ｎｅｔｗｏｒｋｓ（ｉ．ｅ．，ＶＡＮＥＴｓ）ｉｎ　ｔｈｅ　ｔｒａｎｓｐｏｒｔａｔｉｏｎ　ｃｙｂｅｒ－ｐｈｙｓｉｃａｌ　ｓｙｓｔｅｍ （ｉ．ｅ．，Ｔ－ＣＰＳ）．Ａｓ　ｔｈｅｂａｓｉｓ　ｏｆ　ｍｏｂｉｌｅ　ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ｉｎ　ＶＡＮＥＴｓ，ｔｈｅｓｅ　ｐｒｏｔｏｃｏｌｓ　ｍｕｓｔ　ｂｅａｂｌｅ　ｔｏ　ｅｓｔａｂｌｉｓｈ　ｅｆｆｅｃｔｉｖｅ　ａｎｄ　ｅｆｆｉｃｉｅｎｔ　ｒｏｕｔｉｎｇ　ｐａｔｈｓ　ｔｏ　ｇｕａｒａｎｔｅｅ　ｔｉｍｅｌｙ　ａｎｄ　ｒｅｌｉａｂｌｅ　ｄａｔａ　ｔｒａｎｓｍｉｓｓｉｏｎｂｅｔｗｅｅｎ　ｖｅｈｉｃｌｅｓ．Ｈｏｗｅｖｅｒ，ｔｈｅ　ｒａｐｉｄ　ｍｏｖｅｍｅｎｔ　ｏｆ　ｖｅｈｉｃｌｅｓ　ｌｅａｄｓ　ｔｏ　ｆｒｅｑｕｅｎｔ　ｃｈａｎｇｅｓ　ｉｎ　ｔｏｐｏｌｏｇｙａｎｄ　ｉｎｃｒｅａｓｅｓ　ｔｈｅ　ｄｉｆｆｉｃｕｌｔｙ　ｏｆ　ｄｅｓｉｇｎｉｎｇ　ｒｏｕｔｉｎｇ　ｐｒｏｔｏｃｏｌｓ．Ｄｕｅ　ｔｏ　ｔｈｅ　ｅｘｃｅｓｓｉｖｅ　ｒｅｌｉａｎｃｅ　ｏｎ　ｃｏｍｐｕｔｉｎｇ，ｃｏｍｍｕｎｉｃａｔｉｏｎ　ａｎｄ　ｃｏｎｔｒｏｌ　ｔｅｃｈｎｏｌｏｇｉｅｓ，ＶＡＮＥＴｓ　ａｒｅ　ｖｕｌｎｅｒａｂｌｅ　ｔｏ　ｖａｒｉｏｕｓ　ｔｙｐｅｓ　ｏｆ　ｍａｌｉｃｉｏｕｓａｔｔａｃｋｓ　ｉｎ　ｔｈｅ　ａｂｓｅｎｃｅ　ｏｆ　ｐｕｂｌｉｃ　ｋｅｙ　ｉｎｆｒａｓｔｒｕｃｔｕｒｅ．Ａｎｄ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｏｆ　ｉｎｆｏｒｍａｔｉｏｎ　ｔｒａｎｓｍｉｓｓｉｏｎｉｓ　ｓｉｇｎｉｆｉｃａｎｔｌｙ　ｔｈｒｅａｔｅｎｅｄ．Ｔｏ　ｔａｃｋｌｅ　ｔｈｅ　ｒｏｕｔｉｎｇ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅ，ｔｈｉｓ　ｐａｐｅｒ　ｐｒｏｐｏｓｅｓ　ａｎ　ａｔｔａｃｋ－ｒｅｓｉｓｔａｎｔ　ｌｉｇｈｔ－ｗｅｉｇｈｔ　ｔｒｕｓｔ－ｂａｓｅｄ　ｓｅｃｕｒｅ　ｍｕｌｔｉｃａｓｔ　ｒｏｕｔｉｎｇ　ｐｒｏｔｏｃｏｌ（ｉ．ｅ．，ＴＳＭＲＰ），ｗｈｉｃｈ　ｃａｎｒｅｓｉｓｔ　ｍｕｌｔｉｐｌｅ　ｍａｌｉｃｉｏｕｓ　ａｔｔａｃｋｓ　ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｉｎｔｅｇｒａｔｉｏｎ　ｏｆ　ｔｒｕｓｔ．Ｔｈｉｓ　ｐａｐｅｒ　ｆｉｒｓｔ　ｄｅｓｉｇｎｓ　ａ　ｈｉｇｈｌｙｅｆｆｉｃｉｅｎｔ　ｔｒｕｓｔ　ｃｏｍｐｕｔｉｎｇ　ｍｏｄｅｌ，ｗｈｉｃｈ　ｉｎｔｅｇｒａｔｅｓ　ｔｗｏ　ｔｒｕｓｔ　ｄｅｃｉｓｉｏｎ　ｆａｃｔｏｒｓ，ａｓ　ｔｈｅ　ｄｉｒｅｃｔ　ｔｒｕｓｔａｎｄ　ｔｈｅ　ｒｅｃｏｍｍｅｎｄａｔｉｏｎ　ｔｒｕｓｔ，ｔｏ　ｄｅｒｉｖｅ　ｔｈｅ　ｏｖｅｒａｌｌ　ｔｒｕｓｔ　ｖａｌｕｅ　ｏｆ　ａ　ｖｅｈｉｃｌｅ．Ｄｕｒｉｎｇ　ｔｈｅ　ｃｏｎｓｔｒｕｃｔｉｏｎｏｆ　ｄｉｒｅｃｔ　ｔｒｕｓｔ　ｍｏｄｅｌ，ｔｈｅ　ｇｒｅｙ　Ｍａｒｋｏｖ　ｐｒｅｄｉｃｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｆｌｕｃｔｕａｔｉｏｎ　ｔｙｐｅ　ｒｅｃｏｇｎｉｔｉｏｎｉｓ　ｕｔｉｌｉｚｅｄ　ｔｏ　ｃａｌｃｕｌａｔｅ　ｔｈｅ　ｄｉｒｅｃｔ　ｔｒｕｓｔ　ｖａｌｕｅ　ｏｆ　ａ　ｓｐｅｃｉｆｉｃ　ｖｅｈｉｃｌｅ　ａｃｃｕｒａｔｅｌｙ．Ｍｅａｎｗｈｉｌｅ，ｄｕｒｉｎｇｔｈｅ　ｃｏｎｓｔｒｕｃｔｉｏｎ　ｏｆ　ｒｅｃｏｍｍｅｎｄａｔｉｏｎ　ｔｒｕｓｔ　ｍｏｄｅｌ，ｔｈｅ　ｒｅｃｏｍｍｅｎｄｉｎｇ　ｖｅｈｉｃｌｅｓ　ａｒｅ　ｃｌａｓｓｉｆｉｅｄ　ｉｎｔｏｔｈｒｅｅ　ｔｙｐｅｓ　ｂａｓｅｄ　ｏｎ　ｔｈｅｉｒ　ｉｎｔｅｒａｃｔｉｏｎ　ｒｅｌａｔｉｏｎｓｈｉｐ　ｗｉｔｈ　ｔｈｅ　ｍｏｎｉｔｏｒｉｎｇ　ｖｅｈｉｃｌｅ．Ａｎｄ　ｆｕｒｔｈｅｒ，ｔｈｅｆｕｚｚｙ　ａｎａｌｙｔｉｃ　ｈｉｅｒａｒｃｈｙ　ｐｒｏｃｅｓｓ　ｂａｓｅｄ　ｏｎ　ｅｎｔｒｏｐｙ　ｍｅｃｈａｎｉｓｍ　ｉｓ　ｕｓｅｄ　ｔｏ　ａｓｓｉｇｎ　ｏｐｔｉｍａｌ　ｗｅｉｇｈｔｓ　ｆｏｒｔｈｅｓｅ　ｔｈｒｅｅ　ｔｙｐｅｓ　ｏｆ　ｒｅｃｏｍｍｅｎｄａｔｉｏｎ　ｔｒｕｓｔ．Ｓｅｃｏｎｄｌｙ，ｔｈｅ　ＮｅｔＬｏｇｏ　ｓｉｍｕｌａｔｉｏｎ　ｐｌａｔｆｏｒｍ　ｉｓ　ｕｓｅｄｔｏ　ｖｅｒｉｆｙ　ｔｈｅ　ｅｆｆｅｃｔｉｖｅｎｅｓｓ　ａｎｄ　ａｃｃｕｒａｃｙ　ｏｆ　ｔｈｉｓ　ｔｒｕｓｔ　ｃｏｍｐｕｔｉｎｇ　ｍｏｄｅｌ，ｗｈｉｃｈ　ｃａｎ　ｅｆｆｅｃｔｉｖｅｌｙｉｍｐｒｏｖｅ　ｔｈｅ　ｄｅｔｅｃｔｉｏｎ　ｒａｔｅ　ａｎｄ　ｔｈｅ　ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　ａｃｃｕｒａｃｙ　ｏｆ　ｍａｌｉｃｉｏｕｓ　ｖｅｈｉｃｌｅｓ．Ｔｈｉｓ　ｄｉｒｅｃｔ　ｔｒｕｓｔｍｏｄｅｌ　ｃａｎ　ｎｏｔ　ｏｎｌｙ　ｄｅａｌ　ｗｉｔｈ　ｔｈｅ　ｃｏｍｍｏｎ　ｂｌａｃｋ／ｇｒｅｙ　ｈｏｌｅ　ａｔｔａｃｋｓ　ｂｕｔ　ｃａｎ　ａｌｓｏ　ｅｆｆｅｃｔｉｖｅｌｙ　ｉｄｅｎｔｉｆｙｔｈｅ　ｔｉｍｉｎｇ－ｓｈｉｆｔ　ａｔｔａｃｋｓ．Ｔｈｅ　ｒｅｃｏｍｍｅｎｄａｔｉｏｎ　ｔｒｕｓｔ　ｍｏｄｅｌ　ｃａｎ　ｅｆｆｅｃｔｉｖｅｌｙ　ｄｅａｌ　ｗｉｔｈ　ｓｌａｎｄｅｒａｔｔａｃｋｓ　ａｎｄ　ｃｏｌｌｕｓｉｏｎ　ａｔｔａｃｋｓ．Ｔｈｉｒｄｌｙ，ａ　ｔｒｕｓｔ－ｂａｓｅｄ　ｓｅｃｕｒｅ　ｍｕｌｔｉｃａｓｔ　ｐｒｏｔｏｃｏｌ（ｉ．ｅ．，ＴＳＭＲＰ）ｉｓｄｅｓｉｇｎｅｄ　ｔｏ　ｅｆｆｅｃｔｉｖｅｌｙ　ｉｄｅｎｔｉｆｙ　ａｎｄ　ｓｕｐｐｒｅｓｓ　ｍａｌｉｃｉｏｕｓ　ｖｅｈｉｃｌｅｓ　ｄｕｒｉｎｇ　ｔｈｅ　ｒｏｕｔｅ　ｅｓｔａｂｌｉｓｈｍｅｎｔｐｈａｓｅ　ａｎｄ　ｔｈｅ　ｒｏｕｔｅ　ｍａｉｎｔｅｎａｎｃｅ　ｐｈａｓｅ．Ｔｈｅｒｅｂｙ，ｔｈｉｓ　ｎｅｗ　ｔｒｕｓｔ－ｂａｓｅｄ　ｒｏｕｔｉｎｇ　ｐｒｏｔｏｃｏｌ　ｃａｎｄｅｖｅｌｏｐ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｐａｔｈｓ　ｏｆ　ｈｉｇｈ　ｓｅｃｕｒｉｔｙ　ａｎｄ　ｒｅｌｉａｂｉｌｉｔｙ　ｖｉａ　ｅｘｃｌｕｄｉｎｇ　ｔｈｅ　ｍａｌｉｃｉｏｕｓ　ｒｅｌａｙｖｅｈｉｃｌｅｓ．Ｂｅｓｉｄｅｓ，ｔｏ　ｆｕｒｔｈｅｒ　ｉｍｐｒｏｖｅ　ｒｏｕｔｉｎｇ　ｅｆｆｉｃｉｅｎｃｙ，ｔｈｉｓ　ｐａｐｅｒ　ｐｒｏｐｏｓｅｓ　ｔｗｏ　ｉｍｐｒｏｖｅｍｅｎｔｍｅｃｈａｎｉｓｍｓ　ｉｎｃｌｕｄｉｎｇ　ｔｈｅ　ｆｏｒｗａｒｄｉｎｇ　ｇｒｏｕｐ　ｎｏｄｅ　ｒｅｕｓｅ　ｍｅｃｈａｎｉｓｍ　ａｎｄ　ｔｈｅ　ｅｄｇｅ　ｐａｔｈ　ｄｅｌｅｔｉｏｎｍｅｃｈａｎｉｓｍ　ｄｕｒｉｎｇ　ｔｈｅ　ｒｏｕｔｅ　ｍａｉｎｔｅｎａｎｃｅ　ｐｈａｓｅ．Ｔｈｅｓｅ　ｔｗｏ　ｍｅｃｈａｎｉｓｍｓ　ｃａｎ　ｒｅｄｕｃｅ　ｔｈｅ　ｎｕｍｂｅｒ　ｏｆｆｏｒｗａｒｄｉｎｇ　ｇｒｏｕｐ　ｎｏｄｅｓ　ａｎｄ　ｔｈｅ　ｆｌｏｏｄｉｎｇ　ｏｆ　ｒｏｕｔｉｎｇ　ｒｅｑｕｅｓｔ　ｐａｃｋｅｔｓ　ｅｆｆｅｃｔｉｖｅｌｙ，ｔｈｕｓ　ｒｅｄｕｃｅ　ｔｈｅｒｏｕｔｉｎｇ　ｏｖｅｒｈｅａｄ　ｃａｕｓｅｄ　ｂｙ　ｔｒｕｓｔ　ｍｏｄｅｌ　ｆｕｓｉｏｎ　ａｎｄ　ａｖｏｉｄ　ｔｈｅ　ｌｏｓｓ　ｏｆ　ａ　ｌａｒｇｅ　ｎｕｍｂｅｒ　ｏｆ　ｐａｃｋｅｔｓ　ｄｕｅｔｏ　ｔｈｅ　ｌｉｎｋ　ｂｌｏｃｋｉｎｇ．Ｔｈｅｓｅ　ｂｅｎｅｆｉｃｉａｌ　ｅｆｆｅｃｔｓ　ｍａｋｅ　ｔｈｉｓ　ｎｅｗ　ｐｒｏｐｏｓｅｄ　ｐｒｏｔｏｃｏｌ　ｍｏｒｅ　ａｄａｐｔａｂｌｅ　ｔｏｔｈｅ　ｅｎｖｉｒｏｎｍｅｎｔ　ｗｉｔｈ　ｈｉｇｈ　ｍｏｂｉｌｉｔｙ．Ｆｉｎａｌｌｙ，ｃｏｍｐａｒｅｄ　ｗｉｔｈ　ｔｈｅ　ｏｔｈｅｒ　ｒｅｌｅｖａｎｔ　ｐｒｏｔｏｃｏｌｓ，ｔｈｅｄｅｔａｉｌｅｄ　ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ＴＳＭＲＰ　ｉｍｐｒｏｖｅｓ　ｔｈｅ　ｐａｃｋｅｔ　ｄｅｌｉｖｅｒｙ　ｒａｔｉｏ．Ｏｎ　ｔｈｅｃｏｎｔｒａｒｙ，ｔｈｅ　ｒｏｕｔｉｎｇ　ｏｖｅｒｈｅａｄ，ｔｈｅ　ａｖｅｒａｇｅ　ｅｎｄ－ｔｏ－ｅｎｄ　ｌａｔｅｎｃｙ　ａｎｄ　ｔｈｅ　ｂｙｔｅ　ｓｅｎｔ　ｐｅｒ　ｂｙｔｅｄｅｌｉｖｅｒｅｄ　ａｒｅ　ｒｅｄｕｃｅｄ．Ｋｅｙｗｏｒｄｓ　 ｖｅｈｉｃｕｌａｒ　ａｄ　ｈｏｃ　ｎｅｔｗｏｒｋ；ｓｅｃｕｒｅ　ｒｏｕｔｉｎｇ　ｐｒｏｔｏｃｏｌ；ｍａｌｉｃｉｏｕｓ　ａｔｔａｃｋｓ；ｔｒｕｓｔ　ｃｏｍｐｕｔｉｎｇ；ｇｒｅｙ　Ｍａｒｋｏｖ　ｐｒｅｄｉｃｔｉｏｎ１　引　言随着汽车制造商之间的竞争日益激烈，车载自组网（Ｖｅｈｉｃｕｌａｒ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ，ＶＡＮＥＴｓ）正经历着巨大的演变．导航系统、嵌入式传感器和新标准化通信技术的引入，极大地改善了人们的生活水平．汽车在行驶过程中可以通过交换驾驶员行驶意图的信息来避免碰撞，应急车辆可以提前警示前方的车辆做出避让操作［１］．然而车辆的高速移动性会导致２６９ 计　　算　　机　　学　　报 ２０１９年车载网基础设施所建立的链路频繁切换，甚至造成断裂．在道路边缘部署多个固定信号收发装置的成本过高，除去数据传输的自身成本外，部署车载蜂窝网（Ｖｅｈｉｃｕｌａｒ　Ｃｅｌｌｕｌａｒ　Ｎｅｔｗｏｒｋ，ＶＣＮ）和车载无线局域网（Ｖ－ＷＬＡＮ）还需要使用昂贵的通信收发设备［２］．因此，ＶＡＮＥＴｓ内部通信过程主要采用车辆到车辆（Ｖｅｈｉｃｌｅ－ｔｏ－Ｖｅｈｉｃｌｅ，Ｖ２Ｖ）的模式，不需要配套基础设施的参与．车辆依靠无线收发器与其它相邻车辆交换数据，然后将数据分组经由相邻车辆路由转发到不在通信范围内的目的车辆．数据分发是 ＶＡＮＥＴｓ领域的一个重要研究方向，其主要依赖于高效的轻量级路由协议来实现［３］．为满足不同用户的需求，ＶＡＮＥＴｓ路由应具有一定的约束条件，例如较低的端到端延迟和丢包率．然而车辆的高速移动性会导致所选择的初始路由路径迅速改变，引起数据传输延迟增大和数据包丢失，因此ＶＡＮＥＴｓ路由协议必须具有较高的鲁棒性，能够快速适应网络拓扑的频繁变 化．此外，证书颁发机构（Ｃｅｒｔｉｆｉｃａｔｅ　Ａｕｔｈｏｒｉｔｙ，ＣＡ）等公钥基础设施的缺失，令 ＶＡＮＥＴｓ更易遭受各种类型的恶意攻击和安全威胁．安全路由的建立，能够保证数据在车辆节点之间可信传输，使司机能够根据可靠的信息做出正确的决策．为了实现路由安全，传统方法是采用基于密码学的安全机制［４－６］，但其存在明显缺陷：（１）可信中央控制节点的缺失使得 ＶＡＮＥＴｓ系统节点间的信任和授权较难实现；（２）ＰＫＩ基于集中式服务器，专注于路由数据包的完整性检测以防止恶意实体对非可变字段的修改；（３）此类机制无法识别网内拥有合法授权身份的恶意实体，易遭受 ＤｏＳ／ＤＤｏＳ攻击、女巫攻击和假冒攻击等内部攻击；（４）安全协议执行过程中对数据包或字段的频繁加解密操作将消耗大量的带宽，产生高昂的网络开销．相较而言，基于信任管理的安全路由机制被认为是一种更有前途的解决方案，能有效弥补前者存在的缺陷．该类机制能够隔离网内行为不端的恶意节点，保证车辆之间的安全交互对上下文情境感知、数据传输和融合的可靠性和有效性起到关键作用．车载自组网可以被看作一类较为特殊的移动自组网（Ｍｏｂｉｌｅ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ，ＭＡＮＥＴｓ），二者具有许多共性［７］．ＭＡＮＥＴｓ中基于网格的路由协议（如 ＯＤＭＲＰ，ＮＳＭＰ，ＯＢＡＭＰ等）具有较高的鲁棒性，能够有效适应 ＶＡＮＥＴｓ中车辆的快速移动性．因此，本文借鉴网格结构的优势，提出了一种以信任计 算 模 型 为 基 础 的 轻 量 级 安 全 组 播 路 由 协 议（Ｔｒｕｓｔ－ｂａｓｅｄ　Ｓｅｃｕｒｅ　Ｍｕｌｔｉｃａｓｔ　Ｒｏｕｔｉｎｇ　Ｐｒｏｔｏｃｏｌ，ＴＳＭＲＰ）．本文主要贡献如下：（１）考虑 到 车 辆节 点 间 历 史交 互数 据 的 波动性，提出了基于波动类型识别的灰色马尔可夫预测模型，对直接信任进行预测．该模型不仅可以应对普通的黑／灰洞攻击，而且利用波动趋势的概念能有效识别节点发起的时序变换类攻击；（２）根据 交 互 关系 将 推 荐 节点 进行 系 统 地分类，利用基于熵权的模糊层次分析法为各类推荐节点的推荐信息分配最佳权重．其中，基于反馈机制提出了一种推荐可信度的计算方法，能有效地应对诋毁攻击和共谋攻击，过滤不良推荐信息；（３）设计并实现了适用于 ＶＡＮＥＴｓ的轻量级安全路由协议 ＴＳＭＲＰ．本文将信任融入组播路由协议的设计过程中，使其能够抵御多种恶意攻击；（４）为了进一步提高路由效率，在路由维护阶段提出了两个有效的机制，分别是转发组节点复用机制和边缘路径删除机制，它们能够有效地减少转发组节点的个数，减少路由请求报文的洪泛，从而降低路由开销，避免因链路阻塞而导致数据包大量丢失．本文第２节介绍目前 ＶＡＮＥＴｓ路由协议和信任管理的相关工作；第３节详细地描述信任计算模型；第４节对信任模型的性能进行仿真验证；第５节详细介绍基于信任管理的轻量级安全组播路由协议ＴＳＭＲＰ；第６节对新协议进行仿真模拟和性能对比；第７节对全文进行总结，提出下一步研究计划和方向．２　相关工作２．１　ＶＡＮＥＴｓ路由协议路由协议 是 ＶＡＮＥＴｓ运 行 的 基 础，近 年 来 研究者们 为 设 计 出 高 效 的 路 由 协 议 做 了 大 量 研 究．Ｔｏｇｏｕ等人［８］提出了分布式路由协议 ＳＣＲＰ，即网络中的节点根据收集到的延迟和连接信息为路径分配权重，选择具有最低聚合权重的路径来转发数据分组．为了解决个体车辆到路边单元端到端传输性能不可靠的问题，Ｗａｎｇ等人［９］提出了一种新的分组转发方案，即利用车辆的移动性差异来处理最佳网络吞吐量，以平衡网络中的数据流量．Ｌｉｎ等人［１０］设计了一个基于移动区域的架构，即车辆彼此协作形成动态移动区域，以促进信息传播．随后又将移动对象建模和索引技术从大型移动对象数据库引入到ＶＡＮＥＴｓ路由协议的设计中，提高了协议的效率．５期 夏　辉等：车载自组网中基于信任管理的安全组播协议设计３６９等人［１１］考虑了数据的传输速率和多跳传输效率对 ＶＡＮＥＴｓ路由协议性能产生的影响，提出一种能够通过与环境交互确定最佳 传输参数的路由协议．文献［１２］中，作者提出了微观拓扑学（ＭＴ）的新概念，设计了一种基于 ＭＴ 的新型街道中心路由协议ＳＲＰＭＴ．Ｚｈｕ等人［１３］研究发现车辆在多级场景中移动时呈现出多级特征，从而提出了一种面向多级场景的贪婪机会路由协议 Ｍ－ＧＯＲ，该协议利用连通概率的计算方法和贪婪机会转发算法来应对多层结构的影响．Ｙａｏ等人［１４］通过车辆运动表现出的高度重复性和历史运行路线，利用隐马尔可夫模型预测车辆的未来位置，提出了一种新颖的预测路由协议 ＰＲＨＭＭ．上述路由协议的设计大多基于节点友好合作的网络环境，侧重于维护车辆节点之间的正常通信，而很少考虑恶意车辆对协议性能的影响．为了有效应对潜在的多种恶意攻击，识别恶意车辆并抑制它们对网络造成的负面影响，需要设计实现一种高效、可靠且轻量级的安全路由协议．２．２　ＶＡＮＥＴｓ信任管理与基于密码体系的硬安全机制相比，基于信任管理的软安全机制通过另外一条途径保证了系统的安全性．Ｋｅｒｒａｃｈｅ等人［１５］在文中将 ＶＡＮＥＴｓ中路由的安全解决方案分为两类：基于密码学的安全解决方案和基于信任管理的安全解决方案．文中对密码学方法和信任管理方法进行了对比，阐明了信任管理方法的多种优势．文献［１６］提出了一种基于多ＱｏＳ约束的可靠感知路由算法，该算法提供了一种切实可行的方法来抵御路由攻击．在算法中，采用蚁群优化技术，根据数据流量类型决定多个 ＱｏＳ约束条件来选择可行路由，并利用面向 ＶＡＮＥＴｓ的演化图模型对路由控制消息进行检测．在文献［１７］中Ｌｉ等人提出了一种针对 ＶＡＮＥＴｓ 的抗攻击信任管理方案 ＡＲＴ，该方案不仅能够检测和处理恶意攻击，而且可以评估数据和移动节点的可信性．其中数据信任利用多个车辆感测和收集的数据来评估，节点信任利用功能信 任 度 和 推 荐 信 任 度 进 行 评 估．Ｄｉｅｔｚｅｌ等人［１８］提出可以通过多跳路由协议中的冗余信息传播来检查数据一致性．并介绍了三种基于图论的度量标准，衡量协议的冗余度，并将度量指标应用到路由协议中，从而检测具有攻击行为的车辆，并将它们排除出网络．Ｋｒｉｓｈｎａ等人［１９］对已有的车辆不正当行为检测算法进行改进，通过共识机制来计算协作节点的可信度，提出了ｋ 均值聚类算法来过滤不可信推荐信息以提 高信任 计算的精确 度．Ｍａｒｍｏｌ等人［２０］提出了基于信任和声誉的安全方案，快速准确地区分恶意或自私节点在网络中传播的虚假信息，避免因接收到虚假信息而做出错误决策的举动．然而上述安全路由机制中信任模型的构建均存在一定的局限性，不能有效地抵御多种恶意攻击．基于信任管理的安全路由机制仍旧是当前研究的一个热点方向．３　信任模型基于信任管理的安全路由机制的基础是高效的信任计算模型，依靠信任模型收集信任评估信息，快速准确地识别并抑制网内恶意节点，以有效应对各类攻击．本节所提出的信任计算模型全面地考虑了直接信任与推荐信任这两种核心决策因子．３．１　直接信任模型传统的信任计算模型在直接信任因子的计算过程中，往往采用贝叶斯算法、神经网络、机器学习或β分布等方法对直接信任值进行预测．然而当预测样本较小、波动幅度较大时，预测的精确度会大幅降低．为此，夏怒等人［２１］提出一种基于波动类型识别的行为预测算法 ＦＴＩ－ＲＮＢＰ，其以灰色模型为基础，能够利用少量的样本数据预测节点的行为值．囿于灰色模型的自身局限性，该算法预测精度不高，而且其不能有效识别恶意节点发起 的时序变换 类攻击（如ｏｎ－ｏｆｆ攻击）．本文对该算法进行大幅改进，提出了基于 波 动 类 型 识 别 的 灰 色 马 尔 可 夫 预 测 算 法ＦＴＩ－ＭＳＣＧＭ，新算法弥补了前者的不足，能够更加精确地预测节点的直接信任值．３．１．１　波动类型识别为方便描述，本文将两个节点（ｉ和ｊ）的交互历史均分为ｔ个周期．在第ｋ 个周期内，将节点ｉ监测到节点ｊ的转发率定义为节点ｊ的行为值Ａｉ，ｊ（ｋ）．假设ｎ为第ｋ 周期内节点ｊ 与节点ｉ 交互过程中收到的数据包个数，ｍ 为节点ｊ 实际转发的数据包个数，则行为值计算如下：Ａｉ，ｊ（ｋ）＝ｍ／ｎ （１）然而如果某周期内节点间交互次数过少，则通过转发率得到的行为值误差偏大．在行为值计算过程中应考虑当前周期内节点间的交互次数，交互次数越多，通过转发率得到的行为值误差越小．本文使用活跃度函数φ（ｘ）表示交互次数对节点行为值的影响程度．该函数随交互次数的增加单调递增，并趋４６９ 计　　算　　机　　学　　报 ２０１９年收稿日期：２０１８－０６－１９；在线出版日期：２０１９－０３－１８．本课题得到国家自然科学基金（６１８７２２０５，６１３７１１８５）、国 家 自 然 科 学 基 金 重 点 项 目（６１８３２０１２）、国家重点研发计划（ＹＦＢ０８０３４００）、国家千人计划、山东省高等学校科技计划项目（Ｊ１６ＬＮ０６）、青岛市应用基础研究计划（１８－２－２－５６－ｊｃｈ）、国家留学基金和山东省计算机网络重点实验室开放课题基金（ＳＤＫＬＣＮ－２０１８－０７）资助．夏　辉，博士，副教授，中国计算机学会（ＣＣＦ）会员，主要研究方向为物联网、无线网络、信息安全、可信计算．Ｅ－ｍａｉｌ：ｘｉａｈｕｉ＠ｑｄｕ．ｅｄｕ．ｃｎ．张三顺，硕士研究生，主要研究方向为物联网、无线网络、信息安全．孙运传，博士，教授，中国计算机学会（ＣＣＦ）高级会员，主要研究领域为数据科学、物联网、信息安全．肖　甫，博士，教授，中国计算机学会（ＣＣＦ）高级会员，主要研究领域为物联网与传感网、网络通信协议与算法．李　晔，博士，研究员，中国计算机学会（ＣＣＦ）高级会员，主要研究领域为多媒体信号处理、无线通信．成秀珍，博士，教授，中国计算机学会（ＣＣＦ）高级会员，主要研究领域为无线网络与通信、物联网、隐私保护、分布式算法．车载自组网中基于信任管理的安全组播协议设计夏　辉１），２），５）　张三顺１），２）　孙运传３）　肖　甫４）　李　晔２）　成秀珍５）１）（青岛大学计算机科学技术学院　山东 青岛　２６６０００）２）（山东省计算中心（国家超级计算济南中心）山东省计算机网络重点实验室　济南　２５００１４）３）（北京师范大学经济与工商管理学院　北京　１００８７５）４）（南京邮电大学计算机学院　南京　２１００００）５）（山东大学计算机科学与技术学院　山东 青岛　２６６２３７）摘　要　路由协议是车载自组网（Ｖｅｈｉｃｕｌａｒ　Ａｄ－ｈｏｃ　Ｎｅｔｗｏｒｋｓ，ＶＡＮＥＴｓ）在交通信息物理融合系统（ＴｒａｎｓｐｏｒｔａｔｉｏｎＣｙｂｅｒ　Ｐｈｙｓｉｃａｌ　Ｓｙｓｔｅｍ，Ｔ－ＣＰＳ）中有效运行的先决条件．作为 ＶＡＮＥＴｓ 移动信息和通信技术的基础，这些路由协议需要建立高效的通信路径以保障车辆间及时可靠的数据传输．然而车辆节点的快速移动性导致网络拓扑结构易变，增加了 ＶＡＮＥＴｓ路由协议设计的难度．对计算、通信和控制技术的过分依赖，使得 ＶＡＮＥＴｓ在缺乏公钥基础设施的情况下极易遭受各种类型的恶意攻击，信息传输的安全性受到极大威胁．为了解决路由安全问题，本文提出了一种抗攻击的轻量级可信安全组播路由协议（Ｔｒｕｓｔ－ｂａｓｅｄ　Ｓｅｃｕｒｅ　Ｍｕｌｔｉｃａｓｔ　Ｒｏｕｔｉｎｇ　Ｐｒｏｔｏｃｏｌ，ＴＳＭＲＰ）．首先，本文设计了一个高效的信任计算模型，模型综合直接信任和推荐信任两种信任决策因子得出车辆节点的总体信任值．在直接信任模型的构造过程中，利用基于波动类型识别的灰色马尔可夫信任预测算法准确得到车辆节点的直接信任值．在推荐信任模型的构造过程中，根据推荐车辆节点与监控者的交互关系，将推荐信任划分为三类，利用基于熵权的模糊层次分析法得出三种推荐信任的最优权重．其次，利用 ＮｅｔＬｏｇｏ仿真平台验证信任计算模型的有效性和准确性，其可以有效地提高恶意车辆节点的检出率和识别准确度．直接信任模型不仅可以应对常见的黑／灰洞攻击，而且可以有效地识别时序变换类攻击．基于反馈机制，推荐信任模型能够有效地应对诋毁攻击和共谋攻击．随后，本文设计实现了一种基于信任的安全组播协议，该协议可以在路由建立和路由维护过程中有效地识别和抑制恶意车辆节点，并通过排除恶意中继节点进而建立安全可靠的通信路径．此外，为了进一步提高路由效率，在路由维护阶段本文提出了两种改进机制．转发组节点复用机制和边缘路径删除机制能够有效地减少转发组节点的个数和路由请求报文的洪泛，从而减少了信任模型融合带来的路由开销，避免了链路阻塞造成的大量数据包丢失，进而使得新协议更加适应高速移动环境．最终，详实的实验结果表明，相较于相关协议，ＴＳＭＲＰ提高了数据投递率，降低了路由开销、平均端到端延迟和单位传包量．关键词　车载自组网；安全路由协议；恶意攻击；信任计算；灰色马尔可夫预测中图法分类号ＴＰ３９３　　　ＤＯＩ号１０．１１８９７／ＳＰ．Ｊ．１０１６．２０１９．００９６１Ｄｅｓｉｇｎ　ｏｆ　Ｔｒｕｓｔ－Ｂａｓｅｄ　Ｓｅｃｕｒｅ　Ｍｕｌｔｉｃａｓｔ　Ｒｏｕｔｉｎｇ　Ｐｒｏｔｏｃｏｌ　ｉｎ　ＶＡＮＥＴｓＸＩＡ　Ｈｕｉ　１），２），５）　ＺＨＡＮＧ　Ｓａｎ－Ｓｈｕｎ１），２）　ＳＵＮ　Ｙｕｎ－Ｃｈｕａｎ３）　ＸＩＡＯ　Ｆｕ４）　ＬＩ　Ｙｅ２）　ＣＨＥＮＧ　Ｘｉｕ－Ｚｈｅｎ５）１）（Ｃｏｌｌｅｇｅ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｑｉｎｇｄａｏ　Ｕｎｉｖｅｒｓｉｔｙ，Ｑｉｎｇｄａｏ，Ｓｈａｎｄｏｎｇ　２６６０００）２）（Ｓｈａｎｄｏｎｇ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　Ｃｅｎｔｅｒ （Ｎａｔｉｏｎａｌ　Ｓｕｐｅｒｃｏｍｐｕｔｅｒ　Ｃｅｎｔｅｒ　ｉｎ　Ｊｉｎａｎ），Ｓｈａｎｄｏｎｇ　Ｐｒｏｖｉｎｃｉａｌ　Ｋｅｙ　Ｌａｂｏｒａｔｏｒｙ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｎｅｔｗｏｒｋｓ，Ｊｉｎａｎ　２５００１４）３）（Ｂｕｓｉｎｅｓｓ　Ｓｃｈｏｏｌ，Ｂｅｉｊｉｎｇ　Ｎｏｒｍａｌ　Ｕｎｉｖｅｒｓｉｔｙ，Ｂｅｉｊｉｎｇ　１００８７５）４）（Ｃｏｌｌｅｇｅ　ｏｆ　Ｃｏｍｐｕｔｅｒ，Ｎａｎｊｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｐｏｓｔｓ　ａｎｄ　Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ，Ｎａｎｊｉｎｇ　２１００００）５）（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｓｈａｎｄｏｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｑｉｎｇｄａｏ，Ｓｈａｎｄｏｎｇ　２６６２３７）Ａｂｓｔｒａｃｔ　 Ｔｈｅ　ｒｏｕｔｉｎｇ　ｐｒｏｔｏｃｏｌ　ｉｓ　ａ　ｐｒｅｒｅｑｕｉｓｉｔｅ　ｆｏｒ　ｔｈｅ　ｅｆｆｅｃｔｉｖｅ　ｏｐｅｒａｔｉｏｎｓ　ｏｆ　ｖｅｈｉｃｕｌａｒ　ａｄ　ｈｏｃ１．计算公式如下：φ（ｘ）＝ａｒｃｔａｎ（ｘ－ａ）π＋０．５ （２）其中，ｘ 为节点间的交互次数，参数ａ 为交互次数调节因子，合理的取值应为介于区间［３，７］的整数．利用活跃度函数φ（ｘ）对节点ｊ的行为值进行调整，计算如下：Ａｉ，ｊ（ｋ）＝φ（ｎ）ｍｎ＋（１－φ（ｎ））Ａ０，ｎ≠０Ａ０， ｎ烅烄烆＝０（３）其中，Ａ０为节点的缺省行为值，表示节点间没有交互时的初始行为值．由此可以得到历史交互过程中各个评估周期内节点ｊ的行为值 Ａｉ，ｊ（１），Ａｉ，ｊ（２），…，Ａｉ，ｊ（ｔ）．依靠历史交互信息计算节点ｉ对节点ｊ 的直接信任，即根据节点ｊ的ｔ个历史行为值来预测ｊ在第ｔ＋１周期的行为值 Ａｉ，ｊ（ｔ＋１）：ＴＤｉ，ｊ＝Ａｉ，ｊ（ｔ＋１） （４）定义１．　级比序列．节点ｊ的所有行为值构成了序列Ａ＝｛Ａｉ，ｊ（１），Ａｉ，ｊ（２），…，Ａｉ，ｊ（ｔ）｝，序列Ａ 中相邻行 为 值 的 比 值 构 成 了 级 比 序 列γ＝ ｛γ１，γ２，…，γｔ－１｝，其中γｌ＝Ａｉ，ｊ（ｌ＋１）／Ａｉ，ｊ（ｌ）．依据灰色模型若行为序列 Ａ 的级比序列γ 满足｜ｍａｘ（γｌ）－ｍｉｎ（γｌ）｜θ，则称此序列 Ａ 为平滑序列．其中θ为常数，级比序列γ动态性取值：θ＝１ｔ－１∑ｔ－１ｌ＝１γｌ－ｍｉｎ（γ） （５）根据限制条件｜ｍａｘ（γｌ）－ｍｉｎ（γｌ）｜θ，对序列Ａ 中的行为值进行筛选．本文将筛选出的异常值称为波动值，进而组成波动序列Ｆ．可将波动值分为以下两类：（１）突变波动．仅干扰当前时刻的行为值，对后续的行为值序列无影响；（２）迁移波动．不仅干扰当前时刻的行为值，而且对后续的行为值序列有影响．如波动值 Ａｉ，ｊ（２），若与它相邻的下一个波动值为Ａｉ，ｊ（５），则认为Ａｉ，ｊ（２）的影响力大于两个数据，称为迁移波动；否则若下一个相邻波动值为Ａｉ，ｊ（３），则认为Ａｉ，ｊ（２）的影响力小于两个数据，称为突变波动．然而仅凭借单一波动值无法直接对其波动类型进行识别，本文借鉴灰色马尔可夫时序预测模型［２２］来分析历史波动值的变化规律，从而预测当前波动所属类型．３．１．２　预测算法思想本节提出波动趋势的概念，可有效应对 ｏｎ－ｏｆｆ攻击等时序变换类攻击．对于每一个识别出的波动值，都对应一个波动趋势μ（ｔ）：若该波动值大于前一个行为值，μ（ｔ）值置为１；若该波动值小于前一个行为值，μ（ｔ）值置为０．序列μ为波动趋势构成的序列，根据波动值类型及波动趋势序列μ的不同，提出以下两种预测方法：（１）若识别出的波动值 Ａｉ，ｊ（ｔ）全部为迁移波动（波动值个数不小于２）且序列μ中０，１交替出现，则认为节点较大概率发起时序变换类攻击（如 ｏｎ－ｏｆｆ攻击）．在这种情况下，若直接根据历史行为值进行信任预测，可能会做出错误的判断．因此要将节点表现良好时的行为值排除，利用节点表现较差时的行为值集合 Ａ＊（Ａ＊Ａ）进行信任值的预测．计算方法如下：Ａｉ，ｊ（ｔ＋１）＝ＭＧＰｒｅｄ（Ａ＊） （６）函数 ＭＧＰｒｅｄ（）表示灰色马尔可夫模型预测过程．（２）若Ａｉ，ｊ（ｔ）为突变波动，表示Ａｉ，ｊ（ｔ）和节点ｊ的下一个周期的行为值 Ａｉ，ｊ（ｔ＋１）之间存在较大差异．但 Ａｉ，ｊ（ｔ＋１）与序列中的其它非波动值相似，因此可以使用灰色马尔可夫模型直接进行计算：Ａｉ，ｊ（ｔ＋１）＝ＭＧＰｒｅｄ（Ａ） （７）若 Ａｉ，ｊ（ｔ）为迁移波动或者不是波动值，则表明Ａｉ，ｊ（ｔ＋１）与Ａｉ，ｊ（ｔ）属于同一个平滑区间．可使用灰色马尔可夫模型对平滑级比序 列 的序列值进行预估，再结合当 前 行 为 值 Ａｉ，ｊ（ｔ）对 Ａｉ，ｊ（ｔ＋１）进 行预测：Ａｉ，ｊ（ｔ＋１）＝Ａｉ，ｊ（ｔ）×ＭＧＰｒｅｄ（γ′） （８）其中，γ′是平滑级比序列，即除去级比序列γ中的波动值．３．１．３　灰色马尔可夫预测模型灰色马尔可夫预 测模型 Ｍａｒｋｏｖ－ＳＣＧＭ（１，１）基于系统云灰色预测模型 ＳＣＧＭ（１，１），利用马尔可夫链的优势，来确定 ＳＣＧＭ（１，１）模型拟合精度指标时序的状态间转移规律［２２］．该方法可修正灰色模型，提高随机波动性较大的序列预测精度．（１）ＳＣＧＭ（１，１）模型建立假设粗糙样本序列为Ｘ（０）＝｛ｘ（０）（１），ｘ（０）（２），…，ｘ（０）（ｎ）｝，对 Ｘ（０）进行积分 变 换，得 到 序 列 Ｘ（１）＝｛ｘ（１）（１），ｘ（１）（２），…，ｘ（１）（ｎ）｝，其 中 ｘ（１）（ｋ）＝∑ｋｍ ＝２ｘ－（０）（ｍ），ｋ＝２，３，…，ｎ；ｘ－（０）（ｋ）＝ （ｘ（０）（ｋ）＋ｘ（０）（ｋ－１））／２．假定序列 Ｘ（１）与非齐次指数离散函数ｆｒ（ｋ）＝ｂｅａ（ｋ－１）－ｃ满意趋势关联，则 ＳＣＧＭ（１，１）模型表示为ｄｘ＾（１）（ｋ＋１）ｄｋ＝ａｘ＾（１）（ｋ＋１）＋Ｕ，ｋ２ （９）５期 夏　辉等：车载自组网中基于信任管理的安全组播协议设计５６９次响应函数为ｘ＾（１）（ｋ）＝（ｘ＾（１）（１）＋Ｕ／ａ）ｅａｋ－Ｕ／ａ，其中，ｘ＾（１）（１）＝ｂ－ｃ，Ｕ＝ａｃ，ａ，ｂ，ｃ的值如下：ａ＝ｌｎ∑ｎｋ＝３ｘ－（０）（ｋ－１）ｘ－（０）（ｋ）∑ｎｋ＝３（ｘ－（０）（ｋ－１））２，ｂ＝（ｎ－１）∑ｎｋ＝２ｅａ（ｋ－１）ｘ（１）（ｋ）－∑ｎｋ＝２ｅａ（ｋ－１）∑ｎｋ＝２ｘ（１）（ｋ）（ｎ－１）∑ｎｋ＝２ｅ２ａ（ｋ－１）－∑ｎｋ＝２ｅａ（ｋ－１（ ））２，ｃ＝１（ｎ－１）∑ｎｋ＝２ｅａ（ｋ－１（ ））ｂ－∑ｎｋ＝２ｘ（１）（ｋ［ ）］．对ｘ＾（１）（ｋ）进行还原处理，得原始数据的 ＳＣＧＭ（１，１）预测模型为ｘ＾（０）（ｋ）＝ｅａ（ｋ－１）２ｂ（１－ｅ－ａ）１＋ｅ－ａ（１０）令ｙ（ｋ）＝ｘ（０）（ｋ）／ｘ＾（０）（ｋ）为灰拟合精度指标，反映拟合值对原始数据序列的偏离程度．（２）基于模糊聚类的状态划分目标节点可信度的变化趋势是一个非平稳随机过程，不同的时间序列值都有其各自特殊的边界．本文引入模糊聚类的方法来进行原始时间时序值的状态划分．首先建立一个基本的聚类中心ｃｉ；基于这个中心，可以设计几个并行区域来代表不同的状态集合．基于以下等式执行相似度计算：μｉ［ｙ（ｋ）］＝（１／ｙ（ｋ）－ｃｊ２）∑ｉλ＝１（１／ｙ（ｋ）－ｃλ２）（１１）然后，基于上述步骤，可以对所有获得的聚类中心进行迭代操作：ｃｊ＝∑ｎｊ＝１（μｉ［ｙ（ｋ）］２　ｙ（ｋ））∑ｎｊ＝１μｉ［ｙ（ｋ）］２（１２）根据更新的聚类中心可以将每个原始样本重新分类为不同的聚类（状态），并获得每个群集的边界［ｂｉ　ｍｉｎ，ｂｉ　ｍａｘ］．（３）自相关系数的计算为了正确反映各阶对马尔可夫链预测值的影响，采用ｙ（ｋ）各阶自相关系数反映权值大小：ｒｋ＝∑ｎ－ｋｌ＝１（ｙ（ｌ）－ｙ－）（ｙ（ｌ＋ｋ）－ｙ－）∑ｎｌ＝１（ｙ（ｌ）－ｙ－）２（１３）其中ｙ（ｌ）代表第ｌ次统计的灰色拟合水平，ｙ－表示灰色拟合序列的平均值，ｎ 代表序列的长度，ｋ 表示马尔可夫链的阶．对各阶自相关系数作标准化处理：θｋ＝ ｒｋ∑ｍｋ＝１ｒｋ （１４）所获得的值可以用作各阶马尔可夫链的权重，参数 ｍ 表示最大阶数．（４）马尔可夫链预测根据状态的划分，建立ｋ阶Ｐ（ｋ）ｉｊ转移概率矩阵：Ｐ（ｋ）＝Ｐ（ｋ）１１Ｐ（ｋ）１２… Ｐ（ｋ）１ｎＰ（ｋ）２１Ｐ（ｋ）２２… Ｐ（ｋ）２ｎ   Ｐ（ｋ）ｎ１Ｐ（ｋ）ｎ２… Ｐ（ｋ）熿燀燄ｎｎ燅（１５）依据上述矩阵，经过ｋ 步，状态 Ｅｉ到达状态Ｅｊ的转移概率为Ｐ（ｋ）ｉｊ＝ｍ（ｋ）ｉｊ／Ｍｉ（１６）ｍ（ｋ）ｉｊ表示经过ｋ 步，状态Ｅｉ转移到状态Ｅｊ的次数，Ｍｉ表示状态Ｅｉ出现的次数．需要注意在计算 Ｍｉ的过程中，要删除最后ｋ个状态．使用相应的转移概率矩阵，可以发现初始状态的出现．进而计算每行加权转换概率的总和：Ｐｉ＝∑ｍｋ＝１θｋＰ（ｋ）ｉ（１７）最后，根据 Ｐｉ的最大值来确定未来状态．当最终状态确定后，使用线性插值法来计算灰度拟合精度指数，公式如下：ｙ＾（ｎ＋１）＝ｂｉ　ｍｉｎ×Ｐｉ－１Ｐｉ－１＋Ｐｉ＋１＋ｂｉ　ｍａｘ×Ｐｉ＋１Ｐｉ－１＋Ｐｉ＋１（１８）（５）预测值的确定使用函数 ＭＧＰｒｅｄ（Ａ）表示上述过程，预测值计算如下：ＭＧＰｒｅｄ（Ｘ（０））＝ｘ＾（０）（ｎ＋１）×ｙ＾（０）（ｎ＋１）（１９）３．１．４　直接信任模型算法描述该算法的时间复杂度等同于灰色马尔可夫预测模型的算法复杂度．灰色马尔可夫预测模型的算法复杂度为Ｏ（ｎ３），其中ｎ为序列的长度，而评估周期个数决定了序列的长度，因此该算法的时间复杂度主要取决于划分的评估周期数ｔ．该算法的网络开销主要来源于信任信息的收集过程，而这些信息（如接收数据包量、转发数据包量和交易次数等）很容易在节点交互过程中获得，因此，直接信任模型产生的网络开销很小．算法１．　直接信任模型算法描述．输入：Ａ＝｛Ａｉ，ｊ（１），Ａｉ，ｊ（２），…，Ａｉ，ｊ（ｔ）｝输出：ＴＤｉ，ｊ１．ＦＯＲｌ←１ｔｏ　ｔ－１ＤＯ２．　γｌ＝Ａｉ，ｊ（ｌ＋１）／Ａｉ，ｊ（ｌ）；６６９ 计　　算　　机　　学　　报 ２０１９年．ＥＮＤ　ＦＯＲ４．ＷＨＩＬＥγ≠ ＤＯ５．　ＩＦ｜ｍａｘ（γｌ）－ｍｉｎ（γｌ）｜θＴＨＥＮ６．　　ａｄｄγｌｔｏγ′；７．　ＥＬＳＥ８．　　ａｄｄγｌｔｏ　Ｆ；９．ＥＮＤ　ＷＨＩＬＥ１０．ｏｂｔａｉｎμ（ｔ）ｃｏｒｒｅｓｐｏｎｄｉｎｇ　ｔｏ　ｅａｃｈγｌｉｎ　Ｆ；１１．ＩＦ　Ａｉ，ｊ（ｔ）ｉｓ　ｍｉｇｒａｔｉｏｎ　ｆｌｕｃｔｕａｔｉｏｎ　ａｎｄ　０，１ａｌｔｅｒｎａｔｅｉｎμ（ｔ）ＴＨＥＮ１２．　ｇｅｔ　Ａ＊ｂｙ　ｅｘｃｌｕｄｉｎｇ　ｇｏｏｄ　ｂｅｈａｖｉｏｒ　ｖａｌｕｅｓ　ｉｎ　Ａ；１３．　Ａｉ，ｊ（ｔ＋１）＝ＭＧＰｒｅｄ（Ａ＊）；１４．ＥＬＳＥ　ＩＦ　Ａｉ，ｊ（ｔ）ｉｓ　ａｂｒｕｐｔ　ｆｌｕｃｔｕａｔｉｏｎ　ＴＨＥＮ１５．　Ａｉ，ｊ（ｔ＋１）＝ＭＧＰｒｅｄ（Ａ）；１６．ＥＬＳＥ１７．　Ａｉ，ｊ（ｔ＋１）＝ＭＧＰｒｅｄ（γ′）；１８．ＥＮＤ　ＩＦ１９．ＴＤｉ，ｊ＝Ａｉ，ｊ（ｔ＋１）；２０．ＲＥＴＵＲＮ　ＴＤｉ，ｊ；３．２　推荐信任模型如果节点无法判断其感兴趣的节点是否可信（两者之间无交互或交互较少），该节点需要收集来自多个推荐节点的用于信任计算的推荐信息．但是对于不同类型的推荐节点，评估节点对其推荐信息可信度的判断标准也不同，如果采用相同的方法进行计算，会带来较大的误差．因此，本文基于推荐节点ｋ与评估节点ｉ 的关联程度，将其分为三类并分别计算各自的推荐信任．最后通过基于熵权的层次分析法［２３］确定各类推荐信息的最优权重，得出总推荐信任值 ＴＲｉ，ｊ．３．２．１　推荐可信度推荐节点提供的推荐信息是否可信直接影响到总推荐信 任 计 算 的 准 确 性，本 文 使 用 推 荐 可 信 度Ｃｉ，ｋ表示评估节点ｉ对推荐节点ｋ 给出的推荐信任的信任程度．传统的推荐可信度计算方法是利用节点ｉ与节点ｋ 之间的交互关系（如直接交互历史、公共节点等）来计算，本文将这类基于交互关系得到的推荐可信度称为关系可信度ＲＣｉ，ｋ．该类可信度虽然在一定程度上能够衡量推荐信任的可靠程度，但是并不能有效地应对节点的诋毁攻击或共谋攻击，例如节点ｋ在数据转发过程中一直是可信的，但总提供虚假的推荐信息，甚至与其它节点共谋提供不良推荐信息．由于上述涉及到的节点间的交互过程都是可信的，因此单纯地利用交互关系就会得到较高的关系可信度，无法识别这些不良推荐．为了解决上述问题，本文提出了基于反馈机制的推荐可信度计算方法，称为反馈可信度ＦＣｉ，ｋ．当节点ｉ和节点ｊ 完成交互后，根据交互的结果，可以得到本次交互的真实信任值 ＲＴｉ，ｊ．根据真实信任值来检验交互之前推荐节点ｋ提供的推荐信任的准确度．本文定义一个偏离阈值ｄ，ｄ 的合理取值范围应为０．１～０．２．若 ｜ＲＴｉ，ｊ－ＴＤｋ，ｊ｜＜ｄ，二者偏离较 小，表 明 推 荐 节 点 ｋ 提 供 了 正 确 推 荐；若｜ＲＴｉ，ｊ－ＴＤｋ，ｊ｜ｄ，二者偏离较大，表明推荐节点ｋ提供了不良推荐．这种反馈推荐机制，可以较为准确地识别出不良推荐，避免伪装节点（如诋毁节点、共谋节点）通过与评估节点诚信交互获得较高的推荐可信度，随后不停地推荐不良信息．本文定义反馈可信度取值 ＦＣｉ，ｋ∈［０，１］，利用反馈机制进行判断，具体过程为：若提供正确推荐，反馈可 信 度逐渐递 增，但不超过 １；若提供不 良 推荐，反馈可信度逐渐递减，但不低于０；若无反馈信息，反馈可信度保持不变 ＦＣｉ，ｋ．反馈可信度计算公式如下：ＦＣｉ，ｋ＝ＦＣｉ，ｋ＋ｒ， ＲＴｉ，ｊ－ＴＤｋ，ｊ＜ｄＦＣｉ，ｋ－ｐ， ＲＴｉ，ｊ－ＴＤｋ，ｊｄＦＣｉ，ｋ，烅烄烆无推荐（２０）其中，ｒ为奖励因子，ｐ 为惩罚 因 子；为了体现对不良推荐的惩罚，反馈可信度减小的速度大于增加的速度，即ｐ＞ｒ．本文利用关系可信度和反馈可信度，综合得到节点的推荐可信度，计算如下：Ｃｉ，ｋ＝ＲＣｉ，ｋ＋ＦＣｉ，ｋ２（２１）其中ＲＣｉ，ｋ的取值范围为［０，１］，并根据推荐节点类型的不同分别进行计算．３．２．２　直接推荐信任本文将与评估节点ｉ有过直接交互关系的推荐节点ｋ 定义为直接推荐节点，评估节点对该类推荐节点的直接信任值 ＴＤｉ，ｋ可以直接作为该类节点的关系 可 信 度 ＲＣｉ，ｋ．利 用 式 （２１）得 到 推 荐 可 信 度Ｃｉ，ｋ，若Ｃｉ，ｋ＜０．５，评估节点将直接排除推荐节点提供的信任推荐信息．不同推荐者提供的直接推荐信息所产生的影响与各自的历史交 互量成正 向相关性，交互越多越频繁，则影响越大．综合考虑可信度和交互次数，直接推荐信任 ＴＲｄｉ，ｊ计算如下：ＴＲｄｉ，ｊ＝∑Ｎｄｋ＝１Ｃｉ，ｋＭｉ，ｋ∑Ｎｄｋ＝１Ｃｉ，ｋＭｉ，ｋ×ＴＤｋ，ｊ（２２）其中，Ｎｄ为直接推荐节点的个数，Ｍｉ，ｋ为节点ｉ 和直接推荐节点ｋ 的交互次数．３．２．３　间接推荐信任本文将与评估节点ｉ有间接交互关系的推荐节５期 夏　辉等：车载自组网中基于信任管理的安全组播协议设计７６９定义为间接推荐节点（譬如推荐节点ｋ 与评估节点ｉ有重叠的交互节点）．可建模一个相似度函数Ｓｉｍｉ，ｋ来描述两者对公共问题的看法差异，本文使用余弦相似度函数来实现，计算如下：Ｓｉｍｉ，ｋ＝∑ｓＴＤｉ，ｓＴＤｋ，ｓ∑ｓＴＤ２ｉ，槡ｓ∑ｓＴＤ２ｋ，槡ｓ（２３）其中，节点ｓ∈Ｓ，是与节点ｉ和ｋ 均有过直接交互的节点．本文使用相似度 Ｓｉｍｉ，ｋ作为节点ｉ 对推荐节点ｋ 的关系可信度ＲＣｉ，ｋ，再利用式（２１）得到推荐可信度Ｃｉ，ｋ，同理，若Ｃｉ，ｋ＜０．５，则认为该推荐节点不可信，直接排除．间接推荐信任的计算如下：ＴＲｉｎｉ，ｊ＝∑Ｎｉｎｋ＝１Ｃｉ，ｋ∑Ｎｉｎｋ＝１Ｃｉ，ｋ×ＴＤｋ，ｊ（２４）其中 Ｎｉｎ为间接推荐节点的个数．３．２．４　陌生推荐信任本文将与评估节点ｉ既无直接交互关系也无间接交互关系的推荐节点ｋ 定义为陌生推荐节点．因无任何交互关系，故无需考虑该类节点的关系可信度．对于有反馈可信度的节点，可对反馈可信度进行筛选，若 ＦＣｉ，ｋ＜０．５，则认为该推荐节点不可信，将其推荐信任丢弃；否则认为该节点的推荐信息可信．对于没有反馈信任度的节点，本文利用数据统计理论中箱形图方法来剔除那些异常的推荐信任．定义２．　四分位数（Ｑｕａｒｔｉｌｅ）．统计学中分位数的一种，将所有数值由小到大排序后分成四等份，处于三个分割点位置的数值称为四分位数．如 Ｑ１、Ｑ２、Ｑ３被称为四分位数，Ｑ１为第一四分位数，Ｑ２为第二四分位数，Ｑ３为第三四分位数．箱形图识别异常值的标准为：小于 Ｑ１－１．５ＩＱＲ或大于Ｑ３＋１．５ＩＱＲ，其中ＩＱＲ＝Ｑ３－Ｑ１．通过反馈可信度 和 箱 形 图 筛 选 后 的 推 荐 信 任 集 合 为 Ｂ＝｛ｂ１，ｂ２，…，ｂｕＮ｝，其中 Ｎｕ为集合个数，则陌生推荐信任的计算如下：ＴＲｕｉ，ｊ＝∑Ｎｕｋ＝１ｂｋ／Ｎｕ（２５）３．２．５　总体推荐信任计算在现实生活中，人们更相信熟人给出的推荐意见，本文采用基于熵权的模糊层次分析法［２３］来确定三种推荐信任权重分配的最优方案．首先，ｎ表示推荐信任的决策要素个数，本文中推荐信任的决策要素分别为直接、间接、陌生推荐信任，即ｎ＝３．用 ｍ 表示权重分配方案个数，用模糊数集合｛槇１　槇３　槇５　槇７　槇９｝标识判断矩阵中的元素值，并将层次分析法中的两两比较改为同一决策要素下不同方案的比较，由此得出判断矩阵 珟Ｘ：珟Ｘ＝ｘ～１１… ｘ～１ｎ  ｘ～ｍ１… ｘ～熿燀燄燅ｍｎ．用判断矩阵 珟Ｘ 中的各元素乘以对应的各决策要素的模糊主观权重向量 珦Ｗ ，将 珟Ｘ 转化为模糊判断矩阵珘Ｊ：珘Ｊ＝ｗ～１×ｘ～１１… ｗ～ｎ×ｘ～１ｎ  ｗ～１×ｘ～ｍ１… ｗ～ｎ×ｘ～熿燀燄燅ｍｎ．其次，通过定义置信度α 的区间来表示三角模糊函数，对任意α∈［０，１］，有：Ｊ＾α＝［ａα１，ａα３］＝［ａ１＋（ａ２－ａ１）α，ａ３－（ａ３－ａ２）α］．利用三角模糊数，我们把模糊判断矩阵Ｊ＾简化为Ｊ＾α＝［ａα１１Ｌ，ａα１１Ｒ］ … ［ａα１ｎＬ，ａα１ｎＲ］  ［ａαｍ１Ｌ，ａαｍ１Ｒ］ … ［ａαｍｎＬ，ａαｍｎＲ熿燀燄燅］，其中：ａαｉｊＬ＝ｗαｉＬ×ｘαｉｊＬ，ａαｉｊＲ＝ｗαｉＲ×ｘαｉｊＲ．然后，将模糊判断矩阵Ｊ＾α变形为非模糊判断矩阵Ａ＾＝（ａ＾αｉｊ）ｍｎ．为此引入乐观指数λ（λ表示决策者对决策结果的乐观程度），λ值大表示一个较高的乐观度，其中：ａ＾αｉｊ＝λａ＾αｉｊＬ＋（１－λ）ａ＾αｉｊＲ，λ∈［０，１］．为了克服不同维度的影响，需将变形矩阵 Ａ＾ 转换成为到标准矩阵Ａ′＝（ａ′αｉｊ）ｍｎ，其中ａ′αｉｊ＝ａ＾αｉｊ－ａｖｅｊｄｅｖｊ，ａｖｅｊ是矩阵Ａ＾ 中第ｊ个决策要素的平均值，ｄｅｖｊ是其对应的标准差．最终根据信息熵的定义得出第ｊ个决策要素的熵权：ｅｊ＝－ｌｎ（ｍ）－１∑ｍｉ＝１ｙｉｊｌｏｇ２ｙｉｊ （２６）其中ｙｉｊ＝ａ′αｉｊ∑ｍｉ＝１ａ′αｉｊ，根据信息熵的计算公式得出第ｊ个决策要素的权重为ｗｊ＝１－ｅｊ∑ｍｉ＝１（１－ｅｊ）（２７）通过加权求和的方法来计算每一个权重分配方案的结果Ｕ＝∑ｎｉ＝１ｙｉｊｗｊ，可行方案的Ｕ 值越大，表示该方案的效果越好．由此，可以确定出最优的权重分配方案．总推荐信任计算如下：８６９ 计　　算　　机　　学　　报 ２０１９年ＴＲｉ，ｊ＝ｗｄ　ＴＲｄｉ，ｊ＋ｗｉｎ　ＴＲｉｎｉ，ｊ＋ｗｕ　ＴＲｕｉ，ｊ（２８）其中，ｗｄ，ｗｉｎ，ｗｕ分别为直接、间接、陌生推荐信任所占的权重．３．２．６　推荐信任模型算法描述该算法的时间复杂度为 Ｏ（Ｎ３），与传统的推荐信任模型不同，Ｎ 不是所有推荐节点的个数，而是直接、间接、陌生推荐节点个数中的最大值，表明使用推荐节点分类的方法可以降 低算法的时间复杂度．该算法的实现需要收集大量的推荐信任信息，其中直接推荐信任信息很容易收集，但间接和陌生推荐信任信息则需要在网络中至少传播两跳才能到达评估节点，因此会带来较大的网络开销．算法２．　推荐信任模型算法描述．输入：ＴＤｉ，ｋ，ＲＴｉ，ｊ输出：ＴＲｉ，ｊ１．ＩＦ　ｔｈｅｒｅ　ｉｓ　ａ　ｄｉｒｅｃｔ　ｉｎｔｅｒａｃｔｉｏｎ　ｂｅｔｗｅｅｎ　ｋ　ａｎｄ　ｉＴＨＥＮ２． 　ＲＣｉ，ｋ＝ＴＤｉ，ｋ；３． 　ｃｏｍｐｕｔｅｓ　Ｃｉ，ｋｕｓｉｎｇ　ＲＣｉ，ｋａｎｄ　ＲＴｉ，ｊ；４． 　ｃｏｍｐｕｔｅｓ　ＴＲｄｉ，ｊ；５． ＥＬＳＥ　ＩＦｉ　ａｎｄ　ｋ　ｈａｖｅ　ａ　ｃｏｍｍｏｎ　ｓｅｔ　Ｓｏｆ　ｉｎｔｅｒａｃｔｉｖｅｎｏｄｅｓ　ＴＨＥＮ６． 　ｃｏｍｐｕｔｅｓ　Ｓｉｍｉ，ｋａｃｃｏｒｄｉｎｇ　ＴＤｉ，ｓａｎｄ　ＴＤｋ，ｓ；７． 　ＲＣｉ，ｋ＝Ｓｉｍｉ，ｋ；８． 　ｃｏｍｐｕｔｅｓ　Ｃｉ，ｋｕｓｉｎｇ　ＲＣｉ，ｋａｎｄ　ＲＴｉ，ｊ；９． 　ｃｏｍｐｕｔｅｓ　ＴＲｉｎｉ，ｊ；１０．ＥＬＳＥ１１．　ｅｘｔｒａｃｔ　Ｂ ｕｓｉｎｇ　ｔｈｅ　ｂｏｘ　ｐｌｏｔ　ｍｅｔｈｏｄ　ａｎｄ　ＦＣｉ，ｋ；１２．　ｃｏｍｐｕｔｅｓ　ＴＲｕｉ，ｊ；１３．ＥＮＤ　ＩＦ１４．ｏｂｔａｉｎ　ｗｄ，ｗｉｎ，ｗｕ　ｂｙ　ｆｕｚｚｙ　ａｎａｌｙｔｉｃ　ｈｉｅｒａｒｃｈｙ　ｐｒｏｃｅｓｓｂａｓｅｄ　ｏｎ　ｅｎｔｒｏｐｙ　ｗｅｉｇｈｔ；１５．ＴＲｉ，ｊ＝ｗｄ　ＴＲｄｉ，ｊ＋ｗｉｎ　ＴＲｉｎｉ，ｊ＋ｗｕ　ＴＲｕｉ，ｊ；１６．ＲＥＴＵＲＮ　ＴＲｉ，ｊ；３．３　总体信任模型３．３．１　总体信任值计算依据人类社会学，在可信度的评估过程中，人们主观经验的影响会更加明显，来自他人的推荐经验仅当作参考．因此，当自身有足够的证据判断对方是否可信时，直接信任即为总 体信任；当无任何证据时，推荐信任即为总体信任．Ｔｉ，ｊ计算如下：Ｔｉ，ｊ＝ＴＤｉ，ｊ， ｈＨ１１＋β（ｊ）×ＴＤｉ，ｊ＋β（ｊ）１＋β（ｊ）×ＴＲｉ，ｊ，０＜ｈ＜ＨＴＲｉ，ｊ， ｈ烅烄烆＝０（２９）其中，ｈ表示两个节点直接交互的总次数，Ｈ 表示交互次数的阈值．当直接交互次数大于阈值时，使用直接信任值作为总体信任值．β（ｊ）为ｊ的实体活跃度，它与交互节点和推荐节点的个数有关．β（ｊ）的计算公式如下：β（ｊ）＝１２［Φ（Ｎｋ）＋Φ（Ｎｊ）］ （３０）其中Φ（ｘ）＝１－１ｘ＋δ，δ为大于０的常数．Ｎｋ为推荐节点的总个数，Ｎｊ为直接推荐节点的总个数．３．３．２　总体信任模型算法描述当直接交互次数介于 ０ 到直接交互次数阈值Ｈ 之间时，该算法的时间复杂度为直接信任模型与推荐信任模型算法中时间复杂度的最大值．但是空间复杂度却是二者空间复杂度之和，因为该算法既需要存储收集到的直接信任信息，还要存储推荐信任信息，所需存储空间较大．而且这些信息的收集带来的网络开销也是二者网络开销之和．然而，当直接交互次数大于交互次数阈值时，该算法的复杂度与直接信任模型算法相同．同时，由于不需要额外收集推荐信任信息，极大降低了网络开销．同理，当没有直接交互时，该算法的复杂度等于推荐信任模型算法的复杂度．同时，因为不需要收集直接信任信息，网络开销也有所降低．算法３．　总体信任模型算法描述．输入：ＴＤｉ，ｊ，ＴＲｉ，ｊ，ｈ，Ｈ输出：Ｔｉ，ｊ１．ＩＦ　ｈＨ ＴＨＥＮ２．　Ｔｉ，ｊ＝ＴＤｉ，ｊ；３．ＥＬＳＥ　ＩＦ　ｈ＝０ＴＨＥＮ４．　Ｔｉ，ｊ＝ＴＲｉ，ｊ；５．ＥＬＳＥ６．　ｃｏｍｐｕｔｅｓβ（ｊ）ｂｙ　Ｎｋ　ａｎｄ　Ｎｊ；７．　Ｔｉ，ｊ＝１／（１＋β（ｊ））×ＴＤｉ，ｊ＋β（ｊ）／（１＋β（ｊ））×ＴＲｉ，ｊ；８．ＥＮＤ　ＩＦ９．ＲＥＴＵＲＮ　Ｔｉ，ｊ；４　信任模型性能分析本文使用 ＮｅｔＬｏｇｏ仿真平台①分别验证了直接信任模型、推荐信任模型和总体信任模型的有效性和准确性．５期 夏　辉等：车载自组网中基于信任管理的安全组播协议设计９６９① Ｗｉｌｅｎｓｋｙ　Ｕ．ＮｅｔＬｏｇｏ［Ｏｎｌｉｎｅ］．Ａｖａｉｌａｂｌｅ：２０１７．ｈｔｔｐｓ：／／ｃｃｌ．ｎｏｒｔｈｗｅｓｔｅｒｎ．ｅｄｕ／ｎｅｔｌｏｇｏ