一种基于主观逻辑的云信任评估模型

张昌宏， 李 鹏

(1海军工程大学信息安全系，湖北，武汉，430033;2中国人民解放军92886部队，山东，胶州，266300)

0 引言

随着网络环境由相对集中的静态形式向开放灵活的动态形式演变，网格计算、普适计算、Ad Hoc网络等大规模分布式应用系统不断发展，各种新兴的云计算模式得到了越来越广泛的关注。云计算是对网络、互联网的一种比喻，通常涉及通过互联网来提供动态易扩展且经常是虚拟化的资源。在云计算中，用户通过进入可配置的计算资源共享池，只需投入很少的管理，或与服务供应商进行很少的交互，即可作为终端用户享受便捷的按需网络访问，具体涵盖网络、服务器、存储、应用软件、服务等云资源。目前，IBM、Google、Microsoft等著名IT厂商均在大力研究和推广云计算的应用。但由于安全授权机制、公钥证书体系等新兴的鉴权技术并不能在开放的云计算中加以高效运用，因此，可信性问题成为了束缚推广云计算应用的短板，由此展开的研究也成为了当前学术界的热点问题。

根据ITU－T推荐标准X.509规范，当实体A假设实体B能够严格按照A所期望的那样行动，则A信任B。信任作为一个主观概念，其信任程度既决定于客体的行为，又受主体对客体行为所作反映的影响。目前，信任评估模型倾向于采用概率论或模糊数学理论来度量信任，但这并不能很好地刻画信任的主观特性，为此，诸多学者通过新兴理论对主观信任这一抽象概念进行拟合。基于普适环境的动态信任模型(Pervasive Trust Management model，PTM)［1］是欧洲安全普适计算项目中基于D－S证据理论的一种信任评估方法，但其信任度的计算公式并无迭代，且对信任评估是收敛的。Jameel等［2］将向量机制引入信任评估模型，将时间因素、历史因素和可靠性程度纳入了计算公式，但其无法抵抗实体间的联合欺骗。Sun等［3］将熵理论引入信任评估模型，表现出了信任的不确定性，同时也能与云计算应用相匹配，但其多层级信任链的运算方式计算功耗过大。Josang提出的主观逻辑(Subjective Logic)［4］，通过事实空间和观念空间的双重概念描述信任，较好地刻画了信任的主观性和具体的信任度。本文基于主观逻辑的方法，将其应用于云计算下的信任评估，为解决云计算下网络交互节点的可信性问题提供了有效方法。

1 主观逻辑信任表达

1.1 事实空间和观念空间

事实空间是一种建立在二项事件(binary event)后验概率思想下的评估模型，其概率密度可以用beta概率密度函数beta(α，β)来描述，并以此计算网络节点产生某个事件的概率的可信度。用r和s分别表示肯定事件数和否定事件数，a表示基率，那么α和β满足:

由式(2)可以计算原子态的观念期望值E，从而更精确地描述不确定值对期望值的贡献程度。图1为信任观念ω=(0.2，0.5，0.3，0.7)在信任观念三角形中的表示。

图1 信任观念三角形

在信任观念三角形中，基率点与ux轴顶点的连线为指导线(Director)。可以看到，该指导线平行于ωx点与期望值E点的连线。

1.2 信任传递与信任合并

在信任评估模型中，通常存在直接信任(direct trust)和推荐信任(recommend trust)两种形式。直接信任，是指实体A可以认证实体B的身份，并信任实体B的各类属性信息。推荐信任是指实体A信任实体B具有向A推荐另一实体C的能力，是一种经由第三方的推荐而建立的信任关系。

信任的传递与合并，是信任评估过程中的基本运算。对于节点较多的信任网络，需通过信任的串、并联关系进行复杂的计算［5］，甚至还需处理更为复杂的非独立信任混联传递的情况。Josang提出的主观逻辑的方法信任衰减程度低，并具有鲁棒性，可以很好地仿真动态信任。因此，本文通过主观逻辑的方法对云计算下的信任传递进行评估。

2 信任云

2.1 云模型与信任云

云模型通过把定性概念的模糊性和随机性结合到一起，构成可信性和信任度相互间的映射，从而表示信任关系中存在的不确定现象。

信任云是以一维正态云形式描述的实体之间信任关系的一种云模型，其整体特性可以通过三个特征参数反映，包括期望Ex(expected value)、熵En(entropy)和超熵He(hyper entropy)。期望值Ex是论域的中心值，最能代表信任云定性概念。熵En反映了能够代表信任云的云滴的离散程度。超熵He，反映了数域空间所有点的不确定度的凝聚性，一般情况下，He对信任云的影响力没有前两个参数直观。信任云可形式化表示为:TC ( Ex，En，He)，其中，三个特征参数的取值范围均为［0，1］。

2.2 云生成器

通过软件或硬件实现云生成的算法，称为云生成器(cloud generator，CG)。正向云生成器(forward cloud generator)和逆向云生成器(backward cloud generator)是云模型中两个最重要的算法。

正向云生成器在已知三个特征参数的情况下，用来生成所需数量的云滴，实现概念从定性到定量的映射。正向云生成器工作原理如图2所示。

图2 正向云生成器工作原理

逆向云生成器用以实现定量数值到定性特征的提取，也就是基于统计学原理将一定数量的数据还原为三个特征参数。本文采用的一维逆向云生成算法具体步骤如下:

(1)根据样本数据xi，计算均值，样本方差S2和一阶样本绝对中心距B。

(2)经计算可得:

该算法的合理性在文献［6］中已予证明，本文不再赘述。

3 基于主观逻辑的云信任评估模型设计

3.1 云信任串联传递

信任信息依靠信任网络进行传递，实体间的信任传递主要表现为对推荐信息的传递和采纳。在一个完整的信任模型中，授信实体在对其它实体进行信任评估时，往往需要收集多个推荐实体的推荐信息，因此，信任评估必须支持信任信息的串联传递与并联合意。这一特性与电路中电流的串并联计算有所相似，区别在于节点实体的信任评估并非简单的加减计算，而需进行较为复杂的运算才能实现更好的数据拟合。

实体A接受实体B的推荐，建立对实体X的信任，其串联信任传递的过程如图3所示。

图3 信任串联传递

定义3 设⊕为m个连续实体的云信任串联传递运算符，那么目标实体M的信任评估值为:

式(6)中，三个信任云特征参数满足:

需要指出的是，推荐信任需建立在直接信任的基础上，因此，在计算实体推荐信任时，模型预先判断两个交互实体之间是否已建立直接信任关系，若两者不存在直接信任，则该实体无法相信另一实体的推荐能力，这也是一种防范恶意欺骗的安全性措施。理论上，信任信息可以通过任意长度的信任链进行传播，但实际应用中，信任信息会随信任链的增长而衰减，并且，随着推荐实体数量的增多，所获取的信息也越来越不确定。在上述信任信息传递公式中，代表信任中心值的信任云期望值随着信任路径的增加而减少，度量信任不确定性属性的熵和超熵也随着信任路径中推荐实体数量的增加而减少，因此上述算法体现了推荐信息随着信任链的增长而出现信任值衰减、不确定性增加的特点。

3.2 云信任并联合意

当授信实体从多条平行路径获得信任推荐时，需要将这些信任推荐进行并联合意计算，从而聚合不同实体对同一实体的信任观念。实体A接受实体B和C的推荐，建立对实体X的信任，其并联信任合意的过程如图4所示。

图4 信任并联合意

一般认为，信任路径合并后，所得信任信息的可信度应大于单个或者部分推荐信任的信任信息。类似于集体决策的过程，由于参考了多个对目标实体有直接信任关系的实体的推荐，所以信任路径合意后的信任关系的不确定性不会随着推荐路径数量的增加而增加。

定义4 设⊗为m个平行实体的云信任并联合意运算符，那么目标实体M的信任评估值为:

式中，三个信任云特征参数满足:

3.3 从观念空间到信任云的映射

在观念空间中，信任观念ω由 ( b ，d，u，a)来表示。在事实空间中，可以通过观察实体产生的一系列肯定事件r和否定事件s评估信任。两个空间满足如下关系:

公式(10)将观念空间与事实空间进行了统一，进而可以将信任关系带入云模型的理论范畴。

在评估模型设计上，首先，把信任观念ωAx作为输入，通过计算出肯定事件r和否定事件s的数值，可以得到其beta概率密度函数;随后，通过逆向云生成器，获得信任云的三个数字特征参数;最后，把三个特征参数作为输入值，通过正向云生成器即可描绘出信任云图形，实现信任由量到性的转换。图5显示了信任观念 ω = (0.7，0.2，0.1，a)的信任云描述。

图5 信任观念的信任云描述

3.4 基于主观逻辑的云模型信任等级评估

在传统的云模型中，通常采用固定的离散标度D［1，0.75，0.5，0.25，0］，将主观信任划分为5级，但这种信任评估是固定的，对于不同可信程度的推荐者均采用同样的评估标准。在信任观念三角形中，可以根据指导线，建立对二维信任观念ωx的信任等级评估。基于主观逻辑的信任观念等级评估表如表1所示。

表1 信任观念等级评估表

由于指导线的构成与基率函数ax相关，而不同推荐者的基率函数有着不同取值，因此，基于主观逻辑的云信任等级评估是动态的，并具有一定的主观性，这也更好地反映了现实中的信任关系。图6为信任等级评估在a=1/3和a=2/3时的观念三角形表示。

图6 观念三角形信任等级评估

图6中，横向座标标度从1到9，代表描述似然程度，纵向度座标标度从A到E，代表确定性程度。由图6可直观地判断出，确定性程度越高，期望值越大，则该信任观念越可信。

4 实验仿真及结果分析

本文仿真的软硬件环境为:CPUP4 2.93GHz，内存2G，操作系统Microsoft Windows XP SP3，Java开发环境为IBM My Eclipse 5.5.1 GA。

实验一预设总节点数为20的主观信任网络。网络节点数初始值为5，通过陆续增加节点数目，观察成功建立最优信任路径的系统用时。实验将Josang提出的基于主观逻辑的信任评估方法，与本文提出的基于主观逻辑的云信任评估方法在时间效率上加以比较。

图7 本文模型与Josang模型的时间效率比较

由图7可知，两种信任评估方法在成功建立最优信任路径的时间效率上，同样在每增加5个节点时，大约增长1个指数级。Josang模型在10个节点以下的信任网络中，由于运算量相对较低而在用时上稍低于本文模型，但在节点数量超过10的情形中，本文算法表现出更好的时间效率。此外，在节点数为20的条件下，算法时效可以在“秒”级完成运算，因此，后续实验预设节点数为20。

实验二预设总节点数为20的主观信任网络。首先，判定各节点的信任评估等级。然后，将似然评级高于3、确定性评级高于B的节点划分为表现优秀的Ⅰ类节点;将确定性评估低于D的节点划分为观念模糊的Ⅱ类节点;将似然评级低于8的节点划分为带有恶意的Ⅲ类节点。实验通过观察三类节点的信任评估随交互次数增加的表现。图8中，横轴为信任网络的交互次数，纵轴为某类节点被选中为最优路径节点的占用比(optimal path rate，OPR)。实验设置各类节点的OPR初值均0.2。

图8 三类节点随交互次数增加的最优路径节点占用比

随着交互次数的增加，Ⅰ类节点OPR曲线随着交互次数的增多逐渐上升。Ⅱ类节点的OPR曲线有微小的起伏，这是因为Ⅱ类节点的观念模糊性较大，信任评估时表现出了一定的犹豫性，但曲线总体走向上还是下降的。Ⅲ类节点的OPR曲线下降很快，并在最优路径的选择中逐渐被弃用。可以看出，模型很好地反映了三类节点实体的最优路径使用率随交互次数的变化而变化，符合预期分析。

由于信任具有明显的主观特性，因此，信任关系中包含了大量不确定性信息。信任云的三维特征可以很好地描述信任的不确定性。同时，不同于传统的经典概率论、模糊理论等诸多模型，基于主观逻辑的信任评估方法能够很好地在云计算中加以运用。未来的研究可以在多维主观信任向量空间和多维云计算中加以拓展。

［1］ A.Marin，D.Diaz，J.Sanchez.Developing a model for trust management in pervasive devices［C］//.Proceedings of the 3rd IEEE International Workshop on Pervasive Computing and Communication Security，2006:271－276.

［2］ H.Jameel，L.Hung，U.Kalim.A trust model for ubiquitous systems based on vectors of trust values［C］//.Proceedings of the 7th IEEE International Symposium Multimedia，2005:674－679.

［3］ Y.Sun，W.Yu，Z.Han.Information theoretic framework of trust modeling and evaluation for ad hoc networks［J］.IEEE Journal on Selected Areas in Communications，Selected Areas in Communications，2006，249(2):305－319.

［4］ A.Josang.Subjective logic［D］.Oslo:University of Oslo，2012.

［5］ 李鹏，张昌宏，周立兵.基于主观逻辑的PKI信任评估模型［J］.计算机工程，2012，38(1):10－12.

［6］ 刘常显，冯芒，戴晓军等.基于云X信息的逆向云新算法［J］.系统仿真学报，2004，16(11):2417－2421.