李偉群，常朝穩(wěn)，劉路瑤

(信息工程大學 密碼工程學院，河南 鄭州 450001)

0 引 言

網(wǎng)絡功能虛擬化(network function virtualization，NFV)和軟件定義網(wǎng)絡(software-defined networking，SDN)[1]技術將5G網(wǎng)絡分割成不同的虛擬網(wǎng)絡，該虛擬網(wǎng)絡為網(wǎng)絡切片(network slicing，NS)，為實施專門性業(yè)務而創(chuàng)建的網(wǎng)絡切片稱為網(wǎng)絡切片實例(network slice instance，NSI)[2]。因虛擬網(wǎng)絡的復雜性，NSI之間的惡意攻擊者，通過建立與受攻擊目標用戶的隱蔽信道，竊取重要信息[3]。側信道攻擊是導致切片信息傳輸泄露的主要途徑[4]。針對側信道的攻擊，眾多研究者提出不同資源調(diào)度的策略，以防御側信道攻擊帶來的威脅。Han Y等[5]定義安全指標重新評估側信道攻擊的能力，提出了一種新的虛擬資源調(diào)度策略，減輕側信道攻擊效果，同時兼顧負載均衡與低功耗要求。Jia H等[6]聚焦于調(diào)度安全有效的虛擬資源，提出基于虛擬機最小數(shù)量選擇策略，減少不同切片用戶共存的概率。Naik B等[7]基于多目標測度選擇虛擬資源，采用博弈論策略實現(xiàn)虛擬資源調(diào)度，實現(xiàn)效率、覆蓋率、最大鏈路利用率等綜合性能指標優(yōu)于現(xiàn)在方法。當前研究對于資源調(diào)度策略的選擇，多以降低攻擊者竊取用戶隱私信息可能性為目標，忽視虛擬資源調(diào)度方的實際收益與NSI的安全需求。因此，本文提出基于分配優(yōu)先級的虛擬資源調(diào)度模型，設計“網(wǎng)絡切片用戶-移動虛擬運營商-基礎服務提供商”三層資源調(diào)度結構，均衡NSI用戶的安全需求和優(yōu)質(zhì)NSI用戶資源需要，通過分配優(yōu)先級依次調(diào)度資源，增加側信道攻擊成本，最大化移動運營商的收益。

1 問題描述及資源調(diào)度結構

1.1 問題描述

移動虛擬運營商通過SDN與NFV技術租用物理層的基礎物理設施形成虛擬網(wǎng)絡資源，出租給NSI獲得收益。一方面，多個NSI共享底層物理資源，NSI之間雖存在邏輯隔離[8]，但惡意NSI基于共享的底層物理資源發(fā)起跨虛擬機的側信道攻擊[9]，導致NSI信息泄露。另一方面，在目前的虛擬資源調(diào)度上，移動虛擬運營商占據(jù)主導地位，忽視了NSI對傳輸信息安全的需求。如NSI不能定性所傳輸信息的重要程度，單方面提高傳輸安全等級，體驗質(zhì)量(QoE)與服務質(zhì)量(QoS)將會相應地下降[10]。

1.2 資源調(diào)度結構

資源調(diào)度結構由上至下分成3層[11]，第一層為網(wǎng)絡切片用戶(network slice user，NSU)，第二層為移動虛擬運營商(mobile virtual network operator，MVNO)，第三層為基礎設施提供商(infrastructure provider，InP)。在這調(diào)度結構下，InP提供切片所需的服務器和物理鏈路資源，可用有權無向圖Gs=(CN，CL) 表示，CN={ccpu，cmey，cnet} 表示服務器提供的物理資源，ccpu代表計算資源，cmey代表存儲資源，cnet代表網(wǎng)絡資源[12]，CL={cband} 代表物理鏈路資源。MVNO層從InP中租用物理網(wǎng)絡服務器和鏈路資源形成虛擬網(wǎng)絡資源，再將虛擬網(wǎng)絡資源提供給NSU層中的NSI，通過向NSI收取虛擬資源租用費用而獲得收益。

2 虛擬資源調(diào)度模型

2.1 資源調(diào)度策略

本文采用半靜態(tài)資源調(diào)度策略[14]，對NSU層中的NSI實例，預分配一定資源以滿足NSI的基本業(yè)務需求，其余資源由MVNO動態(tài)調(diào)度。由于基本資源的調(diào)度收益固定，因而不在本文提出的資源調(diào)度策略中考慮。其余資源采取分配優(yōu)先級的策略，根據(jù)NSI分配優(yōu)先級高低依次調(diào)度虛擬資源，優(yōu)先滿足級別高的NSI用戶。顯然，該策略會引起NSI用戶調(diào)度的虛擬資源高于其實際需求，造成虛擬資源的浪費。但該調(diào)度策略有3個明顯的優(yōu)勢。①MVNO依照資源分配優(yōu)先級調(diào)度虛擬資源，有效平衡NSI安全需求與優(yōu)質(zhì)用戶的資源調(diào)度，并增加其收益。②切片權重值綜合評估NSI歷史資源調(diào)度與使用情況，減少了臨時NSI用戶惡意仿冒優(yōu)質(zhì)用戶進行側信道攻擊可能性，降低目標NSI的安全風險。③NSI確定的安全等級與其信息重要性相對應，并為其支付更高的虛擬資源租用價格。

2.2 虛擬資源分配優(yōu)先級確定

2.2.1 安全等級

2.2.2 切片的權重

在MVNO有限的虛擬資源調(diào)度上，基于最大化收益，MVNO會優(yōu)先保障優(yōu)質(zhì)的NSI用戶的虛擬資源需求。評判NSI用戶的重要性用權重值Φ表示，權重Φ大小由NSI的效用函數(shù)πj量化。NSI在某一時刻的效用大小[15]

(1)

(2)

其中，πj是NSI在某時刻的虛擬資源調(diào)度率，Yj表示NSI歷史虛擬資源調(diào)度量的平均值，Y0表示NSI依據(jù)SLA(服務等級協(xié)議)確定的虛擬資源需求量，α表示根據(jù)SLA確定的加權系數(shù)，N0表示傳輸過程中虛擬資源的總量，πj-1表示j-1之間的歷史虛擬資源利用率。根據(jù)Φj的大小確定NSI的虛擬資源分配優(yōu)先級。

2.2.3 分配優(yōu)先級

MVNO層依據(jù)NSI的安全等級與切片權重確定虛擬資源的調(diào)度等級，NSU中vj的資源分配優(yōu)先級為Hj

Hj=β1wj+β2Secj

(3)

式中：β1，β2∈[0，1]， 且β1+β2=1。 MVNO根據(jù)β1，β2的數(shù)值調(diào)配確定NSI的資源分配優(yōu)先級。

2.3 調(diào)度模型建立

2.3.1 變量說明

(4)

式中：ε1，ε2，ε3，ε4為各虛擬資源占調(diào)度資源的比例，且ε1+ε2+ε3+ε4=1，ε1，ε2，ε3，ε4∈(0，1)。

2.3.2 約束條件

當MVNO向NSU中的NSI調(diào)度虛擬資源，k個NSI租用的虛擬計算資源、虛擬存儲資源、虛擬網(wǎng)絡資源與虛擬鏈路資源的總量不大于MVNO向InP租用的資源，如式(5)所示

(5)

歷史虛擬資源調(diào)度平均值比例系數(shù)ε1，ε2，ε3，ε4服從(0，1)區(qū)間上的均勻分布。資源調(diào)度等級系數(shù)β1，β2服務[0，1]區(qū)間上的均勻分布。滿足式(6)、式(7)的約束

(6)

(7)

NSI的虛擬資源需求設置為MVNO租用資源的1/k與2/k之間，減少因隨機生成的NSI資源需求過大或過少，導致仿真結果與實際差距過大，影響實驗結果。滿足式(8)的約束

(8)

2.3.3 目標函數(shù)

MVNO向NSU層調(diào)度資源時，主要存在兩方面收益，一是出租物理資源，二是出租物理鏈路資源。因此，MVNO向NSU出租資源獲得收益為Ω1，如式(9)所示

(9)

NSI在物理鏈路資源利用上，不存在安全級別的劃分，因而不會造成資源的浪費，無需擴大資源的租用價格。因此，MVNO向InP租用資源支出的成本為Ω2，如式(10)所示

(10)

MVNO向NSU出租虛擬資源的凈收益為Ζ=Ω1-Ω2。 為追求收益最大化，將凈收益最大化作為目標函數(shù)，如式(11)所示

(11)

3 算法描述

本文選取5G資源調(diào)度策略與IGADS基于切片權重等級資源調(diào)度策略作為對照組。參數(shù)說明見表1，表1為算法中各參數(shù)代表的意義，其中Mink是不同種調(diào)度策略下，MVNO所能滿足的NSI數(shù)量；虛擬資源調(diào)度量D為不同種調(diào)度策略下，MVNO租用的虛擬資源調(diào)度消耗量。

為3種調(diào)度策略的常量的賦值如以下步驟(1)～步驟(6)。步驟(1)～步驟(5)為基本參數(shù)的生成，步驟(6)為MVNO租用虛擬資源的成本。

(2)P、W=常量；

(3)K=常量；

(4)α=常量；

(5)Y0=常量

為3種調(diào)度策略的初始化賦值如以下步驟(1)～步驟(12)。vj所需的虛擬資源數(shù)量，如步驟(1)、步驟(2)。步驟(3)～步驟(5)為權重εj生成代碼。步驟(6)～步驟(10)為vj切片權重與安全需求的比例、租賃資源價格倍數(shù)、安全需求、歷史虛擬資源調(diào)度平均值和某時刻的虛擬資源調(diào)度率等參數(shù)生成。步驟(11)、步驟(12)為vj的切片權重與資源分配優(yōu)先級的初始化。

表1 參數(shù)說明

(3)εj-temp=round(rand(1,k) * k);

(5)εj=εj-temp/sum_ep;

(6)βj=rand(1,k);

(7)aj={aH,aM,aN}

(10)πj=Yj/Y0

(11)Wj=(1-α)*πj+(2*α-1)*πj-1

(12)Hj=β1*wj+β2*Secj

3.1 基于分配優(yōu)先級資源調(diào)度策略

基于分配優(yōu)先級資源調(diào)度策略如以下步驟(1)～步驟(23)，步驟(1)～步驟(5)為各參數(shù)依據(jù)分配優(yōu)先級重新排序。步驟(6)～步驟(19)為排序后，虛擬計算資源、存儲資源、網(wǎng)絡資源與鏈路資源所能滿足NSI的數(shù)量。步驟(20)為4種資源滿足NSI數(shù)量的最小值，即為Mink。 依據(jù)求得的Mink值計算MVNO的收益Z， 同時，計算取得虛擬資源調(diào)度量D為步驟(21)～步驟(22)。

基于資源分配優(yōu)先級調(diào)度策略：輸出Mink、Z、D

(4)Sec′j=Secj(hindex);

(5)a′j=aj(hindex);

(7)sums = 0;

(11) fk = j-1;

(12) return;

(14)sums = 0;

(18) fk = j-1;

(19) return;

(20)Mink= minvalue(kcpu,kmey,knet,kbands);

3.2 5G資源調(diào)度策略

5G資源調(diào)度策略如以下步驟(1)～步驟(8)。步驟(1)～步驟(5)為虛擬計算資源、存儲資源、網(wǎng)絡資源與鏈路資源所能滿足NSI的數(shù)量，步驟(6)為4種虛擬資源滿足NSI數(shù)量的最小值，即為Mink。 依據(jù)求得的Mink值計算MVNO的收益Z， 同時虛擬資源調(diào)度量D為步驟(7)～步驟(8)。

5G資源調(diào)度策略：輸出Mink、Z、D

(4) fk = j-1;

(5) return;

(6)Mink=minvalue(kcpu,kmey,knet,kbands);

3.3 基于切片權重等級資源調(diào)度策略

基于切片權重等級資源調(diào)度策略如以下步驟(1)～步驟(11)，步驟(1)～步驟(3)為虛擬物理資源與虛擬鏈路資源依據(jù)切片權重重新排序。步驟(4)～步驟(8)為排序后，虛擬計算資源、存儲資源、網(wǎng)絡資源與鏈路資源所能滿足NSI的數(shù)量。步驟(9)為4種資源滿足NSI數(shù)量的最小值，即為Mink。 依據(jù)求得的Mink值計算MVNO的收益Z， 同時，計算虛擬資源調(diào)度量D為步驟(10)～步驟(11)。

基于切片權重等級資源調(diào)度策略：輸出Mink、Z、D

(7) fk=j-1;

(8)return;

(9)Mink=minvalue(kcpu,kmey,knet,kband);

4 仿真分析

4.1 實驗環(huán)境

本文實驗環(huán)境為AMD R5-3500 CPU2.1 GHz、16 GB RAM的PC機，采用MATLAB R2015b軟件搭建仿真系統(tǒng)。MATLAB仿真的網(wǎng)絡參數(shù)設置見表2。共同基礎參數(shù)(如待調(diào)度虛擬資源、出租租賃價格)的數(shù)值設置不影響實驗對比結果，為減少人為設置對實驗結果影響，MVNO出租與租用單位虛擬資源差價為0.05。仿真參數(shù)設置見表3。參數(shù)設置說明：①安全等級Secj的取值，將影響MVNO服務NSU中的NSI的數(shù)量，隨著數(shù)值的增加，服務NSI數(shù)量減少，為便于數(shù)據(jù)分析，本文以等差數(shù)列5，3，1為安全等級對應的數(shù)值。②加權系數(shù)α影響NSI的切片權重結果，但對MVNO的收益及資源調(diào)度不產(chǎn)生數(shù)值方面的影響，假定NSI的類型一致，基于SLA確定的加權系數(shù)α為0.8。③增加NSU層中NSI請求數(shù)量梯度，增強實驗結果的可信度。④NSI的實際資源需求由仿真軟件隨機生成，為減少隨機因素對仿真實驗造成的影響，以100次仿真實驗結果的平均值作為最終實驗結果。⑤租賃價格倍數(shù)設置應滿足不同安全需求類型之間的差異，為便于計算，本文設置為等差數(shù)列1.6，1.3，1。

表2 網(wǎng)絡參數(shù)設置

表3 仿真參數(shù)設置

4.2 結果分析

本文采用的虛擬資源調(diào)度策略(方法1)與5G資源調(diào)度策略(方法2)及IGADS[15]采用的切片資源動態(tài)調(diào)度算法(方法3)進行比較。方法2中，MVNO根據(jù)NSI資源請求先后順序調(diào)度NSI所需的虛擬資源。方法3中，IGADS采用改進式貪婪算法實現(xiàn)切片與用戶的最優(yōu)匹配，同時實現(xiàn)虛擬資源調(diào)度效用最佳。從MVNO收益、MVNO服務NSI數(shù)量與虛擬資源消耗量這3個指標對比3種資源調(diào)度策略。

MVNO收益變化情況如圖1所示。從圖中可看出，方法2和方法3隨著NSU中請求資源調(diào)度的NSI數(shù)量增加，MVNO的收益基本固定，且兩者收益水平相近。但方法3中，充分考慮切片權重大的NSI資源調(diào)度，從MVNO收益角度分析，該方法可維護用戶的忠誠度，利于長期收益的穩(wěn)定。同時，方法3基于歷史資源使用情況確定用戶切片權重，可以減少臨時惡意用戶假冒長期正常用戶進行攻擊，整體性能優(yōu)于方法2。本文提出的基于分配優(yōu)先級的資源調(diào)度策略，MVNO的收益隨著NSU中NSI請求數(shù)量增加而大幅提高，最后趨于穩(wěn)定。初始，NSU層請求資源調(diào)度NSI數(shù)量少，在部分客戶較高的安全需求情況下，MVNO優(yōu)先滿足分配優(yōu)先級客戶的資源需求，剩余資源難以滿足其余NSI的資源需求，造成資源浪費。因而MVNO收益較低，從而印證增加資源價格倍數(shù)的必要性。相較于方法2與方法3，方法1更利于提高MVNO的收益，同時兼顧NSI的安全需求與增加優(yōu)質(zhì)用戶的粘度。

MVNO服務NSI數(shù)量如圖2所示，該圖反映了不同資源調(diào)度方式下，隨著NSU中NSI請求數(shù)量的增加，方法2與方法3服務NSI數(shù)量呈現(xiàn)線性增長，增長幅度相似。方法1服務NSI的數(shù)量增長比例較小，這是因為，在方法1的資源調(diào)度方式下，MVNO根據(jù)NSI提出的安全需求增加虛擬資源調(diào)度數(shù)量，因而減少了服務服務NSI的數(shù)量。但方法1提出的調(diào)度模型，增加惡意NSI的攻擊成本，以此減少側信道攻擊的可能性，提高了安全性。與此同時，MVNO服務NSI數(shù)量減少，但通過分配優(yōu)先級的排序，確保優(yōu)質(zhì)NSI用戶的資源調(diào)度，確保了長期的利益。

圖2 服務NSI數(shù)量

虛擬資源消耗情況如圖3所示，方法2與方法3的虛擬物理資源與虛擬鏈路資源隨著NSU中的NSI請求數(shù)量增加而不變，資源調(diào)度率能達到99%左右。方法1的虛擬物理資源調(diào)度率隨著NSU中的NSI請求數(shù)量增加而增大，在NSI數(shù)量為200后趨于穩(wěn)定，資源調(diào)度率達到99%左右，方法1與方法2、方法3在虛擬物理資源消耗水平相當。而虛擬鏈路資源隨著NSI數(shù)量增加而小幅度增長，最后趨于穩(wěn)定，相較于方法2、方法3，方法1服務的NSI數(shù)量因為虛擬物理資源量有限而減少，從而導致虛擬鏈路資源調(diào)度較少。相較于較高的收益，虛擬鏈路資源的浪費在可接受范圍內(nèi)。

圖3 虛擬資源消耗量

5 結束語

本文對移動虛擬運營商MVNO的虛擬資源調(diào)度策略存在忽視用戶安全需求的問題進行描述，分析了惡意用戶跨虛擬機側信道攻擊的問題，提出了基于MVNO收益的虛擬資源調(diào)度模型。本文以提高MVNO收益為目標，設計基于安全需求與切片權重的半靜態(tài)資源調(diào)度策略，在滿足所有用戶的基本資源需求，動態(tài)調(diào)度剩余資源，并完成算法的設計，在MATLAB軟件搭建的仿真環(huán)境下進行實驗。從實驗數(shù)據(jù)分析，本文提出的策略相較于現(xiàn)有的5G資源調(diào)度策略與IGADS資源調(diào)度策略，大幅度提高了移動虛擬運營商的收益，增加了側信道攻擊成本，兼顧用戶安全需求與維護優(yōu)質(zhì)用戶。