头节点CHi接收到从梯度值为i+1的簇头节点发来的数据包的平均数目，ECrx，ECda，ECtx和 ECamp分别表示每字节数据的接收，融合，发送与传输功率放大器能耗，d为传输距离，α含2为 传输损耗指数，在自由空间传输中取2,且会随着传输路径中障碍物的出现而增加。
[0035] 其中，梯度值为i的簇头节点C出平均接收到Λ堪个来自梯度值为i + 1的簇头节点 CHw发来的数据包，可W由
.计算。其中，rg为平均梯度 半径，P为节点密度。
[0036] 因此，梯度值为i的簇头节点C Η 1的总能耗及为
[0037] 而网络中的簇成员节点，只需要向簇头节点发送隐私保护感测数据，而没有接收 到其他节点发送来的数据，也不执行融合操作。因此，簇成员节点的总能耗ECcm为ECcm = Lpacket ·化Ch+ECamp · d。）。
[003引显然，根据不同梯度簇头节点的能耗与簇成员节点能耗的比值，我们可W确定每个簇 头节点所需要的备用簇头节点的数目文
为簇头节点配置备用簇头节点可w有效地分摊簇头节点作为中继节点增加的额外能量消 耗，同时也可W保证网络的均匀分簇，非常适用于本发明提出的隐私保护数据融合方案。
[0039] 在网络的初始化阶段，汇聚节点在整个网络中广播初始化消息，根据每个节点距 离汇聚节点的跳数，网络梯度可W被准确地建立。在梯度建立过程结束W后，每个梯度值为 i的节点W概率
-选举自己为簇头节点，且通过竞争机制确保其邻居区域内 有且只有一个簇头节点，如图1所示。
[0040] 然后，没有成为簇头节点的其他节点，作为簇成员节点发送加入请求消息加入某 个簇。根据每个节点与汇聚节点的距离，整个网络被均匀地分为多个分簇。同时，根据每个 簇距离汇聚节点的距离，网络为每个簇独立地配置不同数目的备用簇头节点
来解决距离汇聚节点更近的簇头节点的 热点问题。
[0041 ] S2,簇内隐私保护数据融合
[0042] 汇聚节点根据每个簇的大小，确定全局真实位置集合GTPS，GTPS由汇聚节点随机 设置用于标记参与数据融合操作的各节点的真实感测数据的位置，且(7?7Sc Z，即隐私保 护数据包含节点的真实感测数据和伪装数据。汇聚节点根据隐私保护性能的需求，确定每 个节点的数据索引集I的大小。而I的大小直接决定了本方法的隐私保护性能，在GTPS-定 的情况下，当111越大时，节点就有更多的位置填充隐私保护伪装数据。而逐渐增大的111同 时也会引起额外的通信开销。当汇聚节点根据实际应用要求确定GTPS与后，进一步地为 每个传感器节点分配独立的节点隐私位置集合NPPS和节点真实位置集合NTPS，其中 Λ.'7Ρ5' CI G7'/，、S' (Z 仁/，对于最大值最小值数据融合而言，通常有I N T P S I = 1且
其中，NTPS标记了每个节点自己的真实感测数据的位置，且簇内节点 的NTPS各不相同，每个节点只知道自己的真实感测数据的位置，汇聚节点才知道簇内所有 节点的真实感测数据的位置集合GTPS，即
'而NPPS则是节点后续进行 隐私保护数据定制的依据，且NPPS的配置实现了对GTPS的保护，每个节点只知道自己的 NPPS，并不知道全局的GTPS，即GTTAS' C： Λ'户巧'。通过合理地配置NTPS与NPPS，可W实现有效 的伪装数据填充。
[0043] 当无线传感网规模很大的时候，全局真实位置集合GTPS的大小相应增大，从而导 致每个传感器节点的数据索引集I长度增大，即网络中传输的隐私保护数据包大小增加，网 络中的通信能耗也会随之增加。为了适应大规模无线传感器网络的需求，本发明对网络进 行分簇，W簇大小为参考设置全局真实位置集合GTPS的大小，即I GTPS I = CS，极大地缩减了 数据索引集I的大小111和隐私保护数据包的长度，从而具有良好的能量有效性W及可扩展 性。最后，汇聚节点将配置好的节点隐私位置集合NPPS和节点真实位置集合NTPS发送给对 应的节点。由于网络中的每个簇大小都相等，因此，他们都采取相同的隐私保护数据填充方 法，运也方便了隐私保护融合数据在簇间传输时的进一步数据融合。
[0044] 在簇内数据融合阶段，每个节点根据收到的NPPS与NTPS消息定制自己的隐私保护 数据消息。如图2所示，灰色的数据位置为汇聚节点为每个传感器节点配置的节点真实位置 集合NTPS，白色位置为每个节点的受限制伪装数据填充位置RCPS = NPPS-NTPS，受限制伪装 数据由传感器节点在它的值域内随机生成，其大小受到数据融合方式的限制，例如：
其中cT stTKted为受限制伪装数据，feal为真实感 测数据。因此，受限制伪装数据不会在感测数据的最大值或最小值融合过程中，覆盖簇内所 有真实感测数据的融合值，即簇内最大值或簇内最小值。
[0045] 其中黑色位置为非受限伪装数据填充位置WKC微=]￥巧设，非受限伪装数据大小 不受数据融合方式影响，可W在感测值值域内取任何值。例如，在最大值融合中，白色位置 的所有受限制伪装数据均小于灰色位置的真实感测值，如果攻击者截获该消息，直接提取 该消息的最大值即可破解该消息。通过引入黑色位置的非受限伪装数据，真实感测值受到 保护。而又因为非受限伪装数据的填充位置与真实数据位置不相交，因此真实感测值不会 在融合过程中被其覆盖。上面提到的节点隐私位置集合NPPS由灰色的节点真实位置集合 NTPS与白色的受限制伪装数据填充位置RCPS组成。通过引入受限制伪装数据，本发明可W 确保真实感测数据的有效融合，且同时保护了全局真实位置集合GTPS，而通过引入非受限 伪装数据，则可确保真实感测数据的隐私性。
[0046] 各簇成员节点完成隐私保护数据定制之后，会将其发送给簇头节点。由于S1阶段 的分簇方法是基于梯度网络拓扑结构的，簇头与簇成员节点之间的数据传输则W单跳的方 式实现。当簇头节点收到所有簇成员节点发来的隐私保护消息后，对它们直接进行最大值 或者最小值融合，
其中化taAggregated为隐私保护数据融合值， dij为第j个节点的数据索引集位置为i的数据。融合后的数据含有簇内感测数据的最大值或 者最小值，但是并不含有每个节点的原始感测数据，因为融合后的数据里节点的真实感测 数据有可能被其他簇成员节点的伪装数据覆盖。在簇间传输过程中采取相应的数据融合机 制也能充分地减少数据的传输次数和长度，同时准确地获得感测信息的全局最大值或者全 局最小值。
[0047] S3,簇间隐私保护数据融合
[0048] 由于在簇内数据融合阶段，某些簇内节点的真实感测数据可能被其他节点的伪装 数据覆盖而丢失，因此簇内数据融合主要是为了在全局真实位置集合GTPS标记的数据位置 中保存该簇内感测数据的最大值。如果不采用分簇网络，当无线传感器网络规模很大的时 候，IGTPSI的大小会相应地增加，从而导致数据索引集的长度|1|增大，网络中传输的隐私 保护数据包的长度W及通信能耗也会相应地激增。为了适应大规模无线传感网的要求，本 发明对网络进行分簇，大大缩减了数据索引集及隐私保护数据包的长度，并在簇间传输 时进一步对隐私保护数据包