CN116015748B

CN116015748B - 一种面向环境和用户的位置隐私保护机制的推荐方法及系统

Info

Publication number: CN116015748B
Application number: CN202211565509.1A
Authority: CN
Inventors: 邓伟林; 邱道文; 杨京开
Original assignee: Guangdong University Of Finance
Current assignee: Guangdong University Of Finance
Priority date: 2022-12-07
Filing date: 2022-12-07
Publication date: 2023-07-28
Anticipated expiration: 2042-12-07
Also published as: CN116015748A

Abstract

本发明涉及系统信息安全领域，公开了一种面向环境和用户的位置隐私保护机制的推荐方法及系统。该推荐系统包括云端离线学习模块和终端在线预测模块，其中，云端离线学习模块先通过离线学习的步骤完成面向各类环境和用户下的主流位置隐私保护机制的总体性能排序；终端在线预测模块与云端离线学习模块连接后，在线预测完成当前环境和用户识别，检索得到最佳面向当前环境和用户的位置隐私保护机制，完成面向当前环境和用户的动态推荐。本发明采用模糊不透明性度量刻画位置隐私保护机制的隐私保护水平，采用离线学习和在线预测的相结合的方法，可针对不同环境和用户隐私偏好为位置服务用户动态推荐最佳位置隐私保护机制。

Description

一种面向环境和用户的位置隐私保护机制的推荐方法及系统

技术领域

本发明属于系统信息安全领域，涉及一种面向环境和用户的位置隐私保护机制(LPPM)的推荐方法及系统。

背景技术

近年来随着无线通讯技术的发展及移动互联基础设施和智能终端的普及，位置服务(Location Based Service，以下简称LBS)的相关应用得到了快速的发展。同时，由于LBS服务器工作过程中，需要接收用户提供的实时位置，这就给LBS用户的位置隐私带来了重大的威胁。基于位置社交网络中如何为用户推荐满足其需求的个性化服务、如何保护用户的个人隐私以及如何在隐私保护的情况下提高运算效率、减少用户端的资源占有，就成为需要迫切解决的问题。

现有技术中，基于LBS服务器是攻击者这个假设，国内外学者们提出了各种各样的位置隐私保护机制(Location Privacy Protection Mechanism，以下简称LPPM)。LPPM的主要目标是最大化隐私保护水平和最小化LBS质量损失。现有技术中，博士论文《位置社交网络的服务推荐与隐私保护研究》提出了一种基于TF-IDF的位置分类方法，生成语义信息，构建用户的移动轨迹模式。通过考虑活动序列以及类型流行度，发现潜在的相似用户。在隐私保护的个性化服务推荐方面，针对现有的轨迹隐私保护方法缺乏考虑个性化服务推荐与隐私保护之间的均衡问题，提出一种差分隐私保护的潜在轨迹社区发现方法。利用轨迹分段技术，将原始的轨迹序列分为若干个不同的轨迹段。同时，设计了位置泛化矩阵以及轨迹序列函数，以泛化原始的位置点与轨迹段。

综合其他文献发现，目前的LPPM主要采用以下四种架构：基于可信第三方(Trusted Third Party，以下简称TTP)架构、基于不可信第三方(Non-Trusted ThirdParty，以下简称NTTP)架构、本地(Local)架构及端对端(Peer-to-Peer，以下简称P2P)架构。TTP框架下的LPMM的优点是易实现、效率高以及在保护水平和服务损失间有较好的平衡；缺点是可信第三方成为了性能及安全保障上的瓶颈。NTTP框架的优点是不要求第三方服务器是可信的；缺点是实现过程较复杂计算及通信开销较大。Local框架的优点是无需与第三方服务器交互、安全性能高；缺点是服务质量相对差一点。P2P框架优点是消除了性能瓶颈、保护效果较好；缺点是增加计算和通信开销、难以用于稀疏用户环境。

现有技术中经典的LPPM评价指标主要包括：位置K-匿名、ε-差分隐私、攻击成功率、位置熵等。这些评价指标均从某个特定方面较好地刻画了LPPM的隐私保护水平。然而，经典LPPM评价指标的共同问题是：并未有效区分人们对不同语义位置上的隐私关注程度上的差异(例如，人们往往对“医院”这个语义位置的隐私需求要远大于“公园”)，这将难以避免地影响到隐私保护水平度量的准确性。另外，在不同的环境中，同一种LPPM的同一个评价指标差异可能非常大(例如，同一种LPPM在低密度语义位置环境和高密度语义位置环境中，能达到位置K-匿名中的“K”的差距非常大)，这也给用户选择合适LPPM会造成较大困难。实际上，如何在LBS中选择最合适的LPPM这个问题，往往无法离开具体用户隐私偏好及具体环境来讨论。

另一方面，目前的评价指标大都只适用于一部分LPPM；因而对于普通LBS用户，特别是不熟悉信息安全理论知识的用户来说，依赖这些技术指标来选择出满足具体环境及自身隐私需求的最佳LPPM也是非常困难的。然而，现有技术的对候选位置隐私保护机制LPPM进行自动推荐的算法较为复杂、效率低，占有用户端的资源多。

发明内容

为克服上述现有技术所存在的上述不足之处，本发明的目的在于，提供一种面向环境和用户的位置隐私保护机制(LPPM)的推荐方法及系统，引入新的指标，采用的离线与在线相结合的计算模式，对LPPM进行自动推荐的算法及系统进行改进，简化算法及步骤，提高运行效率，减少对用户端的资源的占用，可以根据当前具体环境及用户动态推荐最佳LPPM，以解决上述问题。

本发明为实现上述目的，提供如下的技术方案：

一种面向环境及用户的LPPM的推荐系统，其特征在于，其包括相互连接的云端离线学习模块和终端在线预测模块，其中，云端离线学习模块设置在云端服务器中，其先通过离线学习的步骤完成面向各类环境和用户下的主流面向环境和用户的位置隐私保护机制LPPM的总体性能排序；终端在线预测模块设置在移动智能终端中，其与云端离线学习模块连接后，在线预测完成当前环境和用户识别，检索得到最佳面向当前环境和用户的位置隐私保护机制LPPM，准确和高效率地完成面向当前环境和用户的动态推荐。

一种面向环境及用户的LPPM的推荐方法，其特征在于，其包括如下步骤：

S1：离线学习步骤：云端离线学习模块根据内置离线学习程序，通过云端服务器获取数据，充分考虑攻击者的背景知识和模型学习能力，以模糊不透明性度量来刻画LPPM的隐私保护水平，通过云端离线学习完成面向各类环境和用户下的主流面向环境和用户的位置隐私保护机制LPPM的总体性能排序；

S2：在线推荐步骤：终端在线预测模块通过在移动智能终端中的在线预测程序，与云端离线学习模块连接后，在线预测完成当前环境和用户识别，检索得到最佳面向当前环境和用户的位置隐私保护机制LPPM，准确和高效率地完成面向当前环境和用户的动态推荐。

本发明提供的面向环境及用户的位置隐私保护机制的推荐方法及系统，其有益效果包括：

1、本发明提供的方法及系统，通过引入新的指标，以模糊不透明性度量来刻画LPPM的隐私保护水平，采用的离线与在线相结合的计算模式，对候选LPPM进行自动推荐的算法及系统进行改进，简化算法及步骤，提高运行效率，减少对用户端的资源的占用，可以根据当前具体环境及用户动态推荐最佳LPPM。本发明克服了现有技术的多种不足，可针对不同环境和用户隐私偏好，为位置服务用户动态推荐最佳LPPM。

2、本发明提供的方法及系统，采用的云端离线学习和终端在线预测相结合的计算模式，该模式的核心步骤分别为：云端通过离线学习的方式完成面向各类环境和用户下的主流LPPM的总体性能排序，用户移动终端只需完成当前环境和用户识别，即可检索得到最佳LPPM，该计算模式的优点是高效率地完成了面向环境和用户的动态推荐。而且本发明的算法精简、易于部署和使用，LBS用户无需了解具体的隐私保护指标，也可得到满意的位置隐私保护下的LBS服务。

3.本发明采用的LPPM的位置隐私保护水平的度量指标：模糊不透明性度量，引入该评价指标具有如下三种作用：(1)可用于评价基于TTP框架的任意LPPM；(2)充分考虑用户在语义位置上隐私关注程度上的差异；(3)充分考虑了攻击者的背景知识和模型学习能力，这使得模糊不透明性度量可以较准确和客观地刻画了LPPM的位置隐私保护水平。因此，本发明采用模糊不透明性度量作为LPPM的隐私保护质量的评价指标，该评价指标适用于所有基于TTP框架的LPPM；另外，该指标充分考虑了攻击者(LBS服务器)的背景知识及模型学习能力，这使其可以较客观和准确地刻画LPPM的隐私保护水平。

4、本发明提供的方法及系统，重点是为位置服务用户动态地提供个性化的最佳位置隐私保护机制(LPPM)推荐，首先云端通过云端离线学习模块、离线学习的方式得到各种环境及各类用户上的最佳LPPM排序；再通过移动终端的终端在线推荐模块、通过在线预测的方式完成特定用户和特定环境下的最佳LPPM推荐；其中离线学习阶段预先在云端完成了大部分计算，移动终端的在线计算量非常小，这使推荐算法效率显著提高、比常规技术提高30％以上，而且占用的移动终端资源可减少60％以上。

附图说明

通过参考以下结合附图的说明，并且随着对本发明的更全面理解，本发明的其他目的及结果将更加明白和易于理解。

图1是为本发明实施例推荐方法及系统的整体流程与模块组成示意图；

图2为本发明实施例的数据集语义位置地图的示意图；

图3为本发明实施例模糊语义位置集生成的计算树的构造示意图；

图4是本发明实施例模糊不确定性计算算法(特定数据集上LPPM的隐私保护水平计算算法)的过程示意图。

具体实施方式

请参见图1至图4，以下结合实施例对本发明的技术方案进行细致说明。

实施例1

参见附图1，本实施例提供的面向环境及用户的位置隐私保护机制的推荐系统，其包括相互连接的云端离线学习模块和终端在线预测模块，其中，云端离线学习模块设置在云端服务器中，其先通过离线学习的步骤完成面向各类环境和用户下的主流面向环境和用户的位置隐私保护机制LPPM的总体性能排序；终端在线预测模块设置在移动智能终端中，其与云端离线学习模块连接后，在线预测完成当前环境和用户识别，检索得到最佳面向当前环境和用户的位置隐私保护机制LPPM，准确和高效率地完成面向当前环境和用户的动态推荐。

一种面向环境及用户的位置隐私保护机制的推荐方法，其包括如下步骤：

实施例2：

本发明实施例提供的面向环境及用户的位置隐私保护机制的推荐方法及系统，其是在实施例1的基础上，进一步的细化。

所述的面向环境及用户的位置隐私保护机制的推荐方法，其步骤S1通过云端的离线学习，包括如下步骤：

S11：遴选出应用于LBS中的主流LPPM，编写源代码实现LPPM算法；从网络中公开测试数据集中的获取仿真数据集，对数据集进行预处理和分类，得到若干类数据集；其中对数据集进行预处理，具体包括语义位置抽取、确定直接连接关系、计算其距离分布及标注其语义位置属性；所述进行数据集进行分类，具体包括：根据语义位置间的距离分布，将其分为若干类数据集；

S12：对S11步骤中遴选出的LPPM算法及S11步骤中得到的每一类数据集进行仿真实验，通过模型学习方法仿真攻击者LBS服务器对LPPM算法的学习；用模糊自动机G刻画攻击者对LPPM的学习结果，即模糊自动机G编码了LPPM在特定数据集上的总体性能；

S13：通过计算步骤S12得到的模糊自动机G的不透明性度量来刻画特定LPPM在特定数据集和用户类别上的位置隐私保护水平；计算特定LPPM在特定数据集和用户上的LBS服务质量损失度量；根据用户类别，采用汇总函数汇总计算上述的隐私保护水平和质量损失，得到LPPM在第i类环境及第j类用户总体性能Δ_(i，j)；

S14：根据各个LPPM在不同类别用户及不同环境数据集的总体性能，从大到小排序，得到最终的面向第i类环境及第j类用户的主流LPPM排序Rank_(i，j)。

需要说明的是，步骤S11-S14均是在云端通过离线学习模式预先完成的，即是在移动终端上的LPPM推荐算法上线之前完成的；因此，在线推荐模块只需检索对应的离线学习模块中得到的LPPM排序即可。

所述步骤S2终端的在线推荐步骤，包括以下几个步骤：

S21：获取当前LBS环境及可获得的候选LPPM集合；重复类似步骤S11的内容，对当前环境下进行语义位置抽取、确定语义位置的直接连接关系、计算其距离分布及标注其隐私公共关注度等预处理；如果存在某个LPPM不在步骤S11上考虑范围内，则直接移除该LPPM；

S22：根据步骤S21中得到当前环境的距离分布，计算其与步骤S11中各类数据集的距离分布期望之间的相似性，将当前环境归类为与之相似性最高的类型；由LBS用户设置自身的隐私偏好类别(定义标准同步骤S13)；

S23：根据S22中得到的环境及用户类别，检索步骤S14中得到的对应LPPM排序，在此排序中选择排名最靠前的且包含在步骤S21中的LPPM，作为推荐的最优LPPM。

实施例3：

本发明实施例提供的面向环境及用户的位置隐私保护机制的推荐方法及系统，其与实施例1、2均基本上相同，并进行了进一步的细化。

在步骤S11中，本发明选用基于TTP框架下的几种LPPM：CliqueCloak、Casper、PrivacyGrid、ReverseCloack、MobiPriv、PathCloaking及TemporalClustering；本发明从网络中公开测试数据集Gowalla、BrightKite、Foursquare及Yelp中的随机选取仿真数据集；针对每一个数据集所在地图，本发明抽取其中的语义位置，用集合X＝{x₁，x₂，...，x_n}表示；计算出语义位置x_i到x_j的直接距离，用d_i，j表示，如果从x_i到x_j没有直接通路则d_i，j＝∞；求出数据集所在地图的面积，用Area表示；计算其语义位置密度其中为有直接通路的语义位置之间的距离期望；根据数据集的语义位置密度，将所有测试数据集分为高密度语义位置数据集(第1类)、中密度语义位置数据集(第2类)及低密度语义位置数据集(第3类)。另外，本发明对语义位置x_i标注其属性/>为：教育场所、医疗场所、住宅小区、交通场所、娱乐场所、体育场所、生活场所等。

在步骤S12中，本发明对步骤S11遴选出的每一个LPPM在每一个数据集上进行仿真实验。为了便于理解步骤S12的实现原理及过程，下面先简述LPPM基本功能。LPPM对输入的某个语义位置x_i，根据当前环境及预设的保护机制，输出某个隐身区域cr。尽管cr往往通过经纬度形式呈现，由于在步骤S12中只需关注隐私区域包含那些具体的语义位置，因此在步骤S12的说明中，只考虑cr包含的语义位置，即运行环境的不确定性决定了cr的不确定性，因此LPPM的在数据集上的总体性能可用函数/>刻画，其中X表示语义位置集，/>表示隐身区域集CR上的概率分布的集合。通过仿真实验，本发明借助常规的概率统计方法可得到函数/>然而攻击者(LBS服务器)无法直接得到函数T(由于攻击者只能得到CR序列)。尽管如此，攻击者可以通过基于背景知识的模型学习方法，可以得到刻画LPPM在数据集上的总体性能的模糊自动机

其中X是特定数据集上的语义位置集合(令|X|＝n)；CR是LPPM输出的隐身区域的集合(令|CR|＝m)；是初始语义位置概率分布，用n维行向量表示，代表攻击者对LBS用户初始位置的估计；/>是模糊语义位置集(n维行向量的集合)，代表了攻击者对语义位置估计的集合；∑是包含m²个事件的集合，其中事件/>表示用户从隐身区域cr_p移动到cr_q；A是事件矩阵的集合，对于事件/>其事件矩阵/>(n行n列)代表事件/>发生后，攻击者对LBS用户可能起始位置和结束位置的估计，即/>表示事件/>发生时，LBS用户从语义位置x_i移动到x_j的可能性。

由于攻击者接收信息是LPPM输出的隐身区域，因此攻击者可以直接得到隐身区域集CR；又因为隐身区域往往隐含了经纬度信息，攻击者也可以根据其背景知识得到语义位置集X。初始语义位置概率分布及事件矩阵/>的可以通过基于概率统计的方法学习得到；在此基础上，通过宽度优先(BFS)的计算树算法得到模糊语义位置集/>为了方便说明计算树算法，不失一般性，下面本发明将上述事件矩阵分别记为A₁，A₂，……，/>：

1)将树根节点的标签设为

2)依次计算第一层m²个子节点，将其标签分别设为向量其中符号⊙代表模糊关系的复合运算；在计算过程中，如果存在某个节点，它的标签等于之前生成的节点的标签，则标注该节点为叶子节点。

3)依次选取第一层节点中的非叶子节点依次计算其子节点，将其标签分别设置为/>类似上一步，将标签不是新标签的节点标注为叶子节点。

4)如上步骤扩展计算树，直到找不到未扩展的非叶子节点为止。

5)收集计算树上所有节点的标签(向量)，组成模糊语义位置集

常用的模糊关系复合运算包括：最大-最小复合运算(Max-Min Operation)及最大积运算(Max-Product Operation)。为了保证计算树算法的可终结性，本发明将⊙定义为最大-最小复合运算。

为了帮助理解本发明，本发明提供LPPM在一个小规模数据集上仿真实验的实施例。该数据集对应的语义位置地图如图2所示，其中包含了6个语义位置：x₁，x₂，……，x₆；仿真实验过程中，假设LPPM算法输出的隐私区域集CR＝{cr₁＝{x₁，x₂，x₃，x₄}，ct₂＝{x₃，x₄，x₅，x₆}}；借助基于概率统计学习方法，得到初始语义位置的概率分布及事件矩阵

根据上述的计算树算法，本发明可以求得对应的计算树(如图3所示)，于是得到模糊语义位置集

最后，本发明得到实施例的模糊自动机

在步骤S13中，本发明进一步在步骤S11的初始化数据集和步骤S12得到的模糊自动机G的基础上，计算LPPM的隐私保护水平和服务质量损失，并将其汇总为LPPM的总体性能。首先，在隐私保护水平的度量上，本发明采用了一种新的指标：模糊不透明性度量。模糊不透明性度量一种基于模糊逻辑推理的系统秘密信息泄露的度量指标。由于位置隐私可以看成是一类特殊的秘密信息，因此可用于度量位置隐私的泄露程度。

下面简述广义的模糊不透明性度量的定义：对于模糊自动机G，秘密行为L_s：∑^*→[0，1]、非秘密行为L_ns：∑^*→[0，1]及观测函数

其中

根据模糊逻辑的原理，公式(3)将GFO(s，L_s，L_ns)定义为模糊逻辑公式的真值，该公式的含义是：对于系统行为s，如果它是“秘密行为”，那么一定存在一个可以生成同样观测的“非秘密行为”。从模糊逻辑的角度上，如果该公式条件满足，则意味着秘密行为s不会被泄露(即攻击者无法通过其观测来确定性地推测秘密行为的发生)。直观上，本发明依据短板原则，将系统模糊不透明性度量定义为：系统秘密行为的泄露程度的下界。

在位置隐私保护场景下，由于攻击者(LBS服务器)能够观测到所有事件，因此对于任意系统行为s∈∑^*，Obs(s)＝s；另外，“位置隐私信息”被解析为广义不透明性度量中定义的“秘密行为”。更具体地，函数L_s和L_ns通过当前语义位置的“隐私程度”和“非隐私程度”来体现(分别用函数S：X→[0，1]和N_s：X→[0，1]表示)。语义位置的“隐私程度”跟两个方面有关，一是语义位置属性，二是LBS用户类型。本发明在步骤S11中已经设置好所有语义位置的属性。

在本实施例中，本发明考虑3类用户：高隐私偏好用户(第1类用户)、中隐私偏好用户(第2类用户)、低隐私偏好用户(第3类用户)。针对每一类隐私用户及语义位置属性，通过模糊数学中的评分技术，对每一个语义位置赋值，得到第i，i∈{1，2，3}，类用户对各语义位置的“隐私程度”和“非隐私程度”的刻画函数：

Sⁱ：X→[0，1]及Nⁱ：X→[0，1] (4)

作为一个实施例，本发明考虑当前语义位置的“隐私程度”来充当到达该语义位置的系统行为s的“秘密程度”，即对第i类用户，系统行为s的“隐私程度”和“非隐私程度”(在模糊逻辑意义上，它们两者的和不一定为1)分别为：

其中表示第j个元素为1，其他元素为0的列向量。根据模糊自动机理论，/>恰好为初始概率分布/>经由s到达的模糊向量。通过步骤S12中介绍的计算树算法，本发明求得G所有的可达状态。公式(5)-(6)定义了/>和/>的求解可转化为由s到达的模糊向量来求解。因此，本发明可以通过遍历G的所有可达模糊状态，来实现遍历系统行为s求GFO(s，L_s，L_ns)的下界。如此可得到位置隐私保护场景下，计算G的模糊不透明性度量的算法，该算法的步骤流程图如图4所示。从理论上本发明可以证明，图4所述算法的输出正是模糊自动机G的不透明性度量，即

GFO(G，L_s，L_ns)＝φ (7)

到此，借助相关数据预处理及仿真实验，通过图4所述算法本发明可计算指定LPPM在数据集上的隐私保护水平φ。

实施例4

参见图2-图3，发明实施例提供的面向环境及用户的位置隐私保护机制的推荐方法及系统，其与实施例1-3均基本上相同，并对实施例3进行了进一步的细化。

假设第1类用户(高隐私偏好用户)对应的语义位置隐私度函数为：S¹(x₁)＝S¹(x₂)＝S¹(x₃)＝S¹(x₄)＝S¹(x₅)＝S¹(x₆)＝1；第2类用户(中隐私偏好用户)对应的语义位置隐私度函数为：

S²(x₁)＝0.7，S²(x₂)＝0.6，S2(x₃)＝0.4，S²(x₄)＝0.35，S²(x₅)＝1，S²(x₆)＝0.4；第3类用户(低隐私偏好用户)对应的语义位置隐私度函数为：

S³(x₁)＝0.5，S³(x₂)＝0.4，S³(x₃)＝0.3，S³(x₄)＝0.25，S³(x₅)＝1，S³(x₆)＝0.3；设Nⁱ(x_j)＝1-Sⁱ(x_j)，i∈{1，2，3}，j∈{1，2，3，4，5，6}。根据图4所述算法，本发明分别计算出高、中、低隐私偏好(第1、2、3类)用户下，LPPM的隐私保护水平φ分别为：0、0.65、1。需要指出的是，如果采用位置K-匿名的隐私保护指标，本实施例的LPPM对任何用户均可达到位置4-匿名。然而从不透明度度量的角度看，该LPPM可完全满足低隐私偏好用户的需求(φ＝1)，仅可部分满足中隐私偏好用户的需求(φ＝0.65)，而完全不能满足高隐偏好用户的需求(φ＝0)。因此，本实施例很好地说明了面向LBS用户动态推荐最佳LPPM的必要性。

在步骤是S13中，本发明还需计算特定LPPM应用于特定数据集后LBS服务质量损失。计算LBS服务质量损失，也就是步骤S12所述的函数的输入与输出间的差距(该函数在步骤S12所述的仿真实验中通过常规概率统计方法获取)：

有别于步骤S12，此处的cr是LPPM的原始输出区域，并非区域内语义位置子集，另外Area(x)和Area(cr)分别表示语义位置x所占区域及其隐身区域cr的面积。

通过综合LPPM在数据集上的隐私保护水平度量φ及LBS服务质量损失θ，得到特定的LPPM在特定的数据集上的总体性能指标。最后，本发明求该LPPM在所有第i类数据集和第j类用户上的总体性能Δ_i，j(在本实施例中，本发明考虑3类数据集和3类用户，即i，j∈{1，2，3})：

在步骤是S14中，针对每一类数据和每一类用户，本实施例收集所有LPPM的总体性能值Δ_i，j，i，j∈{1，2，3}。根据各个LPPM生成的Δ_i，j从大到小排序，共得到3*3＝9组主流LPPM的排序：Rank_i，j，i，j∈{1，2，3}。

所述的在线推荐模块，在步骤S21中，其获取当前LBS环境及可获得的候选LPPM集合；然后类似于步骤S11中所述的方法，对当前环境下进行语义位置抽取、确定语义位置的直接连接关系、计算其距离分布ρ及标注其隐私公共关注度等预处理。在步骤S22中，本发明通过分别计算步骤S21中得到的语义位置密度ρ与步骤S11中得到的第i类数据集的语义位置密度期望i∈{1，2，3}，之间的距离/>从中找出产生最小距离的类型i′。用户设置隐私偏好类别j′可以由用户自主设置。在步骤S23中，检索步骤S14生成的LPPM排序Ranki_′，j′，从中检索出排名最前，并且当前移动终端上可获得的LPPM。

本发明上述实施例提供的面向环境和用户的位置隐私保护机制的推荐方法及系统，可针对不同环境和用户隐私偏好为LBS用户动态推荐最佳LPPM。本发明的系统包括两大模块：云端离线学习模块和终端在线推荐模块。离线学习模块在各类环境数据集及用户上对目前主流的LPPM进行模拟仿真，得到各环境及用户类别下的主流LPPM排序。特别地，本发明在此模块中创新地采用了模糊不透明性度量来刻画LPPM的隐私保护水平。在线推荐模块则首先完成环境及用户识别，然后检索离线学习模块中得到的对应的LPPM排序，最后得到最优LPPM推荐。

本发明在云端预先通过离线学习得到不同环境及用户类别下主流LPPM的排序，移动终端在线完成当前环境及用户识别后即可从云端的LPPM排序中检索到最佳候选LPPM。这种云端离线学习和终端在线预测相结合的计算模式极大地提高了推荐方法的效率、同时减少了终端的资源占用。

本发明所采用的模糊不透明性度量充分考虑了攻击者的背景知识和模型学习能力，较客观和准确地刻画了LPPM的隐私保护水平；同时所采用的离线学习和在线预测的相结合的方法较高效地实现了面向具体环境和用户的动态LPPM推荐。本发明可针对不同环境和用户隐私偏好，为位置服务用户动态推荐最佳LPPM，应用范围广泛。

以上所述仅为本发明的示例性实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种面向环境及用户的位置隐私保护机制的推荐方法，其特征在于，其包括如下步骤：

S1：离线学习步骤：云端离线学习模块根据内置离线学习程序，通过云端服务器获取数据，充分考虑攻击者的背景知识和模型学习能力，以模糊不透明性度量来刻画LPPM的隐私保护水平，通过云端离线学习完成面向各类环境和用户下的面向环境和用户的位置隐私保护机制LPPM的总体性能排序；

S2：在线推荐步骤：终端在线预测模块通过在移动智能终端中的在线预测程序，与云端离线学习模块连接后，在线预测完成当前环境和用户识别，检索得到最佳面向当前环境和用户的位置隐私保护机制LPPM，完成面向当前环境和用户的动态推荐；

所述S1通过云端的离线学习步骤，包括如下步骤：

S11：遴选出应用于LBS中的LPPM，编写源代码实现LPPM算法；从网络中公开测试数据集中的获取仿真数据集，对数据集进行预处理和分类，得到若干类数据集；其中对数据集进行预处理，具体包括语义位置抽取、确定直接连接关系、计算其距离分布及标注其语义位置属性；所述进行数据集进行分类，具体包括：根据语义位置间的距离分布，将其分为若干类数据集；具体包括如下步骤：

S111：选用基于TTP框架下的几种LPPM：CliqueCloak、Casper、PrivacyGrid、ReverseCloack、MobiPriv、PathCloaking及TemporalClustering；

S112：从网络中公开测试数据集Gowalla、BrightKite、Foursquare及Yelp中的随机选取仿真数据集，针对每一个数据集所在地图，本发明抽取其中的语义位置，用集合表示；计算出语义位置/>到/>的直接距离，用/>表示，如果从/>到/>没有直接通路则/>；求出数据集所在地图的面积，用/>表示；计算其语义位置密度，其中/>为有直接通路的语义位置之间的距离期望；

S113：所述语义位置标注的属性/>为：教育场所、医疗场所、住宅小区、交通场所、娱乐场所、体育场所、生活场所；

S12：对S11步骤中遴选出的LPPM算法及S11步骤中得到的每一类数据集进行仿真实验，通过模型学习方法仿真攻击者即LBS服务器对LPPM算法的学习；用模糊自动机刻画攻击者对LPPM的学习结果，即模糊自动机/>编码了LPPM在特定数据集上的总体性能；具体包括如下步骤：

在步骤S12中，对步骤S11遴选出的每一个LPPM在每一个数据集上进行仿真实验；LPPM对输入的某个语义位置x_i，根据当前环境及预设的保护机制，输出某个隐身区域；考虑/>包含的语义位置，即/>；运行环境的不确定性决定了/>的不确定性，因此LPPM的在数据集上的总体性能可用函数/>刻画，其中/>表示语义位置集，/>表示隐身区域集/>上的概率分布的集合；

通过仿真实验，得到函数，由于攻击者只能得到/>序列，攻击者即LBS服务器无法直接得到函数/>；攻击者通过基于背景知识的模型学习方法，得到刻画LPPM在数据集上的总体性能的模糊自动机

（1）

其中是特定数据集上的语义位置集合，令/>；/>是LPPM输出的隐身区域的集合、令/>；/>是初始语义位置概率分布，用/>维行向量表示，代表攻击者对LBS用户初始位置的估计；/>是模糊语义位置集、/>维行向量的集合，代表了攻击者对语义位置估计的集合；是包含/>个事件的集合，其中事件/>表示用户从隐身区域/>移动到/>；/>是事件矩阵的集合，对于事件/>，其事件矩阵/> 行/>列代表事件/>发生后，攻击者对LBS用户可能起始位置和结束位置的估计，即/>表示事件/>发生时，LBS用户从语义位置/>移动到/>的可能性；

初始语义位置概率分布及事件矩阵/>的通过基于概率统计的方法学习得到，通过宽度优先(BFS)的计算树算法得到模糊语义位置集/>；

将上述事件矩阵分别记为，/>：

1)将树根节点的标签设为；

2)依次计算第一层个子节点，将其标签分别设为向量/>,/>，，其中符号/>代表模糊关系的复合运算；在计算过程中，如果存在某个节点，它的标签等于之前生成的节点的标签，则标注该节点为叶子节点；

3)依次选取第一层节点中的非叶子节点，依次计算其子节点，将其标签分别设置为/>,/>，/>，类似上一步，将标签不是新标签的节点标注为叶子节点；

4)如上步骤扩展计算树，直到找不到未扩展的非叶子节点为止；

5)收集计算树上所有节点的标签向量，组成模糊语义位置集；

S13：通过计算步骤S12得到的模糊自动机的不透明性度量来刻画特定LPPM在特定数据集和用户类别上的位置隐私保护水平；计算特定LPPM在特定数据集和用户上的LBS服务质量损失度量；根据用户类别，采用汇总函数汇总计算上述的隐私保护水平和质量损失，得到LPPM在第/>类环境及第/>类用户总体性能/>；具体包括如下步骤：

进一步在步骤S11的初始化数据集和步骤S12得到的模糊自动机的基础上，计算LPPM的隐私保护水平和服务质量损失，并将其汇总为LPPM的总体性能：

采用模糊不透明性度量指标度量位置隐私的泄露程度；

然后计算特定LPPM应用于特定数据集后LBS服务质量损失，计算步骤S12所述的函数的输入与输出间的差距；

S14：根据各个LPPM在不同类别用户及不同环境数据集的总体性能，从大到小排序，得到最终的面向第类环境及第/>类用户的LPPM排序/>；

在步骤S13中，广义的模糊不透明性度量的定义为：对于模糊自动机G，秘密行为、非秘密行为/>及观测函数Obs:/>,

（2）

其中

（3）

根据模糊逻辑的原理，公式(3)将定义为模糊逻辑公式的真值，依据短板原则，将系统模糊不透明性度量定义为：系统秘密行为的泄露程度的下界；

在位置隐私保护场景下，对于任意系统行为 Obs/>,“位置隐私信息”被解析为广义不透明性度量中定义的“秘密行为”；更具体地，函数L_s和L_ns通过当前语义位置的“隐私程度”和“非隐私程度”来体现分别用函数/>和/>表示；在步骤S11中已经设置好所有语义位置的属性；

考虑3类用户：高隐私偏好用户即第1类用户、中隐私偏好用户即第2类用户、低隐私偏好用户即第3类用户；针对每一类隐私用户及语义位置属性，通过模糊数学中的评分技术，对每一个语义位置赋值，得到第i，类用户对各语义位置的“隐私程度”和“非隐私程度”的刻画函数：

（4）

对第i类用户，系统行为s的“隐私程度”和“非隐私程度，在模糊逻辑意义上，它们两者的和不一定为1，分别为：

（5）

（6）

其中I_j表示第j个元素为1，其他元素为0的列向量；根据模糊自动机理论，恰好为初始概率分布/>经由s到达的模糊向量；通过步骤S12中的计算树算法，求得G所有的可达状态；公式(5)-(6)定义了/>和/>的求解可转化为由s到达的模糊向量来求解；因此，通过遍历G的所有可达模糊状态，来实现遍历系统行为s求/>的下界；计算G的模糊不透明性度量的算法，所述算法的输出正是模糊自动机G的不透明性度量，即

（7）。

2.根据权利要求1所述的面向环境及用户的位置隐私保护机制的推荐方法，其特征在于，所述的步骤S14，具体包括如下步骤：

针对每一类数据和每一类用户，收集所有LPPM的总体性能值；根据各个LPPM生成的/>从大到小排序，得到9组LPPM的排序：/>，/>

3.根据权利要求1所述的面向环境及用户的位置隐私保护机制的推荐方法，其特征在于，所述步骤S2在线推荐步骤，包括如下步骤：

S21：获取当前LBS环境及可获得的候选LPPM集合；重复步骤S11，对当前环境下进行语义位置抽取、确定语义位置的直接连接关系、计算其距离分布及标注其隐私公共关注度等预处理；如果存在某个LPPM不在步骤S11上考虑范围内，则直接移除该LPPM；

S22：根据步骤S21中得到当前环境的距离分布，计算其与步骤S11中各类数据集的距离分布期望之间的相似性，将当前环境归类为与之相似性最高的类型；由LBS用户设置自身的隐私偏好类别，定义标准同步骤S13；

S23：根据S22中得到的当前环境及用户类别，检索步骤S14中得到的对应LPPM排序，在此排序中选择排名最靠前的且包含在步骤S21中的LPPM，作为向当前用户动态推荐的最优LPPM。

4.根据权利要求1所述的面向环境及用户的位置隐私保护机制的推荐方法，其特征在于，所述S2在线推荐步骤，具体包括如下步骤：

在步骤S21中，获取当前LBS环境及可获得的候选LPPM集合；然后采用步骤S11中所述的方法，对当前环境下进行语义位置抽取、确定语义位置的直接连接关系、计算其距离分布及标注其隐私公共关注度等预处理；

在步骤S22中，通过分别计算步骤S21中得到的语义位置密度与步骤S11中得到的第/>类数据集的语义位置密度期望/>,之间的距离/>；从中找出产生最小距离的类型/>；用户设置隐私偏好类别/>可以由用户自主设置；

在步骤S23中，检索步骤S14生成的LPPM排序，从中检索出排名最前、并且当前移动终端上获得LPPM。

5.一种实现权利要求1-4任一项所述推荐方法的面向环境及用户的位置隐私保护机制的推荐系统，其特征在于，其包括相互连接的云端离线学习模块和终端在线预测模块，其中，云端离线学习模块设置在云端服务器中，其先通过离线学习的步骤完成面向各类环境和用户下的面向环境和用户的位置隐私保护机制LPPM的总体性能排序；终端在线预测模块设置在移动智能终端中，其与云端离线学习模块连接后，在线预测完成当前环境和用户识别，检索得到最佳面向当前环境和用户的位置隐私保护机制LPPM，准确和高效率地完成面向当前环境和用户的动态推荐。