CN112312388B - 一种基于局部保护集的路网环境位置匿名方法 - Google Patents

Abstract

一种面向路网环境基于局部保护集的用户位置匿名方法，包括以下步骤：用户向位置服务提供商发送真实位置获取服务之前，将真实位置映射到最近的路网结点上，称此路网结点为用户初始路网结点位置。根据已知的在各个路网结点位置的概率分布以及公路网信息，在本地设备上构建出用户初始路网结点位置的局部保护集，用局部保护集中的任意位置点代替用户真实位置发布给位置服务提供商，使得攻击者在获取用户发布的位置后无法通过贝叶斯后验攻击或最佳推断攻击逆推出用户初始路网结点位置。本发明利用局部保护集描述用于防范贝叶斯后验攻击或者最佳推断攻击的局部路网子区域，避免攻击者在观察到用户发布位置能攻击识别出用户初始路网结点位置。

Description

一种基于局部保护集的路网环境位置匿名方法

技术领域

本发涉及一种位置匿名方法，更具体地，涉及一种基于局部保护集的路网环境位置匿名方法。

背景技术

近年来，随着GPS(Global Positioning System，全球定位系统)等定位工具及个人手机的广泛应用，LBS(Location Based Services，基于位置的服务)也变得丰富起来。用户在获取此类基于位置的服务之前，需要提交其自身的真实位置，位置服务提供商基于用户提交的其自身的真实位置，在服务器端进行相应的计算和查找，并将结果返回给用户。例如，当用户想要知道距离自身当前位置最近的酒店时，就可以通过基于位置的服务提交其自身的真实位置从而获得最近的酒店信息。然而，个体的位置信息中还包含有个人身份、行为模式等敏感信息。因此，考虑到基于位置的服务要求用户将其自身的真实位置共享给服务提供商的服务模式会不可避免地带来用户隐私泄露问题，为了避免用户暴露自身真实位置，往往可以采取扰动的位置匿名策略，即选择别的就近位置点代替真实位置提交给位置服务提供商。

在路网环境中，已有的基于扰动的位置匿名方法多数在本地进行匿名化操作，即该方法通过用户的设备在本地计算得出最终替代位置。常见的匿名方法有采用差分选择匿名位置。该方法是根据用户的真实位置、用户在各个路网结点的概率分布以及路网长度等信息，计算出用户的真实位置到各个路网结点之间的概率。最后，通过对此概率分布进行抽样可以得到代替用户真实位置的路网结点。通过差分选择方法，用户的真实位置到各个路网结点之间的概率分布满足如下特性：真实位置到可达距离越近的路网结点的概率越大；真实位置映射到距离该真实位置可达距离相近的路网结点的概率几乎相同。通过这种方法，可以使得距离发布位置同等可达距离的路网结点具有相同的概率，从而限制了攻击者通过观察发布位置得到关于真实位置的信息。但是，差分选择匿名位置的方法仍然具有以下未解决的问题：(1)现有方法未对整体路网环境进行全面考虑，导致服务发布的位置可能是位于路网中任意结点，并使得服务发布的位置的可用性较差；(2)在应对诸如贝叶斯后验攻击或者最佳推断攻击等攻击时容易被逆推出真实位置，隐私保护强度不够。

发明内容

为解决现有技术中存在的不足，本发明的目的在于，提供一种基于局部保护集的路网环境位置匿名方法。该方法利用局部保护集实现路网环境用户位置的匿名，不仅可以防范贝叶斯后验攻击和最佳推断攻击，并且通过本方法发布的位置的可用性较高。

本发明采用如下的技术方案。

一种基于局部保护集的路网环境位置匿名方法，包括以下步骤：步骤1，根据路网信息，利用路网模型将用户真实位置映射到最近路网结点上，并将最近路网结点作为用户初始路网结点位置；步骤2，利用路网信息和路网模型为用户初始路网结点位置构建局部保护集；步骤3，随机选择局部保护集中的任意一个结点位置并将结点位置作为代替用户真实位置的用户虚拟位置，发送至位置服务。

优选地，步骤1还包括：路网信息G＝(L,E)存储于用户的本地客户端中，且路网信息中包括：标识路网中道路之间的交汇点即路网结点的L＝{l₁,l₂,…,l_n}，标识路网中的道路集合的E，标识两个结点间路网可达距离的d_s(l_i,l_j)，其中，n为路网结点数量，l_i和l_j为路网中任意两个结点，且i，j∈(1，2，…，n)。

优选地，步骤1还包括：路网模型中包括标识将位置从结点l_i映射至结点位置l_j的位置映射概率的路网隐私模型M(l_j|l_i)和标识映射到各路网结点上的用户真实位置的概率分布μ(·)。

优选地，步骤1还包括：标识映射到各路网结点上的用户真实位置的概率分布μ(·)包括路网结点L＝{l₁,l₂,…,l_n}中每一结点的概率分布；并且，对于任意路网结点l∈L的概率分布μ(l)，有μ(l)＝∑_a∈Ωpr(a)，其中，pr(·)为用户在路网平面上任意位置的概率，Ω为路网平面上的任意区域，a为区域中的任意位置，且a满足a到路网结点l的欧式距离小于a到L-l中任意路网结点的欧式距离，L-l为除l之外L中的任意路网结点。

优选地，步骤2还包括：基于贝叶斯后验攻击和最佳判断攻击为用户初始路网结点位置构建局部保护集；以及，在贝叶斯后验攻击中，当发送至位置服务的用户虚拟位置为l′时，用户真实位置的概率为

且根据用户真实位置的概率推断出的用户真实位置/>

为/>

在最佳推断攻击中，当发送至位置服务的用户虚拟位置为l′时，推断点和用户虚拟位置之间的距离为/>

且根据距离和用户真实位置的概率推断出的用户真实位置/>

为/>

优选地，步骤2还包括：步骤2.1，对攻击结点集合进行初始化，分别将抗贝叶斯后验攻击结点集合L′₁与抗最佳推断攻击结点集合L′₂设置为{l^*}，其中，l^*为最近路网结点；步骤2.2，对于L-l^*中的任意结点l′，若l′满足抗贝叶斯后验攻击结点的条件，则将结点l′加入抗贝叶斯后验攻击结点集合L′₁中，若结点l′满足抗最佳推断攻击结点的条件，则将结点l′加入抗最佳推断攻击结点集合L′₂中；步骤2.3，对抗贝叶斯后验攻击结点集合L′₁与抗最佳推断攻击结点集合L′₂取交集，并计算其取值L′₁∩L′₂；步骤2.4，若L′₁∩L′₂＝{l^*}，则获得局部保护集L′＝L″₁∪L″₂，若L′₁∩L′₂≠{l^*}，则获得局部保护集L′＝L′₁∩L′₂，其中，

L′₁和L′₂各自包含的结点数目为n₁＝|L′₁|，n₂＝|L′₂|，L′₁和L′₂中的结点按照距离用户真实位置l^*升序的方式进行排序L′₁＝sort(L′₁,l^*)，L′₂＝sort(L′₂,l^*)，路网隐私模型M(·|·)在L′₁和L′₂上的可用性损失分别为UL₁＝Utility(M,L′₁)，UL₂＝Utility(M,L′₂)，head(A,n)表示集合A的前n个元素组成的集合。

优选地，步骤2.2还包括：抗贝叶斯后验攻击结点的条件BP(l′)为，若对于结点l′∈L存在l″∈L-l^*使得μ(l^*)M(l′|l^*)<μ(l″)M(l′|l″)，则l′为l^*的一个抗贝叶斯后验攻击结点；以及，抗最佳推断攻击结点的条件BI(l′)为：若对于结点l′∈L存在l″∈L-l^*使得∑_l∈LPr(l|l′)d_s(l,l″)<∑_l∈LPr(l|l′)d_s(l,l^*)，则l′为l^*的一个抗最佳推断攻击结点。

优选地，步骤2.4还包括：路网隐私模型M(·|·)在路网结点上的可用性损失的计算公式为Utility(M,L)＝∑_l,l′∈Lμ(l)M(l′|l)d_s(l,l′)。

本发明的有益效果在于，与现有技术相比，本发明基于路网信息、映射概率分布和用户在各个路网结点上的先验概率分布在路网中计算出可以防范贝叶斯后验攻击和最佳推断攻击的路网子区域，即局部保护集。在局部保护集上随机选择一个路网结点作为发布位置，使得数据可用性相对于全局匿名大大提高，并且还能有效防止攻击者通过贝叶斯后验攻击与最佳推断攻击逆推出用户真实位置。

附图说明

图1为本发明的一种基于局部保护集的路网环境位置匿名方法的系统架构图；

图2为本发明的一种基于局部保护集的路网环境位置匿名方法中构建局部保护集的流程图；

图3为本发明的一种基于局部保护集的路网环境位置匿名方法中路网的示意图；

图4为本发明的一种基于局部保护集的路网环境位置匿名方法中获得了局部保护集的路网的示意图。

具体实施方式

下面结合附图对本申请作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本申请的保护范围。

图1为本发明的一种基于局部保护集的路网环境位置匿名方法实施时的系统架构图。如图1所示，一种基于局部保护集的路网环境位置匿名方法是在用户及其本地设备和位置服务提供商之间实现的。该方法包括步骤1-3。其中，

步骤1，根据路网信息，利用路网模型将用户真实位置映射到最近路网结点上，并将最近路网结点作为用户初始路网结点位置。

优选地，路网信息G＝(L,E)存储于用户的本地客户端中，且路网信息中包括：标识路网中道路之间的交汇点即路网结点的L＝{l₁,l₂,…,l_n}，标识路网中的道路集合的E，标识两个结点间路网可达距离的d_s(l_i,l_j)，其中，n为路网结点数量，l_i和l_j为路网中任意两个结点，且i，j∈(1，2，…，n)。

优选地，路网模型中包括标识将位置从结点l_i映射至结点位置l_j的位置映射概率的路网隐私模型M(l_j|l_i)和标识映射到各路网结点上的用户真实位置的概率分布μ(·)。

具体的，标识映射到各路网结点上的用户真实位置的概率分布μ(·)包括路网结点L＝{l₁,l₂,…,l_n}中每一结点的概率分布；并且，对于任意路网结点l∈L的概率分布μ(l)，有μ(l)＝∑_a∈Ωpr(a)，其中，pr(·)为用户在路网平面上任意位置的概率，Ω为路网平面上的任意区域，a为区域中的任意位置，且a满足a到路网结点l的欧式距离小于a到L-l中任意路网结点的欧式距离，L-l为除l之外L中的任意路网结点。

根据步骤1中的上述方法，用户客户端可以基于路网信息和路网模型隐藏用户真实位置，将映射出的最近路网结点作为其初始路网结点位置。局部保护集则可以根据用户初始路网结点位置，为其构建保护集。

步骤2，利用路网信息和路网模型为用户初始路网结点位置构建局部保护集。

优选地，在本发明一实施例中，是基于贝叶斯后验攻击和最佳判断攻击为用户初始路网结点位置构建局部保护集的。

具体的，在贝叶斯后验攻击中，当发送至位置服务的用户虚拟位置为l′时，用户真实位置的概率为

且根据用户真实位置的概率推断出的用户真实位置/>

为/>

而在最佳推断攻击中，当发送至位置服务的用户虚拟位置为l′时，推断点和用户虚拟位置之间的距离为/>

且根据距离和用户真实位置的概率推断出的用户真实位置/>

为/>

图2为本发明的一种基于局部保护集的路网环境位置匿名方法中构建局部保护集的流程图。如图2所示，利用路网信息和路网模型为用户初始路网结点位置构建局部保护集具体还包括步骤2.1-2.4。其中，

步骤2.1，对攻击结点集合进行初始化，分别将抗贝叶斯后验攻击结点集合L′₁与抗最佳推断攻击结点集合L′₂设置为{l^*}，其中，l^*为最近路网结点。

步骤2.2，对于L-l^*中的任意结点l′，若l′满足抗贝叶斯后验攻击结点的条件，则将结点l′加入抗贝叶斯后验攻击结点集合L′₁中，若结点l′满足抗最佳推断攻击结点的条件，则将结点l′加入抗最佳推断攻击结点集合L′₂中。

优选地，抗贝叶斯后验攻击结点的条件BP(l′)为，若对于结点l′∈L存在l″∈L-l^*使得μ(l^*)M(l′|l^*)<μ(l″)M(l′|l″)，则l′为l^*的一个抗贝叶斯后验攻击结点。抗最佳推断攻击结点的条件BI(l′)为：若对于结点l′∈L存在l″∈L-l^*使得∑_l∈LPr(l|l′)d_s(l,l″)<∑_l∈LPr(l|l′)d_s(l,l^*)，则l′为l^*的一个抗最佳推断攻击结点。

步骤2.3，对抗贝叶斯后验攻击结点集合L′₁与抗最佳推断攻击结点集合L′₂取交集，并计算其取值L′₁∩L′₂。

步骤2.4，若L′₁∩L′₂＝{l^*}，则获得局部保护集L′＝L″₁∪L″₂，若L′₁∩L′₂≠{l^*}，则获得局部保护集L′＝L′₁∩L′₂，其中，

L′₁和L′₂各自包含的结点数目为n₁＝|L′₁|，n₂＝|L′₂|，L′₁和L′₂中的结点按照距离用户真实位置l^*升序的方式进行排序L′₁＝sort(L′₁,l^*)，L′₂＝sort(L′₂,l^*)，路网隐私模型M(·|·)在L′₁和L′₂上的可用性损失分别为UL₁＝Utility(M,L′₁)，UL₂＝Utility(M,L′₂)，head(A,n)表示集合A的前n个元素组成的集合。

优选地，路网隐私模型M(·|·)在路网结点上的可用性损失的计算公式为Utility(M,L)＝∑_l,l′∈Lμ(l)M(l′|l)d_s(l,l′)。

通过步骤2，可以为用户初始路网结点位置生成一个局部保护集，以对用户的真实位置信息进行保护。

步骤3，随机选择局部保护集中的任意一个结点位置并将结点位置作为代替用户真实位置的用户虚拟位置，发送至位置服务。

由于最后的用户虚拟位置是从保护集中随机选出的，所以攻击者在获取用户发布的位置后无法通过贝叶斯后验攻击或最佳推断攻击逆推出用户初始路网结点位置。最后，可将用户虚拟位置发送至位置服务的提供商。

本公开结合具体的实施例，对本发明的方法进行进一步阐述。

图3为本发明的一种基于局部保护集的路网环境位置匿名方法中路网的示意图。图4为本发明的一种基于局部保护集的路网环境位置匿名方法中获得了局部保护集的路网的示意图。如图3所示，路网环境由9个路网结点L＝{l₁,l₂,l₃,l₄,l₅,l₆,l₇,l₈,l₉}和11条公路边组成，每条边上的数字代表该公路的长度d_s(l_i,l_j)。路网隐私模型M(·|·)和用户在各个路网结点的先验概率分布μ(·)可以任意取定合理分布。例如，在本发明一实施例中，取

(l′,l″∈L)，表示l′映射到l″的概率等于l′到l″的可达距离比上l′到路网中所有结点可达距离之和；μ(·)取均匀分布，即/>

在上述路网环境的模型中，假设用户真实位置为l₇，在用户位于该位置时，向位置服务提供商发送位置服务请求，本地构建局部保护集。

首先，根据局部保护集的构建方法，初始化抗贝叶斯后验攻击结点集合L′₁与抗最佳推断攻击结点集合L′₂为L′₁＝L′₂＝{l₇}。

其次，遍历L-l₇中结点，取l₁，遍历L-l₇中的结点到l₈时，μ(l₇)M(l₁|l₇)＝0.016<μ(l₈)M(l₁|l₈)＝0.018，则l₁满足BP(l₁)条件，将l₁加入L′₁，同理循环结束可得L′₁＝{l₁,l₂,l₃,l₄,l₆,l₇,l₈,l₉}；再一次遍历L-l₇，可得到最终的抗最佳推断攻击结点集合L′₂＝{l₄,l₆,l₇,l₈,l₉}。

最后，当L′₁∩L′₂＝{l₄,l₆,l₇,l₈,l₉}≠{l₇}，可得局部保护集L′＝{l₄,l₆,l₇,l₈,l₉}。如图4所示，图中中特殊显示的结点即为用户位置l₇的局部保护集。在局部保护集中随机选择一个路网结点代替用户真实位置发送给位置服务提供商，攻击者使用贝叶斯后验攻击或者最佳推断攻击将无法在此路网上逆推出用户位置l₇。

本发明的有益效果在于，与现有技术相比，本发明基于路网信息、映射概率分布和用户在各个路网结点上的先验概率分布在路网中计算出可以防范贝叶斯后验攻击和最佳推断攻击的路网子区域，即局部保护集。在局部保护集上随机选择一个路网结点作为发布位置，使得数据可用性相对于全局匿名大大提高，并且还能有效防止攻击者通过贝叶斯后验攻击与最佳推断攻击逆推出用户真实位置。

本发明申请人结合说明书附图对本发明的实施示例做了详细的说明与描述，但是本领域技术人员应该理解，以上实施示例仅为本发明的优选实施方案，详尽的说明只是为了帮助读者更好地理解本发明精神，而并非对本发明保护范围的限制，相反，任何基于本发明的发明精神所作的任何改进或修饰都应当落在本发明的保护范围之内。

Claims (5)

1.一种基于局部保护集的路网环境位置匿名方法，其特征在于，所述方法包括以下步骤：

步骤1，根据路网信息，利用路网模型将用户真实位置映射到最近路网结点上，并将所述最近路网结点作为用户初始路网结点位置；其中，路网模型中包括标识将位置从结点l_i映射至结点位置l_j的位置映射概率的路网隐私模型M(l_j|l_i)和标识映射到各路网结点上的所述用户真实位置的概率分布μ(·)；

步骤2，利用路网信息和路网模型为所述用户初始路网结点位置构建局部保护集，其中还包括：

步骤2.1，对攻击结点集合进行初始化，分别将抗贝叶斯后验攻击结点集合L′₁与抗最佳推断攻击结点集合L′₂设置为{l^*}，其中，l^*为所述最近路网结点；

步骤2.2，对于L-l^*中的任意结点l′，若l′满足抗贝叶斯后验攻击结点的条件，则将所述结点l′加入所述抗贝叶斯后验攻击结点集合L′₁中，若所述结点l′满足抗最佳推断攻击结点的条件，则将所述结点l′加入所述抗最佳推断攻击结点集合L′₂中；

步骤2.3，对所述抗贝叶斯后验攻击结点集合L′₁与所述抗最佳推断攻击结点集合L′₂取交集，并计算其取值L′₁∩L′₂；

步骤2.4，若L′₁∩L′₂＝{l^*}，则获得局部保护集L′＝L″₁∪L″₂，若L′₁∩L′₂≠{l^*}，则获得局部保护集L′＝L′₁∩L′₂，其中，

L′₁和L′₂各自包含的结点数目为n₁＝|L′₁|，n₂＝|L′₂|，L′₁和L′₂中的结点按照距离所述用户真实位置l^*升序的方式进行排序L′₁＝sort(L′₁,l^*)，L′₂＝sort(L′₂,l^*)，路网隐私模型M(·|·)在L′₁和L′₂上的可用性损失分别为UL₁＝Utility(M,L′₁)，UL₂＝Utility(M,L′₂)，head(A,n)表示集合A的前n个元素组成的集合；

并且，在贝叶斯后验攻击中，当发送至位置服务的用户虚拟位置为l′时，所述用户真实位置的概率为

且根据所述用户真实位置的概率推断出的所述用户真实位置/>

为/>

在最佳推断攻击中，当发送至所述位置服务的所述用户虚拟位置为l′时，推断点和所述用户虚拟位置之间的距离为

且根据距离和所述用户真实位置的概率推断出的所述用户真实位置/>

为/>

步骤3，随机选择所述局部保护集中的任意一个结点位置并将所述结点位置作为代替用户真实位置的用户虚拟位置，发送至位置服务。

2.根据权利要求1所述的一种基于局部保护集的路网环境位置匿名方法，其特征在于，

所述步骤1中根据路网信息利用路网模型将用户真实位置映射到最近路网结点上并将所述最近路网结点作为用户初始路网结点位置还包括：

所述路网信息G＝(L,E)存储于用户的本地客户端中，且所述路网信息中包括：标识路网中道路之间的交汇点即路网结点的L＝{l₁,l₂,…,l_n}，标识路网中的道路集合的E，标识两个结点间路网可达距离的d_s(l_i,l_j)，其中，n为路网结点数量，l_i和l_j为路网中任意两个结点，且i，j∈(1，2，…，n)。

3.根据权利要求1所述的一种基于局部保护集的路网环境位置匿名方法，其特征在于，

所述步骤1中根据路网信息利用路网模型将用户真实位置映射到最近路网结点上并将所述最近路网结点作为用户初始路网结点位置还包括：

所述标识映射到各路网结点上的所述用户真实位置的概率分布μ(·)包括路网结点L＝{l₁,l₂,…,l_n}中每一结点的概率分布；并且，

对于任意路网结点l∈L的概率分布μ(l)，有μ(l)＝∑_a∈Ωpr(a)，其中，pr(·)为用户在路网平面上任意位置的概率，Ω为路网平面上的任意区域，a为所述区域中的任意位置，且a满足a到路网结点l的欧式距离小于a到L-l中任意路网结点的欧式距离，L-l为除l之外L中的任意路网结点。

4.根据权利要求3所述的一种基于局部保护集的路网环境位置匿名方法，其特征在于，

所述步骤2.2中还包括：

所述抗贝叶斯后验攻击结点的条件BP(l′)为，若对于结点l′∈L存在l″∈l-l^*使得μ(l^*)M(l′|l^*)<μ(l″)M(l′|l″)，则l′为l^*的一个抗贝叶斯后验攻击结点；以及，

所述抗最佳推断攻击结点的条件BI(l′)为：若对于结点l′∈L存在l″∈L-l^*使得∑_{l∈ L}Pr(l|l′)d_s(l,l″)<∑_l∈LPr(l|l′)d_s(l,l*)，则l′为l^*的一个抗最佳推断攻击结点。

5.根据权利要求4所述的一种基于局部保护集的路网环境位置匿名方法，其特征在于，

所述步骤2.4中还包括：

所述路网隐私模型M(·|·)在所述路网结点上的可用性损失的计算公式为Utiltiy(M,L)＝∑_l,l′∈Lμ(l)M(l′|l)d_s(l,l′)。

Images