Вычисления при By-сбоях

Как и в случае FS-сбоев нам необходимо вычислить функциюf:FⁿF. Предположим, что процессоры имеют общую арифметическую схему для вычисленияf. Ниже описываетсяn-сторонний протокол для безопасногоt-вычисленияfв асинхронной сети с произвольными (то есть, при By-сбоях) противниками, при условииn4t+1.

Основная идея заключается в адаптации вышеописанного протокола для FS-сбоев к аналогичному протоколу, но дляBy-сбоев. Для этого используем вышеописанную схемуАПРС, а затем, этап умножения адаптируется к аналогичной конструкции, но дляBy-сбоев.

Пусть c=a^b– мультипликативный вентиль и пустьA(^),B(^) – полиномы, ассоциированные с входными линиями, а именно доли каждого процессораP_iэтих линий -A(i) иB(i) соответственно иA(0)=aиB(0)=b. Как и в случаеFS-сбоев процессоры совместно вычисляют свои доли случайного полиномаC(^) степениt, гдеC(0)=A(0)^B(0), так, что доля каждого несбоящего процессораP_iна выходной линии будетC(i).

Процедура умножения при By-сбоях следует из соответствующей процедуры, но дляFS-сбоев. А именно, процессоры сначала генерируют случайный полиномD(^) степени 2tсо свободными коэффициентамиD(0)=A(0) ^B(0). Тогда процессоры вычисляют свои доли усеченного полиномаD(^) степениtи этот усеченный полином есть выходной полиномC(^).

Собственно сама процедура умножения начинается с описания двух модифицированных шагов: умножения и редукции степени.

Рандомизация.Отличие от случая дляFS-сбоев состоит в том, как каждый процессорP_iделит полиномH_i(^) степени 2tсH_i(0)=0. Для этого используется следующий метод [BGW]. Каждый процессорP_iделитtравномерно выбранных значений, используяtвызовов субпротоколаАРзПр. Пустьz_i,j,k, - выход процессораP_kприj-том вызовеАРзПр, гдеP_i- дилер. После завершения всехtвызововАРзПр, каждый процессорP_kлокально вычисляетH_i(k)=.

Для этого пусть S_i,j(^) – полином степениtопределенныйj-тым вызовомАРзПр, инициированнымP_i(а именно,S_i,j(k)=z_i,j,kдля каждого несбоящего процессораP_k). ПолиномH_i(^) теперь определен какH_i(x)=. Каждый процессорP_kлокально вычисляетH_i(k)==. Пустьs_i,j,l- коэффициентx^lвS_i,j(x). Это можно показать как

Hi(x)=

=si,1,0x

+

si,1,1x2

+

...

+

si,1,t-1xt

+

si,1,txt+1

+

si,2,0x2

+

...

+

si,2,t-2xt

+

si,2,t-1xt+1

+

si,2,txt+2

+

...

si,t,0xt

+

si,t,1xt+1

+

...

+

si,t,tx2t

Свободный коэффициент H_i(^) равен 0 и, таким образом,H_i(0)=0. Каждый полиномS_i,j(^) имеет степеньtи, таким образом,H_i(x) имеет степень 2t. Кроме того, можно заметить, что коэффициенты членовx,...,x^tвH_i(x) равномерно распределены надF. Следовательно, коэффициенты всех ненулевых степеней усеченного полиномаC(^) равномерно распределены надF.

Ясно, что сбоящие процессоры накапливают некоторую дополнительную информацию относительно tдолейH_i(^). Однако эта информация независима отA(0)^B(0), так как процессорP_iвыбираетt²+tслучайных коэффициентов, а сбоящие процессоры получает толькоt²значений.

Редукция степени.Процессоры используют свои доли полиномаD(^) для совместного и конфиденциального вычисления своих долей «усечения» полиномаD(^) степениt. А именноt+1 коэффициентов выходного полиномаC(^) являются коэффициентамиD(^) с более низкой степенью.

В протоколе для FS-сбоев процессоры вычисляли свои долиC(^), вызывая протокол для «умножения вектора входов на фиксированную матрицу».

В протоколе для By-сбоев процессоры используют субпротоколыАРзПриАВсПрвместо простой схемы разделения секрета дляFS-сбоев. Однако проблема заключается в том, что согласованное множествоGможет содержать сбоящие процессорыP_i, совместно использующие некоторое значение, отличное от ожидаемого значенияD(i). В этом случае, процессоры не будут иметь требуемых выходов.

Далее мы описываем, как процессоры P_iмогут удостовериться в том, что значение, связанное с каждым процессоромP_iв согласованном множестве (а именно, свободный коэффициент полинома степениt, определенного долями несбоящих процессоровP_i) – действительноD(i).

Для процессоров P_iпустьs_i- значение, связанное сP_i; для множестваAпроцессоров, пустьS_A=f{(i,s_i)P_iA}.Cначала отметим, что достаточно договориться о множествеGиз, по крайней мере, 3t+1 процессоров, такое, чтоS_Gявляется (2t,0)-интерполируемым (а именно, все значения, общедоступные для процессоров изG«находятся на полиноме степени 2t»). Это так, потому, что множествоGразмером 3t+ 1, содержит, по крайней мере, 2t+1 несбоящих процессоров. Таким образом, интерполируемый полиномS_Gсвязан (ограничен) с полиномомD(^).

Далее описывается протокол для соглашения по множеству Aпроцессоров такому, чтоS_Aявляется (2t,0)-интерполируемым. Этот протокол, обозначаемыйСОИМ-Соглашения об интерполируемом множестве, является «распределенным вариантом» схемыСКОП, описанной выше.

Протокол СОИМсостоит изtитераций. На итерацииr(0rt), процессоры сначала используют протоколСОАМ(см. выше) чтобы договориться о множествеG_r, состоящее из, по крайней мере, 3t+1+rпроцессоров, которые успешно объединяют свои входы. Затем, стороны выполняют вычисления, описываемые ниже, для проверки, является ли множество(2t,r)-интерполируемым. Еслиявляется (2t,r)-интерполируемым, тогда существует множествоG_rG_rразмером из, по крайней мере, 3t+1 процессоров такое, чтоявляется (2t,0)-интерполируемым. Тогда процессоры вычисляют и выдаютG_r. В противном случае (т.е., когда- не является (2t,r)-интерполируемым), процессоры переходят к следующей итерации. Подчеркиваем, что стороны не будут знать интерполируемый полином для каждого. Они будут только знать, что такой полином существует.

Остается только описать, как проверить по данному множеству Gразмера 3t+1+rявляется лиS_G(2t,r)-интерполируемым, и как вычислить соответствующее множествоG(то есть,GG,G3t+1 иS_Gявляется (2t,0)-интерполируем). Как и в процедуреСКОП, мы используем обобщенные коды с исправлением ошибок Рида-Соломона. Однако, в процедуреСКОП«слово»S_G, было (динамическим) входом для одного процессора и, таким образом, каждый процессор мог бы локально запускать процедуру, реализующую схему с исправлением ошибок. В данной установке, каждый процессор имеет только одну долю каждого элементаS_G; стороны будут вызывать совместные вычисления, выполняющее специфическую процедуру, реализующую схему с исправлением ошибок и использовать это для проверки, является лиG- (2t,r)-интерполируемым и вычисленияG.

Сначала опишем частичную процедуру с исправлением ошибок. Входы для этой процедуре - (d,r,W). ЕслиWd+2r+1 иWявляется (d,r)-интерполируем, тогда выход - интерполируемый полиномW. (В противном случае, выводится соответствующее сообщение). Процедура состоит из трех шагов.