CN114595480A - 具有个性化位置隐私保护的实时乘客和司机匹配方法 - Google Patents

Abstract

本发明公开了一种具有个性化位置隐私保护的实时乘客和司机匹配方法，用于服务端与多个用户端通信连接的打车系统中，包括：步骤1，建立实时匹配用区域的模型：服务端将用于乘客和司机实时匹配的二维平面矩阵区域R建模为树高为H的四分树T；服务端将二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T向所有用户端发布，用户端包括：乘客用户端和司机用户端；步骤2，用户位置的本地个性化加噪和提交；步骤3，实时匹配乘客和司机；步骤4，建立乘客和司机的通信，即完成匹配。该方法通过个性化位置隐私保护和两种不同程度的隐私保护为服务端上的实时乘客和司机提供高效且有效的匹配，既保护位置信息并提供匹配的准确性。

Description

具有个性化位置隐私保护的实时乘客和司机匹配方法

技术领域

本发明涉及安全隐私领域，尤其涉及一种具有个性化位置隐私保护的实时乘客和司机匹配方法。

背景技术

随着数据安全要求的提高，数据管理者和运营者有了明确的数据保护责任。如何为乘客和司机(后面将乘客和司机统称为用户)之间提供一种个性化的保护双方位置的机制同时提供一定准确性的匹配机制是一个非常大的难点。这不仅仅是因为乘客和司机对不同隐私保护的需求，同时需要对平面上的多个乘客和多个司机提供互相匹配的机制，降低乘客和司机之间的匹配距离，节省时间和资源，并提高效率。

目前针对隐私保护的用户匹配算法已有一系列的工作：1)非隐私的匹配算法，有二分图匹配算法；若用户可以接受一定延时，累计现有用户后，更大地降低实时用户之间的匹配距离；2)有隐私的匹配算法，假设司机的扰动位置预先给出，以预建立匹配模型，后乘客一个个匹配；3)有隐私匹配算法，建立在HST树上，将二维平面上的(非隐私点或隐私)点变成树上离散的点，以快速匹配。但这些方法都很难直接用于具有个性化隐私保护的实时用户匹配中，因为：1)现有的非隐私算法需要用户提交位置数据到平台，即平台能够直接访问所有乘客和司机的位置数据，而在隐私的用户匹配中，数据是不能被除了用户之外的第三方直接访问到的；2)现有方法需要预先知道一方的数据以预建立模型，在实际中不一定能预知一方的数据；3)现有方法不能对用户提供个性化的隐私保护，导致隐私需求低的用户也需要使用较高的隐私保护，降低了位置的可用性；用户希望有不同层次的位置模糊和不同程度的隐私保护，而现有的算法主要是在位置的模糊或隐私保护上，没有同时考虑两者。

有鉴于此，特提出本发明。

发明内容

本发明的目的是提供了一种具有个性化位置隐私保护的实时乘客和司机匹配方法，既能保护用户的位置隐私，又能准确进行乘客与司机之间的匹配，进而解决现有技术中存在的上述技术问题。

本发明的目的是通过以下技术方案实现的：

本发明实施方式提供一种具有个性化位置隐私保护的实时乘客和司机匹配方法，用于服务端与多个用户端通信连接的打车系统中，包括：

步骤1，建立实时匹配用区域的模型：服务端将用于乘客和司机实时匹配的二维平面矩阵区域R建模为树高为H的四分树T；所述四分树T的第0层有1个节点为根节点，该根节点代表区域R；第1层有4个节点，每个节点各代表区域R的水平垂直均匀四等分区域；第h层有4^h个节点，各节点代表第h-1层的每个节点对应区域的水平垂直均匀四等分区域；第H层有4^H个节点，各节点代表第H-1层的每个节点对应区域的水平垂直均匀四等分区域；对所述四分树T的每个节点从上到下、从左到右依次从0开始编号，第h层最左侧的节点编号为(4^h-1)÷3，最右侧的节点编号为(4^h+1-1)÷3-1；

所述服务端将所述二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T向所有用户端发布，所述用户端包括：乘客用户端和司机用户端；

步骤2，用户位置的本地个性化加噪和提交：用户端获取到所述二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T后，根据用户端自身的个性化隐私参数(∈，h)得到隐私的one-hot向量x_h，利用one-hot向量x_h通过截断几何机制生成扰动的one-hot向量

使该扰动的one-hot向量

满足所在行的∈-geo-indistinguishability隐私保护，用户端将用户类型、扰动向量

个性化隐私参数(∈，h)提交至所述服务端；

所述个性化隐私参数(∈，h)中，∈表示用户端的个性化隐私预算参数，取值范围为[0，+∞)；h表示用户通过用户端选择在所述四分树T上发布的高度，选择范围为{0，1，…，H}；

所述用户类型包括：乘客、司机；

步骤3，实时匹配乘客和司机：所述服务端实时接收用户端发来的用户类型、扰动向量

和个性化隐私参数(∈，h)，并持续维护乘客队列L_p和司机队列L_d；然后根据现有的用户集合和新到的用户进行乘客和司机的匹配，匹配步骤如下：

(31)若现有用户的类型仅有乘客，新到的用户类型也是乘客，则将新到的用户加入到乘客队列L_p；

(32)若现有用户的类型仅有司机，新到的用户类型也是司机，则将新到的用户加入到司机队列L_d；

(33)若现有用户的类型仅有乘客，新到的用户类型是司机，则将乘客队列L_p的所有乘客和司机做匹配，选择距离司机最近的乘客与司机匹配；

(34)若现有用户的类型仅有司机，新到的用户类型是乘客，则将司机队列L_d的所有司机和乘客做匹配，选择距离乘客最近的司机与乘客匹配；

步骤4，建立乘客和司机的通信：所述服务端匹配一对乘客和司机后，将匹配后的乘客和司机各自的ID发送给对方，使匹配后的乘客和司机建立通信，即完成本次匹配。

与现有技术相比，本发明所提供的具有个性化位置隐私保护的实时乘客和司机匹配方法，其有益效果包括：

由于采用了四分树作为实时匹配用区域的模型，配合截断几何机制(TruncatedGeometricMechanism,TGM)，使得不同层次的位置模糊和不同程度的差分隐私这两种隐私保护成为可能；同时由于采用不同层之间的距离和匹配方式，以及建立匹配后乘客与司机之间的通信，能高效且有效的进行乘客用户与司机用户之间的匹配。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的具有个性化位置隐私保护的实时乘客和司机匹配方法的流程示意图；

图2为本发明实施例提供的实时乘客和司机匹配方法的具体流程图；

图3为本发明实施例提供的实时乘客和司机匹配方法的四分树的示意图；

图4为本发明实施例提供的实时乘客和司机匹配方法的四分树单个用户所在区域的示意图。

具体实施方式

下面结合本发明的具体内容，对本发明实施例中的技术方案进行清楚、完整地描述；显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例，这并不构成对本发明的限制。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

首先对本文中可能使用的术语进行如下说明：

术语“和/或”是表示两者任一或两者同时均可实现，例如，X和/或Y表示既包括“X”或“Y”的情况也包括“X和Y”的三种情况。

术语“包括”、“包含”、“含有”、“具有”或其它类似语义的描述，应被解释为非排它性的包括。例如：包括某技术特征要素(如原料、组分、成分、载体、剂型、材料、尺寸、零件、部件、机构、装置、步骤、工序、方法、反应条件、加工条件、参数、算法、信号、数据、产品或制品等)，应被解释为不仅包括明确列出的某技术特征要素，还可以包括未明确列出的本领域公知的其它技术特征要素。

术语“由……组成”表示排除任何未明确列出的技术特征要素。若将该术语用于权利要求中，则该术语将使权利要求成为封闭式，使其不包含除明确列出的技术特征要素以外的技术特征要素，但与其相关的常规杂质除外。如果该术语只是出现在权利要求的某子句中，那么其仅限定在该子句中明确列出的要素，其他子句中所记载的要素并不被排除在整体权利要求之外。

除另有明确的规定或限定外，术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如：可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本文中的具体含义。

当浓度、温度、压力、尺寸或者其它参数以数值范围形式表示时，该数值范围应被理解为具体公开了该数值范围内任何上限值、下限值、优选值的配对所形成的所有范围，而不论该范围是否被明确记载；例如，如果记载了数值范围“2～8”时，那么该数值范围应被解释为包括“2～7”、“2～6”、“5～7”、“3～4和6～7”、“3～5和7”、“2和5～7”等范围。除另有说明外，本文中记载的数值范围既包括其端值也包括在该数值范围内的所有整数和分数。

术语“中心”、“纵向”、“横向”、“长度”、“宽度”、“厚度”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”、“顺时针”、“逆时针”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述和简化描述，而不是明示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本文的限制。

下面对本发明所提供的具有个性化位置隐私保护的实时乘客和司机匹配方法进行详细描述。本发明实施例中未作详细描述的内容属于本领域专业技术人员公知的现有技术。本发明实施例中未注明具体条件者，按照本领域常规条件或制造商建议的条件进行。本发明实施例中所用试剂或仪器未注明生产厂商者，均为可以通过市售购买获得的常规产品。

如图1、2所示，本发明实施例提供一种具有个性化位置隐私保护的实时乘客和司机匹配方法，用于服务端与多个用户端通信连接的打车系统中，包括：

步骤1，建立实时匹配用区域的模型：服务端将用于乘客和司机实时匹配的二维平面矩阵区域R建模为树高为H的四分树T(参见图3、4)；所述四分树T的第0层有1个节点为根节点，该根节点代表区域R；第1层有4个节点，每个节点各代表区域R的水平垂直均匀四等分区域；第h层有4^h个节点，各节点代表第h-1层的每个节点对应区域的水平垂直均匀四等分区域；第H层有4^H个节点，各节点代表第H-1层的每个节点对应区域的水平垂直均匀四等分区域；对所述四分树T的每个节点从上到下、从左到右依次从0开始编号，第h层最左侧的节点编号为(4^h-1)÷3，最右侧的节点编号为(4^h+1-1)÷3-1；

所述服务端将所述二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T向所有用户端发布，所述用户端包括：乘客用户端和司机用户端；

步骤2，用户位置的本地个性化加噪和提交：用户端获取到所述二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T后，根据用户端自身的个性化隐私参数(∈，h)得到隐私的one-hot向量x_h，利用one-hot向量x_h通过截断几何机制生成扰动的one-hot向量

使该one-hot向量

满足所在行的∈-geo-indistinguishability隐私保护，用户端将用户类型、扰动向量

个性化隐私参数(∈，h)提交至所述服务端；

所述个性化隐私参数(∈，h)中，∈表示用户端的个性化隐私预算参数，取值范围为[0，+∞)；h表示用户通过用户端选择在所述四分树T上发布的高度，选择范围为{0，1，…，H}；

所述用户类型包括：乘客、司机；

步骤3，实时匹配乘客和司机：所述服务端实时接收用户端发来的用户类型、扰动向量

和个性化隐私参数(∈，h)，并持续维护乘客队列L_p和司机队列L_d；然后根据现有的用户集合和新到的用户进行乘客和司机的匹配，匹配步骤如下：

(31)若现有用户的类型仅有乘客，新到的用户类型也是乘客，则将新到的用户加入到乘客队列L_p；

(32)若现有用户的类型仅有司机，新到的用户类型也是司机，则将新到的用户加入到司机队列L_d；

(33)若现有用户的类型仅有乘客，新到的用户类型是司机，则将乘客队列L_p的所有乘客和司机做匹配，选择距离司机最近的乘客与司机匹配；

(34)若现有用户的类型仅有司机，新到的用户类型是乘客，则将司机队列L_d的所有司机和乘客做匹配，选择距离乘客最近的司机与乘客匹配；

步骤4，建立乘客和司机的通信：所述服务端匹配一对乘客和司机后，将匹配后的乘客和司机各自的ID发送给对方，使匹配后的乘客和司机建立通信(即使匹配后的乘客用户端和司机用户端建立通信)，即完成本次匹配。

上述方法的步骤2中，用户端通过以下方式根据用户端自身的个性化隐私参数(∈，h)得到隐私的one-hot向量x_h，利用one-hot向量x_h通过截断几何机制生成扰动的one-hot向量

使该扰动的one-hot向量

满足所在行的∈-geo-indistinguishability隐私保护处理得出扰动向量

用户端将用户类型、扰动向量

个性化隐私参数(∈，h)提交至所述服务端，包括：

步骤21，用户端根据个性化参数得到隐私的one-hot向量x_h：用户端用个性化隐私参数(∈，h)的参数h，确定用户位置所在区域对应的所述四分树T上的节点n_h，i，并将该节点n_h，i的数值取为1，该节点n_h，i的同层节点的数值取为0，用该节点n_h，i所在层的所有节点从左到右的数值组成one-hot向量x_h，所述节点n_h，i处于所述one-hot向量x_h中第i位上；

步骤22，用截断几何机制生成扰动的one-hot向量

使该one-hot向量

满足∈-geo-indistinguishability隐私保护的处理：将one-hot向量x_h和四分树T上节点的编号一一对应，按公式

对两个编号进行扰动处理，使扰动成的相同编号x′满足∈-geo-indistinguishability隐私保护的机制M，公式中x₁、x₂为四分树T上任意的两个节点的编号，x′为扰动成的相同编号；Pr[M(x₁)＝x′]表示机制M在输入为x₁时输出为x′的概率；d(x，x′)表示编号x、x′的节点绝对值之差，即d(x，x′)＝|x-x′|；

按以下公式对在四分树T中h高度上的编号x的节点扰动成编号x′，进行截断几何机制处理来满足∈-geo-indistinguishability，公式为：

上述公式各参数的含义为：x、x′表示节点编号，

Pr[M(x₁)＝x′]表示机制M在输入为x₁时输出为x′的概率；e为自然常数；h表示节点编号x在四分树T上的高度；

将得出的扰动编号x′转换成对应的扰动向量

上述的满足机制M的公式由以下方式推导得出，由于标准的∈-DP形式中TGM(Truncated Geometric Mechanism)需要加上sensitivity，而∈-geo-indistinguishability中的TGM中的sensitivity设定为1，即满足机制M；其推导过程包括两部分：1)由任意输入x经过机制M得到所有可能输出的概率和等于1，即

2)任意两个编号x、x′的节点经过机制M得到相同输出编号x′的节点概率之比被

界定住，使其满足∈-geo-indistinguishability，即

首先给出1)的证明：设x_max＝(4^h+1-1)/3-1，x_min＝(4^h-1)/3，则

再给出2)的证明：根据Pr[M(x)＝x′]的式子，发现输出相同的编号x′的节点，常数项相同，那么为

那么为

互相抵消。下面仅考虑非常数项：

上式的不等式是由三角不等式|a|-|b|≤|a-b|得到，推导完毕；

步骤23，提交参数：用户端将用户类型、扰动向量

个性化隐私参数(∈，h)向所述服务端提交，等待进行乘客和用户匹配。

上述方法的步骤3中，乘客和司机之间的距离通过以下方式确认，包括：

步骤331，处于同一层的距离确定：若乘客与司机的位置处于四分树T的同一层h层，乘客与司机在四分树T的h层的扰动向量分别为

通过以下累计函数

计算两个扰动向量之间的距离作为乘客与司机的距离；所述累计函数中各参数的含义为：

表示扰动向量

的第j个分量；

表示扰动向量

的第j个分量；EMD表示两个向量的搬土距离；公式中A：＝B表示A定义为B；

步骤332，处理不同层的距离确定：若乘客与司机的位置处于四分树T的不同层h₁、h₂层，乘客与司机在四分树T的h₁、h₂层的扰动向量分别为

将h₁、h₂层均聚合g层后，0≤g≤H，分别得到扰动向量

聚合到第g层的扰动向量

根据以下距离公式

求解处于不同层乘客与司机之间的距离；所述距离公式中各参数的含义为：

表示扰动向量

聚合到第g层的扰动向量；EMD表示两个向量的搬土距离。

上述方法中，通过以下方式将h₁、h₂层均聚合到g层，包括：

(1)当h≥g时，将前层节点的值加到上一层的父节点上，依此持续聚合，直到第g层，得到的是one-hot向量；

(2)当h＜g时，将当前节点的值均匀地拆分到下一层的四个节点，依此持续进行拆分，直到第g层。

上述方法中，按以下方式确定距离司机最近的乘客，包括：

通过最终距离公式依次计算乘客队列的所有乘客和新司机在第层的距离，最终距离公式为：

上述公式中，p_k表示乘客队列L_p的第k个乘客；h_k表示第k个乘客提交的树高；d表示新司机；h_d表示新司机提交的树高；w(∈_k，h_k)为第k个乘客的距离权重，w(∈_k，h_k)选取为

将上述最终距离公式计算得出的最小距离对应的乘客作为距离司机最近的乘客，并将该乘客从乘客队列L_p中删除；

按以下方式确定距离乘客最近的司机，包括：

通过最终距离公式依次计算司机队列L_d的所有司机和新乘客在第h层的距离，最终距离公式为：

上述公式中，p_k表示司机队列L_d的第k个司机；h_k表示第k个司机提交的树高；d表示新乘客；h_d表示新乘客提交的树高；w(∈_k，h_k)为第k个司机的距离权重，w(∈_k，h_k)选取为

将上述最终距离公式计算得出的最小距离对应的司机作为距离乘客最近的司机，并将该司机从司机队列L_d中删除。

上述方法中，所述步骤4中，匹配后的乘客和司机建立的为非对称加密互相通信。能保证匹配后乘客和司机通信的安全性。

综上可见，本发明实施例的匹配方法，通过个性化位置隐私保护的方式和两种不同程度的隐私保护为服务端上的实时乘客和司机提供高效且有效的匹配，从而保护位置信息并提供一定的准确性，保证双方之间按最近的距离匹配。

为了更加清晰地展现出本发明所提供的技术方案及所产生的技术效果，下面以具体实施例对本发明实施例所提供的具有个性化位置隐私保护的实时乘客和司机匹配方法进行详细描述。

实施例1

如图1、2所示，本发明实施例提供一种的隐私保护场景中的实时乘客和司机的匹配方法，主要包括以下步骤：平台分发公开参数和模型、用户位置的本地个性化加噪和提交、平台实时匹配乘客和司机、乘客和司机互相通信；其中，

步骤1，平台分发公开参数和模型：针对用于实时匹配乘客和司机的二维平面矩阵区域R，平台(即服务端)建立一棵树高为H的四分树T作为对应于二维平面矩阵区域R的模型并发布，该模型供乘客和司机的实时匹配：该四分树T的根节点(第0层)代表区域R，第1层是四个节点，是根节点即区域R的水平垂直均匀四等分，…，第h层的节点是由第h-1层的每个节点对应区域的水平垂直均匀四等分，一直到第H层，如图3所示；

四分树T与实际地理区域可如下形式对应，如根节点对应一个省的区域，第1层的四个节点代表该省均分的四块区域，依此类推；

参见图3，上述建立的四分树T具有如下性质：1)第0层有1个节点，第1层有4个节点，…，第层有4^h个节点，…，第H层有4^H个节点，每个节点对应区域R的一块区域；2)：给每个节点从上到下，从左到右依次从0开始编号：那么第h层最左侧的节点编号为(4^h-1)/3，最右侧的节点编号为(4^h+1-1)/3-1；3)每层节点对应区域互不相交，且它们的并集是区域R；4)每个非叶子节点对应区域是其四个子节点对应区域的并集。

步骤2，用户位置的本地个性化加噪和提交：用户端(包括乘客和司机)拿到区域R以及平台发布的四分树T，根据自身的个性化隐私参数(∈，h)，其中，∈表示用户的个性化隐私效用参数，取值范围是[0，+∞)，该∈值越小表示隐私保护越强，效用性越弱，值越大表示隐私保护越弱，效用性越强；h表示用户选择在四分树T上发布的高度，选择范围是{0，1，…，H}，也是个性化的参数；如果用户位于平面区域R的某一位置，那么在四分树T的位置如图2所示，用红色表示用户所在区域对应的节点，该节点具有以下性质：

1)每层节点有且仅有一个是用户对所在区域；

2)四分树共有H+1个节点是用户所在区域。

在该步骤中，主要分为以下步骤(参见图4)：

步骤21，用户根据个性化参数得到隐私的one-hot向量：用户使用参数h，表示选择发布的四分树层数，h越大表示用户想要发布的区域越精确，隐私保护越低；若将用户所在区域对应节点n_h，i的数值取为1，其他节点的数值取为0，那么h层所有节点从左到右的数值组成one-hot向量x_h，为(0，0，…，0，1，0，…)，其中1在第i位上。

步骤22，∈-geo-indistinguishability隐私保护：为了保护用户发布的位置信息，即保护one-hot向量x_h，使其满足所在行的∈-geo-indistinguishability隐私保护；具体来说，one-hot向量和四分树上的节点编号一一对应，再对编号做隐私保护；

第h行的编号取值范围为

满足∈-geo-indistinguishability的机制M保证的是任意两个编号x₁，x₂扰动成相同的编号x′的概率被e^{∈·d(x，x′)}界住，即

不同于二维连续的位置场景，编号是一维离散且是有序的(在大部分情况下，编号越近，编号对应的位置越近)；此处采用截断几何机制(TruncatedGeometric Mechanism，TGM)来满足∈-geo-indistinguishability，形式化的表示为：

标准的∈-DP形式中TGM需要加上sensitivity，而∈-geo-indistinguishability中的TGM中的sensitivity设定为1，即可满足；扰动编号后，再转换成对应的扰动向量

步骤23，提交参数：用户端提交用户类型(乘客、司机)、扰动向量

个性化隐私参数(∈，h)至平台，即服务端，等待被匹配；

步骤3，平台实时匹配乘客和司机：平台实时接收用户端发来的用户类型、扰动向量

和个性化隐私参数(∈，h)，不断维护乘客队列L_p和司机队列L_d，然后根据现有的用户集合以及新到的用户进行匹配，分为以下四种情况：

(31)现有用户的类型仅有乘客，新到的用户类型也是乘客：将新到的用户加入乘客队列L_p；

(32)现有用户的类型仅有司机，新到的用户类型也是司机：将新到的用户加入司机队列L_d；

(33)现有用户的类型仅有乘客，新到的用户类型是司机：将乘客队列L_p的所有乘客和司机做匹配，选择最近的乘客(即距离新到司机最近的乘客)，匹配该乘客和司机；

按以下方式定义乘客和司机之间的距离，确定最近的乘客，包括：

步骤331，同一层之间的距离：如果乘客、司机在四分树h层的扰动向量分别为

因为两个向量都是one-hot向量，计算两个1之间的距离，作为他们的距离(注意，在大部分情况下编号越接近，节点对应区域越相邻)；而搬土距离(EarthMoverDistance，EMD)正好对应这种形式，采用累计函数计算距离，定义

步骤332，不同层之间的距离：如果乘客和司机不在四分树的同一层，分别在h₁，h₂层，对应扰动向量分别为

因为不同层之间的距离是没法直接比较的，先将它们聚合到第g层(g满足0≤g≤H)；聚合根据h和g的值分为两种情况：

1)h≥g时，当前层节点的值加到上一层的父节点上，不断聚合，直到第g层，依然是one-hot向量；

2)h＜g时，因为当前节点的值是四个节点的父节点，是四个节点的聚合，而聚合的方式是未知的，此处通过均匀地拆分到四个节点，不停地拆分，直至第g层。

设扰动向量

聚合到第g(0≤g≤H)层的扰动向量为

这样可以求解不同层之间的距离(可以任意g)

其中0≤g≤H；

在求得上述距离的基础上，按以下方式确定最近的乘客：现在有乘客队列L_d和新到的司机，随机选择一层h(h∈{0，1，...，h_m}，其中h_m表示当前所有用户提交树高的最小值)，依次求乘客队列L_p的所有乘客和新司机在第h层的距离

其中p_k表示乘客队列的第k个乘客，h_k表示第k个乘客提交的树高，d表示新司机，h_d表示新司机提交的树高；考虑到不同的乘客的个性化参数不同(因为是同一个司机，可以忽略其个性化参数的影响)，导致得到的距离的可信度也并不相同，给距离增加乘客权重w(∈，h)以平衡可信度的影响，即最终的距离为

最小距离对应的乘客即是距离新到司机最近的乘客，输出并从乘客队列L_p中删除该乘客；

(34)现有用户的类型仅有司机，新到的用户类型是乘客：处理方式与第三种情况(33)的处理相同，只需将司机和乘客的计算作对换即可确定距离新到乘客最近的司机。

可以知道，不会存在现有用户类型同时有乘客和司机的情况，因为同时存在，本发明必会取出乘客或司机匹配，直到一方个数为零或者双方都为零。

步骤4，乘客和司机互相通信：平台匹配一对乘客和司机后，由于平台只知道双方的ID和提交的信息，并不知道其他更多的信息。因此，平台告诉双方各自的ID，为双方建立通信，双方为了确保各自信息仅有对方知道，而没有其他人知道，可以通过非对称加密互相通信，获得各自的准确位置信息，完成匹配。

综上可见，本发明实施例的匹配方法，由于采用了四分树和截断几何机制，使得不同层次的位置模糊和不同程度的差分隐私这两种隐私保护成为可能；同时由于采用不同层之间的距离和匹配方式，以及使用非对称加密通信，用户之间的匹配有效且高效，能够保护位置信息并提供一定的匹配准确性。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。本文背景技术部分公开的信息仅仅旨在加深对本发明的总体背景技术的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域技术人员所公知的现有技术。

Claims (6)

1.一种具有个性化位置隐私保护的实时乘客和司机匹配方法，其特征在于，用于服务端与多个用户端通信连接的打车系统中，包括：

步骤1，建立实时匹配用区域的模型：服务端将用于乘客和司机实时匹配的二维平面矩阵区域R建模为树高为H的四分树T；所述四分树T的第0层有1个节点为根节点，该根节点代表区域R；第1层有4个节点，每个节点各代表区域R的水平垂直均匀四等分区域；第h层有4^h个节点，各节点代表第h-1层的每个节点对应区域的水平垂直均匀四等分区域；第H层有4^H个节点，各节点代表第H-1层的每个节点对应区域的水平垂直均匀四等分区域；对所述四分树T的每个节点从上到下、从左到右依次从0开始编号，第h层最左侧的节点编号为(4^h-1)÷3，最右侧的节点编号为(4^h+1-1)÷3-1；

所述服务端将所述二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T向所有用户端发布，所述用户端包括：乘客用户端和司机用户端；

步骤2，用户位置的本地个性化加噪和提交：用户端获取到所述二维平面矩阵区域R和该二维平面矩阵区域R对应的四分树T后，根据用户端自身的个性化隐私参数(∈，h)得到隐私的one-hot向量x_h，利用one-hot向量x_h通过截断几何机制生成扰动的one-hot向量

使该one-hot向量

满足所在行的∈-geo-indistinguishability隐私保护，用户端将用户类型、扰动向量

个性化隐私参数(∈，h)提交至所述服务端；

所述个性化隐私参数(∈，h)中，∈表示用户端的个性化隐私预算参数，取值范围为[0，+∞)；h表示用户通过用户端选择在所述四分树T上发布的高度，选择范围为{0，1，…，H}；

所述用户类型包括：乘客、司机；

步骤3，实时匹配乘客和司机：所述服务端实时接收用户端发来的用户类型、扰动向量

和个性化隐私参数(∈，h)，并持续维护乘客队列L_p和司机队列L_d；然后根据现有的用户集合和新到的用户进行乘客和司机的匹配，匹配步骤如下：

(31)若现有用户的类型仅有乘客，新到的用户类型也是乘客，则将新到的用户加入到乘客队列L_p；

(32)若现有用户的类型仅有司机，新到的用户类型也是司机，则将新到的用户加入到司机队列L_d；

(33)若现有用户的类型仅有乘客，新到的用户类型是司机，则将乘客队列L_p的所有乘客和司机做匹配，选择距离司机最近的乘客与司机匹配；

(34)若现有用户的类型仅有司机，新到的用户类型是乘客，则将司机队列L_d的所有司机和乘客做匹配，选择距离乘客最近的司机与乘客匹配；

步骤4，建立乘客和司机的通信：所述服务端匹配一对乘客和司机后，将匹配后的乘客和司机各自的ID发送给对方，使匹配后的乘客和司机建立通信，即完成本次匹配。

2.根据权利要求1所述的具有个性化位置隐私保护的实时乘客和司机匹配方法，其特征在于，所述步骤2中，用户端通过以下方式根据用户端自身的个性化隐私参数(∈，h)得到隐私的one-hot向量x_h，利用one-hot向量x_h通过截断几何机制生成扰动的one-hot向量

使该扰动的one-hot向量

满足所在行的∈-geo-indistinguishability隐私保护处理得出扰动向量

用户端将用户类型、扰动向量

个性化隐私参数(∈，h)提交至所述服务端，包括：

步骤21，用户端根据个性化参数得到隐私的one-hot向量x_h：用户端用个性化隐私参数(∈，h)的参数h，确定用户位置所在区域对应的所述四分树T上的节点n_h，i，并将该节点n_h，i的数值取为1，该节点n_h，i的同层节点的数值取为0，用该节点n_h，i所在层的所有节点从左到右的数值组成one-hot向量x_h，所述节点n_h，i处于所述one-hot向量x_h中第i位上；

步骤22，用截断几何机制生成扰动的one-hot向量

使该one-hot向量

满足∈-geo-indistinguishability隐私保护的处理：将one-hot向量x_h和四分树T上节点的编号一一对应，按公式

对两个编号进行扰动处理，使扰动成的相同编号x′满足∈-geo-indistinguishability隐私保护的机制M，公式中x₁、x₂为四分树T上任意的两个节点的编号，x′为扰动成的相同编号；Pr[M(x₁)＝x′]表示机制M在输入为x₁时输出为x′的概率；d(x，x′)表示编号x、x′的节点绝对值之差，即d(x，x′)＝|x-x′|；

按以下公式对在四分树T中h高度上的编号x的节点扰动成编号x′，进行截断几何机制处理来满足∈-geo-indistinguishability，公式为：

上述公式各参数的含义为：x、x′表示节点编号，

Pr[M(x₁)＝x′]表示机制M在输入为x₁时输出为x′的概率；e为自然常数；h表示节点编号x在四分树T上的高度；

将得出的扰动编号x′转换成对应的扰动向量

步骤23，提交参数：用户端将用户类型、扰动向量

个性化隐私参数(∈，h)向所述服务端提交，等待进行乘客和用户匹配。

3.根据权利要求1或2所述的具有个性化位置隐私保护的实时乘客和司机匹配方法，其特征在于，所述步骤3中，乘客和司机之间的距离通过以下方式确认，包括：

步骤331，处于同一层的距离确定：若乘客与司机的位置处于四分树T的同一层h层，乘客与司机在四分树T的h层的扰动向量分别为

通过以下累计函数

计算两个扰动向量之间的距离作为乘客与司机的距离；所述累计函数中各参数的含义为：

表示扰动向量

的第j个分量；

表示扰动向量

的第j个分量；EMD表示两个向量的搬土距离；公式中A：＝B表示A定义为B；

步骤332，处理不同层的距离确定：若乘客与司机的位置处于四分树T的不同层h₁、h₂层，乘客与司机在四分树T的h₁、h₂层的扰动向量分别为

将h₁、h₂层均聚合g层后，0≤g≤H，分别得到扰动向量

聚合到第g层的扰动向量

根据以下距离公式

求解处于不同层乘客与司机之间的距离；所述距离公式中各参数的含义为：

表示扰动向量

聚合到第g层的扰动向量；EMD表示两个向量的搬土距离。

4.根据权利要求3所述的具有个性化位置隐私保护的实时乘客和司机匹配方法，其特征在于，通过以下方式将h₁、h₂层均聚合到g层，包括：

(1)当h≥g时，将前层节点的值加到上一层的父节点上，依此持续聚合，直到第g层，得到的是one-hot向量；

(2)当h＜g时，将当前节点的值均匀地拆分到下一层的四个节点，依此持续进行拆分，直到第g层。

5.根据权利要求3所述的具有个性化位置隐私保护的实时乘客和司机匹配方法，其特征在于，所述方法中，按以下方式确定距离司机最近的乘客，包括：

通过最终距离公式依次计算乘客队列L_p的所有乘客和新司机在第h层的距离，最终距离公式为：

上述公式中，p_k表示乘客队列L_p的第k个乘客；h_k表示第k个乘客提交的树高；d表示新司机；h_d表示新司机提交的树高；w(∈_k，h_k)为第k个乘客的距离权重，w(∈_k，h_k)选取为

将上述最终距离公式计算得出的最小距离对应的乘客作为距离司机最近的乘客，并将该乘客从乘客队列L_p中删除；

按以下方式确定距离乘客最近的司机，包括：

通过最终距离公式依次计算司机队列L_d的所有司机和新乘客在第h层的距离，最终距离公式为：

上述公式中，p_k表示司机队列L_d的第k个司机；h_k表示第k个司机提交的树高；d表示新乘客；h_d表示新乘客提交的树高；w(∈_k，h_k)为第k个司机的距离权重，w(∈_k，h_k)选取为

将上述最终距离公式计算得出的最小距离对应的司机作为距离乘客最近的司机，并将该司机从司机队列L_d中删除。

6.根据权利要求1或2所述的具有个性化位置隐私保护的实时乘客和司机匹配方法，其特征在于，所述步骤4中，匹配后的乘客和司机建立的为非对称加密互相通信。

Images