面向時空特征評估的SDVN信任管理機制

蔡沛婧，羅 威，胡鈺林，吳 靜

1.武漢大學 電子信息學院，武漢 430072

2.中國艦船研究設計中心，武漢 430064

車載自組織網絡（vehicular ad-hoc network，VANET）[1]是一種易于部署且成本低的車用移動通信網絡，是車聯網的重要組成部分。近年來，隨著車載智能計算和通信技術的發展，車聯網進入高速發展期，車輛可以通過專用短距離通信技術（dedicated short range communication，DSRC）與車輛或基礎設施進行通信。車輛獲取并分析其他車輛和基礎設施發布的動態信息，進而判斷道路流量狀況，規劃最佳行車路線，從而可以保障交通安全和提高行駛效率。在VANET 的發展過程中，軟件定義網絡（software-defined network，SDN）[2]以其靈活性、可編程性以及轉控分離等特點受到研究者們的青睞。SDN與VANET的融合稱為軟件定義車載網絡（software-defined vehicle network，SDVN）[3]，SDN 將控制層和數據層解耦，提供更加高效的數據流，保證可擴展性和動態配置，與車聯網相結合，是處理車輛應用需求、管理動態網絡拓撲以及最小化網絡管理成本的有效途徑。

盡管SDVN帶來了更好的駕駛體驗，但仍存在許多未解決的安全問題，使得SDVN 還不能廣泛應用和部署。例如，SDN架構存在著單點故障的風險；網絡中可能存在惡意車輛競爭資源、廣播虛假信息等。共享消息可對交通系統的安全保障有很大幫助，但是車輛通常不愿意相互信任和合作，因為它們在大多數情況下對彼此是陌生狀態。因此有效評估和管理車輛與路邊通信單元（road side units，RSU）之間的信任對維護VANET 的安全非常重要[4]。

信任評估[5]是指為獲得節點或數據的信任值而執行的一組步驟，通過收集和分析車輛發送消息的歷史行為，評估車輛的信任值。一旦在本地為節點計算了信任值，就會在與該節點交互的持續時間內對其進行管理，這稱為信任管理[6-7]。為了解決中心化服務的單點故障問題，有效評估和管理車輛信任值，本文利用區塊鏈在SDVN 中構建信任模型，通過非對稱加密確保數據隱私，使用共識機制來保證數據的一致性。隨著區塊鏈部署到RSU，車輛廣播行為和RSU 的信任記錄都寫入區塊鏈賬本中，防止節點的信任值被篡改，不會影響整個網絡數據的完整性和正確性。

基于以上內容，本文提出了一種基于聯盟區塊鏈的SDVN 信任管理機制，該機制包括信任評估和信任管理，主要貢獻如下：

（1）從車輛的時空行為特征角度，提出一種信任評估方法，準確評估車輛的信任等級。

（2）提出了一種基于Hyperledger Fabric 的信任管理方法，應用智能合約進行信任值的查詢和更新，提高了信任管理的整體效率，保證了SDVN的安全性。

1 相關工作

車聯網的信任管理可以分為集中式、分布式和去中心化的信任管理模型。集中式通過部署一個具有強大處理能力的中心服務器，獲取、計算和存儲所有車輛的信任值[8]，但這種架構很容易遭受單點故障，且會帶來巨大時延。分布式信任管理模型[9]可以解決單點故障問題，但會帶來存儲數據不一致和不完整的問題。第三種是去中心化的信任管理模型，Yang等人[10]使用區塊鏈技術在VANET 中建立了去中心化的信任管理模型，基于區塊鏈的去中心化特性，可以在分布式RSU 之間進行信任管理，有效避免中心化問題。

共識算法[11]作為區塊鏈的核心算法，會直接影響到區塊鏈系統的性能，許多學者研究去中心化信任管理會采用經典的公有鏈共識算法工作量證明（proof of work，PoW）或權益證明（proof of stake，PoS）[10，12]，但公有鏈不是與車聯網結合的最佳選擇，它會浪費大量的計算資源，降低網絡吞吐量。在文獻[13]中，實用拜占庭容錯算法（practical Byzantine fault tolerance，PBFT）作為共識算法，解決了公有鏈共識算法效率與時延問題。

文獻[14-15]分別提出了一種信任評估方案，基于車輛歷史交互數據使用β分布來評估信任值，以及利用貝葉斯模型對接收到的消息評估車輛可信度。信任評估方法大多使用概率和統計作為信任評估方法，在準確性上還有待提高。

上述研究為VANET 中的信任管理提供了參考，本文分析車輛的時空行為特征，構建了車輛信任評估方法。此外提出了一種基于聯盟鏈的信任管理方法，使用Hyperledger Fabric 平臺，以PBFT 算法作為共識算法，加速了共識過程，在效率上具有很大優勢。

2 系統模型

2.1 系統模型組成

本文的網絡架構系統模型分為三層，從下往上依次為車輛網絡層、區域控制層和主控層。圖1展示了系統模型每層的主要設施。

圖1 系統模型Fig.1 System model

車輛網絡層：該層主要設備是車輛，車輛在SDVN中既是消費者也是生產者。作為生產者，車與車、車與路的互聯讓車輛收集路況、交通事故信息等，車輛內部配有傳感器和車載單元（on board unit，OBU），通過DSRC技術與鄰居車輛或者RSU進行通信，車輛通信范圍在1 000 m 左右。作為消費者，車輛利用SDVN 網絡資源，為車主提供導航、影音娛樂、資訊等功能。車輛之間互相通信，將車輛信任值發送給區域控制層。

區域控制層：該層以分布式區塊鏈的方式運行，主要設備是RSU。RSU設置在道路的十字路口，具有數據存儲和運算能力，通信范圍約為1 000 m，用于大面積傳感與通信，服務于覆蓋范圍內的車輛。文中區域控制層收集各自區域的信任信息，收集之后傳遞給主控層進行相應指標的計算。一般來說，RSU 比車輛更加可靠、穩定，計算能力更強大，因此RSU 參與共識，每輛車定期將信任值發送給所在區域的RSU，然后在RSU 內進行評級、賬本更新等操作。作為區塊鏈中的對等節點，即使部分RSU 遭受惡意攻擊，也仍然可以保持數據的一致性。

主控層：SDN 控制器作為SDVN 架構的核心組件，負責網絡管理和操作，如規則下發、資源分配、網絡整體調控等。

2.2 威脅模型

SDVN 中的車輛與RSU 設備都可能發生惡意入侵。惡意車輛為爭奪交通資源可能會向鄰居節點和RSU 發送虛假消息，攻擊者劫持RSU 將會導致車輛用戶隱私泄露以及車輛信息被篡改。針對車輛的攻擊以消息欺騙攻擊[14]為例，針對RSU的攻擊以數據一致性攻擊[16]為例，下面分析這兩種攻擊行為。

消息欺騙攻擊[17]：攻擊者為了占用更多的帶寬資源和信息資源，可能會故意廣播虛假消息，例如惡意車輛在通過紅綠燈路口時故意廣播紅燈信息以搶占車道，擾亂交通秩序，即：

數據一致性攻擊：攻擊者篡改和刪除RSU 的本地數據，導致RSU之間的數據不一致，即：

3 基于聯盟區塊鏈的信任評估與管理機制

建立SDVN 網絡中節點間的信任管理系統需要兩個主要步驟，即信任評估和信任管理。信任評估是指獲得車輛節點的信任值而進行的計算步驟，當為車輛節點計算了信任值后，在同一個RSU范圍內，對節點交互持續過程中的信任值進行管理，這稱為信任管理。

3.1 基于時空特征的車輛信任評估算法

信任值是在基于歷史行為的情況下，一個實體對另一個實體未來行為的期望[18]，需要根據車輛的行為對車輛進行信用評估。惡意節點一方面為搶占交通資源提供虛假的道路信息和位置信息影響VANET 的安全，另一方面會發送大量無效請求浪費RSU計算資源。因此本文基于實體信任，從空間性和時間連續性兩方面聯合評估車輛節點的信任值。表1 總結了信任評估算法中給出的重要符號。

表1 符號定義表Table 1 Symbol definition

3.1.1 空間上的車輛信任評估

將每個RSU 通信范圍劃分為l=a×a個大小的單元格，同個區域內的車輛進行車輛位置計算。假設車輛c向區域RSU通信范圍內V輛車進行廣播，信任值往往與距離有關，相對距離近的車輛比距離遠的車輛更可信，通過對RSU 覆蓋范圍內發起車輛廣播查詢進行統計分析，計算轉發車輛c對范圍內第i輛車(i∈{1,2,…,V-1})的信任值：

從位置上分析，一小塊區域內所播報的路況信息應該是類似的，不會出現兩種截然不同的信息。假設有惡意車輛廣播虛假路段信息，所有車輛比較自身信息與廣播報文，計算消息的直接信任度：

其中，Mc,i表示轉發車輛c向區域內節點i(i∈V)廣播的數據包總數，表示正確匹配的數據包數量。

在空間上聯合考慮距離與消息信任，加權平均區域內所有廣播車輛提高信任值的可靠性，因此轉發車輛c空間上的信任值Ts定義為：

3.1.2 時間頻率上的車輛信任評估

惡意車輛另一個特點就是通過大量合法的請求占用網絡資源，以達到癱瘓網絡的目的。為了避免惡意車輛在短時間內連續發送大量請求，本文從消息發送的頻率考慮信任值，用Tf表示車輛c的消息頻率信任值，設置消息發送的頻率閾值。假設當兩次消息發送的時間間隔大于t時，消息頻率是合理的，則消息頻率信任值為1。如果兩次消息時間間隔小于t，則將閾值t均分為n個時間間隔{t1,t2,…,tn}，第k個時間間隔內，tk越小，說明發送消息頻率越高，發生惡意攻擊的可能性大，則相應的信任值也應該越小。綜上所述，消息頻率信任值的計算如式（4）所示，其中α∈(0,1)。

3.1.3 車輛信任評級

聯合考慮空間上和時間頻率上的車輛信任值Tc，得到綜合的車輛行為評估的結果：

其中，ρ為可調節參數，且ρ∈[0，0.5]。當歷史查詢信息較少時，空間上的信任值對整體評估影響小，因此ρ賦值也較??；當歷史查詢信息較多時，二者的權重趨于平衡。

對車輛進行信任評估后，因為每輛車的評估分數都不同，所以根據評估結果對車輛進行信任評級，將結果聚類化，本文將其劃分為m個等級，處于第i個等級表示為Ri，其中i=1,2,…,m。車輛的信任值越高，相應的信任等級也越高。當信任值處于區間時，信任等級都為Ri,T表示信任值上限，特別地，當信任值為0時，記為等級R1,即：

區塊鏈會記錄所有車輛收到的各信任等級總數以評估車輛的行為。對于車輛c來說，向RSU范圍內的車輛進行廣播，當車輛c第p次向RSU范圍內車輛廣播，收到評級為Ri的總數記為。車輛c在區塊鏈上的信任等級存儲用向量表示為：

其中，p表示第p次的廣播，前p-1 次廣播的信息包含在Numc_p中，即當車輛c進行下一次廣播時，反饋的等級數直接在上一次記錄的基礎上相加，歷史查詢總數也相應增加。

當RSU 發現車輛c的信任等級Rankc≤3，則認定為該車已處于失信狀態，將對車進行警告。

信任評估算法的步驟總結如下：從空間與時間頻率上考慮消息的可信度，分別為Ts與Tf，可以抵抗消息欺騙攻擊。聯合考慮車輛的時空特征計算車輛的信任值，為了更好地分析，將信任值分級。記錄評估車輛c的每一等級的數量，最后計算期望評級，當車輛信任等級較低時，列為失信車輛。實現上述方法的算法描述如算法1所示。

3.2 基于Hyperledger的信任管理機制

區塊鏈技術在近幾年得到了飛速發展，所提供的服務廣泛涵蓋多個領域，區塊鏈技術作為當下解決車聯網信任管理的最新興技術，二者的結合也使得研究者們重新看待信任管理解決方案[7，19]。

區塊鏈分為公有鏈、聯盟鏈和私有鏈。公有鏈中，所有用戶都可以參與網絡，無需注冊和認證，公有鏈的時效性不佳，不能滿足信任值更新的時效性。對于私有鏈，其中的用戶都是注冊用戶，同時他們的權限也受到限制，如果應用在SDVN 的信任管理中，只能假設所有節點、設備都是安全可靠的，顯然這種假設對于本文威脅模型互相矛盾。

本文使用聯盟鏈的Hyperledger Fabric 技術平臺與信任管理結合。區域控制層設備RSU作為對等節點構建區塊鏈網絡，維護車輛信任值數據，并將信任值寫入區塊鏈賬本。不同運營商的RSU 歸屬于不同的組織，創建在組織之間進行交易的Fabric通道與賬本，賬本以鍵值對的方式存儲記錄著車聯網車輛信任值的當前狀態，車輛ID與車輛信任值、車輛歷史消息分別作為鍵和值，調用智能合約使用賬本API 來獲取、寫入狀態。這些不同運營商的RSU 對等節點存儲信任值賬本，通過智能合約對其進行管理，提高了信任管理機制的整體效率，確保更好的安全性。

智能合約和共識機制是信任管理機制中最重要的兩部分內容。智能合約能夠持續地進行信任值的更新以及對賬本的訪問和控制，本文中智能合約包含添加、更新和查詢三個主要邏輯。對信任值的查詢、更新和添加的操作，都作為交易記錄存儲在區塊鏈中，具體的值存于數據庫中。區塊鏈的共識機制解決了RSU節點之間互相信任的問題，實現了分布式節點之間信任值賬本的一致性。傳統公有鏈一般是基于PoW、PoS等共識算法，但這種算法以浪費計算資源、降低吞吐量為代價確保達成共識。本文所用的共識機制為PBFT，與公有鏈的共識機制相比，提高了共識過程中的效率和安全性。

圖2 是車輛與區域控制層RSU 之間有關區塊鏈的交互邏輯關系圖。

圖2 中，第一步在區域控制層完成初始化，包含不同運營商組織建立通道，將各個RSU節點加入通道，安裝鏈碼，實例化鏈碼。第二步收集RSU 區域內各車輛的廣播信息。第三步計算車輛的信任值，并且調用鏈碼更新賬本。第四步查詢賬本中的信任值，查詢是最簡單的調用，包含一個請求和響應，向狀態庫查詢某輛車的當前信任值。第五步在網絡中收集到新的信息，在區塊鏈更新賬本。

圖2 車輛網絡層與區域控制層交互邏輯圖Fig.2 Interaction logic diagram of vehicle network layer and area control layer

4 實驗和分析

下面介紹實驗所需的硬件和軟件環境。首先，比較了傳統網絡與SDN 框架下車聯網的網絡性能，以此驗證本文框架的優越性以及信任管理機制的可靠性。其次，展示了本文中信任評估算法的信任值趨勢。最后，比較了Hyperledger Fabric中所用共識算法與其他算法性能效率。本文的實驗環境如表2所示。

表2 實驗環境與所用工具Table 2 Experimental environment and tools

本文的實驗環境為：Intel i7-4790 CPU 3.60 GHz，8 GB RAM，Ubuntu-16.04版本的操作系統。Mininet網絡仿真器用于創建一個支持SVDN 的網絡。本文利用Mininet網絡仿真工具模擬車聯網中的車輛節點與RSU節點，并且通過運行Python 的Scapy 腳本，實現從車輛節點生成自定義數據包，該數據包中包含了信任評估的信任值。Mininet 仿真將RSU 節點作為交換機，實現車輛節點之間及車輛與RSU 節點之間的相互通信。此外，利用Ping網絡診斷工具和Iperf網絡性能測量工具，收集在SDN網絡結構和傳統網絡結構下時延抖動情況。

信任管理實驗中，通過Hyperledger Fabric 技術平臺實現車聯網數據共享系統，區塊鏈網絡部署在車聯網中的RSU節點，維護車輛信任值數據。Node.js SDK與賬本所在的區塊鏈網絡進行交互，借助shim 接口來調用智能合約，提供給用戶添加、更新及查詢車輛信任值賬本的功能。

本文設置仿真所需要的實驗參數，首先在車輛網絡層選取大小為3 km×3 km的區域作為仿真區域，仿真區域內包含車輛網絡層60 個車輛節點、區域控制層8 個RSU節點，且RSU部署在道路的十字路口，服務于覆蓋范圍內的車輛。車輛節點速度上限在40 km/h。車輛與車輛及車輛與RSU 之間將通過DSRC 技術中的IEEE 802.11p協議進行通信，根據協議內容，RSU通信覆蓋范圍在1 000 m左右。

4.1 SDN網絡架構與傳統網絡架構的時延抖動對比

本節實驗通過對比傳統網絡與SDN 網絡性能，以證明在車聯網中部署SDN 架構的可行性。在Mininet平臺進行網絡模擬，使用流量生成器生成流量網絡，收集來自這兩個網絡的RTT、帶寬和數據包傳輸速率，然后進行比較。圖3 是SDN 網絡與傳統網絡的時延抖動分布對比圖，傳統網絡的時延抖動大，網絡不穩定。對于車聯網來說，網絡穩定是其網絡安全的一個重要因素。

圖3 SDN與傳統網絡架構時延抖動對比圖Fig.3 Comparison of delay jitter between SDN and traditional network architecture

4.2 信任評估中的信任值趨勢

在本實驗中，僅考慮單個RSU 覆蓋范圍內車輛的信任值評估，假設范圍內實驗車輛總數為30輛，隨機選擇其中的20%假定為惡意車輛，其向區域內所有車輛廣播虛假消息。從車輛廣播信息到RSU計算車輛信任等級記為一輪信任評估，圖4是本文方法中多輪信任評估下某一惡意車輛的平均信任值與信任等級變化趨勢，圖5顯示的是本文方法以及Luo等人[20]提出的信任評估下某一惡意車輛的平均信任值變化趨勢曲線與理想狀態曲線的比較。前20 s惡意車輛表現正常，20 s后惡意車輛開始廣播虛假及惡意消息，直到40 s時該惡意車輛又重新表現出可信行為。理想狀態下當惡意車輛開始攻擊行為，信任值急劇下降，維持在低水平處，當惡意車輛停止攻擊，則信任值又回到攻擊前的狀態。但真實仿真情況下，需要一定的反應時間，本文方法與Luo 等人方法比較，車輛信任值的變化趨勢差異明顯。前20 s內，由于環境等因素影響，車輛信任值都維持在0.8 左右，20 s時周圍車輛對惡意車輛發送的虛假信息做出回應，二者信任值均呈下降趨勢，其中Luo 等人的方法在車輛表現出惡意行為后，信任值即時下降趨勢不明顯，車輛評價未受到影響，當車輛在40 s時再次表現出可信行為，信任值的上升趨勢也非常緩慢，相較于本文方法，Luo等人的方法實時性較差，無法有效識別惡意車輛。

圖4 本文方法的信任等級與信任值趨勢Fig.4 Trust level and trust value trend of proposed method

圖5 信任值趨勢對比Fig.5 Trust value trend comparison

4.3 信任管理性能分析

VANET中大多數基于區塊鏈的信任管理系統選擇了公有鏈作為底層技術，為比較本文所用共識機制以及Hyperledger Fabric 與信任管理結合的優勢所在，本節設計了一個與公有鏈相對比的實驗。

（1）不同共識機制下三種智能合約的時延對比

Hyperledger Fabric技術平臺所用共識機制為PBFT，測試在PBFT共識機制下不同請求次數的三種智能合約分別的處理時間，此外添加公有鏈的PoS共識機制作為對比組，PoS 即權益證明。圖6 是兩種共識機制對于智能合約處理時間的對比圖?？梢钥吹絇BFT 共識機制下，不同并發請求數量中，查詢和更新兩個智能合約耗時更多。因為在這兩個過程中需要在區塊鏈完成共識以及同步查詢，隨著請求次數的增加，時延也成正比增加，而添加的智能合約耗時更少。相比而言，PoS 共識機制的耗時遠遠高于PBFT，說明本文使用Hyperledger Fabric技術平臺進行信任管理帶來較少的時延，適合車聯網動態變化的特點。

圖6 PBFT與PoS的三種合約耗時對比Fig.6 Time consuming comparison of three contracts between PBFT and PoS

（2）RSU達成共識所需的時間

實驗模擬了不同運營商RSU 之間達成共識的過程。PBFT 共識過程包括Pre-prepare、Prepare、Commit和Reply 四個階段，包含計算RSU 對新區塊的簽名，將簽名包廣播給所有共識節點，達成共識所需要的互相通信以及將最新區塊提交到數據庫等。圖7展示了PBFT與PoS 兩個共識機制下RSU 共識節點數量與達成共識所需時間的關系。隨著RSU 數量的增加，兩條曲線協商一致性過程中所需的時延就越大。但PoS 算法的共識時間的量級為秒，而PBFT算法量級為毫秒，因此在圖中PBFT算法的上升趨勢不明顯。

圖7 PBFT與PoS共識機制下RSU共識節點與耗時關系Fig.7 Relationship between RSU consensus node and time under PBFT and PoS consensus mechanism

5 結束語

本文提出了一種在SDVN 中基于車輛時空特征評估的信任管理機制，在實驗中比較了SDN 與傳統網絡架構的性能，說明了在車聯網部署SDN 架構的優越性。在本文研究中，信任評估算法從空間與時間頻率兩個角度出發，前者考慮車輛之間的位置與正確發包數量，后者利用車輛兩次消息發送的時間間隔，進而判斷是否有惡意流量攻擊，二者可以在一定程度上檢測出惡意車輛的消息欺騙行為與高頻率發送消息行為。此外，設計了一種基于聯盟區塊鏈的信任管理方法，獲取到車輛信任值之后將信任值發送給區域所在的RSU設備進行管理。在實驗中，比較智能合約的耗時與RSU 設備共識時間，結果表明利用Hyperledger Fabric 進行信任管理提高了賬本更新與查詢的效率，說明本文方法在信任評估和信任管理方面具有良好的可行性。