[論文レビュー] Analysis of the XRP Ledger Consensus Protocol

Brad Chase, Ethan MacBrough|arXiv (Cornell University)|Feb 20, 2018

Distributed systems and fault tolerance参考文献 5被引用数 105

ひとこと要約

本論文は XRP Ledger Consensus Protocol を分析し、安全性と生存性のための UNL 重なりの条件を導出し、先行推定間の重なり bound を修正して示す。一般的な故障モデルの下ではより厳しい境界 (>90%) を指摘し、より柔軟な代替案として Cobalt を導入する。

ABSTRACT

The XRP Ledger Consensus Protocol is a previously developed consensus protocol powering the XRP Ledger. It is a low-latency Byzantine agreement protocol, capable of reaching consensus without full agreement on which nodes are members of the network. We present a detailed explanation of the algorithm and derive conditions for its safety and liveness.

研究の動機と目的

• XRP LCP ネットワークモデルと部分的な UNL 重なりを伴う合意問題を明確にする。
• UNL 重なりに基づく必須の安全性（整合性）と生存性（前進）条件を導出する。
• ビザンチン故障モデル下の UNL 間の重なりに対する修正境界を提供する。
• 現在のネットワーク状態と Cobalt への移行計画における XRP LCP の安全性と前進性を評価する。

提案手法

• ノードごとの UNL に基づく、ビザンチン耐故障性を持つコンセンサスとして XRP LCP を形式化する。
• クオラムを定義する (q_i = ceil(0.8 n_i)) そして故障限界 (t_i ≤ n_i - q_i)。
• ネットワークを弱非同期としてモデル化し、UNL 間の重なり境界を通じて安全性を分析する。
• 部分参加下で安全性（正直なノードが衝突する元帳を完全に検証しないこと）と生存性（前方進行）という概念を導入・分析する。
• 重なりに基づく安全基準を確立するための証明と定理（例：Proposition 1、Lemma 2、Corollary 3、Proposition 4）を提示する。
• Deliberation、Validation、Preferred Branch の各要素と、それらがどのように連携してコンセンサスに到達するかを説明する。

実験結果

リサーチクエスチョン

• RQ1 XRP LCP において、正直なノード間のどの UNL 重なりが安全性（同じシーケンス番号の衝突する元帳がないこと）と生存性（前方進行）を保証するか？
• RQ2 従来の境界（おおよそ20％と約41％）はどのように比較されるか、ビザンチン責任の下およびより一般的な故障モデルの下での修正された重なり条件は何か？
• RQ3 ネットワークの非同期性と分区の影響が安全性と前進性に与える影響は何か、XRP LCP はそれらをどのように処理するか？
• RQ4 XRP LCP の移行計画（例：Cobalt への移行）は、重なり境界と安全性保証とどのように関連するか？
• RQ5 実運用における安全性と前進性に影響を与える実務的制約（例：クオラム定義、遅延）とは何か？

主な発見

• 部分的 UNL 重なりの下で、安全性と生存性のために先行推定間の単一の修正済み重なり境界を確立する。
• ビザンチン責任の下で、UNL 重なりが q_i および q_j（および t_i,j）に関連する境界を超える場合に限り、同じシーケンス番号を持つ異なる元帳を正直なノード2つが完全検証できない。
• 完全な一般的な故障モデルに移行すると、安全性のための最小重なり境界は上昇し、UNL の約 >90% 程度となる。
• 元の 20%/41% 境界は厳密ではなかったことを分析が明らかにし、UNL の交差、クオラムサイズ、および故障境界を含む厳密な条件を提供する。
• 本論文は現在の状態で XRP LCP が安全であることを確認しつつ、Cobalt プロトコルへの移行を進めており、これにより重なり要件がより低くなる（前方進行保証も）ことを約束する。
• Cobalt に関する関連論文は、他方の境界がより低く（>60%）、最大故障下で停止しないことを示し、XRP LCP とのトレードオフを浮き彫りにしている。