基于動(dòng)態(tài)博弈描述的電子商務(wù)協(xié)議公平性

摘要：基于通信順序進(jìn)程和動(dòng)態(tài)博弈理論對(duì)電子商務(wù)系統(tǒng)建模，提出了結(jié)構(gòu)化的電子商務(wù)協(xié)議的公平性， 并基于該模型給出了公平性的形式化定義， 可以用于電子商務(wù)協(xié)議公平性的分析。與以往工作相比，主要貢獻(xiàn)在于：a)系統(tǒng)模型中的失效模型分別對(duì)進(jìn)程和通信失效建模，增加了通信延遲失效模型，可以分析系統(tǒng)失效時(shí)滿足的公平性; b)收益平衡從參與者獲得利益和損失利益兩個(gè)角度定義公平性，打破了以往公平性定義只能應(yīng)用于零和交易系統(tǒng)的局限; c)結(jié)構(gòu)化的公平性分別考慮系統(tǒng)誠實(shí)參與者中途自愿退出或者因失效中止協(xié)議的公平性和有參與者欺騙下的協(xié)議的公平性等。后兩點(diǎn)解決了系統(tǒng)滿足公平性定義但實(shí)際上對(duì)參與者不公平的矛盾.

關(guān)鍵詞：公平性; 電子商務(wù)協(xié)議; 博弈; 遵守型; 撤銷型; 欺騙型

中圖分類號(hào)：TP309

文獻(xiàn)標(biāo)志碼：A

文章編號(hào)：1001－3695(2008)06－1789－04

電子商務(wù)可以理解為將傳統(tǒng)面對(duì)面的商業(yè)行為移植到不安全的互聯(lián)網(wǎng)絡(luò)中，包括電子支付、電子郵件認(rèn)證和電子合同等。由于互聯(lián)網(wǎng)通信的安全風(fēng)險(xiǎn)和參與者的蓄意欺騙，使得非面對(duì)面的電子商務(wù)變得相當(dāng)復(fù)雜。系統(tǒng)中的任意一方總擔(dān)心另一方在支付過程中處于比自己更加有利的位置，從而使自己蒙受損失。公平的電子商務(wù)協(xié)議就是為解決這類問題而設(shè)計(jì)的。對(duì)電子商務(wù)協(xié)議公平性進(jìn)行形式化分析是驗(yàn)證電子商務(wù)協(xié)議確實(shí)滿足公平性的重要手段。協(xié)議是分布式算法，由分布式系統(tǒng)運(yùn)行。因此如何建立一個(gè)好的電子商務(wù)系統(tǒng)模型和如何描述公平性是形式化分析的基礎(chǔ)。 Asokan[1]、 Zhou[2]、 Pagnia[3]、Qing[4]和Kremer[5，6]等人在公平性(fairness)研究領(lǐng)域有出色的研究成果，他們設(shè)計(jì)了著名的非否認(rèn)公平協(xié)議并且分析了協(xié)議是否滿足公平性。但是這些性質(zhì)只是基于設(shè)計(jì)者提出的非形式化定義并且只應(yīng)用于某類特定的協(xié)議。 Schneider基于CSP[7]， Paulson等人基于歸納和定理證明[2]等分析協(xié)議的公平性。他們沒有為系統(tǒng)建立一個(gè)通用的抽象的形式化框架。因此目前該領(lǐng)域存在的主要問題是：a)缺少一個(gè)合適的電子商務(wù)系統(tǒng)的形式化模型。Grtner[3]雖然基于并發(fā)系統(tǒng)的形式化模型對(duì)公平性進(jìn)行了初步的形式化研究，但是電子商務(wù)系統(tǒng)還具有博弈特征，因此傳統(tǒng)的并發(fā)系統(tǒng)形式化模型不適用于電子商務(wù)系統(tǒng); b)只從參與者服從協(xié)議的角度來考慮公平性，沒有從參與者中途退出或者系統(tǒng)失效的角度分析公平性; c)只從參與者獲得的利益的角度來考慮公平性，沒有考慮參與者損失的利益。本文基于電子商務(wù)系統(tǒng)的分布并發(fā)性和博弈特征，使用CSP[8]和動(dòng)態(tài)博弈理論[9]提出了基于動(dòng)態(tài)博弈的電子商務(wù)系統(tǒng)模型，在現(xiàn)有工作的基礎(chǔ)上提出了一種結(jié)構(gòu)化的電子商務(wù)協(xié)議的公平性，在該系統(tǒng)模型內(nèi)給出了公平性的形式化定義。

1基于動(dòng)態(tài)博弈的電子商務(wù)系統(tǒng)模型

基于動(dòng)態(tài)博弈的電子商務(wù)系統(tǒng)模型表示為五元組〈N，Q，p，{ (Ii}i∈N，≥i〉。

N為局中人集合，表示為自然數(shù)集合。

1．3可行事件

假定電子商務(wù)的主參與者i(i=1，2)是理性人，因此他們只會(huì)發(fā)送協(xié)議指定類型并且他們能構(gòu)造的消息，用事件trans表示; rec事件表示主參與者只要活躍就能接收消息; acc事件表示主參與者首先驗(yàn)證接收的消息，如果有效就接受(區(qū)別接收)并且保存消息; quit事件表示主參與者可以選擇在任何時(shí)刻退出協(xié)議; evidence事件表示若主參與者沒有獲得期望的收益，可以向仲裁者請(qǐng)求賠償或者撤銷交易；主參與者可能發(fā)生進(jìn)程失效如faillocal事件，也可能檢測到遠(yuǎn)程失效如failremote事件。主參與者無可行事件時(shí)什么也不做。 NET隨時(shí)能接收發(fā)送來的消息；能刪除其消息空間的消息，刪除消息事件對(duì)不可靠的通信媒介建模；能緩存消息即延遲傳送消息;如果消息的指定接收者處于活躍狀態(tài)，NET能向接收者發(fā)送該消息;延遲傳送消息和發(fā)送消息這兩個(gè)事件可以用于對(duì)可恢復(fù)的通信媒介建模；但是NET沒有密碼運(yùn)算能力因此不能像主參與者那樣構(gòu)造新的消息和驗(yàn)證消息。 TTP始終服從協(xié)議，不會(huì)欺騙和中途退出協(xié)議會(huì)話。模型假定TTP不會(huì)失效。

如圖1所示，主參與者、TTP之間分別通過信道trans.i和rec.i(i=1，2，3)與NET通信。一次通信事件的發(fā)生等同于同步發(fā)生的一個(gè)事件對(duì)。事件對(duì)包含一個(gè)主動(dòng)事件和響應(yīng)事件，這兩個(gè)事件名字相同但由不同的主體同步完成。通信事件的發(fā)起者能完成主動(dòng)事件當(dāng)且僅當(dāng)響應(yīng)者處于活躍狀態(tài)并且完成其響應(yīng)事件。例如i(i=1，2，3)向NET發(fā)送消息由i的發(fā)送消息事件和NET的接收消息事件同步完成。該通信事件由i發(fā)起因此i發(fā)送消息是主動(dòng)事件，NET接收消息是響應(yīng)事件。表1中的trans.i. j.m事件是i的主動(dòng)事件同時(shí)也是NET的響應(yīng)事件，而rec.i. j.m事件是NET的主動(dòng)事件同時(shí)也是i的響應(yīng)事件。非通信事件都屬于主動(dòng)事件。

表1給出了主參與者在行動(dòng)序列q后的可行事件集合Ai(∑i(q))(i=1，2)。每個(gè)可行事件a由兩部分組成，即事件的可行條件和事件對(duì)狀態(tài)的更新。謂詞validi(m，q，cond)是指：在博弈完成行動(dòng)序列q后，i驗(yàn)證其接收的消息m是否滿足有效條件condm。 condm是協(xié)議指定類型消息的有效條件，用狀態(tài)公式表示。例如i收到一個(gè)類型為m1m2m3的消息m，協(xié)議規(guī)定類型為m1m2m3有效必須滿足條件condm＝(m2＝f(m1))((m3＝g(m1，m2))，f和g是密碼運(yùn)算函數(shù)。“M|-m”表示消息m由消息集合M可構(gòu)造[6]。

1．4行動(dòng)序列與參與者函數(shù)

博弈由局中人經(jīng)多輪行動(dòng)后完成，每一輪局中人的行動(dòng)包含兩個(gè)階段:

首先，所有處于活躍狀態(tài)的主參與者與TTP按博弈給定的行動(dòng)順序依次選擇一個(gè)可行的主動(dòng)事件行動(dòng)。若這些事件中包含有NET參與的通信事件，則NET自動(dòng)響應(yīng)發(fā)生該通信事件。然后，NET為其消息空間中的每個(gè)消息選擇一個(gè)可行的主動(dòng)事件，例如將該消息傳送到目的地，或者刪除該消息，或者對(duì)該消息什么也不做即將消息繼續(xù)保留在消息空間中。若NET選擇了通信事件則當(dāng)且僅當(dāng)其響應(yīng)者活躍時(shí)該通信才能成功。本輪結(jié)束后博弈的輪計(jì)數(shù)器加1，當(dāng)主參與者和TTP都不活躍時(shí)博弈結(jié)束。

2基于動(dòng)態(tài)博弈描述的公平性

假定電子商務(wù)協(xié)議∏的博弈模型為G(∏)。 G(∏)的局中人i(i∈N)服從協(xié)議的策略為si，其他策略用變量si表示。其中，TTP始終采取服從協(xié)議的策略s3。 NET的策略s4指通信媒介可靠即消息能在規(guī)定的時(shí)間內(nèi)傳送到目的地。

2．1結(jié)構(gòu)化的公平性及基于動(dòng)態(tài)博弈的形式化描述

本節(jié)從參與者損失利益和獲得利益兩方面考慮協(xié)議的公平性。首先交易方i關(guān)于極大行動(dòng)序列收益平衡當(dāng)且僅當(dāng)如果對(duì)方j(luò)有收入則i一定獲得收入且如果i有支出則i一定獲得收入。

一個(gè)良性的電子商務(wù)協(xié)議首先必須是有效的，即只要參與者誠實(shí)服從協(xié)議，則不管通信信道質(zhì)量如何，協(xié)議最終都能滿足參與者的需要，這就是遵守型公平性;電子商務(wù)系統(tǒng)屬于分布式并發(fā)系統(tǒng)，系統(tǒng)失效包括進(jìn)程失效和通信失效。進(jìn)程失效包括本地失效和遠(yuǎn)程失效。本地失效包括本地進(jìn)程系統(tǒng)斷電，系統(tǒng)崩潰等；遠(yuǎn)程失效指遠(yuǎn)程參與者進(jìn)程故障或者鏈路故障。傳統(tǒng)的通信失效模型只考慮包括消息丟失，由于電子商務(wù)系統(tǒng)的參與者可能利用通信消息延遲發(fā)生欺騙行為，因此本模型建立了通信的消息延遲失效模型。參與者在執(zhí)行協(xié)議的過程中總能找到一個(gè)時(shí)刻退出協(xié)議，當(dāng)退出后直至到整個(gè)協(xié)議結(jié)束時(shí)參與者已經(jīng)獲得的收益不會(huì)再減少。因此引入撤銷型公平性分析系統(tǒng)失效和參與者中途退出協(xié)議的公平性。電子商務(wù)系統(tǒng)基于理性人的假設(shè)，因此不僅僅是分布式并發(fā)系統(tǒng)，他還具有博弈的特征:主體可能不誠實(shí)，即參與者可能中途退出協(xié)議或者不按設(shè)計(jì)者指定順序執(zhí)行子協(xié)議，因此主體在任何時(shí)刻有多個(gè)可選行為;不誠實(shí)主體利用通信媒介的通信延遲失效來獲取額外的收益等。因此本文定義欺騙型公平性分析參與者即使欺騙也不能獲得更多利益，即誠實(shí)的參與者即使在其他參與者可能欺騙的情況下也不會(huì)損失更多的利益。

定義3遵守型公平性。協(xié)議滿足遵守型公平性當(dāng)且僅當(dāng)i (i=1，2)分別關(guān)于q= o(s1， s2， s3， s4)收益平衡。

Kim認(rèn)為協(xié)議執(zhí)行完第2步后，因?yàn)槟撤N原因B沒有在有效時(shí)間內(nèi)收到解密消息的密鑰，這時(shí)B退出協(xié)議會(huì)話并且相關(guān)的會(huì)話信息如加密消息會(huì)被刪除。雖然此后TTP公布了密鑰，B能拿到解密密鑰但是此時(shí)B已經(jīng)刪除了加密的消息，所以B仍然無法獲知明文。如果按照Asokan[1]的公平性定義，協(xié)議滿足公平性。但是實(shí)際上協(xié)議對(duì)B是不公平的，因?yàn)樽詈蟮慕Y(jié)果是A擁有B已接收消息的證據(jù)， B誠實(shí)但是沒有收到該消息。這時(shí)出現(xiàn)了系統(tǒng)滿足公平性定義但實(shí)際上對(duì)B不公平的矛盾。引起矛盾的原因是他們沒有考慮系統(tǒng)進(jìn)程失效和通信失效使得參與者中途退出協(xié)議時(shí)的公平性。本文結(jié)構(gòu)化的公平性定義中使用撤銷型公平性描述誠實(shí)參與者中途自愿和因系統(tǒng)失效被迫退出協(xié)議時(shí)的公平性。因此根據(jù)本文的公平性定義，該協(xié)議不滿足顧客的撤銷型公平性，從而得知協(xié)議不滿足顧客的公平性。

數(shù)字現(xiàn)金支付協(xié)議中，若顧客通過網(wǎng)絡(luò)支付數(shù)字現(xiàn)金給商家，由于顧客和商家之間的信道不可靠，數(shù)字現(xiàn)金在傳送過程中可能丟失。商家沒有收到支付也不會(huì)提供顧客商品。最后的結(jié)果是顧客和商家都誠實(shí)，顧客已支付但卻沒有拿到商品。商家沒有收到支付也不會(huì)傳送商品。基于Asokan的公平性定義認(rèn)為協(xié)議對(duì)顧客是公平的，因?yàn)轭櫩驼\實(shí)且商家沒有占優(yōu)。商家占優(yōu)是指商家拿到了顧客的支付但顧客卻沒有拿到商品。但是實(shí)際上協(xié)議對(duì)顧客是不公平的，因?yàn)轭櫩椭Ц读藚s沒有拿到商品。此時(shí)出現(xiàn)了系統(tǒng)滿足公平性定義但實(shí)際上對(duì)顧客不公平的矛盾。出現(xiàn)矛盾是由于以往定義只適用于零和交易系統(tǒng)。零和交易系統(tǒng)指一方的收入是另一方的支出，一方的支出一定是另一方的收入。數(shù)字現(xiàn)金協(xié)議中顧客的支出不等于商家的收入屬于非零和交易系統(tǒng)。 Asokan的公平性定義不能用于非零和交易系統(tǒng)是因?yàn)樗麄冎粡膮f(xié)議主體獲得利益角度來考慮協(xié)議的公平性。本文的基于收益平衡的公平性定義從獲得利益和損失利益兩個(gè)角度定義公平性，可以應(yīng)用于這類協(xié)議的公平性分析。根據(jù)本文的公平性定義，協(xié)議不滿足收益平衡定義的條件(2)，因此顧客關(guān)于該行動(dòng)序列不是收益平衡的，進(jìn)一步的可知它不滿足顧客的遵守型公平性。因此協(xié)議不滿足顧客的公平性。

4結(jié)束語

本文在Asokan等人的研究基礎(chǔ)上提出了一種結(jié)構(gòu)化的電子商務(wù)協(xié)議公平性，它使用收益平衡從獲得利益和損失利益兩個(gè)角度定義公平性，打破了以往的公平性定義只能應(yīng)用于零和交易系統(tǒng)的局限;分別定義了遵守型公平性、撤銷型公平性和欺騙型公平性。撤銷型公平性可以用于誠實(shí)參與者中途自愿和因系統(tǒng)失效被迫退出協(xié)議時(shí)的公平性分析，遵守型公平性用于參與者行為和通信質(zhì)量符合協(xié)議規(guī)定時(shí)的公平性分析，欺騙型公平性用于有參與者欺騙時(shí)的公平性分析。它解決了系統(tǒng)滿足公平性定義但實(shí)際上對(duì)參與者不公平的矛盾。根據(jù)電子商務(wù)系統(tǒng)的分布式并發(fā)性和博弈特征，使用通信順序進(jìn)程CSP和動(dòng)態(tài)博弈理論建立了電子商務(wù)系統(tǒng)模型，模型刻畫了各主參與者之間的交疊并發(fā)性和參與者與通信媒介的同步并發(fā)行為，對(duì)三種質(zhì)量的通信媒介和參與者的多類不誠實(shí)行為建模，因此而能夠較好地描述協(xié)議主體的合作和競爭行為。

參考文獻(xiàn)：

[1]ASOKAN N. Fairness in electronic commerce[D]. Ontario， Canada: University of Waterloo， 1998.

[2]BELLA G，LONGO C， PAULSON L C. Verifying second－level security protocols[C] //Proc ofTheorem Proving in Higher Order Logics. 2003:352－366.

[3]GRTNER F C，PAGNIA H， VOGT H. Approaching a formal definition of fairness in electronic commerce[C] //Proc ofInternational SRDS Workshop on Electronic Commerce. 1999:354－359.

[4]卿斯?jié)h，李改成. 公平交換協(xié)議的一個(gè)形式化模型[J].中國科學(xué):E輯， 2005，35(2):161－172.

[5]KREMER S， MARKOWITCH O，ZHOU J. An intensive survey of fair non－repudiation protocols [J].Computer Communications， 2002， 25:1601－1621.

[6]KREMER S， MARK D. Analysis of an electronic voting protocol in the applied pi－calculus[C] //Proc of the 14th European Symposium on Programming (ESOP’05). 2005:186－200.

[7]SCHNEIDER S. Formal analysis of a non－repudiation protocol[C] //Proc of the 11th IEEE Computer Security Foundations Workshop. [S.l.]: IEEE Computer Society Press， 1998:54－65.

[8]HOARE C A R. Communicating sequential processes[M]. [S.l.]: Prentice Hall， 2004.

[9]李光久.博弈論基礎(chǔ)教程[M]. 北京：化學(xué)工業(yè)出版社，2005.

[10]KIM K， PARK S， BAEK J. Improving fairness and privacy of Zhou－Gollmann’s fair non－repudiation protocol[C] //Proc ofInternational Workshops on Parallel Processing.[S.l.]: IEEE Computer Society Press， 1999:140－145.

[11]ZHOU J， GOLLMANN D. A fair non－repudiation protocol[C] //Proc ofIEEE Symposium on Security and Privacy. 1996:55－61.

注：本文中所涉及到的圖表、注解、公式等內(nèi)容請(qǐng)以PDF格式閱讀原文