分单元；

记任意网格结构的平方和误差为V，其计算公式为：

其中noise_k表示当前网格结构的第k个第一初始划分单元的噪声值，K表示当前网格结构的第一初始划分单元数，noise表示当前网格结构的第一初始划分单元的噪声平均值；

步骤S35：计算调整后的每个第一划分单元的单元工作者密度，若每个第一划分单元的单元工作者密度不超过预设密度阈值且当前划分层数不超过划分层数上限L时，则继续执行步骤S36；否则，进入步骤S39；

其中，每个单元工作者密度为当前单元内单位平方千米面积下的工作者数量；

步骤S36：基于隐私预算ε₂计算循环周期内部的第二次空间众包工作者位置空间划分粒度：

其中N′_i表示网格结构G₁的所有第一初始划分单元的数据点总值的累积值；

并将空间众包工作者的位置空间以粒度m_j进行划分，得到当前划分层中工作者空间数据区域的每个第二初始划分单元，将当前第二初始划分所得到的粒度为m_j×m_j的网格结构记为G₂；

向每个第二初始划分单元添加满足尺度参数为

的拉普拉斯分布的噪声

得到处理后的空间众包工作者的二维空间数据集D₂′；

步骤S37：对网格结构G₂进行划分调整处理，得到调整后的第二划分单元；

步骤S38：计算调整后的每个第二划分单元的单元工作者密度，若每个第二划分单元的单元工作者密度不超过预设密度阈值且当前划分层数不超过划分层数上限L时，则跳转到步骤S32进行循环划分；否则，进入步骤S39；

步骤S39：基于当前划分结果得到空间众包工作者的差分隐私空间分解快照。

综上所述，由于采用了上述技术方案，本发明的有益效果是：本发明通过对空间众包工作者的真实位置添加符合差分隐私机制的噪声，解决了现有技术中对空间众包中工作者的位置隐私保护无法抗背景知识攻击的问题，同时充分考虑了邻近划分区域数据分布较为相似的情况下噪声容易产生叠加的情况，并采用KD-树划分对网格划分结果进行调整，从而降低了工作者位置隐私泄漏的风险，提高了数据发布的可用性以及工作者的参与积极性。

附图说明

图1为本发明应用场景示意图；

图2为空间众包中的差分隐私空间数据发布框架图；

图3为空间众包中的差分隐私空间数据发布方法的流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合实施方式和附图，对本发明作进一步地详细描述。

参见图1，本发明的空间众包中的差分隐私空间数据发布方法，可适用于由空间众包平台服务器、移动服务提供商、任务请求者、n个空间众包工作者{w₁,w₂,...,w_n}所构成的工作者空间中，其中w_j表示第j个空间众包工作者，1≤j≤n，n个空间众包工作者选择是否接受任务，并用于空间众包场景中保护空间众包工作者的位置隐私，为空间众包平台服务器提供可查询、可发布的空间众包工作者差分隐私空间分解快照。

参见图2，本发明的移动服务提供商为可信的第三方平台，例如移动通信塔等，其首先将空间众包工作者的真实位置数据存储到自身的数据服务器中，当收到工作者位置数据请求时，移动服务提供商采用一定的隐私保护方法为空间众包平台服务器提供工作者的位置数据差分隐私空间分解，即工作者位置的清洗数据，为空间众包平台服务器提供可发布的清洗数据。

参见图3，本发明的空间众包中的差分隐私空间数据发布方法的具体实现步骤如下：

步骤1：移动服务提供商实时获取n个空间众包工作者的真实位置数据集D＝{＜lon₁,lat₁＞,＜lon₂,lat₂＞…＜lon_n,lat_n＞}，其中lon_i表示某二维空间数据点的经度，lat_i表示该二维空间数据点的纬度，并将该真实位置数据集保存到自身的数据服务器中，以保证向空间众包平台服务器提供实时的空间众包工作者的位置数据，响应该平台的查询请求。

步骤2：当空间众包平台服务器上的任务请求者向空间众包平台发起某个空间任务请求时，空间众包平台服务器向移动服务提供商发起空间众包工作者位置数据查询请求。

步骤3：移动服务提供商根据收到的空间众包工作者位置数据查询请求处理实时获取的空间众包工作者的真实位置数据，构建关于空间众包工作者的真实位置数据的差分隐私空间分解快照并返回给空间众包平台服务器；

其中构建差分隐私空间分解快照具体为：

步骤3.1：针对移动服务提供商实时获取到的n个空间众包工作者的真实位置数据D采用满足差分隐私的伯努利随机采样处理，在原始的二维空间数据上抽取二维空间数据样本

本具体实施方式中，采用满足差分隐私的伯努利随机采样处理以概率η执行多次伯努利实验，由标记为成功的实验结果，得到二维空间数据样本

伯努利实验是一个只有两种实验结果的实验，基于需求，可将其中一种实验结果设置为成功，另一种实验结果设置为失败，本具体实施方式中，对于每次得到的伯努利实验结果，基于预置的成功表征，判断当前伯努利随机采样过程是否成功，若是，则将抽样结果作为二维空间数据样本

否则放弃该抽样结果。例如抽取得到的二维空间数据样本

步骤3.2：根据伯努利随机抽样的抽样概率η以及预设的隐私预算ε计算出整个待划分的二维空间数据域分割所需的隐私代价ε_η：ε_η＝ln(e^ε-1+η)-lnη。

步骤3.3：根据隐私预算分割比例λ分配两次划分对应的隐私预算：ε₁＝λε_η，ε₂＝(1-λ)ε_η。

步骤3.4：记录位于二维空间数据样本

中的空间众包工作者的总数量N，用于计算空间众包工作者位置空间的划分粒度。

步骤3.5：根据隐私预算分割比例λ求解得到的第一次划分对应的隐私预算ε₁来计算循环周期内部的第一次空间众包工作者位置空间划分粒度：

符号

表示上取整。

步骤3.6：将空间众包工作者的位置空间以粒度m_i进行划分，得到level-i(第i层，即当前划分层数，初始值为1)中工作者空间数据区域的每一个划分单元c_i，即将空间众包工作者的位置空间划分为粒度为m_i×m_i的网格结构G₁。

步骤3.7：向每一个划分单元添加满足尺度参数为

的拉普拉斯分布的噪声

得到处理后的空间众包工作者的二维空间数据集D₁′，其中L表示预设的划分层数上限；

计算每个划分单元的数据点总值

用于计算下一步空间众包工作者位置空间的划分粒度，其中N(c_i)表示每个划分单元添加噪声前的数据点总值，即落入每个划分单元的真实位置数据的数量；

步骤3.8：对网格结构G₁进行划分调整处理：

计算当前网格结构G₁的平方和误差，记为V₁。若V₁大于预设阈值，则对前网格结构G₁进行二分分割处理：枚举当前网格结构中的每一条网格线(除边界外)，选择min{V₁₁+V₁₂}的网格线作为分割线，将当前网格结构G₁划分为两个子网格结构G₁₁和G₁₂；否则直接将当前网格结构G₁作为划分调整处理后的划分单元；其中V₁₁和V₁₂分别表示基于当前网格线进行分割后的两个子网格结构的平方和误差；

若分割后的子网络结构的平方和误差小于或等于预设阈值，则停止对该子网络结构的二分分割处理；否则继续对该子网络结构进行二分分割处理，直至划分后的子网格结构的平方和误差小于或等于预设阈值，将平方和误差小于或等于预设阈值的子网格结构作为调整后的划分单元c′_i；

用V表示任意网格结构的的平方和误差，其计算公式为：

其中noise_k表示当前网格结构的第k个划分单元的噪声值，K表示当前网格结构的划分单元数，noise表示当前网格结构的划分单元的噪声平均值。

步骤3.9：计算调整后的每个划分单元c′_i的工作者密度

当

且i≤L时，继续向下划分，执行步骤3.10；否则，停止划分，进入步骤3.15；

其中，每个划分单元的工作者密度

为划分单元c′_i内单位平方千米面积下的工作者数量，ρ为预设的划分单元的工作者密度的阈值，通常设为3。

步骤3.10：根据隐私预算分割比例λ求解得到的第二次划分对应的隐私预算ε₂来计算循环周期内部的第二次空间众包工作者位置空间划分粒度：

其中N′_i＝∑N′_i(c_i)。

步骤3.11：将空间众包工作者的位置空间以粒度m_j进行划分，得到level-j(第j层，j＝i+1)中工作者空间数据区域的每一个划分单元c_j，进而将空间众包工作者的位置空间划分为粒度为m_j×m_j的网格结构G₂；

步骤3.12：向每一个划分单元添加满足尺度参数为

的拉普拉斯分布的噪声

得到处理后的空间众包工作者的二维空间数据集D₂′，并求得每个划分单元c_j中的数据点总值

其中N(c_j)表示每个划分单元添加噪声前的数据点总值；

步骤3.13：对网格结构G₂进行划分调整处理：

计算当前网格结构G₂的平方和误差，记为V₂。

若V₂大于预设阈值，则枚举当前网格结构中的每一条网格线(除边界外)，选择min{V₂₁+V₂₂}的网格线作为分割线，将当前网格结构G₂划分为两个子网格结构G₂₁和G₂₂，对G₂₁和G₂₂分别执行当前二分分割处理，直至分割后的子网格结构的平方和误差小于或等于预设阈值。并将平方和误差小于或等于预设阈值的子网格结构作为调整后的划分单元c′_j。

其中，V₂₁和V₂₂分别表示基于当前网格线进行分割后的两个子网格结构的平方和误差。

步骤3.14：计算每个划分单元c′_j的工作者密度

当

且j≤L时，令划分层数i＝j+1，并跳转到步骤3.2进行循环划分；否则，停止划分，进入步骤3.15；

其中，每个划分单元的工作者密度

为划分单元c′_j内单位平方千米面积下的工作者数量，ρ为预设的划分单元的工作者密度的阈值，通常设为3。

步骤3.15：基于当前划分结果最终得到空间众包工作者的差分隐私空间分解快照。

综上可见，本发明通过对空间众包工作者的真实位置添加符合差分隐私机制的噪声，解决了现有技术中对空间众包中工作者的位置隐私保护无法抗背景知识攻击的问题，同时充分考虑了邻近划分区域数据分布较为相似的情况下噪声容易产生叠加的情况，并采用KD-树划分对网格划分结果进行调整，从而降低了工作者位置隐私泄漏的风险，提高了数据发布的可用性以及工作者的参与积极性。

以上所述，仅为本发明的具体实施方式，本说明书中所公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换；所公开的所有特征、或所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以任何方式组合。

Claims (2)

1.一种空间众包中的差分隐私空间数据发布方法，包括下列步骤：

步骤1：移动服务提供商实时获取空间众包工作者真实的位置数据，并保存到移动服务提供商的数据服务器中，以保证向空间众包平台服务器提供实时的空间众包工作者的位置数据，响应该平台的查询请求；

步骤2：当空间众包平台上的任务请求者向空间众包平台发起任务请求时，空间众包平台向移动服务提供商发起空间众包工作者位置数据查询请求；

步骤3：移动服务提供商根据空间众包平台发起的空间众包工作者位置数据查询请求处理实时获取的空间众包工作者的位置数据，并构建一个关于空间众包工作者真实位置数据的差分隐私空间分解快照并返回给对应空间众包平台；

其中构建差分隐私空间分解快照的具体过程为：

步骤S31：针对多个空间众包工作者的真实位置数据D，采用满足差分隐私的伯努利随机采样处理，在原始的二维空间数据上抽取二维空间数据样本

步骤S32：根据伯努利随机抽样的抽样概率η以及预设的隐私预算ε计算出整个待划分的二维空间数据域分割所需要的隐私代价ε_η，其中ε_η＝ln(e^ε-1+η)-lnη；

并根据隐私预算分割比例λ分配两次划分时的隐私预算ε₁和ε₂，其中ε₁＝λε_η，ε₂＝(1-λ)ε_η；

以及记录位于空间数据样本

中的空间众包工作者的总数量N；

步骤S33：基于隐私预算ε₁计算循环周期内部的第一次空间众包工作者位置空间划分粒度：

将空间众包工作者的位置空间以粒度m_i进行初始划分，得到当前划分层中的每个第一初始划分单元，将当前第一初始划分所得到的粒度为m_i×m_i的网格结构记为G₁；

向每个第一初始划分单元中添加满足尺度参数为

的拉普拉斯分布的噪声

得到处理后的空间众包工作者的二维空间数据集D₁′，并计算每个第一初始划分单元的数据点总值：

其中，N(c_i)表示每个划分单元添加噪声前的数据点总值，L表示预设的划分层数上限；

步骤S34：对网格结构G₁进行划分调整处理：

计算待划分调整处理的网格结构的平方和误差并判断与预设网络结构阈值的大小关系，若小于或等于，则将当前网格结构作为调整后的第一划分单元；若大于，则对前网格结构进行二分分割处理：枚举待分割的网格结构中的非边界线的每一条网格线，选择使得分割后的两个子网格结构的平方和误差之和最小的网格线作为当前待分割的网络结构的分割线；

并对平方和误差大于网络结构阈值的子网格结构继续进行二分分割处理，直到分割后的子网格结构的平方和误差小于或等于网络结构阈值；

将平方和误差小于或等于网络结构阈值的子网格结构作为调整后的第一划分单元；

记任意网格结构的平方和误差为V，其计算公式为：

其中noise_k表示当前网格结构的第k个第一初始划分单元的噪声值，K表示当前网格结构的第一初始划分单元数，noise表示当前网格结构的第一初始划分单元的噪声平均值；

步骤S35：计算调整后的每个第一划分单元的单元工作者密度，若每个第一划分单元的单元工作者密度不超过预设密度阈值且当前划分层数不超过划分层数上限L时，则继续执行步骤S36；否则，进入步骤S39；

其中，每个单元工作者密度为当前单元内单位平方千米面积下的工作者数量；

步骤S36：基于隐私预算ε₂计算循环周期内部的第二次空间众包工作者位置空间划分粒度：

其中N′_i表示网格结构G₁的所有第一初始划分单元的数据点总值的累积值；

并将空间众包工作者的位置空间以粒度m_j进行划分，得到当前划分层中工作者空间数据区域的每个第二初始划分单元，将当前第二初始划分所得到的粒度为m_j×m_j的网格结构记为G₂；

向每个第二初始划分单元添加满足尺度参数为

的拉普拉斯分布的噪声

得到处理后的空间众包工作者的二维空间数据集D₂′；

步骤S37：对网格结构G₂进行划分调整处理，得到调整后的第二划分单元；

步骤S38：计算调整后的每个第二划分单元的单元工作者密度，若每个第二划分单元的单元工作者密度不超过预设密度阈值且当前划分层数不超过划分层数上限L时，则跳转到步骤S32进行循环划分；否则，进入步骤S39；

步骤S39：基于当前划分结果得到空间众包工作者的差分隐私空间分解快照。

2.如权利要求1所述的方法，其特征在于，密度阈值的取值为3。

Images