第一章 绪论
1.1 研究背景与意义
本小节主要介绍了课题研究的背景与意义，本文的研究课题是 WSNs 中的安全 MAX/MIN查询技术，该研究课题基于三部分组成：无线传感器网络、MAX/MIN 查询技术和数据安全问题。下面我们会分别从这三部分出发，介绍本课题研究的背景以及意义。
无线传感器网络（Wireless Sensor Networks, WSNs）由若干感知设备通过无线通信协议构成，通常分布在无人值守的地域之中，用以探测所部属环境的物理信息。分布的感知设备通常具有一定的计算能力，能通过无线连接方式与周围邻近的感知设备进行通信，在军事安全、环境监测，以及医疗卫生等方面具有广阔的应用前景。无线传感器网络按照网络结构划分，可以分为以下两种：
(1) 传统多跳无线传感器网络：传统多跳无线传感器网络简称为多跳 WSNs，如图 1.1所示，其网络结构比较简单，由部署在特定区域的大量传感器节点组成。由于成本限制，多跳 WSNs 中的感知节点在计算、存储、能量等资源上受限，仅与邻近的节点通信，从而形成多跳式通信结构。此外，对于基站的查询请求，多跳 WSNs 往往是由网络内各感知节点通过查询协议协作完成。
(2) 两层无线传感器网络：两层无线传感器网络(Two-tiered Wireless Sensor Networks)简称为两层 WSNs，如图 1.2 所示，两层 WSNs 在多跳 WSNs 的基础上引入了存储节点(Storage Node)作为网络的中间层。不同于感知节点，存储节点资源丰富，负责收集、存储其所在区域内的感知节点采集的数据，并且对于基站的查询指令，也由存储节点构成的上层网络协作完成。在两层 WSNs 中，由感知节点构成的下层网络，由于资源短缺，仅负责采集数据并将感知数据传送至存储节点存储。
............................
1.2 WSNs 数据查询概述
1.2.1 网络结构
多跳 WSNs 网络结构简单，如图 1.1 所示，整个网络由基站(或者 SINK 节点)和大量感知节点构成，感知节点之间形成多跳式网络通信结构，实现对网络部署区域内数据的采集和监控。为了控制网络部署成本，感知节点往往是计算、存储、能量等资源受限的设备，不仅需要负责采集感知数据，还需要参与基站发起的查询处理，因此节约感知节点的能量消耗尤为重要。
两层 WSNs 结构如图 1.2 所示，是通过在多跳 WSNs 的基础上引入了资源丰富的存储节点作为中间层，将网络划分成两层结构。两层 WSNs由多个连续不重合的单元组成，每个单元包括一个存储节点和若干感知节点，其中感知节点负责采集数据，并发送至存储节点存储，而存储节点则负责存储感知数据，并且执行来自基站的查询请求。因此，两层 WSNs 中的两层结构分工明确，其中，单元内的感知节点与存储节点之间构成以数据采集和传输为目标的下层网络结构，而存储节点与基站之间则形成以数据存储和查询处理为目标的上层网络结构。
上述两种网络结构中的感知节点均为资源受限的设备，且都负责数据的采集，节点之间的数据通信协议（如 TAG[45]、LEACH[46]等）有通用性。但两者的区别也较明显，在多跳 WSNs中，感知节点除了负责采集数据之外，还负责一定时间周期的数据存储，同时还负责响应和执行基站的查询指令；而两层 WSNs 中由于资源丰富的存储节点的加入，感知节点仅负责数据采集并发送至存储节点进行存储，不再参与查询处理，而是交由存储节点完成。这就使得在同等条件下两层 WSNs 的网络生命周期比多跳 WSNs 更长，稳定性也更高。但由于存储节点的制备成本较高，导致同等条件下两层 WSNs 的部署成本高于两层 WSNs。
..........................
第二章 相关工作
2.1 多跳 WSNs 中的 MAX/MIN 查询处理方法
文献[35-40]基于多跳 WSNs 网络结构，提出了具有隐私保护的安全 MAX/MIN 查询方法。文献[35]提出了一种支持 MAX/MIN 查询的传感器网络隐私保护数据聚集方法 CDAM，利用Domingo-Ferrer 隐私同态加密机制[50]实现数据查询过程中的隐私保护。虽然该方法具有隐私安全，但却不能防范共谋攻击，并且当感知数据的数值较大时会带来巨大的通信开销。文献[36]提出了一种非加密形式的安全 MAX/MIN 查询处理方法 KIPDA，该方法基于信息扰乱技术，通过在感知数据中混入扰乱数据实现敏感数据的隐私保护。该方法的网络通信代价主要取决于用于隐匿查询结果的数据集合的规模，当规模较大时，网络通信代价较高，但安全性增强，反之亦然。文献[37]提出了一种具有隐私保护和完整性验证功能的数据融合方法 RCDA。由于该方法中的基站能够获取任意感知节点的数据值，因此该方法也支持 MAX/MIN 查询处理。RCDA 具有良好的隐私保护和查询结果完整性验证能力，但该方法的编码方式使得各节点的编码长度与感知节点的数量成正比，导致较大的数据冗余。此外，
RCDA 使用的加密方法和签名方法的复杂度较高，对于传感器设备的硬件要求相对较高，从而导致网络部署成本的增加。文献[38]提出了具有抗共谋攻击能力的隐私保护 MAX/MIN 查询处理方法 PMMA。该方法利用前缀成员验证机制(Prefix Membership Verification，PMV)[51,52]实现无需明文参与的数据比较，并采用 HMAC[53]和对称加密方法实现隐私保护 MAX/MIN 查询。但是 PMV 机制和 HMAC 的使用会导致整个网络的通信代价较高，同时，共享 HMAC 密钥也会导致网络中任一节点能够利用字典攻击获得其孩子节点上传的 HMAC 编码对应的明文感知数据。文献[39]在 CDAM 基础上提出了一种基于概率加密机制的隐私保护 MAX/MIN 查询方法 SDAM，该方法利用 GM 概率加密协议[54]的异或同态特性代替 CDAM 中的 Domingo-Ferrer 加法同态特性，使得查询处理过程更加高效和安全。SDAM 解决了 CDAM 中存在感知节点被俘获情况下的隐私保护失效的问题，能够实现隐私保护 MAX/MIN 查询；但该方法与 CDAM 类似，当感知节点采集的数据值较大时会导致巨大的通信代价。文献[40]在 RCDA 的基础上通过引入同态加密方法，提出了一种基于状态公钥加密方案的数据融合方法 SASPKC，与 RCDA 类似，
同样具有良好的隐私保护和查询结果完整性验证能力。SASPKC 中使用的同态加密方法使其具有比 RCDA 更低的网络通信代价，但由于 SASPKC 采用与 RCDA 中同样的编码方法，导致其也存在类似的数据冗余问题。
..........................
2.2 两层 WSNs 中的 MAX/MIN 查询处理方法
文献[41-44]基于两层 WSNs 网络结构，提出了具有隐私保护的 MAX/MIN 查询方法。文献[41]与 PMMA 类似，同样利用 PMV 机制、HMAC 和对称加密技术提出了面向两层 WSNs的隐私保护 MAX/MIN 查询方法 PMQP。由于 PMQP 的基本原理与 PMMA 相似，因此 PMMA所存在的前缀编码导致通信代价较高以及无法防范共谋攻击的问题在 PMQP 中同样存在。为了降低网络通信代价，文献[42]提出了一种基于 0-1 编码[55]的两层 WSNs 的隐私保护MAX/MIN 查询处理方法 EMQP。该方法利用 0-1 编码机制的数值比较特性实现无需明文参与的数值比较，并采用 HMAC 和对称加密方法，在确保感知节点采集数据与存储节点之间的隐私隔离的同时，实现 MAX/MIN 查询处理。EMQP 在网络通信代价消耗上显著优于 PMQP，但由于 EMQP 采用与 PMQP 相同的所有感知节点共享 HMAC 密钥的策略，这也使得 EMQP同样无法解决当存储节点与感知节点“共谋”时的隐私保护问题。文献[43]在 EMQP 的基础上，提出了一种基于安全比较码随机选择的两层 WSNs 隐私保护 MAX/MIN 查询处理方法 RSCS-PMQ，这里的安全比较码即为经过 HMAC 和数值化处理的 0-1 编码。与 EMQP 相比，该方法就是通过减少感知节点上传的编码数量，达到降低网络通信代价的目的。RSCS-PMQ 中感知节点需上传的编码数量比 EMQP 可以平均减少约一半，但 RSCS-PMQ 在存储节点与基站的通信代价上略高于 EMQP。文献[44]基于随机数和数值变换相结合的密码理论，提出了一种面向两层 WSNs 的随机调制隐私保护查询协议 ERM-MQP。该方法采用文献[56]所述的基于身份加密的秘钥分配方案为查询建立两条秘密通道：一条为感知节点与基站之间的会话秘钥，对存储节点保密；另一条为感知节点与存储节点之间的会话秘钥。此外，ERM-MQP 还引入并证明了一种不泄露原始传感数据的隐私保护数值比较方法来保证查询过程中的数据隐私。虽然相比 EMQP 而言，ERM-MQP 能够减少网络中的通信代价，但 ERM-MQP 的安全性能不高，不能防范存储节点与任一感知节点共谋，并且采用的密文数值比较方法较容易被破解，导致其对于感知节点采集数据的隐私保护能力较弱。
................................
第三章 面向 WSNs 租用服务的隐私保护 MAX/MIN 查询 .......................... 13
3.1 模型与问题描述 ............................ 133.1.1 网络模型 ......................... 13
3.1.2 威胁模型 .......................... 14
第四章 两层传感网中的安全 MAX/MIN 查询处理方法 ................... 31
4.1 模型与问题描述 ................... 31
4.1.1 网络模型 ............................. 31
4.1.2 威胁模型 ........................ 31
第五章 WSNs 数据查询仿真系统的设计与实现 ..................... 45
5.1 开发平台以及主要功能 ........................ 45
5.2 系统中的关键技术 ..................... 46
第五章 WSNs 数据查询仿真系统的设计与实现
5.1 开发平台以及主要功能
WSNs 数据查询仿真系统的开发平台是 Eclipse，采用 Java + SWT 进行开发设计。众所周知，Java 语言最大的特点是可以跨平台运行，因此 WSNs 数据查询仿真系统可以在不同平台下运行。此外，SWT(Standard Widget Toolkit)，是一套由 IBM(International Business Machines Corporation)开发的独立于操作系统的开源标准窗口部件库。使用 SWT 设计图形界面设计有许多好处，SWT 不仅提供了丰富的组件，使得用户操作界面能够更加美观和友好，而且在系统的响应速度和内存消耗方面，SWT 也有良好的表现。
现有的 WSNs 数据查询方法，都将网络通信代价作为评估方法效能的一项重要指标。大部分的研究工作都会对比前人相似的研究成果，找出自身的优势与不足。因此，如何快捷高效的实现不同方法之间通信代价的对比，是现有 WSNs 数据查询研究迫切需要解决的问题。如果想要通过搭建实际的感知节点构成所需的 WSNs 进行对比试验，不仅部署成本昂贵，而且工作量较大，耗时较久。但是如果可以通过程序设计模拟出数据查询时感知节点的数据传输过程，从而模拟实现 WSNs 数据查询的仿真环境，不仅可以对指定的研究方法进行性能评估，并且相对于实际搭建网络而言，使用软件仿真数据查询实验代价更小，效率更高。本章设计的 WSNs 数据查询仿真系统可同时实现对两层 WSNs 和传统 WSNs 在数据查询时的数据采集和上传的模拟，同时该数据查询仿真系统能够计算出各查询方法的数据传输通信代价，并提供不同研究方法之间的通信代价对比试验。为了将实验对比结果更清晰的展现给用户，WSNs 数据查询仿真系统可以绘制对比结果的折线图，并生成相应的 matlab 绘图文件，方便用户日后使用。
............................
第六章 总结与展望
6.1 工作总结
WSNs 数据查询已经被应用到许多领域，无论是传统的多跳 WSNs 还是引入了中间节点(存储节点)的两层 WSNs，都已经得到了广泛的关注。传统多跳 WSNs 由于网络结构简单，仅由资源短缺的感知节点构成，因此感知节点除了需要传输数据外，还可能需要负责数据计算的工作，因此网络生命周期短暂。为了延长传统多跳 WSNs 的生命周期，降低网络通信代价和计算能耗是安全数据查询的重点考察问题。在传统多跳 WSNs 中，任何感知节点都有被攻克的可能性，然而通过引入存储节点作为中间层的两层 WSNs 相对于传统多跳 WSNs 来说安全问题更加突出。因为存储节点在两层 WSNs 中的特殊位置与作用，使得存储节点成为两层WSNs 中的首要攻击目标。本文分别基于传统多跳 WSNs 和两层 WSNs，提出了适合于不同网络结构和应用背景的安全 MAX/MIN 查询方法：PMQ 和 OSMQ。
基于传统多跳 WSNs 提出的安全 MAX/MIN 查询方法 PMQ 应用于网络租用环境。由于该特殊的应用背景，导致 PMQ 无需关心查询结果的隐私安全，但是租用者无法获得查询结果以外的任何信息。为了实现此安全目标，首先提出了一种基于 TAG 协议的安全多方编码模型TSME，该模型利用按位异或的思想，保证了参与查询的各个节点仅能获得自身采集的数据，无法窥探任何其他节点的数据，即便存在多个感知节点共谋的情况，该模型依然对于其余未共谋的节点来说是安全的。由于此安全模型的提出，无论哪一个或多个感知节点被俘获，攻击者都不能利用被俘获的节点获取其他未被俘获节点的感知数据。PMQ 将感知数据按位划分，每轮交互只处理一位，因此 PMQ 的每一轮都利用了 TSME 实现了数据隐私保护。此外，由于 TSME 采用按位异或，不仅降低了感知节点的计算能耗，而且能够保证感知节点数据传输时的能量均衡，有效延长了网络的生命周期。
参考文献（略）