移动群智感知中基于用户联盟匹配的隐私保护激励机制

熊金波 马 蓉 牛 犇 郭云川 林 立

1(福建师范大学数学与信息学院 福州 350117) 2(中国科学院信息工程研究所 北京 100093) 3 (信息安全国家重点实验室(中国科学院信息工程研究所) 北京 100093) (jinbo810@163.com)

随着传感器能力的快速提升以及移动智能终端设备的广泛普及使得移动群智感知网络成为了一种全新的物联网感知模式[1].通过利用大量移动智能终端和移动传感器等普适感知设备采集特定范围内的个体、情景及环境感知数据等，以完成那些仅依靠个体很难实现的大规模、复杂的泛在深度社会感知任务[2].同时，由于其感知数据具有极大潜在价值，使其应用范围不断扩展与延伸.尽管如此，其在多方面也存在新的问题与挑战，尤为突出的是移动群智感知网络的隐私安全问题[3].在移动群智感知网络中，感知用户将感知到的数据实时发送给感知平台，感知平台收集某时间内所参与感知任务的所有感知用户的数据并进行初步数据处理，再与服务提供商进行感知数据交易，并由服务提供商对交易所得到的感知数据进行进一步的分析与处理，后续为用户制定个性化的服务策略以及实现用户行为预测等.在此过程中的感知数据收集和处理会给感知用户的隐私造成威胁.一方面，如果感知用户直接上传隐含敏感信息的感知数据，而不采用适当数据隐私保护技术将可能造成其隐私泄露;另一方面，感知平台对上传后的感知数据进行处理也给感知数据的隐私带来了威胁.因此，感知用户在上传感知数据前如何选择数据隐私保护策略和感知平台对收集到的感知数据如何进行安全的隐私保护计算处理成为群智感知网络发展所面临的严峻挑战之一.如果能够解决感知用户数据和感知平台的隐私保护问题，将减少用户对隐私泄露的顾虑从而保证感知任务所需的感知数据收集质量，提升感知任务的质量和效率，并设计有效的激励机制对感知用户参与感知任务所付出代价进行补偿，以吸引更多用户长期参与其中，将使得移动群智感知任务、感知数据规模更加庞大,其应用进一步得到拓展.

现有研究中，移动群智感知网络的隐私保护方案大多数假设其感知平台完全可信，感知用户在参与感知任务过程中采取隐私保护措施，对每个用户在第t次感知任务中提供的真实感知数据选择一个数据隐私保护水平[4-6]，数据隐私保护可利用对真实感知数据添加噪声[7-9]、k-anonymity[10-11]等方式，每个用户在不知道其他用户的隐私偏好情况下将隐私保护处理后的数据和数据隐私保护水平上传给感知平台进行聚合[12-13].感知平台从感知用户处收集到所有隐私保护处理后的感知数据集和用户的隐私保护水平之后再交易给服务提供商，虽能起到一定的隐私保护效果，但仍存在着许多尚未解决的3个问题：

1) 群智感知网络用户数据量庞大，若每个用户都采用一定的隐私保护方法对真实数据进行处理后再上传，感知平台所收集到的感知数据集的数据真实性和可用性将大打折扣.

2) 大多数方案对感知平台完全可信的假设在实际应用中并不成立，在已有的一些数据聚合方案中常用同态加密[13]的方式实现非完全可信的感知平台在不知道任一感知用户上传数据的情况下进行隐私数据聚合.但面对庞大的数据量和感知端有限的计算能力，同态加密的计算效率不再满足需求[14].

3) 在移动群智感知网络中，在保护感知用户数据隐私的同时还需考虑合理有效的激励机制构建，要保证感知用户(尤其是信誉好的用户)数量，并在提高感知任务处理效率的基础上有效地对任务预算开支进行控制.

为了解决上述问题，本文提出一种基于用户联盟匹配的信誉感知激励机制，感知用户在上传感知数据前，用户可选择采用布隆过滤器和二元混淆向量内积计算进行相似度估计形成感知用户联盟后再上传感知数据集.感知平台对所收集到的感知(联盟)数据集合进行隐私数据交集计算，综合考虑其计算效率和对数据的隐私保护，利用伪随机函数在不泄露任一(联盟)数据集信息的前提下，协同计算各(联盟)数据集合交集后与服务提供商进行交易获得收益.并通过初始设置感知用户(联盟)的信誉值，在任务分配过程中选择信誉度高的感知用户(联盟)来参与任务处理，并通过设置因子减小感知用户(联盟)的花费代价，能够在提高任务处理效率的基础上有效控制任务预算.本文主要贡献有4个方面：

1) 提出一种基于布隆过滤器的用户联盟匹配方案，采用布隆过滤器和二元混淆向量内积计算进行相似度估计，使得用户可选择在上传数据前形成用户联盟，整个算法不涉及耗时的加密运算，计算开销较小.

2) 针对现有隐私数据交集计算的效率问题，提出一种轻量级感知数据交集计算协议，面对半可信的感知平台，利用伪随机函数对用户(联盟)数据集进行加密和伪随机扰乱后上传到感知平台，再在集合元素的随机函数上求交集.服务提供商可通过伪随机函数的逆过程获得感知数据集合交集.该协议具有较高计算效率，能够满足数据量庞大的群智感知网络的计算需求.

3) 针对现有激励机制在用户选择的随机性、任务处理效率和预算控制方面的不足，提出一种信誉感知激励机制.初始设置感知用户(联盟)的信誉值，在任务分配过程中选择信誉度高的感知用户(联盟)来参与任务处理，并通过设置因子减小感知用户(联盟)的花费代价，可在提高任务处理效率的同时有效控制任务预算开支.

4) 安全分析表明：用户联盟匹配方案是可证明安全的，基于用户联盟匹配的信誉感知激励机制能够满足安全目标，性能分析和实验结果表明所提机制是高效的.

1 相关研究工作

在移动群智感知网络中，普通用户需要主动参与感知任务.然而，用户参与感知任务需要付出一定的代价(例如网络带宽、能耗、费用等消耗)，因此需要设计一种合理的补偿激励机制来对用户的消耗代价进行补偿[15-16]，以吸引更多用户主动参与到感知任务中来.当前对于移动群智感知网络激励机制已开展一些研究工作，主要可分为以感知平台为中心和以感知用户为中心的2类激励机制模式.以感知平台为中心的激励机制是由感知平台进行任务发布，感知用户根据任务信息自愿选择是否参与任务后由感知平台进行支付报酬.Duan等人[17]将这种以感知平台为中心的激励模式建模为Stackelberg博弈进行进一步研究，综合考虑感知平台和用户仅知道所有用户的感知成本的累积分布函数情况；Han等人[18]研究了移动群智感知网络竞争拍卖激励机制问题，首先感知平台发布一些感知任务，然后感知用户根据他们的感知成本和时间来竞争这些任务，最后感知平台在预算限制下支付给用户感知报酬.另一类以用户为中的激励机制模式是感知用户接收到感知任务信息后提供自身信息及报价，再由感知平台进行选择合适的感知用户参与感知任务.Jaimes等人[19]釆用以用户为中心的基于逆向拍卖的动态价格激励机制，进一步考虑了用户基于位置进行感知，而感知平台需要满足覆盖约束和预算约束的情况；文献[20]中把感知任务分成3种不同的类型(即效用值随感知任务大小成正比例变化、效用值随感知任务处理过程成正比例变化以及效用值随任务处理过程成反比例变化)，对于每一种任务类型用4种不同的激励机制(Proportion incentive policy,Participation-aware incentive policy,Quality-aware incentive policy,Thrifty incentive policy)计算报酬.其中用户参与激励机制策略PAIP(Participation-aware incentive policy)在选择感知用户时采用随机的方式，没有考虑感知用户自身的特点，这样感知用户在处理任务时目的性不强，在感知任务分配阶段用户的参与率不高，降低了整个任务的完成率，增加了代价花费，从而使任务总预算减少.

此外，感知数据会极大可能地泄露用户的隐私和敏感信息，因此必须设计合理的隐私保护机制在完成感知数据收集任务的同时能够尽可能保护用户隐私安全.现有的移动群智感知的隐私保护方案主要关注3类方法：

1) 匿名化[4-6,10-11].将身份信息移除后再将感知数据上报给感知平台.这种方法的缺点是无法抵抗背景知识攻击，即仍然可以从匿名化的或其他定位传感器测量值中推断出用户频繁访问的位置以及其他个人信息.

2) 数据加密[13,21].使用加密技术将感知数据进行处理变换后上报给感知平台.这种方法比较安全，但缺点是需要较大的计算开销，需要生成和维护多个密钥，灵活性较差.

Fig. 1 System model图1 系统模型

3) 数据加扰[7-9].对感知数据添加一些噪音后上报给感知平台，添加的噪音需要保证用户个体的隐私信息得到保护，同时依然能够准确地计算出群体信息的统计结果.但实际情况中噪音的添加往往使得聚合后的数据可用性大打折扣.

综上所述，现有解决移动群智感知网络中的激励机制和隐私保护方案均存在一定问题，现有激励机制在感知用户选择、任务处理效率和预算控制方面存在不足，亟需设计一种可兼顾任务处理效率和预算开支控制，同时保证充足的高信誉用户参与感知任务的激励机制；同时，感知用户所采用的隐私保护方法存在一定安全威胁(例如k-anonymity不可抵御背景知识攻击)，也缺乏对非完全可信的感知平台的隐私保护研究.在实现隐私保护的基础上，如何有效减少计算开销、构建轻量级的隐私保护方案也亟待考虑.

2 系统模型、威胁模型和实现目标

为了方便描述本文所提方案与机制，表1中列出常用的符号及对应的描述.

Table 1 Symbol and Description表1 符号及描述

2.1 系统模型

在系统模型中，本文考虑一种典型的移动群智感知网络系统架构，包括一个半可信的感知平台、大量参与感知任务的感知用户和参与最终聚合数据交易的服务提供商，如图1所示:

1) 感知用户是使用移动感知设备(如智能终端设备、可穿戴设备及车载设备等)的社会普通用户，通过有线无线网络与感知平台进行交互，上传感知数据并最大化获取相应收益.感知用户参与感知任务即可获得相应参与报酬.感知联盟是各感知用户为保护感知数据中蕴含的大量敏感和隐私信息，在上传数据到感知平台之前可在保证自身数据安全前提下进行隐私匹配形成的用户联盟，感知用户在形成感知联盟后再将联盟数据集上传到感知平台中.

2) 服务提供商通过感知平台购买感知数据，用于机器学习、数据可视化、大数据分析等领域，为不同需求的用户提供后续服务.理性的服务提供商希望以合理的价格从感知平台获得可用性较好的数据.

3) 感知平台分别与感知用户和服务提供商进行交互.在基于用户联盟匹配的信誉感知激励机制下，感知平台向移动感知用户发布感知任务，采取信誉感知激励机制吸引更多感知用户(联盟)参与感知任务上传感知数据.之后感知平台对所收集到的数据集进行隐私交集计算将所得结果卖给服务提供商以得到相应报酬.

2.2 安全需求

移动群智感知网络的可靠性和效率取决于通信系统的安全性，其网络越来越复杂，交互性与动态性也越强，也需要更先进的网络技术，同时需要更复杂的安全协议，以应对潜在的安全漏洞与威胁.设计移动群智感知网络隐私保护机制时，在充分考虑通信安全的同时，考虑到恶意攻击者的主要目的是侵犯尽量多的感知用户的隐私数据，为了防止攻击者达到目的，本文需达到3种安全需求：

1) 恶意攻击者即使监听系统中的通信数据流，也无法获取感知用户(联盟)的真实隐私数据.

2) 在联盟匹配过程中即使恶意攻击者试图设定尽可能多的属性和尽可能大的偏好程度发起攻击，但仍不能以此获得较高相似度，成为联盟匹配发起者的最优匹配者.

3) 即使恶意攻击者能够勾结感知平台访问到感知平台所收集的感知数据，他也无法获取感知用户(联盟)的个人真实隐私数据.

2.3 设计目标

在上述的系统模型和安全需求分析下，本文的设计目标是在信誉感知激励机制作用下的移动群智感知网络中提出一种行之有效的隐私保护方案.具体地，要达到2个主要目标：

1) 提出的方案必须满足安全需求.如引言所述，如果在移动群智感知网络中不考虑安全和隐私问题，那么个人用户的隐私数据就会被泄露，就会阻碍移动群智感知网络的进一步发展与应用.因此，提出的方案必须能够满足上述安全需求.

2) 提出的用户联盟匹配方案和感知数据交集计算协议在通信上有较高的效率.虽然感知用户与感知平台之间是通过高带宽低延迟的有线无线网络通信，但要支持大量感知用户同时发送数据给感知平台，所提方案必须考虑通信效率，这样实时感知的数据才能及时传送到感知平台进行处理.

3 方案构造

3.1 用户联盟匹配方案

在移动群智感知网络中感知用户数据量庞大，若每个感知用户都采用一定的隐私保护方法对真实数据进行处理后再上传，感知平台所收集到的感知数据集中的数据真实性和可用性将大打折扣.为解决这一问题，本文提出一种基于布隆过滤器的用户联盟匹配方案，使得感知用户在上传数据之前通过隐私匹配形成感知用户联盟(联盟中用户数≥2)，该联盟用户所形成的感知数据集由3.2节的随机置换处理后上传.在移动群智感知网络中，处于移动终端无线通信(如蓝牙、WiFi等)范围内的任意2个感知用户进行一次信息交互即可完成隐私匹配选择形成感知用户联盟，无需第三方介入.假设A和B分别是用户联盟匹配的发起者和响应者，本联盟匹配方案主要包括为所有感知用户建立属性向量集合，并设置本匹配方案涉及到的所有参数；感知用户输入自己的属性向量集合，离线生成相应布隆过滤器并输出；输入联盟匹配发起者A和响应者B的布隆过滤器，将布隆过滤器视为二元向量，计算输出2个二元向量的内积；联盟匹配发起者根据所得二元向量内积，采用基于布隆过滤器的相似度估计公式[22]计算A和B的属性向量集合相似度，由此确定联盟匹配对象部分，匹配发起者收集与所有响应者的相似度，通过一次通信，联盟匹配发起者可选择相似较高的若干响应者作为联盟匹配对象，形成感知用户联盟(联盟中用户数≥2).用户联盟匹配方案具体流程如图2所示.

Fig. 2 User-union matching scheme flow diagram图2 用户联盟匹配方案流程图

① 设置参数.每个用户的智能感知终端首次进行用户联盟匹配时，都需设定其属性向量集合.假设联盟匹配发起者A和某响应者B的属性向量集合依次记为A={x1,a1,x2,a2,…,xnA,anA}，B={y1,b1,y2,b2,…,ynB,bnB}，其中属性xi和yj的内容与个数均由A和B自行设定，且nA≤n,ai,bj∈[1,l].预先设定常数n和l，要求足以表示用户的所有属性并能区分对每个属性的偏好差异即可.为了简化联盟匹配问题，假设所有用户对某一个属性的表达方式是唯一的.另外，令m=nl，A′和B′分别表示A和B离散后的集合，且|A′|=mA，|B′|=mB，s′=|A′∩B′|，p(A,B)表示A和B的相似度函数.布隆过滤器(w,m,l,H)中，参数w表示布隆过滤器的长度，m表示编码的元素个数，l表示散列函数的个数，H表示散列函数集合.散列函数集合H=中的散列函数值域均为[0,w-1]，且相互独立.BFA′,BFB′和BF∩分别表示编码了集合A′,B′和A′∩B′中所有元素的布隆过滤器，其第i(0≤i≤w-1)位依次记为BFA′[i],BFB′[i]和BF∩[i].tA′和tB′分别表示BFA′和BFB′中1的个数.

(1)

将布隆过滤器BFA′和BFB′视为二元向量，G即为二元向量BFA′和BFB′的内积.

(2)

⑤ 确定联盟匹配对象.发起者A和所有响应者Vi∈V按上述步骤进行匹配，找到相似较高的若干用户作为联盟匹配对象.

(3)

3.2 感知数据交集计算协议

在感知用户自由选择通过用户联盟匹配方案形成感知用户联盟后还需要对其数据集进行隐私保护，上传到感知平台并由感知平台进行初步数据计算处理如隐私交集计算等，最后将最终结果数据与服务提供商进行交易.本文所提出的感知数据交集计算协议是一个多方协议，仅在半诚实的感知平台情况下是安全的.在协议中，k表示计算安全参数(即伪随机置换的密钥长度)，而s表示统计安全参数.对于λ≥1，本文定义集合Sλ={x‖1,2,…,x‖λ:x∈S}且(Sλ)-λ=S.如果F：U→V是一个函数，则F(S)={F(s):s∈S}表示F对集合S的评估.本文还用F-1表示F的逆函数，即F-1(F(S))=S.如果π：[|S|]→[|S|]是一个置换，则集合π(S)是S根据π(假设元素的自然顺序)排列S的元素得到的集合,即π(S)={Xπ(i):xi∈S}.让Si成为感知用户(联盟)Pi的感知数据集合.各方协同生成伪随机置换函数F的k位密钥K.每一个感知用户(联盟)的随机置换由伪随机函数Fk(Si)分别对集合中的每个元素进行随机化处理，再通过伪随机置换π扰乱集合元素顺序，并将置换后的集合发送给感知平台.然后在感知平台集合元素的随机函数上求Fk(S1)到Fk(Sn)的交集并将结果存储，以便进行与服务提供商间的数据交易，协议具体流程：

1) 设置和输入：设置F：{0,1}k×U→{0,1}≥k为伪随机置换，每一方都有一组Si⊆U作为输入，而感知平台没有输入.

2) 某一感知用户(联盟)生成一个随机k位的密钥K并发送给i，其中i∈[2,n].

3) 每个感知用户(联盟)i⊆[n]将进行过随机置换的Ti=πi(Fk(Si))数据集发送到感知平台，πi是一个伪随机置换.

直观而言，该协议的安全性体现在各方不会收到彼此的消息，其唯一可能的恶意行为是改变他们自己的伪随机置换函数值，这只是改变他们的输入集合.半可信感知平台只接收由于伪随机置换函数的伪随机性而没有显示设置元素的信息的函数值.值得注意的是在协议中每个感知用户(联盟)Pi调用伪随机函数共|Si|次，而感知平台只执行一个“明文”设定的交集计算而没有加密操作.一旦可以使用任何现有的算法来设置交集，感知用户(联盟)数据集合中几乎线性时间内完成Hash表的插入查找，在大量数据中有较大的效率优势.此外，协议可以异步执行，每一感知用户(联盟)在不同的时间连接，将其感知数据集提交给感知平台，以后再获取输出.

3.3 信誉感知激励机制

该机制初始时为不同的感知用户(联盟)设置不同的信誉值，当感知平台发布感知任务并且感知用户(联盟)竞争参与这些感知任务时，感知平台会根据感知用户(联盟)的信誉值进行选择，优先选择信誉值高的感知用户(联盟)参与任务处理，并且通过因子调节感知用户(联盟)的代价花费.最后对感知用户(联盟)的信誉值进行更新之后，感知用户(联盟)再次进入到下一次的任务竞争中.通过该激励机制在提高感知用户(联盟)参与率和任务完成率的同时，减少感知用户(联盟)的花费，从而节省了总预算.

在感知任务激励过程中，移动群智感知网络主要包括3个部分:感知用户(联盟)集U、任务集T和感知平台ST.任务集T包括若干感知任务，每个任务的处理过程是轮流进行的(即在每个任务被执行之前，感知平台ST都会向感知用户(联盟)集U发布这个任务处理请求)，每个感知用户(联盟)会根据任务情况决定是否接受请求来参与感知任务并获得相应报酬.这个过程会重复进行，直到所有的任务都被处理或全部预算用完.

信誉感知激励机制具体工作流程图如图3所示:

Fig. 3 Reputation-aware incentive mechanism flow diagram图3 信誉激励机制流程图

① 当有感知任务要处理时，感知平台ST首先把任务集T划分为若干任务x⊂{1,2,…,n}.并在任务发布区域选取一感知用户(联盟)集U，对其进行划分Ui:i⊂{1,2,…,n}.对每一个感知用户(联盟)i设置一个独立的阈值Thresi，该值对其他感知用户(联盟)是保密的，并根据全部感知用户(联盟)的阈值和单个感知用户(联盟)的阈值设置一个信誉值Qi：

(4)

同时，针对划分的感知任务的不同，为每一个感知任务设置一个效用值，用ux=f(ξ,ξx)表示:

(5)

② 当处理某一感知任务时，感知平台会选取信誉值大的感知用户(联盟)参与感知任务的处理过程.感知用户(联盟)Ui在处理感知任务x时，会付出一定花费代价.针对一个感知任务x，用ci=f(ξx,ux,Qi)来表示参与该任务的感知用户(联盟)的代价函数，即感知用户(联盟)的代价受参与的感知任务大小和感知用户(联盟)信誉值影响，与感知任务大小成正比关系，与感知用户(联盟)信誉值成反比关系：

(6)

其中,α和β是2个因子，且α+β=10.

③ 感知平台为鼓励更多感知用户(联盟)参与感知任务的处理过程，会在每个感知任务处理后为对应感知用户(联盟)提供报酬.对于感知联盟，将采用VCG机制对所得报酬在形成联盟的感知用户中进行分配.本文用Px=f(ux,n(t),B(t))来表示报酬函数:

(7)

其中,a为正常数.通过这种方式，平台ST初始时会提供很高的报酬来鼓励感知用户(联盟)参与任务处理，随着感知用户(联盟)参与的比例越来越高(即n(t)值越来越大，最终趋于稳定)，报酬会慢慢趋于平稳.

④ 根据处理感知任务x时所需的代价ci和平台ST对于x所支付的报酬Px，感知用户(联盟)i将报酬Px和代价ci的比值与感知用户(联盟)阈值进行比较，如果比值大于阈值，则接受该感知任务处理请求，否则拒绝.最后利用感知用户(联盟)所处理感知任务的效用值来更新其信誉值，并参与竞争下一个感知任务处理请求，直到所有的感知任务全部处理完成或全部预算用完.

4 方案安全性分析

4.1 用户联盟匹配方案安全性分析

4.1.1 联盟匹配发起者的隐私安全

命题1. 如果方案中的混淆方法[23]是安全的，本用户联盟匹配方案能保护匹配发起者A的隐私信息，即响应者不可能知道关于A属性集的任何信息.

证毕.

4.1.2 联盟匹配响应者的隐私安全

命题2. 如果方案中的混淆方法[23]是安全的，本用户联盟匹配方案能保护匹配响应者B的隐私信息，即匹配发起者A除了相似度p之外，无法知道关于匹配响应者B的属性集的任何信息.

证毕.

4.2 感知数据交集计算协议安全性分析

感知数据交集计算协议在2种情况下是安全的：

1) 半诚实的感知平台和诚实的感知用户(联盟)；

2) 诚实的感知平台和任何恶意的感知用户(联盟).

在情形1中由协议构造中可知，感知用户(联盟)最终上传到半可信感知平台的数据集是通过随机置换处理所得的数据集Ti=πi(Fk(Si))，其中F：{0,1}k×U→{0,1}≥k为伪随机置换函数，πi是一个伪随机置换.根据其未知随机性，半可信感知平台和攻击者无法从数据集Ti推测出关于真实感知数据集Si的任何信息，因此在该感知数据交集计算协议中感知用户(联盟)上传到感知平台的数据集是安全的.

在情形2中由协议构造可知，在协议进行过程中在各感知用户(联盟)彼此间没有交互不存在恶意勾结行为，对感知用户(联盟)而言，他们唯一可能的恶意行为就是改变其上传数据集的值Ti，这只是改变他们的输入集合.但由于恶意用户(联盟)对其他的用户(联盟)数据集一无所知，即便改变了其上传数据信息，但在最终感知平台求解数据集交集时，并不会产生较大影响.综上，该感知数据交集计算协议是安全的.

5 性能分析与评价

本节主要从用户(联盟)端和感知平台端的计算开销分析用户联盟匹配方案和感知数据交集计算协议的算法复杂度和通信开销以及在信誉感知激励机制下从感知任务完成比例和感知预算剩余比例2个方面评价其有效性.

在用户联盟匹配方案中仅涉及用户端的开销，本文从匹配发起者与匹配响应者2方面进行分析，假设在方案中，每个感知用户的属性向量集合包含n个属性向量，每个属性的偏好值区间为[1,l]，至多离散m(m=nl)个属性向量.散列函数个数为k，布隆过滤器的长度w=1.5kmb以保证较低的错误率，方案中随机数取256 b.计算开销主要涉及SHA-1(Hash)、模幂(exp)、乘法(mul)和加减法(addsub).通信开销是指用户接收和发送的以bit为单位的数据.在表2中将本文方案与同是基于布隆过滤器的Sun等人[24]所提出的轻量级隐私信息匹配方案进行，与本方案不同的是Sun[23]方案是利用布隆过滤器进行其时空剖面中共同元素的数量的准确度估计从而进行时空匹配.

Table2PerformanceComparisonofPrivacyInformationMatchingScheme

表2 隐私信息匹配方案性能对比

Fig. 4 Experimental comparison of matching scheme图4 匹配方案实验对比图

由表2可看出，本文方案的在线计算开销远小于Sun[24]方案，离线计算开销稍大于Sun[24]的方案，通信开销高于Sun[24]方案.但在移动群智感知网络中对执行时间有着较高要求，本文方案则具有较高的优势，离线计算开销可以预先离线计算，并不占用执行时间，而在线计算开销直接影响执行时间的长短，由图4(a)中明显看出本文方案任务执行时间比Sun[24]方案具有明显优势.此外，在图4(b)中可看出本文方案需要额外花费通信量传递Sun[24]方案中未考虑的属性偏好信息，但在移动群智感知网络中采用蓝牙、WiFi等传输方式，通信时间较短.

在感知数据交集计算协议中涉及用户(联盟)端和感知平台端的计算开销以及通信复杂度.为描述简单起见，假设用户(联盟)端为U={A,B}，S为各用户(联盟)的输入集合，A集合的大小为v，B集合的大小为w，m=max(v,w).表3将本文所提非加密的感知数据交集计算协议与Abadi等人[25]所提出的利用同态加密和多项式插值实现的加密隐私数据交集计算协议进行比较.

Table 3 Performance Comparison of PSI Protocol表3 PSI协议性能对比

由表3中可看出，与Abadi等人[25]方案相比，本文所提协议采用对称加密操作，计算复杂度具有显著的优势，适合在移动群智感知环境下大规模数据集计算，而Abadi等人[25]所提方案虽然计算复杂度较高但是利用同态加密方式可以实现较高的安全性保障，适用于数量级别不大但安全需求较高的场景中.

对信誉感知激励机制有效性的评价,本文通过在MATLAB R2014a环境下的仿真实验进行验证说明,并与文献[20]所提机制进行对比，设置感知用户(联盟)总数N=100、感知任务数量K=1 000、初始预算B=1 000.并按照感知用户(联盟)的阈值将感知用户(联盟)分为3组，分别为高阈值、低阈值和中间阈值感知用户(联盟)，为每个感知用户(联盟)设置信誉值Qi，实验结果如图5所示.

本文目标之一就是能使任务尽快地被处理完成，也就是说能在更短的时间内获得更高的任务完成比例.在图5(a)中很明显地看出在一段时间内本文机制能够更快地处理完任务集，并在处理任务速度方面具有更好的稳定性.通过设置用户的信誉值，区别划分用户，每次选择信誉度高的用户来依次处理子任务，这样通过影响平台支付报酬函数Px和用户的代价函数ci，使这两者的比例大于用户阈值Thresi，从而使得用户参与比例不断增大，并最终趋于平稳.此外，在保证任务在顺利处理完的基础上减少用户的花费代价和平台支付给用户的报酬，从而使得预算剩余比例增大也是本文的另一主要目标.在图5(b)中的曲线可以很明显地看出在一段时间内本文机制能在保证任务顺利处理的基础上，减少了用户花费代价和平台支付给用户的报酬，从而使剩余的预算比例更高，即花费的预算更少.综上本文中选择了信誉高的用户处理子任务，使得用户参与比例不断增大(即n(t)值增大)，从而降低了平台支付给用户的报酬(即Px值不断减小).同时平台通过因子调节用户在处理子任务时的代价ci.这样使得该机制有效的在提高任务处理效率的同时也减少了预算的花费.

Fig. 5 Experimental comparison of incentive mechanism图5 激励机制实验对比图

6 总 结

本文针对移动群智感知网络中在激励更多感知用户参与感知任务并提供真实数据的同时如何更好地保护大量蕴含用户敏感、隐私信息的感知数据和感知平台安全性的问题.提出了一种基于布隆过滤器的用户联盟匹配方案，使得用户在上传感知数据之前进行隐私信息匹配形成感知联盟，有效保护个人隐私信息；同时提出了一种轻量级感知数据交集计算协议，在不泄露任一方真实数据的情况下，实现隐私数据交集运算；最后提出了一种基于隐私信息匹配的信誉感知激励机制，在提高感知任务处理效率的基础上有效地控制了预算开支.但在移动群智感知网络中的大量感知用户和感知数据对隐私保护方案和激励机制在确保安全性的同时对算法效率有着更高的要求，在今后的研究工作中，将继续对移动群智感知网络中的隐私保护方案的安全性和高效性进行更加深入的探讨研究.