软件学报ＩＳＳＮ １０００—９８２５．ＣＯＤＥＮ ＲＵＸＵＥＷ Ｊｏｕｒｎａｌ ｏｆＳｏｆｔｗａｒｅ，２０１２，２３（２）：３５２—３６０［ｄｏｉ：１０．３７２４／ＳＰ．Ｊ．１００１ ２０１２．０３９４６］ ◎中国科学院软件研究所版权所有． Ｅ—ｍａｉｌ：ｊｏｓ＠ｉｓｃａ，ｓ．ａｃ．ｃｎ ｈｔｔｐ：／／ｗｗｗ．ｊｏｓ．ｏｒｇ．ｃｎ Ｔｅｌ／Ｆａｘ：＋８６．１ ０．６２５６２５６３ 位置服务中用户轨迹的隐私度量 王彩梅，郭亚军 ，郭艳华 （华中师范大学计算机科学系，湖北武汉４３００７９） Ｐｒｉｖａｃｙ Ｍｅｔｒｉｃ ｆｏｒ Ｕｓｅｒ’Ｓ Ｔｒａｊｅｅｔｏｒｙ ｉｎ Ｌｏｃａｔｉｏｎ－Ｂａｓｅｄ Ｓｅｒｖｉｃｅｓ ＷＡＮＧ Ｃａｉ—Ｍｅｉ， ＧＵＯ Ｙａ—Ｊｕｎ ， ＧＵＯ Ｙａｎ—Ｈｕａ （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｈｕａｚｈｏｎｇ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｗｕｈａｎ ４３００７９，Ｃｈｉｎａ） ＋Ｃｏｒｒｅｓｐｏｎｄｉｎｇ ａｕｔｈｏｒ：Ｅ—ｍａｉｌ：ｃｃｎｕｇｙｊｉ＠１２６．ｃｏｒｎ Ｗａｎｇ ＣＭ，Ｇｕｏ ＹＪ，Ｇｕｏ ＹＨ．Ｐｒｉｖａｃｙ ｍｅｔｒｉｃ ｆｏｒ ｕｓｅｒ’ｓ ｔｒａｊｅｃｔｏｒｙ ｉｎ ｌｏｃａｔｉｏｎ－ｂａｓｅｄ ｓｅｒｖｉｃｅｓ．Ｊｏｕｒｎａｌ ｏｆ Ｓｏｆｔｗａｒｅ，２０１２，２３（２）：３５２－３６０．ｈｔｔｐ：／／ｗｗｗ．ｊｏｓ．ｏｒｇ．ｃｎ／ｌＯ００—９８２５／３９４６．ｈｔｍ Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ａ ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ ｍｅａｓｕｒｅ ｆｏｒ Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ，ｗｈｉｃｈ ｉｓ ａ ｐｒｅｖａｌｅｎｔ ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖｉｎｇ ｍｅｔｈｏｄ ｉｎ ＬＢＳ（１ｏｃａｔｉｏｎ—ｂａｓｅｄ ｓｅｒｖｉｃｅｓ）．Ｉｎ ｔｈｉｓ ｍｅａｓｕｒｅ，ｔｈｅ ｕｓｅｒ’ｓ ｔｒａｊｅｃｔｏｒｙ ｉｓ ｍｏｄｅｌｅｄ ａｓ ａ ｗｅｉｇｈｔｅｄ ｕｎｄｉｒｅｃｔｅｄ ｇｒａｐｈ，ａｎｄ ｔｈｅ ｕｓｅｒ’ｓ ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ ｌｅｖｅｌ ｉｓ ｃａｌｃｕｌａｔｅｄ ｔｈｒｏｕｇｈ ｔｈｅ ｕｓｅ ｏｆ ｉｎｆｏｒｍａｔｉｏｎ ｅｎｔｒｏｐｙ．Ｉｔ ｉｓ ｐｏｉｎｔｅｄ ｏｕｔ ｉｎ ｌｉｔｅｒａｔｕｒｅｓ ｔｈａｔ ａｎｙ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖｉｎｇ ｍｅｔｈｏｄｓ ｗｉｌｌ ｂｅ ｓｕｂｊｅｃｔ ｔｏ ｐｒｉｖａｃｙ ｔｈｒｅａｔｓ ｏｎｃｅ ｔｈｅ ａｔｔａｃｋｅｒ ｈａｓ ｎｅｗ ｂａｃｋｇｒｏｕｎｄ ｋｎｏｗｌｅｄｇｅ．Ｔｈｅｒｅｆｏｒｅ，ａｄｖｅｒｓａｒｉａｌ ｂａｃｋｇｒｏｕｎｄ ｋｎｏｗｌｅｄｇｅ ｉｓ ｈｉｅｒａｒｃｈｉｃａｌｌｙ ｉｎｔｅｇｒａｔｅｄ ｉｎｔｏ ｔｈｉｓ ｍｅａｓｕｒｅ．Ｔｈｅ ｐｒｉｖａｃｙ ｍｅｔｒｉｃ ｒｅｓｕｌｔ ｃｏｍｐｏｓｅｓ ｏｆ ｔｈｅ ａｓｓｕｍｐｔｉｖｅ ｂａｃｋｇｒｏｕｎｄ ｋｎｏｗｌｅｄｇｅ ａｎｄ ｔｈｅ ｃｏｒｒｅｓｐｏｎｄｉｎｇ ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ ｌｅｖｅ１．（ＫｕＬ（Ｋｉ＋， 一），ＫＬ（ ＋， 一））ａｓｓｏｃｉａｔｉｏｎ ｒｕｌｅｓ ｉｓ ａｌｓｏ ｐｒｏｐｏｓｅｄ ｔｏ ｄｅｓｃｒｉｂｅ ｔｈｅ ａｓｓｕｍｐｔｉｖｅ ｂａｃｋｇｒｏｕｎｄ ｋｎｏｗｌｅｄｇｅ．Ｓｉｍｕｌａｔｉｏｎ ｒｅｓｕｌｔｓ ｓｈｏｗ ｔｈａｔ ｔｈｉｓ ｍｅｔｒｉｃ ｉｓ ａｎ ｅｆｆｅｃｔｉｖｅ ａｎｄ ｖａｌｕａｂｌｅ ｔｏｏｌ ｆｏｒ ｍｏｂｉｌｅ ｕｓｅｒｓ ａｎｄ ｔｈｅ ｄｅｓｉｇｎｅｒｓ ｏｆ ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖｉｎｇ ｍｅｔｈｏｄｓ ｔｏ ｍｅａｓｕｒｅ ｔｈｅ ｕｓｅｒ’ｓ ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ ｌｅｖｅｌ ｃｏｒｒｅｃｔｌｙ，ｅｖｅｎ ｔｈｅ ａｔｔａｃｋｅｒ ｈａｓ ｖａｒｉａｂｌｅ ｂａｃｋｇｒｏｕｎｄ ｎｏｗｌｅｄｇｅ．ｋ Ｋｅｙ ｗｏｒｄｓ：ｌｏｃａｔｉｏｎ—ｂａｓｅｄ ｓｅｒｖｉｃｅ；ｔｒａｊｅｃｔｏｒｙ ｐｒｉｖａｃｙ；ｐｒｉｖａｃｙ ｍｅｔｒｉｃ；ｂａｃｋｇｒｏｕｎｄ ｎｏｗｌｋｅｄｇｅ；ａｓｓｏｃｉａｔｉｏｎ ｒｕｌｅ 摘要： 针对一种流行的用户轨迹隐私保护方法——Ｓｉ１ｅｎｔ Ｃａｓｃａｄｅ，提出一种新的轨迹隐私度量方法．该度量方 法将用户运动轨迹用带权无向图描述，并从信息熵的角度计算用户的轨迹隐私水平．已有文献指出，当攻击者拥有新 的背景知识时，任何一种隐私保护方法都会受到隐私威胁．因此，将攻击者的背景知识分级融入到度量方法中，隐私 度量的结果由对背景知识的假设和相应的轨迹隐私水平值组成，并提出（ＫｕＬ（ ＋，Ｊ ） ））联系规则的方法来 描述对背景知识的假设．模拟实验结果表明，此度量方法为移动用户和轨迹隐私保护方法的设计者提供了一个有价 值的工具，能够准确地评估在攻击者具有可变背景知识情况下，用户的轨迹隐私水平． 关键词： 位置服务：轨迹隐私；隐私度量；背景知识；联系规则 中图法分类号：ＴＰ３０ｌ 文献标识码：Ａ 计算机先进技术越来越多地、无形地融入到人们的日常生活中，为我们提供各种信息服务．传感定位技术 和移动通信技术的相结合，使得基于位置的服务（１ｏｃａｔｉｏｎ．ｂａｓｅｄ ｓｅｒｖｉｃｅ，简称ＬＢＳ）￣Ｉ起人们极大的关注．近年来， ＋基金项目：国家自然科学基金（６１１７００１７） 收稿时间：２０１Ｏ－０４—３０；定稿时间：２０１０－０９．２９ 王彩梅等：位置服务中用户轨迹的隐私度量 ３５３ 位置服务不仅成为国际研究的热点，而且已成为国内外相关企业研发投入的重点之一．在基于位置的服务中，用 户通过向服务器提供其所在的位置信息而享受到与位置有关的服务，诸如查找到离自己最近的宾馆、医院、饭 店等．然而，恶意攻击者可以将位置信息和发出查询请求的内容联系到人们的私人生活、健康状况、政治立场 和宗教倾向等，或者通过联系额外知识确定一个人的真实身份．一个人的身份一旦确定，其所有其他敏感信息都 将泄露．这些攻击行为的存在，阻碍了位置服务的市场发展和商业前景．所以，在给用户提供服务的同时，对用户 位置信息加以保密显得尤为重要．轨迹隐私保护是位置隐私保护中相当重要的一个方向，恶意攻击者有可能将 用户时间顺序上的多个位置信息连接起来，从而得到用户在某一段时间内的运动轨迹．一旦用户的运动轨迹暴 露，那么用户更多的敏感信息将会受到威胁． 研究者们提出了各种保护用户轨迹隐私的方法．然而当这些方法运用到实际中时，并不能达到理论上的隐 私保护效果，用户需要及时得到关于他们当前的隐私保护程度的一个反馈．同时，为了评估保护隐私的技术水平 是否有所提高，需要建立一种隐私度量机制来评估服务系统的隐私保护效果．这对这个问题的研究具有十分重 要的意义． 本文第１节介绍相关工作．第２节针对Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法提出一种新的轨迹隐私度量方法， 包括用户运动轨迹的建模、攻击者背景知识的描述和轨迹隐私度量机制的建立．第３节通过模拟实验验证该轨 迹隐私度量方法的有效性．第４节总结并展望下一步工作． １相关工作 在隐私度量方面，最早在匿名系统中使用匿名集的大小或有效匿名集的大小来度量用户匿名性【ｌ】．林欣等 人［２］认为，当匿名集中各个用户的概率不相等时，匿名集的大小则不再能够正确地反映每个用户的真正的匿名 性．他们提出连续查询攻击算法，根据集合中ｋ个用户分别可能是真正查询发送者的概率计算出熵值，由熵值计 算出查询匿名度．Ｘｕ等人Ｌ３Ｊ认为，在基于连续位置服务的 匿名中，一个模糊区域中的用户约束了它在下一个模 糊区域中的位置，这给攻击者提供了相关信息．因此，简单地保证每个模糊区域中包含至少ｋ个用户，并不能提供 给用户 匿名的保护．他们提出了一种基于模糊区域大小的熵度量机制，不仅考虑了模糊区域内实体的数量，而 且考虑其匿名概率分布来量化系统匿名性．文献［４，５］分别使用使用最大跟踪时间和路径混淆来反映交通监控 系统中ＧＰＳ跟踪的车辆的隐私水平． Ｍａ等人【６＇７］提出Ｖ２Ｘ通信系统中的一种基于ｔｒｉｐ的度量机制来量化每个用户的位置隐私水平．采用信息理 论方法，将隐私水平量化为位置信息与特定的个人相联系的不确定性，并考虑了攻击者在一个更长的时间内（如 几天或几星期内）所获得的与隐私相关的累积信息对隐私水平的影响．文献［８，９】提出一种针对匿名通信系统的 匿名度量方法，将匿名性量化为攻击者得到的信息量与攻击者想要完全知道系统的通信模式所需要的信息量 之比来反映匿名通信系统的匿名度．Ｓｈｏｋｒｉ等人ｆＩ ｏＪ提出一种基于扭曲的隐私度量方法，通过比较攻击者观察得 到的跟踪用户的运动轨迹与用户真实运动轨迹之间的差异来反映用户的隐私水平．文献［２，３】的度量方法是针 对一种具体的隐私保护模型和攻击者具有特定背景知识的情况下提出的评估方法。而实际生活中，攻击者所拥 有的背景知识很可能是不断变化的．文献【６—１Ｏ】只是提出了一种隐私度量的框架，普遍适用于较多的隐私保护 模型，但是过于抽象．目前的位置隐私度量方法主要侧重于用户某个时刻的位置隐私度量’ｊ艮少有专门针对用户 轨迹的隐私度量方法，并且现有的位置隐私度量方法常常忽略了攻击者的背景知识，而攻击者的背景知识与隐 私度量是紧密相关的【“】． Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ是Ｈｕａｎｇ等人【Ｉ Ｊ在Ｓｉｌｅｎｔ Ｐｅｒｉｏｄ［１３，ｔ４］的基础上提出的一种轨迹隐私保护方法．在Ｓｉｌｅｎｔ Ｐｅｒｉｏｄ方法中，将用户运动的空间区域分为混合区域和应用区域．用户在混合区域中既不发送任何服务请求信 息，也不接受任何服务信息，直到换用假名从混合区域中出去．用户进入混合区域前后使用不同的假名，这样增 加了将用户的前后两个连续的位置连接起来的难度，降低了用户的两个或多个位置信息之间的可连接性，避免 了恶意攻击者得到用户的运动轨迹．但由于在混合区域不进行任何通信，所以损失了通信时间，降低了服务质 量．Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ方法对Ｓｉｌｅｎｔ Ｐｅｒｉｏｄ方法加以改进，从时间和空间两个方面对用户的位置信息进行匿名处理， ３５４ Ｊｏｕｒｎａｌ ｏｆ Ｓｏｆｔｗａｒｅ软件学报Ｖｏ１．２３，Ｎｏ．２，Ｆｅｂｒｕａｒｙ ２０１２ 通过平衡用户在混合区域和应用区域中的停留时间，在不降低服务质量的前提下，使得恶意攻击者难以将用户 的两个或多个位置信息连接起来，从而对用户的轨迹隐私提供了更强的保护． 本文针对Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法提出一种有效的轨迹隐私度量方法，将轨迹隐私量化为经过混 合区域前后用户假名之间的可联系性，实时地评估这种轨迹隐私保护方法下移动用户的轨迹隐私水平．并将攻 击者背景知识融入到度量方法中，从而度量在攻击者拥有可变背景知识下移动用户的轨迹隐私水平和轨迹隐 私暴露率，以正确地反映这个轨迹隐私保护系统真正的价值． ２轨迹隐私度量方法 ２．１用户运动轨迹建模 对用户的运动轨迹进行建模是隐私度量的基础．我们拟从攻击者的角度来分析用户的运动轨迹被跟踪和 被重构的可能性，从而能够为准确地量化评估轨迹隐私提供保证．下面以Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ方法为例来说明用户运 动轨迹建模的方法． 将进入某个混合区域中的所有用户的集合表示为卢｛ｆ，｝，从这个混合区域中出去的所有用户的集合表示为 Ｄ＝ｆｏ，｝．当恶意攻击者对某个用户Ｕ 进行跟踪时，可能观察到Ｕ 经过多个混合区域，并多次更换假名．用户在某 时刻ｔ经过的混合区域表示为 （“１）＝ ，０ ）．集合，和集合０中的用户假名存在一一对应的关系．因此，我们模拟 一个用户运动空间，用带权的无向图来表示，Ｇ＝（Ｖｉ， ，Ｅ 。）．其中，该图中的顶点分别代表从混合区域中进入和出 去的用户假名的集合。边代表一个用户在进出一个混合区域所使用的两个用户假名之间的可联系性，边的权重 表示可联系性的概率．图１以用户Ｕ１的运动为例，描述了在ＳｉｌｅｎｔＣａｓｃａｄｅ轨迹隐私保护方案下，用户实际的运动 过程和相对应的带权无向图表示的运动轨迹．这里，我们假设了知道用户Ｕ 的运动过程作为例子，而实际情况 下，用户Ｕ 的运动过程是不可知的． （ａ）用户在Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ隐私保护方案下的实际运动过程 （ｂ）与（ａ）相对应的带权无向图 Ｆｉｇ．１ Ｍｏｄｅｌｉｎｇ ｏｆ ｕｓｅｒ’Ｓ ｔｒａｊｅｃｔｏｒｙ 图１用户运动轨迹建模 ２．２攻击者背景知识 对每种隐私保护模型，攻击者所拥有的背景知识 的内容及多少直接地影响攻击这种模型的难易程度．在 Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方案下，攻击者的能力直接影响到跟踪用户的每条可能轨迹的概率大小．攻击者得 王彩梅等：位置服务中用户轨迹的隐私度量 ３５５ 到的有用背景知识越多，就越有可能将跟踪用户进出混合区域前后的用户假名联系起来，以对用户进行进一步 的跟踪，从而得到用户的轨迹信息．所以，只有将攻击者的背景知识融入到度量方法中，当攻击者背景知识变化 时，才能正确地度量用户的轨迹隐私水平． 将攻击者背景知识融入到隐私度量方法中是一个非常具有挑战性的问题，因为它需要预测攻击者可能知 道多少背景知识或者知道哪些背景知识．然而这是不可实行的，因此只能对攻击者所可能拥有的背景知识作出 各种假设．在本文中，对每次度量过程做出３种不同的假设，这３种假设的背景知识所包含的有用信息是逐级增 多的．因此，隐私度量的结果应该是由３组数据组成，每组数据都是一个二元组：由对背景知识的假设和相应的轨 迹隐私水平值组成．只有这样，用户才可以直观地感受到在不同的背景知识假设下他们的隐私受到的威胁．然后 才能根据度量结果来判断哪一个假设更符合实际情况，再判断在这种假设下的轨迹隐私水平是否是可以接受 的．如果是可以接受的，那么由轨迹隐私保护系统对用户提出的服务请求信息进行保护后，再由位置服务器提供 服务；否则，用户可以延迟享受服务的时间．因此，对背景知识进行假设并不是要求准确地预测攻击者可能知道 哪些信息。而是当用户将要提出服务时，让他们更全面地认识到享受这次服务可能会受到的隐私威胁． （１）攻击者背景知识的表达 Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法主要是通过切断用户连续位置之间的连接性来达到轨迹隐私保护的目 的，攻击者的目的就是从经过轨迹隐私保护方法保护后的用户运动模式中得到位置之间的连续性，最终得到用 户与运动轨迹的可联系性．因此，度量轨迹隐私、将轨迹隐私量化为进出混合区域时用户假名之间的可联系性， 实际上需要从推算位置之间的连续性和位置与用户之间的可联系性出发．将这两种可联系性描述为条件概率， 分别为Ｐ Ｂ ），Ｐ ｃｌｕｋ）．其中， ， 口， ｃｅＬ，Ｕ ∈Ｕ，Ｌ为在跟踪时间内与跟踪用户构成混合区域的所有用户（包括 跟踪用户）向服务器提出服务请求时提供的所有位置信息的集合， 为用户标识符的集合．现将所有的Ｐ ｊ ） 和Ｐ ｃｆ ）都看作变量，而将背景知识表达为这些变量的约束，即条件概率的值． 将攻击者可以得到的信息分为两类：公共信息和跟踪得到的信息．公共信息是攻击者不经过对用户运动进 行跟踪就可以得到的信息，例如，地图上的实际路径、攻击者之前积累的经验知识ｆ如某用户经常走某条道路）、 用户所走道路的车速等．跟踪得到的信息即为攻击者对用户进行跟踪所截取的服务请求信息，包括用户假 名、查询内容、时间信息、位置信息．从这两类信息里可以得到Ｐ（ＬＢ１ ），Ｐ ｃＩｑｋ）的值，ｑ ∈Ｑ，Ｏ为用户准标识符 的集合．准标识符（ｑｕａｓｉ．ｉｄｅｎｔｉｉｆｅｒｓ）￣常是指用户的个人信息，如性别、年龄、家庭住址等，这些个人信息通常可 以通过其他公共资源获得．攻击者的背景知识则是来自公共信息．攻击者将背景知识与跟踪得到的信息进行关 联攻击，得到尸 ｌ上 ），Ｐ ｃ Ｌｕｋ）的值，就将背景知识表达成了变量Ｐ（如 ），Ｐ（Ｌｃｌｕｋ）的约束．它们通常以各种不同的 形式出现，有等式Ｐ（Ｌ２ Ｉ）＝０．８，Ｐ ２，Ｌ３ １）＝Ｏ， －１Ｌ４ｌ三１）＝０．５，不等式Ｏ．３＜Ｐ（Ｌ１ｌｕ１）＜Ｏ．６等． （２）攻击者背景知识的量化 由于隐私度量的结果由３组对背景知识的假设和相应的轨迹隐私水平值组成，因此必须找到一种方法来 描述对背景知识的假设，让用户对所假设的背景知识有一个直观的认识．最为直接的方法是列举所有可能的背 景知识的组合，通过计算得到每一个组合在度量轨迹隐私中所起作用的大小来衡量背景知识的强弱．因为背景 知识的组合太多了，所以这种方法实际上是不可行的． 表示Ａ发生而引起占发生，此类型的关联规则为正关联规则；其他如— 或— ＝＝＞－１ 之类的关联规 则为负关联规则．所有的背景知识（如上面的等式或不等式）都可以表达为正关联规则和负关联规则，其中，条件 概率的大小表达为规则的强度．例如，等式Ｐ（ｚ２ ）＝０．８可以表达为正关联规则：Ｌ１ ２，规则强度为Ｏ．８；等式 ｅ（￣Ｌ４１Ｌ１）＝０．５可以表达为负关联规则： １＝＝＞— ４，规则强度为０．５．文献［１６】正是基于这种思想，提出使用（ ， ）最 强联系规则的方法来量化背景知识，其中， 表示 个最强的正关联规则，疋表示疋个最强的负关联规则．对两 类规则，分别根据其强度进行排序，然后挑选出 个最强的正关联规则和肛个最强的负关联规则，使用这两个 规则的集合大小来描述背景知识的强弱．但这种方法仅使用了关联规则的数量来衡量背景知识的强弱，这样是 不太准确的，因为它忽略了关联规则的强度， 因此，本文对上述方法进行改进，使用属于不同强度区间的关联规则的数量来描述所假设的攻击者拥有的 ３５６ Ｊｏｕｒｎａｌ ｏｆＳｏｆｔｗａｒｅ软件学报Ｖｏ１．２３，Ｎｏ．２，Ｆｅｂｒｕａｒｙ ２０１２ 背景知识的强弱， ￣（ＫｖＬ（Ｋｉ＋， ０）， （ ＋， 一））联系规则的方法来量化背景知识．首先，通过关联攻击找出所有 和三ｃ以及 和 之间的正关联规则和负关联规则，规则的强度则是规则关联性的大小．然后将所有关联规则 根据其规则强度分为 类，所以，ｉ＝１，２ ．， ；概率大小总区间为［Ｏ，１】．显然，ｎ越大，各关联规则之间的区分就越细 致，对背景知识的量化也就越准确．同时 表示所有ｕ 和 ｃ之间的关联规则的集合的大小， 表示所有 和 之间的关联规则的集合的大小， ＋表示集合中第ｉ类正关联规则的数量， 一表示集合中第ｉ类负关联规则的 数量，ＫｕＬ（Ｋｉ＋，Ｋｉ一）中，∑ ＋＋∑Ｋｉ一＝Ｋｖｚ，ＫＬ（Ｋ￣＋，Ｋｉ一）中，∑ ＋＋∑Ｋｉ一＝ＫＬ．这样，我们不仅考虑了背景知识中所 包含的关联规则的数量，而且考虑其概率分布，对背景知识的量化更加准确． ２．３轨迹隐私度量机制 下面建立一种轨迹隐私度量机制，根据所假设的攻击者拥有的背景知识并结合对用户运动轨迹的建模进 行推理，计算出在Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法下用户的轨迹隐私水平． 以前面对用户运动轨迹建模的分析为例，每个用户进入一个混合区域时，有一个唯一假名来标识这个用户， 在出混合区域时，有且仅有１个假名，也就是说，进入前的所有用户假名和出去时的所有用户假名具有一一对应 的映射关系．假设有Ⅳ个用户进入混合区域，那么一共有Ⅳ！种映射关系，攻击者很难正确地判断它们之间的配对 关系，在没有任何背景知识的情况下，攻击者认为出现这Ｍ种映射关系的概率是相等的． 对于每一个混合区域所对应的单个带权无向图Ｇ：（ ， ，Ｅｉ。），我们用一个ｍ￣ｍ的矩阵加以描述．这里，ｍ为 进入混合区域的用户数量，即 ＝ｌ ｌ＝Ｉ １．其中 。＝ 。Ｉｆ∈ ，ＯＥ ｝，ｅｆｏｅＥｉ。的值的大小由ｉ和０之间的关联概率 ｐ（ｉ，０）∈【Ｏ，１】来决定，它表示无向图的边的权值．当ｐ（ｆ，０）的值为０时，表示攻击者确定ｉ和０之间没有联系性，它们 不是对应同一个用户．当攻击者确定这两个用户名是指同一用户时，其概率值则为１．另外，从每个顶点ｆ∈ 或 ＯＥ Ｖｏ发出的边的概率之和为Ｉ，∑： 。ｐ（６， ）＝１，∑：； Ｐ（ｉｋ， ）＝１．也就是说，矩阵的每一列或每一行之和均为１． 对于每个用户，攻击者对用户进行跟踪，可能观察到用户经过时间顺序上的多个混合区域．在没有背景知识 的情况下，攻击者认为从混合区域中出去的任何一个假名所代表的用户是攻击者所跟踪用户的概率相等．在经 过一些混合区域之后，假设会形成 种可能的用户运动轨迹，这些属于单个用户的可能的多条运动轨迹则是树 形结构，每条轨迹的概率也相等，均为１Ⅸ其中 为树的叶子节点的个数．攻击者在获得和利用背景知识进行推 理后，每条可能的运动轨迹是用户真实运动轨迹的概率不再相等．而且攻击者可以根据用户经过每个混合区域 的概率值最终确切地计算出每条运动轨迹的概率值，再通过信息理论方法计算每个用户的轨迹隐私水平． 信息熵常常用于表示某种特定信息的出现概率，一个系统越是有序，信息熵就越低；反之，一个系统越是混 乱，信息熵就越高．攻击者对用户轨迹隐私攻击的主要目的是要挑选出概率最大的轨迹，如果攻击者认为特定用 户每条可能的运动轨迹的概率相等，则表示系统是混乱的；如果每条可能的运动轨迹的概率差别很大，则表示系 统是有序的．因此，选用信息熵来度量轨迹隐私是可行的． 随机变量 的熵表示通过学习 获得的信息量，用来量化一个变量 的不确定性的程度，计算如下： Ｈ（Ｘ）＝一 ｐ（ｘ）ｌｏｇｐ（ｘ） （１） 当所有可能的情况集中在同一个值上时 的熵取最小值０；当所有值等概率时 的熵取最大值（Ⅳ为样本 空间的大小）． 攻击者根据所拥有的背景知识推理并计算出某个用户每条可能的运动轨迹的概率值，每条轨迹的概率由 无向图中组成这条轨迹的各条边的权重相乘得到．将用户Ｕ 每条可能的轨迹记为 ， Ｐｌ，Ｐ２ ．，尸 则 ｅｉｏ∈ ＝．， 其概率值分别为 ｅｉｏ∈ 兀ｅｉｏ＝兀ｐ（ｉ，ｏ）， ＝１，２，．．．， （２） 这里’＝’ ｅ／ｏ 一 １尸（厶／ ）ｏｒ ＰＧ／’ ｕ Ｐ（Ｌ ｏ／Ｕ ），当攻击者具背景知识时耋萎 喜 ’时， Ｓｉｚ （Ｍｔ（ｕｉ肭进入混合区域 的用户。 … 数量，ｆ从混合区域 （“ ）进入，０从混合区域Ｍｒ（ｕ３出去，厶为假名为ｉ的用户发出的位置信息， 。为假名为０的用 王彩梅等：位置服务中用户轨迹的隐私度量 ３５７ 户发出的位置信恩． 根据公式（１），我们可以计算出特定用户Ｕ 的熵为 Ｈ（ｕ ）＝一∑ １Ｐ ｌｏｇｐ （ ）＝一Ｉｏｇ÷ （３） （４） 在攻击者没有任何知识背景的情况下，每条运动轨迹的可能性是等概率的．这时，这个用户的最大熵值为 我们用Ｄ（ｕ３来衡量用户轨迹隐私水平．它表示特定用户的轨迹隐私保护程度． ） Ｈ（ｕ ｉ）％ （５） 因此，１—Ｄ（ ）表示用户 的轨迹隐私泄漏率．Ｄ（ｕｆ）的值越大，表示用户 ｆ的轨迹隐私受保护程度越高、隐私泄漏 率越低、攻击者的能力越小：反之亦然． ３实验结果与分析 在模拟实验中，对于Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法满足通信质量需求一定的情况下，通过假设攻击者拥 有不同的背景知识，然后在Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法下的同一个实例中分别度量用户的轨迹隐私水平， 评估当攻击者所拥有的背景知识不同时同一用户的轨迹隐私保护水平．实验以ＵＣＩ机器学习数据集里的Ａｄｕｌｔ 数据集和城Ｏｌｄｅｎｂｕｒｇ的交通网络图作为初始数据，将Ａｄｕｌｔ数据集里的个人作为用户模拟到Ｏｌｄｅｎｂｕｒｇ市的 交通网络图中．并且用户的轨迹隐私受到ＳｉｌｅｎｔＣａｓｃａｄｅ方法的保护．将攻击者背景知识作为输入，测试用户的轨 迹隐私水平作为输出．测试时，所输入的攻击者背景知识取自攻击者背景知识库，并通过ＭＥ ｍｅｔｈｏｄＵ６１表达成联 系规则，攻击者背景知识库由Ａｄｕｌｔ数据集、Ｏｌｄｅｎｂｕｒｇ交通网络图以及用户发出的查询请求信息共同构成。模 拟实验在普通微机的Ｗｉｎｄｏｗｓ平台下使用Ｖｉｓｕａｌ Ｃ＋＋６．０开发实现，测试机器基本参数为Ｐｅｎｔｉｕｍ４ ＣＰＵ ３．００ＧＨｚ，内存２ＧＢ．实验着重从以下几个方面分析了攻击者所拥有的背景知识如何影响用户的轨迹隐私： （１）攻击者有无背景知识对轨迹隐私度量结果的影响 在基于位置的服务中，已有的隐私度量方法基本上是假设攻击者没有任何背景知识或者只是拥有某些特 定的背景知识．而现实生活中，攻击者都是掌握一定的背景知识的，而且攻击者所掌握的背景知识很可能是不断 变化的．根据实验结果描绘了两条曲线， 是假设攻击者没有任何背景知识， 是假设攻击者具有一定的背景知 识．实验时，从攻击者背景知识库的Ａｄｕｌｔ数据集、交通网络图和用户发出的查询请求记录中分别取记录量为３ ０００，２ ０００，１ ０００，可表达为大概３×ｌ０ 个联系规则，如图２所示．可以看出，当攻击者没有任何背景知识时，隐私没 有暴露；而当攻击者具有一定的背景知识时，随着跟踪时间的变长，隐私则逐渐趋于暴露．因此，在轨迹隐私度量 方法中考虑攻击者所拥有的背景知识是必不可少的．同时，也表明了轨迹隐私度量的结果不仅应该包含轨迹隐 私水平值，而且应该包含对背景知识的假设，即度量结果应该由这两个元素组成．这体现了在帮助用户理解他们 的隐私受保护程度方面，让用户知道攻击者所拥有的背景知识起着至关重要的作用． （２）ＫＵＬ和 对轨迹隐私度量结果的影响 在实验中对比分析了两类背景知识对轨迹隐私的影响：用户与位置之间的关联规则、两个位置之问的关联 规则，如图３所示．描绘了３条曲线：ＫｕＬ曲线使用了３Ｋ／４个用户与位置之间的关联规则和Ｋ／４个位置与位置之 间的关联规则；ＫＬ曲线使用了 ４个用户与位置之间的关联规则和３１（／４个位置与位置之间的关联规则； 眦， ）曲线使用了１（／２个用户与位置之间的关联规则和１（／２个位置与位置之间的关联规则．从图中我们可以 清楚地看出，随着攻击者得到更多的背景知识，用户的轨迹隐私水平变得越来越低．尤其是当Ｋ很小时，隐私水平 下降得很快；当攻击者得到越来越多的背景知识时，下降速率变慢．这是因为在背景知识量增大的同时也包含了 更多的冗余信息，相对而言，对攻击者有用的信息变少，所以隐私水平的下降速率变慢． 对比分析这３条曲线可以看出，不同类型的背景知识对隐私暴露的影响大小不一样，隐私水平下降的速率 不同．（ＫｖＬ， ）曲线下降得最快．这表明，即使背景知识的量是相同的，但这两类背景知识的组合比单独的一类背 ３５８ Ｊｏｕｒｎａｌ ｏｆ Ｓｏｆｔｗａｒｅ软件学报Ｖｏ１．２３，Ｎｏ．２，Ｆｅｂｒｕａｒｙ ２０１２ 景知识包含更多的有用信息，攻击者得到这两类背景知识的组合对其更加有用．所以，我们在量化背景知识时， 要同时考虑 ［ 和 ，． 同时，对比ＫｕＬ和 两条曲线，当背景知识的量相同而用户与位置之间关联的背景知识所占比例更大时， 用户轨迹隐私水平的下降速率更快．可以看出，用户与位置之间关联的背景知识比两个位置之问关联的背景知 识对攻击者得到用户的轨迹隐私起到更大的作用．所以，在我们设计轨迹隐私保护方法时，应该着重在切断用户 准标识符与位置之间的可关联性方面做工作，也应该着重避免泄漏关于用户准标识符与位置之间关联的背景 知识． Ｆｉｇ．２ Ｅｆｆｅｃｔ ｏｆ ａｄｖｅｒｓａｒｉａｌ ｂａｃｋｇｒｏｕｎｄ ｋｎｏｗｌｅｄｇｅ ｏｎ ｐｒｉｖａｃｙ ｍｅｔｒｉｃ ｒｅｓｕｌｔ 图２攻击者有无背景知识对轨迹隐私度量结果的影响 一 ‘曷 Ｋ（ｘｌ０ ） Ｆｉｇ．３ Ｅｆｆｅｃｔ ｏｆｔｈｅ ｖａｌｕｅ ＫｕＬ ａｎｄ ＫＬ ｏｎ ｐｒｉ‘ｖａｃｙ ｍｅｔｒｉｃ ｒｅｓｕｌｔ 图３ ＫｖＬ和 对轨迹隐私度量结果的影响 （３），ｌ的取值对轨迹隐私度量结果的影响 相对于文献［１６１中提出的量化背景知识的方法，本文提出了 （ ＋ 一）， （ ＋ 一））联系规则的方法，不仅 考虑了背景知识中的正关联规则和负关联规则的数量，而且考虑了这些关联规则的概率分布．在本次模拟实验 中，我们选取了包含Ｋ／２个Ｋｕｚ关联规则和Ｋ／２个 关联规则的背景信息（这里，Ｋ＝２ｘ１０ ），这两类关联规则分别 所包含的正关联规则和负关联规则的数量相等． 图４（ａ）ｑｈ描绘了两条曲线，一条曲线的背景知识为厂 ，另一条曲线的背景知识为厂２．厂 ，厂２所包含的关联规 则在数量上相同，但概率分布不同．当ｎ＝０，即不考虑关联规则的概率分布时，对它们的描述相同．当ｎ＝５时，／＝１，２， ３，４，５，将概率分为５类：［０，０．２】，（Ｏ．２，０．４），（Ｏ．４，０．６），（Ｏ．６，０．８），（０．８，１），对它们的描述分别为厂１＝（ ＋＝ 一＝Ｏ．１ｘｌＯ４，ｉ＝１，２， ３，４，５）；厂２＝（ ｌ＋： １＿＝０．０５￣１０４， ＋＝ ＿＿０．０５ｘ１０４， ＿＿０．０５ｘ１０４，ｇ４＋＝／（４－０．１５ｘ１０４，Ｋｓ￣＝Ｋｓ一＝０．２ｘ１０ ）．为了简 洁，这里只是描述了（＾ （ ＋，Ｊ ）， （ ＋， 一））中的（ ＋， ０），下面对厂３和厂４的描述也是如此． 当ｎ＝０，即不考虑关联规则的概率分布时，在轨迹隐私度量结果中，对背景知识假设的描述相同，都为厂 （ 厂】＝ １２），但隐私水平值是不一样的；当ｎ＝５时，因为考虑了关联规则的概率分布，轨迹隐私度量结果中对背景 知识假设的描述不同，分别为厂。和／＇２，自然分别对应不同的隐私水平值．从实验结果可以看出，当只使用关联规 则的数量来量化背景知识时，并不能准确地描述背景知识，就会出现这样的情况：所描述的背景知识一样，但是 王彩梅等：位置服务中用户轨迹的隐私度量 ３５９ 隐私水平值不同．因此，将关联规则的概率分布融入到量化背景知识的方法中是有必要的． 图４０）中同样描绘了两条曲线，一条曲线的背景知识为 ，另一条曲线的背景知识为厂４．我们分别取这样的 数据：当ｎ＝５时，对背景知识的描述是相同的，都是厂 （厂ｒ－厂３＝Ｆ４），厂 ＝一ｌ＋＝ １一＝０．１Ｘ１０４， ＋＝ 一＝Ｏ．１×１０４，Ｋ３＋＝ ０．１ｘ１０４Ｋ４＋＝Ｋ４一＝０．１ｘｌ０４Ｋｓ＋＝Ｋ５一＝０．１ｘｌ０ ）；当，，ｎ＝１０时，把概率区间分为１０类，分别为【０，０．１］，（０．１，０．２）， Ｏ．０８ｘ１０ ，ｉ＝２，４，６，８，１０）． （０．２，０．３），（０．３，０．４），（Ｏ．４，０．５），（Ｏ．５，０．６），（０．６，０．７），（Ｏ．７，０．８），（Ｏ．８，０．９），（０．９，１），对背景知识的描述不同，分别为厂３和厂４， Ｆ３＝（ ＋＝ 一＝０．０５ｘ１０４ ｉ＝Ｉ，２，．．．，１Ｏ）；厂４＝（ ＋＝ ０．０２ｘ１０４ ｉ＝１，３，５，７，９， ＋＝ 当ｎ＝５时，对背景知识的描述是相同的，都是厂（ ＝厂 厂４），而隐私度量结果不一样；当ｎ＝１０时，对背景知识 的描述不同分别为厂 和厂４，分别对应不同的隐私水平值．从实验结果可以看出，ｎ越大，关联规则的概率分布区分 得越细致，所描述的背景知识就越准确． Ｋ Ｋ （ａ）ｎ＝Ｏ，ｎ＝５ （ｂ）ｎ＝５，ｎ＝１０ Ｆｉｇ．４ Ｅｆｆｅｃｔ ｏｆ ｔｈｅ ｖａｌｕｅ ｎ ｏｌｌ ｐｒｉｖａｃｙ ｍｅｔｒｉｃ ｒｅｓｕｌｔ 图４ ｎ的取值对隐私度量结果的影响 ４结论与展望 本文针对现有的Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ轨迹隐私保护方法，提出基于熵理论的轨迹隐私度量方法，并将攻击者背景 知识融入到度量方法中．实验结果表明了该度量方法的有效性，当攻击者所拥有的背景知识变化时，也能准确地 度量用户的轨迹隐私．同时，对实验结果的分析给轨迹隐私保护方法的设计者提供了一些参考，有助于他们设计 出更好的轨迹隐私保护方法． 随着对位置服务中轨迹隐私度量的研究，如何将攻击者所拥有的背景知识更贴切地融入到度量方法中，将 是我们下一步要进行的重点工作． Ｒｅｆｅｒｅｎｃｅｓ： ［１】 Ｋｅｌｌｙ ＤＪ，Ｒａｉｎｅｓ ＲＡ，Ｇｒｉｍａｉｌａ ＭＲ，Ｂａｌｄｗｉｎ ＲＯ，Ｍｕｌｌｉｎｓ ＢＥ．Ａ ｓｕｒｖｅｙ ｏｆ ｓｔａｔｅ—ｏ￣ｔｈｅ－ａｒｔ ｉｎ ａｎｏｎｙｍｉｔｙ ｍｅｔｒｉｃｓ．Ｉｎ：Ａｎｔｏｎａｔｏｓ Ｓ， ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ １ ｓｔ ＡＣＭ Ｗｏｒｋｓｈｏｐ Ｏｎ Ｎｅｔｗｏｒｋ Ｄａｔａ Ａｎｏｎｙｍｉｚａｔｉｏｎ．Ａｌｅｘａｎｄｒｉａ：ＡＣＭ，２００８．３１—４０．［ｄｏｉ：１０．１ １４５／１４５６４４１． １４５６４５３】 【２】Ｌｉｎ ｘ，Ｌｉ ＳＰ，Ｙａｎｇ ＣＨ．Ａｔｔａｃｋｉｎｇ ａｌｇｏｒｉｔｈｍｓ ａｇａｉｎｓｔ ｃｏｎｔｉｎｕｏｕｓ ｑｕｅｒｉｅｓ ｉｎ ＬＢＳ ａｎｄ ａｎｏｎｙｍｉｔｙ ｍｅａｓｕｒｅｍｅｎｔ．Ｊｏｕｒｎａｌ ｏｆ Ｓｏｆｔｗａｒｅ． ２００９，２Ｏ（４）：１０５８—１０６８（ｉｎ Ｃｈｉｎｅｓｅ ｗｉｔｈ Ｅｎｇｌｉｓｈ ａｂｓｔｒａｃｔ）ｈｔｔｐ：／／ｗｗｗ．ｊｏｓ．ｏｒｇ．ｃｎ／１０００—９８２５／３４２８．ｈｔｍ［ｄｏｉ：１０．３７２４／ＳＰ．Ｊ．１００１． ２００９．０３４２８】 【３］Ｘｕ Ｔ，Ｃａｉ Ｙ．Ｌｏｃａｔｉｏｎ ａｎｏｎｙｍｉｔｙ ｉｎ ｃｏｎｔｉｎｕｏｕｓ ｌｏｃａｔｉｏｎ—ｂａｓｅｄ ｓｅｒｖｉｃｅｓ．Ｉｎ：Ｓａｍｅｔ Ｈ，ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ １５ｔｈ Ａｎｎｕａｌ ＡＣＭ Ｉｎｔ’ｌ Ｓｙｍｐ．ｏｎ Ａｄｖａｎｃｅｓ ｉｎ Ｇｅｏｇｒａｐｈｉｃ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ．Ｓｅａｔｔｌｅ：ＡＣＭ，２００７．１－８．［ｄｏｉ：１０．１ １４５／１３４１０１２．１３４１０６２】 【４］Ｇｍｔｅｓｅｒ Ｍ，Ｈｏｈ Ｂ．Ｏｎ ｔｈｅ ａｎｏｎｙｍｉｙ ｏｆ ｔｐｅｒｉｏｄｉｃ ｌｏｃａｔｉｏｎ ｓａｍｐｌｅｓ．Ｉｎ：Ｈｕｔｔｅｒ Ｄ，ｅｄ．Ｐｒｏｃ．ｏｆ ｈｅ ２ｎｄ Ｉｎｔ’ｔ１ Ｃｏｎｅ ｏｎ Ｓｅｃｕｒｉｔｙ ｉｎ Ｐｅｒｖａｓｉｖｅ Ｃｏｍｐｕｔｉｎｇ．ＬＮＣＳ ３４５０，Ｈｅｉｄｅｌｂｅｒｇ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００５．１７９—１９２．【ｄｏｉ：１０．１００７／９７８—３－５４０—３２００４—３１９】 —【５］Ｈｏｈ Ｂ，ＣＪｒＵｔｅｓｅｒ Ｍ，Ｘｉｏｎｇ Ｈ，Ａｌｒａｂａｄｙ Ａ．Ｐｒｅｓｅｒｖｉｎｇ ｐｒｉｖａｃｙ ｉｎ ＧＰＳ ｔｒａｃｅｓ ｖｉａ ｕｎｃｅｒｔａｉｎｔｙ・ａｗａｒｅ ｐａｔｈ ｃｌｏａｋｉｎｇ．Ｉｎ：Ｎｉｎｇ Ｐ．ｅｄ． Ｐｒｏｃ．ｏｆ ｔｈｅ １４ｔｈ ＡＣＭ Ｃｏｎｆ．Ｏｉｌ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ．Ａｌｅｘａｎｄｒｉａ：ＡＣＭ，２００７．１６１—１７１＿【ｄｏｉ：１０．１ １４５／ １３１５２４５．１３１５２６６１ ３６０ Ｊｏｕｒｎａｌ ｏｆＳｏｆｔｗａｒｅ软件学报Ｖｏ１．２３，Ｎｏ．２，Ｆｅｂｒｕａｒｙ ２０１２ 【６］ Ｍａ ＺＤ，Ｆｒａｎｋ Ｋ，Ｍｉｃｈａｅｌ Ｍ．Ａ ｌｏｃａｔｉｏｎ ｐｒｉｖａｃｙ ｍｅｔｒｉｃ ｆｏｒ Ｖ２Ｘ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｙｓｔｅｍｓ．Ｉｎ：Ｍａｎｏｕｓａｋｉｓ Ｋ．ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ２００９ ＩＥＥＥ ＳａｍｏｆｆＳｙｍｐ．Ｐｒｉｎｃｅｔｏｎ：ＩＥＥＥ，２００９．１－６－【ｄｏｉ：１０．１ １０９／ＳＡＲＮＯＦ．２００９．４８５０３１８】 ［７］ Ｍａ ＺＤ，Ｆｒａｎｋ Ｋ，Ｍｉｃｈａｅｌ Ｍ．Ｍｅａｓｕｒｉｎｇ ｌｏｃａｔｉｏｎ ｐｒｉｖａｃｙ ｉｎ Ｖ２Ｘ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｙｓｔｅｍｓ ｗｉｔｈ ａｃｃｕｍｕｌａｔｅｄ ｉｎｆｏｒｍａｔｉｏｎ．Ｉｎ：Ｎｉ ＬＭ，ｅｄ．Ｐｒｏｃ．ｏｆｔｈｅ ６ｔｈ ＩＥＥＥ Ｉｎｔ’ｌ Ｃｏｎｆｉ ｏｎ Ｍｏｂｉｌｅ Ａｄ－Ｈｏｃ ａｎｄ Ｓｅｎｓｏｒ Ｓｙｓｔｅｍｓ．Ｍａｃａｏ：ＩＥＥＥ，２００９．３２２—３３１．【ｄｏｉ：１０．１１０９／ ＭＯＢＨＯＣ．２００９．５３３６９８３］ ｖｒｉｋａｙａ Ｆ，Ｙｅｎｅｒ Ｂ．Ａ ｃｏｍｂｉｎａｔｏｒｉａｌ ａｐｐｒｏａｃｈ ｔｏ ｍｅａｓｕｒｉｎｇ ａｎｏｎｙｍｉｔｙ．Ｉｎ：Ｐｒｏｃ．ｏｆ ｔｈｅ ＩＥＥＥ Ｉｎｔｅｌｌｉｇｅｎｃｅ ａｎｄ ［８］ Ｅｄｍａｎ Ｍ，ＳｉＳｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ．Ｎｅｗ Ｂｒｕｎｓｗｉｃｋ：ＩＥＥＥ，２００７．３５６－３６３．【ｄｏｉ：１０．１１０９／ＩＳＩ．２００７．３７９４９７】 ｅｒｌｉｃｈｓ Ｂ，Ｔｒｏｎｃｏｓｏ Ｃ，Ｄｉａｚ Ｃ，Ｐｒｅｎｅｅｌ Ｂ，Ｖｅｒｂａｕｗｈｅｄｅ Ｉ．Ｒｅｖｉｓｉｔｉｎｇ ａ ｃｏｍｂｉｎａｔｏｒｉａｌ ａｐｐｒｏａｃｈ ｔｏｗａｒｄ ｍｅａｓｕｒｉｎｇ ａｎｏｎｙｍｉｔｙ．Ｉｎ： 【９］ ＧｉＡｔｌｕｒｉ Ｖ，ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ７ｔｈ ＡＣＭ Ｗｏｒｋｓｈｏｐ ｏｎ Ｐｒｉｖａｃｙ ｉｎ ｔｈｅ Ｅｌｅｃｔｒｏｎｉｃ Ｓｏｃｉｅｔｙ．Ａｌｅｘａｎｄｒｉａ：ＡＣＭ，２００８．１ １ １－１ １６．【ｄｏｉ： １０．１ １４５／１４５６４０３．１４５６４２２］ Ｒ，Ｆｒｅｕｄｉｇｅｒ Ｊ，Ｊａｄｌｉｗａｌａ Ｍ，Ｈｕｂａｕｘ ＪＰ．Ａ ｄｉｓｔｏｒｔｉｏｎ－ｂａｓｅｄ ｍｅｔｒｉｃ ｆｏｒ ｌｏｃａｔｉｏｎ ｐｒｉｖａｃｙ．Ｉｎ：Ａ１一Ｓｈａｅｒ Ｅ，ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ８ｔｈ ［１０］ ＳｈｏｋｒｉＡＣＭ Ｗｏｒｋｓｈｏｐ ｏｎ Ｐｒｉｖａｃｙ ｉｎ ｔｈｅ Ｅｌｅｃｔｒｏｎｉｃ Ｓｏｃｉｅｔｙ．Ｃｈｉｃａｇｏ：ＡＣＭ，２００９．２１－３０．［ｄｏｉ：１０ １１４５／１６５５１８８．１６５５１９２】 Ｒｉｂｏｎｉ Ｄ，Ｐａｒｅｓｃｈｉ Ｌ，Ｂｅｔｔｉｎｉ Ｃ．Ｓｈａｄｏｗ ａｔｔａｃｋｓ ｏｎ ｕｓｅｒｓ’ａｎｏｎｙｍｉｔｙ ｉｎ ｐｅｒｖａｓｉｖｅ ｃｏｍｐｕｔｉｎｇ ｅｎｖｉｒｏｎｍｅｎｔｓ．Ｐｅｒｖａｓｉｖｅ ａｎｄ Ｍｏｂｉｌｅ Ｃｏｍｐｕｔｉｎｇ，２００８，４（６）：８１９—８３５．【ｄｏｉ：１０．１０１６￣．ｐｍｃｊ．２００８．０４．００８］ 【１２］ Ｈｕａｎｇ Ｌ，Ｙａｍａｎｅ Ｌ，Ｍａｓｔｓｕｕｒａ Ｋ，Ｓｅｚａｋｉ Ｋ．Ｓｉｌｅｎｔ Ｃａｓｃａｄｅ：Ｅｎｈａｎｃｉｎｇ ｌｏｃａｔｉｏｎ ｐｒｉｖａｃｙ ｗｉｔｈｏｕｔ ｃｏｍｍｕｎｉｃａｔｉｏｎ ＱｏＳ ｄｅｇｒａｄａｔｉｏｎ． Ｉｎ：Ｃｌａｒｋ ＪＡ，ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ３ｒｄ Ｉｎｔ’１ Ｃｏｎｆ．ｏｎ Ｓｅｃｕｒｉｔｙ ｉｎ Ｐｅｒｖａｓｉｖｅ Ｃｏｍｐｕｔｉｎｇ．ＬＮＣＳ ３９３４，Ｈｅｉｄｅｌｂｅｒｇ：Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，２００６． １６５—１８０．［ｄｏｉ：１０．１００７／１ １７３４６６６１３】 ＬＰ，Ｍａｔｓｕｕｒａ Ｋ，Ｙａｍａｎｅ Ｈ，Ｓｅｚａｋｉ Ｋ Ｅｎｈａｎｃｉｎｇ ｗｉｒｅｌｅｓｓ ｌｏｃａｔｉｏｎ ｐｒｉｖａｃｙ ｕｓｉｎｇ ｓｉｌｅｎｔ ｐｅｒｉｏｄ．Ｉｎ：Ｐａｕｌｙ Ｌ，ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ［１３］ Ｈｕａｎｇ １ＥＥＥ Ｗｉｒｅｌｅｓｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ａｎｄ Ｎｅｔｗｏｒｋｉｎｇ Ｃｏｎｆ．Ｎｅｗ Ｏｒｌｅａｎｓ：ＩＥＥＥ，２００５．１ １８７—１ １９２．【ｄｏｉ：１０．１ １０９／ＷＣＮＣ．２００５． １４２４６７７］ Ｈ，Ｍａｔｓｕｕｒａ Ｋ，Ｓｅｚａｋｉ Ｋ．Ｔｏｗａｒｄｓ ｍｏｄｅｌｉｎｇ ｗｉｒｅｌｅｓｓ ｌｏｃａｔｉｏｎ ｐｒｉｖａｃｙ．Ｉｎ：Ｄａｎｅｚｉｓ Ｇ，ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ５ｔｈ Ｉｎｔ’１ ［１４］ Ｈｕａｎｇ ＬＰ，Ｙａｍａｎｅ Ｗｏｒｋｓｈｏｐ ｏｎ Ｐｒｉｖａｃｙ Ｅｎｈａｎｃｉｎｇ Ｔｅｃｈｎｏｌｏｇｙ（ＰＥＴ）．ＬＮＣＳ ３８５６，Ｈｅｉｄｅｌｂｅｒｇ：Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，２００５．５９—７７＿【ｄｏｉ：１０．１００７／ １１７６７８３ｌ５】 ｔｉｎｉ Ｃ，Ｍａｓｃｅｔｔｉ Ｓ，Ｗａｎｇ ＸＳ，Ｊａｊｏｄｉａ Ｓ．Ａｎｏｎｙｍｉｔｙ ｉｎ ｌｏｃａｔｉｏｎ－ｂａｓｅｄ ｓｅｒｖｉｃｅｓ：Ｔｏｗａｒｄｓ ａ ｇｅｎｅｒａｌ ｆｒａｍｅｗｏｒｋ．Ｉｎ：Ｐｒｏｃ．ｏｆ ｔｈｅ ［１５］ Ｂｅｔ８ｔｈ Ｉｎｔ’ｌ Ｃｏｎｆ．ｏｎ Ｍｏｂｉｌｅ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ．Ｍａｎｎｈｅｉｍ：ＩＥＥＥ，２００７．６９－７６．【ｄｏｉ：１０．１ １０９／ＭＤＭ．２００７．１９］ ［１６］ Ｄｕ ＷＬ，Ｔｅｎｇ ＺＸ，Ｚｈｕ ＺＴ．Ｐｒｉｖａｃｙ—ＭａｘＥｎｔ：Ｉｎｔｅｇｒａｔｉｎｇ ｂａｃｋｇｒｏｕｎｄ ｋｎｏｗｌｅｄｇｅ ｉｎ ｐｒｉｖａｃｙ ｑｕａｎｔｉｆｉｃａｔｉｏｎ．Ｉｎ：Ｌａｋｓｈｍａｎａｎ ＬＶＳ， ｅｄ．Ｐｒｏｃ．ｏｆ ｔｈｅ ２００８ ＡＣＭ ＳＩＧＭＯＤ Ｉｎｔ’１ Ｃｏｎｆ．ｏｎ Ｍａｎａｇｅｍｅｎｔ ｏｆ Ｄａｔａ．Ｖａｎｃｏｕｖｅｒ：ＡＣＭ，２００８．４５９—４７２．［ｄｏｉ：１０．１ １４５／ １３７６６１６．１３７６６６５］ 附中文参考文献： ［２】林欣，李善平，杨朝晖．ＬＢＳ中连续查询攻击算法及匿名性度量．软件学报，２００９，２Ｏ（４）：１０５８－１０６８．ｈｔｔｐ：／／ｗｗｗ．ｊｏｓ．ｏｒｇ．ｃｎ／１０００—９８２５／ ３４２８．ｈｔｍ［ｄｏｉ：１０，３７２４／ＳＰ．Ｊ．１００１．２００９．０３４２８］ 王彩梅（１９８６一），女，湖北仙桃人，硕士生 主要研究领域为信息安全． 郭艳华（１９８５－－），女，硕士生，主要研究领域 为信息安全． 郭亚军（１９６５－－），男，博士，教授，ＣＣＦ高级 会员，主要研究领域为信息安全，普适计 算，物联网．
