《1　前言》

1　前言

随着网络环境逐渐由相对集中的静态形式向开放的动态形式发展，以 Web 服务，P2P，网格计算为代表的一批新的网络技术日渐成为目前网络研究的重点。新技术的出现使得安全问题复杂化，一些传统的安全授权机制，如访问控制列表，公钥证书体系等，不再适用与解决开放网络安全问题。在此背景下，有学者借鉴信任关系这一人类社会现象，通过提取网络环境中实体间交往记录获得信任信息，试图为开放网络环境提供一种相对柔性的安全度量机制。

自 1996 年，M. Blaze 等人为解决 Internet 的安全问题首先提出信任管理的概念以来[1]，围绕信任定义和信任信息的提取方法问题，学者们一直存在分歧，至今没有一个统一的可被广泛接受的定义。但多数学者认为信任是一种主观信念，具有以下几个重要特征[2~5]：a. 主观性，不同的实体对同一事物的看法会受个体喜好等因素的影响而有所不同；b. 可能性预期，信任的程度可以被提取并形式化为可能性估计；c. 内容相关性，信任是对事物的某个方面而言的，针对特定的内容。

由于对信任概念理解观点存在差别，目前信任研究中对主观信任的度量一般采用以下两种截然不同的方法：一种基于概率统计学中假设检验的思想，采用精确的概率模型对信任信息进行提取；另一种基于模糊数学理论，采用人工智能技术和专家系统等方法来实现对信任的度量。以上两种信任评估方法虽然在理论上都有合理之处，但在对信任概念的特点描述方面都不完整，都没有完全反映出信任的本质属性。主观信任作为一种人类社会的认识现象，是相信关系的前提，本质上是基于信念的，具有很大的不确定性。在主、客观世界中，随机性和模糊性是不确定性存在的两种主要形式已成为业界共识[6]。所以单一基于概率论的公理化方法，采用概率来量化随机性，或者基于模糊集合理论，采用模糊数学相关工具来确定模糊值，都是从不同的角度去研究信任的不确定性，没有实现对信任信息的全面评估。

云模型[7]是在对概率理论和模糊集合理论进行交叉渗透的基础上，通过特定的构造算法，形成定性概念与其定量表示之间的转换模型。笔者在此基础上提出信任云的概念，将云模型用于信任评估，并给出一种信任评估模型———信任云模型，以云模型的形式，统一表达了主观信任中存在的随机性、模糊性以及两者之间存在的关联。模型给出了在云环境下信任信息的采集、传播和合并算法，通过实例证明在相同环境下，该模型能获取更多的信任信息，使信任相关的网络安全决策依据更加充分。

《2　相关工作》

2　相关工作

在研究开放网络环境安全问题的过程中，多位学者在其不同的研究背景下提出了各自的信任评估模型。

T. Beth 等人提出一个基于经验和概率统计解释的信任评估模型[3]，并将其应用于开放网络的安全认证问题的研究。模型引入经验的概念来表述和度量信任关系，将信任分为直接信任和推荐信任，并给出了由经验推荐而引出的信任度推导和综合计算公式。Beth 模型采用精确的概率数值把信任描述为完成一次协作任务的可能性，认为信任的随机性和不确定性是等同的概念，忽略了信任本身具有的模糊特性。

等人提出了基于主观逻辑的信任模型[4,8~10]，引入了证据空间（evidence space）和观念空间（opinion space） 的概念来描述和度量信任关系，并提供了一套主观逻辑运算子用于信任度的推导和综合计算。与 Beth 模型相比， 模型对信任的定义比较宽松，同时使用了证据空间中的肯定事件和否定事件来度量信任。但是 模型同样等同了信任的随机性和主观不确定性，即使引入了观念空间概念，模型也可以通过证据空间的统计事件对其表述。

唐文等人考察了主观信任的模糊性，运用模糊集理论对信任管理问题进行了建模[11]。给出一个信任类型的定义机制和信任的评价机制，并定义了主体信任关系的形式化表示和形式化推导运算规则。但该模型否定了信任的随机性，把模糊性作为信任的唯一特性来研究。并且唐文的模型信任评估机制过于复杂，因素评判矩阵的建立和各因素的权重分配均伴有很大随意性，因此缺乏工程可行性。

李德毅等人认为在客观世界普遍存在的不确定性中，随机性和模糊性是两种最重要的形式[6]。他们把随机性定义为由于事件发生的条件不充分，使得条件与结果之间没有决定性的因果关系，从而在事件的出现与否上表现出的不确定性；把模糊信定义为由于事物概念本身模糊，一个对象是否符合这个概念难以确定而造成边界不清的性质。

根据李德毅院士的观点，为了克服 T. Beth、、唐文等人信任模型的缺点，基于云模型的信任评估必须综合考虑信任的不确定性属性，借助云模型来统一刻画语意中大量存在的随机性、模糊性以及两者之间的关联性，在定量数据与定性概念之间建立合适的转换模型，并最终提出具有工程可行性的信任评估模型。

《3　云模型》

3　云模型

《3.1　云的基本概念》

3.1　云的基本概念

云是用自然语言值表示的某个定性概念 与其定量表示之间的不确定性转换模型[12]。

定义 1：设 U 是一个用精确数值表示的论域（一维、二维或多维）， 是 U 上对应的定性概念，对于论域的任意一个元素 x，都存在一个有稳定倾向的随机数 ，叫做 x 对 的隶属度，也称确定度。x 在论域上的分布称为隶属云，简称为云[12,13]。

云由许多云滴组成，每一个云滴就是 映射到数域空间的一个点[12]。云的整体形状反映了定性概念的重要特征，表示定性和定量之间的不确定性映射。云与模糊集合理论的隶属函数的差别在于[13]，对于确定的 x，隶属函数对应于确定的隶属度，而云所对应的隶属度是不确定的，它不仅表达了 x 对应的定性概念 的模糊性，同时也表达了 x  在论域 U 中分布的随机性。

《3.2　云的数字特征》

3.2　云的数字特征

云的数字特征用期望 Ex、熵 En 和超熵 He 三个数值来表示，它们把模糊性和随机性完全集成在一起，反映了定性概念 整体上的定量特征[7,12]。

期望 Ex（expectation）：在数域空间最能够代表定性概念 的点，它代表 的信息中心值。

熵 En（entropy）：反映了定性概念 的不确定性，代表概念 的粒度。熵一方面反映数域空间中可以被 接受的云滴范围大小，代表其亦此亦彼的裕度，即 的模糊性。另一方面反映数域空间中云滴能够代表定性概念 的概率，表示代表 的云滴出现的随机性。此外熵还揭示了模糊性和随机性的关联性。通常熵越大，概念越宏观，模糊和随机性也越大。

超熵 He（hyper entropy）：超熵是熵的不确定性状态变化的度量，即熵的熵。超熵从另一层面反映了定性概念 的样本出现的随机性[12]。

云的数字特征参数是相互独立的。因为社会和自然科学的各个分支都已证明了正态分布的普适性[14]，正态云是最基本也是最常用的云模式，如不做特殊说明，本文所指的云模型皆为正态云。

定义 2：Cloud（Ex，En，He）表示用期望值 Ex、熵En、超熵 He 三个数值表征的一维云，反映了定性知识的定量特征。

图 1 显示了一维云 Cloud（0.8，0.08，0.005）所描述的一个信任关系。

《图1》

图1　信任度的云描述

Fig.1　Trust information described by cloud

《3.3　云的基本算法》

3.3　云的基本算法

正向云发生器和逆向云发生器是云模型中两个最重要的算法[12]。正向云发生器在表达最基本的语言值 -语言原子时最为有用，在已知 3 个特征数字的情况下用来生成所需数量的云滴。逆向云发生器实现定量数值到其定性语言值的不确定性转换，它将一定数量的精确数据转换为定性语言值 Cloud（Ex，En，He）表示的概念，即从给定的云滴样本中求出正向云发生器的 3 个特征数字 Ex，En，He，从而实现对样本数据的定性评价。

算法 1： 正向云发生器算法

输入：某个定性概念的期望值 Ex、熵 En 和超熵He，并给定云滴数 N。

输出：N 个云滴在数域空间的定量位置以及每个云滴代表该概念的确定度。

1）产生一个期望值为 En，标准差为 He 的正态随机数 En′；

2）产生一个期望值为 Ex，标准差为 En′ 绝对值的正态随机数 x；

3）令 x 为定性概念的一次具体量化值，称为云滴；

4）计算 ；

5）令 y 为 x 属于该定性概念的确定度；

6）（x，y）完整反映了这一次定性定量转换的全部内容；

7）重复 1）~6），直到产生 N  个云滴为止。

算法 2：逆向云发生器算法[12]

输入：N 个云滴 xi ；

输出：这 N 个云滴表示的定性概念的期望 Ex、熵 En 和超熵 He。

1）根据 xi 计算这组数据的样本均值，= ，一阶样本绝对中心矩       样本方差 ；        

2）；

3）；

4）。

《4　基于云理论的信任模型》

4　基于云理论的信任模型

《4.1　信任云》

4.1　信任云

信任云是一种特殊的云模型，它根据信任关系和其描述方式的特点，把信任的表达用云模型的方式反映出来。本文采用区间标度方法实现对信任的描述，把信任值和其不确定度均归为 [0,1] 区间。

定义 3：信任云是以一维正态云形式描述的实体之间的信任关系，形式化表述为 TC（Ex，En，He）（0 Ex 1，0 En 1，0 He 1） 。其中 Ex 为信任期望，为基本信任度；En 为信任熵，反映了信任关系的不确定度；He 为信任超熵，反映了信任熵的不确定度。

《4.2　信任参数的获取》

4.2　信任参数的获取

通常，实体间的信任评估取决于对对方实体服务行为的观察结果和第三方提供的推荐信息。这些信息通过评价构成了客观经验，前者为直接经验，后者为推荐经验。对目标服务活动的评价，我们采用离散的标度（1，0.75，0.5，0.25，0）来描述满意度高低，同时采用自然语言对不同满意度进行描述。对应不同的标度，满意度分为相当满意、满意、一般、不满意、相当不满意 5 类，如表 1 所示。对协作结果的满意程度是实体间建立信任关系的基础，满意度在很大程度上决定了信任度的高低，所以实体间的信任可以用对协作结果的满意度来标量。

《表1》

表1　满意度的描述和标度

Table 1　Satifaction description and marker

定义 4： V  为一个五维向量，称为信任向量，是多次对目标实体服务行为的评价集合并与满意度描述的标度对应。

例如，实体 A 观察与实体 B 进行的 100 次服务协作行为，把其中 20 次服务评价为非常满意，20 次服务评价为满意，其余的 60 次服务评价为一般，则 A 对 B 的信任向量表示为 VA,B （20，20，60，0，0）

信任向量代表实体间协作服务结果和实体主观感受因素合成的一组数据，是对服务提供方进行信任评估的信息基础。对这组相对精确的数据进行分析研究以获取定性的信任信息是信任评估模型的主要功能之一。把信任向量代入一维逆向云算法可以获得信任云的 3 个表征参数，然后通过逆向云发生器算法描述出完整的云图形，实现了概念从定量到定性的转换。图 2 显示了不同信任向量代表的信任关系的云描述。

《图2》

图2　不同信任关系的云描述

Fig.2　Different trust relationship described by cloud

《4.3　信任信息的传递和合并》

4.3　信任信息的传递和合并

4.3.1　信任信息的分类

在信任评估模型中，对信任关系进行评价的主要依据来源于相关的经验信息。直接经验与推荐信息是构成经验信息的基础。

直接经验涉及判断一个实体是否成功的完成某项协作活动，与推荐信息判断一个实体是否诚实的提供经验信息相比，需要较少的主观判断，具有更多的理性成分，比较容易建立合理的数学模型来表达[15]。在本文所描述的信任评估模型中，直接经验由对服务协作行为的观察结果获取，通过信任向量 V  来表示。

推荐信息表达一个实体对另一个实体所推荐的经验信息的可信程度，由于存在度量信息可信度的问题，推荐信息具有更多的主观成分和个性化需求，很难给出相对客观的反映推荐行为的经验信息[15]。通常，与直接经验一致或相似的推荐信息更为可信，因此可以把推荐信息和直接经验作关联评价。我们认为推荐者是否提供可信的推荐信息和推荐者的协作服务准则相一致，对推荐者的直接经验可以作为衡量其推荐信息可信度的标准，因此同样可以采用信任向量 V 来描述推荐信息的可信程度。

在基于信任网络思想评估信任关系的过程中，实体收集信任信息评估目标，信任信息依靠信任网络进行传递。实体间的信任传递主要表现为经验信息的传递和采纳。当实体（评估者）需要对另一实体（被评估者）的某项协作功能进行信任评估时，往往需要收集多个可信任实体（推荐者）所推荐的相关经验信息，而可信任实体所推荐的经验信息也可能来自于其他可信任实体。因此，一个完整的信任模型必须支持信任信息的传递与合并。

《图3》

图3　信任信息传递过程

Fig.3　The process of trust information transfer

4.3.2　信任信息的传递

信任信息的传递是将推荐者提供的推荐信息传递给评估者，其值取决于评估者对推荐者的推荐信任和推荐者对被评估者的直接信任。通常，推荐者需要从另外的推荐者处获取信任信息，这样构成一条信任链，如图 3 所示，信息传递网络上有 m  个实体 E1 ，E2 ，…，Em ， TCi （Exi ，Eni ，Hei ） 表示实体 Ei  对实体 Ei +1 的信任云参数， TC1,m（Ex，En，He） 表示 E1 通过信任信息的传递对 Em 产生的信任关系。

算法 3：信任信息传递算法

理论上，信任信息可以通过任意长度的信任链进行传播，但实际应用中，信任信息随着信任链的增长而衰减直至消亡，并且随着推荐实体数量增多，所获取的信息也越发的不确定。信任信息传递算法体现了推荐信息随着信任链的增长信任理想值在衰减，不确定性在增加的特点。

4.3.3　信任信息的合并

信息评估者通过不同的信任路径获取信任信息，需要将不同推荐者提供的推荐信息进行合并。如图 4 所示，评估者 A，评估对象 F，E1 ，E2 ，…，Em 为 A 的推荐者，A 通过多条推荐路径获得关于 F 的信任信息。合并信任的可信度应当大于单个或者部分推荐信任可信度。由于合并信任参考了多个对被评估对象有直接经验的实体的推荐，是“集体决策”的结果，所以合并信任的不确定性不会随着推荐路径数量的增加而增加。

《图4》

图4　信任信息合并过程

Fig.4　The process of trust information combination

从评估者到评估对象有 m 条推荐路径，TCRi （ExRi ，EnRi ，HeRi ） 表示第 i  条路径的推荐信息，TC A,F （Ex，En，He） 表示合并所有路径信息得到的信任信息。

算法 4：信任信息合并算法

信任云模型中，直接信任与收集到的推荐信任描述方式相同，都是采用云模型的 3 个特征参数作为信任表达形式，因此可以把实体自身作为推荐者，方便的进行综合。模型规定：当实体自身作为推荐者时，信任推荐路径只有评估者和被评估者两个实体，推荐信息参数为 TC（1，0，0） 。根据该规定，实体的直接信任与所收集的推荐信息将被统一处理。

《5　应用实例》

5　应用实例

信任云环境下，实体间的每一次协作活动都可以看作是一个云滴，多次协作后形成的云团的整体形状反映了信任的总体水平。本节中，我们设置了一个开放网络环境下实体获取评估对象信任关系的实验场景，通过信任云的方式展现一个信任评估过程：a. 通过评估目标对象关于某项协作活动的满意度评价，获得对该对象的信任向量；b. 把获取的信任向量代入逆向云发生器算法获得信任云的 3 个特征数字 TC（Ex，En，He） ，实现信任信息由定量向定性的转换；c. 通过信任信息的传递和合并算法，获得由不同推荐路径相连的实体间间接的和总体的信任云特征数字；d. 使用正向云发生器算法将描述总体信任信息的云特征数字还原出信任云团，云团形状直观的展示评估对象和被评估对象之间的信任水平和信任不确定性情况。

《5.1　实验场景》

5.1　实验场景

在一个开放网络环境下，实体 A 希望评价实体 D 关于某类行为的可信度以决定是否与其进行协作活动，由于 A 自己没有与 D 进行协作活动的记录，为此 A 需要通过其它可信任的第三方（B，C，E）来收集关于实体 D 的经验信息，它们之间的推荐路径及信任向量如图 5 所示。

《图5》

图5　实验场景

Fig.5　Experiment scenario

《5.2　信任信息的获取》

5.2　信任信息的获取

把由协作结果满意程度表征的信任向量代入逆向云发生器算法，获得有协作服务记录的实体之间的信任云特征参数。它们分别为

TCA,B （0.8125，0.1175，0.0440） ，

TCB,C （0.8438，0.1469，0.0821） ，

TCC,D （0.7708，0.1915，0.0054） ，

TCA,C （0.8636，0.1554，0.0914） ，

TCA,E （0.7708，0.0957，0.0793） ，

TCE,D （0.8000，0.2005，0.0671） 。

将这些特征参数代入信任信息的传递算法和合并算法，获得实体 A 对实体 D 总体的信任云参数

《5.3　信任还原和分析》

5.3　信任还原和分析

获得实体 A 对 D 综合信任的 3 个云特征参数以后，可以对信任结果作定性的描述，利用正向云发生器算法以信任云团的形式描绘出信任度的分布情况。由于信任本身源于人类信念，属于定性范畴，所以把此过程称为信任还原。图 6 直观的描述了 A 对 D 的信任评估。

《图6》

图6　还原出的信任云

Fig.6　Reverted trust cloud

结果分析：从图 6 可以看出 A 对 D 的信任理想值在 0.6 左右，在满意度范畴中属于中上水平。信任关系裕度很大，在较广的范围内都有可能取值，表明影响 A 与 D 信任关系的因素较多，信任受多种因素制约，不确定程度很大。信任的取值在其裕度范围内没有严格的服从正态分布，呈一种泛正态分布的离散状态，由中心极限定理阐述的产生正态分布的条件可知，决定 A 对 D 信任关系的各个因素的影响力是不均匀的，或者决定因素之间并不互相独立，有一定程度的相互依赖。

从实验可以看出，由于信任云模型通过云的三维参数描述信任信息，相对于传统采用单一数据作为评估结果的基于概率统计理论的信任模型，展现了信任更多的不确定性信息，使信任的内涵更加丰富。此实验也表明通过信任云模型的信任信息提取算法，无须加入主观权值等因素就可实现定性概念和定量数据之间的合理转换。相对于基于模糊集理论的信任评估模型，具有较好的工程可行性。

《6　结语》

6　结语

信任评估机制的建立和信任信息的获取是解决开放式网络环境下安全问题的重点之一。信任理念来源于社会网络，具有很大的主观性和不确定性，传统的采用单一精确数值衡量信任关系的方法不能涵盖信任信息的全部内容。本文引入正态云模型，提出信任云概念来实现信任属性在定性语意与定量数值之间的转换。在此基础上，本文又提出了信任云描述的信任信息传递和合并算法，同时兼顾对信任的理想值和不确定性两方面特性的需求，从相对精确的协作信息中提取出具有主观定性属性的信任关系。信任云模型实现了对信任概念的完整描述，相对于以往采用单一精确数值来表达信任关系的策略，信任云模型获取的信任信息包含了更多的语意内容，增加了信任相关决策的依据。下一步的研究工作是提出相应的信任决策多元化的架构，使信任的不确定性属性成为影响决策的因素之一，并进一步改进云模型算法，减少获取信任信息的误差。