CN113612803B - 一种数据隐私的保护方法、装置、存储介质和电子设备 - Google Patents

Abstract

本发明公开了数据隐私的保护方法、装置、存储介质和电子设备，通过对自身存储的各物联网对象的各元数据均通过k匿名进行泛化，以获得各元数据分别对应的泛化元数据；依据同类标识符的就近原则，将各泛化元数据划分至最近的相等集，使得用户输入同类标识符查询获得最近的相等集中的各泛化元数据。本发明通过基于k‑匿名隐私保护模型的原理将同类标识符的各个属性值泛化以达到去敏的效果，使得用户查询获得的数据是多个用户的泛化元数据而不是具体一个用户的泛化元数据，提高隐私数据的安全性。又由于每一条泛化元数据中各同类标识符的属性值已被泛化为一样的值，使得用户无法得到未经泛化的原数据，进一步提高对于隐私数据的保护。

Description

一种数据隐私的保护方法、装置、存储介质和电子设备

技术领域

本发明涉及数据传输领域，特别涉及一种数据隐私的保护方法、装置、存储介质和电子设备。

背景技术

物联网标识解析系统是支撑物联网网络互联互通的神经枢纽，在探索推进物联网标识解析系统的过程中，还需要考虑面临的DDoS、缓存感染、系统劫持、零日漏洞、数据窃取等网络攻击。物联网应用的需求扩大了隐私信息的泄露风险，因此，亟需规划设计和同步部署相应的隐私保护措施，建立适用于物联网标识系统的解析数据隐私保护方案。

发明内容

鉴于上述问题，本发明提供一种克服上述问题或者至少部分地解决上述问题的一种数据隐私的保护方法、装置、存储介质和电子设备。

第一方面，一种数据隐私的保护方法，包括：

企业信息化系统对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据，其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个同类标识符和各所述同类标识符对应的标识符属性值；

方式一、对于任一所述元数据均执行：基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为所述标识符泛化属性值；

所述企业信息化系统依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据，其中，每个所述相等集均满足所述k-匿名隐私保护模型的原理：至少包括k条所述同类标识符相同的所述泛化元数据，所述k为不小于1的整数。

结合第一方面，在某些可选的实施方式中，所述方法还包括：

所述企业信息化系统将各所述泛化元数据发送至标识节点管理系统，以在所述标识节点管理系统中注册各所述泛化元数据，以便于用户通过输入所述同类标识符至所述标识节点管理系统进行查询，从而获得相应的所述泛化元数据。

结合第一方面，在某些可选的实施方式中，所述基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，包括：

基于k-匿名隐私保护模型的原理，将所述元数据所包括的各所述同类标识符对应的所述标识符属性值按照顺序进行拼接，从而得到一个所述标识符泛化属性值。

结合第一方面，在某些可选的实施方式中，所述同类标识符的就近原则，包括：

对于任一所述泛化元数据：若所述泛化元数据的所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符均同类，则确定所述相等集为所述最近的相等集；若所述泛化元数据的所述同类标识符与各所述相等集中的各所述泛化元数据的所述同类标识符均不同类，则根据存储地址，确定所述最近的相等集，其中，所述泛化元数据在数据库中的存储地址与所述最近的相等集中的至少一条所述泛化元数据在所述数据库中的存储地址相邻。

结合第一方面，在某些可选的实施方式中，所述方法还包括：

所述企业信息化系统判断各所述相等集所包括的所述泛化元数据的条数是否小于k或者大于2k；

若所述相等集所包括的所述泛化元数据的条数小于k，则将所述相等集所包括的所述泛化元数据划分至其他所述最近的相等集，以解散所述泛化元数据的条数小于k的所述相等集；

若所述相等集所包括的所述泛化元数据的条数大于2k，则将所述相等集所包括的所述泛化元数据划分为两个相等集，其中，所述两个相等集的每个相等集所包括的所述泛化元数据的条数均不小于k。

结合第一方面，在某些可选的实施方式中，所述同类标识符为准标识符，相应的所述标识符属性值为准标识符属性值，其中，所述准标识符为无法直接表征所述元数据对应的用户、但通过结合多列外部数据或者其它外部信息能够表征所述元数据对应的用户的数据列，所述准标识符包括：姓名类标识符、性别类标识符、生日类标识符或邮编类标识符；

或者，所述同类标识符为显式标识符，相应的所述标识符属性值为显式标识符属性值，其中，所述显式标识符为能够直接表征所述元数据对应的用户或者物联网对象的数据列，所述显式标识符包括：身份证号码类标识符或者物品唯一编码类标识符；

或者，所述同类标识符为敏感标识符，相应的所述标识符属性值为敏感标识符属性值，其中，所述敏感标识符为能够表征所述元数据对应的用户的敏感隐私数据的数据列，所述敏感标识符包括：薪水类标识符或者疾病类标识符。

第二方面，一种数据隐私的保护装置，包括：泛化单元和划分单元；

所述泛化单元，被配置为执行对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据，其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个同类标识符和各所述同类标识符对应的标识符属性值；

方式一、对于任一所述元数据均执行：基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为所述标识符泛化属性值；

所述划分单元，被配置为执行依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据，其中，每个所述相等集均至少包括k-1条所述同类标识符相同的所述泛化元数据。

结合第二方面，在某些可选的实施方式中，所述装置还包括：注册单元；

所述注册单元，被配置为执行将各所述泛化元数据发送至标识节点管理系统，以在所述标识节点管理系统中注册各所述泛化元数据，以便于用户通过输入所述同类标识符至所述标识节点管理系统进行查询，从而获得相应的所述泛化元数据。

第三方面，一种处理机可读存储介质，其上存储有程序，所述程序被处理器执行时实现上述任一项所述的数据隐私的保护方法。

第四方面，一种电子设备，其特征在于，所述电子设备包括至少一个处理器、以及与所述处理器连接的至少一个存储器、总线；其中，所述处理器、所述存储器通过所述总线完成相互间的通信；所述处理器用于调用所述存储器中的程序指令，以执行上述任一项所述的数据隐私的保护方法。

借由上述技术方案，本发明提供的一种数据隐私的保护方法、装置、存储介质和电子设备，可以通过企业信息化系统对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据，其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个同类标识符和各所述同类标识符对应的标识符属性值；方式一、对于任一所述元数据均执行：基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为所述标识符泛化属性值；所述企业信息化系统依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据，其中，每个所述相等集均满足所述k-匿名隐私保护模型的原理：至少包括k条所述同类标识符相同的所述泛化元数据。由此可以看出，本发明可以通过基于k-匿名隐私保护模型的原理将同类标识符的各个属性值泛化以达到去敏的效果，进一步基于k-匿名隐私保护模型原理设置相等集，以使得用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据而不是具体一条泛化元数据，提高了隐私数据的安全性。又由于每一条泛化元数据中各同类标识符的属性值已被泛化为一样的值，使得用户无误准确解析得到各同类标识符本来的属性值，即无法得到未经泛化的原数据，进一步提高了本发明对于隐私数据的保护。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明提供的一种数据隐私的保护方法的流程图；

图2示出了本发明提供的一种数据隐私的保护装置的结构示意图；

图3示出了本发明提供的一种电子设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

如图1所示，本发明提供了一种数据隐私的保护方法，包括：S100和S200；

S100、企业信息化系统对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据；

其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个同类标识符和各所述同类标识符对应的标识符属性值；

可选的，企业信息化系统可以收集各物联网对象的数据，并进行相应的标识，以获得各物联网对象的各元数据，本发明对此不做限制。

可选的，本发明对于一条元数据不做具体限制，任何可行的方式均数据本发明的保护范围。例如，一条元数据可以理解为一串长字符串，该长字符串可以包括多个大字段，每个大字段可以分为至少一个小字段，每一小字段可以为一种同类标识符和对应的元数据。例如，元数据dataA：A.01:a01-A.02:a02-A.03:a03-A.04:a04-A.05:a05-A.06:a06-A.07:a07，其中，A.01:a01可以理解为一个小字段、A.02:a02可以理解为另一个小字段，不同小字段用“-”隔开。A.01可以为显式标识符，A.02和A.03为准标识符，A.04和A.05为敏感标识符，A.06和A.07为非敏感标识符。A.01、A.02、A.03、A.04、A.05、A.06、A.07对应的属性值依次分别为a.01、a.02、a.03、a.04、a.05、a.06、a.07，这种情况下，A.01:a01也可以理解为一个大字段，因为元数据dataA中已经没有其它的显式标识符；A.02:a02-A.03:a03可以理解为另外一个大字段，本发明对此不做限制。

结合所述内容，本发明所说的多个同类标识符可以理解为多种同类标识符的多个同类标识符。即显式标识符可以理解为一种同类标识符，准标识符可以理解为另外一种同类标识符，对于元数据dataA中的准标识符而言，其可以包括A.02和A.03两个同类标识符，本发明对此不做限制。

又例如，结合图1所示的实施方式，在某些可选的实施方式中，所述同类标识符为准标识符，相应的所述标识符属性值为准标识符属性值，其中，所述准标识符为无法直接表征所述元数据对应的用户、但通过结合多列外部数据或者其它外部信息能够表征所述元数据对应的用户的数据列，所述准标识符包括：姓名类标识符、性别类标识符、生日类标识符或邮编类标识符；

或者，所述同类标识符为显式标识符，相应的所述标识符属性值为显式标识符属性值，其中，所述显式标识符为能够直接表征所述元数据对应的用户或者物联网对象的数据列，所述显式标识符包括：身份证号码类标识符或者物品唯一编码类标识符。

或者，所述同类标识符为敏感标识符，相应的所述标识符属性值为敏感标识符属性值，其中，所述敏感标识符为能够表征所述元数据对应的用户的敏感隐私数据的数据列，所述敏感标识符包括：薪水类标识符或者疾病类标识符。

可选的，如前所述的元数据dataA，若准标识符为姓名类标识符，则元数据dataA中的准标识符可以用姓名类标识符代替：A.01:a01-姓名:a02-姓名:a03-A.04:a04-A.05:a05-A.06:a06-A.07:a07，该元数据中有两个姓名，分别为a02和a03，本发明对此不做限制。

可选的，如前所述的元数据dataA，若显式标识符为物品唯一编码类标识符，则元数据dataA中的显式标识符可以用物品唯一编码类标识符代替：物品编码:a01-姓名:a02-姓名:a03-A.04:a04-A.05:a05-A.06:a06-A.07:a07，其中，该元数据中有一个物品编码a01，本发明对此不做限制。

可选的，如前所述的元数据dataA，若敏感标识符为薪水类标识符，则元数据dataA中的敏感标识符可以用薪水类标识符代替：物品编码:a01-姓名:a02-姓名:a03-月薪:a04-月薪:a05-A.06:a06-A.07:a07，其中，该元数据中有两个月薪，分别为a04和a05，本发明对此不做限制。

可选的，对于任一元数据，可以包括准标识符、显式标识符、敏感标识符、非敏感标识符以及其它标识符中的全部种类或者部分种类的标识符，本发明对此不做限制。

方式一、对于任一所述元数据均执行：基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为所述标识符泛化属性值；

可选的，方式一是基于k-匿名隐私保护模型的原理执行的，所述k-匿名隐私保护模型是本领域的公知模型，具体请参见本领域的相关说明，本发明对此不做过多描述，本发明对于不做限制。

可选的，对于任一元数据，若包括准标识符、显式标识符、敏感标识符，则可以根据所有准标识符对应的准标识符属性值进行泛化处理，得到一个准标识符泛化属性值；根据所有显式标识符对应的显示标识符属性值进行泛化处理，得到一个显示标识符泛化属性值；根据所有敏感标识符对应的敏感标识符属性值进行泛化处理，得到一个敏感标识符泛化属性值。

当然，若准标识符又涵盖了多类不同的准标识符，例如包括：姓名类标识符、性别类标识符和生日类标识符，则也可以进行更细化的泛化，即可以根据所有姓名类标识符对应的准标识符属性值进行泛化处理，得到一个准标识符泛化属性值（对应姓名类标识符）；还可以根据所有性别类标识符对应的准标识符属性值进行泛化处理，得到一个准标识符泛化属性值（对应性别类标识符）；也可以根据所有生日类标识符对应的准标识符属性值进行泛化处理，得到一个准标识符泛化属性值（对应生日类标识符），本发明对此不做限制。

S200、所述企业信息化系统依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据；

其中，每个所述相等集均满足所述k-匿名隐私保护模型的原理：至少包括k条所述同类标识符相同的所述泛化元数据，所述k为不小于1的整数。

可选的，具有相同标识符（例如：准标识符）的记录构成一个等价类即为本发明所说的相等集，每条记录在发布数据前都至少与表中K-1条记录无法区分开来。其实这里的相等集只是一个叫法，就是具有相同标识符的记录构成一个相等集，使得数据经过处理后同一相等集内的记录之间无法区分。

可选的，对于所述k-匿名隐私保护模型而言，k取值越大，需要进行泛化的程度越高，对数据造成的损失也就越大，即数据的可用性较差，数据隐私保护程度较高，k的取值需要根据具体情况来分析，本发明对此不做限制。

可选的，本发明对于就近原则不做具体限制，任何可行的方式均属于本发明的保护范围。例如，结合图1所示的实施方式，在某些可选的实施方式中，所述同类标识符的就近原则，包括：对于任一所述泛化元数据：若所述泛化元数据的所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符均同类，则确定所述相等集为所述最近的相等集；若所述泛化元数据的所述同类标识符与各所述相等集中的各所述泛化元数据的所述同类标识符均不同类，则根据存储地址，确定所述最近的相等集，其中，所述泛化元数据在数据库中的存储地址与所述最近的相等集中的至少一条所述泛化元数据在所述数据库中的存储地址相邻。

可选的，所述泛化元数据的所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符是否同类，需结合前述在进行泛化处理时的粒度进行确认。例如，若前述数据泛化是以准标识符为粒度进行泛化，则所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符是否同类，可以理解为：所述泛化元数据的所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符是否均为准标识符，本发明对此不做限制。

又例如，若前述数据泛化是以准标识符中的姓名类标识符为粒度进行泛化，则所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符是否同类，可以理解为：所述泛化元数据的所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符是否均为姓名类标识符，本发明对此不做限制。

可选的，各所述泛化元数据在存储到数据中的时候，可以参考不同相等集存储到对应的存储地址中，即同一个相等集中的各泛化元数据存储在一块连续的存储地址上，使得同一个相等集中的各泛化元数据的存储地址是连续的。基于这种情况，若所述泛化元数据的所述同类标识符与各所述相等集中的各所述泛化元数据的所述同类标识符均不同类，则根据存储地址，确定所述最近的相等集，其中，所述泛化元数据在数据库中的存储地址与所述最近的相等集中的至少一条所述泛化元数据在所述数据库中的存储地址相邻，本发明对此不做限制。

可选的，如前所述，同一个相等集的各泛化元数据的同类标识符是一致的，且相应的标识符属性值也是一样的。所以用户，例如攻击者在通过输入同类标识符并不能够直接获得其所想要的一个用户的数据，而是获得了整个相等集的数据，使得攻击者无法区分各个用户的数据，保护了用户的数据隐私，本发明对此不做限制。

可选的，攻击者在获得多条泛化元数据后，对泛化元数据的同类标识符进行解析，想要获得相应的标识符属性值。正常状况下的标识符属性值是具有一定实际意义，即可以表征具体用户的具体隐私数据。但由于本发明已经对元数据进行泛化得到泛化元数据，而泛化元数据的标识符属性值是经过泛化脱敏处理的。即攻击者在不知道本发明所使用的泛化脱敏规则，是无法进行反向解析出元数据的标识符属性值，使得攻击者获得的是无实际意义的标识符泛化属性值。

结合图1所示的实施方式，在某些可选的实施方式中，所述方法还包括：所述企业信息化系统将各所述泛化元数据发送至标识节点管理系统，以在所述标识节点管理系统中注册各所述泛化元数据，以便于用户通过输入所述同类标识符至所述标识节点管理系统进行查询，从而获得相应的所述泛化元数据。

可选的，标识节点管理系统可以包括标识注册模块和标识解析模块，标识注册模块与企业信息化系统通信连接，标识注册模块和标识解析模块通信连接。企业信息化系统将各所述泛化元数据发送至标识注册模块以在所述标识节点管理系统中注册各所述泛化元数据。用户可以输入所述同类标识符至所述标识解析模块查询获得相应的所述泛化元数据，本发明对此不做限制。

结合图1所示的实施方式，在某些可选的实施方式中，所述S200中的基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，包括：基于k-匿名隐私保护模型的原理，将所述元数据所包括的各所述同类标识符对应的所述标识符属性值按照顺序进行拼接，从而得到一个所述标识符泛化属性值。

可选的，本发明对于泛化处理的具体方式不做限制，任何可行的方式均属于本发明的保护范围。通过将所述元数据所包括的各所述同类标识符对应的所述标识符属性值按照顺序进行拼接的泛化处理方式仅是本发明人提出的一种可选实施方式，本发明并不局限于此。

例如，本发明的泛化处理还可以是：设置范围，针对数值型数据，将相等集中的该属性对应的数值按照从最小值到最大值的区间表示，例如相等集中年龄为20、21、19、25，则泛化为[19-25]。针对字符型数据，可以使用通配符“*”代替部分字符，本发明对此不做限制。

结合图1所示的实施方式，在某些可选的实施方式中，所述方法还包括：所述企业信息化系统判断各所述相等集所包括的所述泛化元数据的条数是否小于k或者大于2k；

若所述相等集所包括的所述泛化元数据的条数小于k，则将所述相等集所包括的所述泛化元数据划分至其他所述最近的相等集，以解散所述泛化元数据的条数小于k的所述相等集；

若所述相等集所包括的所述泛化元数据的条数大于2k，则将所述相等集所包括的所述泛化元数据划分为两个相等集，其中，所述两个相等集的每个相等集所包括的所述泛化元数据的条数均不小于k。

可选的，为了提高本发明的效果，各相等集的所包括的泛化元数据的条数应保持在比较均衡的状态，即应避免出现某些相等集的泛化元数据的条数过多或者过少的情况。

可选的，通过使用本发明提供的方法，可以进行标识解析过程中的敏感属性的数据隐私保护，针对标识解析的敏感数据与标识个体（标识所标记的对象）之间的对应关系进行剥离，使攻击者无法唯一的推导出敏感信息所对应的具体个体，有效解决因链路攻击而造成的隐私泄露问题，从而实现对用户隐私的保护。

针对标识解析中的数据进行匿名处理，在一些不需要较高数据质量的场景下用较小的成本实现了用户的隐私保护，使攻击者无法唯一的推导出敏感信息所对应的具体个体。

k-匿名隐私保护模型的原理从隐私保护角度实现对标识解析数据（关键敏感数据的隐私保护）进行匿名，实现既可开放查询又能防止某些关联关系的隐私泄露。

针对标识解析数据中的准标识符进行k匿名，例如Handle解析标识“20.500.100/36”得到的解析结果中存在敏感数据，如何进行隐私保护，使用k匿名进行保护，是一个非常低成本的方法。使攻击者不能判别出“20.500.100/36”的隐私信息所属的具体个体（比如与标识关联的企业或者个人）,从而保护了企业或者个人的隐私，k匿名通过参数k指定用户可承受的最大信息泄露风险。k匿名在一定程度上保护了个人或者企业的隐私，但同时会降低数据的可用性。

例如，（1）在企业信息化系统中，标识A001（a.01）对应的数据为dataA,数据dataA包括了一系列的元数据属性字段（标识符字段）以及字段值（标识符属性值），dataA的元数据属性字段为A.01、A.02、A.03、A.04、A.05、A.06、A.07等，其中A.01为显式标识符，A.02、A.03为准标识符属性，A.04、A.05为敏感属性，A.06、A.07为非敏感属性。元数据属性A.01、A.02、A.03、A.04、A.05、A.06、A.07对应的属性值分别为a.01、a.02、a.03、a.04、a.05、a.06、a.07。

（2）在企业信息化系统中，标识B001对应的数据为dataB,数据dataB的元数据属性为B.01、B.02、B.03、B.04、B.05、B.06、B.07等，其中B.01为显式标识符属性，B.02、B.03为准标识符属性，B.04、B.05为敏感属性，B.06、B.07为非敏感属性。

（3）在企业信息化系统中，标识C001对应的数据为dataC，数据dataC的元数据属性为C.01、C.02、C.03、C.04、C.05、C.06、C.07等，其中C.01为显式标识符属性，C.02、C.03为准标识符属性，C.04、C.05为敏感属性，C.06、C.07为非敏感属性。

（4）在企业信息化系统中，标识D001对应的数据为dataD，数据dataD的元数据属性为D.01、D.02、D.03、D.04、D.05、D.06、D.07等，其中D.01为显式标识符属性，D.02、D.03为准标识符属性，D.04、D.05为敏感属性，D.06、D.07为非敏感属性。

（5）针对标识A001对应的数据dataA进行匿名处理，在信息化系统向标识节点管理系统注册标识A001之前对数据进行处理，使得在标识节点管理系统中的标识元数据的数据集中每个元组都存在一定数量(至少为k个)的、在准标识符属性上取值相同的元组，例如标识A001解析数据dataA的元数据属性中的A.02、A.03为准标识符属性，将A.02、A.03的属性值进行相加，处理后的数据属性值为a.01、a.02+a.03、a.03+a.02、a.04、a.05、a.06、a.07,剥离了标识的敏感属性与标识之间的对应关系。这样即使攻击者通过与其他数据进行连接也无法唯一的确定标识A001的解析数据dataA的敏感属性与标识之间的对应关系，仅能以不超过1/k的概率标记标识解析数据dataA与所属的对象之间的对应关系，降低了隐私泄漏的风险。信息化系统向标识节点管理系统注册标识A001时,注册的元数据信息为属性字段A.01、A.02、A.03、A.04、A.05、A.06、A.07加上其对应的属性值a.01、a.02+a.03、a.03+a.02、a.04、a.05、a.06、a.07。

（6）同理针对标识B001、C001、D001进行处理，使得标识A001、B001、C001、D001等多个标识所对应的多条元数据记录的准标识符属性值相同，所有准标识符属性值相同的元数据信息的集合被称为相等集，k匿名要求对于任意一个标识元数据记录，其所属的相等集内记录的数量不小于k，即至少有k-1条元数据信息记录的准标识符属性值与该条标识元数据信息记录的准标识符属性值相同，最后检查各个相等集中的标识元数据信息记录数是否在k到2k之间，小于k的相等集要拆散，将拆散的相等集中的标识元数据信息记录就近（依据准标识符）加入到其他相等集中，对于相等集中标识元数据信息记录的数量大于2k的相等集，需要将相等集拆分为几个相等集，使得最终每个相等集包含的标识元数据信息记录数在k到2k之间。这样能够实现隐私保护，剥离标识对应的敏感数据与标识个体（标识所标记的物理对象和虚拟资源）之间的对应关系，使攻击者无法唯一的推导出敏感信息所对应的具体个体，有效解决因链路攻击而造成的隐私泄露问题，从而实现对用户隐私的保护。

（7）在标识节点管理系统中，发起物联网标识A001（a.01）的标识解析请求，返回标识解析数据dataA，dataA的数据属性字段A.01、A.02、A.03、A.04、A.05、A.06、A.07加上其对应的属性值a.01、a.02+a.03、a.03+a.02、a.04、a.05、a.06、a.07。如果为特殊授权的用户，则返回没有经过k匿名的数据。这样使得标识节点管理系统如果被进行网络攻击或者网络爬虫时，攻击者获取到标识对应的数据也无法唯一的推导出敏感信息所对应的具体个体，有效解决因链路攻击而造成的隐私泄露问题，从而实现对用户隐私的保护。

如图2所示，本发明提供了一种数据隐私的保护装置，包括：泛化单100元和划分单元200；

所述泛化单元100，被配置为执行对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据，其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个同类标识符和各所述同类标识符对应的标识符属性值；

方式一、对于任一所述元数据均执行：基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为所述标识符泛化属性值；

所述划分单元200，被配置为执行依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据，其中，每个所述相等集均至少包括k-1条所述同类标识符相同的所述泛化元数据。

结合图2所示的实施方式，在某些可选的实施方式中，所述装置还包括：注册单元；

所述注册单元，被配置为执行将各所述泛化元数据发送至标识节点管理系统，以在所述标识节点管理系统中注册各所述泛化元数据，以便于用户通过输入所述同类标识符至所述标识节点管理系统进行查询，从而获得相应的所述泛化元数据。

结合图2所示的实施方式，在某些可选的实施方式中，所述泛化单元100执行基于k-匿名隐私保护模型的原理，根据所述元数据所包括的各所述同类标识符对应的所述标识符属性值对所述元数据进行泛化处理，得到一个标识符泛化属性值，具体包括：方式一子单元；

所述方式一子单元，被配置为执行基于k-匿名隐私保护模型的原理，将所述元数据所包括的各所述同类标识符对应的所述标识符属性值按照顺序进行拼接，从而得到一个所述标识符泛化属性值。

结合图2所示的实施方式，在某些可选的实施方式中，所述装置还包括：判断单元、第一划分子单元和第二划分子单元；

所述判断单元，被配置为执行判断各所述相等集所包括的所述泛化元数据的条数是否小于k或者大于2k；

所述第一划分子单元，被配置为执行若所述相等集所包括的所述泛化元数据的条数小于k，则将所述相等集所包括的所述泛化元数据划分至其他所述最近的相等集，以解散所述泛化元数据的条数小于k的所述相等集；

所述第二划分子单元，被配置为执行若所述相等集所包括的所述泛化元数据的条数大于2k，则将所述相等集所包括的所述泛化元数据划分为两个相等集，其中，所述两个相等集的每个相等集所包括的所述泛化元数据的条数均不小于k。

本发明提供了一种处理机可读存储介质，其上存储有程序，所述程序被处理器执行时实现任一项所述的数据隐私的保护方法。

如图3所示，本发明提供了一种电子设备70，所述电子设备70包括至少一个处理器701、以及与所述701处理器连接的至少一个存储器702、总线703；其中，所述处理器701、所述存储器702通过所述总线703完成相互间的通信；所述处理器701用于调用所述存储器702中的程序指令，以执行上述任一项所述的数据隐私的保护方法。

在本申请中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (9)

1.一种数据隐私的保护方法，其特征在于，包括：

企业信息化系统对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据，其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个不同标识符类型下的同类标识符，每个标识符类型中包括至少一个同类标识符和各所述同类标识符对应的标识符属性值；所述标识符类型包括准标识符、显式标识符和敏感标识符；

方式一：对于任一所述元数据执行：基于k-匿名隐私保护模型的原理，根据所述准标识符所包含的所有同类标识符对应的准标识符属性值按照顺序进行拼接，得到一个准标识符泛化属性值；根据所述显式标识符所包含的所有同类标识符对应的显式标识符属性值按照顺序进行拼接，得到一个显示标识符泛化属性值；根据所述敏感标识符所包含的所有同类标识符对应的敏感标识符属性值按照顺序进行拼接，得到一个敏感标识符泛化属性值；并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为对应的标识符泛化属性值；

所述企业信息化系统依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据，其中，每个所述相等集均满足所述k-匿名隐私保护模型的原理：至少包括k条所述同类标识符相同的所述泛化元数据，所述k为不小于1的整数。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述企业信息化系统将各所述泛化元数据发送至标识节点管理系统，以在所述标识节点管理系统中注册各所述泛化元数据，以便于用户通过输入所述同类标识符至所述标识节点管理系统进行查询，从而获得相应的所述泛化元数据。

3.根据权利要求1所述的方法，其特征在于，所述同类标识符的就近原则，包括：

对于任一所述泛化元数据：若所述泛化元数据的所述同类标识符与所述相等集中的各所述泛化元数据的所述同类标识符均同类，则确定所述相等集为所述最近的相等集；若所述泛化元数据的所述同类标识符与各所述相等集中的各所述泛化元数据的所述同类标识符均不同类，则根据存储地址，确定所述最近的相等集，其中，所述泛化元数据在数据库中的存储地址与所述最近的相等集中的至少一条所述泛化元数据在所述数据库中的存储地址相邻。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述企业信息化系统判断各所述相等集所包括的所述泛化元数据的条数是否小于k或者大于2k；

若所述相等集所包括的所述泛化元数据的条数小于k，则将所述相等集所包括的所述泛化元数据划分至其他所述最近的相等集，以解散所述泛化元数据的条数小于k的所述相等集；

若所述相等集所包括的所述泛化元数据的条数大于2k，则将所述相等集所包括的所述泛化元数据划分为两个相等集，其中，所述两个相等集的每个相等集所包括的所述泛化元数据的条数均不小于k。

5.根据权利要求1所述的方法，其特征在于，所述同类标识符为准标识符，相应的所述标识符属性值为准标识符属性值，其中，所述准标识符为无法直接表征所述元数据对应的用户、但通过结合多列外部数据或者其它外部信息能够表征所述元数据对应的用户的数据列，所述准标识符包括：姓名类标识符、性别类标识符、生日类标识符或邮编类标识符；

或者，所述同类标识符为显式标识符，相应的所述标识符属性值为显式标识符属性值，其中，所述显式标识符为能够直接表征所述元数据对应的用户或者物联网对象的数据列，所述显式标识符包括：身份证号码类标识符或者物品唯一编码类标识符；

或者，所述同类标识符为敏感标识符，相应的所述标识符属性值为敏感标识符属性值，其中，所述敏感标识符为能够表征所述元数据对应的用户的敏感隐私数据的数据列，所述敏感标识符包括：薪水类标识符或者疾病类标识符。

6.一种数据隐私的保护装置，其特征在于，包括：泛化单元和划分单元；

所述泛化单元，被配置为执行对自身存储的各物联网对象的各元数据均执行方式一，以获得各所述元数据分别对应的泛化元数据，其中，一个所述物联网对象对应至少一条所述元数据，每一条所述元数据均包括多个同类标识符和各所述同类标识符对应的标识符属性值；

方式一：对于任一所述元数据执行：基于k-匿名隐私保护模型的原理，根据所述准标识符所包含的所有同类标识符对应的准标识符属性值按照顺序进行拼接，得到一个准标识符泛化属性值；根据所述显式标识符所包含的所有同类标识符对应的显式标识符属性值按照顺序进行拼接，得到一个显示标识符泛化属性值；根据所述敏感标识符所包含的所有同类标识符对应的敏感标识符属性值按照顺序进行拼接，得到一个敏感标识符泛化属性值；并将所述元数据所包括的各所述同类标识符对应的所述标识符属性值均替换为对应的标识符泛化属性值；

所述划分单元，被配置为执行依据同类标识符的就近原则，将各所述泛化元数据划分至最近的相等集，以便于用户通过输入所述同类标识符进行查询，从而获得所述最近的相等集中的各所述泛化元数据，其中，每个所述相等集均至少包括k-1条所述同类标识符相同的所述泛化元数据。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：注册单元；

所述注册单元，被配置为执行将各所述泛化元数据发送至标识节点管理系统，以在所述标识节点管理系统中注册各所述泛化元数据，以便于用户通过输入所述同类标识符至所述标识节点管理系统进行查询，从而获得相应的所述泛化元数据。

8.一种处理机可读存储介质，其上存储有程序，其特征在于，所述程序被处理器执行时实现如权利要求1至5中任一项所述的数据隐私的保护方法。

9.一种电子设备，其特征在于，所述电子设备包括至少一个处理器、以及与所述处理器连接的至少一个存储器、总线；其中，所述处理器、所述存储器通过所述总线完成相互间的通信；所述处理器用于调用所述存储器中的程序指令，以执行如权利要求1至5中任一项所述的数据隐私的保护方法。

Images