面向位置大數據的差分隱私保護研究

張建坤，馬永發，謝 蔚

(廣東工業大學 自動化學院，廣東 廣州 510006)

0 引言

隨著移動通信和互聯網技術的飛速發展，世界進入了大數據時代。通過對大量數據的采集、處理和分析，從中能準確高效地提取所需要的信息，極大方便了人們的學習、生活。目前，智能手機、可穿戴設備、傳感器和其它可視化設備已經將人與事物的地理位置數據化，從中可獲得各種各樣的服務和應用，如車載導航、社交軟件的位置共享和簽到，搜索附近的服務機構和實時查詢交通信息等，這些服務在帶來極大便利的同時也可能導致隱私泄露。移動終端和傳感器能實時記錄用戶的位置和移動軌跡，并傳入互聯網和云端，這時用戶的個人信息就暴露在互聯網上[1]。一些服務商將這些位置數據倒賣，不法分子通過這些數據推斷出用戶工作角色、年齡、興趣愛好、健康狀況等個人隱私信息，極大威脅個人隱私安全。因此，如何保護好個人位置信息不被泄露成為急需解決的安全問題。

位置隱私保護研究很多，如數據擾亂[2]、數據加密[3-5]、數據匿名[6]等隱私保護技術。其中k-匿名模型[7-9]由于能保證所發布數據的真實性與安全性，受到了學術界的廣泛關注[10]。位置大數據的隱私保護技術有3大類：基于啟發式隱私度量、基于概率推測和基于隱私信息檢索的位置大數據隱私保護技術[11]，但這些技術都忽視了基于背景知識的攻擊。文獻[12]通過將攻擊者所掌握的背景知識進行分類，使用位置混淆隱形機制取得了隱私和服務精度的平衡；文獻[13]提出了一種新的上下文感知和非上下文感知差異保密技術，耦合卡爾曼過濾和指數機制，確保隱私時空數據安全；文獻[14]研究了一種基于差分的隱私機制，對位置數據進行清洗，獲得了較高的數據可用性；文獻[15]提出了“模糊化”查詢數據操作，把位置數據藏在一個隱藏的磁盤中，防止位置服務器查詢到確切位置；文獻[16]開發了提供隱私保護策略的分析框架,設計衡量移動用戶隱私的度量標準(稱為隱私度量)，并量化服務質量；文獻[17]將各種基于位置的服務(LBS)進行分類，分析各種隱私泄露類型，提出一種以保護查詢內容為目的的安全方法；文獻[18]提出了LBS群組用戶位置擾亂算法(GPOL)，將群組最近鄰查詢轉換為群組質心的最近鄰查詢，有效抵御了現有交叉攻擊和組合攻擊。上述方法能很好地從服務云端保證位置隱私安全，但都忽略了攻擊者從相關非位置數據直接或間接地挖掘出個人敏感信息而導致位置隱私泄露的問題。

1 差分隱私保護模型

1.1 相關背景知識

差分隱私保護是一種可以防止攻擊假設和一定背景知識攻擊的隱私保護技術。通過添加噪聲干擾敏感數據，輸出中的每條記錄均得到完全相同程度的保護，同時也保持數據屬性不變，保證添加噪聲后仍具有統計性。即使攻擊者已經知道除一條記錄外的所有記錄，仍然無法推斷出有關這條記錄的任何敏感屬性[19]。

定義1 (位置差分隱私)位置數據集D和D′存在且僅存在一條記錄相異，隨機算法M對D和D′的任意輸出L?Range(M)均滿足公式(1)，則稱M滿足ε-位置差分隱私[20]。

Pr[M(D)∈L]≤Pr[M(D′)∈L]eε

(1)

其中，概率Pr[]表示任意兩個數據集經過算法M輸出為L的概率；參數ε為隱私保護預算，衡量隱私保護強度，ε越小隱私保護程度越高。

定義2 (拉普拉斯噪音機制[21])對于任意一個函數f：D→Rd，算法Y滿足：

1.2 位置隱私保護方法流程

現有位置大數據服務中，一般是把從各渠道采集的與位置數據相關的數據集存入云數據庫中，用戶通過查詢函數調取所需數據。基于差分隱私的保護方法，就是將真實結果通過算法K獲得加噪擾動后的結果返回給用戶，此結果不會影響整體統計特性，具體保護框架如圖1所示。

圖1 差分隱私保護框架

以上隱私保護模型關鍵在于添加一個合理的噪聲機制，構建差分隱私算法，將加噪后的數據結果返回給用戶。

本文提出的位置差分隱私算法步驟如下：

(1)位置數據預處理。數據集包括位置數據和與之相關的非位置數據，因此需要分開處理。根據空間分解技術將空間維度的數據分解為基本數據集，保留含有位置元素的語義信息。

(2)合理分配隱私預算。對數據預處理后的結果根據其大小、類型和語義對隱私預算ε進行合理分配，防止隱私預算過度消耗使算法失效。

(3)構建差分隱私算法K。用差分隱私技術分別對不同類別的數據添加噪聲，找到最佳噪聲比，保證位置數據的服務質量。

(4)安全返回查詢結果。將分類處理的位置數據重組，計算其統計特性返回給用戶。

1.3 差分隱私保護算法

根據保護強度選定隱私預算ε，對用戶查詢相關的數據集添加噪聲，使之滿足差分隱私要求。其中包括位置數據集L={L1,…,LK}和非位置數據集D={D1,…,DK}，分別添加拉普拉斯噪聲LapNoise擾動真實值，Q為查詢函數。

差分隱私保護算法如下：

輸入隱私保護預算ε0，位置數據集L，非位置數據集D，變量i、k、Diff-PrivacyData、T

for Δf≤T

if 數據集屬于位置數據L∈{L1,…,LK}

RL=LapNoiseQ(L)，其中RL為加噪后的結果，Q(L)為包含查詢需要的位置數據

else 數據集屬于非位置數據D∈{D1,…,DK}

Rd=LapNoiseQ(D)，其中Rd為加噪后的結果，Q(D)為包含查詢需要的非位置數據

end if

ifε≤ε0

return Diff-PrivacyData(RL，Rd)

else

return 隱私預算ε超出范圍

end

1.4 算法性能分析

考慮到大數據背景下位置數據體量大、更新速度快的特點，敏感屬性數據會隨著時間的變化影響系統性能，動態數據集的敏感度會發生改動，本算法創新加入了一個敏感度Δf的閾值T。一旦由于數據集中目錄的增減、修改導致敏感度超過了閾值，就可對隱私預算進行可控調節，實時監管數據的更新信息。

評估算法性能優劣的一個重要標準，就是對用戶的服務質量也就是用戶查詢返回的結果是否達到預期進行評價。對同一查詢函數Q，敏感數據在匿名前后輸出R(Q)和R(Q′)的近似程度表示算法的可用性，近似程度越高表明服務質量越高，誤差越小。誤差SR可定義為兩輸出結果的一階范數值SR=‖R(Q)-R′(Q)‖。

對于位置服務，通常都是連續查詢Qi∈{Q1…QK…}。定義數據可用性參數滿足：

(2)

當匿名發布數據的可用性參數E低于用戶查詢要求時，可通過調節隱私預算ε保證算法的可用性能，從而獲得算法的高效性、實用性。

2 實驗結果與分析

對本文隱私保護算法是否可行進行驗證，實驗環境：Inter Core i5處理器，2.4GHz的主頻CPU，Win7操作系統，程序運行環境為Python2.6.6。針對實驗所需真實數據集，在數據庫GeoLife GPS Trajectories中下載了數據集GeoLife，其中包括經緯度、地理、城市規劃等位置數據，也包括交通方式、生活服務和社交信息等非位置數據，完全符合實驗要求。

對于經過匿名算法后的數據集Diff-PrivacyData，分析數據在發布前后的誤差和可用性是衡量該算法可行性的最基本標準，否則就失去了大數據本身的價值。為了找到數據可用性與隱私保護程度的最佳試配比，在固定ε=0.8的情況下，分析出合理的變換尺度a和數據隱私保護程度的關系，實驗結果如圖2所示。

圖2 數據相對誤差

圖3 數據可用性

圖4 隱私保護程度

從圖2可以看出，算法前后的輸出誤差和隱私預算有著緊密聯系，大致形成一個波谷形式。在ε=0.8時數據相對誤差最小，此時的數據準確性最高。結合圖2、圖3可以看出，數據誤差和可用性是彼此吻合的，數據誤差小其可用性就高。圖4顯示變換尺度和隱私保護程度呈反比。隨著隱私預算的遞增，差分算法對數據的泛化程度減小，數據可用性也隨之增加；但當隱私預算一定時，隨著變換尺度的增加，意味著用戶有較高的匿名要求，隱私保護的程度卻相對減弱，因此選擇一個合適的隱私預算至關重要。總體來看，數據可用性和隱私保護程度都基本保持在80%以上，說明該隱私保護算法具有較好的穩定性。

3 結語

本文提出一種能有效防止基于背景知識攻擊的差分隱私算法，引入隨機噪聲分別對不同類型的數據進行擾動，將加噪后的數據準確返回給用戶，保證了大數據的價值和位置服務質量。實驗結果表明，該位置隱私保護算法實現了數據可用性和隱私保護維度的有效平衡，對位置大數據隱私保護有一定的研究價值。與其它匿名隱私保護模型相比，基于差分隱私的保護方法能保證高質量數據運用于位置信息服務系統中，高效處理數據的定位、查詢、分析和發布，是未來隱私保護數據方法的研究方向。