CN109614521A - 一种高效的隐私保护子图查询处理方法 - Google Patents

Abstract

本发明属于隐私保护技术领域，具体为一种高效的隐私保护子图查询处理方法。本发明利用k‑automorphism模型来保护属性图的结构隐私，并通过综合考虑属性的t‑closeness约束以及子图查询在图上的搜索空间来保护属性图的属性隐私，针对结构和属性隐私处理后的图，进一步提出高效的子图查询处理算法。本发明方法框架清晰、使用方便、可扩展性强，并在三个图数据集上的隐私保护和子图查询处理两大任务的结果上，都远远超过了现有方法。本发明能够为隐私保护图数据查询，图数据分析等涉及到隐私保护和图数据处理的领域，提供基础框架和算法的支持。

Description

一种高效的隐私保护子图查询处理方法

技术领域

本发明属于隐私保护技术领域，具体涉及一种高效的隐私保护子图查询处理方法。

背景技术

目前，图已经被广泛用于表示半结构化数据之间的关系。属性图作为图的一种常见类型，由于其允许每个节点包含一组属性，因而在各种领域变得越来越流行，包括模式识别，计算机视觉，通信网络和社交网络。为了分析和检索图所包含的丰富的语义和结构信息，人们发布了各种各样的查询，其中最常见的就是子图查询。给定一个查询子图(QueryGraph或Query)和一个数据图(Data Graph或Graph)，子图查询任务就是从数据图中检索所有与查询子图同构的子图结构。由于子图查询是图数据分析中不可或缺的一部分，越来越多的人对其展开了深入研究。但是，随着图数据规模的快速增长，存储、处理和分析它们将会耗费用户大量的计算以及非常昂贵的基础设施成本。针对大数据计算问题，知名的云服务提供商，如亚马逊AWS，阿里云和Microsoft Azure为用户提供了云计算服务来避免用户各自去搭建一套大数据计算平台。GraphLab甚至提供了基于图的云计算服务。虽然云服务器通常被认为是“诚实”地返回图查询的正确结果，但其仍可能对所存储的图数据结构和属性隐私很感兴趣，继而造成图数据的隐私信息泄露。

图数据的现有隐私泄露可以分为两类：属性隐私泄露和结构隐私泄露。属性隐私泄露指与每个节点相关联的敏感标签信息泄露，例如，工资，身份证号码，电话号码和病历数据等。这种标签信息属于表格数据，大量的隐私保护模型以及匿名算法针对这类数据展开了广泛的研究，其中最常见的就是k-匿名(k-anonymity)，l-diversity和t-closeness。与k-anonymity和l-diversity相比，t-closeness可以抵抗更多的攻击，如相似性攻击。然而，针对图上的属性隐私保护问题，已有的工作仅采用了k-匿名和l-diversity，因此依然存在相似度攻击风险。结构隐私泄露指的是暴露目标节点的位置。这种隐私泄露风险可以由各种结构攻击造成，如度攻击，1-邻居攻击，子图攻击和hub-fingerprint攻击。针对这些攻击，许多结构隐私保护方法通过为图中的每个点引入高度对称的k-1个点来避免其位置信息泄露。在这些方法中，目前最流行也是隐私保护程度最高的模型就是k-automorphism模型。当然，为了满足高度对称性，这类模型通常需要引入大量的边，因而使得图的结构很大，而目前为止针对这类图的子图查询处理算法效率依旧得不到保障。因此，子图查询算法所面临的低效率问题也是目前亟待解决的。

发明内容

针对以上现有技术中的问题，本发明的目的在于提供一种高效的隐私保护子图查询处理方法。

本发明提供的隐私保护子图查询处理方法，是通过同时保护图的结构隐私和属性隐私，同时对子图查询的搜索空间进行建模和优化，实现高效的隐私保护子图查询。主要包括：利用k-automorphism模型保护图的结构隐私；利用t-closeness模型保护图的属性隐私；构建优化目标，在满足t-closeness的约束下，最小化优化目标；提出高效查询处理算法。

本发明中，隐私保护子图查询问题具体描述如下：给定一个查询子图Q和一个数据图G，在保证G的结构隐私信息和属性隐私信息不被泄露的情况下，高效地处理子图查询请求并返回正确的处理结果。本发明中，利用k-automorphism模型来保护属性图的结构隐私，并在满足属性的t-closeness约束的情况下，提出TOGGLE算法来最小化子图查询在图上的搜索空间；针对结构和属性隐私处理后的图，进一步提出了一种高效的子图查询处理算法(记为PGP)。

本发明提供的隐私保护子图查询处理方法，具体步骤如下：

(一)将原始的图通过k-automorphism模型构造成一个高度对称的图；

对于给定的数据图G和查询子图Q，首先根据k-automorphism模型构造一个高度对称的图G^k，为了节省存储空间，一种有效的办法就是只上传G^k的一部分其中可以根据对称的特点重构出G^k。

(二)采用TOGGLE算法建模搜索空间，并在满足t-closeness的约束下，求解优化方案，构造Label-Label Group的对应表(Label Corresponding Table)，记作LCT：

(1)估计子图查询搜索空间

分别用V(G^k,τ)，V_l(G^k,(τ,i))，以及V_g(G^k,(τ,j))来表示第τ个类型的点，该类型包含的第i个Label的点(记为l_τ,i)，以及该类型包含的第j个Label group的点(记为L_τ,j)，且可以分别用以及来表示这些点出现的概率，那么可得：

同样地，若查询子图Q经过匿名化处理之后为则以及可表示对应的概率。如果在上能找到子图与其同构的话，那么显然中必须至少要有一个点能与中的第一个点q能够匹配，并且中的其他点也能被匹配到。此处一个点能被匹配，指的是在数据图中有一个点和查询点具有相同的类型(其概率可近似表示为)，并包含有查询点的Label group(其概率可近似表示为)。因此第一个点q能被匹配的个数大致可表示为：

其他点能被匹配的个数大致可表示为：

假设第τ个类型第j个Label group中包含个Label，记为：

其中表示该Label group中第i个Label。

综上所述，查询Q的最终搜索空间(被匹配的个数)正比于：

由于查询图和数据图的Label分布通常属于同一个分布，因此可以认为最终的搜索空间正比于：

(2)优化子图查询搜索空间

为了优化子图查询搜索空间，需要找到最佳的Label组合成Label group的方式，也就是：

同时，为了保护属性隐私，每一个Label group都被限定满足t-closeness约束，即：

其中，EMD(,)是两个分布之间的Earth Mover Distance。因此优化搜索空间的目标被最终转为求解这个有约束的最优化问题。

本发明将这个问题转化为一个广义的Set Partitioning的问题，并采用ColumnGeneration的思想来求解。具体分为以下几步：1)将目标函数构造成一个广义的SetPartitioning问题，即一个大整数规划问题；2)松弛整数约束，构造原问题的LinearProgramming Master(LPM)问题；3)为LPM问题找到一组基础可行解，并求得该问题的对偶最优解；4)根据对偶最优解，找到一个新的Label group组合方式，使得原来的目标函数的目标值以最大的速度减小；5)将这个新的Label group组合方式代入原始的LPM问题，继续求解。反复迭代3)和4)这两个步骤，直到寻找到最优解。

(3)生成Label Corresponding Table。根据生成的Label group，记录其所包含的Label，形成一对多的对应关系，所有的Label group与其包含的Label构成最终的LabelCorresponding Table。

(三)根据Label Corresponding Table来更新k-automorphism处理后的图以及原始查询子图的Label，并将处理后的图的一部分上传至云服务器；具体来说：

对和Q中的Label，分别通过查询Label Corresponding Table来得到每个点应该对应的Label group，并对点进行重新标注；将更新后的和Q(更新后为)上传到云服务器，进行计算。

(四)最后，采用PGP查询算法，处理子图查询请求，并返回查询结果：

(1)生成候选匹配点。对于中的每一个点，将中与其类型相同，并包含有相同的Label group且度数大于等于其度数的点作为该点的候选点；

(2)生成查询序列。根据每个点的候选点的个数，按照递增的顺序排列，并记录每个点的父亲节点(即上一个被访问的节点)；

(3)处理查询。根据生成的查询序列，依次匹配每一个点，如果该点在中且不属于跨块点，直接和传统的方法一样进行匹配，即除了满足是候选点之外还必须满足邻居的匹配原则。否则，并非所有的邻居都是可见的，因此需要根据自同构函数反复映射并最终得到正确的匹配。这也是本发明中的查询处理算法所面对的特殊的匹配情况。

本发明中，对于每一个图，其结构隐私和属性隐私都被同时保护，并在保护属性隐私的同时减小了子图查询的搜索空间，且进一步提出了一种高效的基于部分图的子图查询算法。

(1)本发明中采用了目前针对属性和结构隐私保护程度最强的两种模型来同时保护图的隐私信息不被泄露；

(2)在保护图的属性隐私不被泄露的时候，本发明提出的TOGGLE算法既可以使得属性满足t-closeness约束来抵抗包括相似度攻击在内的各种攻击，又可以减小子图查询在隐私保护后的图上的搜索空间；

(3)在进行子图查询处理的时候，本发明针对一种特殊的场景，即数据图只有部分可见的时候，通过利用高度对称性以及邻居信息设计了一种高效的子图查询算法PGP；

(4)本发明方法框架清晰、使用方便、可扩展性强，并在三个图数据集上的隐私保护和子图查询处理两大任务的结果上，都远远超过了现有方法。本发明能够为隐私保护图数据查询，图数据分析等涉及到隐私保护和图数据处理的领域，提供基础框架和算法的支持。

附图说明

图1为方法框架示意图。

图2为数据图G和查询图Q示意图。

图3为隐私保护处理后的数据图和Label-Label Group对应表。

图4为自同构函数和隐私保护处理后的查询子图。

图5为默认设置下TOGGLE在UK-2002数据集上效果。其中，(a)为花费的时间(b)为目标函数值。

图6为默认设置下TOGGLE在UK-2002数据集上效果。其中，(a)为花费的时间(b)为目标函数值。

图7为标签组大小变化时TOGGLE在UK-2002数据集上效果。其中，(a)为花费的时间(b)为目标函数值近似比分布。

图8为标签组大小变化时TOGGLE在UK-2002数据集上的目标函数值。

图9为标签个数变化时TOGGLE在UK-2002数据集上效果。其中，(a)为花费的时间(b)为目标函数值近似比分布。

图10为标签个数变化时TOGGLE在UK-2002数据集上的目标函数值。

图11为k值以及查询大小变化时，TOGGLE在Web-NotreDame、DBpedia以及UK-2002数据集上的时间花费。

具体实施方式

下面给出本发明方法的具体实施方式，并给出本发明方法的性能测试与分析，以对本发明方法的实施过程进行更具体的描述。

一、方法实现

隐私保护子图查询任务可用的数据如下：(1)数据图G，包括图的结构信息以及每个点对应的一组属性信息。(2)一组查询子图{Q}，通过在数据图上进行随机游走产生。

如未特殊声明，接下来的测试均采用2-automorphism来保护图的结构隐私，属性个数为n＝12，属性组(Label group)个数为m＝6；t-closeness中的参数t则属于以下范围：

表1：t-closeness中的参数t取值范围

本发明方法的具体步骤如下：

步骤1：客户端(Client)生成G所对应的k-automorphism图G^k；

步骤2：客户端(Client)利用TOGGLE算法生成Label Corresponding Table(LCT)，并根据LCT对G^k中每一个点的Label进行重新标注，并从G^k中抽取高度对称的一部分以及该部分的1-hop的邻居节点和边构成上传。并上传LCT方便云服务器(Cloud)处理查询请求；

步骤3：云服务器(Cloud)利用PGP算法处理请求的查询Q，并将结果返回给客户端。

二、性能测试与分析

1、图数据集

实验分别选取了3个最常用的图数据集，分别是Web-NotreDame、DBpedia以及UK-2002。Web-NotreDame是一个Web graph数据集，DBpedia是一个Semantic knowledge graph数据集，UK-2002是从.UK域名爬取的Web graph数据集。三个图数据集的基本信息统计如下：

表2：三个图数据集

数据集	|V|	|E|	#of Types	#of Attributes	#of Labels
						Web-<u>NotreDame</u>	325，729	109，0108	1	1	200
<u>DBpedia</u>	3,243,606	8,588,047	86	101	6300
						UK-2002	18,520,486	261,787,258	2500	2500	20,000

。

2、评测指标

实验采用三种评测指标，分别是运行时间(Time Cost)，隐私保护模型的目标函数值(ModelCost)以及目标函数值近似比(Approximation ratio)。

3、性能测试结果

TOGGLE实验：

图5和图6展示了在默认设置下，TOGGLE(记为TOG)的性能与采用枚举找到最优LCT的Baseline Solution(记为BAS)的性能。其中图5展示了在UK-2002数据集上，TOG的TimeCost始终小于BAS，但是却能达到几乎完全一样的Model Cost。图6展示了在Dbpedia上的结果，从中可以得到相同的结论。因此，在默认设置下，TOGGLE总能以更小的Time Cost取得几乎与枚举相同的Model Cost。

图7和图8则展示了当Group size变化时的实验结果。从图7中可以看出，随着Group size变化，TOG和BAS的Time Cost都是先变大后变小(由于Label group结合的可能情况先变大后变小)，但是TOG始终花费较小的Time Cost。结合图8来看，TOG始终能够达到和BAS非常接近的Model Cost，而且Approximation ratio都始终小于1.1。

图9和图10则展示了当Label个数变化时的实验结果。从图9中可以看出，随着Label个数增多，TOG和BAS的Time Cost相应变大且TOG始终花费较小的Time Cost。当Label个数超过16的时候，BAS已经很难在可以接受的时间内计算出正确结果，而TOG则以可以接受的时间至少计算800个以上的Label的结果。结合图10来看，TOG始终能够达到和BAS非常接近的Model Cost，而且Approximation ratio都始终小于1.1。

PGP实验：

图11展示了PGP算法与Chang Zhao et al.在SIGMOD2016上的提出SGP算法的性能比较结果。从图中可以看出，无论在哪一个数据集上，且无论参数k以及查询子图的大小如何，PGP始终比SGP花费更小的Time Cost，显示了PGP算法的高效性。

本发明能够为隐私保护图数据查询，图数据分析等涉及到隐私保护和图数据处理的领域，提供基础框架和算法的支持。

Claims (3)

1.一种高效的隐私保护子图查询处理方法，其特征在于，具体步骤如下：

(一)将原始的图通过k-automorphism模型构造成一个高度对称的图：

对于给定的数据图G和查询子图Q,根据k-automorphism模型构造一个高度对称的图G^k，为了节省存储空间，只上传G^k的一部分其中可以根据对称的特点重构出G^k；

(二)采用TOGGLE算法建模搜索空间，并在满足t-closeness的约束下，求解优化方案，构造Label-Label Group的对应表，记为LCT；

(三)根据LCT更新k-automorphism处理后的图以及原始查询子图的Label，并将处理后的图的一部分上传至云服务器；具体来说：

对和Q中的Label,分别通过查询LCT得到每个点应该对应的Label group,并对点进行重新标注；将更新后的和Q(更新后为)上传到云服务器；

(四)最后，采用PGP查询算法，处理子图查询请求，并返回查询结果。

2.根据权利要求1所述的高效的隐私保护子图查询处理方法，其特征在于，步骤(二)中，所述构造LCT的具体流程如下：

(1)估计子图查询搜索空间：

分别用V(G^k,τ)，V_l(G^k,(τ,i))，以及V_g(G^k,(τ,j))来表示第τ个类型的点，该类型包含的第i个Label的点，记为l_τ,i，以及该类型包含的第j个Label group的点，记为L_τ,j，且分别用以及来表示这些点出现的概率，那么得：

同样地，若查询子图Q经过匿名化处理之后为则以及表示对应的概率；如果在上能找到子图与其同构的话，那么，中必须至少要有一个点能与中的第一个点q能够匹配，并且中的其他点也能被匹配到；此处一个点能被匹配，是指在数据图中有一个点和查询点具有相同的类型，并包含有查询点的Label group；因此第一个点q能被匹配的个数表示为：

其他点能被匹配的个数表示为：

假设第τ个类型第j个Label group中包含个Label,记为：

其中表示该Label group中第i个Label；

综上所述，查询Q的最终搜索空间正比于：

由于查询图和数据图的Label分布通常属于同一个分布，因此最终的搜索空间正比于：

(2)优化子图查询搜索空间：

为了优化子图查询搜索空间，需要找到最佳的Label组合成Label group的方式，也就是：

同时，为了保护属性隐私，每一个Label group都被限定满足t-closeness约束，即：

其中，EMD(,)是两个分布之间的Earth Mover Distance；于是优化搜索空间的目标被最终转为求解这个有约束的最优化问题；

将这个问题转化为一个广义的Set Partitioning的问题，并采用Column Generation的思想来求解；具体分为以下几步：1)将目标函数构造成一个广义的Set Partitioning问题，即一个大整数规划问题；2)松弛整数约束，构造原问题的LPM问题；3)为LPM问题找到一组基础可行解，并求得该问题的对偶最优解；4)根据对偶最优解，找到一个新的Labelgroup组合方式，使得原来的目标函数的目标值以最大的速度减小；5)将这个新的Labelgroup组合方式代入原始的LPM问题，继续求解；反复迭代3)和4)这两个步骤，直到寻找到最优解；

(3)生成LCT；根据生成的Label group,记录其所包含的Label,形成一对多的对应关系，所有的Label group与其包含的Label构成最终的LCT。

3.根据权利要求2所述的高效的隐私保护子图查询处理方法，其特征在于，步骤(四)中，所述采用PGP查询算法，处理子图查询请求，并返回查询结果；具体流程如下：

(1)生成候选匹配点；对于中的每一个点，将中与其类型相同，并包含有相同的Label group且度数大于等于其度数的点作为该点的候选点；

(2)生成查询序列；根据每个点的候选点的个数，按照递增的顺序排列，并记录每个点的父亲节点，即上一个被访问的节点；

(3)处理查询；根据生成的查询序列，依次匹配每一个点，如果该点在中且不属于跨块点，直接和传统的方法一样进行匹配，即除了满足是候选点之外还必须满足邻居的匹配原则；否则，由于并非所有的邻居都是可见的，根据自同构函数反复映射并最终得到正确的匹配。