CN109726594B

CN109726594B - 一种基于差分隐私的新型轨迹数据发布方法

Info

Publication number: CN109726594B
Application number: CN201910018634.2A
Authority: CN
Inventors: 皮德常; 赵晓东; 陈俊夫
Original assignee: Nanjing University of Aeronautics and Astronautics
Current assignee: Nanjing University of Aeronautics and Astronautics
Priority date: 2019-01-09
Filing date: 2019-01-09
Publication date: 2023-07-18
Anticipated expiration: 2039-01-09
Also published as: CN109726594A

Abstract

本发明公开了一种基于差分隐私的新型轨迹数据发布方法，包括：在R树的基础上提出了满足差分隐私的序列R(Sequence R，SR)‑树结构，采用轨迹序列代替R树中最小边界矩形结构的方法来构建SR‑树；提出了一种非位置敏感信息攻击模型，在构建噪音SR‑树时，运用差分隐私技术分别对位置数据和非位置敏感数据添加噪音；针对添加噪音后可能出现数据不一致的问题，对算法进行一致性处理。本发明的优点是：针对轨迹具有时空性的特点和快速检索轨迹的要求，在R树的基础上提出了一种新型的轨迹序列结构一序列R‑树(SR‑树)。在SR树结构基础上，提出了一种满足差分隐私的移动对象轨迹数据发布方法。根据轨迹的语义，提出一种非位置敏感信息关联攻击模型。

Description

一种基于差分隐私的新型轨迹数据发布方法

技术领域

本发明涉及一种基于差分隐私的新型轨迹数据发布方法，是针对轨迹中隐私泄露问题的方法，属于工程应用与信息科学的交叉领域。

背景技术

如今智能手机和其他位置感知设备的普及使人们享受到了便捷的位置服务(Location Based-Service，LBS)，因此越来越多的位置数据在用户未知情况下每日被移动对象数据库所收集。这些存储在移动对象数据库中的时空数据，对于与移动对象的相关应用来说是十分重要的，例如挖掘热点人群区域以进行商业分析；检测道路拥堵情况以进行交通规划；了解居民活动模式以进行城市规划。然而，这些轨迹数据的发布也会泄露用户的个人敏感信息，例如用户的生活习惯、社会风俗、宗教信仰以及个人的兴趣偏好，这些信息在未经用户许可情况下可用作广告推荐和用户剖析，更可能被不法分子所获取从而进行非法活动。

针对轨迹中隐私泄露问题，国内外学者展开了大量的研究，现有最广泛使用的方法主要是基于k-匿名模型，但这些方法仍然存在一些缺陷，因为他们都依赖于隐私模型——要么是依赖于特定假设的，要么是实用性较低的。因此针对目前存在的问题，迫切需要研究出一套新的机制来保护用户轨迹隐私安全。差分隐私技术是目前认为可靠的一种模型，可以满足当前需求，该模型无需知晓攻击者的背景信息即可以抵御任意模型的攻击。差分隐私技术的主要思想是：向一个数据库中增加噪音使攻击者无法识别某条数据是否在这个数据库中，若不考虑轨迹的特性，直接无策略性单纯地向所有出现在轨迹数据库中的数据添加噪音，那么得到的结果可能会对原始轨迹数据库的隐私性和实用性产生负面作用，因此合理地将差分隐私技术运用到轨迹发布中是一个不小的挑战。首先，由于轨迹具有时空性，加入的噪音变成新的轨迹序列，即使是原始数据库中没有出现过的轨迹数据。这显然不符合差分隐私的隐私需求。其次，大多数轨迹序列都是独特的，直接增加噪音可能会增加原始的轨迹数量，降低数据的可用性。此外，轨迹中还含有很多的敏感信息，若只针对轨迹数量增加噪音，将会破坏轨迹的语义。

针对上述问题，本发明面向路网空间在R-树的基础上提出了一种新型的轨迹发布中的隐私保护方法——噪音序列R树(Sequence R-Tree SR-Tree)。该方法不仅可以快速地索引到每条轨迹，同时也保证了轨迹序列的时空特性。其中，SR-树是使用轨迹相似性来划分轨迹区域的，SR-树的叶子节点存放用户轨迹序列，为每条轨迹上的移动对象计数添加拉普拉斯噪音。同时，考虑到轨迹中可能包含其他非位置敏感信息，为了保护用户的隐私，本文也对敏感数据增加噪音。由于添加的噪音是相互独立的，会造成SR-树中的数据出现不一致的现象(例如父节点的移动对象数量小于子节点的移动对象数量)，通过对数据进行一致性处理，使发布出去的数据更加准确。

发明内容

发明目的：本发明的目的是提供一种新型的轨迹发布中的隐私保护方法。该方法提出了 SR-树这一存储结构，其叶子节点存放轨迹序列，解决了仅存储单个位置点或者是单个路段破坏了轨迹的时空完整性的问题。其次，考虑到轨迹上包含敏感信息也可被攻击者获取，从而推测出用户真实的位置或者轨迹，因此本发明向每个节点中的敏感数据信息加入拉普拉斯噪音。最终，根据树的特性(父节点的计数大于子节点计数并等于所有子节点计数之和)，对噪音数据进行了一致性处理，以提高发布数据的准确率。

技术方案：为实现上述目的，本发明提出一种基于差分隐私的新型轨迹数据发布方法，大多数现有的基于差分隐私的轨迹隐私保护方法所采用的结构存储如四分树、R树等，其叶子节点存储的都是单个位置节点或者是移动对象经过的单个路段；然而，用户的轨迹具有时空性，是时空连续的，因此仅存储单个位置点或者是单个路段破坏了轨迹的时空完整性。针对此问题，本发明在R-树的基础上提出了一种满足差分隐私的噪音SR-树算法。该算法首先根据轨迹的特征将R树中的最小边矩形(MBR)结构用轨迹序列代替，通过轨迹之间的相似性来建立SR-树；同时，提出了一种非位置敏感数据攻击模型，为了抵御该攻击，对SR-树中的位置节点与非位置节点同时添加噪音；最后对得到的噪音SR-树进行一致性处理。其具体的技术方案包括以下几个步骤：

步骤一：在R树的基础上建立序列R-树(SR-树)。

(1)初始化：对于轨迹数据库中的所有轨迹，首先将相同的轨迹划分到同一轨迹组，并对移动对象计数。因此，每一个树的节点为<tr(v)，atr(v)，c(tr)，c(atr)>的形式存放数据，其中 tr(v)表示道路序列，atr(v)表示敏感特征，c(tr)表示该道路序列上的移动对象计数，c(atr)表示对敏感特征的计数。与R-树相似，每个节点至少有m个索引记录，至多M个索引记录，且m≤M/2，然后任意选取轨迹数据库中的一条轨迹，调用插入函数构建SR-树；

(2)选择合适的叶子节点：当新的轨迹数据加入时，需要选择合适的叶子节点将该新数据插入其中。首先从根节点开始向下选择，如果到叶子节点就返回该叶子节点。如果是非叶子节点，则遍历该节点中的所有索引轨迹序列，比较索引轨迹序列和该轨迹序列的相似程度，选择相似性较大的节点，继续向下重复上述步骤；

(3)节点分裂：如果当前要插入的节点中的索引记录已经满了，则需要将节点分裂为两个节点。即将两个相似程度最低的两个索引记录分别放到两个节点中，对于其余的节点分别插入到与之相似程度大的节点中。然后向上更新父节点的道路记录；

(4)更新父节点：接下来更新父节点中指向该节点的索引记录。该索引记录的道路序列应当更新为子节点中所有索引记录中的道路序列，并不断的更新到根节点停止。此外，若叶子节点刚刚发生了分裂，则需要建立一个新的索引记录来放进父节点，若父节点存在空间，则直接加入；若没有空间，则继续分裂父节点，重复上述更新操作。如果分裂向上传播到了根节点，那么需要重新创建一个新的根节点，并且让他的两个孩子节点分别为原来分裂后的两个节点。

步骤二：采用差分隐私方法对数据加入拉普拉斯噪音建立噪音SR-树。

(1)建立SR-树索引结构并均分隐私预算：由于处理的对象是某个时间段的轨迹数据集，首先根据SR-树的建立方法，将轨迹数据集建立成一棵SR-树索引结构，然后根据差分隐私的顺序组合性质，将隐私预算ε平均分成若干份，每份大小为其中h为树的高度；

(2)遍历SR-树并对数据添加噪声：遍历SR-树的每一层，对于SR-树上的每一层，判断该数据为位置数据还是非位置特征数据，如果是位置序列数据，计算该位置序列上移动对象的计数值，并对该计数值添加噪音；如果是非位置敏感数据，则统计该数据计数，也对其添加噪音，噪音SR-树分别对位置数据和非位置数据添加了噪音，有效的保护了移动对象的轨迹隐私。

步骤三：由于添加到计数值中的拉普拉斯噪音是独立同分布的，因此容易造成数据不一致的现象，该现象会导致发布的轨迹数据实用性较低，极大的影响了数据可用性，为了保证发布后的数据有意义，对添加噪音后的轨迹数据进行一致性处理。

有益效果：本发明针对轨迹中隐私泄露问题，提出了提出一种基于差分隐私的新型轨迹数据发布方法。针对轨迹具有时空性的特点，在R树的基础上提出了一种新型的轨迹序列结构一序列R-树(SR-树)，不仅可以快速的检索到每条轨迹，还能够保证轨迹的时空特性。在 SR-树结构基础上，提出了一种满足差分隐私的移动对象轨迹数据发布方法，向每个节点中轨迹的移动对象计数添加拉普拉斯噪音，保证了每条轨迹上移动对象的计数都满足差分隐私。根据轨迹的语义性，提出一种非位置敏感信息关联攻击模型，为了抵御该攻击，对于每个节点的敏感数据，也加入拉普拉斯噪音。对于出现数据不一致的现象，采用了数据一致性的处理方法提高发布数据的准确性。

附图说明

图1是方法流程图。

图2是简单的SR-树图。

图3是插入新轨迹后的SR-树图。

图4是噪音SR-树图。

具体实施方式

下面结合附图，对本发明做进一步说明。

本发明在R-树的基础上提出了一种满足差分隐私的噪音SR-树算法。该算法首先根据轨迹的特征将R树中的最小边矩形(MBR)结构用轨迹序列代替，通过轨迹之间的相似性来建立SR-树；同时，提出了一种非位置敏感数据攻击模型，为了抵御该攻击，对SR-树中的位置节点与非位置节点同时添加噪音；最后对得到的噪音SR-树进行一致性处理。具体实施步骤如下，且具体流程见附图1。

1、建立SR-树

由于以前大量的相关工作中，R-树中存放的是某个时刻的位置点，然而轨迹是一组连续的位置点，具有时空特性。考虑到R树的优点以及针对轨迹的时空特性，在R树的基础上提出了一种序列R树的空间结构，该结构不仅可以高效的检索轨迹，还保持了轨迹的时空特性。

R-树使用空间对象的最小边界矩形(Minimum Bounding Rectangle，MBR)来进行区域的划分以及R-树的建立。本发明将路网用无向图G(E，V)表示，E和V分别表示道路和道路的交叉点。根据轨迹的特性，采用度量轨迹相似性的方法替代寻找MBR来划分轨迹和建立SR-树，同时每个节点中存放的不再是MBR而是道路序列。轨迹的相似性计算方式如下所示：

其中，S(T_i)表示轨迹T_i中的道路，因此上式计算了两条轨迹中相似的道路占的百分比。

SR-树建立的步骤如下：

如附图2所示为一个简单的SR-树，每个节点至多包含两个索引记录。现在有一条新轨迹 Trj为(r₆，r₇，r₁₁)需要插入到SR-树中，根据SR-树的插入过程，则从根节点开始分别比较节点中所有的索引序列的相似度。从图中可得Trj与根节点的两条索引记录的相似度分别为0％和 66.7％，因此选择根节点第二条索引记录的子节点继续向下判断，而该子节点已经是叶子节点且空间未满，则将Trj直接插入到其中(如附图3所示)，并向上更对应父节点的索引记录为 (r₆，r₇，r₁₀，r₁₁)。

2、采用差分隐私方法对数据加入拉普拉斯噪音建立噪音SR-树

由于R树中存放的是移动对象某个时刻的单个位置，而轨迹具有时空性。因此本发明首先提出了SR-树结构，有效的保证了轨迹的时空性。接下来，为了保护轨迹发布的隐私以及保证数据发布后的质量，采用噪音SR-树发布路网空间的位置数据，用差分隐私技术分别对位置和非位置数据添加噪音，有效地抵制非位置敏感属性的关联攻击，保护轨迹隐私。对于添加噪音后出现的数据不一致现象，将会对数据进行一致性处理。其中，构建噪音SR-树的具体过程如算法1所示。

算法1处理的对象是某个时间段的轨迹数据集，首先根据SR-树的建立方法，将轨迹数据集建立成一棵SR-树索引结构(第1行)。然后根据差分隐私的顺序组合性质，将隐私预算ε平均分成若干份，每份大小为其中h为树的高度(第2行)。接着，遍历SR-树的每一层，对于SR-树上的每一层，首先判断该数据为位置数据还是非位置特征数据。如果是位置序列数据，计算该位置序列上移动对象的计数值，并对该计数值添加噪音；如果是非位置敏感数据，则统计该数据计数，也对其添加噪音。因此，噪音SR-树分别对位置数据和非位置数据添加了噪音，有效的保护了移动对象的轨迹隐私(第4行到15行)。最后，针对添加噪音后的数据出现不一致的现象，进行数据的一致性处理后将数据发布出去。

3、数据一致性处理

由于添加到计数值中的拉普拉斯噪音是独立同分布的，因此容易造成数据不一致的现象，该现象会导致发布的轨迹数据实用性较低，极大的影响了数据可用性。因此，为了保证发布后的数据有意义，本发明对添加噪音后的轨迹数据进行一致性处理。

定义1(一致性限制条件)：给定SR-树中，存在如下两组限制一致性限制条件：

(1)一致性限制条件一：对于任何经过SR-树中根节点到叶子的某段路径p，则有其中，v_i是v_i+1的孩子一个节点，|C(v_i)|表示节点v_i上的移动对象计数；

(2)一致性限制条件二：对于每个节点v，则有|C(v)|＝∑_{u∈chrildren(v)}|C(u)|，即每个父节点的移动对象计数等于所有子节点的移动对象计数之和。

首先为SR-树的每个节点的噪音计数值生成一个中间估计值，假设p是SR-树中自根节点到叶子节点的一条路径，则可以将所有p中的所有节点，即v_i∈p，表示为一个计数序列 S＝<c(v₁)，c(v₂)，...c(v_|p|)>，其中v_i是v_i+1的一个孩子节点。假设mean[i，j]表示序列S的计数平均数，即因此，每个节点的中间估计值可以根据定理1来计算。

定理1：设L_m＝min_{j∈[m，|p|]}max_i∈[1，j]mean[i，j]且U_m＝max_i∈[1，m]min_{j∈[i，|p|]}mean[i，j]。则最小的 L₂解集是唯一的，且

使用定理1后的计算结果满足了定义1中的中的第一条一致性限制条件，但是，尽管 SR-树中每个父节点的移动对象计数都大于等于其子节点的移动对象计数，然而每个父节点中移动对象计数还应当等于所有子节点的移动对象计数之和。因此，还需要采用定理2来调整各节点中移动对象计数，以满足定义1中的中的第二条一致性限制条件。

定理2：给定一个添加噪音后的序列则其唯一的最小L2解集/>计算方法如下：

其中，节点u为节点v的子节点，k为每个节点中可以存放索引记录的条数，l为树的层数，且

使用定理2后，噪音SR-树的父节点上移动对象的计数等于所有子节点移动对象计数之和。综上所述，分别使用定理1与定理2处理噪音SR-树之后，得到的SR-树满足定义1中的两个一致性限制条件，提高了数据的准确性，保证了轨迹数据发布后的可用性。

4、查询处理

由于噪音SR-树是对轨迹序列进行索引，所以支持轨迹序列片段的查询。其中，噪音SR- 树中每个节点存放的是位置序列，每次在噪音SR-树上执行轨迹片段查询时，按如下步骤处理：

(1)从根节点开始，依次向下遍历，访问所有包含查询轨迹片段的节点；

(2)如果节点u_i是叶子节点，将该叶子节点中移动对象的计数加入到查询结果中；

(3)否则，继续向下递归u_i的子节点，直到找到包含该轨迹片段的叶子节点，加入到查询结果中；

(4)返回所有的查询结果之和。

给定一条轨迹片段r₁r₂，查询结果返回经过该轨迹片段的移动对象的数目。如附图4所示，查询从根节点开始，其中r₁r₂r₃r₅r₈r₉包含该轨迹片段，且该节点是非叶子节点因此继续遍历他的子节点，发现只有他的第一个子节点r₁r₂r₃包含该轨迹片段，继续向下则可以发现叶子节点 r₁r₂和r₁r₂r₃都包含轨迹片段r₁r₂。因此最终的查询结果包含节点r₁r₂和r₁r₂r₃的全部的噪音计数值。

Claims

1.一种基于差分隐私的新型轨迹数据发布方法，其特征在于，包括如下步骤：

(1)序列R-树(SR-树)的建立：R-树使用空间对象的最小边界矩形(Minimum BoundingRectangle，MBR)来进行区域的划分以及R-树的建立，根据轨迹的特性，采用度量轨迹相似性的方法替代寻找MBR来划分轨迹和建立SR-树，每个节点中存放道路序列，其实现方法包括：

(1-1)初始化：对于轨迹数据库中的所有轨迹，首先将相同的轨迹划分到同一轨迹组，并对移动对象计数；每一个树的节点为<tr(v)，atr(v)，c(tr)，c(atr)>的形式存放数据，其中tr(v)表示道路序列，atr(v)表示敏感特征，c(tr)表示该道路序列上的移动对象计数，c(atr)表示对敏感特征的计数；每个树的节点至少有m个索引记录，至多M个索引记录，且m≤M/2，然后任意选取轨迹数据库中的一条轨迹，调用插入函数构建SR-树；

(1-2)选择合适的叶子节点：当新的轨迹数据加入时，需要选择合适的叶子节点将此新的轨迹数据插入其中；首先从根节点开始向下选择，如果到叶子节点就返回该叶子节点；如果是非叶子节点，则遍历该节点中的所有索引轨迹序列，比较索引轨迹序列和新轨迹数据序列的相似程度，选择相似性值最大的节点，继续向下重复上述步骤；

(1-3)节点分裂：如果当前要插入的节点中的索引记录已满，则需要将节点分裂为两个节点；即将两个相似程度最低的两个索引记录分别放到两个节点中，对于其余的节点分别插入到与之相似程度大的节点中；然后向上更新父节点的道路记录；

(1-4)更新父节点：更新父节点中指向该节点的索引记录；该索引记录的道路序列应当更新为子节点中所有索引记录中的道路序列，并不断的更新到根节点停止；此外，若叶子节点刚刚发生分裂，则需要建立一个新的索引记录来放进父节点，若父节点存在空间，则直接加入；若没有空间，则继续分裂父节点，重复上述更新操作；如果分裂向上传播到了根节点，那么需要重新创建一个新的根节点，并且让他的两个孩子节点分别为原来分裂后的两个节点；

(2)采用差分隐私方法对轨迹数据加入噪音：为了保护轨迹发布的隐私以及保证轨迹数据发布后的质量，对(1)中建立SR-树添加噪音后发布路网空间的位置轨迹数据，用差分隐私技术分别对位置和非位置轨迹数据添加噪音，抵制非位置敏感属性的关联攻击，保护轨迹隐私；

(3)数据一致性处理：针对拉普拉斯噪音对数据造成不一致的现象，对轨迹数据进行一致性处理，其实现方法包括：

(3-1)一致性限制条件：由于添加到计数值中的拉普拉斯噪音是独立同分布的，为了保证发布后的数据有意义，对添加噪音后的轨迹数据进行一致性处理；给定SR-树中，在进行一致性处理时还需要满足：对于任何经过SR-树中根节点到叶子的某段路径p，则有其中，v_i是v_i+1孩子的一个节点，|C(v_i)|表示节点v_i上的移动对象计数；对于每个节点v，则有|C(v)|＝∑_{u∈chrildren(v)}|C(u)|，即每个父节点的移动对象计数等于所有子节点的移动对象计数之和；

(3-2)调整噪音SR-树中的各个节点上移动对象的数量：为了使得SR-树满足一致性限制条件，提高轨迹数据发布后的准确率，通过约束推理技术来调整噪音SR-树中的各个节点上移动对象的数量以遵循一致性限制条件。

2.根据权利要求1所述的基于差分隐私的新型轨迹数据发布方法，其特征在于，步骤(2)采用差分隐私方法对轨迹数据加入噪音，其实现方法包括：

(2-1)建立SR-树索引结构并均分隐私预算：由于处理的对象是某个时间段的轨迹数据集，首先根据SR-树的建立方法，将轨迹数据集建立成一棵SR-树索引结构，然后根据差分隐私的顺序组合性质，将隐私预算ε平均分成若干份，每份大小为其中h为树的高度；

(2-2)遍历SR-树并对轨迹数据添加噪声：遍历SR-树的每一层，对于SR-树上的每一层，判断该轨迹数据是位置轨迹数据还是非位置轨迹数据，如果是位置轨迹数据，计算该位置序列上移动对象的计数值，并对该计数值添加噪音；如果是非位置轨迹数据，则统计其计数，也对其添加噪音，噪音SR-树分别对位置轨迹数据和非位置轨迹数据添加了噪音，保护移动对象的轨迹隐私。