Komplexitätstheorie. Teil F: Interaktive Beweissysteme 22: AM. Version von: 26. Juni 2015 (10:03) Sommersemester Thomas Schwentick

Transkript

1 Komplexitätstheorie Teil F: Interaktive Beweissysteme 22: AM Version von: 26. Juni 2015 (10:03) Sommersemester Thomas Schwentick

2 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 1 Inhalt 22.1 Private vs. public coins 22.2 Konstant viele Runden

3 Private vs. Public Coins (1/7) In IP-Beweissystemen kenntp nicht die Zufallsbits, diev erzeugt hat (Private Coins) darauf beruht gerade das Protokoll für GRAPHNONISO Wir werden sehen: diese Bedingung ist nicht entscheidend für die Ausdrucksstärke des Modells Wir betrachten jetzt das Alternativmodell, in demv seine gelesenen Zufallsbits dem BeweiserP bekannt macht (Public Coins) Diese Beweissysteme werden Arthur- Merlin-Beweissysteme genannt In Arthur-Merlin-Beweissystemen heißt der Beweiser Merlin (M ) und der Verifizierer Arthur (A) Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 2

4 Definition Eine SpracheList in AM[k], falls es eine itmamit Zusatzeingabe und ein Polynom p gibt mit: (1) Für jede itmm, jede Eingabexund jede Zusatzeingabey ist A,M (x,y) p( x ) (2) Es werdenknachrichten ausgetauscht, die erste Nachricht wird vonagesendet (3) Die Nachrichten vonabestehen genau aus den seit der letzten Nachricht gelesenen Bits der Zusatzeingabe (4) Für jedesx L gibt es eine itmm, so dass Pr y [ A,M (x,y) akzeptiert] 2/3 (5) Für jedesx L und jede itmm gilt: Pr y [ A,M (x,y)akzeptiert] 1/3 Private vs. Public Coins (2/7) Erläuterung: Die Berechnung lässt sich also in zwei Phasen einteilen: In Phase 1 kommunizierenaundm, A liest nur eine gewisse Zahl an Zufallsbits und sendet sie In Phase 2 arbeitetawie eine PolyZeit- TM, ohne Zufallsbits und ohne Kommunikation MA[k] wird analog definiert: hier wird die erste Nachricht vonm gesendet IP[k]: Einschränkung von IP aufkkommunikationsrunden (V beginnt) Zu beachten: M kennt zu Beginn des Protokolls noch keine Zufallsbits Er lernt sie nur kennen, sobaldasie ihm zuschickt Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 3

5 Private vs. Public Coins (3/7) Der folgende Satz sagt, dass private coins durch public coins und zwei zusätzliche Nachrichten (eine vonaund eine vonm ) kompensiert werden können Satz 22.1[Goldwasser, Sipser 86] Für jedeskgilt: IP[k] AM[k + 2] Der Satz gilt auch für PTIME-berechenbare Funktionenk : Σ N Wir betrachten hier nicht den Beweis von Satz 22.1 Die Grundidee steckt aber im Beweis der folgenden Aussage Satz 22.2 GRAPHNONISO AM[2] Für diesen Beweis brauchen wir einige Vorbereitungen über Automorphismen von Graphen, Erwartungswerte von Zufallsvariablen und Hashfunktionen Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 4

6 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 5 Exkurs: Graphen und Automorphismen G n : Menge aller ungerichteten Graphen mit Knotenmenge{1,...,n} Ein Automorphismus vong G n ist ein Isomorphismus vongnachg Ein Automorphismus ist also eine Bijektion π auf der Knotenmenge mitπ(g) = G Aut(G): Menge aller Automorphismenπ vong FürG G n sei S(G) = def {(H,π) H G n, H G,π Aut(H)} Lemma 22.3 Für jedesg G n gilt: S(G) = n! Beweisskizze Sei per(g) die Menge aller Permutationen der Knotenmenge des GraphenG Klar: fürg G n ist per(g) = n! Beweisskizze (Forts.) Seienρ 1,...,ρ m aus per(g) so gewählt, dass gilt: i j ρ i (G) ρ j (G) undmdabei maximal ist m ist also die Anzahl der verschiedenen Graphen ausg n, die zugisomorph sind Sei i(σ) für jedes σ per(g) so gewählt, dassρ i(σ) (G) = σ(g) Allgemein gilt: fallsσ 1,σ 2 per(g), undσ 1 (G) = H = σ 2 (G), so istσ 2 σ 1 1 ein Automorphismus vonh Zu beachten:σ 1 1 wird zuerst angewendet! ρ i(σ) σ 1 ist Automorphismus vonσ(g) σ (σ(g),ρ i(σ) σ 1 ) ist Bijektion von per(g) nachs(g) (Nachrechnen!) S(G) = n!

7 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 6 Zweiter Exkurs zur Wahrscheinlichkeitstheorie Das folgende Lemma sagt, dass es sehr unwahrscheinlich ist, dass die Summe von Zufallsvariablen stark vom erwarteten Wert abweicht Lemma 22.4 (schwache Chernoff-Schranke) SeienX 1,...,X n unabhängig, 0-1- n E(X i ) wertig und seiµ = i=1 Dann gilt für jedesc > 0 (undc < 1): n Pr[ ( X i ) µ cµ] 2 c2 µ 3 +1 i=1 Wir verwenden außerdem ein wichtiges Prinzip: Inklusion-Exklusion Für EreignisseA 1,...,A n ist n Pr[ A i ] = i=1 Pr[A i ] Pr[A i A j ] + i<j i + ( 1) n 1 Pr[ i A i] Für jedesj liefern die ersten2j Summanden eine untere Schranke für Pr[ n i=1 A i ]

8 SeiH eine Menge von Funktionen {0,1} m {0,1} l Im Folgenden betrachten wir den Wahrscheinlichkeitsraum mitω = H und Elementar-Wahrscheinlichkeiten 1/ H H heißt unabhängig, falls für allex x aus{0,1} m und alle y,y {0,1} l gilt: Pr h H [h(x) = y,h(x ) = y ] = 2 2l H ist also unabhängig, wenn die Zufallsvariable X : (x,x ) (h(x),h(x )) eine Gleichverteilung auf{0,1} 2l induziert Exkurs: Hashfunktionen Lemma 22.5 Für jedesmist die Menge def H m,m = {h a,b a,b {0,1} m } mith a,b (x) = a x + b eine unabhängige Funktionenmenge Bemerkungen: + ist hierbei die bitweise Addition Für die Multiplikation werden die Komponenten eines 0-1-Vektors als Koeffizienten eines Polynoms vom Grad< n aufgefasst Das Produkt zweier Vektoren ist dann das Produkt der Polynome modulo einem festen irreduziblen Polynom vom Gradn Wir nennenh m,m eine unabhängige Familie von Hashfunktionen Fallsl < m lässt sich durch Weglassen der letztenm l Bits im Funktionswert eine unabhängige Familie H m,l : {0,1} m {0,1} l gewinnen Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 7

9 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 8 Wir kehren zurück zum Beweis von: Satz 22.2 GRAPHNONISO AM[2] Beweisskizze Seien obdag 0,G 1 G n Falls die Knotenzahl verschieden ist, ist die Antwort nicht schwierig... SeiS = def S(G 0 ) S(G 1 ) FallsG 0 G 1 ists(g 0 ) = S(G 1 ) FallsG 0 G 1 ist S(G 0 ) S(G 1 ) = Also: FallsG 0 G 1 ist S = n! FallsG 0 G 1 ist S = 2(n!) Private vs. Public Coins (4/7) Beweisskizze (Forts.) Das AM-Protokoll verwendet ein Zufallsexperiment, das eine Erfolgswahrscheinlichkeit 3 p im Falle S = 2(n!) und 4 p 2 für S = n! hat (mit geeignetemp) Das Zufallsexperiment besteht in der zufälligen Wahl eines Punktesy und einer Hashfunktionh Es verläuft fürm erfolgreich, wenn y h(s) gilt Um dies nachzuweisen mussm ein Elementx S angeben mit h(x) = y Klar: je größers, desto wahrscheinlicher ist, dass y h(s) gilt Dieses Verfahren lässt sich auch in vielen anderen Situationen verwenden

10 Private vs. Public Coins (5/7) Beweisskizze (Forts.) Wir kodieren Paare(G,π),G G n,π Aut(G) 1:1 durch Strings einer vonnabhängigen Längem Seilso gewählt, dass2 l 2 < 2(n!) 2 l 1 A undm führenkmal parallel das folgende Protokoll aus (k genügend groß): A wählt zufälligy {0,1} l undh H m,l (und schickt beides anm ) M schickt ein(g,π) (alsm-bit-string) und eine Abbildungρ zurück Das Protokoll ist erfolgreich, falls gelten: (i) ρ : G G 0 oderρ : G G 1 (ii) π Aut(G), und (iii) h(g,π) = y also: wennm zeigen kann, dassy h(s) Behauptung( ): fallsg 0 G 1, gilt Pr[y h(s)] 3 4 p, wobeip = 2(n!)/2 l und die W-keit über die Wahl vonhund y gebildet wird Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 9

11 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 10 Beweisskizze (Forts.) Wir zeigen, dass für jedes festey gilt: Private vs. Public Coins (6/7) Pr h H [y h(s)] 3 4 p SeiE x, für jedesx S, das Ereignis h(x) = y Dann: Pr h H [y h(s)] = Pr[ x S Pr[E x ] 1 2 x x S x S E x ] Pr[E x E x ] (Inklusion/Exklusion) Klar: Pr[E x ] = 2 l DaH m,l unabhängig ist, gilt Pr[E x E x ] = 2 2l fürx x Beweisskizze (Forts.) Pr h H [y h(s)] S 1 S 2 2 l 2 2 2l 3 S 4 2 (da S l 2l 1 ) = 3 4 p Behauptung( ) FallsG 0 G 1, so gilt für jedes feste h: Pr[y h(s)] S 2 l = p 2 Ein geeigneteskfindet sich nun durch Anwendung von Lemma 22.4 A akzeptiert, wenn 5 pk Protokolle 8 erfolgreich verlaufen

12 Private vs. Public Coins (7/7) Die Grundidee des Beweises für IP[k] AM[k + 2] ist: M überzeugtadavon, dass im IP-ProtokollP mit großer W-KeitV überzeugen kann Bemerkung: zwar darfm die Zufallsbits vona sehen, aber natürlich nicht die Bits der kommenden Runden Im Falle konstant vieler Runden, ist das allerdings egal (wie wir auch noch sehen werden) Noch eine Verständnisfrage zum Beweis von Satz 22.2: Warum kannanicht einfach genügend häufig zufällig eine Kodierung eines Paares(H,ρ) erzeugen (H G n,ρ per(h)) und sich dann vonm überzeugen lassen, dass in der richtigen Häufigkeit(H,ρ) S(G) gilt? Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 11

13 Inhalt 22.1 Private vs. public coins 22.2 Konstant viele Runden Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 12

14 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 13 AM Im Rest des Kapitels werden wir interaktive Beweissysteme mit beschränkt vielen Interaktionen und public coins betrachten AM= def k 1 Definition AM[k] Proposition 22.6 (a) AM[2] = BP P (b) MA[2] = BP P Zur Erinnerung: Für eine KomplexitätsklasseC ist C die Klasse allerl Σ, für die es ein L C und ein Polynompgibt, so dass für jedesxgilt: x L y : y p( x ),(x,y) L Analog: C Für eine KomplexitätsklasseC ist BP C die Klasse allerl Σ, für die es ein L C und ein Polynompgibt, so dass für jedesxgilt: fallsx L gilt für 2 3 aller y {0,1} p( x ), dass(x,y) L fallsx L gilt für 1 3 aller y {0,1} p( x ), dass(x,y) L

15 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 14 Beweis von AM[2] = BP P Beweisskizze AM[2] BP P: SeiL BP P Seienp,q Polynome undl P, mit: x L für 2 allery {0,1}p( x ) 3 gibt esz {0,1} q( x ) mit:(x,y,z) L x L für 1 allery {0,1}p( x ) 3 gibt esz {0,1} q( x ) mit:(x,y,z) L AM[2]-Protokoll: A wählt zufälligy {0,1} p( x ) und sendet es anm M sendet einz {0,1} q( x ) A akzeptiert, falls(x,y,z) L fallsx L, ist die W-Keit, dass A,M (x) akzeptiert 2/3 fallsx L, ist diese W-Keit 1/3 L AM[2] Beweisskizze (Forts.) AM[2] BP P: SeiL AM[2] und seiaeine zugehörige itm OBdA leseabei Eingaben der Längengenaup(n) Bits der Zusatzeingabe, für ein Polynomp OBdA sendem immer einen String der Längeq(n) zurück SeiL = def die Menge aller (x,y,z) mit y = p( x ), z = q( x ) undaakzeptiertx, falls er nach Würfeln vony die Antwort z vonm bekommt Klar:L P Und:L,p,q induzieren eine BP P-Charakterisierung vonl L BP P (b): analog

16 Analog: AM[3] = BP BP P Zwei AM-Runden sind ausreichend (1/2) AM[4] = BP BP P etc. Wir werden jetzt zeigen: Für allek 2 ist AM[k] = AM[2] Proposition 22.7 Für jede (unter positiven truth-table- Reduktionen abgeschlossene) KlasseC gilt: BP C BP C Beweisskizze SeiL BP C,L C,p,q mit: x L es gibty der Länge p( x ), so dass für mindestens2/3 allerz der Längeq( x ) gilt: (x,y,z) L x L für alley der Länge p( x ) gilt für höchstens1/3 allerz der Längeq( x ), dass: (x,y,z) L Beweisskizze (Forts.) Außerdem: für allexund alley der Länge p( x ) gilt: für 2/3 oder 1/3 aller z der Längeq( x ) ist(x,y,z) L W-keit-Verstärkung (wie für BPP): StattL betrachten wir die Menge L aller Tupel(x,y,z 1,...,z m ), bei denen die Anzahl allerimit (x,y,z i ) L mindestensm/2 ist Klar: durch geeignete (polynomielle) Wahl vonmlässt sich die Fehler-W-keit auf 2 p( x ) 2 senken dank truth-table-abschluss! Fallsx L, ist also die W-keit, dass es zu einem zufällig gewählten z einy mit (x,y, z) L gibt, mindestens 1 2 p( x ) 2 Fallsx L, ist die W-keit, dass es zu einem zufällig gewählten z einy mit (x,y, z) L gibt, höchstens 2 p( x ) 2 p( x ) 2 = 1/4 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 15

17 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 16 Zwei AM-Runden sind ausreichend (2/2) Folgerung aus Proposition 22.7: MA[2] AM[2] Jetzt zurück zu AM[k] fürk 2 Wir haben gesehen (für geeignetesc): BP C BP C Nicht schwer zu zeigen: C = C BP BP C = BP C Mit diesen Regeln und Proposition 22.6 können wir nun beweisen: Satz 22.8 (a) Für jedesk 2 ist AM[k] = AM[2] (b) AM = AM[2] (c) AM Π p 2 MA: MA[2] Die einzige Arthur-Merlin-Klasse, die (wohl) nicht gleich AM, BPP oder NP ist Beweisskizze (a) Für alle geradenk: Beweis durch Induktion nachk AM[k + 2] = BP AM[k] = BP AM[2] (Ind.) = BP BP P BP BP P (22.7) = BP P = AM[2] Für ungeradek: AM[k] AM[k + 1] = AM[2] (b) folgt direkt aus (a) (c) AM = AM[2] = BP P P (analog Satz 11.6) = Π p 2

18 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 17 Kann GRAPHISO NP-vollständig sein? Satz 22.9 Falls GRAPHISO NP-vollständig ist, gilt: PH = Σ p 2 = Πp 2 Beweisskizze Angenommen, GRAPHISO ist NP-vollständig Dann ist GRAPHNONISO vollständig für co-np Also folgt nach Satz 22.2 und Satz 22.8: co-np AM[2] Da AM[2] unter Reduktionen abgeschlossen ist Dann gilt: Σ p 2 = P BP P BP P Π p 2 Und damit folgt auch PH = Σ p 2

19 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 18 Übersicht PSPACE = IP PP PH Π p 2 AM MA co-np BPP NP co-rp RP ZPP P

20 Quellen Lehrbücher: Arora, Barak: Kapitel 8 Wegener: Kapitel 11 Kozen: Kapitel Originalarbeiten: IP[k] AM[k + 2] Shafi Goldwasser and Michael Sipser. Private coins versus public coins in interactive proof systems. In STOC, pages 59 68, 1986 AM[k] = AM[2]: László Babai. Trading group theory for randomness. In STOC, pages , 1985 Kompl.-Theorie / Schwentick / SoSe 15 F: 22. AM. Folie 19