CN102892073A

CN102892073A - 一种适用于位置服务***中面向连续查询的位置匿名方法

Info

Publication number: CN102892073A
Application number: CN2012103356485A
Authority: CN
Inventors: 李巍; 刘春雷; 李云春; 焦伟; 蒋江涛
Original assignee: Beihang University
Current assignee: Beihang University
Priority date: 2012-09-11
Filing date: 2012-09-11
Publication date: 2013-01-23
Anticipated expiration: 2032-09-11
Also published as: CN102892073B

Abstract

本发明公开了一种适用于位置服务***中面向连续查询的位置匿名方法，该方法属于位置服务隐私保护技术领域，包括步骤：移动用户提出匿名请求；匿名服务器中的匿名模块对请求匿名，然后把匿名后的请求发送给位置服务器。位置服务器处理请求并把查询的结果集合发送给匿名服务器，匿名服务器的查询处理模块对收到的候选结果集合进行过滤，并且把精确结果发送给相应的移动用户。本发明允许移动用户个性化定制隐私保护参数。匿名模块运行在匿名服务器中；所述的匿名模块根据移动用户的隐私保护参数，利用本发明的匿名方法进行计算，保证移动用户在查询有效期内所有匿名区域包含一定数量相同的查询，而且匿名空间被其包含的移动用户共享，对位置服务中提出连续查询移动用户的查询隐私进行有效的保护。

Description

一种适用于位置服务***中面向连续查询的位置匿名方法

技术领域

本发明涉及一种位置服务隐私保护技术，更特别地说，是指一种涉及位置服务***中面向连续查询的隐私保护方法。

背景技术

无线通信和移动数据库的快速发展催生了一个新的研究领域—基于位置的服务（LBS）。移动用户为了享受这种服务，必须向服务提供商提供自身的准确位置信息。如果位置提供商不可信那么移动用户的位置信息将会泄露或者遭到非法使用。

因此，基于位置的服务给移动用户的位置隐私和查询隐私保护带来了极大的挑战。在位置服务中，常见的查询可以分为两类：静态（snapshot）查询和连续（continuous）查询。为了保护静态查询中的移动用户位置和查询隐私，广泛使用位置K-匿名模型来对移动用户进行位置匿名。该模型将移动用户准确的位置信息模糊化成一个匿名区域，用该匿名区域代替移动用户的精确位置，从而阻止攻击者获知攻击目标的位置信息。在生成匿名空间时，如果保证匿名空间中移动用户组发出的所有查询的种类满足一定的多样性参数，就可以将某种查询对应到某个特定移动用户的概率减小到一定的阈值，使移动用户的查询隐私得到有效保护。

尽管上述匿名方法在静态查询中非常有效，但是在连续查询中保护的效果不是很好，容易受到查询关联攻击。例如，如果攻击者能够获得多个移动用户在查询期间的运动轨迹，就可以分析某个移动用户在不同时刻的匿名区域和匿名区域对应的查询集合，有可能以很高的概率推断出某个移动用户的查询内容。

在无线通信网络中，所述匿名服务器存在有多个服务区域，参见图1所示，则第一服务区域记为R₁，第二服务区域记为R₂，第三服务区域记为R₃，第四服务区域记为R₄，……，最近一个服务区域记为R_r，所述R_r也称为任意一个服务区域；角标r表示服务区域的标识。对无线通信网络中的服务区域采用集合形式表达为R_服务区域＝{R₁,R₂,R₃,R₄,…,R_r}。

在无线通信网络中假设有多个移动用户，则第一用户记为U_A，第二用户记为U_B，第三用户记为U_C，第四用户记为U_D，第五用户记为U_E，第六用户记为U_F，第七用户记为U_G，……，任意一个用户记为U_u；角标u表示用户的身份。对无线通信网络中的所有移动用户采用集合形式表达为UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}。

若任意一个用户U_u在第一查询时刻T₁登录了无线通信网络，且进入了第一服务区域R₁，则U_u进入的第一服务区域R₁记为第一匿名空间

若任意一个用户U_u在第二查询时刻T₂登录了无线通信网络，且进入了第二服务区域R₂，则U_u进入的第二服务区域记R₂为第二匿名空间

若任意一个用户U_u在第三查询时刻T₃登录了无线通信网络，同时进入了第三服务区域R₃和第四服务区域记为R₄，则U_u进入的第三服务区域记为R₃为第三匿名空间

进入的第四服务区域记为R₄为第四匿名空间

若任意一个用户U_u在第t查询时刻T_t登录了无线通信网络，且进入了任意一个服务区域R_r，则U_u进入的任意一个服务区域R_r记为任意一个匿名空间

若任意一个用户U_u在第t查询时刻T_t登录了无线通信网络，同时进入了两个不同的服务区域R_r,R_r′，R_r′表示R_r的相邻服务区域，则U_u进入的R_r和R_r′服务区域记为前匿名空间

后匿名空间

第一用户U_A的查询内容记为q_A，第二用户U_B的查询内容记为q_B，第三用户U_C的查询内容记为q_C，第四用户U_D的查询内容记为q_D，第五用户U_E的查询内容记为q_E，第六用户U_F的查询内容记为q_F，第七用户U_G的查询内容记为q_G，……，任意一个移动用户U_u的查询内容记为q_u。任意一个移动用户U_u以查询内容q_u在无线通信网络中进行所需信息检索，会使匿名空间出现重叠；所述匿名空间的重叠将造成查询内容q_u的集合出现交集。所有用户查询内容采用集合形式表达为

Q＝{q_A,q_B,…,q_u}。

对于任意一个用户U_u在第t查询时刻T_t下进入任意一个服务区域R_r表示为

因此，任意一个用户U_u进入的服务区域R_r也称为匿名空间

假设攻击者能够定位出所有用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}的精确位置。攻击者首先判定出服务区域R_服务区域＝{R₁,R₂,R₃,R₄,…,R_r}是所有用户UID对应的匿名空间。因为所有用户UID在查询时刻期间T₁,T₂,T₃,…,T_t所提出的查询内容Q＝{q_A,q_B,…,q_u}是保持不变的，因此，攻击者首先根据自己的背景知识，判断出所有用户UID所处的匿名空间

和查询内容Q＝{q_A,q_B,…,q_u}，之后将查询内容Q＝{q_A,q_B,…,q_u}取交集、所有用户UID集合取交集，从而缩小推断范围，即移动用户与查询内容的对应关系。

针对图1所示，经过对服务区域中的用户集合和查询内容集合取交集后，存在有交集的匿名空间的用户是第二用户记为U_B和第三用户记为U_C。此时，攻击者便可初步判断出第二用户记为U_B和第三用户记为U_C的查询内容。又由于第三服务区域记为R₃与第四服务区域记为R₄之间有重叠区域，且第二用户记为U_B处在重叠服务区域中，因此将R₃与R₄对应的用户集合和查询内容集合取交集，从而确定出第二用户记为U_B的查询内容记为q_b，确定出第三用户记为U_C的查询内容记为q_c。上述问题产生的原因是由于移动用户的运动模式的不同，导致某个移动用户的匿名空间中的移动用户集合会不断发生变化。特别是由于移动用户查询分布和位置分布的不均匀性，不同的匿名空间之间有可能存在重叠区域，因此，会导致攻击者进一步推断移动用户的查询内容。

发明内容

针对上述查询关联攻击方式，本发明提出一种基于共享匿名空间的位置匿名方法，进一步强化匿名空间的特征，使得某个移动用户在有效期内（即移动用户从进入无线通信网络开始至退出无线通信网络的一段时间）所有匿名空间包含一定数量相同的查询内容，并且匿名空间被其包含的移动用户共享，从而抵抗查询关联攻击，更好的保护移动用户的查询隐私。本发明提出的位置匿名方法能够解决移动用户在位置服务***中隐私泄露的问题。

本发明的一种适用于位置服务***中面向连续查询的位置匿名方法，其特征在于：对基于位置服务中的移动用户提出的查询进行匿名的步骤如下：

步骤一：移动用户向匿名服务器发出请求信息

移动用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}中的任意一移动用户U_u把查询内容Q＝{q_A,q_B,…,q_u}发送给匿名服务器中的匿名模块；

所述任意一查询内容q_n的格式为<ID,x_ID,y_ID,Qcon_ID,k_ID,m_ID>；ID表示移动用户的身份；x_ID,y_ID表示移动用户的位置坐标；Qcon_ID表示请求的服务内容；k_ID表示个性化k匿名参数；m_ID表示个性化m不变性参数；

步骤二：匿名服务器对移动用户进行匿名

步骤201：匿名服务器中的匿名模块对收到的查询内容Q＝{q_A,q_B,…,q_u}中的任意移动用户U_u的标识ID进行假名赋值处理，得到用户假名ID′；同时记录移动用户的真实标识与用户假名之间的对应关系；如第一移动用户U_A的身分标识为A，在匿名模块中A对应的假名为A′，则查询内容的格式变换为<A′,x_A′,y_A′,Qcon_A′,k_A′,m_A′>；

步骤202：根据匿名模块收到的查询内容Q＝{q_A,q_B,…,q_u}中的任意移动用户U_u位置坐标x_ID,y_ID，利用hilbert曲线填充算法将移动用户U_u的二维坐标转为一维索引Index(x_ID,y_ID)；

采用hilbert曲线填充算法对移动用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}进行位置坐标x_ID,y_ID为一维索引，得到每个移动用户的Index(x_ID,y_ID)索引码；然后根据每个移动用户的Index(x_ID,y_ID)索引码对查询内容Q＝{q_A,q_B,…,q_u}中的请求服务内容Qcon_ID进行从小到大的排序，得到升序排列的查询内容D＝{q_A,q_B,…,q_u}；

步骤203：对升序排列的查询内容D＝{q_A,q_B,…,q_u}进行遍历，遍历过的移动用户组成遍历集合记为PUID＝{PU_A,PU_B,PU_C,PU_D,PU_E,PU_F,PU_G,…,PU_u}；

对升序排列的查询内容D＝{q_A,q_B,…,q_u}进行遍历，遍历过的查询内容组成遍历查询集合记为S＝{q_A,q_B,…,q_u}；

然后，获取每个移动用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}的不变服务集合IS＝{Qcon_A′,Qcon_B′,Qcon_C′,Qcon_D′,Qcon_E′,Qcon_F′,Qcon_G′,…,Qcon_u′}；

所述的不变服务集合IS的获取过程如下：

首先，根据任意移动用户U_u在初始查询时刻T₁所在的匿名空间，得到该移动用户U_u发出的查询内容q_u；以及在初始时刻T₁所在的匿名空间内其他移动用户的查询内容q_o，即排他查询内容q_o；

然后，在各个查询时刻，匿名空间需要包括查询内容q_u和排他查询内容q_o，即所有匿名空间包括查询内容q_u和排他查询内容q_o不变的查询请求，所述的包括查询内容q_u和排他查询内容q_o不变的查询请求组成不变服务集合IS＝{Qcon_A′,Qcon_B′,Qcon_C′,Qcon_D′,Qcon_E′,Qcon_F′,Qcon_G′,…,Qcon_u′}；

步骤204:将IS与S进行取交集操作，如果IS与S的交集的模大于等于移动用户的服务请求的个性化m不变性参数，则进入步骤205；或者IS为空且移动用户数大于等于个性化m不变性参数，则进入步骤205；否则匿名失败，返回步骤一；

步骤205：检查匿名空间中的移动用户数量，如果匿名空间的移动用户数量满足移动用户提出的个性化k匿名参数k_ID，则把该匿名空间作为最终的匿名空间发送给位置服务器；同时重新设置不变服务集合IS，重复执行步骤204，直至找不到任何满足要求的匿名空间；否则如果匿名空间不能满足移动用户的个性化k匿名参数k_ID要求，便与已生成的匿名空间进行融合，直到满足移动用户提出的个性化k匿名参数k_ID大小为止；

经过步骤205后，任意移动用户U_u的查询内容格式变为<u′,R_new,Qcon_u>，R_new表示经查询隐私保护算法生成的匿名空间；

步骤三：位置服务器向匿名服务器发出查询结果

位置服务器根据收到的匿名后查询内容<u′,R_new,Qcon_u>进行查询处理，并把候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}发送给匿名服务器；

步骤四：匿名服务器向移动用户发出确认后查询结果

匿名服务器收到位置服务器返回的查询结果后，根据移动用户的准确位置对查询结果进行过滤，并且把准确的查询结果发送给相应的移动用户；

匿名服务器中的查询处理模块根据移动用户位置x_ID,y_ID对位置服务器返回的候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}进行身份过滤处理，找到精确结果，得到最终查询结果L_最终＝{Lq₁,Lq₂,…,Lq_n}；然后将L_最终＝{Lq₁,Lq₂,…,Lq_n}发送给移动用户。

本发明基于共享匿名空间的位置匿名方法的优点在于：

①使用本方法可以对位置服务中移动用户提出的查询进行隐私保护，从而解决用户在使用位置服务的同时隐私遭到泄露的问题。本发明不仅可以支持移动用户在使用位置服务中的静态查询时的获得查询隐私保护，还可以有效保护连续查询时查询隐私。

②利用查询内容与hilbert曲线填充算法的结合，使得任意用户在初始查询时刻的匿名空间和任意查询时刻的匿名空间中包含了不变服务集合，所述不变服务集合能够使任意用户的查询内容具有足够的多样化，阻止了恶意攻击者推断出任意用户的查询内容。

③采用匿名空间替代准确的位置信息，从而很好的保护了移动用户的位置隐私，防止恶意攻击者获得移动用户的位置信息，从而推断出移动用户所处的位置。

附图说明

图1是传统无线通信网络中的匿名过程示意图。

图2是本发明的以查询内容为传输形式的流程图。

图3是经本发明方法处理后匿名空间不存在交叉重叠的情况示意图。

具体实施方式

下面将结合附图和实施例对本发明做进一步的详细说明。

参见图2所示的基于位置服务的连续查询隐私保护***中，该***包括有移动用户、匿名服务器以及位置服务器；所述匿名服务器包括有匿名模块和查询处理模块。由于连续查询的特点，移动用户在发出查询内容到结束查询的有效期内，需要不断的将自己的查询内容Q＝{q_A,q_B,…,q_u}报告给匿名服务器。如果某个查询时刻不能构造合适的匿名空间满足用户的隐私需求，则拒绝此查询时刻的位置服务请求。移动用户在第一次请求位置服务时，需要在匿名服务器进行注册，形成注册报告查询内容，并且匿名服务器为每次的连续查询建立一个会话（session）。在连续的查询会话中，若某个移动用户可以通过一些标识符与其他移动用户区分开来，服务质量便会提高，因此，匿名服务器会与位置服务器保持着一些会话标识符。

建立会话之后，移动用户会将自己的服务请求和隐私保护参数（个性化k匿名参数和个性化m不变性参数）发送给匿名服务器，匿名服务器中的匿名模块执行本发明的面向连续查询的位置匿名方法后，会产生一些匿名空间

和查询内容集合Q＝{q_A,q_B,…,q_u}。查询内容集合Q＝{q_A,q_B,…,q_u}是移动用户的私有信息，是本发明要保护的对象。匿名服务器中的匿名模块将匿名查询内容Q_后＝{Hq₁,Hq₂,…,Hq_n}转发给位置服务器，位置服务器再将候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}返回给匿名服务器。这样只要任意一个移动用户的U_u在匿名空间

中，并且查询内容q₁,q₂,…,q_n在Q＝{q_A,q_B,…,q_u}中的话，便会得到匿名服务。匿名服务器在收到候选查询结果之后，再将所述候选查询结果经过身份过滤的处理形成最终查询结果L_最终＝{Lq₁,Lq₂,…,Lq_n}返回给移动用户。

本发明是一种适用于位置服务***中面向连续查询的位置匿名方法，对基于位置服务中的移动用户提出的查询进行匿名的步骤如下：

步骤一：移动用户向匿名服务器发出请求信息

参见图2所示，移动用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}中的任意一移动用户U_u把查询内容Q＝{q_A,q_B,…,q_u}发送给匿名服务器中的匿名模块；

在本发明中，所述任意一查询内容q_n的格式为<ID,x_ID,y_ID,Qcon_ID,k_ID,m_ID>；ID表示移动用户的身份；x_ID,y_ID表示移动用户的位置坐标；Qcon_ID表示请求的服务内容；k_ID表示个性化k匿名参数；m_ID表示个性化m不变性参数。

在本发明中，对查询内容引入个性化k匿名参数和个性化m不变性参数有利于移动用户针对所处环境的不同，并根据自身需求灵活制定个性化的匿名参数。为保护自身的查询隐私提供更好的保障。

步骤二：匿名服务器对移动用户进行匿名

步骤201：匿名服务器中的匿名模块对收到的查询内容Q＝{q_A,q_B,…,q_u}中的任意移动用户U_u的标识ID进行假名赋值处理，得到用户假名ID′；同时记录移动用户的真实标识与用户假名之间的对应关系；如第一移动用户U_A的身分标识为A，在匿名模块中A对应的假名为A′，则查询内容的格式变换为<A′,x_A′,y_A′,Qcon_A′,k_A′,m_A′>。

采用hilbert曲线填充算法对移动用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}进行位置坐标x_ID,y_ID为一维索引，得到每个移动用户的Index(x_ID,y_ID)索引码；然后根据每个移动用户的Index(x_ID,y_ID)索引码对查询内容Q＝{q_A,q_B,…,q_u}中的请求服务内容Qcon_ID进行从小到大的排序，得到升序排列的查询内容D＝{q_A,q_B,…,q_u}。

在本发明中，hilbert曲线填充算法选用2007年12月发表的《PreventingLocation-Based Identity Inference in Anonymous Spatial Queries》，在第3段至第4段中介绍的内容，作者Panos Kalnis,Gabriel Ghinita,KyriakosMouratidis,Dimitris Papadisa。

然后，获取每个移动用户UID＝{U_A,U_B,U_C,U_D,U_E,U_F,U_G,…,U_u}的不变服务集合IS＝{Qcon_A′,Qcon_B′,Qcon_C′,Qcon_D′,Qcon_E′,Qcon_F′,Qcon_G′,…,Qcon_u′}。

在本发明中，所述的不变服务集合IS的获取过程如下：

首先，根据任意移动用户U_u在初始查询时刻T₁所在的匿名空间，得到该移动用户U_u发出的查询内容q_u；以及在初始时刻T₁所在的匿名空间内其他移动用户的查询内容q_o（简称为排他查询内容q_o）；

然后，在各个查询时刻，匿名空间需要包括查询内容q_u和排他查询内容q_o，即所有匿名空间包括查询内容q_u和排他查询内容q_o不变的查询请求，所述的包括查询内容q_u和排他查询内容q_o不变的查询请求组成不变服务集合IS＝{Qcon_A′,Qcon_B′,Qcon_C′,Qcon_D′,Qcon_E′,Qcon_F′,Qcon_G′,…,Qcon_u′}。

步骤205：检查匿名空间中的移动用户数量，如果匿名空间的移动用户数量满足移动用户提出的个性化k匿名参数k_ID，则把该匿名空间作为最终的匿名空间发送给位置服务器。同时重新设置不变服务集合IS，重复执行步骤204，直至找不到任何满足要求的匿名空间；否则如果匿名空间不能满足移动用户的个性化k匿名参数k_ID要求，便与已生成的匿名空间进行融合，直到满足移动用户提出的个性化k匿名参数k_ID大小为止。

在本发明中，经过步骤205后，任意移动用户U_u的查询内容格式变为<u′,R_new,Qcon_u>，R_new表示根据本发明的查询隐私保护算法生成的匿名空间。

在本发明中，步骤二利用查询内容Q与hilbert曲线填充算法的结合，使得任意用户U_u在初始查询时刻T₁的匿名空间

和任意查询时刻T_t的匿名空间

中包含了不变服务集合IS，所述IS能够使任意用户U_u的查询内容q_u有足够的多样化，阻止了恶意攻击者推断出任意用户U_u的查询内容。

步骤三：位置服务器向匿名服务器发出查询结果

在本发明中，位置服务器中接收到的匿名后查询内容<u′,R_new,Qcon_u>并不包括移动用户U_u的位置信息x_u,y_u，而是用R_new代替了，从而很好的保护了移动用户的位置隐私，防止恶意攻击者获得移动用户的位置信息，从而推断出移动用户所处的位置。

步骤四：匿名服务器向移动用户发出确认后查询结果

匿名服务器收到位置服务器返回的查询结果后，根据移动用户的准确位置对查询结果进行过滤，并且把准确的查询结果发送给相应的移动用户。

在本发明中，匿名服务器中的查询处理模块根据移动用户位置x_ID,y_ID对位置服务器返回的候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}进行身份过滤处理，找到精确结果，得到最终查询结果L_最终＝{Lq₁,Lq₂,…,Lq_n}；然后将L_最终＝{Lq₁,Lq₂,…,Lq_n}发送给移动用户。

在本发明中，所述身份过滤处理是指将已经存储的假名和移动用户真实的身份标识的对应寻找，找到精确结果。

在本发明中匿名服务器的查询处理模块完成了对候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}的过滤处理，保证了返回给移动用户的最终查询结果L_最终＝{Lq₁,Lq₂,…,Lq_n}的准确性，很好的满足了用户对最终结果的准确性要求，极大的提升了服务质量。

实施例

在初始查询时刻T₁，第一匿名空间

中包括有移动用户U_A,U_B,U_C。

步骤一：移动用户向匿名服务器发出请求信息

移动用户U_A把查询内容q_A发送给匿名服务器中的匿名模块；所述查询内容q_A的格式为<A,x_A,y_A,Qcon_A,k_A,m_A>；A表示移动用户U_A的身份标识；x_A,y_A表示移动用户U_A的位置坐标；Qcon_A表示移动用户U_A的请求服务内容；k_A表示移动用户U_A的个性化k匿名参数；m_A表示移动用户U_A的个性化m不变性参数。

移动用户U_B把查询内容q_B发送给匿名服务器中的匿名模块；所述查询内容q_B的格式为<B,x_B,y_B,Qcon_B,k_B,m_B>；B表示移动用户U_B的身份标识；x_B,y_B表示移动用户U_B的位置坐标；Qcon_B表示移动用户U_B的请求服务内容；k_B表示移动用户U_B的个性化k匿名参数；m_B表示移动用户U_B的个性化m不变性参数。

移动用户U_C把查询内容q_C发送给匿名服务器中的匿名模块；所述查询内容q_C的格式为<C,x_C,y_C,Qcon_C,k_C,m_C>；C表示移动用户U_C的身份标识；x_C,y_C表示移动用户U_C的位置坐标；Qcon_C表示移动用户U_C的请求服务内容；k_C表示移动用户U_C的个性化k匿名参数；m_C表示移动用户U_C的个性化m不变性参数。

步骤二：匿名服务器对移动用户进行匿名

步骤201：匿名服务器中的匿名模块对收到的所述查询内容q_A中的移动用户U_A的身份标识A进行假名赋值处理，得到用户假名A′；同时记录移动用户U_A的真实标识A与用户假名A′之间的对应关系；因此，在匿名模块中查询内容的格式变换为<A′,x_A′,y_A′,Qcon_A′,k_A′,m_A′>。

匿名服务器中的匿名模块对收到的所述查询内容q_B中的移动用户U_B的身份标识B进行假名赋值处理，得到用户假名B′；同时记录移动用户U_B的真实标识B与用户假名B′之间的对应关系；因此，在匿名模块中查询内容的格式变换为<B′,x_B′,y_B′,Qcon_B′,k_B′,m_B′>。

匿名服务器中的匿名模块对收到的所述查询内容q_C中的移动用户U_C的身份标识C进行假名赋值处理，得到用户假名C′；同时记录移动用户U_C的真实标识C与用户假名C′之间的对应关系；因此，在匿名模块中查询内容的格式变换为<C′,x_C′,y_C′,Qcon_C′,k_C′,m_C′>。

步骤202：根据匿名模块收到的查询内容q_A中的移动用户U_A的位置坐标x_A,y_A，利用hilbert曲线填充算法将移动用户U_A的二维坐标转为一维索引Index(x_A，y_A)；

根据匿名模块收到的查询内容q_B中的移动用户U_B的位置坐标x_B,y_B，利用hilbert曲线填充算法将移动用户U_B的二维坐标转为一维索引Index(x_B,y_B)；

根据匿名模块收到的查询内容q_C中的移动用户U_C的位置坐标x_C,y_C，利用hilbert曲线填充算法将移动用户U_C的二维坐标转为一维索引Index(x_C,y_C)；

然后根据Index(x_A,y_A)、Index(x_B,y_B)、Index(x_C,y_C)索引码对查询内容q_A,q_B,q_C中的请求服务内容Qcon_A,Qcon_B,Qcon_C进行从小到大的排序，得到升序排列的查询内容D＝{q_A,q_B,q_C}。

排序的结果就是有序的查询内容D。

步骤203：（a）对升序排列的查询内容D＝{q_A,q_B,q_C}进行遍历，遍历过的移动用户组成遍历集合记为PUID＝{PU_A,PU_B,PU_C}；

（b）对升序排列的查询内容D＝{q_A,q_B,q_C}进行遍历，遍历过的查询内容组成遍历查询集合记为S＝{q_A,q_B,q_C}；

（c）根据移动用户U_A在初始查询时刻T₁所在的匿名空间，得到该移动用户U_A发出的查询内容q_A；以及在初始时刻T₁所在的匿名空间内其他移动用户的查询内容

（简称为移动用户U_A的排他查询内容

）；

根据移动用户U_B在初始查询时刻T₁所在的匿名空间，得到该移动用户U_B发出的查询内容q_B；以及在初始时刻T₁所在的匿名空间内其他移动用户的查询内容

（简称为移动用户U_B的排他查询内容

）；

根据移动用户U_C在初始查询时刻T₁所在的匿名空间，得到该移动用户U_C发出的查询内容q_C；以及在初始时刻T₁所在的匿名空间内其他移动用户的查询内容

（简称为移动用户U_C的排他查询内容）；

（d）然后，移动用户U_A、移动用户U_B和移动用户U_C随机移动，进入到不同的匿名空间，如图1中的时刻T₂的匿名空间以及时刻T₃的匿名空间。在以上所述各个查询时刻，匿名空间需要包括查询内容q_u和排他查询内容q_o，即所有匿名空间包括查询内容q_u和排他查询内容q_o不变的查询请求，所述的包括查询内容q_u和排他查询内容q_o不变的查询请求组成不变服务集合IS＝{Qcon_A′,Qcon_B′,Qcon_C′,Qcon_D′,Qcon_E′,Qcon_F′,Qcon_G′,…,Qcon_u′}。

在本发明中，经过步骤205后，任意移动用户U_u的查询内容格式变为<u′,R_new,Qcon_u>，R_new表示根据本发明的查询隐私保护算法生成的匿名空间。在图3中可以看到，经过根据本发明生成的匿名空间为

和匿名空间

这两个匿名空间不存在交叉重叠的情况。换而言之，可以有效阻止攻击者对移动用户查询内容的推断，保护移动用户的查询隐私。

步骤三：位置服务器向匿名服务器发出查询结果

步骤四：匿名服务器向移动用户发出确认后查询结果

本发明允许移动用户个性化定制隐私保护参数。匿名模块运行在匿名服务器中；所述的匿名模块根据移动用户的隐私保护参数，利用本发明的匿名方法进行计算，保证移动用户在查询有效期内所有匿名区域包含一定数量相同的查询，而且匿名空间被其包含的移动用户共享，对位置服务中提出连续查询移动用户的查询隐私进行有效的保护。

Claims

1.一种适用于位置服务***中面向连续查询的位置匿名方法，其特征在于：对基于位置服务中的移动用户提出的查询进行匿名的步骤如下：

步骤一：移动用户向匿名服务器发出请求信息

所述任意一查询内容q_n的格式为＜ID,x_ID,y_ID,Qcon_ID,k_ID,m_ID＞；ID表示移动用户的身份；x_ID,y_ID表示移动用户的位置坐标；Qcon_ID表示请求的服务内容；k_ID表示个性化k匿名参数；m_ID表示个性化m不变性参数；

步骤二：匿名服务器对移动用户进行匿名

步骤201：匿名服务器中的匿名模块对收到的查询内容Q＝{q_A,q_B,…,q_u}中的任意移动用户U_u的标识ID进行假名赋值处理，得到用户假名ID′；同时记录移动用户的真实标识与用户假名之间的对应关系；如第一移动用户U_A的身分标识为A，在匿名模块中A对应的假名为A′，则查询内容的格式变换为＜A′,x_A′,y_A′,Qcon_A′,k_A′,m_A′＞；

步骤203：对升序排列的查询内容D＝{q_A,q_B,…,q_u}进行遍历，遍历过的移动用户组成遍历集合记为PUID＝{PU_A,PU_B,PU_C,PU_D,PU_E,PU_F,PU_G,…,PU_u{；

所述的不变服务集合IS的获取过程如下：

经过步骤205后，任意移动用户U_u的查询内容格式变为＜u′,R_new,Qcon_u＞，R_new表示经查询隐私保护算法生成的匿名空间；

步骤三：位置服务器向匿名服务器发出查询结果

位置服务器根据收到的匿名后查询内容＜u′,R_new,Qcon_u＞进行查询处理，并把候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}发送给匿名服务器；

步骤四：匿名服务器向移动用户发出确认后查询结果

匿名服务器中的查询处理模块根据移动用户位置x_ID，y_ID对位置服务器返回的候选查询结果C_候选＝{Cq₁,Cq₂,…,Cq_n}进行身份过滤处理，找到精确结果，得到最终查询结果L_最终＝{Lq₁,Lq₂,…,Lq_n}；然后将L_最终＝{Lq₁,Lq₂,…,Lq_n}发送给移动用户；所述身份过滤处理是指将已经存储的假名和移动用户真实的身份标识的对应寻找。