基于移動計算的車聯網位置隱私問題探究*

沈 勇 徐海棟

（江蘇科技大學計算機學院 鎮江 212003）

1 引言

無線通訊技術在近幾年以驚人的速度不斷發展和進步，移動計算在各種新興技術的支持下，被廣泛地應用于智能交通、醫療健康以及能源管理等領域，并且衍生出大量具有發展潛力的應用場景［1］。隨著新生應用場景的不斷發展，各種問題也隨之而來，其中比較突出的為安全和隱私保護，對表現出來的問題不加以解決勢必會限制移動計算在應用場景當中的發展［2］。而位置服務的廣泛應用更是提高了人們對個人隱私數據的關注，在位置服務中實現對個人隱私數據的有效保護成為了人們最基本的要求［14］。車輛位置隱私保護問題，傳統的云計算模式無法得到有效解決［15］。而通過車聯網與霧算結合之后，車輛位置隱私保護問題得以順利應對，并將成為未來智能交通領域的新趨勢［3］。

與其他模式相比，霧計算模式在車輛位置隱私保護當中優勢十分明顯［4］。因此，本文進行的假名隱私保護策略研究也是基于霧計算模式進行的，期望能夠實現車輛位置隱私保護水平的提升。

2 模型框架

2.1 車聯網系統模型

基于移動計算的車載網絡模型由物理層、云層、用戶層組成算組合的語義表示。

在物理層中，車牌號碼、車主姓名是車輛管理的關鍵信息，而對于這些關鍵信息的認證［5］，通常需要到交通部門或者政府指定的第三方機構進行注冊，只能通過注冊，才能完成車輛所有信息的關聯，這是車聯網管理的基本程序。基于注冊的合法性，在車聯網管理系統中，實體密鑰的有效管理、初始化安全系數管理才能得到保障，路測單元出現的任何異常行為都能夠被認證中心進行確切有效的監管和控制。

云層分為中心云和本地云。車輛的移動特性通常取決于用戶層當中包含的駕駛者社交行為，除此之外還可以對區域的假名管理工作產生間接的影響。為了發現車輛時空分布的規律［6］主要研究了實際行駛軌跡的數據集、挖掘車輛時空分布特性。圖1為車聯網系統模型。

圖1 車聯網系統模型

2.2 假名分發方案

借助路側單元，車輛完成了假名申請工作，并最終本地云接收到請求。這一過程發生在車輛進行假名申請，以及地云接收到請求并發生系列指令，全過程中，表1 列出了這一過程所運用的絕大部分符號。以下是車輛如何完成假名請求的介紹。

表1 假名方案運用符號

第一步：借助最近路側單元，全局認證中心，定時的發布信息系統，傳送至周圍的車輛。其中，服務系統包括以下幾個部分，第一部分是具體提供的服務；第二部分是地理位置范圍；第三部分是本地云的位置；第四部分是全局認證中心相關信息；第五部分則是本地云的身份資料等。

第二步：車輛Vi，進入本地云LCn的覆蓋范圍后，由Vi 負責接受服務信息，并經過后期的處理，對Infor service 做出真偽判斷。完成這一工作之后，全局認證中心將分配給該車輛一個公鑰，對車輛申請的假名請求，以及該車輛的身份資料，進行加密處理，完成加密后，協議一中的假名request 便生成成功。其重要性體現為能夠對信息的安全性提供必要的保證，并且有效地抵御第三方的攻擊。除此之外，借助于最近的路測單元，會給每個車輛分配一個數字簽名，并最終會傳送至本地認證中心。

第三步：本地認證中心收到來至車輛Vi 的請求后，并借助其從全局認證中心所取得的公鑰，完成加密處理之后，將對應的信息提煉出來，然后本地認證中心提取其中的數字簽名，最后附上數字簽名，最后完成信息的輸送。

第四步：全局認證中心接收該信息后，對該信息進行一定的處理，這部分的工作主要是由注冊數據庫來完成，以此來檢驗車輛的身份信息，與此同時，并對全民的假名黑名單進行搜索，來排檢車輛。完成以上操作后，將檢驗的信息打包，并傳送給本地認證中心。

第五步：完成信息傳輸后，如果反饋信息表明，該車輛Vi 通過檢測，那么本地認證中心將會授予該車輛假名，否則，會拒絕汽車所提出的假名申請。例如，車輛經過Vi 檢測確認為合法車輛之后，假名池當中的假名數量充足，在這種情況下，本地認證中心將會將假名集合發送至車輛，假名集合當中分別包含：與車輛信息相匹配的公鑰和私鑰，以及車輛的假名證書［7］。

2.3 問題求解

假設假名的產生速度為θ。假設本地云需要m個假名。為了進一步確保位置信息具有足夠的安全性，車輛的假名數量應當符合要求。我們可以通過計算該車輛的社交熱點的車輛所需要假名的數目，來估計該車輛在特定的時間內所需要的假名數量。經過一個時間間隔之后，中心云通過估計的，分發—定量的假名給LCi。隨著時間的變化，假名需求變量也會發生改變，根據車輛的移動記錄能夠分析出規律，以此獲得概率密度分布函數［8］。

為了更好地明確車輛和本地云二者間的假名分配情況，本文選擇使用了報童模式［9］。在以前的模型里，報童負責供給資源，將報紙分發給對應的客戶。在我們的假名分發模型中，本地云所扮演的功能就相當于報童，假名就如同傳統模型中的報紙，車輛就是傳統模型中的客戶。不同的假名數目會影響運行的效率，關于假名樹木的選擇主要由本地云來完成，由本地云發出的假名數請求記為。如果Qt小于，那么分發假名的時候，本地云LCi便可以得到好處，我們用e來表示。否則，在本地云LCi中，剩余的假名將會被存放在假名池中，在存放過程中，也會產生存儲費用，我們用s 來表示。如果LCi不能達到本地車輛的要求，作為對LCi的懲罰，將會被罰款，罰款的金額用P 來表示，LCi的效益函數為

為了簡化，我們令x+=max（x，0），并把式（1）改寫為

圖2 遺傳算法流程圖

3 實驗結果與分析

3.1 仿真分析

考慮在面積為25km2的觀察區域中安裝四個本地云，記錄為LC1，LC2，LC3，LC4。我們對本地云中假名請求過程進行相應的分析，最后發現，這一請求呈現柏松分布的特點。以上四個本地云，平均每一分鐘，可以發出的假名請求分別達到50 次，100次，150 次，200 次，并將其存儲至列表中。在參數的設置方面，將c設置為1，將s設置為0.1，將P設置為0.3。對于中心云而言，其每一分鐘大約能夠產生600 個假名。為了進一步明確分發假名系統的功能，在研究的過程中分別就每個提案進行了分析，并且將所有提案與典型方案相比對。

每個假名方案所對應的本地云效益的比較如圖3 所示。根據圖中的數據可以得知，就不同的本地云而言，將全部的假名分配方案進行比較可知，應用均分方案能夠獲得的效益顯著高于其他。例如，CL4在根據需要進行假名的分發方案中，比均分方案，產生的效益會高出約44.44%。而對于其他的本地云盤而言，根據需求進行假名分發的方案，產生的效益也會更高，比另一種方案會高出18.3%。其主要的原因是因為在這種方案中，假名可以根據實際情況進行假名的分發工作。但是均分方案在實際應用當中卻發生了分配不均的情況，主要是因為LC1 和LC2 能夠生產出過量的假名，但是LC4 正好相反，假名不足，從而拉低了平均效益。在圖4 中，說明了系統參數對假名請求數量的最優選擇有重大的作用。通過圖4 我們可以知道，我們可以增加e 參數以及p 參數的大小，減小s 參數，可以幫助我們獲得最優的假名需求量。

圖3 所提方案與均分假名方案的結果對比

圖4 不同方案對假名參數影響

3.2 假名方案安全性分析

1）車輛的匿名性：位置隱私保護程度的高低最關鍵性的影響因素為全局被動攻擊者將某一假名映射值目標車輛實際身份的不確定性，也就是所謂的假名熵。就全局被動攻擊而言，它不僅可以對車輛的安全信息進行竊取，還可以對車輛的時間和位置進行觀察和理解，并且這些舉動都是被動進行的，通過竊取的信息對目標車輛假名的可能映射關系進行推算。攻擊者在假名更換處車輛不多的情況下有極大的可能對目標車輛進行跟蹤。因此，當車輛比較少的時候，可以通過周期新更換假名的方式加強隱私的保護，例如，每12min 對假名進行一次更換。當車輛處于社交熱點的時候，可以對自身的車輛側假名熵進行合理的估算，結合情境對假名的更換時間和地點進行科學的設置，一般情況下，為了實現車輛側假名熵的最大化，假名的更換地點通常選擇在車輛足夠多的熱點處進行。這主要是因為目標車輛混入眾多車輛中間會增加全局被動攻擊者持續追蹤的難度，此時在熱點處的多輛車一起進行假名更換，則所有的車輛都可能被誤認為目標車輛，最終導致全局被動攻擊者無法正確辨認跟蹤目標。本文設計的方案和集中式假名管理進行比較，通信開銷更多用于假名更換博弈。

2）基本安全要求：P3方案是指使用標準加密算法對多重安全攻擊進行有效的抵御，標準加密算法通常表現為不對稱或者加密。對于攻擊者而言，受到加密及認證機制的限制，使用暴力方式無法對密文進行破解，自然也就無法打開加密消息。重放攻擊隨著時間戳的使用也將無法發揮作用，而且攻擊者也沒有辦法對路側單元消息進行偽造。為了提高抵御攻擊的能力，車輛使用新的假名之后，原來的假名在失效之后將不會繼續保存于存儲空間當中。

3）數據完整性和認證性：全部實體都得益于數字簽名，能夠實現通信過程當中的相互驗證。所有實體在不具備簽名者私鑰的前提下，都無法對其數字簽名進行偽造。數字簽名只可以由指定的簽名者生成，能夠對所有擁有數字簽名的信息進行身份驗證，以有效的抵擋攻擊者對合法車輛進行模仿所造成的攻擊。接受者在進行驗證的過程中，可以對信息的修改情況進行及時的發現，這樣做既維護了信息的完整性，也保證了它的不可篡改性。

3.3 性能評估

PLL-T 考慮一個中心商務區，其面積為20km2，轄區內包含的街道網格數量為10×10。所有街道均為雙車道公路，能夠進行雙向交通，從中挑選8 個規模較大的十字路口設置成為社交熱點，并分別在其附近設置路側單元，數量為1。每個路側單元安裝有覆蓋半徑為350m 的無線電裝置。所有車輛均遵循泊松過程的規律駛達十字路口，其平 均 值A=30～120輛/min［38］。設 置 紅 燈 時 間 為60s，熵損失率θτ（熵/分）滿足正態分布特征：θτ～N（0.1，σ2）。更換假名的成本c的取值為集合[0.3，05，07]當中的某一個。我們設置觀察時間為120min。根據參考文獻對加密操作和傳輸延遲的參數值進行設置，與參考文獻保持一致［13］。具體的加密操作時間參數包括：非對稱加密-1.86ms，解密-0.94ms，數字簽名生成-0.93ms，數字簽名驗證-1.11ms，身份證驗證-5.42ms。路側單元和車載單元、本地認證中心、全局認證中心三者間的傳輸時延分別為20ms、5ms、10ms。

P3方案當中的假名請求時延性能和文獻［11］中的傳統方案進行的比較詳見圖5。車輛可以通過F-IoV直接向本地認證中心申請新假名。任何一個本地認證中心都具有生成假名的能力，并且其成的假名只會發放給本地車輛，這樣可以預防發生網絡堵塞的情況。假名請求本地化能夠有效地縮短相應時間，除此之外往返時延也會減少。所以在本文的設計中，請求時延明顯短于其他方案。在本地認證中心加入之后，其工作量實現了均衡，也使得假名請求時延顯著縮減。本文的設計方案隨著請求新假名車輛的增加，其時延小的優點將表現的更加突出。如果系統當中同時存在兩個可以正常工作的本地認證中心，那么按照本文設計的方案與已有方案相比，時延將縮短440%。隨著假名請求本地化的發展，系統的通信開銷也隨之節省，假名請求的量越大，通信開銷的節省也隨之增加，詳見圖6。本地認證中心在部署上遵守邊緣部署的原則，使得車輛與其進行交互的時間短并且速度非常快，這樣部署的優點是可以降低假名請求過程中的通信開銷。在本文的設計當中，隨著λ的增加，通信開銷總的減少量也持續增大。

圖5 假名請求延時

圖6 假名請求量

4 結語

本文主要研究了車聯網位置隱私問題的解決辦法，在霧計算的基礎上進行了方案設計，其功能是對車輛行駛當中的位置進行隱私保護。傳統的云計算模式無法有效解決，而通過車聯網與霧算結合之后，車輛位置隱私保護問題得以順利應對，并將成為未來智能交通領域的新趨勢。在本文的研究中，首先是對假名按需管理分發系統進行了重新設計，建立了物理層、用戶層、云層的三層云架構模式。車輛假名應當具備多樣性的特點，其需求的影響因素主要包括地域和交通道路的差異等。為此，為了求解最優假名分發量，本文采用了報童模型建模的方式予以解決。基于此進行仿真檢驗，全面評估車輛進行假名更換的安全性。