PRO:为什么我们看好零知识证明硬件加速？

原文来源：Bryan,IOSGVentures

本文将主要讨论ZKP作为扩容方案的发展现状，从理论层面描述产生证明过程中主要需要优化的几个维度，并引深到不同扩容方案对于加速的需求。然后再围绕硬件方案着重展开，展望zk硬件加速领域的摩尔定律。最后，关于硬件zk加速领域的一些机会和现状，会在文末阐述。首先，影响证明速度的主要有三个维度：证明系统，待证明电路规模，和算法软硬件优化。

对于证明系统来说，凡是使用椭圆曲线的算法，也就是市面上主流的Groth16，目前都有时间长的瓶颈。对于FRI-based算法，如ZK-Stark，其多项式承诺产生方式是HashFunction，不牵扯EC，所以并不涉及MSM运算。

证明系统是基础，待证明电路的规模也是核心的硬件优化的需求之一。近期讨论很火的ZKEVM据对以太坊的兼容程度不同，导致了电路的复杂程度的不同，比如Zksync/Starkware构建了与原生以太坊不同的虚拟机，从而绕开了一些以太坊原生的不适合利用zk处理的底层代码，缩小了电路的复杂长度，而Scroll/Hermez这样目标从最底端兼容的zkevm的电路自然也会更复杂。

一个方便理解的比方是，电路的复杂性可以理解为一辆巴士上的座位，比如普通日子下需要搭载的乘客数在30人以下，有些巴士选择了30人的座位，这些巴士就是Zksync/StarkWare，而一年中也有一些日子有特别多的乘客，一般的巴士坐不下，所以有一些巴士设计的座位更多。但是这些日子可能比较少，会导致平时会有很多空余的座位。

硬件加速对于这些电路设计更复杂的电路更迫切，不过这更多是一个Specturm的事情，对于ZKEVM也同样有利无弊。

不同证明系统优化的需求/侧重点:

基本：

当一个待证明事物经过电路处理之后，会得到一组标量和向量，之后被用来产生多项式或者其他形式的代数形式如innerproductargument(groth16)。这个多项式依然很冗长，如果直接生成证明那么无论是证明大小或是验证时常都很大。所以我们需要将这个多项式进一步简化。这里的优化方式叫做多项式承诺，可以理解为多项式的一种特殊的哈希值。以代数为基础的多项式承诺有KZG,IPA，DARK，这些都是利用椭圆曲线产生承诺。

众议院共和党：SEC的一项拟议规则将关闭数字资产行业的发展，应予以撤销:金色财经报道，众议院共和党人表示，SEC的一项拟议规则将关闭数字资产行业的发展，应予以撤销。众议院金融服务委员会的立法者本周写信给SEC批评拟议的规则并称，该规则可能扩大交易所的定义，包括通信协议系统，可能超越集中式交易所，对于数字资产，拟议规则将远远超出对集中式数字资产平台的监管，并适用于彼此一致行动的人，这可能涵盖数字资产生态系统中的广泛个人，包括软件开发人员和区块链网络共识机制的参与者。该规则也可以捕获软件开发者和区块链网络共识机制中的人。[2023/6/15 21:38:23]

FRI是以HashFunction为产生承诺的主要途径。多项式承诺的选择主要是围绕几点-安全性，Performance。安全性在这里主要是考虑到在setup阶段。如果产生secret所使用的randomness是公开的，比如FRI，那么我们就说这个setup是透明的。如果产生secret所利用的randomness是私密的，需要Prover在使用之后就销毁，那么这个setup是需要被信任的。MPC是一种解决这里需要信任的手段，但是实际应用中发现这个是需要用户来承担一定的成本。

而上述提到的在安全性方面相对卓越的FRI在Performance并不理想，同时，虽然Pairing-friendly椭圆曲线的Performance比较卓越，但是当考虑将recursion加入时，因适合的曲线并不多，所以也是相当大的存在相当大的overhead。

Infodriver Capital正推出1000万美元新基金，以支持DeFi、GameFi等初创公司:金色财经报道，英国投资公司Infodriver Capital宣布推出一只1000万美元的新基金，以支持DeFi、GameFi和AI等领域的初创公司。目前正在寻找有经验和合格的投资者，最低投资要求为10万美元。投资组合将主要覆盖种子轮到A轮阶段，并提供融资协助、业务发展、联合推广等额外服务。据悉，该基金目前已经确定将投资数家初创公司，包括钱包应用Certhis、资产管理应用AspisDAO、流动性及社交交易应用Toscale、社区建设平台Main等。[2023/3/5 12:43:15]

行业现状：

当前不管是的基于Plonk(matterlabs)或者基于Ultra-Plonk(Scroll,PSE)，他们最后的多项式commitment都是基于KZG，故而Prover的大部分工作都会涉及到大量的FFT计算(产生多项式）和ECC点乘MSM运算。

在纯plonk模式下，由于需要commit的point数量不大，MSM运算所占的Prove时间比重不高，所以优化FFT性能能够短期带来更大的性能提升。但是在UltraPlonk框架下，由于引入了customergate，prover阶段设计的commit的point数量变多，使得MSM运算的性能优化也变得非常重要。（目前MSM运算进行pippenger优化之后，依然需要log(P(logB))(B是exp的上界，p是参与MSM的point的数量)。

目前新一代Plonky2证明系统由于所采用的多项式commitment不再是KZG而是STARK系统中常见的FRI，使得Plonky2的prover不需要再考虑MSM，从而理论上该系统的性能提升不再依赖MSM相关的算法优化。plonky2的作者Mir(目前的PolygonZero)正在大力推广该系统。不过由于plonky2采用的数域GoldilocksField对于编写elliptic相关的hash算法相关的电路不是特别友好，所以尽管GoldilocksField在机器word运算方面优势明显，但是依然难以判断Mir和PSE/Scroll方案谁是更好的方案。

Visa否认将暂停与加密公司合作，称将继续投资加密领域:金色财经报道，支付巨头Visa周二表示，尽管加密行业最近遭遇了一些挫折，但该公司仍致力于投资加密领域并支持该技术。路透社此前报道称，Visa和万事达卡正在暂停新的加密货币合作伙伴关系，因为在FTX倒闭后，该行业正面临新的审查。Visa发言人表示，事实并非如此。最近的挫折并没有改变Visa的加密货币战略。Visa将继续致力于充当桥梁，帮助连接加密生态系统中出现的平台和技术。这是我们一直在投资并计划继续投资的领域。与此同时，Visa加密业务负责人Cuy Sheffield推特发文称，有关Visa希望放缓与加密公司合作的报道是不准确的，他重申Visa将继续与加密公司合作。他表示，尽管加密生态系统存在挑战和不确定性，但我们的观点没有改变，即在公共区块链上运行的法币支持的数字货币有潜力在支付生态系统中发挥重要作用。此外，万事达卡的一位发言人表示，该公司仍计划与合作伙伴共同将相关支付解决方案推向市场。工作重点将继续集中在底层区块链技术上，以及如何将其应用于解决当前的痛点，并为消费者和企业构建更高效的系统。[2023/3/1 12:35:15]

基于对Plonk,Ultraplonk,Plonky2的Prove算法的综合考量，需要硬件加速的模块大概率还是会集中在FFT，MSM，HASH三个方向。

Prover的另一个瓶颈是witness的生成，通常普通非zk计算会略去大量的中间变量，但是在ZKprove的过程中，所有witness都需要被记录，并且会参与之后的FFT计算，所以如何高效的并行witness计算也会是prover矿机需要潜在考虑的方向。

加速ZKP方面的尝试:recursiveproof-StarkNet的fractalL3概念基于recursiveproof的概念，Zksync的fractalhyperscaling，Scroll也有类似的优化。

>RecursivezkSNARK概念是对一个ProofA的验证过程进行证明，从而产生另一个ProofB。只要Verifier能接受B，那么相当于也接受了A。递归SNARK可以也可以把多个证明聚合在一起，比如把A1A2A3A4的验证过程聚合为B；递归SNARK也可以把一段很长的计算过程拆解为若干步，每一步的计算证明S1都要在下一步的计算证明中得到验证，即计算一步，验证一步，再计算下一步，这样会让Verifier只需要验证最后一步即可，并避免构造一个不定长的大电路的难度。

NFT忠诚度初创公司Hang完成1600万美元A轮融资，Paradigm领投:9月30日消息，NFT忠诚度初创公司Hang宣布完成1600万美元A轮融资，Paradigm领投，Tiger Global、NBA巨星杜兰特旗下基金35 Ventures、Night Ventures、Good Friends 等参投，此外蒂芙尼执行副总裁 Alexandre Arnault等天使投资人也参与了本轮融资。（businessinsider）[2022/10/1 22:42:56]

理论上zkSNARK都支持递归，有些zkSNARK方案可以直接将Verifier用电路实现，另一些zkSNARK需要把Verifier算法拆分成易于电路化的部分和不易电路化的部分，后者采用滞后聚合验证的策略，把验证过程放到最后一步的验证过程中。

在L2的未来应用上，递归的优势可以通过对于带证明事物的归纳而进一步将成本与性能等要求进一步降低。

第一种情况(application-agnostic)是针对不同的待证明的事物，比如一个是stateupdate另一个是MerkleTree，这两个待证明事物的proof可以合并成一个proof但是依旧存在两个输出结果（用来分别验证的publickey)

第二种情况(applicativerecursion)是针对同类的待证明的事物，比如两个都是stateupdate,那么这两个事物可以在生成proof前进行聚合，且仅有一个输出结果，该结果就是经历了两次update的statedifference。

除了recursiveproof以及下文主要讨论的硬件加速之外，还有其他的加速ZKP的方式，比如customgates,移除FFT等，但本文因篇幅原因不予讨论。

硬件加速

硬件加速在密码学中一直是一种普遍的加速密码学证明的方式，无论是对于RSA，还是早期对于zcash/filecoin的zk-snark的GPU-based的优化方式。

硬件选择

XRPL开发者将在Apex开发者峰会上展示新的XRP支付解决方案:9月6日消息，根据XRPL Labs开发人员Wietse Wind和Dominique Blomsma的说法，将在拉斯维加斯的Apex XRPL开发者峰会上展示一个使用寻路（pathfinding）技术的XRP支付和退款解决方案。

该解决方案提供快速寻路功能，用户使用XRP付款，而商家收到其优先考虑的币种。除了负责Xumm Wallet的XRPL Labs团队之外，开源电子商务平台nopCommerce的开发人员也参与新XRP支付解决方案的开发。（U.Today）[2022/9/6 13:12:26]

在以太坊TheMerge发生之后，不可避免将会有大量的GPU算力冗余，下图是英伟达GPU旗舰产品RTX3090的成交价格，也显示买方势力较为薄弱。

在GPU价格处于低点，同时大量GPU算力闲置，一个自然的问题就是，是否GPU是合适的加速zk的硬件呢？硬件端主要有三个选择，GPU/FPGA/ASIC。

FPGAvsGPU:?

先看总结：以下是trapdoor-tech关于GPU以及FPGA在几个维度的总结，非常重要的一点是：GPU在性能方面要高于FPGA,而FPGA在能源消耗则更具有优势。

?一个更直观的来自于Ingoyama的具体的运行结果：??

尤其是对于比特宽度更高的运算，GPU是FPGA运算速度的五倍，而消耗的电量同时也高很多。

对于普通矿工来说，性价比也是一个衡量到底使用哪一个硬件的重要的因素。无论是U55C($4795)还是VU9P($8394)来说，相比于GPU(RTX3090：$1860)，价格都要高出很多。

理论层面，GPU适合并行运算，FPGA追求可编程性，而在零知识证明生成的环境下，这些优势并不能完美适用。比如，GPU适用的并行计算是针对大规模图形处理，虽然逻辑上和MSM的处理方式类似，但是适用的范围与zkp针对的特定的有限域并不一致。对于FPGA来说，可编程性在多个L2的存在的应用场景并不明朗，因为考虑到L2的矿工奖励与单个L2承接的需求挂钩，有可能在细分赛道出现winnertakesall的局面，导致矿工需要频繁更换算法的情景出现的可能性不高。

ASIC是在性能与成本方面上权衡表现较优的方案，但是否是最好的方案仍然没有定论，其存在的问题是：

开发时间长-需经历完整的芯片设计到芯片生产的过程，即使目前已经设计好了芯片，芯片生产也是一个冗长、烧钱并且良片率不一的过程。代工资源方面，台积电和三星是最好的芯片代工工厂，目前台积电的订单已经排到了两年后，与ZK芯片竞争代工资源的是AI芯片、电动车芯片这类web2早早做好芯片设计的已经被需求证明的产品，相比之下ZK芯片的需求并不明朗。

其次，整颗芯片的性能和单个芯片的大小，也就是人们常说的20nm,18nm是成负相关的，也就是说单个芯片越小，晶片可以容纳的芯片的数量越多，即整颗的性能越高，而目前的制造高端芯片的的技术是被垄断的，对于一些中小型的代工厂这类技术方面落后顶尖一到两代，也就意味着从良品率以及芯片大小方面是落后于最好的代工厂的。这会导致对于ZK芯片来说，只能寻求一些次优的解决方案，当然也是在需求端不那么明朗的情况下基于成本的考虑，选择28nm左右的非高端芯片。

目前的ASIC解决方案主要处理的是FFT以及MSM两个常见的ZK电路中算力需求比较高的算子，并不是针对具体的一个项目设计的，所以具体运行的效率并不是理论上最高的。比如，目前Scroll的prover的逻辑电路还没百分百实现，自然也不存在与之一一匹配的硬件电路。并且，ASIC是application-specific，并不支持后续的调整，当逻辑电路发生了变化，比如节点的客户端需要升级，是否存在一个方案也可以兼容，也是目前不确定的。

同时，人才缺失也是ZK芯片的一个行业现状，理解密码学和硬件的人才并不好找，合适的人选是有同时具备较深的数学造诣以及多年的硬件产品设计以及维护经验。

Closingthoughts-prover发展趋势EigenDA

以上都是行业对于加速ZKP的思考与尝试，最终意义就是运行prover的门槛会越来越低。周期性来讲prover需要经历大致的如下三个阶段：

PhaseI:Cloud-basedprover

基于云的prover可以大大提高第三方prover的准入门门槛，类似于web2的aws/googlecloud。商业模式上来讲，项目方会流失一部分奖励，但是从去中心化的叙事讲这是一种经济以及执行层面吸引更多参与者的方式。而云计算/云服务是web2现有的技术栈，已有成熟的开发环境可供开发者使用，并且可以发挥云所特有的低门槛/高集群效应，对于短期内的proofoutsource是一种选择。

目前，Ingoyama也有在这一方面的实现。但是，这依然是一个单个prover运行整个proof的方式，而在phaseII中proof可以是一种可拆分的形式存在，参与者数量会更多。

PhaseII:Provermarketplace

proof生成的过程中包含不同的运算，有的运算对于效率有偏好，有的运算则对成本/能源消耗有要求。比如MSM计算涉及pre-computation，这需要一定的memory支持不同的pre-computation上的标量颗粒，而如果所有的标量都存在一个计算机上的话对于该计算机的memory要求较高，而如果将不同的标量存储在多个服务器上，那么不仅该类的计算的速度会提高，并且参与者的数量也会增加。

Marketplace是一种针对上述外包计算的一种商业模式上的大胆的思考。但其实在Crypto圈子里也有先例-Chainlink的预言机服务，不同链上的不同交易对的价格喂送也是以一种marketplace的形式存在。同时，Aleo的创始人HowardWu曾经合作撰写过一篇DIZK，是一个分布式账本的零知识证明生成方法论，理论上是可行的。

话说回来，商业模式上讲这是一种非常有意思的思考，但是可能在实际落地时一些执行上的困难也是巨大的，比如这类运算之间如何协调生成完整的proof，至少需要在时间以及成本上不落后于PhaseI。

PhaseIII:Everyonerunsprover

未来Prover会运行在用户本地，如Zprize有基于webassembly/andriod执行环境的ZKP加速相关的竞赛和奖励，意味着一定层面上用户的隐私会得到确保，最重要的上-这里的隐私不仅局限于链上行为，也包括链下行为。

一个必须要考虑的问题是关于网页端的安全性，网页端的执行环境相比硬件来说对于安全性的先决条件更高。

除了链上数据链下证明外，以ZKP的形式将链下数据上传到链上，同时百分百保护用户隐私，也只有在这个Phase可能成立。目前的解决方案都难免面临两个问题-1.中心化，也就是说用户的信息依然有被审查的风险2.可验证的数据形式单一。因为链下数据形式多样且不规范化，可验证的数据形式需要经过大量的清洗/筛查，同时依旧形式单一。

这里的挑战甚至不只是证明生成的环境，对于算法层面是否有能够兼容，以及成本/时间/效率都是需要思考的。但是同样需求也是无与伦比的，想象可以以去中心化的方式抵押现实生活的信用在链上进行借贷，并且不会有被审查的风险。

标签：PROVERROVERARKEpiK ProtocolQuiverXTaroverse GoldBunnyPark

币赢热门资讯