一种用于能源互联网的新型边缘计算卸载和隐私保护方案

摘要

随着物联网技术的快速发展，物联网终端产生了“海量”数据，导致云计算压力和网络延迟问题加剧。因此，边缘计算应运而生。同时，边缘计算的隐私安全尤为重要。本文利用ZSS短签名算法和Paillier同态密码系统，提出了一种面向能源互联网的安全高效的边缘计算隐私保护方案。该方案能够实现数据机密性和隐私保护。最后，建立了卸载模型以快速解决问题。实验结果表明，该方案具有更小的计算开销和通信开销。

关键词 —能源互联网，边缘计算，隐私保护，数据聚合，计算卸载

I. 引言

随着物联网（IoT）的快速发展，智慧城市[1],[2], 智能家居、智能电网[3]等新型服务模式也不断涌现。我们已经从物联网时代迈入万物互联（LOE）时代。物联网终端产生了“海量级”数据，但问题在于云计算无法满足互联网的需求，主要原因是带宽负载和资源限制[4]‐[7]。

为了解决隐私安全问题，许多保护隐私的数据聚合方案被提出[8]‐[16]。常见的数据聚合同态加密算法包括 Paillier同态加密算法[8]和2‐DNF同态加密算法[9]。
李等人提出了一种隐私数据聚合
文献[10],中提出了一种在聚合树中构建智能电表的方案。
卢等人在[11]中采用了Paillier加密，并提出了一种针对多维数据的隐私保护聚合方法。考虑到智能电表采集的实时数据通常较小，因此Paillier加密的明文占用空间较大。
埃尔金和祖迪克[12]改进了Paillier算法，提出了一种智能电网数据聚合方案。此外，还有许多嵌入式功能用于增强程序的安全性和可用性，例如密钥演化技术[13], 、抗内部攻击[14], 、数据完整性验证[15], 、随机噪声技术 [16],等。上述所有方案在保护数据聚合隐私的同时降低了通信开销。但在数据聚合方案中，计算复杂度仍然是一个有待解决的问题。因此，设计一种轻量级的隐私保护数据聚合框架非常必要。

本文设计了一种面向能源互联网的新型边缘计算卸载与隐私保护方案。具体而言，我们的贡献可归纳为以下三个方面：（1）轻量级聚合：在我们的计算卸载方案中，采用最优卸载决策进行计算密集型任务分配，将卸载策略分为三类，并利用拉格朗日乘子法求得最优解。该卸载决策成本中对应最小成本的决策即为最优决策。（2）隐私保护：采用Paillier同态加密系统和区块链技术来保障方案的安全性。（3）不可伪造签名：本方案中的ZSS短签名算法和双线性映射共同完成签名验证。

本文的其余部分组织如下。第二节介绍了基础知识：双线性映射、同态加密系统和ZSS短签名算法。第三节介绍了本文将采用的系统模型和安全模型。在第四节中，我们提出了一种用于能源互联网的新型边缘计算卸载和隐私保护方案。接着，在第五节中分析了该模型的安全性。第六节通过仿真对各项性能指标进行了广泛评估。最后，对本文进行了总结。

二. 基础知识

A. 双线性映射

设 $\Gamma$ 和 $\Gamma_T$ 为两个素数阶 $q$ 的群，$g$ 为 $\Gamma$ 的生成元。
考虑一个双线性映射 $e: \Gamma \times \Gamma \rightarrow \Gamma_T$，其满足以下性质 [17, 18]：

• 双线性 ：对于所有 $u,v \in \Gamma$ 和 $a,b \in \mathbb{Z}$，我们有
  $$
  e(au,bv) = e(u,v)^{ab},\quad e(u+v,a) = e(u,a) \cdot e(v,a),\quad e(u,a+b) = e(u,a) \cdot e(u,b)
  $$

• 非退化 ：$g$ 应满足 $e(g,g) \neq 1_{\Gamma_T}$。

• 可计算 ：$e(u,v)$ 应该是可计算的。

B. Paillier同态加密方案

本文提出的该方案基于Paillier同态加密系统[8]。具体细节如下：

• 密钥生成 ：给定两个大素数 $p,q$，计算RSA算法 $n=pq$ 和 $\lambda = \text{lcm}(p-1,q-1)$。假设 $g$ 是 $\mathbb{Z}_{n^2}^*$ 上的一个有序生成元，满足 $g^n \mod n^2 = 1$。定义函数 $L(u)=(u-1)/n$ 以及 $\mu = L(g^\lambda \mod n^2)^{-1}$。则对应的公私钥对为：$pk=(n, g)$ 和 $sk=(\lambda, \mu)$。

• 加密 ：假设明文为 $m \in \mathbb{Z}_n$。随机选取一个数 $r$，使其满足最大公约数 $\gcd(r,n)=1$。则密文 $c$ 为：
  $$
  c = g^m \cdot r^n \mod n^2
  $$

• 解密 ：假设密文为 $c$，则明文为：
  $$
  m = \frac{L(c^\lambda \mod n^2)}{L(g^\lambda \mod n^2)} \mod n
  $$

Paillier同态加密系统基于确定性复合剩余问题，已被证明是语义安全的，并且能够有效抵抗选择明文攻击。

C. ZSS短签名算法 [17]

本文使用ZSS算法进行签名，具体描述如下：

• 参数生成算法 ：系统参数 $SP$ 为 ${G_1, G_2, e, q, P, H}$。

• 密钥生成算法 ：随机选择 $x \in \mathbb{Z} q$，计算 $P {pub} = x \cdot P$，然后对应的公私钥对为：$P_{pub}$ 和 $x$。

• 签名生成算法 ：给定状态输入 $(m,x) \in \mathbb{Z}_q$，计算签名 $S = P / (H(m) + x)$。

• 签名验证算法 ：输入为 $(P_{pub}, m, S)$，验证是否满足
  $$
  e(H(m)P + P_{pub}, S) = e(P, P)
  $$

III. 系统模型

A. 网络模型

在我们的系统模型中，包含6个实体：边缘用户、基站、MEC服务器、控制中心、云计算中心和可信中心。边缘用户（EU）代表用户侧的一系列用户，具有感知和通信模块。基站（BS）负责与边缘用户传输数据，执行卸载决策，维护MEC服务器并进行通信。MEC服务器（MEC Server）负责在基站侧计算需要卸载的数据。控制中心（CC）负责收集数据，维护云计算中心，并对整个系统进行指导。云计算中心（Cloud）负责计算和存储用户数据，位于控制中心一侧。可信中心（TC）是一个完全可信的第三方，负责系统引导和密钥材料分发。假设TC与其他实体之间存在安全信道，用于传输密钥材料。

B. 安全模型

本文的安全模型考虑了每个实体的可信状态，假设控制中心和可信中心是完全可信的，而基站BS和MEC服务器是诚实但好奇的。诚实但好奇的设定是指，一方面这些体会诚实地执行本文设计的协议，另一方面它们会出于好奇试图获取用户的敏感信息。假设在用户到控制中心的通信信道中存在一个恶意攻击者 $\mathcal{A}$，该攻击者试图获取传输数据，并发起一些主动攻击或注入无用数据以破坏数据完整性。

IV. 所提方案

本文提出了一种方案，主要包括计算卸载模型和隐私保护模型。为了便于研究，每一层的 TCP/IP 网络系统模型在本文的网络传输过程中未考虑额外开销。

A. 系统初始化

密钥生成 ：系统的指导工作由可信中心完成。TC设置安全参数$(k, k_1)$，随机选择两个大素数$(p, q)$，然后计算 RSA模数$n=pq$和卡迈克尔函数$\lambda=\text{lcm}(p-1, q-1)$。假设$g$是群上$n$的生成元，满足$g^n \mod n^2=1$。TC定义函数$L(x)=(x-1)/n$以及 $\mu=1/L(g^\lambda \mod n^2)$，Paillier同态加密系统对应的公私钥对为：$pk=(n, g)$和$sk=(\lambda, \mu)$。TC生成$\Gamma$和$\Gamma_T$为两个在素数阶$p_1$下的乘法循环群，且$g$是群$\Gamma$的一个生成元。
完成上述设置后，TC发布参数${p_1, n, g, \Gamma, \Gamma_T, e, P, N, H}$。

B. 隐私保护模型

在基站为每个边缘用户给出最优卸载决策后，将开始实施隐私保护方案。该方案分为三个隐私保护模型，分别对应三种类型的卸载决策，以实时用电数据为例。

(1) 本地计算

该模型涉及的主体包括边缘用户和控制中心。该模型的任务是将本地计算结果安全高效地发送至控制中心。

数据上传 ：假设边缘用户本地计算的结果为维度和 $= ()$，对每个维度数据的加密计算方法为，其中是一个随机整数，满足并在Paillier加密后进行。加密完成后，$EU_i$选择一个随机的$x_i \in \mathbb{Z}_q$，计算签名 $\sigma_i = x_i \cdot P$。$EU_i$计算并将结果发送至控制中心CC，其中是对应于$EU_i$的身份标识，$T_i$为当前时间，用于抵御潜在的重放攻击。

数据读取 ：控制中心 $CC$ 接收到边缘用户 $EU_i$发送的数据，首先验证$EU_i$的签名，验证方法是计算 $S_i = P/(H(c_i) + \sigma_i / P)$，然后判断$e(H(c_i) \cdot P + \sigma_i, S_i) = e(P, P)$是否相等。若相等，则验证通过；否则验证不通过。其正确性如下：
.
.
(1) If the verification is passed, the control center CC decrypts the electricity consumption data by operation.

(2) 卸载到MEC服务器

数据上传 ：基本与之前的过程相同，区别在于：$EU_i$ 进行计算并将其发送至基站BS，其中是对应于$EU_i$的身份信息，而$T_i$为当前时间，用于抵御潜在的重放攻击。

数据聚合 ：基站BS接收来自边缘用户$EU_i$的数据，首先验证$EU_i$的签名$\sigma_i$。验证方法为计算$S_i=P/(H(c_i)+\sigma_i/P)$，并判断$e(H(c_i)\cdot P+\sigma_i, S_i)= e(P, P)$是否成立。若验证通过，基站 BS将计算任务卸载至MEC服务器，其中聚合的加密数据通过，$l$表示用户$EU_i$的数据量。BS选择一个随机数$x_{BS} \in \mathbb{Z} q$，计算签名$\sigma {BS}= x_{BS}\cdot P$。计算完成后，基站BS将计算得到的数据添加到签名$\sigma_{BS}$中，生成$M_{BS}=ID_{BS}||c||T||\sigma_{BS}$，并发送给控制中心CC，其中$ID_{BS}$ 表示基站BS的身份。

数据读取 ：基本上与之前的过程相同。在此基础上，可以进行电费计费等操作。

(3) 上传到云计算中心

The difference of 过程 description(1) 该模型的计算时间包括上传数据的时间。控制中心 CC读取原始数据后，通过运算$d=L(c^\lambda \mod n^2)/L(g^\lambda \mod n^2) \mod n$获得解密后的数据。在此基础上，控制中心将任务发送至云计算中心以获取所需结果，然后可进一步执行电费计费等操作。

V. 安全分析

本文的安全分析考虑了认证、机密性、隐私保护和完整性。详细描述如下。

认证 。该方案使用ZSS短签名算法和双线性映射来完成签名验证。如果控制中心CC是可信的，则签名认证方案的安全基础是离散对数假设。由于ZSS短签名算法是一种安全的单向Hash函数和双线性映射特征算法，因此通过寻找碰撞来伪造注册信息是非常困难的。

保密性和隐私保护 。本方案的保密性和隐私保护由Paillier同态加密系统和区块链技术保证。基站和攻击者都只能获得加密数据，而无法获取明文数据。由于Paillier同态加密系统的安全性已被证明，特别是针对选择明文攻击的安全性，因此该过程具有保密性。

完整性 。一方面，时间戳机制用于抵御重放攻击。另一方面，ZSS算法能够在选择消息攻击下抵抗存在性伪造，从而实现不可否认性。

VI. 数字实验

本部分通过仿真实验分析了计算复杂度和通信负载效率。在此部分中，我们评估了所提方案的性能。实验环境参数为：Intel(R) Core (TM) i5‐10210U CPU @ 1.60GHz 2.11GHz，内存 8.00GB，Linux CentOS 7 64位，基于配对的密码学（PBC）库 0.5.14，实验编程语言为 C++。为了方便起见，我们将数据聚合和计算卸载分开以评估其性能。在PBC中模拟一个完整的ZSS短签名方案，仿真时间为$T_{ZSS}=0.005069$s。

A. 计算复杂度

本文可以根据加解密操作和签名验证算法来考虑计算复杂度。为了便于分析，此处仅分析卸载到MEC服务器的过程。

Paillier同态加密方案包含乘法操作、幂运算和对数运算。仿真时间为：每个域上的幂运算耗时$T_{\text{exp_Z}}=2.528$ms，每个群上的幂运算 $\Gamma$耗时$T_{\text{exp_G}}=2.392$ ms，每个群上的乘法操作$\Gamma$耗时$T_{\text{mul_G}}=2.302$ ms，每个域上的乘法操作耗时$T_{\text{mul_Z}}=0.111$ ms，解密时每个域上的对数运算耗时$T_{\text{log}}=114.628$ ms。

因此，Paillier加解密操作的时间复杂度为$T_{\text{enc}}$和$T_{\text{dec}}$，其中加密阶段总耗时为：
$$
T_{\text{enc}} = N \cdot (2T_{\text{exp_Z}} + T_{\text{mul_Z}}) + 2T_{\text{log}}
$$
其中$N$表示边缘用户的数量。类似地，每个用户需要一个ZSS签名，基站也需要一个签名，因此签名验证的时间复杂度为：
$$
T_{\text{sig}} = (N+1) \cdot T_{ZSS}
$$
因此，在该方案中，总时间复杂度$T$为：
$$
T = T_{\text{enc}} + T_{\text{sig}}
$$
本文中，加解密操作$T_{\text{enc}}$、签名验证$T_{\text{sig}}$与总时间复杂度$T$的关系如图2所示。

本文提出的签名验证方案的时间复杂度与EPPA、PEDA和SEDA的比较如图3所示。

B. 通信开销

在这里我们仍然分析卸载到MEC服务器的过程。考虑两个过程的通信负载，即用户到基站和基站到控制中心。当用户到达基站时，从$EU_i$发送到基站BS的内容中，$c_i$ 的通信负载为2048 bits，$T_i$的通信负载为120 bits，$\sigma_i$的通信负载为160 bits。通信负载为：
$$
O_1 = N(2048\,\text{bits} + 120\,\text{bits} + 160\,\text{bits}) = 2328N\,\text{bits}
$$
原文中表述存在笔误，实际应为：
$$
O_1 = N(2048 + 120 + 160) = 2328N\,\text{bits}
$$
而在从基站BS到控制中心CC的过程中，该过程的通信负载为：
$$
O_2 = 2048\,\text{bits} + 120\,\text{bits} + 160\,\text{bits} = 2328\,\text{bits}
$$
综上所述，该方案的通信负载为：
$$
O = O_1 + O_2 = 2328(N + 1)\,\text{bits}
$$
如图4所示。考虑$N \in [0, 2000]$，其中(a)表示该方案总通信负载随用户数量$N$的变化情况，(b)表示用户到基站的通信负载随用户数量$N$的变化情况，(c)表示该方案从基站到控制中心的通信负载随用户数量$N$的变化情况。

七. 结论

本文采用ZSS短签名算法、Paillier同态密码系统和双线性对设置，提出了一种在能源互联网中安全高效的边缘计算隐私保护与计算卸载方案。该方案能够实现数据机密性和隐私保护。最后，建立了卸载与分配模型以快速求解。
实验结果证明了该方案的计算和通信开销较小。本文仍值得进一步提高密码学和签名算法的效率。