コンセンサス
著者: Dave Cohen、David Schwartz、Arthur Britto
この記事では、XRP Ledgerの概要や格納される情報、トランザクションによってレジャー（台帳）が変化する様子について説明します。
XRP Ledger上でアプリケーションを構築する場合は、XRP Ledger APIの動作や、その動作によってもたされる影響を知っておくために、このプロセスを理解することが重要です。
まえがき
ピアツーピアサーバのXRP Ledgerネットワークは世界で共有されている台帳であり、ここから、アプリケーションはこの台帳の内容の状態に関して信頼できる情報を得ることができます。この状態に関する情報には以下の内容が含まれます。
- 各アカウントの設定
- XRPおよびトークンの残高
- 分散型取引所でのオファー（注文）
- ネットワーク設定（例: トランザクションコストと準備金の金額）
- タイムスタンプ
レジャーバージョンに含まれるデータの詳細な技術説明については、レジャーフォーマットのリファレンスをご覧ください。
図1: XRP Ledgerの要素
XRP Ledgerでは、数秒ごとに新しいレジャーバージョンが作成されます。あるレジャーバージョンの内容にネットワークが同意すると、そのレジャーバージョンは 検証済み となり、その内容が変更されることはありません。それ以前の検証済みのレジャーバージョンによって、レジャー履歴が形成されます。検証済みの最新のレジャーも、少し前の時点のネットワークの状態を表しており、履歴の一部となります。現時点で、ネットワークは次のレジャーバージョンに適用されてファイナライズされる可能性のあるトランザクションを評価しています。この評価が行われている間、ネットワークには、検証前のレジャーバージョン候補が存在します。
図2: XRP Ledgerの履歴
レジャーバージョンには2つの識別子があります。1つ目の識別子は、そのレジャーバージョンの レジャーインデックス です。レジャーバージョンの番号は1つずつ増加します。例えば、現行のレジャーバージョンのレジャーインデックスが100の場合、1つ前はレジャーインデックス99、1つ後はレジャーインデックスは101です。もう1つの識別子は レジャーハッシュ で、レジャーの内容のデジタル指紋を表します。
サーバがレジャーに適用するトランザクションを提案するときに、内容がわずかに異なる複数の候補レジャーバージョンが作成される場合があります。このような候補レジャーバージョンでは、レジャーインデックスは同じですがレジャーハッシュが異なります。多くの候補のうち、検証済みとなるのは1つだけです。それ以外の候補レジャーバージョンはすべて、破棄されます。そのため、履歴内の各レジャーインデックスに対して存在する検証済みのレジャーハッシュは1つのみです。
レジャーに対するユーザレベルの変更は、トランザクションによってなされます。トランザクションの例としては、決済、アカウントの設定またはトラストラインの変更、取引のオファー（注文）などがあります。各トランザクションは、レジャーに対する1つ以上の変更を承認するものであり、アカウント所有者によって暗号署名されます。アカウントの変更を承認したり、レジャーのそれ以外の内容を変更したりするには、トランザクションだけが唯一の方法です。
各レジャーバージョンには、一連のトランザクションと、そのようなトランザクションに関するメタデータも含まれています。それらのトランザクションは、新しいレジャーバージョンを作成するために前のバージョンのレジャーに適用されたものです。メタデータには、レジャーの状態データに対する、トランザクションの影響が正確に記録されています。
図3: レジャーバージョンに適用されるトランザクション
レジャーインスタンスに含まれる一連のトランザクションはそのレジャーに記録され、XRP Ledger履歴の監査を可能としています。レジャーN+1のアカウント残高がレジャーNのアカウント残高と異なる場合、レジャーN+1にはその変更の原因となったトランザクションが含まれます。
検証済みのレジャー内に出現するトランザクションは、レジャーの変更に成功したか、または要求されたアクションを実行せずに処理された可能性があります。成功したトランザクションには、要求された変更がレジャーに適用されたことを示すtesSUCCESS 結果コードが含まれます。レジャー内の失敗したトランザクションには、tecクラスの結果コードが含まれます。1
レジャーに含まれるトランザクションでは必ず、トランザクションコストとして一部のXRPが消却されます。この場合、tesコードまたはtecコードが含まれていたかどうかは関係ありません。消却するXRPの正確な量は、署名されたトランザクションの手順で定義されます。
tesクラスやtecクラスの結果コード以外に、terクラス、tefクラス、およびtemクラスのコードがあります。後者の3つは、APIの呼び出しによって返された暫定的な失敗を示します。レジャーには、tesおよびtecのコードのみ表示されます。レジャーに含まれていないトランザクションによって、レジャーの状態（XRP残高を含む）が影響を受けることはありませんが、暫定的に失敗したトランザクションが後で成功する可能性があります。
rippled APIを使用する場合、レジャーに含めるように提案された候補トランザクションと、検証済みのレジャーに含まれる検証済みのトランザクションをアプリケーションで区別する必要があります。検証済みのレジャー内にあるトランザクションの結果のみが不変です。検証済みのレジャーには、候補トランザクションが含まれる場合と含まれない場合があります。
重要: 一部のrippled APIでは、候補トランザクションに基づき暫定的な結果が返されます2。アプリケーションで、トランザクションの最終的な結果を判断する目的で暫定的な結果を使用するのは望ましくありません。最終的にトランザクションが成功したことを確実に知る唯一の方法は、そのトランザクションが検証済みのレジャー内にあり、かつ、結果コードがtesSUCCESSになるまで、トランザクションの状況を確認することです。トランザクションが検証済みレジャー内にあるが、結果コードがそれ以外の場合、トランザクションの失敗を意味します。トランザクションのLastLedgerSequenceで指定されたレジャーが検証済みにもかかわらず、そのトランザクションがそのレジャーまたはそれ以前の他のレジャー内にない場合、トランザクションは失敗しており、どのレジャーにも表示されません。検証済みのレジャー内に表示されるトランザクションの場合にのみ、結果は最終的なものとなります。それ以外の場合、このドキュメントで後述するように、LastLedgerSequenceの制限により、表示されることはありません。
XRP Ledgerプロトコル - コンセンサスと検証
ピアツーピアのXRP Ledgerネットワークは、トランザクションを承認して処理する多数の独立したXRP Ledgerサーバ（通常、rippledを実行）で構成されています。クライアントアプリケーションは、トランザクションに署名してXRP Ledgerサーバに送信します。サーバは、これらの候補トランザクションを処理するためにネットワーク内を中継します。クライアントアプリケーションには、モバイルおよびウェブウォレット、金融機関へのゲートウェイ、電子取引プラットフォームなどがあります。
図4: XRP Ledgerプロトコルの参加者
トランザクションを受信、中継、処理するサーバは、追跡サーバとバリデータのいずれかです。追跡サーバの主な機能には、クライアントからのトランザクションの分散やレジャーに関する照会へのレスポンスが含まれます。検証サーバは、追跡サーバと同じ機能を実行し、さらにレジャー履歴を進めます3。
クライアントアプリケーションによって送信されたトランザクションを受け入れるときに、各追跡サーバは最後に検証されたレジャーを開始点として使用します。受け入れられたトランザクションは候補トランザクションとなります。サーバから候補トランザクションがそれぞれのピアに中継され、候補トランザクションがネットワーク全体に伝達されます。理想的には、各候補トランザクションはすべてのサーバに伝達される必要があります。その結果、各サーバは最後に検証されたレジャーに同じ一連のトランザクションを適用できる可能性が高くなります。しかし、トランザクションが伝達されるまでには時間がかかるため、サーバは常に同じ候補トランザクションを処理するわけではありません。このことを考慮に入れて、XRP Ledgerでは、コンセンサスと呼ばれるプロセスを使用して、同一のトランザクションが処理され、ピアツーピアのXRP Ledgerネットワーク全体で検証済みのレジャーの一貫性が確保できるようにしています。
コンセンサス
ネットワーク内のサーバは、候補トランザクションに関する情報を共有します。コンセンサスプロセスを通じて、バリデータは、候補トランザクションの特定のサブセットが次のレジャーで考慮されることに同意します。コンセンサスとは、サーバが提案や一連の候補トランザクションを中継する反復プロセスです。サーバは、選択されたバリデータの圧倒的多数4が同じ候補トランザクションのセットについて合意するまで、提案の通信と更新を行います。
コンセンサスの間、各サーバは、そのサーバの信頼できるバリデータ（ ユニークノードリスト（UNL） ）と呼ばれる特定のサーバ群からの提案を評価します。5信頼できるバリデータとは、提案を評価するサーバを欺こうと共謀しない、全体として「信頼できる」ネットワークのサブセットを表します。この「信頼」の定義では、選択された個々のバリデータが信頼されている必要はありません。バリデータの選択は、ネットワークに中継されたデータを改ざんする組織的な試みで共謀しないという想定に基づいて行われます6。
図5: バリデータによるトランザクションセットの提案と修正 - コンセンサスの開始時点で、バリデータ毎に異なるトランザクションセットを持っている可能性があります。後のラウンドで、サーバは現在の提案を信頼できるバリデータの提案と一致するように変更します。このプロセスでは、現在議論しているレジャーバージョンに適用するトランザクションと、それ以降のレジャーバージョンに適用するトランザクションを決定します。
合意済みの提案に含まれていない候補トランザクションは、その後も候補トランザクションとして残ります。これらは次のレジャーバージョンで再度検討される可能性があります。通常、1つのレジャーバージョンから除外されたトランザクションは、次のレジャーバージョンに含まれます。
状況によっては、いつまでもコンセンサスに達することができないトランザクションもあります。そのような状況として、ネットワークが、必要なトランザクションコストを、トランザクションで指定されたものよりも高い値に変更している場合が考えられます。将来のある時点でこの手数料が引き下げられると、そのトランザクションが成功する可能性があります。トランザクションの成功または失敗が一定時間内に確定するように、トランザクションが特定のレジャーインデックスによって一定時間処理されない場合は期限切れになるように設定することができます。詳細は、信頼できるトランザクションの送信をご覧ください。
検証
検証は、全体のコンセンサスプロセスの第2段階です。このプロセスでは、すべてのサーバで同じ結果が得られたことを確認し、あるレジャーバージョンが最終バージョンとして宣言されます。まれに、第一段階のコンセンサスプロセスが失敗する場合があります。検証によって後で確認が行われるため、サーバは結果を確認し、それに応じて対処することができます。
検証は、大きく分けて次の2つの部分に分かれます。
- 合意済みのトランザクションセットから結果として生じるレジャーバージョンを計算する。
- 結果を比較し、十分に信頼できるバリデータが同意した場合はレジャーバージョンの検証済みを宣言する。
ネットワーク内の各サーバは、それぞれ個別にローカルに検証を行います。
検証の計算と共有
コンセンサスプロセスが完了すると、各サーバは合意済みの一連のトランザクションから新しいレジャーを個別に計算します。各サーバは、同じ規則に従って結果を次のように計算します。
一つ前の検証済みのレジャーから始めます。
すべてのサーバが同じ方法で処理できるように、合意済みのトランザクションセットを 正規順序 で並べ変えます。
正規順序は、トランザクションを受け取った順序ではありません（サーバが同じトランザクションを異なる順序で受け取る可能性があるため）。参加者がトランザクションの順序付けで競合しないように、故意に操作するのが困難な正規順序を使います。
指示に従って、各トランザクションを順番に処理します。それに応じてレジャーの状態データを更新します。
トランザクションを正常に実行できない場合は、
tecクラス結果コードを持つトランザクションを含めます。1特定の「再試行可能な」トランザクションの失敗に対しては、同じレジャーバージョンの他のトランザクションが実行された後に再試行されるように、そのトランザクションを正規順序の最後に移動します。
適切なメタデータでレジャーヘッダーを更新します。
これには、レジャーインデックス、前に検証済みのレジャーの識別ハッシュ（このレジャーの「親」）、このレジャーバージョンの予定終了時刻、このレジャーの内容の暗号化ハッシュなどのデータが含まれます。
新しいレジャーバージョンの識別用ハッシュを計算します。
図7: XRP Ledgerサーバでレジャー検証を計算する - 各サーバは、同意済みのトランザクションを前の検証済みレジャーに適用します。バリデータは結果をネットワーク全体に送信します。
結果を比較する
バリデータはそれぞれ、計算したレジャーバージョンのハッシュを含む署名付きメッセージの形式で結果を中継します。 検証 と呼ばれるこれらのメッセージによって、各サーバで計算したレジャーとそのピアのレジャーを比較することができます。
図8: 圧倒的多数のピアが同じ結果を計算するとレジャーが検証される - 各サーバは、計算されたレジャーを、選択されたバリデータから受け取ったハッシュと比較します。一致しない場合、サーバは正しいレジャーを再計算または取得する必要があります。
ネットワーク内のサーバは、圧倒的多数のピアが同じ検証ハッシュに署名してそれをブロードキャストしたときに、そのレジャーインスタンスを検証済みと認識します 7。それ以降のトランザクションは、レジャーインデックスN+1の更新および検証済みのこのレジャーに適用されます。
サーバが少数で、ピアと異なるレジャーを計算した場合、計算したレジャーは無視されます8。正しいレジャーを再計算するか、必要に応じて正しいレジャーを取得します。
ネットワークで、検証に関する圧倒的多数の同意が得られない場合、コンセンサスプロセスで一貫した提案を作成するにはトランザクション量が多すぎるか、ネットワーク遅延が大きすぎることを意味します。この場合、サーバはコンセンサスプロセスを繰り返します。コンセンサスが始まってから時間が経過するにつれて、各コンセンサスラウンドで不一致は減少するため、過半数のサーバが同じ候補トランザクションのセットを受け取った可能性が高くなります。XRP Ledgerは、これらの状況に応じてトランザクションコストと、コンセンサスを待つ時間を動的に調整します。
検証について圧倒的多数の合意が得られると、サーバは検証済みの新しいレジャー、レジャーインデックスN+1との作業に入ることができます。最後のラウンドに含まれなかった候補トランザクションと、その間に送信された新しいトランザクションに対して、コンセンサスと検証プロセスが繰り返されます9。
要点
XRP Ledgerに送信されたトランザクションはすぐには処理されません。一定期間、各トランザクションは候補状態になります。
単一トランザクションのライフサイクルは次のとおりです。
- アカウント所有者によってトランザクションが作成され、署名されます。
- トランザクションがネットワークに送信されます。
- 書式が正しくないトランザクションはその場で拒否される可能性があります。
- 書式が正しいトランザクションは暫定的に成功し、その後で失敗する可能性があります。
- 書式が正しトランザクションは暫定的に失敗し、その後で成功する可能性があります。
- コンセンサスの間、トランザクションはレジャーに含まれます。
- コンセンサスラウンドが成功すると、レジャーが有効になります。
- コンセンサスラウンドが失敗すると、成功するまでコンセンサスプロセスが繰り返されます。
- 検証済みレジャーには、トランザクションとレジャーの状態への反映が含まれます。
アプリケーションでは、候補トランザクションの暫定的な結果ではなく、検証済みのレジャーの情報のみを信頼してください。一部のrippled APIでは、トランザクションの暫定的な結果が最初に返されます。トランザクションの結果が不変になるのは、そのトランザクションが検証済みレジャーに含まれている場合か、トランザクションにLastLedgerSequenceが含まれ、そのレジャーインデックス以下の検証済みレジャーに出現しない場合に限られます。
トランザクションを送信するアプリケーションのベストプラクティスは次のとおりです。
LastLedgerSequenceパラメーターを使用して、トランザクションが確定的かつ迅速な方法で検証されるか、失敗するようにします。- 検証されたレジャーでトランザクションの結果を確認します。
- トランザクションを含むレジャーが検証されるか、
LastLedgerSequenceが経過するまで、結果は暫定的です。 - 結果コードがtesSUCCESSで
"validated": trueのトランザクションは、恒久的に成功しています。 - 結果コードがそれ以外の場合で
"validated": trueのトランザクションは、恒久的に失敗しています。 - トランザクションの
LastLedgerSequenceによって識別された検証済みレジャーを含め、これまでの検証済みのレジャーに出現しないトランザクションは、恒久的に失敗しています。- このようなケースを検出するために、レジャーの継続的な履歴を有するサーバを使用には注意してください10。
LastLedgerSequenceで識別されるレジャーが検証されるまで、トランザクションの状態を繰り返し確認する必要がある場合があります。
- トランザクションを含むレジャーが検証されるか、
関連項目
- コンセプト:
- チュートリアル:
- リファレンス:
脚注
1 – tec結果コードを持つトランザクションでは、要求されたアクションは実行されませんが、レジャーには影響します。ネットワークの悪用を防ぎ、トランザクションの分散コストを賄うために、XRPのトランザクションコストが消却されます。同じ送信者によって同時刻に送信された他のトランザクションをブロックしないようにするには、送信者のアカウントのシーケンス番号を都度増やしてゆきます。tecクラスの結果を持つトランザクションは、期限切れのオブジェクトや資金のない取引注文を削除するなどのメンテナンスも行います。
2 – 例えば、Aliceが100ドルを持っていて、全額をBobに送信するシナリオを考えてみましょう。アプリケーションは最初にPaymentトランザクションを送信し、Aliceの残高を確認したらすぐにAPIから0ドルが返されます。この値は、候補トランザクションの暫定結果に基づいています。支払いが失敗し、Aliceの残高が100ドルのままになる（または他のトランザクションによって別の金額になる）場合があります。AliceからBobへの支払いが成功したことを確実に知る唯一の方法は、そのトランザクションが検証済みのレジャー内にあり、かつ結果コードがtesSUCCESSになるまで、トランザクションの状況を確認することです。トランザクションが検証済みレジャーにあるが、結果コードが異なる場合、支払いは失敗したことを意味します。
3 – 厳密に言えば、バリデータは追跡サーバのサブセットです。同じ機能を提供することに加えて、「検証」メッセージを送信します。追跡サーバは、レジャー履歴全体を保持しているか、部分的なレジャー履歴を保持しているかによって、さらに分類することができます。
4 – トランザクションを認識したピアの割合（%）がしきい値を下回った場合、コンセンサスのラウンドは失敗します。各ラウンドは反復プロセスです。第1ラウンドの開始時には、少なくともピアの50%が同意する必要があります。コンセンサスラウンドの最終的なしきい値は80%の合意です。これらの具体的な値は変更される可能性があります。
5 – 各サーバは独自の信頼できるバリデータを定義しますが、ネットワークの一貫性は、様々なサーバで重複の度合いが高いバリデータのリストが選択されるかどうかにかかっています。このため、Rippleでは推奨するバリデータのリストを公開しています。
6 – 共謀しないとされるバリデータからだけでなくすべてのバリデータからの提案が評価される場合は、悪意のある攻撃者によって、無効なトランザクションが導入されたり、提案から有効なトランザクションが除外されたりする可能性があります。選択されたバリデータリストによって、シビル攻撃から保護することができます。
7 – 2014年11月の時点で、圧倒的多数を表すしきい値として、少なくともピアの80%が検証すべきレジャーに同意する必要があります。これは、コンセンサスのラウンドで要求される割合と同じです。いずれのしきい値も変更される可能性があり、同じである必要はありません。
8 – 実際には、サーバは自身が少数であることを検知してから、すべてのピアの検証を受け取ります。ピアの20%以上から不一致の検証を受け取ると、その検証がしきい値の80%を満たしていないことが分かります。その時点で、レジャーの再計算を始めることができます。
9 – 実際には、効率的に実行できるように、検証の完了前に新しいコンセンサスのラウンドが開始されます。
10 – rippledサーバはレジャーの履歴全体がなくてもAPIリクエストにレスポンスすることができます。サービスやネットワーク接続が中断すると、そのサーバのレジャー履歴にレジャーの不足や誤差が生じることがあります。時間の経過とともに、rippledによってその誤差は埋まります（そのように設定されている場合）。欠落しているトランザクションを検証する場合は、トランザクションが送信されてからLastLedgerSequenceまでの連続した完全なレジャーを持つサーバに照らして検証することが重要です。特定のサーバで利用できるcomplete_ledgersを判断するには、RPCサーバの状態を使用します。