面向高动态车载网的可验证联邦学习方案

A verifiable federated learning scheme for highly dynamic vehicular ad-hoc networks

摘要

随着智能交通系统的快速发展，联邦学习（FL）技术在车载自组网（VANETs）中的应用已取得一定发展，成为提升数据共享效率和隐私保护能力的重要手段.然而，现有方案面临着高动态网络环境、车辆快速移动以及频繁变化带来的隐私保护、恶意车辆管理及验证机制等方面的挑战.为此，本文提出了一种适用于高效的VANETs可验证FL方案.首先，结合改进的Paillier同态加密算法，在增强隐私保护的同时降低了计算开销，以适应VANETs中频繁变化的数据处理需求；其次，针对恶意车辆的动态加入与退出，提出了一种基于群组密钥和余弦相似度的恶意车辆撤销与追踪机制，提升了系统的安全性；最后，采用基于椭圆曲线的无证书签名技术，构建了轻量级的聚合签名验证机制，在有效避免传统证书管理高开销的同时降低了车辆的存储与通信负担，提高了消息认证效率.同时，优化通信环境与车辆动态信息处理机制，提升方案对高动态车载网环境的适配性.实验结果表明，该方案在隐私保护与计算效率方面具有显著优势，为车载网络环境下的联邦学习提供了切实可行的解决方案.

Abstract

With the rapid development of intelligent transportation systems， federated learning （FL） has made remarkable progress in vehicular ad-hoc networks （VANETs）， establishing itself as a crucial approach to improve data sharing efficiency and privacy protection. However， the existing solutions face significant challenges arising from the dynamic nature of the networks， the rapid mobility of vehicles， and frequent environmental changes， particularly in terms of privacy preservation， malicious vehicle management， verification mechanisms， and so on. To address these challenges， a novel and verifiable FL scheme for VANETs is proposed in this paper. First， an enhanced Paillier homomorphic encryption algorithm is integrated into the framework， which not only strengthens privacy protection but also reduces computational overhead， thus meeting the frequent data processing requirements of VANETs. Second， a malicious vehicle revocation and tracking mechanism， based on group keys and the cosine similarity， is introduced to manage the dynamic joining and leaving of malicious vehicles， thereby enhancing the overall security of the system. Finally， a lightweight aggregate signature verification mechanism is implemented using elliptic curve-based certificate-free signatures， effectively mitigating the high overhead typically associated with traditional certificate management while reducing the storage and communication burdens on vehicles， thereby improving the efficiency of message authentication. Meanwhile， the communication environment and vehicle dynamic information processing mechanism are optimized to enhance the scheme’s adaptability to the highly dynamic VANET environment. Experimental results demonstrate that the proposed scheme significantly outperforms the existing methods in terms of both privacy protection and computational efficiency， offering a practical solution for the deployment of FL in vehicular network environments.

Graphical abstract

关键词

联邦学习 / 同态加密 / 车载网 / 群组密钥 / 无证书签名

Key words

federated learning / homomorphic encryption / vehicular networks / group key / certificateless signatures

车载网（vehicular ad-hoc networks， VANETs）通过构建动态自组织通信网络，使车辆在行驶过程中能够实时采集、共享和处理多维度的交通与环境数据，从而显著提升交通管理效率和车辆控制的智能化水平^［1-2］.然而，大量车辆数据的采集可能涉及轨迹、驾驶习惯等敏感信息，因而带来了隐私风险.为应对这一挑战，联邦学习（federated learning， FL）作为一种前沿解决方案应运而生.FL通过车辆与路边单元（roadsides unit， RSU）交换中间模型梯度来训练全局模型，同时有效地保护本地数据的隐私^［3-4］.由于其数据隐私保护优势，FL已在多种VANETs场景中得到应用，例如目标检测^［5］、轨迹预测^［6-7］以及交通标志识别^［8］等领域.

尽管VANETs在FL中具有广泛应用，但仍面临安全性和隐私保护的挑战，尤其在数据传输过程中，敏感信息可能因遭受攻击而泄露^［9］.为解决FL在VANETs中面临的隐私保护效率与性能问题，研究人员引入了多种隐私保护技术，以防止未经授权的访问和数据泄露.其中差分隐私、安全多方计算和同态加密技术是最为常见的解决方案.差分隐私通过在数据或模型中引入随机噪声保护隐私，但不可避免地降低模型精度^［10］.安全多方计算尽管能够有效保护隐私，但其设计较为复杂，通信开销较高^［11-12］.同态加密技术则允许在数据不被解密的情况下直接进行计算，不仅能够有效保护用户数据的隐私，还减少了频繁的加解密操作和交互需求，因此更加适合需要高频交互的车载网环境.例如，Cai等^［13］提出了一种基于多密钥同态加密和可信执行环境的FL方案，保护用户隐私的同时优化了操作效率.Zhang等^［14］提出了一种基于同态加密与分布式随机梯度下降相结合的隐私保护联邦学习方案，通过动态加密签名和轻量级验证机制，提升了边缘计算环境下的计算效率和安全.Liu等^［15］提出了一种基于布谷鸟过滤器和Paillier同态加密的假名认证方案，该方案在减少对可信第三方依赖的同时，提升了认证效率与车辆身份隐私保护能力.

然而，FL中的动态网络环境和大量数据传输对安全验证提出了更高要求.为应对这一挑战，研究者提出通过群组密钥将用户划分为不同的群组，从而优化数据管理和隐私保护.群组密钥确保群内通信安全，动态更新机制则随着群组成员变动及时更新密钥，防止未授权的数据访问.Zhou等^［16］提出了一种基于群组划分的FL方案，该方案通过将用户划分为不同的群组，并利用掩码对群组内的梯度进行保护隐私，有效提高了隐私安全性，增强了FL的整体效率.Wang等^［17］提出的方案通过将车辆划分为群组，使用匿名无证书聚合签名加密方案，有效地聚合来自群组内车辆的加密交通信息，提升了隐私保护和通信效率.

此外，FL的动态网络环境中恶意节点攻击可能导致敏感信息泄露或网络功能中断，这使得轻量级、高效且安全的消息验证机制显得尤为重要.基于无证书密码学的聚合签名方案，通过聚合签名提供高效且灵活的验证机制，已成为适应FL中动态环境和高频通信需求的重要解决方案.Liu等^［18］提出了一种基于无证书代理重加密的隐私保护FL方案，结合灵活的退出机制，在保障数据隐私与模型安全的同时，实现了高效验证并提升系统功能.Iqbal等^［19］提出了一种基于超椭圆曲线的无证书聚合签名方案，参与车辆能够通过开放的无线信道将其身份与受信任的授权机构共享，而不会向未经授权的参与者暴露其身份，减少了计算和通信开销.Li等^［20］提出了一种基于无证书认证的可信FL框架，通过双向身份验证和假名生成策略，在减少证书管理开销的同时，防止数据投毒攻击，提升了FL的安全性与隐私保护能力.然而，现有的无证书聚合签名方案普遍缺乏有效的撤销机制.在VANETs与FL的结合应用中，恶意节点可能威胁系统的安全性和隐私性，这使得支持身份撤销的机制尤为重要.因此，部分研究致力于设计具备撤销功能的无证书聚合签名方案，以应对复杂的安全需求和动态场景的挑战.Wang等^［21］针对VANETs中高强度数据传输的隐私与安全问题，利用椭圆曲线密码学和布谷鸟过滤器技术，实现高效撤销机制，降低通信与存储开销，提升了验证效率与安全.Guo等^［22］结合指纹计数布谷鸟过滤器和信任评估机制，实现了动态撤销恶意车辆功能，显著提升了VANETs的通信安全与计算效率.Yuan等^［23］通过假名参与、验证以及消除通信中恶意车辆，实现了VANETs中FL的隐私保护和模型完整性验证，降低了验证的开销，提升了系统性能.

综上所述，现有FL方案在VANETs中的应用仍面临以下问题：1）如何在保证隐私的同时提升模型训练的效率与计算性能；2）缺乏针对恶意车辆的有效追踪机制，导致安全威胁仍然存在潜在风险；3）传统的消息验证机制依赖复杂的证书管理，增加了通信与存储开销，难以满足高动态VANETs场景下对验证效率的需求.针对上述问题，本文主要贡献如下：

1）隐私保护与性能提升：通过改进Paillier同态加密算法，结合车载网络中动态通信环境的特性，设计了一种适用于VANETs的FL方案，在保护数据隐私的同时，提高了计算效率，优化了计算与通信性能.

2） 恶意车辆管理与追踪：提出一种基于群组密钥和余弦相似度的恶意车辆撤销与追踪机制，结合车辆动态信息的实时更新，提升了恶意节点检测的准确性，增强了对恶意节点的识别和处理能力.

3） 轻量级的聚合签名验证机制：设计了一种基于椭圆曲线无证书签名的轻量级验证机制，实现了模型聚合结果的快速验证，降低了车辆的存储与查询负担，并提升了消息认证效率.

1 预备知识

1.1 改进的Paillier同态加密算法

Paillier 同态加密基于大整数分解难题，支持在密文下执行加法运算^［24］.原始算法在加密阶段需要两次大规模指数模运算，计算开销随密钥长度呈指数级增长.为降低计算成本，本文采用一种轻量级改进版本，加密阶段只需乘法和加法运算，以减少加密过程中重复的指数模运算.该设计可将加密复杂度由O(k^{\mathrm{2}})降为O(k)，其中k为密钥长度.具体计算过程如下.

1）初始化：选择大素数p和q，满足\mathrm{g}\mathrm{c}\mathrm{d}[pq,(p-\mathrm{1})(q-\mathrm{1})]=\mathrm{1}.因此可得N=pq，\lambda =\mathrm{l}\mathrm{c}\mathrm{m}(p-\mathrm{1},q-\mathrm{1}).随机选择l_i\in Z_{N^{\mathrm{2}}}^{\mathrm{*}}，计算h_i=l_i^N\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}}和v={\lambda }^{-\mathrm{1}}\mathrm{m}\mathrm{o}\mathrm{d}N.生成公钥\mathrm{P}\mathrm{K}=N和私钥\mathrm{S}\mathrm{K}=(\lambda ,v).

2）加密\mathrm{E}\mathrm{n}\mathrm{c}(\phi ,\mathrm{p}\mathrm{k})\to c：对于明文\phi \in Z_N，随机选取h_i，计算密文c_i=(\mathrm{1}+N\phi )h_i.

3）解密\mathrm{D}\mathrm{e}\mathrm{c}(c,\mathrm{s}\mathrm{k})\to \phi：计算\phi =vL(c_i^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}})\mathrm{m}\mathrm{o}\mathrm{d}N解密明文.

改进算法仍保持 Paillier 的加法同态性.对于明文x和y，有

E(x)=(\mathrm{1}+Nx)\cdot l_{\mathrm{1}}^N\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}},E(y)=(\mathrm{1}+Ny)\cdot l_{\mathrm{2}}^N\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}}

使得E(x)\otimes E(y)\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}}=

\begin{array}{l}[(\mathrm{1}+Nx)\cdot l_{\mathrm{1}}^N]\otimes [(\mathrm{1}+Ny)\cdot l_{\mathrm{2}}^N]\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}}=\\ [(\mathrm{1}+N(x+y)]\cdot (l_{\mathrm{1}}{l}_{\mathrm{2}}{)}^N\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}}\end{array}

则E(x)\otimes E(y)=E(x+y)成立.

1.2 基于余弦相似度的恶意车辆检测方法

在VANETs的FL应用中，检测恶意车辆是确保系统安全和高效的重要步骤.为此，本文采用了余弦相似度来检测车辆上传的梯度是否存在冲突，从而判断是否存在恶意车辆.余弦相似度用于衡量两个梯度向量之间的夹角，公式如下：

（1）

式中：{\mathit{g}}_i是车辆V_i上传的梯度向量；{\mathit{g}}^t是第t轮训练的全局梯度向量.通过计算梯度向量之间的余弦相似度，可以判断当前梯度与全局梯度之间的相似度.若V_i的梯度向量与全局梯度向量之间的余弦相似度小于\epsilon，则上传的梯度存在异常，判定为恶意车辆.此方法基于梯度方向一致性进行检测，其理论与实验有效性已在文献［25］中得到充分验证，能够有效检测上传异常梯度的恶意车辆，从而提高车载网联邦学习过程中的安全性和鲁棒性.

1.3 动态通信环境

1.3.1 动态通信环境建模

1）干扰参数定义：设车辆集合为V=\{V_{\mathrm{1}},V_{\mathrm{2}},\cdots ,V_m\}，车辆V_i的通信频率为f_i、信号强度为S_i，则V_i对周围车辆V_j的干扰系数为{\gamma }_{ij}=\frac{S_i|f_i-f_j{|}^{-\mathrm{1}}}{d_{ij}^{\mathrm{2}}}，其中d_{ij}为V_i与V_j的实时距离，车辆的总干扰{\Gamma }_j={\sum }_{i\ne j}{\gamma }_{ij}.

2）抗干扰机制：RSU实时采集辖区内车辆的f_i、S_i和d_{ij}，通过{\Gamma }_j动态调整V_j的通信频率和发射功率，当{\Gamma }_j>{\Gamma }_{\mathrm{t}\mathrm{h}}时，提升S_j以抵消干扰，{\Gamma }_{\mathrm{t}\mathrm{h}}为预设干扰阈值，确保梯度数据传输准确性.

1.3.2 车辆动态信息更新

1）时变距离：设车辆V_i的初始位置为\left(x_{i\mathrm{0}},y_{i\mathrm{0}}\right)、实时速度为v_i，方向角为{\theta }_i，则t时刻位置为x_i(t)=x_{i\mathrm{0}}+v_{i}t\mathrm{c}\mathrm{o}\mathrm{s}{\theta }_i，y_i(t)=y_{i\mathrm{0}}+v_{i}t\mathrm{s}\mathrm{i}\mathrm{n}{\theta }_i，与RSU的时变距离为d_i(t)=\sqrt[]{{\left[x_i(t)-x_{\mathrm{R}\mathrm{S}\mathrm{U}}\right]}^{\mathrm{2}}+{\left[y_i(t)-y_{RSU}\right]}^{\mathrm{2}}}.

2）时间步长设置：根据车载网通信延迟，通常为10~50 ms，设动态信息更新时间步长\mathrm{\Delta }t=20 ms.

3）候选列表更新：RSU每\mathrm{\Delta }t接收车辆上报的(x_i(t),y_i(t),v_i)，剔除d_i(t)>D_{\mathrm{R}\mathrm{S}\mathrm{U}}（D_{\mathrm{R}\mathrm{S}\mathrm{U}}为RSU覆盖半径）或通信中断的车辆，补充新进入d_i(t)\le D_{\mathrm{R}\mathrm{S}\mathrm{U}}的车辆，生成动态候选列表并广播.

2 系统模型

系统模型如图1所示，由以下4个实体组成.

1）可信数据中心（trusted data center， TDC）：TDC是一个可信的中央数据中心，存储包含恶意数据车辆的撤销列表和车辆真实身份的成员列表（member list， ML）.

2）半可信管理中心（semi-trusted authority， STA）：STA将整个管辖区域分为多个子区域，每个子区域包含多个RSU.同一子区域内的车辆通过FL共同优化区域模型，而无须共享原始数据.STA主要负责系统初始化、车辆部分密钥生成以及恶意车辆的跟踪和撤销，同时维护ML.

3）RSU：RSU是诚实但好奇的，通过有线方式与STA通信，并通过无线方式与车辆通信.主要负责消息传输、聚合签名以及群密钥的生成和更新，同时计算车辆间的干扰系数，根据该干扰系数动态调整车辆的通信参数，最后在其覆盖范围内广播最新全局模型.

4）车辆：每辆车都配备有防篡改设备（tamper proof device， TPD）.TPD用于存储敏感信息，攻击者几乎不可能获取存储在TPD中的数据^［26］.车辆配备GPS模块，每\mathrm{\Delta }t=20 ms向RSU上报实时位置(x_i(t),y_i(t))、速度v_i及通信状态，车辆之间、车辆与RSU之间通信均通过无线方式进行，车辆接收RSU广播的动态候选列表.

2.1 系统初始化

1） STA选择素数阶p的有限域，椭圆曲线E:y^{\mathrm{2}}=x^{\mathrm{3}}+ax+b\mathrm{m}\mathrm{o}\mathrm{d}p，a,b\in F_p.

2） STA选择素数阶q且P为生成元的循环群G，计算N=pq，按照1.1节初始化算法生成公钥\mathrm{P}\mathrm{K}=N和私钥\mathrm{S}\mathrm{K}=(\lambda ,v).

3） STA选择哈希函数H_{\mathrm{1}}:{\left\{\mathrm{0,1}\right\}}^{\mathrm{*}}\timesG\times G\toZ_q^{\mathrm{*}},

H_{\mathrm{2}}:Z_{N^{\mathrm{2}}}^{\mathrm{*}}\times {\left\{\mathrm{0,1}\right\}}^{\mathrm{*}}\times G\times G\to Z_q^{\mathrm{*}},H_{\mathrm{3}}:Z_q^{\mathrm{*}}\to Z_q^{\mathrm{*}}，H_{\mathrm{4}}:Z_q^{\mathrm{*}}\times Z_q^{\mathrm{*}}\to {\left\{\mathrm{0,1}\right\}}^{\mathrm{*}}，H_{\mathrm{5}}:G\to {\left\{\mathrm{0,1}\right\}}^{\mathrm{*}}，并构造一个函数f\left(x,y\right)=a_{\mathrm{0}}x+b_{\mathrm{0}}y+c_{\mathrm{0}}，a_{\mathrm{0}},b_{\mathrm{0}},c_{\mathrm{0}}\in Z_q^{\mathrm{*}}.STA随机选择主密钥s\in Z_q^{\mathrm{*}}，并设置公钥\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}=sP.

4）公布系统参数\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}=\left\{G,P,\mathrm{P}{\mathrm{K}}_{STA},\mathrm{p}\mathrm{k},H_{\mathrm{1}},\right.

\left.H_{\mathrm{2}},H_{\mathrm{3}},H_{\mathrm{4}},H_{\mathrm{5}},f\left(x,y\right)\right\}.

5） STA维护存储部分私钥和车辆对应公钥的列表ML，并广播系统参数给车辆.

2.2 RSU密钥及群密钥生成

1） RSU随机选择\mathrm{S}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}\in Z_q^{\mathrm{*}}作为私钥，并计算\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}=\mathrm{S}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}P作为公钥.

2） RSU随机选取F_{\mathrm{1}},B_{\mathrm{1}}\in Z_q^{\mathrm{*}}，计算长度为n的反向哈希链\{B_{\mathrm{2}}=H_{\mathrm{3}}(B_{\mathrm{1}})，B_{\mathrm{3}}=H_{\mathrm{3}}(B_{\mathrm{2}})，\cdots，B_j=H_{\mathrm{3}}(B_{j-\mathrm{1}})，\cdots，B_n=H_{\mathrm{3}}(B_{n-\mathrm{1}})\}和长度为n的正向哈希链\{F_{\mathrm{2}}=H_{\mathrm{3}}(F_{\mathrm{1}})，F_{\mathrm{3}}=H_{\mathrm{3}}(F_{\mathrm{2}})，\cdots，F_j=H_{\mathrm{3}}(F_{j-\mathrm{1}})，\cdots，F_n=H_{\mathrm{3}}(F_{n-\mathrm{1}})\}，其中(j\in [\mathrm{1},n]).

3） RSU计算群密钥\mathrm{G}{\mathrm{K}}_j=H_{\mathrm{4}}(F_j,B_{n-j+\mathrm{1}}),j\in [\mathrm{1},n]，并广播(\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}},F_j,B_{n-j+\mathrm{1}}).

2.3 车辆伪身份及密钥生成

2.3.1 伪身份生成

车辆V_i,i\in [\mathrm{1},m]随机选择u_i\in Z_q^{\mathrm{*}}作为其秘密值，并计算U_i=u_{i}P.随后计算E=B_{n-j+\mathrm{1}}P，并生成伪身份\mathrm{P}\mathrm{I}{\mathrm{D}}_i=\mathrm{I}{\mathrm{D}}_i\oplus H_{\mathrm{5}}\left(u_i\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}||u_{i}E||u_i\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}\right).

2.3.2 部分密钥生成

当车辆V_i从第y-\mathrm{1}个区域驶入第y个区域时，STA检查V_i的部分私钥{\lambda }_i^{y-\mathrm{1}}是否在相应区域的撤销列表中，以验证V_i是否为非法车辆.如果不是非法车辆，STA为其生成新的部分密钥.STA选择r_i\in Z_q^{\mathrm{*}}，计算R_i=r_{i}P，h_{\mathrm{1}i}=H_{\mathrm{1}}\left(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}\right)及d_i=r_i+s{h}_{\mathrm{1}i}，生成当前所处y区域部分私钥{\lambda }_i^y=\left(d_i,R_i\right).然后将{\lambda }_i^y通过RSU发给V_i，并更新ML.若V_i是非法车辆则不为其生成部分私钥，无法进行后续通信并有效防止其上传恶意数据.

2.3.3 车辆公私钥生成

车辆V_i首先计算h_{\mathrm{1}i}=H_{\mathrm{1}}\left(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}\right)，K_i=h_{\mathrm{1}i}{U}_i+R_i，计算私钥\mathrm{S}{\mathrm{K}}_i=d_i+h_{\mathrm{1}i}(u_i+B_{n-j+\mathrm{1}})及公钥\mathrm{P}{\mathrm{K}}_i=\left(U_i,K_i\right)，并广播\mathrm{P}{\mathrm{K}}_i.

2.4 本地掩码梯度及签名生成

2.4.1 掩码梯度生成

在第t轮训练中，V_i在接收到RSU广播的全局模型后，使用分布式随机梯度下降算法对其本地数据执行训练.V_i更新本地模型参数w_i^t=w_i^{t-\mathrm{1}}-\eta g_i，并计算梯度向量{\mathit{g}}_i={\nabla }_{w_t}L\left(w_t,d_i\right)，其中L是损失函数，D是本地数据集，d_i\in D，w_t为权重.随后，采用改进的Paillier算法对本地模型梯度加密，即V_i计算本地掩码模型梯度{\mathit{c}}_i=(\mathrm{1}+N{\mathit{g}}_i)h_i.

2.4.2 签名生成

车辆V_i对本地掩码模型梯度{\mathit{c}}_i进行签名，步骤如下：

1） 选择随机数a_i\in Z_q^{\mathrm{*}}，并计算A_i=a_{i}P.

2）计算h_{\mathrm{2}i}=H_{\mathrm{2}}\left(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i\right)和B_i=a_i+h_{\mathrm{2}i}\mathrm{S}{\mathrm{K}}_i.

掩码模型梯度签名为{\sigma }_i=\left(A_i,B_i\right)，车辆V_i向RSU发送通信请求，获取RSU计算的自身当前总干扰{\Gamma }_i，若{\Gamma }_i\le {\Gamma }_{\mathrm{t}\mathrm{h}}，直接发送\left\{\mathrm{P}\mathrm{I}{\mathrm{D}}_i,{\mathit{c}}_i,{\sigma }_i\right\}给RSU，若{\Gamma }_i>{\Gamma }_{\mathrm{t}\mathrm{h}}根据RSU反馈的f_i调整本地通信频率，避免因干扰导致梯度丢失或篡改.

2.5 签名验证

2.5.1 单个签名验证

RSU接收到\left\{\mathrm{P}\mathrm{I}{\mathrm{D}}_i,{\mathit{c}}_i,{\sigma }_i\right\}后，计算h_{\mathrm{1}i}=H_{\mathrm{1}}\left(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}\right)，h_{\mathrm{2}i}=H_{\mathrm{2}}\left({\mathit{c}}_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i\right)并验证式（2）是否成立，成立则接受签名，否则拒绝.

B_{i}P=A_i+h_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}\left(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E\right)\right]（2）

2.5.2 聚合签名验证

RSU接收到{\left\{\mathrm{P}\mathrm{I}{\mathrm{D}}_i,{\mathit{c}}_i,{\sigma }_i\right\}}_{i=\mathrm{1}}^m后，计算A={\displaystyle \sum _{i=\mathrm{1}}^m}{A}_i，B={\displaystyle \sum _{i=\mathrm{1}}^m}{B}_i，聚合签名\sigma =\left(A,B\right).然后将{\left\{\mathrm{P}\mathrm{I}{\mathrm{D}}_i,c_i\right\}}_{i=\mathrm{1}}^m和聚合签名\sigma发送给STA.

STA验证聚合签名

BP=A+{\displaystyle \sum _{i=\mathrm{1}}^m}{h}_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}(\mathrm{P}{\mathrm{K}}_{STA}+E)\right]（3）

是否成立，成立则接受聚合签名，否则拒绝.

2.6 聚合密文并更新全局模型梯度

STA计算聚合密文\mathit{c}={\prod }_{i=\mathrm{1}}^m{\mathit{c}}_i\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}}，并通过式（4）

vL({\mathit{c}}^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{N}^{\mathrm{2}})\mathrm{m}\mathrm{o}\mathrm{d}N（4）

解密出聚合梯度\mathit{g}={\displaystyle \sum _{i=\mathrm{1}}^m}{\mathit{g}}_i，其中L(x)={(x-\mathrm{1})}^{-\mathrm{1}}N.

STA对聚合的进行均值处理，以生成新的全局模型梯度：{\mathit{g}}^{t+\mathrm{1}}=\frac{\mathrm{1}}{m}\mathit{g}=\frac{\mathrm{1}}{m}{\sum }_{i=\mathrm{1}}^m{\mathit{g}}_i.

2.7 恶意车辆的追踪和撤销

在模型训练过程中，STA利用余弦相似度检测出存在恶意行为的车辆，然后将恶意车辆的(U_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i)发送给RSU.RSU在接收到消息后，计算L_i=U_i\mathrm{S}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}||U_i{B}_{n-j+\mathrm{1}}并将L_i发送给STA.STA计算\mathrm{I}{\mathrm{D}}_i=H_{\mathrm{5}}\left(L_i||s{U}_i\right)\oplus \mathrm{P}\mathrm{I}{\mathrm{D}}_i以获取恶意车辆真实身份.随后，STA将\mathrm{I}{\mathrm{D}}_i发送给TDC，TDC记录恶意车辆身份，并将相应公钥返回给STA.最后，STA在ML中找到对应的{\lambda }_i^y，将其加入撤销列表中，撤销该恶意车辆，从而确保模型训练的准确性.

2.8 群密钥动态更新

2.8.1 当车辆加入时密钥更新

当有新车辆加入或RSU定期更新群密钥时，RSU向STA发送请求更新请求，即当执行第j+\mathrm{1}次密钥更新时，STA执行以下步骤：

1） STA构造一个新的撤销多项式g(x)=(x-{\lambda }_{\mathrm{1}}^y)(x-{\lambda }_{\mathrm{2}}^y)\cdots (x-{\lambda }_t^y)，其中{\lambda }_{\mathrm{1}}^y,{\lambda }_{\mathrm{2}}^y,\cdots ,{\lambda }_t^y来自撤销列表.STA将g(x)发送给同一区域内所有的RSU.

2） RSU在收到STA的消息后，计算F_{j+\mathrm{1}}=H_{\mathrm{3}}(F_j)和\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}=H_{\mathrm{4}}(F_{j+\mathrm{1}},B_{n-j})，并构造新的多项式p(x,y)=g(x)H_{\mathrm{3}}(B_{n-j})+yf(x,y)，广播群密钥更新消息\left\{g(x)\right\}||\left\{p(x,y)\right\}.

3） 车辆接收到群密钥更新消息时，计算式（5）

B_{n-j+\mathrm{1}}=\frac{p({\lambda }_i^y,F_{j+\mathrm{1}})-F_{j+\mathrm{1}}f({\lambda }_i^y,F_{j+\mathrm{1}})}{g({\lambda }_i^y)}（5）

并验证B_{n-j+\mathrm{1}}=H_{\mathrm{3}}(B_{n-j})是否成立.若成立，计算并更新当前的群密钥\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}=H_{\mathrm{4}}(F_{j+\mathrm{1}},B_{n-j}).

2.8.2 当车辆离开时密钥更新

当有车辆退出或被撤销时，必须执行群密钥更新操作以确保前向保密性，假设车辆v^{\text{'}}从群组中移除时，群密钥\mathrm{G}{\mathrm{K}}_j必须被更新的\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}替代.STA生成新的撤销多项式g(x)，RSU生成新的多项式p(x,y).当前在群组中的车辆可计算出更新的群密钥\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}=H_{\mathrm{4}}(F_{j+\mathrm{1}},B_{n-j})，但v^{\text{'}}无法计算.

2.9 候选列表动态更新

1） 信息采集：RSU每\mathrm{\Delta }t接收辖区内的车辆的(x_i(t),y_i(t))，计算d_i(t)=\sqrt[]{{\left[x_i(t)-x_{\mathrm{R}\mathrm{S}\mathrm{U}}\right]}^{\mathrm{2}}+{\left[y_i(t)-y_{RSU}\right]}^{\mathrm{2}}}，筛选出d_i(t)\le D_{\mathrm{R}\mathrm{S}\mathrm{U}}且通信状态的车辆，形成临时列表L_{\mathrm{t}\mathrm{m}\mathrm{p}}.

2） 列表更新：RSU对比L_{\mathrm{t}\mathrm{m}\mathrm{p}}与上一轮候选列表L_{\mathrm{o}\mathrm{l}\mathrm{d}}，剔除L_{\mathrm{o}\mathrm{l}\mathrm{d}}\backslash L_{\mathrm{t}\mathrm{m}\mathrm{p}}（超出覆盖或通信中断）、添加L_{\mathrm{t}\mathrm{m}\mathrm{p}}\backslash L_{\mathrm{o}\mathrm{l}\mathrm{d}}（新加入车辆），生成新列表L_{\mathrm{n}\mathrm{e}\mathrm{w}}.

3）广播通知：RSU将L_{\mathrm{n}\mathrm{e}\mathrm{w}}广播至辖区内所有车辆，车辆仅当自身在L_{\mathrm{n}\mathrm{e}\mathrm{w}}中时，才执行下一轮梯度训练与上传.

2.10 正确性验证

1） 群密钥更新验证.

\begin{array}{l}{B}_{n-j+\mathrm{1}}=\frac{p({\lambda }_i^y,F_{j+\mathrm{1}})-F_{j+\mathrm{1}}f({\lambda }_i^y,F_{j+\mathrm{1}})}{g({\lambda }_i)}=\\ \frac{g({\lambda }_i^y)H_{\mathrm{3}}(B_{n-j})+F_{j+\mathrm{1}}f({\lambda }_i^y,F_{j+\mathrm{1}})-F_{j+\mathrm{1}}f({\lambda }_i^y,F_{j+\mathrm{1}})}{g({\lambda }_i^y)}=H_{\mathrm{3}}(B_{n-j})\end{array}(6)

2） 单个签名验证.

\begin{array}{l}{B}_{i}P=(a_i+h_{\mathrm{2}i}\mathrm{S}{\mathrm{K}}_i)P=\\ a_{i}P+h_{\mathrm{2}i}\left[d_i+h_{\mathrm{1}i}(u_i+B_{n-j+\mathrm{1}})\right]P=\\ A_i+h_{\mathrm{2}i}\left[r_i+s{h}_{\mathrm{1}i}+h_{\mathrm{1}i}(u_i+B_{n-j+\mathrm{1}})\right]P=\\ A_i+h_{\mathrm{2}i}(R_i+h_{\mathrm{1}i}\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+h_{\mathrm{1}i}{U}_i+h_{\mathrm{1}i}E)=\\ A_i+h_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right]\end{array}（7）

3） 聚合签名验证.

\begin{array}{l}BP={\displaystyle \sum _{i=\mathrm{1}}^n}{B}_{i}P={\displaystyle \sum _{i=\mathrm{1}}^n}(a_i+h_{\mathrm{2}i}\mathrm{S}{\mathrm{K}}_i)P=\\ {\displaystyle \sum _{i=\mathrm{1}}^n}\left\{a_{i}P+h_{\mathrm{2}i}\left[d_i+h_{\mathrm{1}i}(u_i+B_{n-j+\mathrm{1}})\right]P\right\}=\\ {\displaystyle \sum _{i=\mathrm{1}}^n}\left\{A_i+h_{\mathrm{2}i}\left[r_i+s{h}_{\mathrm{1}i}+h_{\mathrm{1}i}(u_i+B_{n-j+\mathrm{1}})\right]P\right\}=\\ A+{\displaystyle \sum _{i-\mathrm{1}}^n}{h}_{\mathrm{2}i}(R_i+h_{\mathrm{1}i}\mathrm{P}{\mathrm{K}}_{STA}+h_{\mathrm{1}i}{U}_i+h_{\mathrm{1}i}E)=\\ A+{\displaystyle \sum _{i-\mathrm{1}}^n}{h}_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right]\end{array}（8）

3 安全性分析

基于椭圆曲线离散对数问题（elliptic curve discrete logarithm problem， ECDLP）的假设，本节提供了在随机预言机模型（random oracle model， ROM）下所提出方案的安全性证明.

定理1 在基于ECDLP假设的ROM下，所提方案在自适应选择消息和身份攻击下对类型I对手A_{\mathrm{I}}满足存在不可伪造性.

证 假设概率多项式时间（probabilistic polynomial time， PPT）敌手A_{\mathrm{I}}，它能够构造一个满足所提方案的签名.挑战者S_{\mathrm{I}}能够利用A_{\mathrm{I}}解决ECDLP.给予S_{\mathrm{I}}一个随机的ECDLP实例：给定P和Q=sP，S_{\mathrm{I}}的目标是通过与A_{\mathrm{I}}的交互输出ECDLP的解s.为此，S_{\mathrm{I}}选择挑战匿名身份\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，并允许A_{\mathrm{I}}查询预言机.

1） 系统设置：S_{\mathrm{I}}通过运行设置算法初始化系统参数\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}=\left\{G,P,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},H_{\mathrm{1}},H_{\mathrm{2}},H_{\mathrm{3}},f\left(x,y\right)\right\}，并将\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}和\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}=sP=Q发送给A_{\mathrm{I}}.

2） H_{\mathrm{1}}查询：S_{\mathrm{I}}维护列表L_{H_{\mathrm{1}}}:(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},h_{\mathrm{1}i})，初始为空.当接收到关于(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}})的查询后，S_{\mathrm{I}}在列表L_{H_{\mathrm{1}}}中查找.如果存在，S_{\mathrm{I}}返回h_{\mathrm{1}i}给A_{\mathrm{I}}.否则，S_{\mathrm{I}}随机选择一个数h_{\mathrm{1}i}\in Z_q^{\mathrm{*}}，并设置h_{\mathrm{1}i}=H_{\mathrm{1}}(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}})，然后将h_{\mathrm{1}i}返回给A_{\mathrm{I}}.最后，S_{\mathrm{I}}将元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},h_{\mathrm{1}i})添加到列表L_{H_{\mathrm{1}}}中.

3） H_{\mathrm{2}}查询：S_{\mathrm{I}}维护列表L_{H_{\mathrm{2}}}:(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i,h_{\mathrm{2}i})，初始为空.当接收到关于\left(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i\right)的查询后，S_{\mathrm{I}}在列表L_{H_{\mathrm{2}}}中查找.如果存在，S_{\mathrm{I}}返回h_{\mathrm{2}i}给A_{\mathrm{I}}.否则，S_{\mathrm{I}}随机选择h_{\mathrm{2}i}\in Z_q^{\mathrm{*}}，并设置h_{\mathrm{2}i}=H_{\mathrm{2}}(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i)，将h_{\mathrm{2}i}返回给A_{\mathrm{I}}.最后，S_{\mathrm{I}}将元组(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i,h_{\mathrm{2}i})添加到列表L_{H_{\mathrm{2}}}中.

4） 部分私钥查询：S_{\mathrm{I}}维护列表L_{\mathrm{p}\mathrm{p}\mathrm{k}}，初始为空.当A_{\mathrm{I}}要查询\mathrm{P}\mathrm{I}{\mathrm{D}}_i的部分私钥时，如果\mathrm{P}\mathrm{I}{\mathrm{D}}_i=\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，S_{\mathrm{I}}终止模拟并返回“⊥”.如果\mathrm{P}\mathrm{I}{\mathrm{D}}_i\ne \mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，S_{\mathrm{I}}首先在L_{\mathrm{p}\mathrm{p}\mathrm{k}}中查找，如果\mathrm{P}\mathrm{I}{\mathrm{D}}_i存在，则返回元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,{\beta }_i)给A_{\mathrm{I}}.如果不存在，S_{\mathrm{I}}随机选择{\alpha }_i,{\beta }_i\in Z_p^{\mathrm{*}}，设置H_{\mathrm{1}}(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}})=h_{\mathrm{1}i}={\alpha }_i，d_i={\beta }_i.然后，计算R_{i}P-{\alpha }_i\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}并设置{\lambda }_i=({\beta }_i,R_i)为部分私钥.最后，S_{\mathrm{I}}将{\lambda }_{\mathrm{i}}发送给A_{\mathrm{I}}，并将元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},{\alpha }_i)添加到列表L_{\mathrm{p}\mathrm{p}\mathrm{k}}中.

5） 公钥查询：S_{\mathrm{I}}维护列表L_{\mathrm{p}\mathrm{k}}，初始为空.当A_{\mathrm{I}}要查询伪身份\mathrm{P}\mathrm{I}{\mathrm{D}}_i的公钥时，S_{\mathrm{I}}在列表L_{\mathrm{p}\mathrm{k}}中查找.如果存在，S_{\mathrm{I}}返回\mathrm{P}{\mathrm{K}}_i给A_{\mathrm{I}}.否则，S_{\mathrm{I}}从L_{H_{\mathrm{1}}}中恢复元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},h_{\mathrm{1}i})，并且从列表L_{\mathrm{p}\mathrm{p}\mathrm{k}}中恢复(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,{\beta }_i).然后，随机选择u_i\in Z_p^{\mathrm{*}}，计算U_i=u_{i}P,K_i=h_{\mathrm{1}i}{U}_i+R_i.最后，S_{\mathrm{I}}设置\mathrm{P}{\mathrm{K}}_i=(U_i,K_i)为公钥，将其发送给A_{\mathrm{I}}，同时将元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,u_i,\mathrm{P}{\mathrm{K}}_i)插入到L_{\mathrm{p}\mathrm{k}}中.

6） 私钥查询：若\mathrm{P}\mathrm{I}{\mathrm{D}}_i=\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，S_{\mathrm{I}}终止模拟并返回“⊥”.若\mathrm{P}\mathrm{I}{\mathrm{D}}_i\ne \mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，从列表L_{\mathrm{p}\mathrm{p}\mathrm{k}}和L_{\mathrm{p}\mathrm{k}}中恢复元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,{\beta }_i)和(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,u_i,\mathrm{P}{\mathrm{K}}_i)，并从L_{H_{\mathrm{1}}}中恢复(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},h_{\mathrm{1}i}).然后计算\mathrm{S}{\mathrm{K}}_i={\beta }_i+h_{\mathrm{1}i}(u_i+B_{n-j+\mathrm{1}})，并将\mathrm{S}{\mathrm{K}}_i发送给A_{\mathrm{I}}.

7） 公钥替换查询：当A_{\mathrm{I}}意图用\mathrm{P}{\mathrm{K}}_i^{\text{'}}=(U_i^{\text{'}},K_i^{\text{'}})替换\mathrm{P}\mathrm{I}{\mathrm{D}}_i的公钥\mathrm{P}{\mathrm{K}}_i=(U_i,K_i)时，S_{\mathrm{I}}在列表L_{\mathrm{p}\mathrm{k}}中找到元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,u_i,\mathrm{P}{\mathrm{K}}_i)，将\mathrm{P}{\mathrm{K}}_i更新为\mathrm{P}{\mathrm{K}}_i^{\text{'}}，并设置u_i=\perp.最后，新的元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\perp ,\mathrm{P}{\mathrm{K}}_i^{\text{'}})被添加到列表中，旧的元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,u_i,\mathrm{P}{\mathrm{K}}_i)从列表L_{\mathrm{p}\mathrm{k}}中删除.

8） 签名查询：当A_{\mathrm{I}}想查询(G_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i)上的签名时，S_{\mathrm{I}}检查是否\mathrm{P}\mathrm{I}{\mathrm{D}}_i等于\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}.如果\mathrm{P}\mathrm{I}{\mathrm{D}}_i\ne \mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，S_{\mathrm{I}}运行签名算法生成相应的签名{\sigma }_i并将其返回给A_{\mathrm{I}}.如果\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{i}}=\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}，S_{\mathrm{I}}从列表L_{\mathrm{p}\mathrm{p}\mathrm{k}}和L_{\mathrm{p}\mathrm{k}}中恢复元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,{\beta }_i)和(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,u_i,\mathrm{P}{\mathrm{K}}_i)，并且选择随机数a_i,{\theta }_i,{\phi }_i\in Z_q^{\mathrm{*}}.然后，S_{\mathrm{I}}设置h_{\mathrm{1}i}=H_{\mathrm{1}}(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}})={\theta }_i和h_{\mathrm{2}i}=H_{\mathrm{2}}(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i)={\phi }_i，计算A_i=a_{i}P,\mathrm{S}{\mathrm{K}}_i={\beta }_i+{\theta }_i{x}_i,B_i=a_i+{\phi }_i\mathrm{S}{\mathrm{K}}_i.最后，S_{\mathrm{I}}输出签名{\sigma }_i=(A_i,B_i)并将元组(\mathrm{P}\mathrm{I}{\mathrm{D}}_i,R_i,\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}},h_{\mathrm{1}i})和(c_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{P}{\mathrm{K}}_i,A_i,h_{\mathrm{2}i})分别添加到L_{H_{\mathrm{1}}}和L_{H_{\mathrm{2}}}中.

伪造：A_{\mathrm{I}}停止查询并输出伪身份\mathrm{P}\mathrm{I}{\mathrm{D}}_i(i=\mathrm{1,2},\cdots ,n)在消息c_i(i=\mathrm{1,2},\cdots ,n)上的聚合签名\sigma =(A,B).公钥为\mathrm{P}{\mathrm{K}}_i(i=\mathrm{1,2},\cdots ,n)，(A,B)满足等式BP=A+{\displaystyle \sum _{i=\mathrm{1}}^m}{h}_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right].在聚合过程中，并不要求所有聚合的签名都是伪造的.聚合签名也可能包括一些真实的签名，但目标身份\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}的签名必须是伪造的并被聚合.否则，S_{\mathrm{I}}输出“失败”并停止这次模拟.

根据分叉引理，A_{\mathrm{I}}可以生成两个有效的签名{\sigma }^{(\mathrm{1})}=(A,B^{(\mathrm{1})})和{\sigma }^{(\mathrm{2})}=(A,B^{(\mathrm{2})})，它们具有相同的随机序列但具有不同的哈希值h_{\mathrm{1}i}^{(\mathrm{1})},h_{\mathrm{1}i}^{(\mathrm{2})}.假设\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}=\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{1}}.则有：B^{(\mathrm{1})}={\displaystyle \sum _{i=\mathrm{2}}^n}{B}_i^{\left(\mathrm{1}\right)}+B_{\mathrm{1}}^{\left(\mathrm{1}\right)}和B^{(\mathrm{2})}={\displaystyle \sum _{i=\mathrm{2}}^n}{B}_i^{\left(\mathrm{2}\right)}+B_{\mathrm{1}}^{\left(\mathrm{2}\right)}，其中

B_{\mathrm{1}}^{(\mathrm{1})}P=A_{\mathrm{1}}+h_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}^{(\mathrm{1})}\left(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E\right)\right]（9）

和

B_{\mathrm{1}}^{(\mathrm{2})}P=A_{\mathrm{1}}+h_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}^{(\mathrm{2})}\left(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E\right)\right]（10）

由式（9）和式（10）得到(B_{\mathrm{1}}^{(\mathrm{1})}-B_{\mathrm{1}}^{(\mathrm{2})})P=h_{\mathrm{2}i}(h_{\mathrm{1}i}^{(\mathrm{1})}-h_{\mathrm{1}i}^{(\mathrm{2})})(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E).

最后，S_{\mathrm{I}}输出ECDLP的解s=(B_{\mathrm{1}}^{(\mathrm{1})}-B_{\mathrm{1}}^{(\mathrm{2})}{)}^{-\mathrm{1}}h_{\mathrm{2}i}(h_{\mathrm{1}i}^{(\mathrm{1})}-h_{\mathrm{1}i}^{(\mathrm{2})}{)}^{-\mathrm{1}}-B_{n-j+\mathrm{1}}，从而解决了ECDLP.然而，ECDLP是难以解决的，故两者矛盾.因此，所提出的方案对类型Ⅰ对手A_{\mathrm{I}}是存在不可伪造的.

定理2 在基于ECDLP假设的ROM下，所提出的方案对PPT敌手A_{\mathrm{I}\mathrm{I}}满足存在不可伪造性.

证 定理2在系统设置、H_{\mathrm{1}}查询、H_{\mathrm{2}}查询、部分私钥查询、公钥查询、私钥查询、公钥替换查询以及签名查询步骤中，与定理1证明类似.

伪造：根据分叉引理，A_{\mathrm{I}\mathrm{I}}可以生成两个有效的签名{\sigma }^{(\mathrm{1})}=\left[A,B^{\left(\mathrm{1}\right)}\right]和{\sigma }^{(\mathrm{2})}=\left[A,B^{\left(\mathrm{2}\right)}\right]，它们具有相同的随机序列但具有不同的哈希值h_{\mathrm{1}i}^{(\mathrm{1})},h_{\mathrm{1}i}^{(\mathrm{2})}.假设\mathrm{P}\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}=\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{1}}有：B^{(\mathrm{1})}={\displaystyle \sum _{i=\mathrm{2}}^n}{B}_i^{\left(\mathrm{1}\right)}+B_{\mathrm{1}}^{\left(\mathrm{1}\right)}和B^{(\mathrm{2})}={\displaystyle \sum _{i=\mathrm{2}}^n}{B}_i^{\left(\mathrm{2}\right)}+B_{\mathrm{1}}^{\left(\mathrm{2}\right)}，其中

B_{\mathrm{1}}^{(\mathrm{1})}P=A_{\mathrm{1}}+h_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}^{(\mathrm{1})}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right]（11）

和

B_{\mathrm{1}}^{(\mathrm{2})}P=A_{\mathrm{1}}+h_{\mathrm{2}i}\left[K_i+h_{\mathrm{1}i}^{(\mathrm{2})}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right]（12）

由U_i=u_{i}P,K_i=h_{\mathrm{1}i}{U}_i+R_i得

B_{\mathrm{1}}^{(\mathrm{1})}P=A_{\mathrm{1}}+h_{\mathrm{2}i}\left[(h_{\mathrm{1}i}^{(\mathrm{1})}{u}_{i}P+R_i)+h_{\mathrm{1}i}^{(\mathrm{1})}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right]（13）

B_{\mathrm{1}}^{(\mathrm{2})}P=A_{\mathrm{1}}+h_{\mathrm{2}i}\left[(h_{\mathrm{1}i}^{(\mathrm{2})}{u}_{i}P+R_i)+h_{\mathrm{1}i}^{(\mathrm{2})}(\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E)\right]（14）

由式（13）和式（14）得(B_{\mathrm{1}}^{(\mathrm{1})}-B_{\mathrm{1}}^{(\mathrm{2})})P=h_{\mathrm{2}i}(h_{\mathrm{1}i}^{(\mathrm{1})}-h_{\mathrm{1}i}^{(\mathrm{2})})(u_{i}P+\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}+E).

最后，S_{\mathrm{I}\mathrm{I}}输出=(B_{\mathrm{1}}^{(\mathrm{1})}-B_{\mathrm{1}}^{(\mathrm{2})}{)}^{-\mathrm{1}}{h}_{\mathrm{2}i}(h_{\mathrm{1}i}^{(\mathrm{1})}-h_{\mathrm{1}i}^{(\mathrm{2})})-s-B_{n-j+\mathrm{1}}作为ECDLP的一个解，并解决ECDLP.然而，ECDLP是难以解决的，所以两者矛盾，因此，所提方案对类型Ⅱ对手A_{\mathrm{I}\mathrm{I}}是存在不可伪造的.

匿名性：在通信过程中，车辆的真实身份\mathrm{I}{\mathrm{D}}_i通过假名\mathrm{P}\mathrm{I}{\mathrm{D}}_i=\mathrm{I}{\mathrm{D}}_i\oplus H_{\mathrm{5}}\left(u_i\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}||u_{i}E||u_i\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}\right)进行隐藏，其中\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}是RSU的公钥，\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}是STA的公钥，E=B_{n-j+\mathrm{1}}P，u_i是车辆选择的随机数.通过这种方式，车辆能够在参与FL时保护其真实身份，确保在上传模型更新时不泄露敏感信息.

不可否认性：车辆通过伪身份进行通信，并使用其私钥对消息进行签名，因此每辆车都无法否认其对消息所生成的签名.这一机制确保了FL中模型更新的可信和有效.防止了任何恶意车辆伪造或上传模型梯度.

不可链接性：车辆在通信过程中使用伪身份\mathrm{P}\mathrm{I}{\mathrm{D}}_i进行通信，每条消息都由与之对应的\mathrm{P}\mathrm{I}{\mathrm{D}}_i的私钥进行签名.因此，攻击者无法将\mathrm{P}\mathrm{I}{\mathrm{D}}_i和多个特定消息关联起来，满足不可链接性，防止在FL多个更新轮次中用户身份的泄露和信息关联，保障了隐私.

可追踪性和可撤销性：车辆真实身份隐藏在假名\mathrm{P}\mathrm{I}{\mathrm{D}}_i=\mathrm{I}{\mathrm{D}}_i\oplus H_{\mathrm{5}}\left(u_i\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}||u_{i}E||u_i\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}\right)中，当出现恶意车辆，RSU计算L_i=U_i\mathrm{S}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}}||U_i{B}_{n-j+\mathrm{1}}，并将(L_i,U_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i)发送给STA.STA在收到消息后计算\mathrm{I}{\mathrm{D}}_i=H_{\mathrm{5}}\left(L_i||s{U}_i\right)\oplus \mathrm{P}\mathrm{I}{\mathrm{D}}_i，以获取恶意车辆身份.随后，STA将\mathrm{I}{\mathrm{D}}_i发送给TDC，TDC存储恶意车辆的公钥，STA在列表ML中搜索相应的部分私钥并将其加入撤销列表.RSU更新群组密钥，从而有效追踪和撤销恶意车辆，保证FL中恶意行为能够被及时识别和撤销，确保系统的安全性与隐私保护.

前向安全性：由于新生成的群密钥\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}是通过新的撤销多项式g(x)和新的多项式p(x,y)计算得到，与旧群密钥\mathrm{G}{\mathrm{K}}_j完全独立.因此，任何新加入的车辆都无法通过群密钥更新过程推导出原来的通信信息.这确保了新成员不会获得旧群组通信的模型梯度数据，实现了前向安全性.

后向安全性：当某车辆退出群组或被撤销时，生成新的群密钥\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}，广播更新的\left\{g(x)\right\}||\left\{p(x,y)\right\}.由于离开的车辆无法获取有效的\left\{g(x)\right\}||\left\{p(x,y)\right\}，从而无法推导出新群密钥\mathrm{G}{\mathrm{K}}_{j+\mathrm{1}}.这确保了离开的车辆无法访问后续群组通信的模型梯度数据，实现了后向安全性.

4 性能分析

4.1 不同方案密码学属性对比表

表1从匿名性、可追踪性、可撤销性、不可链接性、不可否认性、前向安全性和后向安全性各方面对文献［9，13，18］和本文方案进行了比较.结果显示，本文方案在综合安全属性方面优于其他几个方案.

4.2 计算开销对比

实验在以下环境进行：操作系统Windows 11（64位架构），处理器Intel Core i9-14900HX，内存16 GB.实验使用Python编程语言，在Visual Studio Code上进行模拟实现.各类加密操作执行1 000次的平均时间如表2所示.

表3展示了本方案与文献［9，13，18］在签名、单次验证和批量验证中的计算开销.

图2和图3为基于表3中数据，随着客户端数量增加，各阶段计算开销的变化趋势.如图2所示，不同方案在签名阶段的计算开销差异显著.文献［9］提出的在线/离线签名方案虽在在线签名计算上有所优化，但离线签名阶段的指数运算增加了整体计算成本.文献［13］的方案由于引入了噪声处理和密钥管理等操作，导致计算开销显著增加.文献［18］采用的基于椭圆曲线的无证书密签方案，由于频繁进行哈希操作，计算开销相对较高.本文方案通过简化基于椭圆曲线的无证书签名算法，有效减少了复杂运算，使得签名阶段的计算开销明显低于其他三种方案.

验证阶段的计算开销对比如图3所示.文献［9］由于包含了计算开销高的双线性对操作，无论是单次验证还是聚合验证，其计算开销都远高于其他方案.文献［13］因额外的重加密操作和复杂的密钥管理过程，使得单次验证和批量验证的计算的开销均有所增加.文献［18］在验证过程中需要对每个消息进行多次哈希计算和密钥处理操作，这导致其单次验证和批量验证时开销明显增加.本文方案优化了验证过程，减少了不必要的运算，并结合群组密钥，使其在单次验证和批量验证的计算开销上均低于其他方案.

4.3 加密对比

本节对Paillier算法、改进的Paillier算法、 CKKS算法以及BFV算法在加密效率上进行对比.如表4所示，在不同密钥长度下，4种算法的加密时间随密钥长度增加，Paillier算法耗时显著增加，BFV、CKKS算法耗时平缓增长，改进的Paillier算法耗时始终较低，体现了加密效率优势.图4展示随着梯度数量的增加，改进的Paillier算法在加密阶段具有显著的效率优势，其加密时间开销几乎可以忽略；与之相比，Paillier算法加密时间随着梯度数量的增加而显著增长，CKKS算法的加密时间增长速度略高于BFV，而BFV算法的增长趋势相对更加平稳.

4.4 通信开销对比

为了对比各方案的通信开销，本文定义了以下参数：群G元素大小为65字节，Z_q^{\mathrm{*}}元素大小为20字节，时间戳T为4字节，身份字符串\mathrm{I}\mathrm{D}为10字节.表5展示了各方案在每轮模型训练中通信开销的对比情况.如图5所示，所提方案在每轮通信过程中，通信开销均低于文献［9，13，18］.

文献［9］方案中，密钥生成中心向服务器发送密钥信息mk=(\lambda ,\mu ,p,q,\tilde{a},\tilde{x})，移动设备向服务器发送本地加密梯度\{y_i,{\alpha }_i,{\beta }_i\}\mathrm{V}\mathrm{e}{\mathrm{r}}_{\mathrm{o}\mathrm{n}}=({{\mathit{g}}_{\mathrm{1}}}_{,}{{\mathit{g}}_{\mathrm{2}}}_{,}{\mathit{g}}_{\mathrm{3}})，随后上传本地密文c_{t+\mathrm{1}}^{(i)}和在线签名.文献［13］方案中客户端将假名\mathrm{P}\mathrm{I}{\mathrm{D}}_i=\{\mathrm{P}\mathrm{I}{\mathrm{D}}_{i\mathrm{1}},\mathrm{P}\mathrm{I}{\mathrm{D}}_{i\mathrm{2}},\mathrm{T}{\mathrm{S}}_i\}发送给密钥生成中心后.客户端再上传\{\mathrm{P}\mathrm{I}{\mathrm{D}}_i,\mathrm{T}{\mathrm{S}}_i,{\widehat{\mathit{w}}}_t^{(i)},w,n_{t,i},{\delta }_i\}到聚合服务器.文献［18］中可信机构通过安全信道将身份信息\mathrm{I}\mathrm{D}=\{\mathrm{I}{\mathrm{D}}_i,\mathrm{P}\mathrm{I}{\mathrm{D}}_i\}和密钥\mathrm{p}\mathrm{s}\mathrm{k}发送给车辆，随后STA广播\{\beta ,D_{\mathrm{p}\mathrm{u}\mathrm{b}},\mathrm{S}\mathrm{I}{\mathrm{G}}_{\mathrm{s}{\mathrm{k}}_T}(\beta ||D_{\mathrm{p}\mathrm{u}\mathrm{b}}||T)\}给车辆和RSU.接着车辆将\{C_i^t,{\sigma }_i^t,\mathrm{I}{\mathrm{D}}_i^{k^{\text{'}}},V_{\mathrm{p}\mathrm{u}\mathrm{b}-i},T_i\}发送给RSU.本文方案中STA广播其公钥\mathrm{P}{\mathrm{K}}_{\mathrm{S}\mathrm{T}\mathrm{A}}给车辆，RSU广播(\mathrm{P}{\mathrm{K}}_{\mathrm{R}\mathrm{S}\mathrm{U}},F_j,B_{n-j+\mathrm{1}})，STA将部分密钥{\lambda }_i=\left(d_i,R_i\right)发送给RSU.随后车辆将\mathrm{P}{\mathrm{K}}_i=\left(U_i,K_i\right)和\left\{\mathrm{P}\mathrm{I}{\mathrm{D}}_i,{\mathit{c}}_i,\mathrm{P}{\mathrm{K}}_i,{\sigma }_i\right\}发送给RSU.

4.5 准确率对比

本实验采用了结合改进的Paillier加密算法和无证书签名机制的隐私保护联邦学习框架，使用三层卷积神经网络作为模型结构.该网络包含三层卷积层和两层全连接层，旨在对德国交通标志数据集进行分类任务，该数据包含训练集39 209张图片，测试集12 630张图片.模型训练采用交叉熵损失函数、Adam优化器，在20个训练周期内对批量大小为32的数据进行优化.训练过程中，通过梯度更新优化模型参数，并评估模型的训练准确率，以验证模型的有效性和收敛性能.

图6展示了文献［9，13，18］和本文方案在联邦学习训练中的准确率的性能表现.文献［9］结合分布式随机梯度下降、Paillier加密算法和在线/离线签名方案，优化了通信开销并提升了训练速度，但由于依赖离线签名的机制，增加了系统复杂性，在动态环境下的部署难度较大，导致模型准确率和收敛速度较低.文献［13］利用盲噪声掩码和代理重加密，通过噪声掩盖本地模型，并在全局模型中取出总噪声，具有高安全性但计算复杂度较大，导致模型训练速度较慢.文献［18］提出的无证书方案，传输和计算机过程较为复杂，影响了模型训练的速度和准确率.相比之下，本文方案采用改进的Paillier加密算法，并结合轻量化无证书签名机制，有效降低了计算和通信成本，提升了训练速度且对模型精度影响小，展现了良好的性能.

4.6 恶意检测性能对比

在联邦学习场景中，比较余弦相似度、欧氏距离和t检验三种基于梯度差异的检测方法在恶意车辆梯度检测任务中的性能差异，为联邦学习恶意攻击检测提供方法依据.实验使用scikit-learn和SciPy实现检测算法，模拟50辆车的本地训练过程，其中10%为恶意车辆，通过随机篡改标签模拟攻击，收集所有车辆的本地梯度和全局平均梯度作为检测方法的输入，实验统计三种方法的准确率、F₁分数、误判率，结果如表6所示.

余弦相似度在性能、效率与场景适配上表现最优，有效平衡恶意识别率与正常车辆保护，对梯度方向篡改攻击敏感性高，计算耗时低，满足联邦学习车辆节点实时监测需求.相比之下，欧氏距离对恶意车辆全漏检，t检验则因对恶意特征捕捉能力弱、统计计算复杂，不适合实时监测.

4.7 群组密钥更新延迟与可拓展性分析

为验证本文方案所提群组密钥更新机制在大规模动态车载场景下的可拓展性，本实验围绕“车辆规模-群密钥更新延迟”维度展开，通过实现群组动态创建与更新，RSU对车辆批量加入、批量退出场景，通过psutil实时采集密钥更新延迟数据进行监控，以此量化分析在大规模车辆加入、退出场景下方案的性能.

实验结果如图7所示，所提群组密钥管理机制在大规模动态车载场景下表现出良好的可拓展性与动态适应性.批量车辆加入时，随着车辆规模从50增长至500，密钥更新延迟从100.8 ms平缓下降至100.5 ms，呈现规模越大、效率越高的正向扩展特征.批量车辆退出时，虽因规模波动出现短暂延迟上升，但整体快速回落至合理区间，动态调整成本可控.

5 结 论

本文针对VANETs中的隐私保护、安全性管理及高效认证需求，提出了一种兼顾隐私保护与高效计算的解决方案.该方案改进了Paillier同态加密算法，使其在保护用户数据隐私的同时，提升了计算效率.此外，结合群组密钥和余弦相似度，构建了恶意车辆撤销与追踪机制，增强了系统对恶意车辆检测和管理能力，提升了整体网络的鲁棒性与安全性.为进一步优化验证效率，使用基于椭圆曲线无证书签名的轻量级聚合签名验证框架，不仅减少了车辆端的存储与通信负担，还有效提升了消息验证的效率.实验结果表明，所提方案在动态车载网环境下，隐私保护、系统安全性以及计算性能均展现了明显的优势.未来研究将深入探索该方案在更复杂网络环境中的扩展应用，并优化隐私保护与性能之间的平衡，为VANETs的FL提供更加高效且可靠的解决方案.

参考文献

[1] WEN J， ZHANG Z X， LAN Y，et al. A survey on federated learning：challenges and applications［J］. International Journal of Machine Learning and Cybernetics， 2023， 14（2）： 513-535．

[2] SHARMA S， GULERIA K. A comprehensive review on federated learning based models for healthcare applications［J］. Artificial Intelligence in Medicine，2023，146： 102691．

[3] BYUN S， SARKER A， CHANG S Y，et al ．Secure aggregation for privacy-preserving federated learning in vehicular networks［J］．ACM Journal on Autonomous Transportation Systems，2024，1（3）：1-25．

[4] CHELLAPANDI V P， YUAN L Q， BRINTON C G，et al ．Federated learning for connected and automated vehicles：a survey of existing approaches and challenges［J］．IEEE Transactions on Intelligent Vehicles，2024，9（1）：119-137．

[5] WANG C N， CHEN X， WANG J Z，et al ．ATPFL：automatic trajectory prediction model design under federated learning framework［C］//2022 IEEE/CVF Conference on Computer Vision and Pattern Recognition （CVPR），June 18-24，2022，New Orleans，LA，USA． IEEE， 2022： 6553-6562．

[6] ALI W， DIN I U， ALMOGREN A，et al ．Federated learning-based privacy-aware location prediction model for Internet of vehicular things［J］. IEEE Transactions on Vehicular Technology，2025，74（2）： 1968-1978．

[7] 车亮，徐茂盛，崔秋实 ．基于联邦学习的短期负荷预测模型协同训练方法［J］．湖南大学学报（自然科学版），2022，49（8）：117-127．

[8] CHE L， XU M S， CUI Q S ．Federated learning based coordinated training method of a short-term load forecasting model［J］．Journal of Hunan University （Natural Sciences），2022，49（8）：117-127．（in Chinese）

[9] FENG X， LIU H Y， YANG H W，et al ．Batch-aggregate：efficient aggregation for private federated learning in VANETs［J］. IEEE Transactions on Dependable and Secure Computing， 2024， 21（5）： 4939-4952．

[10] QU Z G， TANG Y， MUHAMMAD G，et al ．Privacy protection in intelligent vehicle networking：a novel federated learning algorithm based on information fusion［J］. Information Fusion，2023，98：101824．

[11] 王豪，黄小刚，李发根 ．基于秘密分享与聚合签名的安全联邦学习方案［J］．密码学报，2023，10（3）： 588-596．

[12] WANG H， HUANG X G， LI F G ．Secure federated learning based on secret sharing and aggregate signature［J］. Journal of Cryptologic Research， 2023， 10（3）：588-596．（in Chinese）

[13] 陆俊，肖琦，龚钢军，等 ．基于动态差分隐私的联邦学习配电台区数据异常识别［J］．电网技术，2025，49（8）：3512-3521．

[14] LU J， XIAO Q， GONG G J，et al ．Federated learning distribution area data anomaly recognition based on dynamic differential privacy［J］．Power System Technology，2025，49（8）：3512-3521．（in Chinese）

[15] GUO X J， LIU Z L， LI J，et al ．VeriFL：communication-efficient and fast verifiable aggregation for federated learning［J］．IEEE Transactions on Information Forensics and Security，2021，16：1736-1751．

[16] CAI Y X， DING W X， XIAO Y X，et al ．SecFed：a secure and efficient federated learning based on multi-key homomorphic encryption［J］．IEEE Transactions on Dependable and Secure Computing，2024，21（4）：3817-3833．

[17] ZHANG J L， LIU Y， WU D，et al. VPFL：a verifiable privacy-preserving federated learning scheme for edge computing systems［J］. Digital Communications and Networks，2023， 9（4）：981-989．

[18] LIU B Y， LIU X W， GAO S，et al ．Federated learning for VANET based on homomorphic encryption［C］//2023 Cross Strait Radio Science and Wireless Technology Conference （CSRSWTC），November 10-13， 2023， Guilin， China． IEEE，2024：1-3．

[19] ZHOU J， HU J L， XUE J J，et al ．Secure fair aggregation based on category grouping in federated learning［J］．Information Fusion，2025，117：102838．

[20] WANG H W， WANG L L， ZHANG K，et al ．A conditional privacy-preserving certificateless aggregate signature scheme in the standard model for VANETs［J］．IEEE Access，2022，10：15605-15618．

[21] LIU J W， ZHANG J， AHMAD JAN M，et al ．A comprehensive privacy-preserving federated learning scheme with secure authentication and aggregation for Internet of medical things［J］．IEEE Journal of Biomedical and Health Informatics，2024，28（6）：3282-3292．

[22] IQBAL A， ZUBAIR M， KHAN M A，et al ．An efficient and secure certificateless aggregate signature scheme for vehicular ad hoc networks［J］．Future Internet，2023，15（8）：266．

[23] LI G L， ZHAO Y Y， LI Y ．CATFL：certificateless authentication-based trustworthy federated learning for 6G semantic communications［C］//2023 IEEE Wireless Communications and Networking Conference （WCNC）， March 26-29，2023，Glasgow，United Kingdom． IEEE，2023：1-6．

[24] WANG Z H， WANG H F， WANG Y J，et al ．CLASRM：a lightweight and secure certificateless aggregate signature scheme with revocation mechanism for 5G-enabled vehicular networks［J］．Wireless Communications and Mobile Computing，2022，2022（1）：3646960．

[25] GUO R， DONG R H， LI X，et al ．DRCLAS：an efficient certificateless aggregate signature scheme with dynamic revocation in vehicular ad-hoc networks［J］．Vehicular Communications，2024，47：100763．

[26] YUAN X H， LIU J Q， WANG B，et al. FedComm：a privacy-enhanced and efficient authentication protocol for federated learning in vehicular ad-hoc networks［J］. IEEE Transactions on Information Forensics and Security，2024，19：777-792．

[27] FANG H K， QIAN Q. Privacy preserving machine learning with homomorphic encryption and federated learning［J］. Future Internet， 2021， 13（4）： 94．

[28] YU T H， KUMAR S， GUPTA A，et al.Gradient surgery for multi-task learning［EB/OL］.（2020-01-19）

[29] XIONG H， CHEN J H， MEI Q，et al ．Conditional privacy-preserving authentication protocol with dynamic membership updating for VANETs［J］．IEEE Transactions on Dependable and Secure Computing，2022，19（3）： 2089-2104．

基金资助

国家自然科学基金资助项目(62461032)

National Natural ScienceFoundation of China(62461032)

甘肃省科技计划(22JR5RA158)

甘肃省科技计划(22JR5RA350)

Gansu Province Science and Technology Plan(22JR5RA158)

Gansu Province Science and Technology Plan(22JR5RA350)

甘肃省高校教师创新基金项目(2023A-041)

甘肃省高校教师创新基金项目(2023-ZD-234)

Gansu Province University Teachers Innovation Fund Project(2023A-041)

Gansu Province University Teachers Innovation Fund Project(2023-ZD-234)

兰州交通大学-天津大学联合创新基金(LH2024003)

Lanzhou Jiaotong University-Tianjin University Joint Innovation Fund Project(LH2024003)

甘肃省教育科技创新项目(2026B-266)

Gansu Provincial Education, Science and Technology Innovation Project(2026B-266)