CN112765659B - 针对大数据云服务的数据泄露防护方法及大数据服务器 - Google Patents

Abstract

本申请实施例公开了一种针对大数据云服务的数据泄露防护方法及大数据服务器，所述方法包括：结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果，基于预先确定的隐私防护指标的判定条件，确定针对原始用户属性数据的数据发布策略，这样可以基于数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据并进行发布。如此设计，能够避免不公开数据或者完全公开数据各自带来的弊端，进而实现对原始用户属性数据的匿名化发布，不仅可以确保正常的群体性的用户数据挖掘和分析，还能够考虑数据攻击方针对公开的数据的非法挖掘行为，以确保数据攻击方难以根据公开的用户数据精准地挖掘到个体隐私数据。

Description

针对大数据云服务的数据泄露防护方法及大数据服务器

技术领域

本申请涉及大数据信息安全技术领域，特别涉及一种针对大数据云服务的数据泄露防护方法及大数据服务器。

背景技术

在大数据的时代，数据成为了科学研究的基石。我们在享受着推荐算法、在线支付、语音识别、图像识别、无人驾驶、智慧城市、智慧医疗等智能的技术带来的便利的同时，数据在背后担任着驱动算法不断优化迭代的角色。在科学研究、产品开发、数据公开的过程中，算法模型需要收集和使用用户数据，在这过程中，数据就不可避免地暴露在外，从而引发公开的数据暴露用户隐私的问题。

现目前，国内外已发生多起数据泄露案例，如美国在线（American Online）隐私泄露事件以及Netflix预测算法的隐私过渡识别事件，这些数据隐私泄露事件不仅给数据服务商惹来了官司和赔偿，还侵犯了一些用户的隐私权。因此，如何保护用户的隐私数据是大数据时代亟需解决的一个技术问题。

发明内容

本申请实施例之一提供一种针对大数据云服务的数据泄露防护方法，应用于与多组用户业务终端通信的大数据服务器，所述方法包括：

结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果；其中，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤；

通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略；其中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理；

基于所述数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布。

对于一些优选的方案，结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果；其中，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤，包括：

获取包含当前目标业务用户标签的每组原始用户属性数据；针对所述每组原始用户属性数据，确定预设业务数据库中与该原始用户属性数据存在关联的关联用户属性数据的第一隐私防护置信度以及该关联用户属性数据对应的第一属性类别内容；

从每组关联用户属性数据中，选取第一数量的敏感用户属性数据；针对每组所述敏感用户属性数据对应的每组第一属性类别内容，根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度；

确定与群体隐私防护置信度最高的第二属性类别内容相对应的敏感用户属性数据的第二数量，根据所述第一数量、所述第二数量和预设的第一网络模型，确定所述第二属性类别内容对应的第二隐私防护置信度；

确定所述第二属性类别内容的敏感用户属性数据中最高的第三隐私防护置信度，根据所述第三隐私防护置信度以及所述第二隐私防护置信度，确定所述当前目标业务用户标签的当前隐私防护置信度；

所述通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略；其中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理，包括：根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略。

对于一些优选的方案，所述根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度包括：

根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度和预设的每组隐私防护指标对应的置信度范围，确定每组第一隐私防护置信度分别对应的目标隐私防护指标对应的置信度范围；

根据所述每组目标隐私防护指标对应的置信度范围与组体隐私防护置信度的隐私防护策略的分析结果，确定所述每组第一隐私防护置信度分别对应的关联隐私防护置信度，根据每组关联隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度；

所述从每组关联用户属性数据中，选取第一数量的敏感用户属性数据包括：

根据所述每组关联用户属性数据对应的第一隐私防护置信度对所述每组关联用户属性数据进行排序，按照第一隐私防护置信度由高到低的顺序，选取第一数量的敏感用户属性数据。

对于一些优选的方案，所述预先确定隐私防护指标的判定条件的过程包括：

获取预设数据防护时段内第三数量的关联用户属性数据的原始用户属性数据对应的匿名化区分度；

若所述原始用户属性数据对应的匿名化区分度不小于预先设置的原始用户属性数据对应的匿名化区分度阈值，则根据预先确定的第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果，确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；

若所述原始用户属性数据对应的匿名化区分度不大于预先设置的关联用户属性数据对应的匿名化区分度阈值，则根据预先确定的第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果，确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；

若所述原始用户属性数据对应的匿名化区分度大于预先设置的关联用户属性数据对应的匿名化区分度阈值且小于预先设置的原始用户属性数据对应的匿名化区分度阈值，则根据预先确定的所述第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果、所述第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果、所述原始用户属性数据对应的匿名化区分度、所述原始用户属性数据对应的匿名化区分度阈值、所述关联用户属性数据对应的匿名化区分度阈值，确定所述原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；其中，所述原始用户属性数据对应的匿名化区分度阈值大于所述关联用户属性数据对应的匿名化区分度阈值；

其中，预先确定第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果和第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果的过程包括：

根据确定的目标数据泄露反馈信息和预设的每组数据泄露反馈记录，确定所述目标数据泄露反馈信息对应的目标数据泄露反馈记录；

根据预先确定的每组数据泄露反馈记录与第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果和关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果的隐私防护策略的分析结果，确定所述目标数据泄露反馈记录对应的第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果和第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果；

其中，预先确定所述每组数据泄露反馈记录与第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果和关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果的隐私防护策略的分析结果的过程包括：

分别获取与预先设置的关联用户属性数据对应的匿名化区分度相匹配的第四数量的第一待处理用户属性数据和与预先设置的敏感用户属性数据对应的匿名化区分度相匹配的第五数量的第二待处理用户属性数据，所述关联用户属性数据对应的匿名化区分度大于敏感用户属性数据对应的匿名化区分度；

针对每组数据泄露反馈记录，基于所述第四数量的第一待处理用户属性数据，确定该数据泄露反馈记录对应的第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果；并基于所述第五数量的第二待处理用户属性数据，确定该数据泄露反馈记录对应的关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果；

其中，所述确定所述目标数据泄露反馈信息包括：根据预设的用户交互反馈信息、所述预设业务数据库中样本用户属性数据的数量以及预设数据防护时段内的数据访问记录，确定所述目标数据泄露反馈信息。

对于一些优选的方案，所述确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件之后，所述根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略之前，所述方法还包括：

确定第七数量的历史目标业务用户标签分别对应的历史隐私防护置信度，根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序，根据预设的划分策略确定每组隐私防护指标集合，其中，每组隐私防护指标集合包含一组第三目标隐私防护置信度和一组关联目标隐私防护置信度；

根据所述隐私防护指标的判定条件与任一所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度，确定所述隐私防护指标的判定条件所属的目标隐私防护指标集合；

根据所述目标隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度对所述隐私防护指标的判定条件进行优化，并基于优化后的隐私防护指标的判定条件，进行后续根据所述当前隐私防护置信度和预先确定的优化后的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略的步骤。

对于一些优选的方案，所述根据预设的划分策略确定每组隐私防护指标集合之后，所述根据所述隐私防护指标的判定条件与任一所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度，确定所述隐私防护指标的判定条件所属的目标隐私防护指标集合之前，所述方法还包括：

确定每组所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度的差异比较结果，根据所述差异比较结果对应的置信度差值对每组隐私防护指标集合进行排序，按照差异比较结果由高到低的顺序，依次进行后续步骤。

对于一些优选的方案，所述确定第七数量的历史目标业务用户标签分别对应的历史隐私防护置信度之后，根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序之前，所述方法还包括：

判断是否满足预先设置的划分策略触发条件；

若满足预先设置的划分策略触发条件，则进行后续步骤；

若不满足预先设置的划分策略触发条件，则在满足预先设置的划分策略触发条件后，确定该划分策略触发条件内，获取的第八数量的历史目标业务用户标签分别对应的历史隐私防护置信度；所述根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序包括：根据历史隐私防护置信度的时效修正结果对第八数量的每组历史隐私防护置信度进行排序。

对于一些优选的方案，根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略，包括：

获取所述隐私防护指标的判定条件中的匿名化识别记录；

通过匿名化识别记录中的隐私攻击行为对应的事项记录，确定已发布的公开属性数据的第一数据片段内容；通过匿名化识别记录中的数据遮挡行为对应的事项记录，基于所述第一数据片段内容，获取所述公开属性数据中的属性画像为全局特征画像的解析结果及为局部特征画像的解析结果；通过匿名化识别记录中的身份重识别行为对应的事项记录，基于所述第一数据片段内容，确定所述公开属性数据中的属性画像为局部特征画像时，各关键画像标签与局部特征画像的内容匹配结果及时效配对结果；

根据所述公开属性数据中的属性画像为全局特征画像的解析结果及为局部特征画像的解析结果，确定公开属性数据中目标局部特征画像的画像类别及潜在标签信息，并根据所述公开属性数据中对应的属性画像为局部特征画像时，各关键画像标签与局部特征画像的内容匹配结果及时效配对结果，确定当前隐私防护置信度对应的各关键画像标签与所述目标局部特征画像的内容匹配结果及时效配对结果，根据所述全局特征画像的目标局部特征画像及当前隐私防护置信度对应的各关键画像标签与所述目标局部特征画像的内容匹配结果及时效配对结果，确定当前隐私防护置信度对应的各关键画像标签的潜在标签信息；

基于确定的当前隐私防护置信度对应的各关键画像标签的潜在标签信息，确定所述原始用户属性数据对应的数据拆分指示信息；根据所述数据拆分指示信息对所述原始用户属性数据进行数据拆分，得到所述原始用户属性数据对应的拆分结果；确定当前隐私防护置信度相对于所述拆分结果中的每个拆分片段的映射置信度，根据所述映射置信度以及公开属性数据中目标局部特征画像的画像类别确定针对所述拆分片段的数据隐藏策略，通过所述数据隐藏策略确定针对所述原始用户属性数据的数据发布策略。

本申请实施例之一提供一种大数据服务器，包括处理引擎、网络模块和存储器；所述处理引擎和所述存储器通过所述网络模块通信，所述处理引擎从所述存储器中读取计算机程序并运行，以执行上述的方法。

本申请实施例之一提供一种计算机存储介质，其上存储有计算机程序，所述计算机程序在运行时实现上述的方法。

在后面的描述中，将部分地陈述其他的特征。在检查后面内容和附图时，本领域的技术人员将部分地发现这些特征，或者可以通过生产或运用了解到这些特征。通过实践或使用后面所述详细示例中列出的方法、工具和组合的各个方面，当前申请中的特征可以被实现和获得。

附图说明

本申请将以示例性实施例的方式进一步说明，这些示例性实施例将通过附图进行详细描述。这些实施例并非限制性的，在这些实施例中，相同的编号表示相同的结构，其中：

图1是根据本发明的一些实施例所示的一种示例性针对大数据云服务的数据泄露防护方法和/或过程的流程图；

图2是根据本发明的一些实施例所示的一种示例性针对大数据云服务的数据泄露防护装置的框图；

图3是根据本发明的一些实施例所示的一种示例性针对大数据云服务的数据泄露防护系统的框图，以及

图4是根据本发明的一些实施例所示的一种示例性大数据服务器中硬件和软件组成的示意图。

具体实施方式

为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本申请的一些示例或实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图将本申请应用于其它类似情景。除非从语言环境中显而易见或另做说明，图中相同标号代表相同结构或操作。

应当理解，本文使用的“系统”、“装置”、“单元”和/或“模组”是用于区分不同级别的不同组件、元件、部件、部分或装配的一种方法。然而，如果其他词语可实现相同的目的，则可通过其他表达来替换所述词语。

如本申请和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其它的步骤或元素。

本申请中使用了流程图用来说明根据本申请的实施例的系统所执行的操作。应当理解的是，前面或后面操作不一定按照顺序来精确地执行。相反，可以按照倒序或同时处理各个步骤。同时，也可以将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。

发明人经研究和分析发现，虽然现目前需要进行用户隐私数据的保护，但是在一些情况下，需要对用户数据进行一定程度的公开，以满足一些群体性的用户分析，从而提高后续的业务服务质量。一般而言，大数据服务器中存储的用户数据是需要经过授权才能公开的，如果为了保护用户隐私数据而选择不公开全部的用户数据，可能会影响正常的群体性的用户数据挖掘和分析，如果为了确保正常的群体性的用户数据挖掘和分析而公开全部用户数据，可能会导致用户隐私数据的泄露，因此，为了在满足一些正常的业务需求的前提下保护用户隐私数据，需要对用户数据进行部分公开，而部分公开则需要考虑数据攻击方针对公开的数据的非法挖掘行为，以确保数据攻击方难以根据公开的用户数据精准地挖掘到个体隐私数据。

针对上述问题，发明人针对性地提出了针对大数据云服务的数据泄露防护方法及大数据服务器，能够结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果，进而基于预先确定的隐私防护指标的判定条件，确定针对原始用户属性数据的数据发布策略，这样可以基于数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据并进行发布，如此设计，能够避免不公开数据或者完全公开数据各自带来的弊端，进而实现对原始用户属性数据的匿名化发布，不仅可以确保正常的群体性的用户数据挖掘和分析，还能够考虑数据攻击方针对公开的数据的非法挖掘行为，以确保数据攻击方难以根据公开的用户数据精准地挖掘到个体隐私数据。

首先，对针对大数据云服务的数据泄露防护方法进行示例性的说明，请参阅图1，是根据本发明的一些实施例所示的一种示例性针对大数据云服务的数据泄露防护方法和/或过程的流程图，针对大数据云服务的数据泄露防护方法可以包括以下步骤S101-步骤S301所描述的技术方案，该技术方案可以应用于与多组用户业务终端通信的大数据服务器。

步骤S101，结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果。

在本方案中，预设业务数据库可以是与大数据服务器通信的数据库，预设业务数据库同样用于存储用户属性数据，预设业务数据库可以与大数据服务器之间进行独立的数据交互。换句话说，预设业务数据库可以是大数据服务器对应专属数据库，预设业务数据库中的用户属性数据不对外开放。进一步地，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤。在本实施例中，用户属性数据可以包括姓名、地址、电话等等数据，这些内容需要在公开数据的时候删掉，这些数据一般是个体的唯一标示。此外，用户属性数据还可以包括邮编、年龄、生日、性别等不是唯一的数据，这些数据可以用于进行群体性的用户数据分析和挖掘。进一步地，隐私防护置信度用于表征不同用户属性数据在隐私防护层面的重要程度和可信度，隐私防护置信度可以通过用户属性数据的模拟攻击检测得到，一般而言，隐私防护置信度的取值范围为(0,1]。隐私防护分析结果则用于为原始用户属性数据的匿名化处理提供决策依据，进而确保匿名化处理能够同时考虑群体业务挖掘需求以及个体隐私数据保护。

为了实现对不同用户属性数据的精准区分并确保隐私防护分析结果与原始用户属性数据的高度匹配，结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果，进一步可以包括以下步骤S111-步骤S113所描述的内容。

步骤S111，获取包含当前目标业务用户标签的每组原始用户属性数据；针对所述每组原始用户属性数据，确定预设业务数据库中与该原始用户属性数据存在关联的关联用户属性数据的第一隐私防护置信度以及该关联用户属性数据对应的第一属性类别内容。在本实施例中，当前目标业务用户标签可以是预先识别出的可能会被数据攻击方攻击的业务用户对应的标签，该标签可以用于对业务用户进行区分。进一步地，属性类别内容用于对不同的用户属性数据进行分类，属性类别内容可以是文本内容或者图像内容，在此不作限定。

步骤S112，从每组关联用户属性数据中，选取第一数量的敏感用户属性数据，具体包括：根据所述每组关联用户属性数据对应的第一隐私防护置信度对所述每组关联用户属性数据进行排序，按照第一隐私防护置信度由高到低的顺序，选取第一数量的敏感用户属性数据；针对每组所述敏感用户属性数据对应的每组第一属性类别内容，根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度。在本方案中，铭感用户属性数据可以是具有较高的区分度的且具有较高隐私保护度的用户属性数据，比如购买偏好数据、用户画像数据，可以理解，敏感用户属性数据更加偏向于群体业务需求层面。

为了确保群体隐私防护置信度的准确性，所述根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度包括：根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度和预设的每组隐私防护指标对应的置信度范围，确定每组第一隐私防护置信度分别对应的目标隐私防护指标对应的置信度范围；根据所述每组目标隐私防护指标对应的置信度范围与组体隐私防护置信度的隐私防护策略的分析结果，确定所述每组第一隐私防护置信度分别对应的关联隐私防护置信度，根据每组关联隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度。在本方案中，群体隐私防护置信度用于表征第一属性类别内容针对群体用户而言的隐私防护置信度，群体隐私防护置信度能够建立不同用户属性数据之间的隐私防护置信度之间的关联路径，从而确保从整体上实现隐私防护。

步骤S113，确定与群体隐私防护置信度最高的第二属性类别内容相对应的敏感用户属性数据的第二数量，根据所述第一数量、所述第二数量和预设的第一网络模型，确定所述第二属性类别内容对应的第二隐私防护置信度；确定所述第二属性类别内容的敏感用户属性数据中最高的第三隐私防护置信度，根据所述第三隐私防护置信度以及所述第二隐私防护置信度，确定所述当前目标业务用户标签的当前隐私防护置信度。在本方案中，当前目标业务用户标签的当前隐私防护置信度用于对原始用户属性数据进行全局性的隐私防护评价，当前隐私防护置信度越高，则表明原始用户属性数据的隐私防护重要性越高，在后续进行匿名化处理时，需要更加偏向于隐私数据保护。当前隐私防护置信度越低，则表明原始用户属性数据的隐私防护重要性越低，在后续进行匿名化处理时，需要更加偏向于数据公开。

步骤S201，通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略。

在本方案中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理，从而确保数据隐私防护和群体业务分析需求之间的平衡。在步骤S111-步骤S113的基础上，所述通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略，包括：根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略。

在本方案中，隐私防护指标的判定条件用于对数据隐私防护和群体业务分析需求之间的平衡进行权衡，从而确保数据发布策略尽可能符合实际的业务情况。进一步地，隐私防护指标的判定条件的一个关键要素是匿名化区分度，匿名化区分度可以理解为用户属性数据在匿名化之后对外界而言的区分程度，比如，当用户属性数据data1为邮编XXXXXX时，匿名化之前为邮编XXXXXX，匿名化之后为邮编XXXXX*，在这种情况下，用户属性数据data1的匿名化区分度较高（比如可以为0.8）。又比如，当用户属性数据data2为地址YYY时，匿名化之前为地址YYY，匿名化之后为地址Y**，在这种情况下，用户属性数据data2的匿名化区分度较低（比如可以为0.1），如此一来，能够基于匿名化区分度确保隐私防护指标的判定条件的可信度。

在上述基础上，预先确定隐私防护指标的判定条件的过程可以包括以下步骤（1）-步骤（4）。

（1）获取预设数据防护时段内第三数量的关联用户属性数据的原始用户属性数据对应的匿名化区分度。

（2）若所述原始用户属性数据对应的匿名化区分度不小于预先设置的原始用户属性数据对应的匿名化区分度阈值，则根据预先确定的第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果，确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件。

（3）若所述原始用户属性数据对应的匿名化区分度不大于预先设置的关联用户属性数据对应的匿名化区分度阈值，则根据预先确定的第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果，确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件。

（4）若所述原始用户属性数据对应的匿名化区分度大于预先设置的关联用户属性数据对应的匿名化区分度阈值且小于预先设置的原始用户属性数据对应的匿名化区分度阈值，则根据预先确定的所述第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果、所述第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果、所述原始用户属性数据对应的匿名化区分度、所述原始用户属性数据对应的匿名化区分度阈值、所述关联用户属性数据对应的匿名化区分度阈值，确定所述原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；其中，所述原始用户属性数据对应的匿名化区分度阈值大于所述关联用户属性数据对应的匿名化区分度阈值。

可以理解，上述步骤（2）-（4）给出了三种确定隐私防护指标的判定条件的实施方式，这三种实施方式是择一实施的，比如，所述原始用户属性数据对应的匿名化区分度阈值可以为0.8，所述关联用户属性数据对应的匿名化区分度阈值可以为0.6，如此设计，能够将原始用户属性数据以及关联用户属性数据各自的匿名化区分度考虑在内，从而确保隐私防护指标的判定条件的完整性。

在上述步骤的基础上，预先确定第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果和第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果的过程，可以包括：根据确定的目标数据泄露反馈信息和预设的每组数据泄露反馈记录，确定所述目标数据泄露反馈信息对应的目标数据泄露反馈记录；根据预先确定的每组数据泄露反馈记录与第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果和关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果的隐私防护策略的分析结果，确定所述目标数据泄露反馈记录对应的第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果和第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果。在本方案中，所述目标数据泄露反馈信息的确定方式可以如下：根据预设的用户交互反馈信息、所述预设业务数据库中样本用户属性数据的数量以及预设数据防护时段内的数据访问记录，确定所述目标数据泄露反馈信息。进一步地，数据泄露反馈信息和数据泄露反馈记录可以从已发生数据泄露的业务事件提取，在此不作赘述。

在上述步骤的基础上，预先确定所述每组数据泄露反馈记录与第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果和关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果的隐私防护策略的分析结果的过程包括：分别获取与预先设置的关联用户属性数据对应的匿名化区分度相匹配的第四数量的第一待处理用户属性数据和与预先设置的敏感用户属性数据对应的匿名化区分度相匹配的第五数量的第二待处理用户属性数据，所述关联用户属性数据对应的匿名化区分度大于敏感用户属性数据对应的匿名化区分度；针对每组数据泄露反馈记录，基于所述第四数量的第一待处理用户属性数据，确定该数据泄露反馈记录对应的第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果；并基于所述第五数量的第二待处理用户属性数据，确定该数据泄露反馈记录对应的关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果。

在上述方案中，数据隐私重要性的统计结果可以理解为隐私防护指标的判定条件对应的数据隐私重要度，数据隐私重要度用于表征数据泄露之后的用户损失评估，数据隐私重要度的取值范围可以是[0,1]。比如，若隐私防护指标的判定条件是针对用户资金安全的，那么数据隐私重要度可以是0.95，又比如，若隐私防护指标的判定条件是针对用户联系方式的，那么数据隐私重要度可以是0.7。

为了确保隐私防护指标的判定条件的时效性，在一些可选的实施方式中，在步骤（3）所描述的确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件之后，并在根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略之前，所述方法还可以包括以下步骤a-步骤c。

步骤a，确定第七数量的历史目标业务用户标签分别对应的历史隐私防护置信度，根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序，根据预设的划分策略确定每组隐私防护指标集合，其中，每组隐私防护指标集合包含一组第三目标隐私防护置信度和一组关联目标隐私防护置信度。

步骤b，根据所述隐私防护指标的判定条件与任一所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度，确定所述隐私防护指标的判定条件所属的目标隐私防护指标集合。

步骤c，根据所述目标隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度对所述隐私防护指标的判定条件进行优化，并基于优化后的隐私防护指标的判定条件，进行后续根据所述当前隐私防护置信度和预先确定的优化后的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略的步骤。

可选地，在步骤a所描述的根据预设的划分策略确定每组隐私防护指标集合之后，且在步骤b所描述的根据所述隐私防护指标的判定条件与任一所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度，确定所述隐私防护指标的判定条件所属的目标隐私防护指标集合之前，所述方法还可以包括以下内容：确定每组所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度的差异比较结果，根据所述差异比较结果对应的置信度差值对每组隐私防护指标集合进行排序，按照差异比较结果由高到低的顺序，依次进行后续步骤。

可选地，在步骤a所描述的确定第七数量的历史目标业务用户标签分别对应的历史隐私防护置信度之后，且在步骤a所描述的根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序之前，所述方法还包括：判断是否满足预先设置的划分策略触发条件；若满足预先设置的划分策略触发条件，则进行后续步骤；若不满足预先设置的划分策略触发条件，则在满足预先设置的划分策略触发条件后，确定该划分策略触发条件内，获取的第八数量的历史目标业务用户标签分别对应的历史隐私防护置信度。基于此，步骤a中所描述的所述根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序包括：根据历史隐私防护置信度的时效修正结果对第八数量的每组历史隐私防护置信度进行排序。

为了确保数据发布策略与原始用户属性数据的高度匹配，步骤S201中所描述的根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略，可以包括以下步骤S221-步骤S224所描述的内容。

步骤S221，获取所述隐私防护指标的判定条件中的匿名化识别记录。

在本方案中，匿名化识别记录可以包括之前的一些列匿名化操作事件，比如对哪些数据进行匿名化处理。

步骤S222，通过匿名化识别记录中的隐私攻击行为对应的事项记录，确定已发布的公开属性数据的第一数据片段内容；通过匿名化识别记录中的数据遮挡行为对应的事项记录，基于所述第一数据片段内容，获取所述公开属性数据中的属性画像为全局特征画像的解析结果及为局部特征画像的解析结果；通过匿名化识别记录中的身份重识别行为对应的事项记录，基于所述第一数据片段内容，确定所述公开属性数据中的属性画像为局部特征画像时，各关键画像标签与局部特征画像的内容匹配结果及时效配对结果。

在本方案中，隐私攻击行为对应的事项记录可以是根据攻击行为数据得到的记录，数据遮挡行为对应的事项记录可以是根据不同的用户属性数据的匿名化结果得到的，各关键画像标签可以对应公开属性数据中的部分属性画像，内容匹配结果可以通过现有的相似度计算方式得到，时效配对结果可以根据关键画像标签以及局部特征画像的更新频率计算得到。

步骤S233，根据所述公开属性数据中的属性画像为全局特征画像的解析结果及为局部特征画像的解析结果，确定公开属性数据中目标局部特征画像的画像类别及潜在标签信息，并根据所述公开属性数据中对应的属性画像为局部特征画像时，各关键画像标签与局部特征画像的内容匹配结果及时效配对结果，确定当前隐私防护置信度对应的各关键画像标签与所述目标局部特征画像的内容匹配结果及时效配对结果，根据所述全局特征画像的目标局部特征画像及当前隐私防护置信度对应的各关键画像标签与所述目标局部特征画像的内容匹配结果及时效配对结果，确定当前隐私防护置信度对应的各关键画像标签的潜在标签信息。

在本方案中，潜在标签信息可以是通过关键画像标签进行挖掘和追溯得到的，潜在标签信息能够反映关键画像标签的更多的信息。

步骤S224，基于确定的当前隐私防护置信度对应的各关键画像标签的潜在标签信息，确定所述原始用户属性数据对应的数据拆分指示信息；根据所述数据拆分指示信息对所述原始用户属性数据进行数据拆分，得到所述原始用户属性数据对应的拆分结果；确定当前隐私防护置信度相对于所述拆分结果中的每个拆分片段的映射置信度，根据所述映射置信度以及公开属性数据中目标局部特征画像的画像类别确定针对所述拆分片段的数据隐藏策略，通过所述数据隐藏策略确定针对所述原始用户属性数据的数据发布策略。

例如，可以根据公开属性数据中目标局部特征画像的画像类别对每个拆分片段的映射置信度进行加权，得到每个拆分片段的加权置信度，按照加权置信度由大到小的顺序确定对应的拆分片段的数据隐藏策略。比如加权置信度较大的拆分片段的数据隐藏占比较大，加权置信度较小的拆分片段的数据隐藏占比较小。

如此设计，通过对不同的拆分片段的数据隐藏策略进行分析，能够确保数据发布策略与原始用户属性数据的高度匹配。

步骤S301，基于所述数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布。

在实际实施过程中，可以将待发布数据发布到指定的数据平台上以供经过授权的数据服务商使用，由于待发布数据是经过部分匿名化处理的，因而能够保障用户的隐私安全。对于一组待发布数据而言，如果攻击者想确认一个人（小明）的敏感信息（购买偏好），通过查询他的年龄、邮编和性别，攻击者会发现数据里至少有两个人是有相同的年龄、邮编和性别。这样攻击者就没办法区分这两条数据到底哪个是小明了，从而也就保证了小明的隐私不会被泄露。

为了确保数据攻击方难以根据已发布的数据获得用户的隐私数据，进而在确保正常数据公开的前提下避免用户隐私数据泄露，需要在数据遮挡/隐藏和群体用户数据的公开程度之间寻找一个平衡，为实现这一目的，步骤S301所描述的基于所述数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布，可以包括以下步骤S311-步骤S314所描述的内容。

步骤S311，根据所述数据发布策略获取数据隐藏指示信息序列，其中，所述数据隐藏指示信息序列包括互不相同的N组数据隐藏指示信息，所述N为大于1的整数。

步骤S312，根据所述数据隐藏指示信息序列获取数据公开指示信息序列，其中，所述数据公开指示信息序列包括互不相同的N组数据公开指示信息。

步骤S313，基于所述数据隐藏指示信息序列，通过数据隐藏评价网络所包括的第一数据挖掘子网络获取数据隐藏对抗特征序列，其中，所述数据隐藏对抗特征序列包括N个数据隐藏对抗特征。

步骤S314，基于所述数据公开指示信息序列，通过所述数据隐藏评价网络所包括的第二数据挖掘子网络获取数据公开对抗特征序列，其中，所述数据公开对抗特征序列包括N个数据公开对抗特征。

在步骤S313和步骤S314中，数据隐藏对抗特征和数据公开对抗特征是一一对应的，在本方案中，对抗特征可以用于表征数据隐藏指示信息和数据公开指示信息之间的互相影响程度。

步骤S315，基于所述数据隐藏对抗特征序列以及所述数据公开对抗特征序列，通过所述数据隐藏评价网络所包括的公开需求识别子网络获取所述数据隐藏指示信息序列所对应的匿名化处理事项。

在本实施例中，匿名化处理事项用于指示对哪些用户属性数据进行匿名化处理，比如，用户属性数据可以包括：“唐某”、“邮编XXXX”、“年龄”、“生日”、“性别”、“地址”、“电话”、“购买偏好”、“薪水”以及“奔驰E系”等。进一步地，匿名化处理事项可以是“将姓名替换为**”，“将邮编替换为XXX*”，“将地址和电话替换为乱码###”，如此设计，能够确保数据攻击方难以根据已发布的数据获得用户的隐私数据，进而在确保正常数据公开的前提下避免用户隐私数据泄露。

进一步地，该步骤可以通过以下两种实施方式实现，当然，在实际实施过程中，并不限于以下两种实施方式。

实施方式一，基于所述数据隐藏对抗特征序列，通过所述数据隐藏评价网络所包括的第一隐私标签识别层获取N个第一隐私属性标签，其中，每个第一隐私属性标签对应于一个数据隐藏对抗特征。基于所述数据公开对抗特征序列，通过所述数据隐藏评价网络所包括的第二隐私标签识别层获取N个第二隐私属性标签，其中，每个第二隐私属性标签对应于一个数据公开对抗特征。对所述N个第一隐私属性标签以及所述N个第二隐私属性标签进行标签融合，得到N个目标隐私属性标签，其中，每个目标隐私属性标签包括一个第一隐私属性标签以及一个第二隐私属性标签。基于所述N个目标隐私属性标签，通过所述数据隐藏评价网络所包括的隐私标签筛选层获取已筛选的隐私属性标签，其中，所述已筛选的隐私属性标签为根据所述N个目标隐私属性标签以及N个对抗权重确定的，每个目标隐私属性标签对应于一个对抗权重。基于所述已筛选的隐私属性标签，通过所述数据隐藏评价网络所包括的公开需求识别子网络获取所述数据隐藏指示信息序列所对应的匿名化处理事项。

实施方式二，基于所述数据隐藏对抗特征序列，通过所述数据隐藏评价网络所包括的第一业务行为识别层获取N个第一隐私属性标签，其中，每个第一隐私属性标签对应于一个数据隐藏对抗特征。基于所述数据公开对抗特征序列，通过所述数据隐藏评价网络所包括的第二业务行为识别层获取N个第二隐私属性标签，其中，每个第二隐私属性标签对应于一个数据公开对抗特征。对所述N个第一隐私属性标签以及所述N个第二隐私属性标签进行标签融合，得到N个目标隐私属性标签，其中，每个目标隐私属性标签包括一个第一隐私属性标签以及一个第二隐私属性标签。基于所述N个目标隐私属性标签，通过所述数据隐藏评价网络所包括的所述公开需求识别子网络获取所述数据隐藏指示信息序列所对应的匿名化处理事项。

步骤S316，根据所述匿名化处理事项对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布。

可以理解，可以将待发布数据发布到相关的数据平台，这些数据平台对于一些数据分析和数据挖掘的服务商而言是公开的，数据分析和数据挖掘的服务商能够基于这些待发布数据进行群体用户画像的分析，进而挖掘出有价值的信息，此外，由于待发布数据是经过匿名处理的，因此数据攻击方法难以根据这些数据精准地挖掘出用户的隐私数据（比如个体姓名、个体偏好等），这样一来，能够在数据遮挡/隐藏和群体用户数据的公开程度之间寻找一个平衡，确保数据攻击方难以根据已发布的数据获得用户的隐私数据，进而在确保正常数据公开的前提下避免用户隐私数据泄露。

可以理解，上述所提到的网络、模型可以理解为神经网络模型，这类模型可以包括多个不同的子网络或者功能层，关于神经网络模型的训练和调参过程（亦或者训练终止条件）均有较为成熟的技术，可以通过相关专利或者文献得到，因此在此不作赘述。

其次，针对上述针对大数据云服务的数据泄露防护方法，本发明实施例还提出了一种示例性的针对大数据云服务的数据泄露防护装置，如图2所示，针对大数据云服务的数据泄露防护装置200可以包括以下的功能模块。

隐私防护分析模块210，用于结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果；其中，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤。

数据发布确定模块220，用于通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略；其中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理。

数据匿名处理模块230，用于基于所述数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布。

可以理解，上述模块的说明可以参阅对图1所示的方法的说明，在此不作赘述。

然后，基于上述的方法实施例和装置实施例，本发明实施例还提出了一种系统实施例，也即针对大数据云服务的数据泄露防护系统，请结合参阅图3，针对大数据云服务的数据泄露防护系统30可以包括大数据服务器10和用户业务终端20。其中，大数据服务器10和用户业务终端20通信用以实施上述方法，进一步地，针对大数据云服务的数据泄露防护系统30的功能性描述如下：一种针对大数据云服务的数据泄露防护系统，包括大数据服务器以及多组用户业务终端，所述大数据服务器与所述多组用户业务终端通信连接，所述大数据服务器用于：结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果；其中，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤；通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略；其中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理；基于所述数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布。

进一步地，请结合参阅图4，大数据服务器10可以包括处理引擎110、网络模块120和存储器130，处理引擎110和存储器130通过网络模块120通信。

处理引擎110可以处理相关的信息和/或数据以执行本申请中描述的一个或多个功能。例如，在一些实施例中，处理引擎110可以包括至少一个处理引擎(例如，单核处理引擎或多核处理器)。仅作为示例，处理引擎110可以包括中央处理单元(Central ProcessingUnit，CPU)、专用集成电路(Application-Specific Integrated Circuit，ASIC)、专用指令集处理器(Application-Specific Instruction-set Processor，ASIP)、图形处理单元(Graphics Processing Unit，GPU)、物理处理单元(Physics Processing Unit，PPU)、数字信号处理器(Digital Signal Processor，DSP)、现场可编程门阵列(Field ProgrammableGate Array，FPGA)、可编程逻辑器件(Programmable Logic Device，PLD)、控制器、微控制器单元、精简指令集计算机(Reduced Instruction-Set Computer，RISC)、微处理器等或其任意组合。

网络模块120可以促进信息和/或数据的交换。在一些实施例中，网络模块120可以是任何类型的有线或无线网络或其组合。仅作为示例，网络模块120可以包括缆线网络、有线网络、光纤网络、电信网络、内部网络、互联网、局域网络(Local Area Network，LAN)、广域网(Wide Area Network，WAN)、无线局域网络(Wireless Local Area Network，WLAN)、城域网(Metropolitan Area Network，MAN)、公用电话交换网(Public Telephone SwitchedNetwork，PSTN)、蓝牙网络、无线个域网络、近场通讯(Near Field Communication，NFC)网络等或上述举例的任意组合。在一些实施例中，网络模块120可以包括至少一个网络接入点。例如，网络模块120可以包括有线或无线网路接入点，如基站和/或网路接入点。

存储器130可以是，但不限于，随机存取存储器（Random Access Memory，RAM），只读存储器（Read Only Memory，ROM），可编程只读存储器（Programmable Read-OnlyMemory，PROM），可擦除只读存储器（Erasable Programmable Read-Only Memory，EPROM），电可擦除只读存储器（Electric Erasable Programmable Read-Only Memory，EEPROM）等。其中，存储器130用于存储程序，所述处理引擎110在接收到执行指令后，执行所述程序。

可以理解，图4所示的结构仅为示意，大数据服务器10还可包括比图2中所示更多或者更少的组件，或者具有与图4所示不同的配置。图4中所示的各组件可以采用硬件、软件或其组合实现。

需要理解的是，针对上述内容，本领域技术人员可以根据上述所公开的内容进行前后推导毫无疑义地确定相关技术术语所指代的含义，例如针对一些值、系数、权重、指数、因子等术语，本领域技术人员可以根据前后的逻辑关系进行推导和确定，这些数值的取值范围可以根据实际情况进行选取，例如0~1，又例如1~10，再例如50~100，在此均不作限定。

本领域技术人员可以根据上述已公开的内容毫无疑义对一些预设的、基准的、预定的、设定的以及目标的技术特征/技术术语进行确定，例如阈值、阈值区间、阈值范围等。对于一些未作解释的技术特征术语，本领域技术人员完全能够基于前后文的逻辑关系进行合理地、毫无疑义地推导，从而清楚、完整地实施上述技术方案。未作解释的技术特征术语的前缀，例如“第一”、“第二”、“上一个”、“下一个”、“前一个”、“后一个”、“当前”、“历史”、“最新”、“最佳”、“目标”、“指定”和“实时”等，可以根据前后文进行毫无疑义地推导和确定。未作解释的技术特征术语的后缀，例如“列表”、“特征”、“序列”、“集合”、“矩阵”、“单元”、“元素”、“轨迹”和“清单”等，也可以根据前后文进行毫无疑义地推导和确定。

本发明实施例公开的上述内容对于本领域技术人员而言是清楚完整的。应当理解，本领域技术人员基于上述公开的内容对未作解释的技术术语进行推导和分析的过程是基于本申请所记载的内容进行的，因此上述内容并不是对整体方案的创造性的评判。

应当理解，上述所示的系统及其模块可以利用各种方式来实现。例如，在一些实施例中，系统及其模块可以通过硬件、软件或者软件和硬件的结合来实现。其中，硬件部分可以利用专用逻辑来实现；软件部分则可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域技术人员可以理解上述的方法和系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本申请的系统及其模块不仅可以有诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用例如由各种类型的处理器所执行的软件实现，还可以由上述硬件电路和软件的结合(例如，固件)来实现。

需要说明的是，不同实施例可能产生的有益效果不同，在不同的实施例里，可能产生的有益效果可以是以上任意一种或几种的组合，也可以是其他任何可能获得的有益效果。

上文已对基本概念做了描述，显然，对于本领域技术人员来说，上述详细披露仅仅作为示例，而并不构成对本申请的限定。虽然此处并没有明确说明，本领域技术人员可能会对本申请进行各种修改、改进和修正。该类修改、改进和修正在本申请中被建议，所以该类修改、改进、修正仍属于本申请示范实施例的精神和范围。

同时，本申请使用了特定词语来描述本申请的实施例。如“一个实施例”、“一实施例”、和/或“一些实施例”意指与本申请至少一个实施例相关的某一特征、结构或特点。因此，应强调并注意的是，本说明书中在不同位置两次或多次提及的“一实施例”或“一个实施例”或“一个替代性实施例”并不一定是指同一实施例。此外，本申请的一个或多个实施例中的某些特征、结构或特点可以进行适当的组合。

此外，本领域技术人员可以理解，本申请的各方面可以通过若干具有可专利性的种类或情况进行说明和描述，包括任何新的和有用的工序、机器、产品或物质的组合，或对他们的任何新的和有用的改进。相应地，本申请的各个方面可以完全由硬件执行、可以完全由软件(包括固件、常驻软件、微码等)执行、也可以由硬件和软件组合执行。以上硬件或软件均可被称为“数据块”、“模块”、“引擎”、“单元”、“组件”或“系统”。此外，本申请的各方面可能表现为位于一个或多个计算机可读介质中的计算机产品，该产品包括计算机可读程序编码。

计算机存储介质可能包含一个内含有计算机程序编码的传播数据信号，例如在基带上或作为载波的一部分。该传播信号可能有多种表现形式，包括电磁形式、光形式等，或合适的组合形式。计算机存储介质可以是除计算机可读存储介质之外的任何计算机可读介质，该介质可以通过连接至一个指令执行系统、装置或设备以实现通讯、传播或传输供使用的程序。位于计算机存储介质上的程序编码可以通过任何合适的介质进行传播，包括无线电、电缆、光纤电缆、RF、或类似介质，或任何上述介质的组合。

本申请各部分操作所需的计算机程序编码可以用任意一种或多种程序语言编写，包括面向对象编程语言如Java、Scala、Smalltalk、Eiffel、JADE、Emerald、C++、C#、VB.NET、Python等，常规程序化编程语言如C语言、Visual Basic、Fortran 2003、Perl、COBOL 2002、PHP、ABAP，动态编程语言如Python、Ruby和Groovy，或其他编程语言等。该程序编码可以完全在用户计算机上运行、或作为独立的软件包在用户计算机上运行、或部分在用户计算机上运行部分在远程计算机运行、或完全在远程计算机或服务器上运行。在后种情况下，远程计算机可以通过任何网络形式与用户计算机连接，比如局域网（LAN）或广域网（WAN），或连接至外部计算机（例如通过因特网），或在云计算环境中，或作为服务使用如软件即服务（SaaS）。

此外，除非权利要求中明确说明，本申请所述处理元素和序列的顺序、数字字母的使用、或其他名称的使用，并非用于限定本申请流程和方法的顺序。尽管上述披露中通过各种示例讨论了一些目前认为有用的发明实施例，但应当理解的是，该类细节仅起到说明的目的，附加的权利要求并不仅限于披露的实施例，相反，权利要求旨在覆盖所有符合本申请实施例实质和范围的修正和等价组合。例如，虽然以上所描述的系统组件可以通过硬件设备实现，但是也可以只通过软件的解决方案得以实现，如在现有的服务器或移动设备上安装所描述的系统。

同理，应当注意的是，为了简化本申请披露的表述，从而帮助对一个或多个发明实施例的理解，前文对本申请实施例的描述中，有时会将多种特征归并至一个实施例、附图或对其的描述中。但是，这种披露方法并不意味着本申请对象所需要的特征比权利要求中提及的特征多。实际上，实施例的特征要少于上述披露的单个实施例的全部特征。

一些实施例中使用了描述成分、属性数量的数字，应当理解的是，此类用于实施例描述的数字，在一些示例中使用了修饰词“大约”、“近似”或“大体上”来修饰。除非另外说明，“大约”、“近似”或“大体上”表明所述数字允许有适应性的变化。相应地，在一些实施例中，说明书和权利要求中使用的数值参数均为近似值，该近似值根据个别实施例所需特点可以发生改变。在一些实施例中，数值参数应考虑规定的有效数位并采用一般位数保留的方法。尽管本申请一些实施例中用于确认其范围广度的数值域和参数为近似值，在具体实施例中，此类数值的设定在可行范围内尽可能精确。

针对本申请引用的每个专利、专利申请、专利申请公开物和其他材料，如文章、书籍、说明书、出版物、文档等，特此将其全部内容并入本申请作为参考。与本申请内容不一致或产生冲突的申请历史文件除外，对本申请权利要求最广范围有限制的文件(当前或之后附加于本申请中的)也除外。需要说明的是，如果本申请附属材料中的描述、定义、和/或术语的使用与本申请所述内容有不一致或冲突的地方，以本申请的描述、定义和/或术语的使用为准。

最后，应当理解的是，本申请中所述实施例仅用以说明本申请实施例的原则。其他的变形也可能属于本申请的范围。因此，作为示例而非限制，本申请实施例的替代配置可视为与本申请的教导一致。相应地，本申请的实施例不仅限于本申请明确介绍和描述的实施例。

Claims (9)

1.一种针对大数据云服务的数据泄露防护方法，其特征在于，应用于与多组用户业务终端通信的大数据服务器，所述方法包括：

结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果；其中，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤；

通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略；其中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理；

基于所述数据发布策略对所述原始用户属性数据进行匿名化处理得到待发布数据，将所述待发布数据进行发布；

其中，结合预设业务数据库对获取到的原始用户属性数据进行隐私防护分析处理，得到隐私防护分析结果；其中，所述隐私防护分析处理包括基于所述原始用户属性数据进行数据查询的步骤以及包括对不同的用户属性数据进行隐私防护置信度进行处理的步骤，包括：

获取包含当前目标业务用户标签的每组原始用户属性数据；针对所述每组原始用户属性数据，确定预设业务数据库中与该原始用户属性数据存在关联的关联用户属性数据的第一隐私防护置信度以及该关联用户属性数据对应的第一属性类别内容；

从每组关联用户属性数据中，选取第一数量的敏感用户属性数据；针对每组所述敏感用户属性数据对应的每组第一属性类别内容，根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度；

确定与群体隐私防护置信度最高的第二属性类别内容相对应的敏感用户属性数据的第二数量，根据所述第一数量、所述第二数量和预设的第一网络模型，确定所述第二属性类别内容对应的第二隐私防护置信度；

确定所述第二属性类别内容的敏感用户属性数据中最高的第三隐私防护置信度，根据所述第三隐私防护置信度以及所述第二隐私防护置信度，确定所述当前目标业务用户标签的当前隐私防护置信度；

所述通过所述隐私防护分析结果以及预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略；其中，所述数据发布策略用于对所述原始用户属性数据进行匿名化处理，包括：根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略。

2.根据权利要求1所述的方法，其特征在于，所述根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度包括：

根据该第一属性类别内容的每组敏感用户属性数据对应的第一隐私防护置信度和预设的每组隐私防护指标对应的置信度范围，确定每组第一隐私防护置信度分别对应的目标隐私防护指标对应的置信度范围；

根据所述每组目标隐私防护指标对应的置信度范围与组体隐私防护置信度的隐私防护策略的分析结果，确定所述每组第一隐私防护置信度分别对应的关联隐私防护置信度，根据每组关联隐私防护置信度，确定该第一属性类别内容对应的群体隐私防护置信度；

所述从每组关联用户属性数据中，选取第一数量的敏感用户属性数据包括：

根据所述每组关联用户属性数据对应的第一隐私防护置信度对所述每组关联用户属性数据进行排序，按照第一隐私防护置信度由高到低的顺序，选取第一数量的敏感用户属性数据。

3.根据权利要求1所述的方法，其特征在于，所述预先确定隐私防护指标的判定条件的过程包括：

获取预设数据防护时段内第三数量的关联用户属性数据的原始用户属性数据对应的匿名化区分度；

若所述原始用户属性数据对应的匿名化区分度不小于预先设置的原始用户属性数据对应的匿名化区分度阈值，则根据预先确定的第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果，确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；

若所述原始用户属性数据对应的匿名化区分度不大于预先设置的关联用户属性数据对应的匿名化区分度阈值，则根据预先确定的第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果，确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；

若所述原始用户属性数据对应的匿名化区分度大于预先设置的关联用户属性数据对应的匿名化区分度阈值且小于预先设置的原始用户属性数据对应的匿名化区分度阈值，则根据预先确定的所述第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果、所述第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果、所述原始用户属性数据对应的匿名化区分度、所述原始用户属性数据对应的匿名化区分度阈值、所述关联用户属性数据对应的匿名化区分度阈值，确定所述原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件；其中，所述原始用户属性数据对应的匿名化区分度阈值大于所述关联用户属性数据对应的匿名化区分度阈值；

其中，预先确定第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果和第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果的过程包括：

根据确定的目标数据泄露反馈信息和预设的每组数据泄露反馈记录，确定所述目标数据泄露反馈信息对应的目标数据泄露反馈记录；

根据预先确定的每组数据泄露反馈记录与第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果和关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果的隐私防护策略的分析结果，确定所述目标数据泄露反馈记录对应的第一隐私防护指标的判定条件对应的数据隐私重要性的统计结果和第二隐私防护指标的判定条件对应的数据隐私重要性的统计结果；

其中，预先确定所述每组数据泄露反馈记录与第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果和关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果的隐私防护策略的分析结果的过程包括：

分别获取与预先设置的关联用户属性数据对应的匿名化区分度相匹配的第四数量的第一待处理用户属性数据和与预先设置的敏感用户属性数据对应的匿名化区分度相匹配的第五数量的第二待处理用户属性数据，所述关联用户属性数据对应的匿名化区分度大于敏感用户属性数据对应的匿名化区分度；

针对每组数据泄露反馈记录，基于所述第四数量的第一待处理用户属性数据，确定该数据泄露反馈记录对应的第三隐私防护指标的判定条件对应的数据隐私重要性的统计结果；并基于所述第五数量的第二待处理用户属性数据，确定该数据泄露反馈记录对应的关联隐私防护指标的判定条件对应的数据隐私重要性的统计结果；

其中，所述确定所述目标数据泄露反馈信息包括：根据预设的用户交互反馈信息、所述预设业务数据库中样本用户属性数据的数量以及预设数据防护时段内的数据访问记录，确定所述目标数据泄露反馈信息。

4.根据权利要求3所述的方法，其特征在于，所述确定原始用户属性数据对应的匿名化区分度对应的隐私防护指标的判定条件之后，所述根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略之前，所述方法还包括：

确定第七数量的历史目标业务用户标签分别对应的历史隐私防护置信度，根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序，根据预设的划分策略确定每组隐私防护指标集合，其中，每组隐私防护指标集合包含一组第三目标隐私防护置信度和一组关联目标隐私防护置信度；

根据所述隐私防护指标的判定条件与任一所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度，确定所述隐私防护指标的判定条件所属的目标隐私防护指标集合；

根据所述目标隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度对所述隐私防护指标的判定条件进行优化，并基于优化后的隐私防护指标的判定条件，进行后续根据所述当前隐私防护置信度和预先确定的优化后的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略的步骤。

5.根据权利要求4所述的方法，其特征在于，所述根据预设的划分策略确定每组隐私防护指标集合之后，所述根据所述隐私防护指标的判定条件与任一所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度，确定所述隐私防护指标的判定条件所属的目标隐私防护指标集合之前，所述方法还包括：

确定每组所述隐私防护指标集合中的第三目标隐私防护置信度和关联目标隐私防护置信度的差异比较结果，根据所述差异比较结果对应的置信度差值对每组隐私防护指标集合进行排序，按照差异比较结果由高到低的顺序，依次进行后续步骤。

6.根据权利要求4所述的方法，其特征在于，所述确定第七数量的历史目标业务用户标签分别对应的历史隐私防护置信度之后，根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序之前，所述方法还包括：

判断是否满足预先设置的划分策略触发条件；

若满足预先设置的划分策略触发条件，则进行后续步骤；

若不满足预先设置的划分策略触发条件，则在满足预先设置的划分策略触发条件后，确定该划分策略触发条件内，获取的第八数量的历史目标业务用户标签分别对应的历史隐私防护置信度；所述根据历史隐私防护置信度的时效修正结果对第七数量的每组历史隐私防护置信度进行排序包括：根据历史隐私防护置信度的时效修正结果对第八数量的每组历史隐私防护置信度进行排序。

7.根据权利要求4所述的方法，其特征在于，根据所述当前隐私防护置信度和预先确定的隐私防护指标的判定条件，确定针对所述原始用户属性数据的数据发布策略，包括：

获取所述隐私防护指标的判定条件中的匿名化识别记录；

通过匿名化识别记录中的隐私攻击行为对应的事项记录，确定已发布的公开属性数据的第一数据片段内容；通过匿名化识别记录中的数据遮挡行为对应的事项记录，基于所述第一数据片段内容，获取所述公开属性数据中的属性画像为全局特征画像的解析结果及为局部特征画像的解析结果；通过匿名化识别记录中的身份重识别行为对应的事项记录，基于所述第一数据片段内容，确定所述公开属性数据中的属性画像为局部特征画像时，各关键画像标签与局部特征画像的内容匹配结果及时效配对结果；

根据所述公开属性数据中的属性画像为全局特征画像的解析结果及为局部特征画像的解析结果，确定公开属性数据中目标局部特征画像的画像类别及潜在标签信息，并根据所述公开属性数据中对应的属性画像为局部特征画像时，各关键画像标签与局部特征画像的内容匹配结果及时效配对结果，确定当前隐私防护置信度对应的各关键画像标签与所述目标局部特征画像的内容匹配结果及时效配对结果，根据所述全局特征画像的目标局部特征画像及当前隐私防护置信度对应的各关键画像标签与所述目标局部特征画像的内容匹配结果及时效配对结果，确定当前隐私防护置信度对应的各关键画像标签的潜在标签信息；

基于确定的当前隐私防护置信度对应的各关键画像标签的潜在标签信息，确定所述原始用户属性数据对应的数据拆分指示信息；根据所述数据拆分指示信息对所述原始用户属性数据进行数据拆分，得到所述原始用户属性数据对应的拆分结果；确定当前隐私防护置信度相对于所述拆分结果中的每个拆分片段的映射置信度，根据所述映射置信度以及公开属性数据中目标局部特征画像的画像类别确定针对所述拆分片段的数据隐藏策略，通过所述数据隐藏策略确定针对所述原始用户属性数据的数据发布策略。

8.一种大数据服务器，其特征在于，包括处理引擎、网络模块和存储器；所述处理引擎和所述存储器通过所述网络模块通信，所述处理引擎从所述存储器中读取计算机程序并运行，以执行权利要求1-7任一项所述的方法。

9.一种计算机存储介质，其特征在于，其上存储有计算机程序，所述计算机程序在运行时实现权利要求1-7任一项所述的方法。

Images