区块链辅助的VANET中车辆声誉管理方法

张海波，卞 霞，徐勇军，向晟町，贺晓帆

(1.重庆邮电大学 通信与信息工程学院，重庆 400065；2.移动通信教育部工程研究中心，重庆 400065；3.武汉大学 电子信息学院，湖北 武汉 430000)

随着传感网络、无线接入、人工智能以及自动驾驶等技术的蓬勃发展，车载自组网(Vehicular Ad-hoc NETworks，VANET)已经成为智能交通系统(Intelligent Transport System，ITS)的基石[1]。车辆借助专用短程通信技术(Dedicated Short Range Communication，DSRC)、蜂窝技术等进行车与路边单元(Vehicle to Infrastructure，V2I)通信以及车对车(Vehicle to Vehicle，V2V)通信，在一定的区域内形成车载自组网[2]。VANET可以服务于实时定位、流媒体视频、事故警报等业务，这些业务不仅提高了交通效率、道路安全性，而且带来了更好的驾驶体验。然而，在车载自组网交互过程中仍然存在部分恶意车辆[3-4]制造恶意行为。其中有些是因为车载传感器出现故障，导致发布了错误信息；还有些车主考虑个人私利，在车载自组网中广播错误交通信息。这些恶意行为会导致通信延迟、交通拥堵、隐私信息泄露等问题，严重时可能威胁人们的生命财产安全。因此，高效识别车载自组网中的虚假信息和不可靠车辆节点，成了车载自组网中的重要研究内容[5]。

对于识别虚假信息和恶意车辆，许多研究人员提出了不同的解决方案[6，18-22]。大多数方案基于传统密码学，其中每台车辆拥有密钥对和数字签名。这些方案提供了相对的车载自组网安全保障，能够抵抗外部攻击，可以保护消息的完整性等。但是如果消息是不可靠的，那么这些信息在车载自组网中的传播仍然存在安全隐患[7-8]。对此，研究人员提出数据信任，即在利用所接受到的消息之前，先对消息进行验证[9]。文献[10]提出一种以数据为中心的信任框架，其中车辆可以通过使用数据融合技术(如多数投票或贝叶斯推理等)对收集到的不同证据进行计算，局部地评估从其他车辆接收的每条信息的可信度。文献[11]通过雷达测量前车报告信息，提出了使用车载雷达的车辆簇内局部虚假数据检测方案。但是由于雷达监测射程有限，车辆对于虚假消息的监测不能满足当前车载自组网通信过程中的安全需求。于是，直接对消息发出节点的声誉值进行判断成了一种替代的解决办法。研究人员使用各种信任模型对车载自组网中车辆节点的声誉进行评估[12]，通过消息源的可靠性来判断消息内容的可靠性。文献[13]将链接分析的技术引入车载自组网的信任计算中，利用PageRank算法设计了全局车辆信誉计算算法，能够有效应对某些类型的外部攻击。文献[14]提出在电子控制单元和通信模块之间安装防火墙来检查消息情况，以此来抵抗中间人攻击。文献[15]利用集中式服务器管理并确定每个车辆的信任级别，车辆向集中式服务器查询其他车辆的声誉分数来判断消息可信度。这些信任方案在一定的场景中能够有效保证车载自组网的安全通信。但是集中式的信任模型可能会面临单点故障和网络拥塞等问题。

近年来，区块链的不断发展为分布式数据存储和管理带来了新的思路[16-17]，基于区块链的信任管理系统在学术界引起广泛关注。文献[18]提出基于区块链的匿名声誉系统，使用公钥作为通信中的假名，利用直接交互来评估信誉。文献[19]首先提出一种基于区块链的分布式车联网信任管理系统，其中车辆使用贝叶斯推理模型来验证从相邻车辆接收到的信息，然后生成评级并上传到路边单元(Road Side Unit，RSU)。上述方案引入区块链技术使得VANET信任数据库得以分布式存储，有效地避免了信任管理系统可能面临的单点故障等问题。

在信任管理方面，文献[20]提出一种主观逻辑信任模型，利用β分布预测事物结果可信的概率。文献[21]对于主观逻辑信任模型进行改进，建立了三值主观逻辑信任模型(Three Valued Subjective Logic，3VSL)。模型中将事件的不确定性区分为先验不确定性和后验不确定性，并用狄利克雷-分类分布模拟事件的结果，利用贝叶斯推理得出信任关系在不同实体之间的传播规律。由主观逻辑模型演变出来的其他模型在信任管理方面应用广泛。如文献[22]提出一种三权重主观逻辑模型，考虑了交互频率以及路径相似性，可以更加精确地计算车辆的信任度。

综合上述讨论，许多方案将区块链技术应用在车载自组网中，实现了信任数据库的分布式存储。但是大多数方案没有考虑区块链网络的广播延时如何适应车载自组网对于时延的高要求。此外，利用“主观逻辑”信任模型时，大多数文献考虑的是如何计算，而没有在一开始考虑对两车之间无用的交互信息进行过滤。因此，笔者借助区块链技术和3VSL模型建立了车辆间分布式声誉管理系统。具体工作如下：

(1) 在RSU间建立区块链网络。利用区块链的去中心化、不可篡改及可追溯的特性，实现了车载自组网信任数据库的安全分布式存储。

(2) 基于车辆历史交互记录使用3VSL来评估车辆的声誉值。在模型中考虑车辆历史周期声誉值、反馈方声誉值以及交互频率等因素，使车辆声誉计算更加准确。采用周期化方式来更新车辆声誉值，缓解了由于区块链广播时延带来的实时性问题。

(3) 在计算两车之间信任关系时，区块链上记载的是双方车辆上一周期结束时刻的声誉值。为了更准确表达两车之间的信任关系，提出基于深度优先搜索(Depth First Search，DFS)算法的路径搜索算法，利用信任传播的衰减与融合准则，计算从上一周期结束到当前时刻两车之间的信任关系，从而提高了两车之间信任关系计算的准确性。

1 问题建立

1.1 系统模型

笔者构建了区块链辅助的分布式车辆声誉管理系统。系统模型如图1所示，主要包括道路两侧部署的RSU以及各种类型的车辆单元。

(1) 路边单元(RSU)：相对车辆来说，RSU具有较强的计算和存储资源，同时也拥有充足的能量供应，因此选择RSU作为区块链网络的节点。另外，RSU还需收集其通信范围内的车辆间交易记录以及反馈评级数据，并且根据车辆行为在每周期结束时更新车辆的声誉值，然后将结果打包成区块添加进区块链网络供全局车辆和其他主体查询使用。

(2) 车辆单元：车辆配备了智能车载单元(On Board Unit，OBU)，使其具有感知、计算和存储等功能。车辆负责向RSU上传自身的交互记录、反馈评级等信息。笔者将警车、救护车等视为特级车辆，计算时赋予更大的权重。

(3) 区块链：区块链由RSU维护，在接收到RSU节点打包上交的区块之后，区块链网络将区块广播到全网分布式存储，方便各地的车辆或其他用户检验查询使用。区块链主要记录的内容为车辆间交互记录以及车辆的声誉值。

1.2 攻击模型

系统中可能存在恶意车辆和受损的RSU，这可能严重干扰声誉管理系统的运行。笔者从恶意车辆和受损RSU两个角度考虑攻击模型。

(1) 4种类型的恶意车辆

① 发布虚假消息攻击：攻击者可能故意广播虚假消息。比如在道路畅通时广播道路阻塞消息，扰乱其他车辆行驶路线。

② 恶言攻击：攻击者可能给予其他车辆相反的评价反馈。比如，一个良好的车辆广播了一条真实的道路消息，攻击者却向RSU反馈一条负面评价。

③ On-off攻击：所谓On-off攻击就是攻击者在一段时间内表现良好用来提升自身的声誉值，到一定值之后，产生影响更恶劣的攻击。

④ 群组伪装攻击：恶意车辆形成一个组，给组内车辆较高反馈评价以提高它们的声誉值，同时对其他车辆实行恶言攻击等。

(2) 受损RSU

RSU数量较多且沿道路分布，设备分散在户外，容易受到恶意者的攻击，导致RSU内部数据被篡改等问题。由于同时攻击RSU存在较高的成本以及技术难度，大部分RSU不会同时受到攻击。此外，基站会定期对RSU进行安全性检查，受损的RSU不会长时间被攻击者控制。基于上述事实，笔者假设系统中只会有小部分RSU在一小段时间内遭受攻击。

2 车载自组网声誉管理系统设计

2.1 三值主观逻辑信任模型

(1)

(2)

利用期望来表示两者之间的信任关系更加直观，也是笔者采取的信任表达方式。

此外在3VSL中，遇到串行拓扑和并行拓扑结构时，节点间证据向量按照图2及图3所示方式传递。

对于图2的拓扑关系，Δ表示证据向量传递过程中的衰减操作。

(3)

(4)

详细的推理过程见参考文献[20]。对于图3的拓扑，证据向量按照如下规则融合，Θ表示融合操作：

(5)

(6)

节2.2.2具体计算两车之间的信任关系时，将用到上述衰减操作和融合操作。

2.2 车联网中的信任关系与声誉管理系统

2.2.1 声誉管理系统

文中的声誉管理系统建立在RSU构建的区块链网络基础之上，如图4所示。声誉管理系统主要包括5个步骤：① 车辆上传交互记录及反馈信息；② RSU验证消息真实性；③ 周期性计算车辆声誉值；④ RSU之间进行分布式共识，更新区块；⑤ 在所有RSU上分布式存储车辆声誉值，形成分布式的声誉数据库。

(1) 上传交互记录及反馈信息

以车辆之间的协作感知消息(Cooperative Awareness Message，CAM)为例，接收方在接收CAM消息之后向附近RSU提供一个客观反馈评价。评价为1或0，表示接收方对于发送方消息的认可或不认可。同时存在一个中间状态，用来存储不确定的评价结果。上传的数据为

(7)

其中，Ci是i车的身份信息，Tstamp是i车上传信息时候的时间戳。aij是i车对j车的固有信任因子，如果j车是普通车辆，则aij设为0.5[23]；如果j车是特级车辆，如警车、救护车、消防车等，则aij设为0.8。

(2) 验证消息

RSU收到车辆的反馈消息之后，首先验证消息发出者的身份信息Ci；如果身份信息有效，则存储交互记录。

(3) 计算车辆声誉值

时间累积至一个周期之后，每个RSU负责计算其覆盖范围内车辆的声誉值。假设车辆在当前周期内经过的RSU为Rlist={r1，r2，…}，当前RSU向列表中的RSU查询车辆vi在当前周期内的行为表现。用式(2)可以得到任意两辆存在直接交互的车辆之间的信任意见期望值，将一个周期内车辆与其余车辆的直接交互证据作为本周期该车辆声誉更新的基础。

(8)

(9)

式(8)和式(9)考虑了当前周期的交互，但一个周期的时间较短，不足以反映车辆的真实声誉值。此外，有些恶意攻击者会发起On-off攻击，在一定时间段内表现良好提高自己的声誉值，然后实行恶意攻击，在声誉值降低到一定程度又开始表现良好，如此产生更恶劣的影响。因此，仅考虑当前周期内的交互反馈信息无法抑制这种行为。考虑到历史交互信息对车辆声誉值的影响，引入动态衰减因子λ来调节历史信息的权重，做到声誉值“难得易失”的原则：

(10)

(11)

(4) RSU之间实现分布式共识，更新区块

根据式(11)计算出最终的车辆声誉值，将结果放入区块链的资源池。RSU之间使用(Delegated Proof of Stake，DPoS)共识算法选出区块更新者，来打包资源池中的交易，形成新的区块。

(5) 分布式存储

将新的区块广播出去，在RSU之间分布式存储。每个RSU利用新的区块更新自身的车辆声誉数据库，以给路边车辆提供更好的服务。

2.2.2 车辆间信任关系

车辆在行驶过程中可能收到来自另一辆车的消息或者协作请求等，此时车辆要判断自身与另一辆车之间的信任关系。车辆先向RSU查询对方车辆上一周期结束时刻的声誉值，然后查找两辆车之间最近的直接与间接交互记录，结合这两个参数最终得出两车之间的信任关系。考虑多跳间信任关系时，文献[23]给出了基于3VSL的AssessTrust(AT)算法，将复杂的网络递归拆解成图2和图3的结构，计算两个用户之间的信任关系。该算法具有较高的精确度，但是该算法存在大量重复子问题，会产生较大的时间和空间浪费。其后，文献[25]基于宽度优先搜索(Breadth First Search，BFS)提出OpinionWalk(OW)算法来计算两个用户之间的信任关系，解决了AT算法中的重复子问题。OW算法将信任关系的计算过程转化为类似矩阵乘法的运算，首先将拓扑图表示为直接意见的邻接矩阵：

(12)

i车辆对于其他所有用户的意见表示为

(13)

(14)

然而针对VANET场景，车辆的高度动态性使得车辆间交互关系网络复杂性增大。两车之间的信任路径可能很长，信任路径的选择会直接影响信任值的计算。信任路径越长，传播中产生的不确定性就更多。此外，有些车辆自身声誉值很低，将其融入信任路径当中则会带来一定的误导性。因此笔者在OW算法的基础上，设计了基于深度优先搜索的信任路径搜索算法。在筛选过的信任路径上使用OW算法来计算两车之间的信任关系。具体算法流程如算法1所示。

算法1信任路径搜索算法。

输入：信任拓扑矩阵G、源车辆vs、目标车辆vt。

① path←vs，paths=[] ∥定义路径path，路径集paths

② trust_path_search_algo(G，path)：

③ if(len(path)=6)： ∥如果信任长度达到6跳

④ if path[-1]=vt：paths←path ∥如果最后一个节点是目标节点，添加进路径集

⑤ end if

⑥ if path[-1]=vt：paths←path∥如果path中的最后一个节点是目标节点，添加进路径集

⑦ Else：

⑧ for node=G.nodes：

⑨ if Rep(node)≥threshold： ∥节点信誉值检测

⑩ path←node

输出：源车辆与目标车辆之间的信任路径。

(15)

3 实验结果与分析

为了验证笔者提出方法的有效性，在OMNet++仿真平台上利用veins框架[26]搭建了仿真环境。图5是仿真过程中使用的部分城市地图。

表1 部分仿真参数表

基于对车辆本身声誉值以及车辆行为的控制，在不同的场景设置下模拟了V2V交互过程。实验参数如表1所示。

3.1 算法有效性验证

在VANET场景中部署198辆普通车辆以及2辆特级车辆。在其中设置40辆可能存在恶意行为的汽车，车辆在行驶过程中不知道彼此是良好还是恶意车辆。在仿真场景中模拟了不同的交通事件，比如路口堵塞、道路故障等。设置良好的车辆会广播真实交通信息，恶意车辆会广播虚假交通信息。车辆在接受到其他车辆广播的消息之后，会先与自身传感器感知到的消息进行对比，然后对发出消息的车辆进行客观评价，即0或1反馈。如果所收到的消息不在自身的感知范围之内，则触发计算两车之间信任关系的程序。根据式(15)计算的两车间信任值来给予反馈，信任值大于0.5，反馈1；反之，为0。

在5个周期内观察一辆初始声誉值为0.6的恶意车辆的声誉值变化，并对比了3VSL算法[28]以及主观逻辑信任模型[20]。

如图6所示，取0.5作为判断车辆良好/恶意的阈值点[21]。观察了在上一周期声誉和交互频率权重取值不同时的声誉值变化，当γ1=0.5，γ2=0.5时，RSU能够更快检测出恶意车辆，并且系统性能表现较为稳定。故接下来的仿真取γ1=0.5，γ2=0.5。此外，由于笔者在RSU更新声誉的时候引入了衰减因子，当车辆发生恶意行为时，其声誉值迅速下降。而3VSL和SL算法没有给历史交易划分权重，所以声誉值下降缓慢。

在不同的应用场景下，VANET中的恶意车辆比例可能不同。对于系统中存在不同比例的恶意车辆，分别观察了其恶意车辆检测率，如图7所示。当系统中只含有10%的恶意车辆时，笔者提出的算法能够完全找出存在的恶意车辆；当系统中含有20%的恶意车辆，笔者提出的算法能够在第2个周期查找出恶意车辆；当恶意车达到50%时，由于良好车辆数量变少，良好车辆的反馈所占比例也减少，所以很难检测出所有的恶意车辆。但是在实际情况中，一般不会出现一半车辆用户都是恶意的情况。对于接下来的仿真对比，结合现实情况，笔者取恶意车辆占比20%的情况为例。

RSU作为整个声誉管理系统的主要负责者，每隔一个周期便更新其覆盖范围内的车辆声誉值，并存储至区块链网络。笔者利用与上述同样的参数设置，观察到的系统内恶意车辆检测率如图8所示。对于恶意车辆的检测，文中算法在第2周期的恶意车辆检测率可以达到100%并收敛，而3VSL和SL算法的恶意车辆检测率分别在第3周期和第4周期达到100%。

由于车辆行为的多变性，车辆产生恶意行为的比例是不确定的。设置车辆以不同比例产生恶意行为，观察在不同算法下每辆车的声誉值，结果如图9所示。仿真结果表明，车辆产生恶意行为的概率越大，其声誉值越低。在车辆恶意行为比例达到20%时，笔者提出算法中所有恶意车辆的声誉值低于0.5，表示已经能被识别。而对于其它两个算法，在车辆发生恶意行为的比例达到约50%时才能被识别。

3.2 搜索算法效果验证

为了说明引入路径搜索算法不会造成信息的丢失，设计了如下仿真：先选取150组车，每组2辆，将其直接交互的记录作为这两辆车之间的真实信任关系，然后删除直接交互，用路径搜索算法获取的路径来计算间接信任。用Ed、Ei表示两车之间的直接信任和间接信任关系，直接信任与间接信任之间的误差表示如下：

(16)

由图10可以看出，90%的车辆的直接信任与间接信任的误差在10%之间，说明间接信任值与直接信任值较为相似。故在计算两车之间信任关系时，用直接信任加上筛选过的间接信任，可以较准确地得到两车间的信任关系。

3.3 攻击模型下的系统性能

为了验证声誉管理系统的抗攻击性能，设计仿真实验模拟了两种恶意攻击行为。

首先是群组伪装攻击，在模拟群组伪装攻击时，包含了恶言攻击的情况。在系统中设置160辆表现诚实的车辆，设置40辆表现为恶意的车辆团体。团体中的车辆会先伪装成良好车辆，以提高自身的声誉值，之后开始实施恶意行为。恶意团体中的成员互相串通，给予彼此良好的反馈以维护彼此的声誉值，对于团体之外的成员，不论对方行为性质，均给予恶意反馈。如图11所示，笔者提出算法的恶意车辆检测率能够较快达到100%。而另外两种算法较容易受到群组攻击的影响，检测率上升缓慢。

其次是On-off攻击，利用和群组串通攻击下一样的车辆设置。其中，设置恶意车辆行为为每隔一个周期切换一次“良好”或“恶意”的状态，在6个周期内观察40辆恶意车辆的平均声誉变化，如图12所示。笔者提出的算法针对On-off攻击时能够较快检测出恶意车辆，原因是恶意车辆的评价在信任更新时所占权重越来越小，衰减因子的存在抑制了声誉值的快速上升，导致恶意车辆难以“伪装”自身，最终被RSU检测出来。而另外两种算法在恶意车辆“扮演”良好车辆角色时，其声誉值快速上升，较难检测出恶意车辆。

4 结束语

针对V2V及V2I通信过程中可能产生的车辆信任问题，笔者提出了基于改进的三值主观逻辑算法的车辆间声誉管理系统，利用区块链技术保证了在不同区域内的RSU信息的一致性、安全性和可追溯性。在计算两车之间的信任关系时，设计了基于DFS的信任路径搜索算法，提高了信任计算结果的精确度。仿真结果表明，声誉管理系统在发现恶意车辆上具有较高的效率，同时系统具备一定的抗攻击性。