李 卓，宋子晖，沈 鑫，陈 昕

（1.网络文化与数字传播北京市重点实验室（北京信息科技大学），北京 100101；2.北京信息科技大学计算机学院，北京 100101）

（*通信作者电子邮箱lizhuo@bistu.edu.cn）

0 引言

在移动群智感知（Mobile Crowd Sensing，MCS）系统［1］中，用户完成数据感知任务后向MCS 平台提交感知数据，用户的提交数据包括位置信息和感知数据。由于提交中的位置信息与用户的实际位置统一，任务感知结果反映出用户实际所处的真实环境信息［2］，导致用户提交数据存在泄漏用户隐私的风险。一方面，不同属性之间存在不同的用户隐私风险；另一方面，属性之间的关联也会暴露用户隐私。如地图信息感知任务，用户去指定地点查看该地点的建筑名称等信息并提交到MCS 服务器，感知数据为地名、建筑名等公共数据，但只对用户提交数据中的位置信息隐私保护，通过感知结果依旧可以泄露用户的位置隐私。

设计MCS 中的隐私保护机制比较复杂。不同于其他MCS 存在用户主动上传数据这一步骤，这一步骤增加了用户隐私泄露的风险；MCS 中的用户执行的感知任务多为公共数据，导致提交数据中的信息会与众多公开信息关联，进一步增加了用户隐私泄露的风险；同时无法保证MCS 服务平台的可信程度，隐私保护机制不仅要面向攻击者，同时也要面向MCS系统本身。

本地差分隐私（Local Differential Privacy，LDP）［3］保护是一种不依赖可信第三方、不受限于类型的数据隐私量化方法。LDP隐私保护的原理是对整体数据添加随机噪声达到保护个体数据的目的，因此在数据量相同的情况下，发布数据的有效数据比例减小。……