A self-stabilizing protocol tolerates by definition transient faults (faults
of finite duration). Recently, a new class of self-stabilizing protocols that
are able to tolerate a given number of permanent faults. In this paper, we
focus on self-stabilizing protocols able to tolerate Byzantine faults, that is
faults that introduce an arbitrary behaviour. We focus on strict-stabilization
in which the system have to contain the effects of Byzantine faults.
Specificaly, we study the possibility to construct in a self-stabilizing way a
maximal matching in a network where an arbitrary number of process may become
Byzantine

Dubois, Swan

Tixeuil, Sébastien

Zhu, Nini

French

arXiv

International audienceA self-stabilizing protocol tolerates by definition transient faults (faults of finite duration). Recently, a new class of self-stabilizing protocols that are able to tolerate a given number of permanent faults. In this paper, we focus on self-stabilizing protocols able to tolerate Byzantine faults, that is faults that introduce an arbitrary behaviour. We focus on strict-stabilization in which the system have to contain the effects of Byzantine faults. Specificaly, we study the possibility to construct in a self-stabilizing way a maximal matching in a network where an arbitrary number of process may become Byzantine

INRIA a CCSD electronic archive server

HAL Id: hal-00689348https://hal.archives-ouvertes.fr/hal-00689348Submitted on 20 Apr 2012HAL is a multi-disciplinary open accessarchive for the deposit and dissemination of sci-entific research documents, whether they are pub-lished or not. The documents may come fromteaching and research institutions in France orabroad, or from public or private research centers.L’archive ouverte pluridisciplinaire HAL, estdestinée au dépôt et à la diffusion de documentsscientifiques de niveau recherche, publiés ou non,émanant des établissements d’enseignement et derecherche français ou étrangers, des laboratoirespublics ou privés.Mariages et TrahisonsSwan Dubois, Sébastien Tixeuil, Nini ZhuTo cite this version:Swan Dubois, Sébastien Tixeuil, Nini Zhu. Mariages et Trahisons. AlgoTel’12 - 14èmes RencontresFrancophones sur les Aspects Algorithmiques des Télécommunications, May 2012, La Grande Motte,France. pp.1-4. ￿hal-00689348￿Mariages et TrahisonsSwan Dubois1, Sébastien Tixeuil2 et Nini Zhu31 UPMC Sorbonne Universités & INRIA (France), swan.dubois@lip6.fr2 UPMC Sorbonne Universités & IUF (France), sebastien.tixeuil@lip6.fr3 UPMC Sorbonne Universités (France)Un protocole auto-stabilisant est par nature tolérant aux fautes transitoires (i.e. de durée finie). Ces dernières années ontvu apparaı̂tre une nouvelle classe de protocoles qui, en plus d’être auto-stabilisants, tolèrent un nombre limité de fautespermanentes. Dans cet article, nous nous intéressons aux protocoles auto-stabilisants tolérant des fautes permanentestrès sévères : les fautes Byzantines. Nous nous concentrons sur la stabilisation stricte, approche dans laquelle le systèmedoit converger en temps fini vers un comportement tel que l’effet des fautes Byzantines est confiné avec un rayonconstant autour de chaque processeur fautif (i.e. seuls les processeurs corrects situés en dessous d’une certaine distanced’un processeur Byzantin sont autorisés à ne pas respecter leur spécification). Plus spécifiquement, nous étudions lapossibilité de construire un mariage maximal dans un réseau où un nombre inconnu et potentiellement non borné deprocesseurs peut avoir un comportement Byzantin.Keywords: Mariage maximal, auto-stabilisation, stabilisation stricte, tolérance Byzantine1 Motivations et DéfinitionsLe développement des systèmes distribués à large échelle a démontré que la tolérance aux différents typesde fautes doit être incluse dans les premières étapes du développement d’un tel système. L’auto-stabilisationpermet de tolérer des fautes transitoires tandis que la tolérance aux fautes traditionnelle permet de masquerl’effet de fautes permanentes. Il est alors naturel de s’intéresser à des systèmes qui regrouperaient ces deuxformes de tolérance. Cet article s’inscrit dans cette voie de recherche.Le problème de la construction d’un mariage maximal est très étudié en systèmes distribués. Étant donnéun graphe G = (V,E), un mariage M de G est un sous ensemble de E tel que tout sommet de V appartientà au plus une arête de M. Un mariage est maximal s’il n’existe aucun mariage M′ tel que M ( M′. Leproblème de la construction d’un mariage maximal est classiquement spécifié de la manière suivante : leprotocole termine en un temps fini (vivacité) et dans la configuration terminale, il existe un mariage maximal(sûreté). D’un point de vue réseau, ce problème a de nombreuses applications comme l’allocation distribuéede ressources (fréquences, etc.) dans différents types de réseaux.Auto-stabilisation Dans cet article, nous considérons un système distribué asynchrone, i.e. un graphenon orienté connexe G où les sommets représentent les processeurs et les arêtes représentent les liens decommunication. Deux processeurs u et v sont voisins si l’arête (u,v) existe dans G. Pour tout processeur v,l’ensemble de ses voisins est noté Nv. Les variables d’un processeur définissent son état. L’ensemble desétats des processeurs du système à un instant donné forme la configuration du système. Dans cet article, nousnous concentrons sur les problèmes statiques, i.e. les problèmes dans lesquels le système doit atteindre unétat donné et y rester. Par exemple, la construction d’arbre couvrant est un problème statique. De plus, nousconsidérons des problèmes pouvant être spécifiés de manière locale (i.e. il existe, pour chaque processeur v,un prédicat spec(v) qui est vrai si et seulement si la configuration est conforme au problème). Les variablesapparaissant dans spec(v) sont appelées variables de sortie ou S-variables.Un système auto-stabilisant [Dij74] est un système atteignant en un temps fini une configuration légitime(i.e. spec(v) est vraie pour tout v) indépendamment de la configuration initiale (propriété de convergence).Une fois cette configuration légitime atteinte, tout processeur v vérifie spec(v) pour le restant de l’exécutionet, dans le cas d’un problème statique, le système ne modifie plus ses S-variables (propriété de clôture). Pardéfinition, un tel système peut tolérer un nombre arbitraire de fautes transitoires, i.e. de fautes de duréeSwan Dubois, Sébastien Tixeuil et Nini Zhufinie (la configuration initiale arbitraire modélisant le résultat de ces fautes). Cependant, la stabilisation dusystème n’est en général garantie que si tous les processeurs exécutent correctement leur protocole.Stabilisation stricte Si certains processeurs exhibent un comportement Byzantin (i.e. ont un comporte-ment arbitraire, et donc potentiellement malicieux), ils peuvent perturber le système au point que certainsprocesseurs corrects ne vérifient jamais spec(v). Pour gérer ce type de fautes, [NA02] définit un protocolestrictement stabilisant comme un protocole auto-stabilisant tolérant des fautes Byzantines permanentes.Plus précisément, étant donné c (appelé rayon de confinement), [NA02] définit une configuration c-confinéecomme une configuration dans laquelle tout processeur v à une distance supérieure à c de tout processeurByzantin vérifie spec(v). Un protocole strictement stabilisant est alors défini comme un protocole satisfai-sant les propriétés de convergence et de clôture par rapport à l’ensemble des configurations c-confinées (etnon plus l’ensemble des configurations légitimes comme en auto-stabilisation). Cela permet d’assurer queseuls les processeurs dans le c-voisinage (i.e. à distance inférieure ou égale à c) d’un processeur Byzantinpeuvent ne pas vérifier infiniment souvent la spécification.État de l’art Dans le contexte de l’auto-stabilisation, le premier protocole de calcul de mariage maximala été fourni par Hsu et Huang [HH92]. Goddard et al. [GHJS03] ont ensuite produit une variante auto-stabilisante synchrone de ce protocole. Manne et al. [MMPT09] ont finalement fourni un autre protocolepour un environnement asynchrone. En ce qui concerne l’amélioration de la 12-approximation induite parle mariage maximal, Ghosh et al. [GGH+95] et Blair et Manne [BM03] ont présenté une technique quipeut être utilisée pour calculer un mariage maximum dans un arbre, tandis que Goddard et al. [GHS06]ont produit un protocole auto-stabilisant pour calculer une 23-approximation dans les anneaux anonymes detaille non divisible par trois. Manne et al. ont ensuite généralisé ce résultat à toute topologie [MMPT11].Notez que, contrairement à notre approche, aucune de ces solutions ne tolère un comportement Byzantind’une partie du système.2 Mariage MaximalSpécification Chaque processeur v a une variable pre fv qui appartient à l’ensemble Nv ∪ {null}. Cettevariable fait référence au voisin de v qu’il préfère pour un mariage. Par exemple, si pre fv = u alors v veutajouter l’arête (v,u) au mariage en construction. Pour tout processeur v, nous définissons l’ensemble deprédicats suivants : (i) propositionv indique que v propose un mariage à un de ses voisins u, mais que u n’apas encore répondu, (ii) mariév indique que v a proposé u et que u a proposé v en retour, (iii) condamnévindique que v a proposé u, mais que u a proposé un autre de ses voisins, (iv) mortv indique que v n’a aucunespoir de se marier (chacun de ses voisins est marié à quelqu’un d’autre), et (v) célibatairev signifie que vn’a proposé personne et qu’au moins un de ses voisins est dans un état similaire. Plus formellement,propositionv ≡ ∃u ∈ Nv,(pre fv = u)∧ (pre fu = null)mariév ≡ ∃u ∈ Nv,(pre fv = u)∧ (pre fu = v)condamnév ≡ ∃u ∈ Nv,∃w ∈ Nu,(pre fv = u)∧ (pre fu = w)∧ (w 6= v)mortv ≡ (pre fv = null)∧ (∀u ∈ Nv,mariéu = true)célibatairev ≡ (pre fv = null)∧ (∃u ∈ Nv,mariéu 6= true)Il est trivial de vérifier que pour toute configuration γ et pour tout processeur v, exactement un de cesprédicats est satisfait par v dans γ.Si le système est sujet à des fautes Byzantines, il est évident qu’aucun protocole ne peut satisfaire laspécification classique du problème. À partir de maintenant, un processeur v est considéré localementlégitime lorsqu’il satisfait le prédicat suivant : spec(v)≡ mariév ∨mortv. Nous pouvons maintenant décrirela propriété globale satisfaite par toute configuration c-confinée pour spec. Informellement, nous pouvonsprouver l’existence d’un mariage maximal sur un sous-ensemble de G qui contient au moins l’ensemble desprocesseurs c-corrects (i.e. les processeurs correct à distance strictement supérieure à c de tout processeurByzantin) dans une telle configuration. Dans la suite, Vc désigne l’ensemble des processeurs c-corrects.Définition 1 Pour tout entier c > 0 et toute configuration γ, le sous-graphe G∗c,γ, est le sous-graphe de Ginduit par l’ensemble de sommets suivant : V ∗c,γ =Vc ∪{v ∈V \Vc|∃u ∈Vc, pre fv = u∧ pre fu = v}.Mariages et TrahisonsAlgorithme 1 SSM M : Mariage maximal strictement stabilisant pour le processeur vVariables :pre fv ∈ Nv ∪{null} : voisin préféré de vancien pre fv ∈ Nv : voisin préféré précédent de vFonction :Pour tout u ∈ {v,null}, suivantv(u) est le premier voisin de v supérieur à ancien pre fv (selon unpré-ordre circulaire) tel que pre fsuivantv(u) = uRègles :/* Mariage */(M) :: (pre fv = null)∧ (∃u ∈ Nv, pre fu = v)−→ pre fv := suivantv(v)/* Séduction */(S) :: (pre fv = null)∧ (∀u ∈ Nv, pre fu 6= v)∧ (∃u ∈ Nv, pre fu = null)−→ pre fv := suivantv(null)/* Abandon */(A) :: (pre fv = u)∧ (pre fu 6= v)∧ (pre fu 6= null)−→ ancien pre fv := pre fv; pre fv := nullIl est trivial de déterminer la propriété suivante, satisfaite par toute configuration c-confinée pour spec.Lemme 1 Dans toute configuration γ qui est c-confinée pour spec, il existe un mariage maximal sur G∗c,γ.Le résultat du Lemme 1 motive l’écriture d’un protocole strictement stabilisant pour spec. En effet, mêmesi la spécification est locale, elle induit une propriété globale dans toute configuration c-confinée pour specétant donné qu’il existe alors un mariage maximal sur un sous-graphe clairement défini.Modèle Nous prenons comme modèle de calcul le modèle à états. Les variables des processeurs sontpartagées : chaque processeur a un accès direct en lecture aux variables de ses voisins. En une étape ato-mique, chaque processeur peut lire son état et ceux de ses voisins et modifier son propre état. Un protocoleest constitué d’un ensemble de règles de la forme < garde >−→< action >. La garde est un prédicat surl’état du processeur et de ses voisins tandis que l’action est une séquence d’instructions modifiant l’étatdu processeur. A chaque étape, chaque processeur évalue ses gardes. Il est dit activable si l’une d’elles estvraie. Il est alors autorisé à exécuter son action correspondante (en cas d’exécution simultanée, tous lesprocesseurs activés prennent en compte l’état du système du début de l’étape). Les exécutions du système(séquences d’étapes) sont gérées par un ordonnanceur : à chaque étape, il sélectionne au moins un proces-seur activable pour que celui-ci exécute sa règle. Cet ordonnanceur permet de modéliser l’asynchronismedu système. La seule hypothèse que nous faisons sur l’ordonnancement est qu’il est localement central etfortement équitable, i.e. que deux voisins ne peuvent pas être activés durant la même étape et qu’aucunprocesseur ne peut être infiniment souvent activable sans être choisi par l’ordonnanceur.Protocole Notre protocole de construction de mariage maximal strictement stabilisant, nommé SSM Mest formellement présenté en Algorithme 1. La base de ce protocole est le protocole de mariage maximalauto-stabilisant de Hsu and Huang [HH92], mais nous autorisons les processeurs à se souvenir de leurprécédent abandon (par exemple, un mariage non respecté par un processeur Byzantin ou une propositionqui n’a pas abouti sur un mariage) dans le but de ne pas répéter les mêmes choix infiniment lorsque desprocesseurs Byzantins participent au processus global du mariage. Les idées qui sous-tendent le processusde mariage pour les processeurs corrects sont les suivants : (i) une fois mariés, les processeurs corrects nedivorcent jamais et ne proposent jamais un autre voisin, (ii) les processeurs corrects proposent le mariage àn’importe lequel de leur voisin et acceptent le mariage de n’importe lequel de leur voisin qui le leur propose,(iii) si un processeur correct réalise qu’il a proposé le mariage a quelqu’un qui est peut être marié à un autre,alors il annule sa proposition. Un processeur v maintient deux variables : pre fv, qui a été présentée dans laspécification du problème, et ancien pre fv qui est utilisée pour stocker le dernier voisin à qui v a proposéle mariage de manière non concluante. Enfin, la fonction auxiliaire suivantv est utilisée pour choisir unnouveau voisin à qui proposer le mariage. Un pré-ordre circulaire est utilisé sur les voisins de façon àlimiter l’influence des processeurs Byzantins. En effet, ce pré-ordre circulaire garantit qu’un processeurvoisin d’un processeur Byzantin ne le choisira pas immédiatement après un divorce causé par ce Byzantin.Swan Dubois, Sébastien Tixeuil et Nini ZhuIl est possible de montrer que ce protocole est strictement stabilisant pour spec avec un rayon de confi-nement de 2. En effet, si on considère une configuration initiale dans laquelle tous les processeurs (mêmeByzantins) satisfont spec et dans laquelle un Byzantin b est marié avec un voisin correct v et que ce derniera lui-même un voisin u qui est mort, alors b peut forcer u à devenir célibataire en rompant son mariageavec v (ce qui prouve l’absence de clôture de SSM M par rapport aux configurations 2-confinées). De plus,cet exemple est suffisant pour prouver l’optimalité de ce rayon de confinement. On peut donc conclure :Théorème 1 SSM M est un protocole strictement stabilisant pour la construction d’un mariage maximalavec un rayon de confinement de 2, ce qui est optimal.L’intuition de la preuve de ce résultat est la suivante †. La clôture de l’ensemble des configurations 2-confinées est immédiate. La preuve de la convergence du protocole de Hsu et Huang repose sur une fonc-tion de potentiel (i.e. une fonction associant une valeur à chaque configuration du système, strictementdécroissante pour toute exécution et atteignant une borne inférieure en cas de stabilisation du système, cequi prouve la convergence en un temps fini du système). Nous avons adapté cette fonction de potentiel(en ne prenant en compte que l’état des processeurs 2-corrects alors que la fonction originale considéraitl’ensemble des processeurs) et montré que cette fonction était ultimement strictement décroissante (i.e. lesprocesseurs Byzantins ne peuvent provoquer qu’un nombre fini d’accroissement de la fonction), ce qui estsuffisant pour montrer la convergence du protocole en présence de fautes Byzantines.3 ConclusionDans cet article, nous nous sommes intéressé aux protocoles auto-stabilisants confinant de plus l’effet defautes Byzantines permanentes. Nous avons montré que le protocole de Hsu et Huang connu pour construireun mariage maximal de manière auto-stabilisante ne nécessitait que très peu de modifications afin de deve-nir strictement stabilisant, c’est-à-dire qu’il parvient à confiner l’effet de fautes Byzantines avec un rayonconstant. Nous avons de plus montré que ce protocole fournit le rayon de confinement optimal pour ceproblème.Des travaux futurs sont nécessaires pour déterminer la qualité globale du mariage obtenu par notre proto-cole. Il est connu que, dans un scénario sans Byzantins, tout mariage maximal [HH92, MMPT09] est à unfacteur 2 de l’optimal (le mariage maximum), mais il existe de meilleures solutions par rapport au facteurd’approximation [MMPT11]. Il serait intéressant d’étendre ces travaux en présence de Byzantins.Références[BM03] J. Blair and F. Manne. Efficient self-stabilizing algorithms for tree network. In ICDCS, pages 20–, 2003.[Dij74] E. Dijkstra. Self-stabilizing systems in spite of distributed control. CACM, 17(11) :643–644, 1974.[DTZ12] S. Dubois, S. Tixeuil, and N. Zhu. The byzantine brides problem. Technical Report 1203.3575, arXiv,2012.[GGH+95] S. Ghosh, A. Gupta, M. Hakan, K. Sriram, and V. Pemmaraju. Self-stabilizing dynamic programmingalgorithms on trees. In WSS, pages 11–1, 1995.[GHJS03] W. Goddard, S. Hedetniemi, D. Jacobs, and P. Srimani. Self-stabilizing protocols for maximal matchingand maximal independent sets for ad hoc networks. In IPDPS, page 162, 2003.[GHS06] W. Goddard, S. Hedetniemi, and Z. Shi. An anonymous self-stabilizing algorithm for 1-maximal matchingin trees. In PDPTA, pages 797–803, 2006.[HH92] S.-C. Hsu and S.-T. Huang. A self-stabilizing algorithm for maximal matching. IPL, 43(2) :77–81, 1992.[MMPT09] F. Manne, M. Mjelde, L. Pilard, and S. Tixeuil. A new self-stabilizing maximal matching algorithm. TCS,410(14) :1336–1345, 2009.[MMPT11] F. Manne, M. Mjelde, L. Pilard, and S. Tixeuil. A self-stabilizing 2/3-approximation algorithm for themaximum matching problem. TCS, 412(40) :5515–5526, 2011.[NA02] M. Nesterenko and A. Arora. Tolerance to unbounded byzantine faults. In SRDS, pages 22–29, 2002.†. La preuve complète de ce résultat est disponible dans un rapport de recherche [DTZ12].

Mariages et Trahisons

Hal-Diderot

https://hal.archives-ouvertes.fr/hal-00689348/document

Mariages et Trahisons

Abstract

Similar works

Full text

Available Versions

INRIA a CCSD electronic archive server

Hal-Diderot