基于区块链的车载数据隐私共享-171主机测评

在车载雾中利用区块链实现隐私保护且可验证的数据共享

摘要

车载感知通过利用大量车载传感器进行数据收集而被广泛倡导；同时，随着车载感知与雾计算的融合，部署的路侧单元（RSUs）可作为雾节点，在网络边缘收集和共享车载传感数据。然而，在车载雾环境中，感知数据的安全可靠共享仍存在若干问题。为解决这些问题，本文提出了一种在车载雾中基于许可区块链的高效、隐私保护且可验证的感知数据收集与共享方案。在数据收集阶段，通过结合同态2‐DNF（析取范式）密码系统和基于身份的签密方案，所提出的方案实现了对收集到的车载传感数据的均值与方差的安全且可验证计算。同时，为了实现高效可靠的数据共享，我们利用许可区块链来维护所生成感知数据的不可篡改且防篡改的记录。安全分析表明，该方案具备位置隐私保护、可验证性以及不可篡改性等安全属性。性能评估结果验证了所提出方案的效率，即相较于未使用区块链的方案，在计算与通信效率方面均有提升。

关键词

—位置隐私保护，许可区块链，可验证性，车载感知

一、引言

BUILT 基于车载自组织网络（VANETs），车载感知通过利用车载传感器（例如振动传感器、加速度计数据等）产生的各种数据，实现了自主且广泛的信息化采集[1]–[4]。同时，利用所获取的感知数据可以实现大量应用，范围从交通状态监控到周围环境监测[5],[6]。此外，由于车载传感器在时空域中几乎可以提供全面的覆盖范围，因此用于部署和维护固定基础设施的支出将大大减少。

此外，随着车载感知与雾计算的结合，路侧单元（RSUs）可作为雾节点，在网络边缘收集和共享车载传感数据[7],[8]。为了充分利用车载传感器产生的数据，已有多种方案被设计用于实现车载雾环境下的安全的车载传感数据采集与共享[2]。然而，在隐私、可靠性和效率方面仍然存在挑战。

第一个挑战在于如何高效且可验证地收集具有隐私保护的车载传感数据。由于车载传感器采集的数据高度位置相关，披露每条感知数据可能导致位置隐私的泄露。同时，对于接收的路侧单元（RSU）而言，由于接收到的感知数据由多辆车辆采集，因此这些数据应以高效率进行聚合和处理。通过利用同态密码系统，已设计出多种隐私保护数据聚合方案，这些方案可保护个体数据报告并得出聚合结果[9],[10]。然而，上述安全聚合方案在相同的同态密码系统下不支持对所收集感知数据的认证。文献[11]中提出了一种安全加法同态签密方案，该方案同时支持同态加法和批量认证。但是，所提出的方案涉及公钥的传输，在具有动态拓扑的车辆网络中并不十分适用。尽管该方案支持数据平均化，却无法支持数据方差分析，因而难以捕捉所收集感知数据的偏差。

第二个挑战涉及数据共享阶段收集的车载传感数据的效率和可靠性。由于所收集的感知数据（如道路状况、天气信息等）可能影响人类和交通行为，因此必须保证感知数据的正确性。一方面，路侧单元在开放区域广泛部署，可能遭受攻击而被破坏，从而对所收集的数据产生负面影响；另一方面，认证过程可能带来较大的计算和通信复杂度，特别是对于资源受限的终端用户而言。与此同时，区块链技术作为一种可信分布式账本系统，特别适用于实现我们的可靠且去中心化的车载传感数据共享[12]。因此，为了实现高效且可靠的感知数据共享，我们提出采用一种许可型区块链用于维护所收集的车辆感知数据[13]的不可变且不可逆的记录。上述因素启发，本文提出了一种在车载雾计算环境下的隐私保护感知数据收集与共享系统。该系统采用同态签密技术，在网络边缘实现可验证数据聚合。具体而言，本文的主要贡献有以下三点。

首先，我们结合2‐DNF密码系统和一种基于身份的签密方案，提出了一种新颖高效的可验证感知数据聚合方案，能够计算所收集感知数据的均值与方差，并实现对恢复的感知数据的批量认证。

其次，我们探索利用许可区块链实现可靠的车载感知数据共享。通过所提出的方案，可以从区块链中准确获取感知数据的均值和偏差，从而实现车载雾中分布式、可靠且不可篡改的车载传感数据共享目标。

第三，安全分析证明了所提出的数据收集与共享方案在位置隐私保护、可验证性和不可篡改性方面的安全属性。同时，性能评估验证了所提出方案的效率，即计算复杂度和通信开销。

本文的其余部分组织如下：我们在第二节讨论相关工作，接着在第三节介绍系统模型和安全要求，并确定设计目标。第四节描述的区块链框架包括访问权限和设计细节。第五节中，我们简要回顾双线性对和2‐DNF密码系统。第六节提出了基于区块链的感知数据共享方案，随后在第八节和第九节分别进行安全性分析和性能评估。最后，在第十节总结了我们的工作。

II. 相关工作

在本节中，我们简要回顾了与我们的工作密切相关的论文，这些论文涉及车载网络中的安全数据聚合、车载数据共享以及区块链技术。

A. 安全数据聚合

为了保护单个数据报告的内容，安全数据聚合已被广泛研究。这些方案最初在无线传感器网络领域被探索，使得在中间节点对感知数据进行组合和汇总成为可能 [14],[15]。为了实现对加密数据的安全聚合，加法和乘法同态技术被广泛应用。

提出了一种隐私保护数据聚合方案[16]，其中间节点对加密数据进行聚合，并将聚合结果上传至基站。在 [9]中，智能电网中的隐私保护多维感知数据聚合方案利用同态Paillier密码系统实现对密文的聚合。为实现安全的多维数据聚合，一种利用超递增序列将感知数据构造成一个密文。在[10]中提出了一种雾计算增强的物联网场景下的轻量级隐私保护数据聚合方案，该方案能够获取感知数据的均值与方差。

然而，在当前的方案中，大多数论文集中在数据报告的安全聚合上，较少关注对上传的感知数据报告进行隐私保护验证。

B. 车载数据共享

在车载雾中，具有存储能力的路侧单元（RSU）可作为位于网络边缘的雾设备，维护并分发大量信息，这大大减少了传输带宽并降低了数据分发延迟[7],[17]。当前的车载数据分发方案可分为主动式或请求‐响应范式[18],[19]。

对于请求‐响应范式，车辆向路侧单元发送数据请求，路侧单元作为响应将查询的数据分发给车辆。而在主动式范式中，路侧单元在其覆盖范围内周期性地向车辆广播数据，主要关注交通和市政相关信息。

在车辆数据传播中，由于路侧单元（RSU）在公共区域部署稀疏，一个被攻破的RSU可能会向对等路侧单元和车辆发送错误消息以进行误导[20]。尽管设计了多种撤销机制来抵抗此类攻击[21],[22]，但这些机制仍可能导致数据传播服务中断。

C. 区块链在车载网络中的应用

区块链是一个不断增长的、名为区块的记录列表，这些区块通过密码学[23]相互链接。区块链主要可分为两类：无许可区块链和许可区块链。无许可区块链不需要访问控制，其安全性通过工作量证明（PoW）[13]实现；而许可区块链则利用访问控制机制来管理对网络的访问，交易验证依赖于网络节点的共识[24]。区块链也已被应用于一些车载网络场景的方案中。在[25]中提出了一种新的基于区块链的车载网络信任管理方案，该方案使路侧单元能够以分布式方式更新和共享不同车辆的信任值。在[26]中提出了一种基于区块链的车载网络架构，允许车辆发现并共享其车载资源，协同生成增值服务，从而实现分布式、可靠和安全的交通管理。在[27]中提出了一种面向异构智能交通系统的基于区块链的安全密钥管理方案，实现了具有简化的密钥传输和更高效率的动态密钥管理。在[28]中利用联盟链和智能合约，在车载边缘网络中实现安全数据存储与共享，有效防止未经授权的数据共享。一种基于联盟链的安全数据共享与存储系统是在[29]中提出，当车辆节点上传传感器数据时，可通过数字签名技术确保数据的完整性和安全性。

III. 系统模型、安全性需求和设计目标

在本节中，我们介绍系统模型、安全要求，并确定设计目标。

A. 系统模型

车载感知在维持智能交通和智慧城市正常运行中起着重要作用。在此模型中，我们描述了一个车载空气污染监测系统，该系统利用车载传感器进行数据生成。在本小节中，我们仅考虑系统和通信模型，而区块链模型将在小节 IV‐A中介绍。具体而言，所提出的系统由服务器、路侧单元（RSU）和车辆组成，如图1所示。

车辆

：每辆车辆都配备了空气质量监测所需的车载传感器。每当车辆在路侧单元的覆盖范围内移动时，它会定期收集由空气质量监测传感器生成的数据，并生成密文和相应的签名。然后，它将构造的消息发送给最近的路侧单元。
RSU

：每个路侧单元聚合接收到的感知数据报告，并将聚合结果上传至服务器。在接收到解密后的聚合结果后，通过签名验证恢复的感知数据的正确性。而在高移动性场景中，后续路侧单元可以协作并将接收到的感知数据报告返回给原始路侧单元。
服务器

：对于所考虑的服务器，它负责初始化整个系统，并处理由每个路侧单元上传的接收到的聚合报告。同时，它向发送方路侧单元返回恢复的结果。

通信模型

路侧单元（RSU）与车辆之间的无线连接通过 IEEE 802.11p 标准[30]实现，该标准是一种专为车载环境无线接入（WAVE）设计的短到中程技术。路侧单元（RSU）之间的连接以及路侧单元（RSU）与服务器之间的连接通过有线链路或具有高带宽和低传输延迟的其他链路实现。

B. 安全要求

在安全模型中，我们认为服务器和大多数路侧单元（RSU）是诚实但好奇的，即它们会遵循协议中定义的步骤，但会尝试推断每份数据报告的内容。同时，我们假设服务器不会与任何路侧单元串通以泄露每份数据报告的内容。此外，由于路侧单元广泛部署，一小部分路侧单元可能被攻破，并试图篡改接收到的数据报告。另外，可能存在一个攻击者试图获取单个车载传感数据的内容，并发起主动攻击以威胁数据完整性。具体而言，应满足以下三个安全要求。

位置隐私

：由于收集的感知数据具有高度的位置相关性，可能会泄露街道级位置信息，保护车辆的位置隐私即保护单个感知数据报告的内容。同时，由于感知数据内容空间有限，攻击者仍可能通过穷举攻击，反复尝试不同的感知数据值，从相应的签名中推断出数据报告的位置隐私。因此，必须实现位置隐私。
可验证性

：给定推导出的感知数据聚合结果，接收方路侧单元应能够认证感知数据来源，并验证恢复数据结果的正确性。因此，可保证记录在区块链上的感知数据的正确性。
不可篡改性

：在数据共享阶段，不应通过传输和验证签名引入较大的通信与计算开销，而应维护所收集感知数据的不可篡改记录。此外，在所提出的方案中，由于所收集的感知数据可能影响人类行为（例如，人们在锻炼时可能会避开空气质量较差的区域），因此感知数据应以高度的不可篡改性可靠且广泛地向公众传播。

C. 设计目标

本文中，基于上述系统模型和安全要求，设计目标是为车载雾计算开发一种位置隐私保护的数据收集与共享方案，通过许可区块链实现高效可靠的数据共享。具体而言，应满足以下三个要求：

满足安全要求

：如果所提出的方案未考虑上述安全要求，相关车辆的位置隐私可能会受到侵犯，且感知数据报告在传输、处理和分发过程中可能被篡改。同时，车辆将不愿意上传其感知数据，收集到的感知数据也无法在公众中可靠地共享。
在感知数据共享期间实现高可靠性

：由于车载传感数据生成量大，处理结果应可靠地与其他车辆共享。所提出的方案应为收集的车载传感数据提供不可篡改且可验证的记录。
实现高计算和通信效率

：由于大量动态移动车辆，所提出的方案需要考虑通信和计算开销。具体而言，应仔细考虑由感知数据报告上传和共享带来的通信开销，以及面向路侧单元（RSU）和服务器引入的计算开销。

IV. 区块链框架

在本节中，我们首先定义区块链系统中的角色和访问权限，然后介绍交易、区块和共识方面的设计细节[31]。由于收集的感知数据与社会和环境效益相关，我们采用由路侧单元（RSU）和服务器构建的许可区块链，并对其访问权限进行限制。

A. 访问权限

所提出的区块链架构包含三个实体：车辆、路侧单元（RSU）和服务器。我们定义了相关实体的以下访问权限。

读取

：所有实体都具有对区块链系统的读取权限，即它们能够查看区块链系统中的交易和账本。
写入

：写入访问包括交易写入和账本写入。所有参与的路侧单元（RSU）都具备交易写入能力，即在给定时间间隔内，对其覆盖范围内的感知数据生成交易。对于账本写入，路侧单元（RSU）还执行区块生成功能，并创建新区块。
验证

：一个路侧单元创建的交易需要被其他路侧单元（RSU）和服务器验证后，才能被纳入不可变区块。

B. 设计细节

在我们提出的方案中，收集的感知数据通过区块链实现共享，我们从交易、账本和共识三个方面描述了设计细节。

交易

：作为区块链系统中的基本组件，每笔交易对应路侧单元在给定时间段内收集的感知数据。该路侧单元将交易广播至网络，并等待其被验证。
账本

：区块链账本由一系列名为区块的数据结构组成。在账本初始化期间会创建第一个“创世”区块，之后的所有区块均通过链接到前一个区块而生成。我们假设路侧单元（RSU）被划分为若干子组，在给定的时间段t内，从每个子组中通过伪随机函数选取一个路侧单元来生成一个区块。具体而言，每个区块包含来自一个子组的所有交易，这些交易对应于该路侧单元（RSU）子组在给定时间段t内收集的感知数据。
共识

：我们在所提出的数据共享方案[32]中采用拜占庭容错（BFT）共识协议。具体而言，为了生成每个区块，一组选定的路侧单元（RSU）作为矿工，负责构建相应的区块并向外广播整个网络进行社区验证。如果成功验证的数量满足预先定义的阈值，则该区块被视为有效并写入账本。区块中还包含“共识证明（PoC）”，其中含有成功验证该区块的实体生成的签名[31]。

五、预备知识

在本节中，我们将简要回顾合数阶双线性对和2‐DNF密码系统。

A. 合数阶双线性对

设 G和 GT为两个具有相同合数阶n的循环群，其中 n= q1·q2是两个素数q1和q2的乘积，并设g为 G[33]的生成元。双线性映射e: G× G → GT具有以下性质：

双线性

： ∀u,v ∈ G 以及 ∀a, b∈ Zn，我们有e(ua, vb)= e(u,v)ab；

非退化性

：存在g ∈ G，满足条件 e(g, g) ≠ 1GT。

可计算性

： ∀u,v ∈ G，存在一种有效算法来计算e(u,v)。

定义1

：一个双线性参数生成器 Gen表示一个概率算法，该算法以参数 κ作为输入，并输出一个五元组(n, g, G, GT, e)作为结果，其中n=q1·q2(q1和q2是素数，且满足 |q1| = |q2| =κ)， G和GT是两个阶为n的循环群。同时，g ∈ G是一个生成元，且e: G× G → GT是一个非退化的可计算双线性映射。

B. 2-DNF密码系统

2‐DNF密码系统支持对密文[33]进行任意次加法和一次乘法（之后可进行任意次加法）运算。具体而言，2‐DNF密码系统包含三个组成部分：密钥生成、加密和解密。

密钥生成

：给定一个安全性参数 κ，通过运行 Gen(κ)得到一个元组(n, G, GT, e)，其中首先选择两个 κ‐位素数q1,q2，并计算n= q1·q2。令g, u为 G的两个生成元，q1被指定为私钥，并生成h= uq2作为 G的一个子组的随机生成元，该子组的阶为q1。
加密

：假设消息空间由集合{0, 1,…, t}中的整数组成，且满足t< q2。要加密一条消息m，需选取一个随机数r ∈{0, 1,…, n − 1}并计算密文

$$

C= g^m \\cdot h^r \\in G. \\quad (1)

$$
解密

：使用私钥C对密文q1进行解密时，执行以下计算

$$

C^{q1}=(g^m \\cdot h^r)^{q1}=(g^{q1})^m . \\quad (2)

$$

设 $\\hat{g}= g^{q1}$。为了恢复m的值，只需计算$C^{q1}$以$\\hat{g}$为底的离散对数。由于m ∈{0, 1,…, t}，使用Pollard的lambda方法所需预期时间为 $O(\\sqrt{t})$。

解密过程在消息空间的规模上需要多项式时间t。因此，2‐DNF密码系统适用于短消息的加密。

VI. 提出的数据共享方案

在本节中，我们提出了车载雾环境中隐私保护的感知数据收集与共享方案。

A. 系统初始化

在系统初始化阶段，我们假设存在一个可信权威机构（TA），该机构将引导整个系统的启动。给定一个安全性参数 κ，可信权威机构（TA）选择两个大的安全素数 q1,q2，并生成2‐DNF密码系统的参数(n, G, GT, e, g, h = uq2, e(g, gq1))。TA还选择一个随机数s ∈ Z∗ n作为主密钥，并生成相应的公钥pks= gs ∈ G。同时，TA选择一个安全密码哈希函数H，其中H :{0, 1}∗ → Z∗ n。最后，TA将系统参数发布为params =(n, G, GT, e, g, h,H (·),pks)。

在服务器使用身份IDs注册时，TA首先生成基于身份的私钥$s_{IDs}=\\frac{1}{g^{s+H(IDs)}} \\in G$，并将私钥$s_{IDs}$和密钥q1安全地发送给该服务器。同时，在路侧单元（RSU）使用身份IDr以及车辆Vi使用身份IDi注册时，TA分别计算基于身份的私钥$s_{IDr}= g^{s+H(IDr)} q1$和$s_{IDi}= g^{s+H(IDi)}$，并将私钥$s_{IDr}$和$s_{IDi}$分别安全地发送给路侧单元和车辆。此外，路侧单元（RSU）被授权获得秘密值e(g, gq1)。最后，TA将离线或降速运行，以避免单点攻击。

对于服务器，它还会计算评估值$E_{Di}= H(e(g, gq1)^i)$，其中1 ≤i ≤t，并构造评估数据集$E_{DS}={E_{D1},…, E_{Dt}}$，该数据集将用于在不解密的情况下识别目标值。也就是说，给定评估集$E_{DS}$，服务器可以通过比较$H(e(g, gq1)^i)$与评估集$E_{DS}$来轻松识别目标传感数据i。此外，服务器定义一个初始时间点T0, 和一个长度为t的时间段，使得路侧单元（RSU）能够基于在时间t内收集的感知数据报告形成一笔交易。

B. 数据报告生成

在收集由空气污染监测传感器生成的感知数据后，Vi对所收集的感知数据mi执行以下步骤进行签密。由于传感数据长度短且固定，满足条件mi < t，从而能够在不解密的情况下从EDS 中识别出值$H(e(g,gq1)^{m_i})$。

Vi选择三个随机数xi, ri,1, ri,2 ∈ Z∗ n，并对收集的感知数据mi生成密文，即

$$

c_i= g^{m_i+ x_i} \\cdot h^{r_i, 1} \\in G. \\quad (3)

$$

给定接收方路侧单元的身份IDr，Vi 执行以下计算

$$

t_{i,1}=(g^{H ( ID_r)} \\cdot g^s)^{x_i} \\cdot h^{r_i, 2} \\in G, \\quad t_{i,2}=(g^{H ( ID_r)} \\cdot g^s)^{x_i \\cdot x_i +2m_i \\cdot x_i} \\in G, \\quad (4)

$$

使得密文ci 只能由服务器和接收方路侧单元共同解密。

示意图0

Vi还生成可验证的签名si，

$$

s_i=(s_{IDi})^{x_i+m_i+H(TSi)}= g^{q1\\cdot x_i+m_i+H(TSi)} / (s+H(IDi)) \\in G. \\quad (5)

$$

其中TSi是当前时间戳。

最后，Vi生成消息$ci||ti,1||ti,2||si||TSi$，并向具有身份IDr的接收方路侧单元发送该消息，如图2所示（消息1：感知数据报告）。

C. 高移动性场景

在高移动性场景中，Vi向后续路侧单元RSUu发送感知数据报告$IDr||ci||ti,1||ti,2||si||TSi$。为保证RSUu与RSUr之间数据传输的正确性，RSUu使用其私钥$s_{IDu}= g^{s+H(IDu)}$生成基于身份的1签名，并生成以下签名，即

\\sigma_u=(s_{IDu})^{H(ID_r||c_i||t_{i,1}||t_{i,2}||s_i||T S_i)} \\quad (6)

然后生成另一份数据报告$IDr||ci||ti,1||ti,2||si||TSi||\\sigma_u$，并将该数据报告发送至源RSUr。在收到来自Vi的报告后，RSUr首先使用以下方法验证σu的正确性

e(\\sigma_u, pks \\cdot g^{H(ID_u)}) =? e(g, g)^{H(ID_r||c_i||t_{i,1}||t_{i,2}||s_i||T S_i)} \\quad (7)

如果公式(7)得到满足，RSUr将接受感知数据报告。

D. 数据报告聚合与认证

对于RSUr，在长度为t的时间段内接收到来自k车辆（或相邻的路侧单元）的密文后，将密文聚合如下：

路侧单元聚合接收到的密文ci，i ∈ {1,…,k}，即

\\hat{c}

{r,1}= e(\\sum

{i=1}^k c_i, g) = e(g^{\\sum_{i=1}^k x_i+ m_i} \\cdot h^{\\sum_{i=1}^k r_i, 1}, g) \\quad (8)

路侧单元聚合值ti,1,i= 1,…, k，并使用其基于身份的私钥sIDr对聚合结果进行处理，该过程为

\\hat{t}

1= e(\\sum

{i=1}^k t_{i,1} , s_{IDr}) = e((g^{H ( ID_r) +s})^{\\sum_{i=1}^k x_i} \\cdot h^{\\sum_{i=1}^k r_i, 2} , g^{1/(H ( ID_r) +s)}) = e(g, g)^{\\sum_{i=1}^k x_i} \\cdot e(g, h)^{\\sum_{i=1}^k r_i, 2}/(H ( ID_r) + s) \\quad (9)

路侧单元还使用其基于身份的私钥sIDr对$(ci, ti,2),i= 1, …, k$进行处理，从而可推导出$\\sum_{i=1}^k m^2_i$的密文，即

\\hat{c}

{r,2}= \\prod

{i=1}^k e(c_i, c_i) / e(\\sum_{i=1}^k t_{i,2}, s_{IDr}) , = \\prod_{i=1}^k e(g^{m_i+x_i} \\cdot h^{r_i,0}, g^{m_i+x_i} \\cdot h^{r_i,0}) / e((g^{H(ID_r)+s})^{\\sum_{i=1}^k x_i\\cdot x_i+2m_i\\cdot x_i}, g^{1/(H(ID_r)+s)}) ,

= e(g, g)^{\\sum_{i=1}^k m^2_i} \\cdot e(h, g)^{\\sum_{i=1}^k 2m_i\\cdot r_i,0} \\cdot e(h, h)^{\\sum_{i=1}^k r_i^2,0} \\quad (10)

路侧单元随后将聚合结果$(\\hat{c}

{r,1}, \\hat{c}

{r,2}, \\hat{t}

1)$发送至服务器，如图2（消息2：聚合数据）所示。对于服务器，在接收到$(\\hat{c}

{r,1}, \\hat{c}_{r,2}, \\hat{t}_1)$后，执行以下过程以解密聚合的感知数据。

服务器计算的值

$$

\\tilde{t}

1=(\\hat{t}_1)^{q1}= e(g, gq1)^{\\sum

{i=1}^k x_i} \\quad (11)

$$
服务器计算的值

$$

Value1= H((\\hat{c}

{r,1})^{q1}/\\tilde{t}_1)= H(e(g, gq1)^{\\sum

{i=1}^k m_i}) \\quad (12)

$$

并识别值$v_1= \\sum_{i=1}^k m_i$ 对应于评估数据集EDS中的Value1。
服务器还计算的值

$$

Value2= H((\\hat{c}

{r,2})^{q1})= H(e(g, gq1)^{\\sum

{i=1}^k m^2_i}) \\quad (13)

$$

并找到值$v_2= \\sum_{i=1}^k m^2_i$ 对应于评估数据集EDS中的Value2。
服务器利用当前时间戳TSs，并计算对应于(v1,v2)的签名，即

$$

\\sigma_s=(s_{IDs})^{H(v1||v2||T Ss)} \\quad (14)

$$
服务器随后生成并发送消息$v1||v2||\\sigma_s||T Ss$至RSUr，如图2（消息3：恢复的数据）所示，并利用服务器的公钥pks通过计算来验证$v1||v2||\\sigma_s||TSs$的正确性

$$

e(\\sigma_s, pks \\cdot g^{H(IDs)}) =? e(g^{H(v1||v2||T Ss)}, g) \\quad (15)

$$
如果式(15)成立，RSUr通过以下过程验证解密结果v1的正确性

$$

e(g, gq1)^{v_1+ \\sum_{i=1}^k H(TS_i)} \\cdot \\tilde{t}

1 =?e(\\sum

{i=1}^k s^{H(IDi)}

i , g) \\cdot e(\\sum

{i=1}^k s_i, pks) \\quad (16)

$$
如果式(16)成立，则路侧单元通过以下过程计算感知数据的均值与方差

$$

\\begin{cases}

ave= v1/k \\

var= v2/k – ave^2

\\end{cases} \\quad (17)

$$
最后，RSUr使用公钥pkr和当前时间戳TSr对ave和var生成签名，即

$$

\\sigma_r=(s_{IDr})^{H(ave||var||TSr)} \\quad (18)

$$

示意图1

七、基于区块链的数据共享

为了将恢复的感知数据记录到区块链上，RSUr作为矿工，首先按照图3所示的格式创建一笔新的交易。每笔交易包含在给定时间段t内收集的感知数据的详细描述，并向服务器和所有相关的路侧单元（RSU）广播该交易。

在收到交易后，每个参与的路侧单元首先使用 σs验证其正确性

e(\\sigma_r, pkr \\cdot g^{H(IDr)}) =? e(g^{H(ave||var||TSr)}, g) \\quad (19)

如果公式(19)正确，参与的路侧单元（RSU）还将使用式 (15)和式(16)验证感知数据的正确性以确认交易有效。注意，如果恶意的路侧单元提出包含被修改数据结果的交易，则在批验证过程中可以检测到该修改行为。

路侧单元r还充当矿工，并通过创建包含所生成交易的新区块来写入账本（注意，一个区块可包含多笔交易，为方便起见，我们仅以包含一笔交易的区块生成为例进行说明）。该区块随后被广播到整个网络，并由社区进行验证。如果成功验证的数量超过阈值，则该区块被视为有效并写入账本，其格式如图4所示。

示意图2

示意图3

八、安全分析

在本节中，我们分析所提出方案的安全属性。具体而言，根据前面讨论的安全需求，我们的分析重点在于所提出的方案如何实现位置隐私保护、可验证性和不可篡改性等安全目标。

位置隐私

在所提出的方案中，保护每辆车的位置隐私意味着防止每个独立的感知数据mi，i = 1，2,..,k的内容泄露。由于ci是2‐DNF密码系统的密文ci，为了防止服务器直接恢复mi的值，该值xi ∈ Zn∗包含在密文ci中。对于服务器而言，给定(ci,ti,1)，它只能获得(ci)q1=(gqi)xi+mi和tq1i,1=(gq1·(H(IDr)+s)·xi)的值；由于缺乏接收方路侧单元的私钥sIDr，服务器无法恢复gxi的值，进而无法获知mi的值。由于系统未考虑服务器与接收方路侧单元之间的共谋行为，因此在(ci,ti,1)中，mi的独立值可以得到保护。同时，由于ti,1是2‐DNF密码系统的密文，路侧单元无法直接推导出e(g,gq1)xi的独立值。在高移动性场景下，后续路侧单元u既无法从 (ci,ti,1)中恢复传感器数据内容，也无法从签名si中恢复。

可验证性

所提出的方案利用基于身份的签密方案[34]来认证数据报告的来源，并验证恢复的感知数据之和。同时，由于子群决策问题——子群隐藏(SGH)[33]的困难性，只要在 Gp中所采用的q‐强Diffie‐Hellman问题（q‐SDHP）和q‐双线性Diffie‐Hellman逆问题（q‐BDHIP）是困难的，则它们在 G中也是困难的。因此，所采用的签密方案被证明在 G中针对选择消息和密文攻击（ESUF‐CMA）下是存在性不可伪造的。通过恢复的车载传感数据之和v1以及签名si,i= 1,2,.., k，参与的路侧单元（RSU）可以借助所采用的签密方案对感知数据来源进行认证，并验证感知数据总和的正确性。通过验证 σu和 σi，可在高移动性场景中保证感知数据报告的正确性。

不可篡改性

利用许可区块链，可以实现收集的感知数据的安全发布。首先，由于传统拜占庭容错共识协议在验证型RSU之间执行，参与的验证型RSU可以就插入区块的顺序达成一致，从而保证记录的感知数据的可靠性。同时，只要恶意或不诚实的RSU数量不超过全部RSU的三分之一，拜占庭容错共识协议仍可正常运行。其次，由于区块链结构由一系列区块组成，其中每个区块包含前一个区块的加密哈希，因此如果不伪造所有后续区块，则很难伪造其中一个区块。

IX. 性能评估

在本节中，我们首先将所提出的数据共享方案与传统方案的开销性能进行比较，然后分析所提出方案的效用权衡。具体而言，我们在一台配备Intel 3.4‐GHz处理器、8‐GB内存和Windows 7平台的台式机上进行实验；同时，我们使用 JPBC库中的Type‐A1配对[35]，其密文长度为260字节。

A. 计算和通信开销

我们将所提出的方案与在[34]中提出的高效且可证明安全的基于身份的签名（以下简称“传统方案”）进行了比较，该方案并未支持两个密文之间的同态乘法运算。[34]中也能实现隐私保护和可验证性这两个安全目标。具体而言，在传统方案中，每辆车Vi执行以下步骤以生成车载传感数据报告。

给定一段感知数据mi，Vi选择两个随机数xi,1,xi, 2 ∈ Z∗n，计算值Ri,1=e(g, g)xi,1，Ri,2=e(g, g)xi,2，并进一步推导出Ci,1= H(ri,1)+mi，Ci, 2=H(ri,2)+m2i的值。同时，执行Ti,1=(g H(IDs) ·gs)xi,1，Ti,2=(g H(IDs) ·gs)xi,2的计算。此外，Vi生成基于身份的签名Si=(sIDi)xi,1+mi+xi,2+m2i+H(T Si)，并将消息(Ci,1, Ci,2, Ti,1, Ti,2, Si)发送给接收方路侧单元RSUr。最后，接收方路侧单元 RSUr将该消息进一步传递给服务器。

在服务器端，接收覆盖范围内所有车辆的数据报告后，服务器计算 R i,1=e(Ti,1,sI Ds )、R i,2=e(Ti,2, sI Ds )，其中i ki R i, , ˆT ki Ri, , ki H (Ri, ), ki H (Ri, ) 发送给 RSUr。接收方路侧单元RSUr恢复v 1= =1 2= =1 2 ki mi 和 v ki mi 的值，并通过计算( ki=1SH(IDi ) i , g) ·e( ki=1Si ,pks)?= e(g, g)v1+v2+k·H(T Si) · ˆT1 · ˆT2来验证恢复的数据结果的正确性。

在感知数据共享阶段，为了保证感知数据的可靠性，接收方RSUrˆ ˆ在每次查询时将v1, v2, T1, T2,Si, TSi,i= 1,…,k转发给用户。

1) 计算开销

为了评估和比较引入的计算开销，我们做出以下假设。首先，与幂运算和双线性对操作相比，哈希操作的计算开销可以忽略不计。其次，交易和区块的验证可以离线进行，因此我们不考虑验证RSU所引入的计算开销。第三，评估重点是密码学操作所引入的计算开销。

在所提出的方案中，为了生成数据报告，车辆i在 G中执行2次幂运算以生成ci，在 G中执行4次幂运算以生成ti,1、ti,2，以及在 G中执行1次幂运算以生成Si。由于 G中的乘法和加法操作相较于幂运算和双线性对操作可以忽略不计，因此我们仅考虑幂运算和双线性配对操作。为了实现数据报告聚合，路侧单元执行1次双线性配对操作以生成 ˆcr,1，以及1次双线性配对操作以生成 ˆt1 。同时，路侧单元执行k + 1次双线性配对操作以生成Cr,2。对于服务器，其在 GT中执行1次幂运算以生成 ˜t1；同时，为了推导感知数据的和与平方和，服务器在 GT中执行2次幂运算进行解密。然后服务器在 G中执行1次幂运算以生成σ s。在接收到数据解密结果后，路侧单元在 G中执行2次幂运算并执行 2次双线性配对操作以验证 σs的正确性。此外，路侧单元执行2次双线性配对操作，在 G中执行k次幂运算，以及在 GT中执行1次幂运算以验证车辆签名的正确性。为了生成签名 σs，路侧单元在 G中执行一次幂运算。记 G中的幂运算开销为Ce， GT中的幂运算开销为Ct，双线性对操作的开销为Cp。因此，车辆、路侧单元和服务器的总计算开销分别为 7 ∗ Ce、(k + 3) ∗ Ce+ Ct+(k + 7) ∗ Cb以及C e+ 3 ∗ Ct，如表I所示。作为对比，我们也计算了传统方案的计算开销。按照上述计算过程，车辆、路侧单元、服务器和用户的总计算开销分别为 4 ∗Ce+2 ∗Ct、k ∗Ce+2 ∗Ct+4 ∗Cb、 2 ∗k ∗Cb以及k ∗Ce+1 ∗Ct+2 ∗Cb。

我们测试了在 G中的一次幂运算开销、在GT中的一次幂运算开销以及一次双线性对运算的开销，分别为Ce= 163 ms、Ct= 12 ms和Cb= 119 ms。我们将所提出的方案与传统方案进行了比较，并展示了随着车辆数量从10增加到40，整个系统的计算开销。如图5所示，所提出的方案显著降低了引入的计算开销。

示意图4

2) 通信开销

在本小节中，我们考虑了数据收集阶段车辆到路侧单元通信以及数据共享阶段路侧单元到用户通信所产生的通信开销。服务器与路侧单元之间的连接通过具有高传输速度和低延迟的固定基础设施实现。

在所提出的方案中，对于每个路侧单元（RSU），为了从k 辆车收集感知数据报告，在给定的A1型配对设置下，车辆到路侧单元通信开销为(260 ∗ 4+ 16) ∗ k 字节。为了计算所收集感知数据的均值与方差，路侧单元到服务器和服务器到路侧单元的通信开销分别为 260 ∗3字节和 260+ 16 ∗3字节，其中时间戳、均值和方差的长度均设为 16字节。对于对比方案，在数据收集阶段，车辆到路侧单元通信开销为 5 ∗k ∗260 字节。在数据共享阶段，路侧单元到用户的通信开销为16∗3+(k+2)∗260字节。我们还比较了所提出方案与对比方案的通信开销。图6(a)和图 6(b)展示了两种方案随着用户数量和车辆数量增加的通信复杂度，仿真结果表明，所提出的方案显著降低了相关的通信开销。

示意图5

B. 效用分析

1) 采集周期与复杂度之间的权衡

为了确定数据报告的最佳采集周期t，我们首先计算一笔交易的大小。假设一个路侧单元的车辆到达速度为v，一个子组中包含的路侧单元（RSU）数量为m，PoC阈值为th。基于上述假设，一笔区块交易的大小为sizeb= m ∗( 128+ 16 ∗3+ 260 ∗2+ 260 ∗ v ∗t)+ 128 ∗ 2+ 16 ∗ 2+ 260 ∗ th+ 260。然后我们构建一个效用函数来刻画系统效率与时效性之间的权衡。随着周期t的增加，每个区块中包含的数据报告数量增多，区块生成频率降低，从而降低了区块链系统复杂度。另一方面，随着时长t的增加，所收集的车载传感数据的时效性下降。因此，我们得到

\\max sizeb \\cdot e^{-\\alpha\\cdot t} \\quad \\text{s.t.} \\quad sizeb \\le maxth \\quad (20)

其中 α是一个表示感知数据时效性的正参数，maxth表示每个区块的最大大小，根据[36]设置为maxth= 1 MB。图7(a)展示了关于时间t（范围为0.5分钟到10分钟）的效率与时效性权衡，α的值设置为 α= 0.2，路侧单元（RSU）的数量设置为m= 5，PoC阈值设置为th= 5，速度的值设置为每分钟5个和每分钟10个。如图7(a)所示，当速度为v= 5每分钟时，最优时间为t= 4分钟，当速度为v= 10每分钟时，最优时间为t= 4.5分钟。

2) 采集周期与安全级别之间的权衡

通过聚合多个车辆的内容可以保护每个单车辆的信息，我们利用每个时间段内的车辆数量来表示安全性级别。假设在一个RSU下的车辆到达率v服从均值为μ、偏差为 σ的高斯分布。同时，我们也使用e−α·t来表示感知数据的时效性。因此，我们构建了另一个效用函数来刻画感知数据采集周期与安全性级别之间的权衡：

\\max_t(v \\cdot t) \\cdot e^{-\\alpha\\cdot t} \\quad (21)

我们将 μ的值设为每分钟10辆车辆， σ的值设为每分钟 2辆车辆，并基于三‐σ规则，展示当到达率v在每分钟6至 16辆车辆之间变化时，所提出的方案的效用。图7(b)显示了安全性与时效性权衡随时间t （范围为0.5分钟到10分钟）的变化情况，其中 α的值设为α= 0.2。如图7(b)所示，在我们的参数设置下，当达到时效性与安全级别之间的最优权衡时，时间的最优值为t= 5分钟。

示意图6

X. 结论

本文提出了一种基于区块链的隐私保护车载传感数据收集与共享方案。通过利用2‐DNF密码系统和一种基于身份的签密方案，可实现对车载传感数据均值与方差的可验证计算。此外，引入许可区块链技术以维护衍生数据结果的不可篡改且防篡改的记录。安全分析表明，所提出的方案在隐私保护、可验证性和不可篡改性方面具备良好的安全属性。在性能评估中，我们将所提出的方案与传统方案进行比较，仿真结果显示，所提出的方案显著降低了计算和通信开销。一个可能的未来方向是在小规模车载网络环境中实现并测试所提出的方案，并进行性能基准测试。