基于投票機制的拜占庭容錯共識算法

王海勇 郭凱璇 潘啟青

摘 要：針對現有的區塊鏈中實用拜占庭容錯（PBFT）共識算法、基于動態授權的拜占庭容錯（DDBFT）共識算法、聯盟拜占庭容錯（CBFT）共識算法普遍存在能耗高、效率低、擴展性差等問題，通過引入投票機制，提出了基于投票機制的拜占庭容錯（VPBFT）共識算法。首先，以PBFT算法為基礎，將網絡中的節點劃分為四類具有不同職責的節點。其次，算法中的投票節點具有投票和評分權，監督生產節點誠實可靠地生產數據塊;生產有效的數據塊的生產節點優先進入下一輪，候選節點能夠被選為生產節點，而普通節點則能夠成為投票節點或候選節點。最后，不同類型的節點之間具有一定的數量關系，能夠在不同類型節點的數目或網絡中的節點總數發生變化時動態調整參數，從而使得算法適應動態網絡。通過性能仿真分析可知，VPBFT算法相較于PBFT、 DDBFT、CBFT等共識算法，具有低能耗、低時延、高容錯性和高動態性。

關鍵詞：區塊鏈;拜占庭容錯;投票機制;共識算法;數據塊

中圖分類號： TP301.6

文獻標志碼：A

Abstract： Focusing on the problems of high energy consumption， low efficiency and poor scalability of Practical Byzantine Fault Tolerance （PBFT） consensus algorithm， Dynamic authorized Byzantine Fault Tolerance （DDBFT） consensus algorithm and Consortium Byzantine Fault Tolerance （CBFT） consensus algorithm existed in the blockchain， Practical Byzantine Fault Tolerant consensus algorithm based on Voting （VPBFT） was proposed by introducing voting mechanism. Firstly， based on PBFT algorithm， the nodes in the network were divided into four types of nodes with different responsibility. Secondly， the voting nodes in the algorithm had voting and scoring rights to supervise the production nodes to produce data blocks honestly and reliably， the production nodes producing valid data blocks had priority to be selected into next turn， while the candidate nodes were able to be voted as production nodes， and the ordinary nodes were able to be voted as production nodes or candidate nodes. Finally， different types of nodes had a certain quantity relationship between themselves， which means the parameters were able to be dynamically adjusted when the number of different types of nodes or the total number of nodes in the network changed， so that the algorithm was able to adapt to the dynamic network. Through performance simulation analysis， the proposed VPBFT algorithm has low energy consumption， short delay， high fault tolerance and high dynamicity compared with consensus algorithms such as PBFT， DDBFT and CBFT.

Key words： blockchain; Byzantine Fault Tolerance （BFT）; voting mechanism; consensus algorithm; data block

0 引言

自2008年 “一種完全通過點對點技術實現的電子現金貨幣”（即比特幣）[1]被提出起，區塊鏈技術正一步一步地得到重視。區塊鏈具有去中心化、分布式、點對點等特點[2]，隨著區塊鏈技術的發展，各種共識算法也層出不窮，比如工作量證明（Proof Of Work， POW）算法[1]、實用拜占庭容錯（Practical Byzantine Fault Tolerance， PBFT）算法[3]等。

拜占庭將軍問題（Byzantine generals problem）是區塊鏈中共識算法會考慮到的基本問題[4]。這是一個描述分布式系統一致性的協議問題，拜占庭的將軍們必須全體一致決定是否同時對敵軍發起攻擊，但在將軍中存在叛徒，叛徒會發出虛假信息來影響其他將軍們的決定，將軍們如何在存有叛徒的前提下達成一致的決定，并最終獲得勝利正是該問題所要解決的。拜占庭容錯問題，在計算機領域可以表述為：如何在存有惡意節點的系統網絡中確保系統運行的良好以及信息數據的完整、可靠和一致性，從而作出正確的決策。

在目前現有的共識算法中，較為經典的分布式一致性算法[5]有Paxos算法[6]、Raft算法[7]和PBFT算法。但是，Paxos算法和Raft算法均是面向數據而不是面向交易的，并未考慮到拜占庭問題，即沒有考慮系統中存在惡意節點的情況，一旦系統內的惡意節點發送虛假消息，那么整個系統將會存儲虛假錯誤的信息。為解決拜占庭問題，PBFT算法[3， 8]被提出，通過大多數誠實節點來忽略掉惡意節點的消息，該算法能夠容忍不超過（n-1）/3個節點失效（其中n為節點總數）。但是PBFT算法采用的是C/S架構[7，9]，不能適應P2P網絡，無法動態感知節點數目的變化。

隨著區塊鏈技術的進一步發展，一些新的共識算法也層出不窮，其證明方式趨向于多樣化和混合化。基于動態授權的拜占庭容錯（Dynamic authorized Byzantine Fault Tolerance， DDBFT）算法[10]，將委托權益證明（Delegated Proof Of Stake， DPOS）算法應用于PBFT算法，使得PBFT算法具有動態性的特點，同時也能夠提高吞吐量、降低時延，但是由于網絡帶寬有限，需要確認的區塊較大且超出一個節點的處理能力，就會造成阻塞、降低吞吐量。聯盟拜占庭容錯（Consortium Byzantine Fault Tolerance， CBFT）算法[5]，以PBFT算法為基礎，通過區塊緩存、區塊同步與簽名、節點變更實現，具有更高的吞吐量和較低的時延，但是其交易處理的效率和達成共識的效率等需要進一步提升。

在對比分析了已有的一些共識算法后，本文提出了一種改進的PBFT算法，即基于投票機制的拜占庭容錯（PBFT based on Voting， VPBFT）共識算法，將投票證明（Proof Of Vote， POV）與PBFT結合，具有低能耗、低時延、高容錯性和高動態性。

1 相關工作

從Paxos算法到Raft算法，再到PBFT算法，以及對PBFT算法改進后形成的基于動態授權的拜占庭容錯（DDBFT）共識算法和聯盟拜占庭容錯（CBFT）共識算法，均針對解決分布式系統的一致性問題。

Paxos算法[6]是基于消息傳遞的，旨在解決在分布式系統內如何就某一個內容達成一致的問題[11]，在分布式系統內的所有節點的初始狀態一致，在執行了相同的操作后，所有節點就能夠得到一致的結果。Paxos算法具有高度的容錯性，但較為難懂且難以實現，于是出現了它的簡化版——Raft算法[12]。但是，Paxos和Raft算法是面向數據而不是面向交易的，沒有考慮系統中存在惡意節點的情況，一旦系統內的惡意節點發送虛假消息，那么整個系統將會存儲虛假錯誤的信息。

除此之外， PBFT算法[13]也是專門針對解決拜占庭將軍問題的算法，該算法旨在解決如何在整個網絡中存在惡意節點的情況下保證最終決策的一致性、正確性的問題。在PBFT算法中，所有節點被分為客戶節點、主節點和備份節點3種類型，其中，主節點和備份節點被稱為副本節點。該算法流程分為3個階段：預準備階段、準備階段、確認階段。具體過程如圖1所示。

當客戶節點收到至少n+1個副本節點的結果是相同的情況下，才認可結果有效。PBFT算法針對分布式系統，而且系統中的指令順序執行，是基于C/S架構的[8，10]。算法的整個過程分為三階段，具有三次信息的廣播，這對網絡帶寬造成了一定的浪費。另外，在PBFT算法中，整個網絡的節點數目固定，一旦發生變動系統無法感知，不具備擴展性。

除了Paxos算法、Raft算法和PBFT算法等經典的共識算法外，還有一些新提出的針對PBFT算法進行改進的算法：DDBFT算法、CBFT算法。DDBFT算法，主要針對PBFT算法缺乏動態性的不足，將DPOS算法應用于PBFT算法，使得PBFT算法具有動態性的特點，同時也能夠提高吞吐量、降低時延，但是由于網絡帶寬有限，需要確認的區塊較大且超出一個節點的處理能力，就會造成阻塞，降低吞吐量。CBFT算法，是以PBFT算法為基礎，通過區塊緩存、區塊同步與簽名、節點變更實現，具有更高的吞吐量和較低的時延，但是其交易處理的效率和達成共識的效率等需要進一步提升，且在共識流程、區塊同步和節點管理方面仍存在問題。

由此可見，每種算法都具有其各自的優勢及不足。其中，PBFT算法擴展性較差，不能夠適應動態變化的網絡系統。DDBFT和CBFT算法雖然在能耗、吞吐量、擴展性等方面有所改進，但仍然存在效率低、能耗高等不同的問題。由此可見，共識算法仍有一定的改進空間。

2 基于投票機制的拜占庭容錯共識算法

通過對已有算法的分析，尤其是分布式系統的共識算法：PBFT算法、DDBFT算法、CBFT算法等，本文針對這些共識算法的不足之處，提出了VPBFT共識算法。在本文算法中，將POV機制應用于傳統的PBFT算法，將網絡中的節點劃分為四類，不同類別的節點具有不同的職責，不同類別的節點之間具有一定的數量關系。

2.1 POV機制

POV機制將整個聯盟網絡中的節點分為四類：投票者、管理者、候選人、普通用戶[14]。其中，投票者具有推薦、投票管理者的權利，能夠對產生的交易進行驗證和轉發，也能夠對產生的區塊進行驗證;管理者只能來自于候選人，被隨機地指定生成區塊，有一定的任命周期，周期結束后重新被投票;候選人，由經過注冊并獲得多于1名投票者推薦的普通用戶組成，也可以是投票者自薦組成;而普通用戶則可以隨時加入和退出。網絡中所有節點都能夠發生、轉發并驗證交易數據，數據有效才發送給投票者和管理者，并由管理者將數據放入交易池。而管理者被任命在其任命周期里生產塊，且需要至少1+Nc/2個投票者的同意才能生產相應的數據塊，其中Nc為投票者節點的數目。

POV機制中的普通接節點能夠隨時加入網絡，具有一定的擴展性，而且網絡中的節點具有不同的身份和職責，在一定程度上避免了中心化。VPBFT算法將POV機制引入PBFT算法，能夠利用POV機制動態性的特點彌補PBFT算法的不足。

2.2 VPBFT算法的網絡模型

在VPBFT算法中，將整個網絡中的節點分為四類：投票節點、生產節點、候選節點、普通節點。其網絡模型如圖2所示。

2.3 VPBFT算法的算法流程

VPBFT算法的算法流程可以分為兩個階段：準備階段和確認階段。其過程如下：

1）網絡中所有節點都能夠發生交易，并產生交易數據，交易池中存放著產生的大量有效的交易數據。

2）編號為i（i=R）的生產節點從交易池取出一些交易數據進行打包，將生產數據塊的請求以及所要生產的數據塊廣播發送給投票節點。這一階段為準備階段。其中R為隨機數，包含在上一個生產節點生成的數據塊中，若生產者將要生產的數據塊是創世塊，則R為0。

3）投票節點收到請求后對收到的數據塊進行驗證，驗證數據塊沒有被惡意篡改后，進行簽名和加蓋時間戳，廣播回復確認消息及該數據塊，此階段為確認階段。

4）生產節點在收到至少1+Nv/2個投票節點的確認消息后，生產該數據塊。若在一定的時間內該生產節點沒有生成數據塊，則由編號為R+1的生產節點繼續生成數據塊，重復過程2）。

整個過程簡化后如圖3所示。

在上述過程中，生產節點需要在其任命周期Tp內生成Bp個數據塊。其中：前Bp-1個塊為普通數據塊，包含交易數據、時間戳、投票節點驗證后的簽名及加蓋的時間戳等信息;最后一個為特殊數據塊，不包含交易數據，包含投票節點給出的票數信息，用以確定下一輪生產數據塊的生產節點。一輪的周期為T，每一輪生產者節點的數目為Np，每個生產節點的任命周期為Tp，則T=Np×Tp。投票節點是否對生產節點進行投票使其進入下一輪，依據的是它們在本輪的表現：若候選節點成功被投票成為生產者節點，則加1分;在一輪之內，生產節點表現誠實并在其任期內成功生產出有效的數據塊，則加1分，否則減1分。一輪結束后，獲得2分的生產節點將優先被考慮進入下一輪。

2.5 K的取值

在確定隨機數R的過程中，投票數K是一個重要參數，那么，在網絡中，如何獲得K的值呢？假設在每一輪中每個投票節點投出K票，不考慮評分的影響，投票時隨機的，且分別投給Nc個候選節點中的K個節點，則每個獲選節點獲得一票的概率相同，設為P1，由式（4）所得：

2.6 VPBFT算法小結

VPBFT算法充分應用了POV機制，將網絡中的節點劃分為四類具有不同職責的節點，并賦予一定的數量關系。根據前文對隨機數R以及最佳投票數K計算的描述可知，當節點數目發生動態變化時，系統可自行根據相應的公式計算相應的參數，無需重新啟動系統，確保了算法的動態性和可擴展性。另外，在本文算法中，節點的投票權和生產權是分開的，能夠確保算法的獨立性。

3 性能分析

本文提出的VPBFT算法，是在PBFT算法的基礎上引入POV機制，具有一定的動態性，同時在功耗、時延、動態性等方面也得到了進一步的改善。在配置為I5-8250U處理器、8GB內存、256GHz固態硬盤（Solid State Drive， SSD）的Windows 10系統下，通過Matlab 2017a對VPBFT算法、PBFT算法以及DDBFT算法、CBFT算法等針對PBFT算法進行改進的算法作數學計算仿真。

3.1 低功耗

在整個網絡中，每一種算法都需要進行數據傳輸，其所需要使用的網絡帶寬可用式（8）表示：

其中：Bandwith為所需要使用的網絡帶寬;N為網絡中的節點總數;Blocksize為傳輸數據的大小，在區塊鏈應用中，一個區塊的大小約為990KB。由式（8）可以看出，在Blocksize大小一定時，隨著N的增加，所需要使用的網絡帶寬隨之增加，如圖5的Bandwith。

3.1.1 與PBFT算法比較

在前文中已知，PBFT算法的整個過程分為預準備、準備和確認三個階段，具有三次信息數據的廣播傳輸;而VPBFT算法僅有準備和確認兩個階段，具有兩次信息數據的廣播傳輸。因此假設兩種算法中的節點數目一致，則兩種算法每次廣播信息數據消耗的帶寬一樣，均為Bandwith。則在整體上，VPBFT算法則消耗帶寬為2倍的Bandwith，即圖5中的Bandwith1，PBFT算法消耗的帶寬為3倍的Bandwith，如圖5中的Bandwith2。

3.1.2 與DDBFT算法比較

DDBFT算法是將DPOS機制應用于PBFT算法，使得PBFT算法具有動態性。該算法整個共識過程為共識提案和共識確認兩個階段。共識提案階段由主節點先廣播交易數據，經過一定的時間后再廣播共識提案;共識確認階段由其他節點在對收到的交易數據進行驗證后向主節點回復確認消息，若驗證失敗則廣播發送配置變更消息。除此之外，在共識過程之前，網絡中的代表節點需要廣播告知其余節點自己的身份。因此，在DDBFT算法中，具有四次信息數據的廣播傳輸。在同一網絡環境中，假設DDBFT算法與VPBFT算法中的節點數目一定，則兩種算法每次廣播傳輸的信息數據消耗的帶寬一樣，均為Bandwith。那么，在整體上，DDBFT算法消耗的帶寬為4倍的Bandwith，如圖5中的Bandwith3。

3.1.3 與CBFT算法比較

CBFT算法是以PBFT算法為基礎，通過區塊緩存、區塊同步與簽名、節點變更實現等三個階段來實現的。該算法仍具有PBFT算法流程的三階段，只是當備份節點向所有副本節點廣播發送準備消息時，其他副本節點會率先形成確認消息，在收到準備消息后進行驗證。若驗證可靠則直接發送已形成的確認消息，否則更改確認消息后再發送。因此，CBFT算法對網絡帶寬的消耗同PBFT算法，為3倍的Bandwith，如圖5中的Bandwith4。

3.2 可靠性

為了能夠獲得投票節點的投票和認可，生產節點在贏得投票后，在其任命周期內必須誠實地工作，生產出有效的數據塊，完成自己的任務。在VPBFT算法中，生產節點會越來越可靠。如果生產節點在任命期內沒有生成有效的數據塊，且有如惡意篡改數據等不誠實行為，或者其生產的數據塊不被投票節點認可，那么它的分數將會下降，在下一輪中它被投票的可能性將會降低甚至可能得不到投票。沒有獲得投票的生產節點將失去生產數據塊的機會，同時也就失去了獲得工資的機會。由VPBFT算法的過程可知，候選節點成功被投票成為生產者節點時可獲得1分，若在一輪之內，表現誠實并在任期內成功生產出有效的數據塊，再加1分;否則減1分。一輪之后，可靠的節點獲得2分，惡意節點獲得0分。因此，惡意節點將難以獲得投票，而可靠的生產節點更有可能被投票，從而使得整個系統更加地可靠。可以通過投票數K、生產節點獲得工資W來調整控制生產節點的可靠性。

首先是投票數K。假設參數A的大小為候選節點因獲得評分高低而被投票的可能性的大小，則候選節點被成功投票為生產節點的概率可用式（9）表示：

3.3 動態性

PBFT算法是基于狀態機復制原理的，采用C/S的請求響應模式，是靜態網絡拓撲結構的算法，無法動態地感知節點加入或離開網絡，尤其是節點數目増加時，更是無法感知，甚至需要重新啟動系統，重新開始計算、傳輸信息數據。一旦節點數目發生變化，且未重新啟動系統，仍按照之前的節點數目進行運算，將使得新加入的節點資源的浪費或為不存在節點占用一定的系統資源。VPBFT算法在一定程度上解決了動態性的問題。

VPBFT算法，將整個網絡系統中的節點劃分為四類并加以量化，其中投票節點能夠對生產節點進行評分以及對候選節點進行投票。被投票選中的候選節點成為生產節點并在投票節點的監督下進行數據塊的生產。根據式（1）可知，一旦節點發生變化，相應的節點參數Nv、Nc、Np、No也將發生變化，根據式（6）和式（7）即可求得相應的K值和R值，從而確定投票數和第一個生產數據塊的生產節點，相應地，也能夠調整最大容忍惡意節點的數目。

由此可見，相對于PBFT算法，VPBFT算法能夠動態地感知節點加入或離開網絡，當節點數目増加時，不需要重新啟動系統，不會出現新加入的節點資源的浪費或為不存在節點占用一定的系統資源的情況。

3.4 容錯性

在VPBFT算法中能夠容忍的失效節點數f1不超過1+Nv/2，最多為Nv/2，其中Nv為網絡中投票節點的數目。在PBFT算法中，所有節點被分為三種類型：客戶節點、主節點和備份節點。其中，主節點和備份節點被稱為副本節點，且副本節點總數為Nt，編號為{0，1，… ，Nt-1}。PBFT算法中最多能夠容忍的惡意節點數為f2=（Nt-1）/3。假設Nv=Nt，也就是在兩種算法中對數據具有驗證權的節點數目相同的前提下，通過式（10）可以得到f2

3.5 低時延

在計算機網絡中，時延包括發送時延、處理時延、傳輸時延。同一個網絡環境中，PBFT算法與VPBFT算法對于信息數據的發送時延是一樣的，且每次對數據的處理時延也是一樣的。但是，PBFT算法是三階段三廣播，對數據進行三次處理時延，而VPBFT算法是二階段二廣播，只有兩次處理時延。因此，VPBFT算法的總處理時延低于PBFT算法。同時，VPBFT算法有效地提高了信息數據的傳輸速率，縮短了傳輸時間。因此，VPBFT算法與PBFT算法相比有效地降低了傳輸信息數據的時延，提高了效率。

3.6 安全性

假設在VPBFT算法中非法數據塊能夠被驗證通過。那么，由于生產節點必須獲取至少1+Nv/2的投票節點的確認消息才能確定生產該數據塊，所以在有效的投票節點數量多于1+Nv/2的情況下，有效投票節點不會認可非法數據塊。因此，非法數據塊得到的確認消息最多為Nv-（1+Nv/2）=Nv/2-1，不能夠被驗證通過。這與假設相矛盾，因此假設不成立，非法數據塊不能夠被驗證通過，VPBFT算法具有一定的安全性。

4 結語

本文介紹了拜占庭問題以及一些共識算法，如POW、Paxos、Raft和PBFT算法以及對PBFT進行改進的算法：DDBFT、CBFT等。通過分析對比已有算法，發現各有不足，其中PBFT算法的三階段三廣播，浪費了一定的網絡帶寬，且無法感知網絡中節點數目的變動，不具備動態性;DDBFT算法和CBFT算法，雖然在一定程度上具備了動態性，但其容錯性、能耗方面還存在缺陷。針對這些不足，尤其是PBFT算法的不足之處，本文提出了VPBFT算法。該算法以PBFT算法為基礎，引入投票機制，將網絡中的節點劃分為四類，不同身份的節點具有不同的職責，在一定程度上弱化了中心制。該算法中，各類節點之間具有一定的數量關系，當網絡中節點數目發生變動時，能夠根據數量關系進行相關參數的調整，無需重新啟動系統，具有一定的動態性。通過對比可知，與PBFT算法相比，VPBFT算法具有更低的能耗和時延、更高的容錯性，以及一定的動態性和可靠性;與DDBFT算法相比，VPBFT算法具有更低的能耗和時延、更高的容錯性;與CBFT算法相比，VPBFT算法具有更低的能耗和時延。但VPBFT算法還存在一些問題，如在容錯性上不能夠保證高于CBFT算法、節點處理數據能力有限等，需要更深入的研究。

參考文獻 （References）

[1] NAKAMOTO S. Bitcoin： a peer-to-peer electronic cash system [EB/OL]. [2018-08-18]. https：//www.audible.com/pd/Bitcoin-A-Peer-to-Peer-Electronic-Cash-System-Audiobook/B077T5SCP2.

[2] 長鋏，韓鋒.區塊鏈：從數字貨幣到信用社會[M].北京：中信出版社，2016：54-63.（CHANG J， HAN F. Blockchain： from Digital Currency to Credit Society [M]. Beijing： CITIC Press， 2016： 54-63.）

[3] BRACHA G， TOUEG S. Asynchronous consensus and broadcast protocols [J]. Journal of the ACM， 1985，3 2（4）： 824-840.

[4] LAMPORT L， SHOSTAK R， PEASE M. The Byzantine generals problem [J]. ACM Transactions on Programming Languages & Systems， 1982， 4（3）： 382-401.

[5] 李劍鋒.基于拜占庭容錯機制的區塊鏈共識算法研究與應用[D].鄭州：鄭州大學，2018：14-15，31-56.（LI J F. Research and application of? blockchain consensus algorithm based on Byzantine fault tolerance mechanism [D]. Zhengzhou： Zhengzhou University， 2018： 14-15， 31-56.）

[6] LAMPORT L. The part-time parliament [J]. ACM Transactions on Computing Surveys， 1998， 16（2）： 133-169.

[7] ONGARO D， OUSTERHOUT J. In search of an understandable consensus algorithm [C]// ATC14： Proceedings of the 2014 USENIX Annual Technical Conference. Berkeley， CA： USENIX Association， 2014： 305-319.

[8] REITER M K. A secure group membership protocol [J]. IEEE Transactions on? Software Engineering， 1996， 22（1）： 31-42.

[9] ANDROUTSELLIS-THEOTOKIS? S， SPINELLIS D， et al. A survey of peer-to-peer content distribution technologies [J]. ACM Transactions on? Computing Surveys， 2004， 36（4）： 335-371.

[10] 劉肖飛.基于動態授權的拜占庭容錯共識算法的區塊鏈性能改進研究[D].杭州：浙江大學，2017：41-67.（LIU X F. Research on performance improvement of blockchain based on dynamic authorized Byzantine fault tolerance consensus algorithm [D]. Hangzhou： Zhejiang University， 2017： 41-67.）

[11] JDON.分布式系統Paxos算法[EB/OL]. [2018-08-18]. https：//www.jdon.com/artichect/paxos.html.（JDON.Distributed system Paxos algorithm [EB/OL].[2018-08-18]. https：//www.jdon.com/artichect/paxos.html.）

[12] ONGARO D， OUSTERHOUT J. In search of an understandable consensus algorithm （extended version） [EB/OL]. [2018-08-18]. https：//raft.github.io/raft.pdf.

[13] CASTRO M， LISKOV B. Practical Byzantine fault tolerance [C]// Proceeding of the 1999 Third Symposium on Operating Systems Design and Implementation. Berkeley， CA： USENIX association， 1999： 173-186.

[14] LI K， LI H， HOU H， et al. Proof of vote： a high-performance consensus protocol based on vote mechanism & consortium? blockchain [C]// Proceedings of the 2017 IEEE International Conference on High Performance Computing and Communications， IEEE International Conference on Smart City， IEEE International Conference on Data Science and Systems. Piscataway， NJ： IEEE， 2017： 466-473.

[15] DWORK C， NAOR M. Pricing via processing， or， combating junk mail [C]// Proceedings of the 1993 12th Annual International Cryptology Conference， LNCS 1328. Berlin： Springer， 1993： 139-147.