[論文レビュー] Revisiting Fast Practical Byzantine Fault Tolerance: Thelma, Velma, and Zelma

Abraham, Ittai, Gueta, Guy+2 more|arXiv (Cornell University)|Jan 26, 2018

Distributed systems and fault tolerance参考文献 12被引用数 22

ひとこと要約

本稿では、FaB や Zyzzyva といった従来の高速実用的 BFT システムにおける安全性和とライブネスの問題を解消する、Thelma、Velma、Zelma の3つのバシリアン故障耐性コンセンサスプロトコルを提案する。共通のビュー変更メカニズムを統合することで、低いビューからの意思決定が保持されることを保証し、パrameterized 故障モデル下で高速かつ安全かつライブネス保証付きのコンセンサスを達成する。Zelma は両者の長所を組み合わせ、最適なパフォーマンスと耐障害性を実現する。

ABSTRACT

In a previous note (arXiv:1712.01367 [cs.DC]) , we observed a safety violation in Zyzzyva and a liveness violation in FaB. In this manuscript, we sketch fixes to both. The same view-change core is applied in the two schemes, and additionally, applied to combine them and create a single, enhanced scheme that has the benefits of both approaches.

研究の動機と目的

• FaB や Zyzzyva のビュー変更メカニズムに存在する安全性和とライブネスの脆弱性を、以前に特定された重大な欠陥として解消すること。
• 下位のビューからの意思決定がビュー遷移中に保持されるように保証する、統一されたコアビュー変更プロトコルを設計すること。
• Zyzzyva のファストトラックコンセンサスの利点と、FaB のパrameterized モデルにおける故障耐性の柔軟性を統合し、より強固で効率的なプロトコルを実現すること。
• 過去のビューの履歴データをすべて保持するのではなく、一定数の過去ビューに制限することで、レプリカの状態とメッセージのオーバーヘッドを削減し、スケーラビリティを向上させること。
• 証明のスケッチを通じて正しさの原則を形式化し、将来的な完全な正しさの証明と形式的仕様の基盤を築くこと。

提案手法

• 新しいリーダーが安全とみなすためには、あらゆる下位ビューの最高ビュー番号における意思決定の可能性と整合性がある必要がある、というコアビュー変更メカニズムを導入。
• FaB モードと Zyzzyva モードの両方のプロトコルに同じビュー変更論理を適用し、異なる故障モデル下でも一貫した安全性和とライブネス保証を実現。
• 2つの意思決定トラックを定義：n=3f+2t+1 の場合、n−t のファストクォーラムを用いるファストトラックと、n−f−t のコミットクォーラムを用いる2段階トラック。両者とも同期環境下で安全性和とライブネスを保証。
• ファスト・サーゆレートとコミット・サーゆレートのメカニズムを用いて意思決定の進行状況を追跡：ファスト・サーゆレートは、同じリクエストログプレフィックスに対して f+t+1 個の prepare メッセージのうち最高のビュー番号を記録し、コミット・サーゆレートは 2f+t+1 個の同一の prepare メッセージを要件とする。
• ビュー変更時に、ファスト・サーゆレートまたはコミット・サーゆレートの両方から得られる最高のビュー番号を選択する。同じビュー番号の場合、両方のログをマージする。
• レプリカの状態とメッセージサイズを、過去のビューの一定数に制限することで、過去のシステムがすべての履歴データを保持していたのと比較して効率を向上。

実験結果

リサーチクエスチョン

• RQ1 FaB や Zyzzyva のビュー変更メカニズムにおける安全性和とライブネスの欠陥を、パフォーマンス特性を損なわせずに形式的に是正することは可能か？
• RQ2 ファストトラックと2段階意思決定パスの両方で安全であることを保証する統一されたコアビュー変更プロトコルを設計できるか？特に、異なるメカニズムでビュー間を渡って意思決定が伝搬される場合でも。
• RQ3 パラメータ化された故障モデル（n=3f+2t+1）下で、最大 t 個の非リーダー障害を許容する場合、安全性和とライブネスを保証するためにレプリカが保持すべき最小限のビュー情報とは何か？
• RQ4 ファストトラックと2段階意思決定メカニズムを1つのプロトコルに統合する際、安全性和やライブネスを損なわずに、異なる種類のサーゆレートを介して意思決定が伝搬される場合にどう対処できるか？
• RQ5 ビュー変更の状態とメッセージの複雑さを、保持する過去のビュー数を制限することでどの程度削減できるか？同時に正しさは保たれるのか？

主な発見

• 提案されたビュー変更メカニズムにより、下位のビューでコミットされた意思決定が、上位のビューで矛盾することなく保証される。これにより、Zyzzyva の安全性的欠陥と FaB のライブネス問題が是正される。
• Thelma はパラメータ化された故障モデル n=3f+2t+1 において、1回の意思決定で高速コンセンサスを達成し、f 個のバシリアン障害に対して安全であり、最大 t 個の非リーダー障害が発生する同期環境下でライブネスを保証する。
• Velma は n=3f+1 の場合、ファストトラックで3ホップコミットを達成し、最適な高速実行を実現。f 個のバシリアン障害に対して安全であり、同期環境下でライブネスを保証。
• Zelma は Zyzzyva のファストトラックパフォーマンスと FaB の故障耐性の柔軟性を効果的に統合し、n=3f+2t+1 の下で、最大 t 個のバシリアンレプリカと f 個のバシリアン障害を許容する状況で高速コミットを達成。
• 過去のビューを一定数に制限することで、状態とメッセージのオーバーヘッドを定数に保ち、Refine-Quorum-Systems や Azyzzyva といった過去のシステムがすべての過去のビューのデータを保持していたのと比較して優れている。
• 証明のスケッチにより、新しいビューにおける安全なリーダー・ログは、すべての下位ビューでコミットされた意思決定を拡張する必要があることが示され、ビュー間での一貫性が保証され、矛盾する意思決定の発生が防止される。