随着移动互联网技术的不断完善以及移动设备中各类传感器功能的不断强大,以移动设备作为感知节点的群体感知技术逐渐成为一种热门的、经济的数据收集方式。时至今日,众多的群体感知应用,如交通监测和环境检测等,都给人们的生活带来了便利。然而,这些系统应用都存在以下问题:在感知数据的收集阶段,系统需要参与感知的用户有意识或无意识地上传与身份或位置相关的数据,这严重侵害了感知用户的身份或位置隐私;在提供服务的阶段,系统需要用户提供定位信息或者查询内容以获得相应的服务,这也侵害了用户的位置或者查询隐私。这些隐私信息一旦被泄露,则可能会对用户的人身安全以及相关利益造成危害,比如恶意攻击者利用以上信息来追踪用户的当前位置或通过查询内容来窥探用户的生活习惯等隐私。对于上述存在的问题,有些系统应用并没有采取相应的措施来保护用户的隐私信息,但也有一些应用提出了相应的隐私保护方案来应对用户隐私信息的泄露问题。然而,现存的隐私保护方案并不能很好地同时保护用户在感知阶段以及提供服务阶段的位置隐私、身份隐私以及查询内容的隐私。因此,为保障用户隐私信息的安全,保证用户能积极参与群体感知应用,就必须采取完善的隐私保护措施。本文提出的地铁客流量查询系统不仅能提供地铁站点客流查询服务,还能够解决以上大多数群体感知应用不能同时兼顾的隐私泄露问题。本系统具有位置聚合统计功能和客流查询功能,同时还保护了感知用户的身份、位置隐私以及查询用户的查询隐私。我们的系统主要结合了Paillier加密算法、假名机制以及Secure kNN算法来实现用户隐私的保护。此外,本系统还实现了对恶意感知用户的可追责。我们对系统的感知阶段以及查询阶段进行了详细的实验,其中部分实验是在广州地铁中进行的。文章的实验结果表明了本系统具有实用性:系统客户端只需花费129毫秒的时间参与感知阶段的任务,并且系统对客流查询请求的响应时间都在80毫秒以内。文章后续的隐私分析也证明了本系统具有安全性。