中国指挥与控制学会会刊 
近年来,无人机蜂群研究呈现蓬勃发展的态势。在军事领域,无人机蜂群可以实现侦察、打击、电子战、支援和作战协同等多种功能。在上述场景中,无人机之间需要不断地进行数据传输。为了保证无人机之间通信的保密性和安全性,身份验证作为通信的第一道防线,在保障无人机蜂群的安全方面尤为重要。但是传统的身份验证方案都有严重的中心化问题,如果中央机构出现问题,可能会导致整个系统无法使用。
作为一种全新的分布式基础架构,区块链融合了多种技术。它采用块链式数据结构,确保数据的存储,方便数据的验证;借助分布式节点共识算法,实现数据的生成和更新;通过密码学技术,保障数据传输和访问控制的安全性;并且,利用智能合约,实现对数据的编程和操作。区块链技术具有去中心化[1]、不可篡改性[2]、安全性和可溯源[3] 等特性,为无人机蜂群的安全问题提供了一个解决方法。
共识算法是区块链技术的核心,其主要目标是确保分散网络节点间的一致性和信息的有效性。这一机制允许节点通过协商达成共识,以确保数据的正确性,为整个区块链系统的安全性提供保障[4]。目前,区块链中主流的共识机制有工作量证明机制 (Proof of Work,PoW)[5]、授权股份证明机制 (Delegated Proof of Stake,DPoS)[6-7]、实用拜占庭容错机制 (Practical Byzantine Fault Tolerant,PBFT)等[8⇓-10]。PBFT共识机制能够使系统在有多达1/3的节点存在错误时,仍保持正常运行。然而,PBFT的通信复杂度较高,系统中节点数量的增加将导致通信量急剧增加,影响系统效率。因此,PBFT更适用于小规模网络,在大型集群或计算能力有限的无人机分布式网络中,其适用性可能受限。
GUO[11]和钟彬[12]等人研究了物联网边缘计算的区块链分布式云架构,将计算资源边缘化,降低了物联网数据流量,提高了处理效率。QASHLAN[13]、ROŽMAN[14]和ANDOLA[15]等人都着重将区块链部署在算力更高的服务器中,但是并未对区块链的轻量级提出解决方案。而SALIMITARI[16]、YU[17]和刘炜[18]对PBFT算法进行分级设计,通过对节点进行分簇,将共识任务进行分解,以减少共识所需的通信量,但没有对算法本身进行轻量化处理。
综上,虽然现有方案开始利用区块链来解决分布式网络身份认证的问题,但是大多应用场景在物联网中,并且仍存在区块链中PBFT共识算法在主节点选取过于随意,网络通信复杂高和缺乏有效的激励机制等问题,并不能适用于高动态、算力不足的无人机蜂群系统。
1 基于区块链的无人机身份认证系统设计
1.1 系统架构设计
本文研究的是一种无人机自组网区块链系统模型,如图1 所示,该系统由无人机蜂群和地面控制站组成,这些无人机(UAVs)能自我配置和管理,执行各种任务[19]。地面控制站(GCS)作为区块链节点之一,负责授权无人机进入该系统的许可。同时为增强蜂群去中心化程度和满足安全性的需求,在地面控制站和无人机节点之间部署了区块链。通过基于区块链的蜂群组网系统模型,可实现系统地去中心化,满足了系统安全性的需求。
1.2 认证流程设计
步骤1:无人机节点注册。
所有无人机在进入网络前都要先在无人机地面控制站(GCS)进行注册以获得对应的非对称加密公私密钥对{SKi,PKi},同时GCS为无人机节点生成相对应的数字证书DigiCerti,其中包含无人机节点的身份信息IDi、公钥PKi、有效期VPi和由GCS的数字签名SigG。其中无人机私钥SKi由自己保存, 每个无人机的数字证书DigiCerti信息{DigiCerti‖IDi,PKi,VPi,SigG}写入区块链,用于身份认证。
步骤2:生成安全密钥。
在注册之后,GCS和UAVi之间可以分别利用哈希计算出一个交互验证的安全密钥keyGi=H(SKi·PKG),无人机UAVi和UAVj之间也可以用哈希计算出一个交互验证的安全密钥keyij=H(SKi·PKj),安全密钥可以用于加密和解密通信内容,确保通信的机密性和完整性。
步骤3:身份验证。
假设UAVi要向其他UAV广播消息M。UAVi需要将自己的数字证书DigiCerti、M和时间戳T进行打包,并且用自己的安全密钥进行加密{keyij·PKi·H(‖DigiCerti‖M‖T‖)}。当其他无人机收到消息时,无人机蜂群中的节点可以通过数字签名和哈希算法对通信消息进行验证。
步骤4:新无人机的加入。
如果有新无人机UAVm要加入无人机网络中时,先在GCS进行注册,并生成一个含有地面控制站签名的数字证书DigiCertm,方便无人机网络对新无人机进行认证,在GCS注册结束,新无人机要向主无人机发起加入请求,主无人机对新无人机的身份DigiCertm进行验证,如果确认无误后将对无人机蜂群广播,所有无人机更新信息后写入区块链。
步骤5:无人机节点的剔除。
如果需要撤销已经在网络中的无人机节点,流程和新无人机入链的方法类似,主节点或者地面站需要广播该节点身份已作废的消息,将原本身份的信息加上已失效的标签{DigiCerti‖IDi,PKi,VPi,SigG‖Node expired},将这个信息同步到整个区块链网络中,再次遇到该DigiCerti申请入网时,将拒绝访问。
在该系统中,身份认证和消息加密构成了安全保障的基础。每个无人机需在地面控制站(GCS)注册以获取唯一的公私密钥对,并为其提供独特的身份标识。所有网络通信均需私钥签名,而其他无人机可通过公钥验证签名的正确性,确保消息的来源和完整性。区块链的不可篡改性被用于记录无人机的公钥、ID及所有交易,使得任何篡改历史记录的尝试可被立即发现。这种不可篡改性和可追溯性提升了系统的安全性和可信度。
2 基于PBFT共识算法可信轻量优化模型
2.1 节点信誉值评估模型
本文基于文献[20]中设计的动态信誉评价模型思想进行信誉奖惩机制设计,提出LTPBFT(Lightweight Trusted Practical Byzantine Fault Tolerance)算法。信誉评价模型针对共识节点在共识过程中的行为进行评分,与相应的节点信誉值阈值区间进行对比,评定节点处于何种状态,节点状态不同则相应的奖惩机制也不同,从而可以及时评价和反馈节点行为。
在PBFT共识算法中,主节点的选择较为随意,这并不能满足无人机蜂群网络所需要的安全性。因此引入信誉值评估机制,将节点信誉值划分为5个区间,如表1 所示。新加入网络中的节点信誉值为Rinitial,信誉值低于Rlow的节点会被认定为低信誉可疑节点,并踢出网络,从而可以保证所有节点都是可信的状态,维护系统的安全。
表1 节点信誉值分级Tab.1 Classification of node trustworthiness |
| 信誉值分级 | 信誉值范围 |
|---|---|
| 高信誉值节点 | [Rexcellent,∞) |
| 中信誉值节点 | [Rcommon,Rexcellent) |
| 初始信誉值节点 | [Rinitial,Rcommon) |
| 限制共识节点 | (Rlow,Rinitial) |
| 低信誉可疑节点 | (0,Rlow) |
其中,Rexcellent、Rcommon、Rinitial、Rlow都是阈值,在实际中可以根据需求动态地调整每个信誉值的阈值。
由于无人机自组网的网络结构复杂,节点参与共识过程的情况各异。一些节点积极参与,一些由于网络问题未能及时或完整参与,同时,还会存在恶意节点的情况。基于此,对无人机自组网中节点的信誉评估的系统进行设计。
1)节点信誉值评价模型为
Rij,k=Rij,k-1+α*Aij+Bij+β*Cij+γ*Dij
其中,Rij,k表示第i组中第j个共识节点,k表示第k轮共识;Rij,k-1 表示第k-1轮共识时该节点的信誉值;Aij、Bij、Cij、Dij分别是共识参与指标、节点的共识行动指标、主节点任职指标和激励惩罚参数;α、β、γ分别是这三个指标的权重系数。通过对各项指标进行加权处理,根据节点的行为动态调整其信誉值:积极行为增加其信誉值,消极行为扣减其信誉值。这样就可以根据每个节点当前的信誉值计算结果,进一步确定其等级划分。
2)节点共识参与指标表示为
Cij=
其中,T表示过去完成的共识次数总和,Tij是第i组的j节点参与共识的次数;Cij是对该节点参与度的量化指标,节点j参与共识度越高,对节点的信誉值评价影响就越大。
3)主节点任职指标表示为
Bij=(Rcommon-Rexcellent)*
其中,Bij代表节点Rij持续担任主节点k轮后,将其信誉值降级并更新主节点。这种策略旨在防止单一节点长期担任主节点,以避免权力过度集中,从而破坏系统的去中心化特性。此机制有助于维持系统的活性,保证其健康运行。
4)节点共识行动指标表示为
Aij=
其中,n是共识完成的总轮数,TijN是节点Rij节点是否成功参与共识的量化表示:
TijN=
其中,d(t)是时间衰减因子,用来定量共识轮次对先后对信誉值得分的影响,表示为
d(t)=e-t,(1≤t≤n)
其作用是共识轮次距离当前的轮次越远,对节点的信誉值得分影响就越小。
5)节点激励惩罚参数表示为
Dij,k=
其中,Rij,k-1 是k-1轮共识完成后该节点的信誉值。f(x)表示为
f(x)=
为了激励所有共识节点保持诚实行为,利用公式(7)(8)调整奖励和惩罚的分配。对于高信誉值的节点,将降低其获得的奖励,防止权力过度集中。而对于信誉值在附近的节点,将提供更高的奖励,以激励他们积极并诚实地参与共识过程。对于信誉值低于Rinitial的节点的恶意行为,增加惩罚力度,以提升网络的整体安全性。
当主节点产生恶意行为时,将当前信誉值直接扣除到初始值Rinitial;对于节点信誉值小于Rlow的节点直接将该节点剔除出区块链系统。
2.2 无人机自组网节点分组机制
在LTPBFT算法节点信誉值评估模型的基础上,对参加共识的节点按照表1 进行分组,由于节点信誉值低于Rlow会被剔除出系统,所以参与投票的节点仅有信誉值高于Rlow的4组,分组后利用四舍五入取整函数得出各个组中前一半的节点作为共识节点。设定信誉值大于等于Rexcellent的节点作为候选主节点,参与共识的节点均对主节点选取进行投票,不参与共识的无人机节点只保存主节点和候选主节点的信息。节点层次结构如图2 所示。
假设模型中信誉值节点大于等于Rinitial的节点总数为N(N≥5)。从每一组中利用四舍五入取整函数选取前一半的节点成为共识节点。定义四舍五入取整函数为round(x)。
2.3 无人机自组网内主节点选取
信誉值大于Rexcellent的节点作为候选主节点,其他共识节点对候选主节点进行投票以选取主节点。投票方式为:
Resultij=Rij+ Vote
Vote=
其中,Resultij指第i组中第j个候选主节点的投票得分;Rij表示在第i组中第j个候选主节点的信誉值,由于仅对信誉值大于Rexcellent的节点进行投票,所以i=1;Vote表示投票结果,Approve(支持)、Abstain(弃权)、Oppose(反对)对应的值分别是1、0和-1。最终 Resultij数值最大的候选主节点当选主节点。如果最终 Resultij相等,则选取Rij较高的无人机节点成为主节点。
2.4 优化一致性协议
无人机蜂群身份认证系统作为安全的第一步,保证了加入系统的无人机的安全性;同时,对共识节点加入信誉评估模型,对于主节点的选取十分可靠,基于上述安全措施,可以简化PBFT共识算法中相互认证确认身份的Prepare阶段。在一致性协议中的Commit阶段只需要节点之间互相了解对方的共识状态,而无须安全认证,所以也可以简化Commit阶段。
这两个阶段的简化可以大幅降低整个系统的通信复杂程度。同时共识节点的优化选取使得整体参加选取主节点的数量减少,也降低了整个系统的复杂度。综上,该LTPBFT算法的一致性协议进行了优化。
本文将一致性协议执行流程分为Request、Pre-prepare、Prepare、Commit、Reply,执行过程如图3 所示。
1)Request阶段:Client给主节点发送请求,Request消息为<REQUEST,M,t,IDc,Sigc>,其中,M是Client请求内容,t是时间戳,IDc是客户端Client的ID,Sigc是Client的签名。
2)Pre-prepare阶段:当主节点收到Request消息后,根据ts对请求进行排序,同时对请求赋值一个序列号N,并生成Pre-prepare消息<<PRE-PREPARE,t,vn,N,D(m),Sigp,IDp>,M>给所有信誉值大于等于Rinitial的节点。其中,vn表示视图号,视图号初始值为0,N是序列号,D(m)是信息摘要,Sigp是主节点签名,IDp是主节点的ID。子节点对消息进行校验,确认无误可以进入Prepare阶段,否则执行视图变更,更换主节点,其余节点仅接收来自主节点的消息,不进行消息传递。
3)Prepare阶段:副本节点收到Pre-prepare消息并生成Prepare消息<PREPARE,t,vn,N,D(m),IDs,Sigs>,其中,IDs是子节点ID,Sigs是子节点签名。在此阶段,主节点会将其他节点生成的Prepare消息进行比对,至少有2f+1个Prepare消息与自己生成的准备消息一致时,才可以进入Commit阶段。如果有超过f个不满足要求的节点,就标记拜占庭节点,同时对该节点信誉进行惩罚并重启共识过程。
4)Commit阶段: Prepare阶段完成后,进入Commit阶段,共识节点生成Commit消息<COMMIT,t,vn,N,D(m),IDs,Sigs>并发送给主节点,主节点对其他节点发来的Commit消息进行校验。至少有f+1节点Commit消息与主节点的确认消息一致时,则确认阶段完成。
5)Reply阶段:所有共识节点将Commit消息返还给Client,Reply的消息是<REPLY,vn,t,Sigs,IDs,R>,其中R表示Client请求的执行结果。若有f+1个节点响应相同,则表示Client发起的请求成功。
3 结果与分析
本文基于GO编程语言实现了一个多线程、多节点的区块链实验系统,模拟区块链辅助无人机蜂群身份认证模型中注册认证的信息上链时共识过程。在该系统中,对PBFT算法和本文提出的LTPBFT算法进行了性能对比仿真,主要对算法在通信开销、吞吐量、共识时延和安全性四个方面进行对比分析。
3.1 通信开销
通信开销是指节点在共识过程中产生的通信量,LTPBFT算法通过减少共识节点,优化共识算法一致性的确认阶段,达到了减少通信开销的目的。
首先设两个共识算法发生视图改变的概率为Q,总节点数为N,由于LTPBFT算法分组为向上取整,可看作取一半节点,参加共识的节点可认作为 。
1)PBFT共识算法通信开销
PBFT算法在Pre-prepare阶段、Prepare阶段、Commit和Commit Response阶段的通信次数分别为(N-1)、(N-1)2和N(N-1)。PBFT共识算法在正常共识中的通信次数为
NPBFT=2N(N-1)
当视图切换时,除主节点之外的所有节点需要互相发送切换视图的消息,也就是通信次数为(N-1)2,然后新的主节点需要广播给剩下所有的节点,通信次数为(N-1)。
视图切换的概率设定为Q,PBFT算法在视图切换期间的通信次数为
VPBFT=Q((N-1)2+(N-1))=Q(N2-N)
PBFT的总通信次数为
OPBFT=NPBFT+VPBFT=2N(N-1)+Q(N2-N)
同理,Pre-prepare阶段、Prepare阶段、Commit和Commit Response阶段的通信次数分别为N-1、 -1、 -1。当更换试图时,需要对主节点投票,通信复杂度次数为N,同时更新每个节点的信誉积分。可得到关于LTPBFT的通信次数为
OLTPBFT=NLTPBFT+VLTPBFT=2N-3+Q·N2
2)LTPBFT共识算法通信开销
由公式(13)、(14)可得,LTPBFT共识算法与PBFT共识算法的通信次数比值L为
L= = ,0≤Q≤1
其中,Q取[0,1]步长为0.05,N取值[0,80],步长为5,把参数代入公式可以得到如图4 所示的可视化图像。
由图4 可知,无论Q和N的值怎么变换,L的值始终低于1,说明LTPBFT算法的通信次数始终小于传统PBFT算法。因为 LTPBFT共识算法引入了信誉奖惩机制和投票选主节点,使得系统更加安全、可靠,视图切换的概率大幅度下降,所以,在实际应用中,LTPBFT共识算法表现会更佳。
3.2 吞吐量
吞吐量是指在单位时间内完成交易的数量,一般用TPS(Transaction Per Second)来表示,在共识算法性能对比中是一个重要指标,TPS 可由下式表示:
TPS=
吞吐量是衡量区块链系统效率和性能的一个重要指标,较高的吞吐量意味着系统能够更快速地处理更多的交易或区块,从而提高整体性能。实验中,交易数目设置为一个区块打包交易50个,测试共识时间(块时间)为5 s时,不同节点下LTPBFT和传统PBFT的吞吐量差异如图5 所示。
由图5 可知,节点数量不断增加的同时,PBFT算法的吞吐量呈下降趋势,但是LTPBFT算法的TPS整体高于PBFT的TPS。在这组实验条件下,LTPBFT算法相对于传统的PBFT算法在各个节点数目下都表现出很好的吞吐量性能。这是因为与PBFT相比,LTPBFT简化了公式过程中的一致性协议,使得原本为O(N2)的通信复杂度降低到O(N),并且由于取一半节点参加共识的机制,使得系统在大规模节点网络中依然能够保持较高的吞吐量。
3.3 共识时延
在区块链系统中,共识时延是指客户端提交请求到完成确认的时间。实验中,设置共识的运行时间为60 s,统计在这个时间段内完成的共识次数,从而得到平均时延,为不失一般性,在不同节点数量下重复进行20次测试,不同节点数目的共识时延最终值为20次实验的均值,如图6 所示。
由图6 可知, PBFT算法的共识时延呈指数级增长,而LTPBFT算法的共识时延远低于PBFT算法,这是由共识机制的网络通信复杂度决定的。本文的 LTPBFT 共识算法对节点添加了信誉值,并选取较可信前一半节点参与共识,简化了一致性协议执行流程。因为选择的主节点信誉值高,作恶的概率低,可以保证整个系统发生故障的概率低,试图转换的概率小,系统更加稳定可靠。因此,理论上 LTPBFT 共识算法应比PBFT共识算法的共识时延上更低,实验结果和理论相符。
3.4 安全性
PBFT共识算法不能处理恶意节点(拜占庭节点)进为,会导致恶意节点一直存在于系统中,使得整个系统安全性降低;LTPBFT共识算法加入了信誉值的奖惩机制,参与共识的节点一旦成为作恶节点,将会直接进行相应的惩罚,当节点信誉值低于Rlow时,该节点将会直接被剔除出区块链系统,并对所有节点进行广播,禁止其再次进入系统作恶,从而提升系统的安全性。
为了量化安全性,拟在系统中设置恶意节点,并查看随着共识轮数的增加恶意节点的数量变化情况。LTPBFT算法按照分组并取一半的节点为共识节点,拟分别设计节点数为50、30、20个,恶意节点取8、5、3个,假设均为参与共识的节点。设置共识次数为20次,步长为1,为了不失一般性,重复进行20轮共识取均值,PBFT和LTPBFT共识算法恶意节点数结果如图7 所示。
由图7 知,LTPBFT可以在共识开始的10轮共识内将恶意节点在系统中清零,相比PBFT算法不能去除恶意节点而言,整个系统的安全性有了明显提升。
4 结束语
本文针对无人机自组网设备算力有限,安全要求高的背景,提出了一个基于区块链的辅助认证系统模型,对原始PBFT算法主节点选取进行改进,加入信誉评估机制和基于信誉值的主节点选取,使得系统变得安全可信;并对PBFT算法的一致性协议的Prepare阶段和Commit阶段进行简化,使得系统通信复杂度降低,提高了共识效率。实验表明,相较于传统的PBFT共识算法, LTPBFT共识算法在通信开销、系统吞吐量、共识达成的延迟时间和系统的安全性方面,都展示出了更高的效率和更强的稳定性。
本文结果表明LTPBFT算法在大规模无人机集群应用中有很好的效果。然而,对于无人机数量少于5架的应用场景下,该算法的性能仍有优化空间。此外,由于LTPBFT算法的安全性依赖于身份认证系统的支持,这在无法提供身份认证的环境下可能构成一定的挑战。后续研究将针对小规模无人机集群和在无身份认证系统情况下的系统轻量化问题。