CN111447181A - 一种基于差分隐私的位置隐私保护方法 - Google Patents

Abstract

本发明涉及一种基于差分隐私的位置隐私保护方法，属于安全技术领域。一、用户自定义其隐私偏好，采用决策树对车辆的位置进行隐私分级；二、将车辆位置的相关度与位置隐私进行比较，判断传感技术的测量误差是否满足用户的隐私偏好；三、假若测量误差满足隐私偏好，则向LBS发送测量位a置，若不满足，则根据用户的隐私等级对不同车辆的不同位置采取自适应的查分隐私保护方法。本方案综合考虑了下相同用户在不同位置以及不同用户在相同位置的隐私需求，再结合可以忽略攻击者的背景知识的差分隐私提出一种自适应的位置隐私保护方法，最后实验仿真表明，该隐私保护方法提高了基于位置隐私的服务精确度，用户位置的隐私保护强度增加。

Description

一种基于差分隐私的位置隐私保护方法

技术领域

本发明属于安全技术领域，涉及一种基于差分隐私的位置隐私保护方法。

背景技术

车联网(InternetofVehicles,IoV)，是智能交通系统(intelligenttransportationsystem,TIS)不可缺少的重要组成部分，越来越受到学术界和工业界的关注。但是位置隐私泄露的风险，极大地阻碍了车联网的推广。

针对车联网中用户的位置隐私保护技术，总体上可以分为三类，分为别为假名替换、信息加密与位置匿名。时空匿名方案主要是用一个位置信息覆盖k-1个车辆的真实位置，取代向LBS发送请求信息时车辆的真实位置，从而使攻击者无法从k个车辆中鉴别出向LBS发送请求信息的车辆，但该方案的计算和存储开销大。交通自适应的动态Mix-zone创建方法被提出，随时随地为车辆建立Mix-zone区域进行假名更换，建立基于身份和位置的隐私保护，然而，该方案不能在敏感时期实行。后来学者提出了一种相互混淆路径(MOP)的方法，车辆向LBS提供实时位置的更新，同时，利用周围车辆产生虚拟的、合理的位置来迷惑恶意攻击，从而使其行驶路径在LBS的角度不断分支。但是，却增加其他车辆的位置信息的暴露概率。提出一种轨迹差分隐私发布方法CLM，利用高斯噪声通过特定的滤波器，产生与原始轨迹序列自相关函数一致的相关性噪声序列，叠加到原始轨迹中并发布。该方案虽然提高了隐私保护的强度，却没有权衡好隐私保护强度与LBS的服务精确度。

发明内容

有鉴于此，本发明的目的在于提供一种基于差分隐私的位置隐私保护方法。本方案综合考虑了不同用户、不同位置、传感技术测量误差等因素对隐私保护的影响，再结合差分隐私提出一种自适应的位置隐私保护方法，最后实验仿真表明，该隐私保护方法提高了基于位置隐私的服务精确度，用户位置的隐私保护强度增加。

为达到上述目的，本发明提供如下技术方案：

一种基于差分隐私的位置隐私保护方法，该方法包括以下步骤：

步骤一、用户自定义其隐私偏好，采用决策树对车辆的位置进行隐私分级；

步骤二、将车辆位置的相关度与位置隐私进行比较，判断传感技术的测量误差是否满足用户的隐私偏好；

步骤三、假若测量误差满足隐私偏好，则向LBS发送测量位置，若不满足，则根据用户的隐私等级对不同车辆的不同位置采取自适应的差分隐私保护方法。

可选的，所述步骤一具体为：

用户根据其不同的隐私偏好，自定义隐私敏感词，采取决策树将车辆的位置进行隐私分级；

决策树模型以一组位置特征F作为先验知识，该模型旨在预测用户访问位置A_m的隐私级别，决策树H作为分类器来预测隐私级别j∈J＝{1,...,x}，表示为

H(A_m,F)＝j (1)

给定D维特征向量F＝{f₁,f₂,...,f_D},决策树H是在分层树形结构中组织的节点n_i的集合，节点为分裂节点或者终端叶子节点；假设二进制决策树，对于每个分裂节点n_i，分裂函数f(F,π_i,φ_i)表示为

其中π_i∈{1,...,D}是特征指数，φ_i是划分两类的阈值；对于隐私级别J，决策树H的预测结果j∈J表示为

d(u,j)＝1 (3)

同时

d(u,J/{j})＝0 (4)

在训练阶段，决策树随着在每个节点n_i处指定的特征F_K(F_K∈F)数的增加而增长，F_K随机的从F中选择，这些F_K中的最佳分裂被用来分裂节点，产生分裂函数f；分裂节点采用信息增益I()的标准作为参考；特征指数π_i和阈值由公式得到；

当达到预定义的深度或到达叶子时，分割结束；

在预测阶段，给定特征向量作为输入，根据等式(2)遍历树，直到找到叶子；为获得预测结果，应用多数投票规则：叶子的标签是从该叶子中完成训练的样本数量最多的类别中得出的，如果所有类别的计数均相同，则随机选择该标签。

可选的，所述步骤二具体为：不同的传感器对车辆位置存在一定的测量误差，引入相关度R_m，提供了一种与维度技术无关的定位精度度量和一种定位度量的私密性度量，考虑测量误差是否满足了车辆的隐私需求；过程如下：

A_m＝(x_m,y_m,r_m)为所测量到的车辆位置；传感器获取的位置测量精度取决于被测圆形区域的半径，而圆形区域的半径又取决于传感技术不可避免的测量误差；为评估给定位置测量的质量，必须将其精度与传感技术所能提供的最佳精度进行比较；r₀为达到最佳精度是所产生的半径，r_m为测量位置的传感器所产生的半径；相关度R_m表示为：

当R_m趋近于1时，所测量到的车辆位置越接近传感技术所能达到的最高精度，当R_m趋近于0时，所测量到的车辆位置精确度越低；

A_m是相关度为R_m的车辆位置，定义A_m的位置隐私度R_f为1-R_m；用户根据相关度以及位置的隐私来评判是否满足用户的隐私需求，将A_m转换为混淆位置A_f是通过加入噪声来完成的；除了由于固有测量误差导致的自然退化外，A_m到A_f转化还引入了相关退化；如果R_f≥R_m，则定位测量不进行模糊处理，传感技术引入的测量误差已经满足用户的隐私偏好。

可选的，所述步骤三具体为：假若测量误差满足隐私偏好，则向LBS发送测量位置，若不满足，则根据用户的隐私等级对不同车辆的不同位置采取自适应的差分隐私保护方法；

假设恶意服务器或者恶意攻击者了解目标车辆的一定信息，并且对收集车辆的位置信息很感兴趣；给车辆发送给LBS服务器的请求信息加入服从高斯分布的噪声；

二维高斯分布的概率密度函数为

σ是标准偏差；然后我们给出由ε束缚的隐私损失来获取适合(r₁,ε,δ)的σ；隐私损失Priloss的定义如下：

将上述式子进行简化，并且根据柯西不等式和

得到：

由(r₁,ε,δ)定义，确保由ε限制的隐私损失的概率至少是1-δ，意味着：

高斯噪声的参数为

将适合的噪声加入到真实位置信息里，通过添加从以下二维高斯分布中随机生成的噪声来移动位置：

转换上式转换成极坐标的形式：

r′为真实位置l₁与加入噪声后的位置l₀的距离，θ表示的是线段l₁l₀方向的角度；

r′和θ的联合概率密度表示为：

假设真实位置l₁表示为(s,t)，二维高斯分布后的噪声位置表示为：

l₀＝(s+r'cosθ,t+r'sinθ) (17)

通过差异隐私保护机制，即使恶意攻击事先知道目标车辆的范围，也不能推断出目标车辆的具体位置；同时每个车辆对于隐私等级的划分是不一样的，车辆根据自己的隐私等级来间接的调整位置隐私保护的强度；

在差分隐私算法的保护机制下，用户的隐私泄露风险R表示为

其中x_i∈D，x_i'∈D'，F(D)和F(D‘)分别表示原始和发布序列的统计结果，R_DD表示数据集D的自相关函数；

如果隐私泄露的上限是ε，那么

达到ε水平的隐私保护效果，即满足ε-差分隐私。

本发明的有益效果在于：通过合理计算部署者的协同意愿强度，进而选取部署者具有较强协同意愿的物联网设备提供搜索服务。

本发明的其他优点、目标和特征在某种程度上将在随后的说明书中进行阐述，并且在某种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发明的实践中得到教导。本发明的目标和其他优点可以通过下面的说明书来实现和获得。

附图说明

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作优选的详细描述，其中：

图1为路网平面模型图；

图2为位置转换示意图；

图3为隐私丢失范围与服务质量r₁/D；

图4为给定的服务质量下ε和δ的关系。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

其中，附图仅用于示例性说明，表示的仅是示意图，而非实物图，不能理解为对本发明的限制；为了更好地说明本发明的实施例，附图某些部件会有省略、放大或缩小，并不代表实际产品的尺寸；对本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理解的。

本发明实施例的附图中相同或相似的标号对应相同或相似的部件；在本发明的描述中，需要理解的是，若有术语“上”、“下”、“左”、“右”、“前”、“后”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此附图中描述位置关系的用语仅用于示例性说明，不能理解为对本发明的限制，对于本领域的普通技术人员而言，可以根据具体情况理解上述术语的具体含义。

如图1、图2所示，本发明重点解决车辆在向LBS发送位置信息时，解决车辆基于位置服务的服务精确度和隐私保护强度的矛盾。其主要思路是考虑了不同用户、不同位置、传感技术测量误差等因素对隐私保护的影响，再结合差分隐私提出一种自适应的位置隐私保护方法，最后实验仿真表明，该隐私保护方法提高了基于位置隐私的服务精确度，用户位置的隐私保护强度增加。

其实施方式如下：

步骤ⅰ、采用决策树对位置进行隐私分级：

决策树模型以一组位置特征F作为先验知识，该模型旨在预测用户访问位置A_m的隐私级别，因此决策树H可以作为分类器来预测隐私级别j∈J＝{1,...,x}，可以表示为

H(A_m,F)＝j (1)

给定D维特征向量F＝{f₁,f₂,...,f_D},决策树H是在分层树形结构中组织的节点n_i的集合，节点为分裂节点或者终端叶子节点。假设二进制决策树，对于每个分裂节点n_i，分裂函数f(F,π_i,φ_i)可以表示为

其中π_i∈{1,...,D}是特征指数，φ_i是划分两类的阈值。对于隐私级别J，决策树H的预测结果j∈J可以表示为

d(u,j)＝1 (3)

同时

d(u,J/{j})＝0 (4)

在训练阶段，决策树随着在每个节点n_i处指定的特征F_K(F_K∈F)数的增加而增长，F_K随机的从F中选择，这些F_K中的最佳分裂被用来分裂节点，产生分裂函数f。分裂节点采用信息增益I()的标准作为参考。特征指数π_i和阈值由公式得到。

当达到预定义的深度或到达叶子时，分割结束。

在预测阶段，给定特征向量作为输入，根据等式(2)遍历树，直到找到叶子。为了获得预测结果，应用了多数投票规则：叶子的标签是从该叶子中完成训练的样本数量最多的类别中得出的，如果所有类别的计数均相同，则随机选择该标签。

步骤ii、判断测量误差是否满足隐私需求：

A_m＝(x_m,y_m,r_m)为所测量到的车辆位置。传感器获取的位置测量精度取决于被测圆形区域的半径，而圆形区域的半径又取决于传感技术不可避免的测量误差。为了评估给定位置测量的质量，必须将其精度与传感技术所能提供的最佳精度进行比较。r₀为达到最佳精度是所产生的半径，r_m为测量位置的传感器所产生的半径。相关度R_m可表示为：

当R_m趋近于1时，所测量到的车辆位置越接近传感技术所能达到的最高精度，当R_m趋近于0时，所测量到的车辆位置精确度越低。

A_m是相关度为R_m的车辆位置，定义A_m的位置隐私度R_f为1-R_m。用户根据相关度以及位置的隐私来评判是否满足用户的隐私需求，将A_m转换为混淆位置A_f是通过加入噪声来完成的。除了由于固有测量误差导致的自然退化外，A_m到A_f转化还引入了相关退化。如果R_f≥R_m，则定位测量不进行模糊处理，因为传感技术引入的测量误差已经满足用户的隐私偏好。

如图3所示，隐私丢失范围与服务质量r₁/D具有线性关系，这意味着随着隐私保护水平的提高，服务质量不会下降得太快。因此，可以调整隐私级别以找到与服务质量的权衡。

步骤iii、调整差分隐私算法的噪声：

假设恶意服务器或者恶意攻击者了解目标车辆的一定信息，并且对收集车辆的位置信息很感兴趣，我们的目标是保证攻击者即使截获或者收集到车辆的位置信息，也推理不出来车辆的真实信息。给车辆发送给LBS服务器的请求信息加入服从高斯分布的噪声。

二维高斯分布的概率密度函数为

σ是标准偏差。然后我们给出由ε束缚的隐私损失来获取适合(r₁,ε,δ)的σ。隐私损失Priloss的定义如下：

将上述式子进行简化，并且根据柯西不等式和

可以得到：

由(r₁,ε,δ)定义，我们确保由ε限制的隐私损失的概率至少是1-δ，这就意味着：

所以，高斯噪声的参数为

我们将适合的噪声加入到真实位置信息里，基本思想是我们通过添加从以下二维高斯分布中随机生成的噪声来移动位置：

转换上式转换成极坐标的形式：

r′为真实位置l₁与加入噪声后的位置l₀的距离，θ表示的是线段l₁l₀方向的角度。

r′和θ的联合概率密度表示为：

从上面的等式可以看出，两个变量是独立的，因此可以将他们单独表示。

假设真实位置l₁表示为(s,t)，二维高斯分布后的噪声位置可以表示为：

l₀＝(s+r'cosθ,t+r'sinθ) (17)

通过差异隐私保护机制，即使恶意攻击事先知道目标车辆的范围，也不能推断出目标车辆的具体位置。但是添加噪声后的位置信息对服务质量产生了影响，在可容忍的服务质量损失下获得最大隐私级别是合理的。即我们要权衡好基于位置的服务的质量要求与隐私保护之间的天平。同时每个车辆对于隐私等级的划分是不一样的，所以车辆可以根据自己的隐私等级来间接的调整位置隐私保护的强度。

在差分隐私算法的保护机制下，用户的隐私泄露风险R可以表示为

其中x_i∈D，x_i'∈D'，F(D)和F(D‘)分别表示原始和发布序列的统计结果，R_DD表示数据集D的自相关函数。

如果隐私泄露的上限是ε，那么

那么可以达到ε水平的隐私保护效果，即满足ε-差分隐私。该算法既能够满足用户的隐私保护需求，同时满足基于位置的服务的精确度。

由此可见，本文提出了基于差分隐私的位置隐私保护方法。其主要思路是考虑了不同用户、不同位置、传感技术测量误差等因素对隐私保护的影响，再结合差分隐私提出一种自适应的位置隐私保护方法，最后实验仿真表明，该隐私保护方法提高了基于位置隐私的服务精确度，用户位置的隐私保护强度增加。

如图4所示，我们将进一步评估参数(δ，γ)在最佳情况下对隐私级别和服务质量的影响，并讨论如何调整它们以适应不同的情况。首先，我们说明了在给定服务质量下(，δ)的关系。从该图可以得出以下见解：随着1-δ的减小(隐私损失边界的置信度)，在给定的服务质量下，隐私损失的界限将减少。因此，当在不需要强烈信任的应用程序上部署我们的机制时，我们可以稍微增加δ以获得更高的隐私级别。例如，在用户的跟踪上部署该机制时，即使一小部分位置存在泄漏风险，攻击者也无法恢复该跟踪。图显示了在指定隐私级别和固定r1＝0.2下D和γ的关系。当＝5ln(2)，δ＝0.01时，偏移距离可以控制在500m以内(概率为0.95)，440m以内的概率为0.9。与隐私级别类似，我们也可以调整γ以获得更高的服务质量。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (4)

1.一种基于差分隐私的位置隐私保护方法，其特征在于：该方法包括以下步骤：

步骤一、用户自定义其隐私偏好，采用决策树对车辆的位置进行隐私分级；

步骤二、将车辆位置的相关度与位置隐私进行比较，判断传感技术的测量误差是否满足用户的隐私偏好；

步骤三、假若测量误差满足隐私偏好，则向LBS发送测量位置，若不满足，则根据用户的隐私等级对不同车辆的不同位置采取自适应的差分隐私保护方法。

2.根据权利要求1所述的一种基于差分隐私的位置隐私保护方法，其特征在于：所述步骤一具体为：

用户根据其不同的隐私偏好，自定义隐私敏感词，采取决策树将车辆的位置进行隐私分级；

决策树模型以一组位置特征F作为先验知识，该模型旨在预测用户访问位置A_m的隐私级别，决策树H作为分类器来预测隐私级别j∈J＝{1,...,x}，表示为

H(A_m,F)＝j (1)

给定D维特征向量F＝{f₁,f₂,...,f_D},决策树H是在分层树形结构中组织的节点n_i的集合，节点为分裂节点或者终端叶子节点；假设二进制决策树，对于每个分裂节点n_i，分裂函数f(F,π_i,φ_i)表示为

其中π_i∈{1,...,D}是特征指数，φ_i是划分两类的阈值；对于隐私级别J，决策树H的预测结果j∈J表示为

d(u,j)＝1 (3)

同时

d(u,J/{j})＝0 (4)

在训练阶段，决策树随着在每个节点n_i处指定的特征F_K(F_K∈F)数的增加而增长，F_K随机的从F中选择，这些F_K中的最佳分裂被用来分裂节点，产生分裂函数f；分裂节点采用信息增益I()的标准作为参考；特征指数π_i和阈值由公式得到；

当达到预定义的深度或到达叶子时，分割结束；

在预测阶段，给定特征向量作为输入，根据等式(2)遍历树，直到找到叶子；为获得预测结果，应用多数投票规则：叶子的标签是从该叶子中完成训练的样本数量最多的类别中得出的，如果所有类别的计数均相同，则随机选择该标签。

3.根据权利要求2所述的一种基于差分隐私的位置隐私保护方法，其特征在于：所述步骤二具体为：不同的传感器对车辆位置存在一定的测量误差，引入相关度R_m，提供了一种与维度技术无关的定位精度度量和一种定位度量的私密性度量，考虑测量误差是否满足了车辆的隐私需求；过程如下：

A_m＝(x_m,y_m,r_m)为所测量到的车辆位置；传感器获取的位置测量精度取决于被测圆形区域的半径，而圆形区域的半径又取决于传感技术不可避免的测量误差；为评估给定位置测量的质量，必须将其精度与传感技术所能提供的最佳精度进行比较；r₀为达到最佳精度是所产生的半径，r_m为测量位置的传感器所产生的半径；相关度R_m表示为：

当R_m趋近于1时，所测量到的车辆位置越接近传感技术所能达到的最高精度，当R_m趋近于0时，所测量到的车辆位置精确度越低；

A_m是相关度为R_m的车辆位置，定义A_m的位置隐私度R_f为1-R_m；用户根据相关度以及位置的隐私来评判是否满足用户的隐私需求，将A_m转换为混淆位置A_f是通过加入噪声来完成的；除了由于固有测量误差导致的自然退化外，A_m到A_f转化还引入了相关退化；如果R_f≥R_m，则定位测量不进行模糊处理，传感技术引入的测量误差已经满足用户的隐私偏好。

4.根据权利要求3所述的一种基于差分隐私的位置隐私保护方法，其特征在于：所述步骤三具体为：假若测量误差满足隐私偏好，则向LBS发送测量位置，若不满足，则根据用户的隐私等级对不同车辆的不同位置采取自适应的差分隐私保护方法；

假设恶意服务器或者恶意攻击者了解目标车辆的一定信息，并且对收集车辆的位置信息很感兴趣；给车辆发送给LBS服务器的请求信息加入服从高斯分布的噪声；

二维高斯分布的概率密度函数为

σ是标准偏差；然后我们给出由ε束缚的隐私损失来获取适合(r₁,ε,δ)的σ；隐私损失Priloss的定义如下：

将上述式子进行简化，并且根据柯西不等式和

得到：

由(r₁,ε,δ)定义，确保由ε限制的隐私损失的概率至少是1-δ，意味着：

高斯噪声的参数为

将适合的噪声加入到真实位置信息里，通过添加从以下二维高斯分布中随机生成的噪声来移动位置：

转换上式转换成极坐标的形式：

r′为真实位置l₁与加入噪声后的位置l₀的距离，θ表示的是线段l₁ l₀方向的角度；

r′和θ的联合概率密度表示为：

假设真实位置l₁表示为(s,t)，二维高斯分布后的噪声位置表示为：

l₀＝(s+r'cosθ,t+r'sinθ) (17)

通过差异隐私保护机制，即使恶意攻击事先知道目标车辆的范围，也不能推断出目标车辆的具体位置；同时每个车辆对于隐私等级的划分是不一样的，车辆根据自己的隐私等级来间接的调整位置隐私保护的强度；

在差分隐私算法的保护机制下，用户的隐私泄露风险R表示为

其中x_i∈D，x_i'∈D'，F(D)和F(D‘)分别表示原始和发布序列的统计结果，R_DD表示数据集D的自相关函数；

如果隐私泄露的上限是ε，那么

达到ε水平的隐私保护效果，即满足ε-差分隐私。

Images