可穿戴設備數值型敏感數據本地差分隱私保護

馬方方 劉樹波 熊星星 牛曉光

摘 要：針對數據服務器不可信時，直接收集可穿戴設備多維數值型敏感數據有可能存在泄露用戶隱私信息的問題，通過引入本地差分隱私模型，提出了一種可穿戴設備數值型敏感數據的個性化隱私保護方案。首先，通過設置隱私預算的閾值區間，用戶在區間內設置滿足個人隱私需求的隱私預算，同時也滿足了個性化本地差分隱私;其次，利用屬性安全域將敏感數據進行歸一化;最后，利用伯努利分布分組擾動多維數值型敏感數據，并利用屬性安全域對擾動結果進行歸一化還原。理論分析證明了該算法滿足個性化本地差分隱私。實驗結果表明該算法的最大相對誤差（MRE）明顯低于Harmony算法，在保護用戶隱私的基礎上有效地提高了不可信數據服務器從可穿戴設備收集數據的可用性。

關鍵詞：可穿戴設備;不可信第三方;本地差分隱私;個性化;歸一化

Abstract： Focusing on the issue that collecting multi-dimensional numerical sensitive data directly from wearable devices may leak users privacy information when a data server was untrusted， by introducing a local differential privacy model， a personalized local privacy protection scheme for the numerical sensitive data of wearable devices was proposed. Firstly， by setting the privacy budget threshold interval， a users privacy budget within the interval was set to meet the individual privacy needs， which also met the definition of personalized local differential privacy. Then， security domain was used to normalize the sensitive data. Finally， the Bernoulli distribution was used to perturb multi-dimensional numerical data by grouping， and attribute security domain was used to restore the disturbance results. The theoretical analysis shows that the proposed algorithm meets the personalized local differential privacy. The experimental results demonstrate that the proposed algorithm has lower Max Relative Error （MRE） than that of Harmony algorithm， thus effectively improving the utility of aggregated data collecting from wearable devices with the untrusted data server as well as protecting users privacy.

Key words： wearable device; untrusted third-party; local differential privacy; personalization; normalization

0 引言

隨著人們對健康越來越重視，以及硬件和通信等技術的飛速發展，各種可穿戴設備進入人們的生活，并成為人們記錄監控自身健康的一個重要的部分。服務提供商或者第三方收集可穿戴設備用戶[1]的數據并進行統計分析，用于市場分析或者決策制定。可穿戴設備數據指的是與可穿戴設備相關的傳感器類型數據、用戶設置數據以及設備的綁定信息等，如疾病監測傳感器類型數據、監測頻率設置、數據限制設置、使用時間、電池容量、設備品牌等，第三方熱心于收集這些數據，用于市場分析、新產品開發等決策依據。實際中不存在完全可信的第三方，可穿戴設備與第三方進行數據傳輸時，會泄露用戶數據，攻擊者根據獲得的用戶數據可能推測出用戶的敏感信息，比如家庭住址、使用習慣、健康狀況等。

可穿戴設備數據收集模型如圖1所示，可穿戴設備包括運動健康型設備（手環）和醫療設備（心率計、血氧手表、血糖儀以及血壓計等）。移動設備從可穿戴設備中收集設備數據此處是否應該為數據？需明確，并發送到不可信第三方數據匯聚器中。用戶可把穿戴式設備接入移動健康應用程序（mobile Health applications， mHealth），監測自身的健康狀況。數據匯聚器Aggregator將通過mHealth收集健康數據，這些數據可為第三方科研機構和企業提供數據服務。例如健康機構收集各個地區人們的每日平均步數，通過和各地區肥胖率對照，分析并獲得運動和肥胖率的關系。然而，不可信的數據匯聚器可能從mHealth獲得用戶的健康數據關聯出用戶的健康狀況。從佩戴的設備類型分析出可能患有某種疾病，這將導致用戶的健康狀況的隱私泄露。

Facebook數據泄露事件[2]揭露出第三方應用收集和利用數據對用戶數據隱私安全的威脅。Papageorgiou等[3]在2018年通過對Google Play上1080個醫療健康移動程序的隱私性和安全性進行分析，發現大部分應用程序向第三方發送用戶健康信息，而且無法判定第三方是否被授權，極易造成用戶隱私泄露。

第三方數據服務器對可穿戴設備群體用戶的收集分析需要隱私保護。有研究者提出差分隱私保護模型，其嚴格定義了隱私保護的強度，即任意一條記錄的添加或者刪除，都不會影響最終的查詢結果。相比k-匿名、l-多樣性等需要特殊攻擊假設和背景知識的方法，差分隱私能夠抵御背景攻擊。而傳統的差分隱私模型是中心化，即該模型的前提假設：有可信的第三方數據收集者。在可穿戴設備數據收集分析中，不可能存在完全可信的數據服務器，因此，引入本地差分隱私（Local Differential Privacy， LDP）模型[4-5]對可穿戴設備數據收集進行隱私保護。本地差分隱私的提出是為了防止來自不可信第三方的隱私攻擊。本地差分隱私保護模型不允許數據服務器收集用戶的真實數據，而是匯聚對真實數據進行擾動后的含噪數據，以保護單個用戶的數據隱私安全。第三方對擾動后的數據進行匯聚并求精處理，獲得的統計數據即是本地差分隱私保護模型的輸出結果。本地差分隱私保護模型的要求是模型既能保證數據的隱私性，又能保證統計結果的可用性。本地差分隱私是通過添加的噪聲來實現隱私保護，通過隱私預算來衡量和調節隱私保護程度。在實際應用中，本地差分隱私適用于眾包數據的采集[6]等場景。

可穿戴設備敏感數據是多類型的，包括分類型數據和數值型數據等。針對分類型數據的本地差分隱私保護，主要研究頻數估計或者計數估計的可用性;針對數值型數據的本地差分隱私保護，主要研究均值估計的可用性。用戶敏感數據包含分類型數據和數值型數據，這里我們主要研究其中的多維數值型數據的均值估計，例如可穿戴設備的平均使用時長、電池容量等。現有的多維數值型數據的本地差分隱私算法隨著維度的增加，誤差增大，不滿足可穿戴設備多維數值型敏感數據的可用性要求。

在本地設置中，可穿戴設備用戶存在個性化的隱私需求，例如用于醫療監測的可穿戴設備和用于運動健康的可穿戴設備數據敏感程度不同，使用可穿戴醫療設備的健康用戶和患病用戶，他們對于監測數據的敏感程度不同，因此可穿戴設備的隱私保護框架在用戶移動端進行數據擾動處理過程時，用戶可以個性化地設置自己的隱私偏好，以達到保護個性化保護用戶敏感信息的目的。

綜上所述，在可穿戴設備平臺中單純使用本地差分隱私并不能滿足用戶需求，需要結合可穿戴設備數據特點設計新的本地差分隱私保護方案來對用戶進行個性化的隱私保護。本文提出了基于本地差分隱私的可穿戴設備多維數值型敏感數據的個性化隱私保護方案。本文的工作有如下兩點：

1）可穿戴設備用戶自主設置隱私偏好，個性化保護可穿戴用戶的隱私，并且從理論上證明了個性化隱私保護算法滿足本地差分隱私算法。

2）研究并分析安全域對多維數值型敏感數據均值估計可用性的影響，并對可穿戴設備多維相互獨立的屬性在相應安全域內進行獨立擾動。

1 相關工作

隨著可穿戴設備和健康產業的發展，針對可穿戴設備數據分析的安全和隱私泄露問題受到人們的關注。

移動應用程序向第三方分享可穿戴設備的用戶數據會造成用戶位置、行為習慣、健康狀況、患有某種疾病等信息泄露。針對應用程序分享可穿戴設備數據產生的問題，Raghavan等[7]提出的操作系統級別的移動隱私框架OVERRIDE，允許用戶對可穿戴設備數據可能包含的用戶隱私信息進行擾動之后再發給應用程序。Kotz等[8]提出移動健康和家庭醫療體系的隱私框架，在這個架構中，出于隱私保護，第三方不被允許收集可穿戴設備數據。

但這些研究沒有針對不可信的第三方數據匯聚中心提出具體的隱私保護框架和隱私保護技術。本地差分隱私的提出是防止不可信的第三方服務器數據收集過程中發生隱私泄露。

本地差分隱私的研究目前有分類型數據和數值型數據兩個方面。ErlingssonRAPPOR[9]是Google公司提出的本地差分隱私算法，針對字符串進行計數估計，具有誤差低、可用性高的特點，但通信開銷較大，不適用在可穿戴設備場景中。Bassily等[10]針對分類型屬性的頻數估計提出了基于隨機映射矩陣的S-Hist算法，S-Hist是目前大部分針對分類型屬性本地差分隱私保護算法的基礎。Nguyen等[11]針對數值型數據和分類型數據提出了Harmony算法，其中針對分類型數據的Harmony-frequency算法適用于屬性值域比較大的情況下，但是誤差大而且不穩定;針對數值型數據的Harmony-mean算法是目前應用較多的數值型數據均值估計算法，具有可用性高的特點。Wang等[12]也提出了針對分類型數據的OLH（Optimized Local Hashing）請補充OLH的英文全稱算法，OLH算法比Harmony-frequency算法誤差小、可用性高。目前，本地差分隱私技術在工業界已經得到運用：谷歌公司[9，13]使用該技術從Chrome瀏覽器采集用戶的行為統計數據，例如默認首頁、默認搜索引擎等，以了解用戶設置中是否存在惡意劫持;蘋果公司將該技術應用在操作系統iOS 10上保護用戶的設備配置數據，分析群體用戶的使用模式，并不會觸及用戶敏感信息，例如2017年Apple應用本地差分隱私分析和調查網民emoji的使用情況和群體特征;Samsung也提出了相應的本地差分隱私系統[11]，通過手機操作系統綁定的診斷工具來收集綁定的用戶信息，不僅能收集分類型數據，例如屏幕分辨率、是否打開定位功能等，還能收集數值型數據，例如內存、使用時間、電池容量等。

針對個性化本地差分隱私算法的研究有Akter等[14]提出的針對一維數值型數據個性化本地差分隱私（Private Estimation of Numeric Aggregates， PENA）算法，PENA算法假設用戶集合擁有相同的安全域，在相同安全域上允許用戶自由設置自己的隱私預算，但是從理論上來說，PENA算法中的安全域只用于數據歸一化處理，并沒有降低誤差、提高可用性的作用，而且由于可穿戴設備用戶敏感數據屬于多維數據而且不同屬性安全域不同，不能直接應用該算法。Chen等[15]提出個性化的位置數據本地差分隱私（Personalized Count Estimation Protocol， PCEP）算法，但是PCEP算法中使用的S-Hist擾動算法誤差比較大并且誤差具有隨機性，算法的可用性有待提高。

2 本地差分隱私基本概念及相關性質

本章對本文提到的本地差分隱私定義及其實現機制和性質進行概述。

定義1 差分隱私[16]。D和D′是兩個相鄰數據集，最多有一個元組不同，Δ（D，D′）=1，隨機函數算法M：D→Rd，Ran（M）是M在D和D′上的所有可能輸出，Ran（M）的任意子集S，如果滿足下列不等式，則M滿足ε-差分隱私。

其中：Pr表示隱私被披露的風險概率;ε是隱私預算，定義了隱私保護程度，體現了算法M前面交代過M是函數，此處又指算法，二者是否應該統一一下，請明確。若是不同含義，請用另外一個字母來表示算法，不要與其他變量名稱再重復了能夠提供的隱私保護水平，值越小隱私保護程度越高。

定義2 本地差分隱私[4]。給定n個用戶，每個用戶對應一條記錄，給定一個隱私算法M及其定義域Dom（M）和值域Ran（M），若算法M在任意兩條記錄t和t′（t，t′∈Dom（M））上得到相同輸出結果t*（t*∈Ran（M）），滿足下列不等式，則M滿足ε-本地差分隱私。

本地差分隱私的實現機制通常是隨機響應（Randomized Response， RR）機制[17]。隨機響應機制的主要思想是利用用戶對敏感問題響應的不確定性對原始敏感數據進行隱私保護，同時估計用戶分布。假設屬性有兩個可能值-1和+1，每個用戶以p的概率響應真實ti[Aj]，1-p的概率響應一個隨機值，隨機值為-1和+1的概率相同，因此，用戶ui響應值的期望為p×ti[Aj]。因為要獲得一個無偏的估計，所以響應值的縮放因子cε=1/p，即用戶ui以p+（1-p）/2的概率響應cε×ti[Aj]，（1-p）/2的概率響應-cε×ti[Aj]。對比用戶ui的響應值和真實值，兩者相同的概率是p+（1-p）/2，兩者不同的概率為（1-p）/2，根據定義2，要滿足本地差分隱私，需要p+（1-p）/2（1-p）/2≤eε（e為自然常數）全文中的e，是指自然指數e嗎？還是一般的變量名？請明確。回復：在公式后添加描述：e為自然常數，等式成立的條件是p=（eε+1）/（eε-1）。第三方數據匯聚中心聚合所有用戶的數據，計算平均值即為屬性Aj均值的無偏估計。

定義3 個性化本地差分隱私[14]。用戶ui的隱私設置偏好為（τ，εi），對于任意兩個輸入t和t′，其中t，t′∈τ，任意的輸出t*，其中t*∈Dom（M），如果算法M滿足下列公式：

則算法M滿足（τ，εi）個性化本地差分隱私。

性質1 序列組合性[5]。給定數據集合D和n個隱私算法Mi（1≤i≤t），且Mi（1≤i≤t）滿足εi-本地差分隱私，那么Mi（1≤i≤t）在D上的序列組合滿足ε-本地差分隱私，其中ε=∑ni=1εi。

性質2 并行組合性[5]。給定數據集合D，將其劃分為n個互不相交的子集，D={D1，D2，…，Dn}，設隱私算法M在任意子集上滿足ε-本地差分隱私，則算法M在D={D1，D2…，Dn}上的組合運算滿足ε-本地差分隱私。

在本地差分隱私中存在兩種數據保護框架，即交互式和非交互式框架。交互式框架下，第i個輸出依賴于第i個輸入以及前i-1個輸出;非交互式框架下，第i個輸出僅依賴于第i個輸入，本文研究非交互式框架下的本地差分隱私。

3 可穿戴設備數據個性化保護方案

3.1 問題描述

下面對可穿戴設備多維數值型敏感數據隱私泄露問題進行描述，并給出隱私匯聚方案的預期實現目標，同時對現有的數值型本地差分隱私算法存在的問題進行分析。

第三方定期收集可穿戴設備的多維數值型敏感數據，用于用戶群體使用模式的市場調查和決策制定。在統計數據發布過程中，由于存在不可信的第三方，中心化隱私保護模型的數據收集方式容易被攻擊，如果個人敏感數據直接被不可信的第三方服務器獲取，則用戶的使用習慣、行為愛好甚至健康狀況可能被泄露，因此采用本地化隱私保護模型——本地差分隱私對可穿戴設備多維數值型敏感數據進行隱私保護。如表1所示，可穿戴設備相關的數值型敏感屬性來源具有多元化的特點，敏感數據可能來源于可穿戴設備、移動設備或者用戶輸入。對于相同的屬性，不同的用戶有不同的隱私保護需求;不同的屬性，同一個用戶有不同的敏感保護級別，在本地差分隱私中引入個性化隱私保護來實現上面兩種隱私保護需求。

用戶和第三方服務器相互通信，用戶首先對多維數據進行擾動，發送給第三方服務器，第三方服務器匯聚所有的數據并進行均值估計。假設可穿戴設備的用戶敏感數據包含d維屬性，屬性之間的關聯性已知，根據本地差分隱私的性質2并行組合性可知，相互獨立的數據集合滿足本地差分隱私的并行組合性質。

問題描述：假設數值型屬性集合A={A1，A2，…，Ad}，屬性之間相互獨立，用戶集合U={u1，u2，…，un}，其中屬性個數為d，用戶個數為n，全部隱私預算為ε，用戶ui的隱私預算為εi，屬性的安全域集合Γ={τ1，τ2，…，τd}，τj， j∈d是用戶可以公開的屬性Aj的數值最小安全范圍，εi是限制攻擊者在安全域τj范圍內區分任意兩個數值的能力。隱私保護目標：基于可穿戴設備個性化的隱私需求，滿足用戶的隱私偏好，在不知道每個用戶精確數值的前提下，獲取每個屬性的均值估計，在保證用戶隱私的前提下，保證均值估計的可用性。

目前基于本地差分隱私的均值估計研究較少，主要是針對頻數估計的研究。文獻中均值估計的算法運用比較多的MeanEst[4]算法和Harmony算法。其中Harmony算法在通信代價、發布誤差以及時間復雜度上都優于MeanEst算法，所以3.2節所提出的方案在Harmony算法的基礎上進行改進，并且在3.3節從算法的可用性角度對所提方案進行分析。

Harmony是針對多維數值型數據均值估計的算法，由文獻[11]可知，最大絕對誤差（Max Absolute Error， MAE）為Ο（d log （d）/（εn）），即

其中：X[Aj]是真實均值，Z[Aj]是擾動后的均值， β公式沒有看到β，是否遺漏了，需明確。回復：刪除該句“β時誤差范圍的置信度”，已默認β為1是誤差范圍的置信度。由公式可知，MAE隨著屬性個數d的增長而增長，因此Harmony不滿足高維數據均值估計的可用性要求。由圖2可知，當固定隱私預算的取值時，隨著屬性個數d的增長，相對誤差增長的速度很快。

3.2 方案描述

不可信第三方收集可穿戴設備與用戶相關的敏感數據，不同設備的屬性之間是獨立的，不同數據來源的屬性之間也是獨立的，在本方案中，用戶對這些相互獨立的屬性進行獨立擾動，同時用戶根據自身敏感性和對屬性的敏感性設置自己的隱私偏好。

可穿戴設備多維數值型敏感數據個性化隱私保護方案流程如下：不可信第三方服務器向可穿戴設備用戶端發送整體的隱私預算ε，用來約束用戶的隱私預算εi。在可穿戴設備用戶端，對多維數值型屬性分別設置安全域Γ={τ1，τ2，…，τd}和隱私預算εi，其中要保證ε/d≤εi≤ε，i∈n此處的小寫n，是否應該為大寫N，表示自然數？請明確。回復：n為用戶個數，在問題描述中有介紹。使用屬性安全域τj對屬性Aj的數值進行歸一化處理，把數值歸一化到[-1，1]區間。由于用戶可以設置自己的隱私預算εi，根據ε-LDP的定義，為了保證算法滿足ε-LDP，εi需要小于或等于整體隱私預算ε，在3.3節隱私性分析進行詳細的證明;同時為了保證可用性，εi需要大于或等于ε/d，這一點在3.3節可用性的分析中也有說明，因此引入權重因子ωi（1/d≤ωi≤1），得到εi=ωi·ε。對屬性Aj進行歸一化之后，采用隨機響應算法LRR隨機響應（Local Random Response， LRR）算法對其數據進行擾動。不可信第三方服務器端獲取到擾動后的數據，進行均值統計，最后進行歸一化還原操作。

算法2的第1）行到第6）行在用戶端執行，第7）行和第8）沒有第8行，是遺漏了，還是表述錯誤？請調整。回復：原文：“第7）行和第8）行在服務器執行”，改為“第7）行在服務器端執行”;行在服務器端執行。第2）行到第4）行，用戶ui在每個獨立屬性上做隨機響應LRR擾動。第5）行用戶ui把d個屬性的擾動值發送給服務器server。第7）行服務器server匯聚所有用戶發送的擾動數據，分別對每個屬性的數據進行均值計算。第8）行服務器進行數據歸一化還原操作，并且進行數據歸一化還原操作原文：“。第8）行服務器進行數據歸一化還原操作”，改為“，并且進行數據歸一化還原操作”，獲得最終的均值估計結果。

由文獻[11]可知，Harmony均值估計算法的最大絕對誤差漸近邊界是Ο（d log （d）/（εn）），單個屬性獨立擾動下的最大絕對誤差漸進邊界是Ο（log （d）/（εn））。由于用戶的隱私預算由用戶自己設置，所以PLPS的最大絕對誤差的漸近邊界是Ο（log （d）/（mini∈[n] εin）），當mini∈[n] εi=ε/d時，PLPS的最大絕對誤差漸進邊界為Ο（d log （d）/（εn））。

4 實驗結果與分析

1）屬性個數對可用性的影響。

為了研究屬性個數對可用性的影響，隨機生成虛擬數據集，用戶100000個，屬性個數取值范圍是[4，8，16，20，24，28]，ε=0.5，每個用戶隨機生成在[ε/d，ε]區間的值作為自己的隱私預算。如圖3所示，Harmony算法的相對誤差隨屬性的增長變化很快，PLPS算法MRE隨屬性個數變化不明顯，引入的誤差低，提高了可用性。

2）隱私預算對可用性的影響。

實驗數據集采用IPUMS的GLOBAL HEALTH數據集（https：//www.ipums.org/），選取100000條用戶記錄，包含20個數值型屬性。ε的取值范圍設置為[0.1，0.2，0.3，0.4，0.5，0.6，0.7，0.8，0.9，1.0]。在PLPS算法中用戶個性化設置自己的隱私預算εi，且需滿足條件εi=ωi·ε，1≤i≤n，1/d≤ωi≤1。如圖4（a）所示，PLPS算法的最大相對誤差MRE比Harmony的最大相對誤差MRE小。PLPS算法多維屬性在定義的安全域內分別進行歸一化處理，每個屬性進行單獨擾動，比Harmony算法的信息損失率小，同時算法添加的噪聲隨機性減弱，可用性變高。

為了證明算法PLPS在Harmony算法進行分組擾動后，依然能夠保持最大相對誤差小的優勢，對Harmony算法進行了分組擾動實驗。把從GLOBAL HEALTH數據集中選取的屬性分成k組，每組內分別進行Harmony擾動，取所有組的最大相對誤差中的最大值作為Harmony分組擾動的最大相對誤差結果;PLPS算法相當于把屬性分為d組，d為全部屬性的個數。如圖4（b）所示，全部屬性個數是20個，k的取值范圍是[4，10]，從圖中可以看出，增加了個性化隱私的PLPS有效地降低了誤差。

5 結語

為了當不可信數據服務器收集可穿戴設備敏感數據時，保護用戶隱私信息不被泄露，本文提出了基于本地差分隱私的可穿戴設備多維數值型敏感數據的個性化隱私保護方案：考慮可穿戴設備用戶的個性化隱私需求，支持用戶自定義隱私偏好;針對屬性維度增長對均值估計可用性的影響，采用在屬性安全域內獨立擾動屬性的策略，細化屬性的擾動區域。實驗結果表明，本文提出的方案有效降低了整體引入的噪聲，提高了均值估計的可用性。

本文提出的個性化隱私保護方案考慮的只是數值型數據，并沒有對分類型數據或者復雜數據類型進行研究，下一步將對此作更加深入的研究。

參考文獻 （References）

[1] 鄭增威，杜俊杰，霍梅梅，等.基于可穿戴傳感器的人體活動識別研究綜述[J].計算機應用，2018，38（5）：1223-1229.（ZHENG Z W， DU J J， HUO M M， et al. Review of human activity recognition based on wearable sensors[J]. Journal of Computer Applications， 2018， 38（5）： 1223-1229.）

[2] 魏書音.從Facebook數據泄露事件看網絡運營者對第三方應用的安全管理責任[J].網絡空間安全，2018，9（3）：43-46.（WEI S Y. Analyze network operators responsibility for security management of third-party applications from the Facebook data breach [J]. Information Security and Technology， 2018， 9（3）： 43-46.）

[3] PAPAGEORGIOU A， STRIGKOS M， POLITOU E， et al. Security and privacy analysis of mobile health applications： the alarming state of practice[J]. IEEE Access， 2018， 6（99）： 9390-9403.

[4] DUCHI J C， JORDAN M I， WAINWRIGHT M J. Local privacy and statistical minimax rates [C]// Proceedings of the 2013 54th Annual IEEE Symposium on Foundations of Computer Science. Piscataway， NJ： IEEE， 2013： 429-438.

[5] 葉青青，孟小峰，朱敏杰，等.本地化差分隱私研究綜述[J].軟件學報，2018，29（7）：1981-2005.（YE Q Q， MENG X F， ZHU M J， et al. Survey on local differential privacy[J]. Journal of Software， 2018， 29（7）： 1981-2005.）

[6] 霍崢，張坤，賀萍.滿足本地化差分隱私的眾包位置數據采集[J].計算機應用，2019，39（3）：763-768.（HUO Z， ZHANG K， HE P. Local differentially private spatial data crowdsourcing[J]. Journal of Computer Applications， 2019， 39（3）： 763-768.）

[7] RAGHAVAN K R， CHAKRABORTY S， SRIVASTAVA M， et al. OVERRIDE： a mobile privacy framework for context-driven perturbation and synthesis of sensor data streams[C]// Proceedings of the 2012 International Workshop on Sensing Applications on Mobile Phones. New York： ACM， 2012： Article No. 2.

[8] KOTZ D， AVANCHA S， BAXI A. A privacy framework for mobile health and home-care systems[C]// Proceedings of the 2009 Workshop on Security and Privacy in Medical and Home-Care Systems. New York： ACM， 2009： 1-12.

[9] ERLINGSSON U， PIHUR V， KOROLOVA A. RAPPOR： randomized aggregatable privacy-preserving ordinal response[C]// Proceedings of the 2014 ACM SIGSAC Conference on Computer and Communications Security. New York： ACM， 2014： 1054-1067.

[10] BASSILY R， SMITH A. Local， private， efficient protocols for succinct histograms[C]// Proceedings of the Forty-Seventh Annual ACM Symposium on Theory of Computing. New York： ACM， 2015： 127-135.

[11] NGUYEN T T， XIAO X， YANG Y， et al. Collecting and analyzing data from smart device users with local differential privacy[J]. ArXiv Preprint，? 2016， 2016： 1606.05053.

[12] WANG T， BLOCKI J， LI N， et al. Optimizing locally differentially private protocols[J]. ArXiv Preprint， 2017， 2017： 1705.04421.

[13] FANTI G， PIHUR V， ERLINGSSON U. Building a RAPPOR with the unknown： Privacy-preserving learning of associations and data dictionaries[J]. ArXiv Preprint， 2016， 2016： 1503.01214.

[14] AKTER M， HASHEM T. Computing aggregates over numeric data with personalized local differential privacy[C]// Proceedings of the 2017 Australasian Conference on Information Security and Privacy. Berlin： Springer， 2017： 249-260.

[15] CHEN R， LI H， QIN A K， et al. Private spatial data aggregation in the local setting[C]// Proceedings of the 2016 IEEE International Conference on Data Engineering. Piscataway， NJ： IEEE， 2016： 289-300.

[16] DWORK C， LEI J. Differential privacy and robust statistics[C]// Proceedings of the Forty-first Annual ACM Symposium on Theory of Computing. New York： ACM， 2009： 371-380.

[17] WARNER S L. Randomized response： a survey technique for eliminating evasive answer bias [J]. Journal of the American Statistical Association， 1965， 60（309）： 63-69.