CN112307149B - 一种具有访问模式保护的空间数据范围查询方法 - Google Patents

Abstract

一种具有访问模式保护的空间数据范围查询方法，包括如下步骤：第一步，在数据预处理阶段，在本地对数据进行离散化处理，使用纠删码机制编码，使用访问模式混淆方法对索引进行混淆，最后将索引和数据分别加密上传至云端；第二步，在数据查询阶段，用户在本地生成查询向量，加密后形成查询Token上传至云端，服务器使用SSW机制进行密文下的检索，然后将密文检索结果返回给用户，用户使用纠删码机制进行解码，对解码的结果再进行解密；本发明方法解决了现有的空间数据范围查询方法中访问模式泄露的问题，弥补了现有隐私保护方法在空间数据查询方面的不足。

Description

一种具有访问模式保护的空间数据范围查询方法

技术领域

本发明属于位置服务与信息安全技术领域，具体涉及一种具有访问模式保护的空间数据范围查询方法。

背景技术

目前，基于位置的服务得到了广泛的应用，例如电子地图、行车导航、附近搜索、交通堵塞预警等。其中空间范围查询是对空间数据进行处理的主要操作之一。随着数据量的激增，数据所有者更倾向于将数据存储在服务器中以节省本地存储成本，为了保证数据安全，数据在上传至云端之前都需要进行加密。当用户需要使用数据时，向服务器申请密文数据，服务提供者通过检索算法在密文状态下对数据集进行检索，将用户需要的数据以密文返回，用户在本地进行解密再使用。现有的可搜索加密机制支持在密文状态下对数据进行检索，这避免了冗余数据的传输，但为了保证检索效率，大多数查询方法都会以访问模式泄露为代价，即服务提供者可以观察到加密文档与查询的匹配关系。现有的研究表明，结合一些先验知识攻击者可以利用泄露的访问模式，攻击者可以以高精确度恢复查询内容。

差分隐私保护方法通过添加少量噪声对数据集进行高质量的保护。它以严苛的攻击模型为背景，以坚实的数学理论为基础，给出了一个严格且可量化评估的隐私定义，因此被广泛应用于数据隐私保护领域。在差分隐私保护模型中，数据集的处理结果对于数据集中具体某个数据的变化是不敏感的。因此，数据集中包含或不包含某个数据，对最终结果的影响微乎其微，一个数据的添加所产生的隐私泄露被控制在极小的范围内，因此敌手难以利用其进行攻击。现有的隐私保护研究多采用差分隐私机制对数据集添加少量噪声，以保护访问模式；再利用其它机制对查询结果进行优化处理，以提高查询精确性。但应用于空间数据的访问模式保护方法相对匮乏。

发明内容

为克服上述现有技术的不足，本发明的目的在于提出一种具有访问模式保护的空间数据范围查询方法，解决现有的空间数据范围查询方法中访问模式泄露的问题，弥补现有隐私保护方法在空间数据查询方面的不足；本发明通过引入可控的随机噪声混淆了访问模式，通过差分隐私提供了严格的隐私保证，通过空间离散化支持任意形状的空间范围的表示，通过SSW机制支持密文下的向量运算从而完成查询，通过纠删码机制提高了查询的准确性。

为实现上述目的，本发明采用的技术方案是：一种具有访问模式保护的空间数据范围查询方法，其特征在于，包括以下步骤：

第一步，在数据预处理阶段，在本地对数据进行离散化处理，使用纠删码机制编码，使用访问模式混淆方法对索引进行混淆，最后将索引和数据分别加密上传至云端，本步骤的具体做法如下：

步骤一，对于二维平面的数据集D＝{D₁,D₂,…,D_n}，共包含n条数据，其中第i条数据D_i＝(P_i,R_i)，表示位置信息P_i与记录R_i的对应关系，P_i相当于记录R_i的索引信息，将数据集对应的数据空间离散化，得到二维、每维为T个刻度的数据空间，其中x∈[0,T]且y∈[0,T]，对于每一个坐标点，都使用T²位的一维向量表示其坐标位置，具体而言，对坐标P＝(x,y)，计算i＝xT+y，则将位置向量第i位设为1，其他位为0，对空间离散化后，得到新的数据集D＝{(P₁,R₁),(P_i,R_i),…,(P_i,R_i)}，其中位置信息P由T²位一维二进制向量表示，且只有一位为1，其余位为0；

步骤二，使用纠删码机制对数据集进行处理，对于数据集D中的每一个数据 D_i，将其中的R_i平均分成k个分片，通过编码扩展为m个分片，以便在查询阶段从m个分片中的任意k个分片恢复出完整数据，其中对于同一个记录R_i所生成的记录分片，由相同的P_i所指向，此时的数据集可表示为D＝{D₁,D₂,…,D_n}，其中D_i＝{(P_i,R_i1),(P_i,R_i1),…,(P_i,R_im)}，P_i为T²位一维二进制向量；

步骤三，对数据集中的索引进行混淆，即对指向记录的坐标位置P进行混淆，这将最终转化为对访问模式的混淆，设定隐私参数a、b，其中a为访问模式本身为访问，不翻转(保持为访问)的概率，b表示访问模式为0时的翻转概率，基于用户自定义的a、b，对于数据集中每一个记录分片R_ij所对应的位置信息P_i，都将做出独立的混淆，即对于每一个记录分片R_ij，将对数据空间中的每一个位置点都做判断；

上述步骤将会破坏二进制索引向量中只有一位为1，其余位为0的特性；因此需要对数据集中混淆后的位置索引进行拆分；将多位为1的位置索引拆分为多个只有一位为1的二进制索引，这些索引将共同指向同一个记录；

经过此步骤的混淆后，属于同一个记录R_i的记录分片{R_i1,R_i2,…,R_im}将会被不同的位置向量所指向。此时的数据集可表示为：D＝{D₁,D₂,…,D_n}，其中D_i＝{(P_i1, R_i1),(P_i2,R_i1),…,(P_im,R_im)}；

步骤四，加密上传至云端，将混淆后的索引信息以及记录集合分别加密，上传至服务器，其中使用K_I加密索引信息，使用K_D加密记录信息；

第二步，在数据查询阶段，用户在本地生成查询向量，加密后形成查询Token 上传至云端，服务器使用SSW机制(一种安全的内积查询方案)进行密文下的检索，然后将密文检索结果返回给用户，用户使用纠删码机制进行解码，对解码的结果再进行解密，本步骤的具体做法如下：

步骤一，用户在本地对空间进行离散化，使用向量表示空间，首先枚举待查询的几何范围内的所有点的集合，然后使用这个集合来表示查询空间，使用T²维的二进制向量表示查询空间Q，将空间所包含点的对应位置设置为0，其余位设置为1，这与数据预处理阶段对数据集位置索引的处理恰好相反；

步骤二，使用加密密钥K_I对查询向量Q进行加密，生成查询Token，并上传给服务器；

步骤三，服务提供者使用SSW机制在密文下进行查询，对于数据集中的每一个记录R_ij，服务提供者将其对应的位置索引P_ij进行计算，判断其是否属于待查询区域Q，具体而言，对于每个位置索引向量P_ij(i∈[1,T²],j∈[1,m])，服务提供者利用SSW机制判断向量P_ij与向量Q的内积是否为0，若为0，则表示该位置属于待查询范围Q，反之则不属于，

逐一判断后，服务提供商将属于查询范围内的位置坐标所对应的加密记录分片返回给用户；

步骤四，用户使用密钥K_D对记录进行解密，获得明文信息；最后，用户使用纠删码机制对记录分片进行解码，恢复出完整的加密记录，如果用户可以获得属于同一个记录R_ij的m份记录分片中的k份，则可以通过纠删码机制完全恢复记录R_ij。

第一步中步骤三中所述的判断，具体判断的方法为：

如果该位置点是记录分片R_ij的索引点，则随机生成随机数r∈[0,1]，若r≤p，则该点仍被设置为R_ij的索引点，反之则删除二者的索引关系；

如果该位置点不是记录分片R_ij的索引点，则随机生成随机数r∈[0,1]，若r ≤q，则将该点设置为R_ij的索引点，反之则不设置。

第二步中步骤三中所述的判断，具体的判断方式为：

其中，

表示向量

和

的内积运算。

与现有技术相比，本发明的有益效果是：

本发明提出一种具有访问模式保护的空间数据范围查询方法。该方法通过引入可控的随机噪声混淆了访问模式，通过差分隐私提供了严格的隐私保证，通过空间离散化支持任意形状的空间范围的表示，通过SSW机制支持密文下的向量运算从而完成查询，通过纠删码机制提高了查询的准确性。用户可以通过本发明完成密文下的任意几何形状的空间范围查询，且在这个过程中访问模式得到了保护。具体优点为：

1)解决了现有的空间数据范围查询方法中访问模式泄露的问题。通过数据预处理阶段的步骤三，用户对数据集中的索引进行混淆，这将最终在查询阶段转化为对访问模式的混淆。

2)查询支持任意形状的几何查询，包括不规则几何形状。查询阶段的步骤一中，使用空间离散化使得任意几何形状的待查询空间皆可灵活由二进制向量表示。

3)提供了严格的差分隐私保证，且隐私预算由用户自定义。在数据预处理阶段的步骤三中，采用的混淆方式满足差分隐私定义，隐私预算为

其中a， b皆为用户自定义。

附图说明

图1为本发明数据预处理阶段和查询阶段的步骤示意图。

图2为本发明具体实例中二维的数据空间及数据集示意图。

图3为本发明数据集的索引示意图。

图4为本发明使用向量表示的数据集索引示意图。

图5为本发明经过纠删码机制处理后的数据集索引示意图。

图6为本发明经过访问模式混淆后的数据集索引示意图。

图7为本发明对混淆后索引的拆分示意图。

图8为本发明具体实例中用户给出的查询范围示意图。

图9为本发明中服务器利用SSW机制的查询过程示意图。

图10为本发明中用户使用纠删码机制还原记录分片示意图。

具体实施方式

下面结合附图和实例对本发明作出进一步详细说明。

一种具有访问模式保护的空间数据范围查询方法，其基本步骤如图1所示，包括以下步骤：

第一步，在数据预处理阶段，本步骤具体做法是：

步骤一，将空间离散化，图2所示为T＝4的二维数据空间，其中数据集大小为5，包括P＝{(1,0),(3,2),(1,2),(0,3),(3,3)}，为了便于理解，假设每一个位置索引都仅指向一个数据记录(实际可扩展到一对多)，则最初的数据集可表示为图3，对于该数据集中的每一个数据点，都使用16位的一维向量表示其坐标位置,其中第i＝x+yT位为1(i∈[0,T²-1])，其他位为0，例如对于坐标位置(1,2)，其中 x＝1,y＝2,T＝4，则其对应的位置向量为16位二进制向量，其中第i＝9位为1，其他位为0，其坐标为：(0,0,0,0,0,0,0,0,0,1,0,0,0,0,0,0)，对每一个位置坐标进行处理，则得到如图4所示的数据集；

步骤二，使用纠删码机制对数据集进行处理，这里假设采用k/m的纠删码机制，其中k取2，m取3，将每一个记录R切分为2份然后编码扩展至3份，这 3份记录分片都具有相同的位置索引，及全由原本指向记录R的位置坐标所指向，处理结果如图5所示，其中记录R₁经过纠删码机制编码得到了3份记录分片： {R₁₁,R₁₂,R₁₃}；

步骤三，使用混淆机制对数据集中的位置索引逐一混淆，根据需要达到的隐私保护需求，用户自定义隐私参数a、b，其中a表示将访问模式本身为访问，保持为访问(不翻转)的概率，b表示将访问模式本身为未访问，翻转为访问概率，基于用户自定义的a、b，独立地对数据集的所有索引向量的每一位进行翻转，这相当于对数据集进行加噪，最终将会转化为对访问模式的混淆，且混淆过程中对于数据集中每一个记录分片R_ij所对应的位置信息P_i，都将做出独立的混淆，混淆过程如下：

对于位置向量P_i中的每一位，都做出如下步骤：

1)随机生成随机数r∈[0,1]；

2)如果该位为1且r≤a，或，该位为0且r≤b，则将该位设置为1；

3)否则，将该位设置为0；

混淆后的数据集如图6所示，以指向记录分片R₂₁的索引P₂₁为例，可以看出其索引项量原本为(0,0,0,0,0,0,0,0,0,0,0,1,0,0,0,0)，对于该向量的每一位，如果该位为0，则生成随机数r与p比较，如果该位为1，则生成随机数r与q比较，根据比较结果决定该位是否翻转，遍历该索引向量后，其索引的到了混淆，这将最终转化为对访问模式的混淆，如图6所示，经过混淆后，变成了 (0,0,0,0,0,0,0,0,0,0,0,1,0,0,0,1)；

为了保证查询阶段数据的可用性，对数据集中部分索引向量做拆分处理，保证每个向量中只有一位为1，如图7所示，将向量(0,0,0,0,0,0,0,0,0,0,0,1,0,0,0,1) 拆分为(0,0,0,0,0,0,0,0,0,0,0,1,0,0,0,0)和(0,0,0,0,0,0,0,0,0,0,1,0,0,0,0,1)；

步骤四，将混淆后的索引信息以及记录集合分别加密，上传至服务器，其中使用K_I加密索引信息，使用K_D加密记录信息；

第二步，在数据查询阶段，本步骤具体进行如下处理：

步骤一：假设用户的查询范围Q如图8所示，用户在本地对空间进行离散化，使用向量表示空间，首先枚举待查询的几何范围内的所有点的集合，得到 Q＝{(0,0),(1,0),(2,0),(3,0),(2,1),(3,1),(3,2),(3,3)}，然后使用这个集合来表示查询空间。使用T²维的二进制向量表示查询空间Q，将空间所包含点的对应位置设置为0，其余位设置为1，这与数据预处理阶段对数据集位置索引的处理恰好相反，得到查询向量Q＝(0,0,0,0,1,1,0,0,1,1,1,0,1,1,1,0)；

步骤二：使用加密密钥K_I对查询向量Q进行加密，生成查询Token，并上传给服务器；

步骤三：服务提供者使用SSW机制在密文条件下进行查询，对于数据集中的每一个记录R_ij，服务提供者将其对应的位置索引P_ij进行判断，判断其是否属于待查询区域Q，具体而言，如图9所示，对于每个位置索引向量P_ij，服务提供者利用SSW机制在密文条件下判断向量P_ij与向量Q的内积是否为0，若为0，则表示该位置属于待查询范围Q，反之则不属于，具体的判断方式如下：

其中：

表示向量

和

的内积运算；

逐一判断后，服务提供商将属于查询范围内的位置坐标所对应的加密记录分片返回给用户，根据图9所示的查询结果，对于记录R₁、R₂、R₅，服务提供商将返回包括R₁₁、R₂₁、R₂₂、R₂₃…R₅₁、R₅₂、R₅₃的记录分片；

步骤四，用户使用密钥K_D对服务器所返回的记录分片进行解密，获得明文信息，最后，用户使用纠删码机制对记录分片进行解码，恢复出完整的加密记录；如果用户可以获得属于同一个记录R_i的3份记录分片中的2份，则可以通过纠删码机制完全恢复记录Ri；

如图10所示，假设用户最终获得了包括R₁₁、R₂₁、R₂₂、R₄₁、R₄₂、R₅₁、R₅₂、 R₅₃的记录分片，则根据2/3的纠删码机制(在数据预处理阶段设置了k/m的纠删码机制，其中k＝2，m＝3)，用户可以编码得到完整的记录R₂、R₄、R₅。

在上述实例中，指向记录R₁的索引点P₁(1,0)为匹配的查询结果，但记录R₁未被服务器返回，这属于查询中的假阴性错误(False Negative)；而指向记录 R₄的索引点P₄为不匹配的查询结果，但记录R₄被服务器返回给了用户，这属于查询中的假阳性错误(FalsePositive)；上述实例仅是为了说明问题，在本发明的实际应用中，这两种错误的出现概率很低，主要是因为一方面在差分隐私模型的保证下，数据集仅被添加了少量噪声就可以达到较高的隐私保护；另一方面在数据集上所添加的纠删码机制，保证了数据的高还原度。

Claims (3)

1.一种具有访问模式保护的空间数据范围查询方法，其特征在于，包括以下步骤：

第一步，在数据预处理阶段，在本地对数据进行离散化处理，使用纠删码机制编码，使用访问模式混淆方法对索引进行混淆，最后将索引和数据分别加密上传至云端，本步骤的具体做法如下：

步骤一，对于二维平面的数据集D＝{D₁,D₂,…,D_n}，共包含n条数据，其中第i条数据D_i＝(P_i,R_i)，表示位置信息P_i与记录R_i的对应关系，P_i相当于记录R_i的索引信息，将数据集对应的数据空间离散化，得到二维、每维为T个刻度的数据空间，其中x∈[0,T]且y∈[0,T]，对于每一个坐标点，都使用T²位的一维向量表示其坐标位置，具体而言，对坐标P＝(x,y)，计算i＝xT+y，则将位置向量第i位设为1，其他位为0，对空间离散化后，得到新的数据集D＝{(P₁,R₁),…(P_i,R_i),…(P_n,R_n)}，其中位置信息P由T²位一维二进制向量表示，且只有一位为1，其余位为0；

步骤二，使用纠删码机制对数据集进行处理，对于数据集D中的每一个数据D_i，将其中的R_i平均分成k个分片，通过编码扩展为m个分片，以便在查询阶段从m个分片中的任意k个分片恢复出完整数据，其中对于同一个记录R_i所生成的记录分片，由相同的P_i所指向，此时的数据集可表示为D＝{D₁,D₂,…,D_n}，其中D_i＝{(P_i,R_i1),(P_i,R_i2),…,(P_i,R_im)}，P_i为T²位一维二进制向量；

步骤三，对数据集中的索引进行混淆，即对指向记录的坐标位置P进行混淆，这将最终转化为对访问模式的混淆，设定隐私参数a、b，其中a为访问模式本身为访问，不翻转的概率，b表示访问模式为0时的翻转概率，基于用户自定义的a、b，对于数据集中每一个记录分片R_ij所对应的位置信息P_i，都将做出独立的混淆，即对于每一个记录分片R_ij，将对数据空间中的每一个位置点都做判断：

上述步骤将会破坏二进制索引向量中只有一位为1，其余位为0的特性；因此需要对数据集中混淆后的位置索引进行拆分；将多位为1的位置索引拆分为多个只有一位为1的二进制索引，这些索引将共同指向同一个记录；

经过此步骤的混淆后，属于同一个记录R_i的记录分片{R_i1,R_i2,…,R_im}将会被不同的位置向量所指向，此时的数据集可表示为：D＝{D₁,D₂,…,D_n}，其中D_i＝{(P_i1,R_i1),(P_i2,R_i1),…,(P_im,R_im)}；

步骤四，加密上传至云端。将混淆后的索引信息以及记录集合分别加密，上传至服务器，其中使用K_I加密索引信息，使用K_D加密记录信息；

第二步，在数据查询阶段，用户在本地生成查询向量，加密后形成查询令牌上传至云端，服务器使用SSW机制进行密文下的检索，然后将密文检索结果返回给用户，用户使用纠删码机制进行解码，对解码的结果再进行解密，本步骤的具体做法如下：

步骤一，用户在本地对空间进行离散化，使用向量表示空间，首先枚举待查询的几何范围内的所有点的集合，然后使用这个集合来表示查询空间，使用T²维的二进制向量表示查询空间Q，将空间所包含点的对应位置设置为0，其余位设置为1，这与数据预处理阶段对数据集位置索引的处理恰好相反；

步骤二，使用加密密钥K_I对查询向量Q进行加密，生成查询令牌，并上传给服务器；

步骤三，服务提供者使用SSW机制在密文下进行查询。对于数据集中的每一个记录R_ij，服务提供者将其对应的位置索引P_ij进行计算，判断其是否属于待查询区域Q，具体而言，对于每个位置索引向量P_ij(i∈[1,T²],j∈[1,m])，服务提供者利用SSW机制判断向量P_ij与向量Q的内积是否为0，若为0，则表示该位置属于待查询范围Q，反之则不属于，

逐一判断后，服务提供商将属于查询范围内的位置坐标所对应的加密记录分片返回给用户；

步骤四，用户使用密钥K_D对记录进行解密，获得明文信息；最后，用户使用纠删码机制对记录分片进行解码，恢复出完整的加密记录，如果用户可以获得属于同一个记录R_ij的m份记录分片中的k份，则可以通过纠删码机制完全恢复记录R_ij。

2.根据权利要求1所述的一种具有访问模式保护的空间数据范围查询方法，其特征在于，第一步中步骤三中所述的判断，具体判断的方法为：

如果该位置点是记录分片R_ij的索引点，则随机生成随机数r∈[0,1]，若r≤p，则该点仍被设置为R_ij的索引点，反之则删除二者的索引关系；

如果该位置点不是记录分片R_ij的索引点，则随机生成随机数r∈[0,1]，若r≤q，则将该点设置为R_ij的索引点，反之则不设置。

3.根据权利要求1所述的一种具有访问模式保护的空间数据范围查询方法，其特征在于，第二步中步骤三中所述的判断，具体的判断方式为：

其中，

表示向量

和

的内积运算。

Images