Теорема Голдвассера, Сипсера

Определение

Протокол Артура-Мерлина - интерактивный протокол доказательства, в котором [math]P[/math](prover, Merlin) видит вероятностную ленту [math]V[/math](verifier, Arthur)(т.н. public coins)

Определение

AM[math][f(n)][/math] - класс языков, распознаваемых с помощью интерактивного протокола доказательства Артура-Мерлина, причем количество запросов [math]V[/math] к [math]P[/math] не превышает [math]f(n)[/math].

Формулировка теоремы

IP[math][f(n)] = [/math]AM[math][f(n)+ O(1)][/math]

Доказательство

Заметим что, очевидно, AM[math][f(n)+O(1)] \subset [/math] IP[math][f(n)], \forall f[/math].

Докажем теперь, что IP[math][f(n)] \subset [/math] AM[math][f(n)+O(1)][/math]

Рассмотрим множество вероятностных лент [math]R[/math] и его подмножество [math]S \subset R[/math] - множество лент, на которых осуществляется допуск. В соответствии с протоколом, [math]x \in L \Rightarrow P(V(x) = [x \in L]) \ge \frac{2}{3}[/math], т.е. если слово принадлежит языку, то [math]V[/math] должен вывести YES с достаточно большой вероятностью, а если [math]x \notin L[/math], то [math]P(V(x) = [x \in L]) \lt \frac{1}{3}[/math], т.е. если слово не принадлежит языку, то [math]V[/math] разрешено ошибиться, но с достаточно малой вероятностью. Перефразируем эти условия так:

• [math]x \in L \Rightarrow |S|\gt 2K [/math], т.е. если слово принадлежит языку, то множество вероятностных лент, на которых слово будет допущено должно быть достаточно большим;
• [math]x \notin L \Rightarrow |S|\lt K[/math], т.е. если слово не принадлежит языку, то множество вероятностных лент, на которых слово все же будет допущено, должно быть достаточно малым.

Число [math]K[/math] выберем позже.

Итак, есть множество [math]S \subset 2^{m}[/math]. Построим интерактивный протокол доказательства, такой что:

• если [math]|S|\gt 2K[/math], то [math]V[/math] с высокой вероятностью примет слово;
• если [math]|S|\lt K[/math], то [math]V[/math] с высокой вероятностью не примет слово.

Выберем [math]k[/math] так, чтобы [math]2^{k-2} \le 2K \le 2^{k-1}[/math]. Возьмем [math]h \in H_{m,k}[/math] ([math]H_{m,k}[/math] - семейство универсальных попарно независимых хеш-функций), и [math]y \in 2^k[/math]. Далее, отправим запрос [math]P[/math] на получение [math]s \in S[/math], такого, что [math]h(s)=y[/math], и проверим, верно ли в действительности, что полученный [math]s \in S[/math]. Пусть [math]p=\frac{2K}{2^k}[/math].

• если [math]|S|\lt K[/math] , то [math]|h(s)| \lt \frac{p \cdot 2^k}{2} = K \Rightarrow P(V(x) = [x \in L]) \le p/2[/math], то есть в этом случае [math]V[/math] ошибется с вероятностью не более [math]\frac{1}{2}[/math];
• если [math]|S|\gt 2K[/math], и [math]|S|\lt 2^{k-1}[/math], то поступим следующим образом. Мы хотим, чтобы выполнялось: [math]P_{h,y}(\exists s: h(s)=y) \ge \frac{3}{4} \cdot \frac{|S|}{2K}[/math] . Обозначим как [math]E_s[/math] событие [math]h(s)=y[/math]. Рассмотрим [math]y \in 2^m[/math]. [math]P_{h}(\exists s: h(s)=y) = P_{h}(y \in \bigcup \limits_{s}h(s))= [/math] [math] P_{h}(\bigcup \limits_{s}E_s) \ge \sum \limits_{j}P(E_s)-\sum \limits_{s_1 \ne s_2}P(E_{s_1} \bigcap E_{s_2})= \frac{|S|}{2^k}-\frac{1}{2}|S|^{2}\frac{1}{2^{2k}}=|S|\frac{1}{2^k}\left ( 1 - \frac{|S|}{2^{k+1}} \right )[/math]

Заметим, что [math]|S|\frac{1}{2^k} \gt p[/math], а [math]\frac{|S|}{2^{k+1}} \lt \frac{1}{4}[/math]. Итак, действительно, [math]P_{h}(\exists s: h(s)=y) \gt \frac{3}{4}p[/math], т.е. в этом случае [math]V[/math] примет слово с вероятностью [math]\frac{3}{4} \gt \frac{1}{2}[/math];

• если [math]|S|\gt 2^{k-1}[/math], то [math]V[/math] примет слово с вероятностью, большей, чем [math]\frac{3}{4}[/math].

Теперь, выберем [math]K[/math]: [math]K = \frac{1}{3}2^{P(|x|)}[/math]. Запустим построенный протокол доказательства некоторое константное количество раз для того, чтобы повысить точность, а именно добиться того, чтобы было: [math]x \notin L \Rightarrow P(V(x) = [x \in L]) \lt \frac{1}{3}[/math].

Итак, IP[math][f(n)] \subset [/math] AM[math][f(n)+O(1)][/math]. Теорема доказана.

Cм. также

• Теорема Шамира
• Класс IP