康海燕，邓 婕

(1.北京信息科技大学 信息管理学院，北京 100192；2.北京信息科技大学 计算机学院，北京 100101)

0 引言

电子病历(electronic medical record,EMR)中包含有病人各种敏感数据，如姓名、住址、联系方式、检查记录、疾病诊断甚至是家族遗传史等，这些敏感数据一旦被篡改或被泄露，有可能使个体遭受社会的负面评价，甚至歧视或者侮辱，影响个体的生活或者心理状态[1-3]。因此，当医疗机构或病人对外共享数据时，如何在保护隐私安全的前提下保证数据的真实可用性，成为医疗信息领域的一个热点问题。

Samarati等[4]为了解决数据库和数据发布的应用问题首次提出匿名的概念。该算法的主要思想是让数据集中的准标识符属性拥有相同的取值，以达到不怀好意者无法确定敏感属性所属主体的目的，从而保护个人隐私不被泄露。Sweeney等[5]把该模型命名为k-匿名隐私保护模型。之后陆续有学者针对k-匿名模型存在的缺陷，提出了很多改进的匿名模型。例如，Gehrke等[6]提出了l-多样性保护模型，该模型在k-匿名的基础上加强了等价类中敏感属性种类的约束，减小了遭受同质性攻击的风险，而且在一定程度上还能够抵御背景知识攻击。Li等[7]提出了t-closeness(t保密)模型，该模型通过限定敏感属性的分布情况，在一定程度上可以抵制近似攻击[8]和偏态攻击[9]。我国在隐私信息保护领域的研究虽然起步比较晚，但也取得了不少成果。梅绍祖提出了限制信息收集结果之间的关系[10]的思想，这是中国最早对隐私保护进行的研究。……