ASI:Paradigm：零知识证明重要但低效，如何通过硬件将它提速？

撰文：GeorgiosKonstantopoulos，Paradigm研究合伙人

编译：Amber

简介

零知识密码学是计算机科学领域在近50年间最引人注目的创新之一。零知识证明的一系列「先天优势」使其成为了各种区块链扩容和隐私解决方案的重要组成部分，包括像StarkNet这样的ZKrollups，像Aztec这样的隐私ZKrollups，以及像Mina、Filecoin和Aleo这样的一层公链等等，都应用了该技术。

虽然受制于庞大的数学计算需求量导致ZKPs的生产速度缓慢且昂贵。但随着以现场可编程阵列和专用集成电路为代表的特殊硬件的普及和落地，ZKPs的效率将得以大幅提升，提升幅度甚至可能达到1000倍之多。

随着个性化且高性能的隐私计算需求日益增长，使用ZKPs证明的语句复杂性将进一步增加。因此也只能通过使用专门的硬件来避免证明生成速度进一步下降，以便更及时地生成证明结果。

这意味着这个「产业链」将迎来变革，就像那些服务于比特币网络的矿工一样，这些为了支持ZKPs高效运行的特殊硬件操作者将得到相应的补偿，一个完整的ZK挖矿和证明行业将就此出现。业余爱好者们可以在他们自己的CPU上生成证明，亦或是使用GPU以及FPGA。当然这个完整链条的成熟还需要相当一段时间的演变。

Arbitrum：400万枚ARB初始空投代币将被分配给DAO:金色财经报道，以太坊Layer 2扩容解决方案Arbitrum在社交媒体宣布，新一波ARB初始空投代币将会被分配给Arbitrum生态系统中的DAO，总计400万枚。另据Nansen披露数据显示，截至目前Arbitrum空投代币ARB已有1,077,565,625枚被申领，占到1,162,166,000空投总供应量的约93%。[2023/6/7 21:20:50]

零知识证明为什么重要？

零知识证明有两个主要的用例：

1、外包可验证的计算

假设你有一些计算需求，由于你所使用的平台的限制，完成这些计算的时间成本过于昂贵甚至由于算力不足根本无法完成。这时候你就必须依靠第三方服务来运行该计算，一般来说，这些服务都可以快速且平价地返回给你该计算的输出。

但是，通常情况下你只能默认计算已经被正确执行，而一旦算力提供方输出了一个错误或者无效的计算结果，这就可能会造成灾难性的后果。

ZKPs的价值就体现在其允许第三方提供者也输出一个计算完整性的证明，保证你收到的输出是正确的。

Optimism：RetroPGF第2轮投票开始，将分配1000万枚OP代币:3月10日消息，以太坊L2网络Optimism在社交媒体宣布，第二轮追溯性公共产品募资（RetroPGF 2）投票已开始，RetroPGF 2将分配1000万枚OP代币来资助支持OP Stack开源代码库开发和使用的公共产品，已被提名的项目将分为三类，包括：基础设施、工具和实用程序、交易。Optimism还推出了RetroPGF 2 Discovery页面，允许用户了解有关本轮提名项目的更多信息。追溯性公共产品资金是Optimism生态系统和超级链发展的关键，通过投资可谓社区提供动力的公共产品，将Optimism打造成全球基础设施。第二轮的投票将在接下来的两周内由71名社区徽章持有者进行。获奖者将于3月底投票结束后公布。

此前去年12月消息，Optimism宣布将在RetroPGF 2中分发1000万枚OP代币资助项目和开发者。[2023/3/10 12:53:47]

2、隐私计算

如果你有一个计算需求在本地运行并不昂贵，但你想隐藏它的一部分，怎么办？例如，如果我想让你知道我知道第1000个斐波那契数，但不告诉你这个数字，或者让你相信我已经支付了一笔钱，但不向你透露金额或我的身份，怎么办？

首个“无聊猿”NFT抽奖项目“Bored & Lucky”加入Yuga Labs IP生态:金色财经报道，蓝筹NFT抽奖项目“Bored & Lucky”宣布加入Yuga Labs IP生态，这是目前首个基于“无聊猿” NFT的抽奖平台，除了该系列之外，“Bored & Lucky”也提供其他NFT系列抽奖服务，比如MAYC 和 CryptoPunks。目前该平台已有 3 场公开抽奖活动，整个过程是完全透明的，所有抽奖均基于以太坊智能合约，第一个DeadFellaz #1175 NFT已被赢家抽走。（cryptonews）[2022/9/22 7:14:46]

ZKPs就可以让你有选择地隐藏计算语句相关的部分或全部输入内容。

上述两个用例都已经以很多种形式体现在加密货币行业的方方面面。

二层扩展：可验证的计算与ZKPs允许一层公链将交易处理外包给链外高性能系统。这使得区块链可以在安全性不受影响的前提下进行扩展。举例来说，StarkWare正在建立一个可扩展的智能合约平台，StarkNet，其中就使用了一个用于特殊用途的虚拟机，运行ZK友好的代码。而Aztec的二层应用支持隐私运行，不会泄露用户交易的任何信息。隐私公链：像Aleo、Mina和Zcash这样的一层公链允许交易人使用ZKPs来隐藏发送者、接收者或金额等信息，可以是默认的，也可以是选择加入。去中心化的存储：Filecoin使用ZKPs来证明网络中的节点正确存储数据。区块链压缩：Mina和Celo使用ZKPs将同步到链的最新状态所需的区块链数据压缩成一个小证明。

横琴发布“稳经济30条”：培育发展元宇宙等新业态:金色财经报道，8月22日，横琴粤澳深度合作区官网发布《横琴粤澳深度合作区贯彻落实国务院〈扎实稳住经济的一揽子政策措施〉实施方案》，共30条措施。《实施方案》明确，加快出台支持生物医药大健康产业发展的政策措施；培育发展元宇宙等下一代互联网新业态，聚焦元宇宙关键技术的集成创新与融合应用，支持建设合作区元宇宙产业链股份制联盟，研究出台《横琴粤澳深度合作区元宇宙产业促进办法》，打造全国首个元宇宙开放创新试验区。此外，布局发展无人驾驶汽车，加强在机器人、人工智能、感应器、车联网等多领域的技术应用。（21财经）[2022/8/22 12:41:31]

鉴于上述情况，可以说，随着加密货币采用率的提高，ZKPs的市场需求也会同步增长，以适应用户对性能和隐私的需求增加。

ZKPs从根本上为可扩展的私人支付以及智能合约平台的加速发展提供了可能，但是其高昂的计算成本在一定程度上限制了其大规模采用的进程。

ZKPs为什么会很慢，我们要如何让其快起来？

基于ZKPs证明一个计算首先需要将其从经典描述「翻译」成ZK友好的格式。这可以通过手动重写代码来完成，以使用像Arkworks这样的低级库，或者使用像Cairo或Circom这样的专用语言将其编译成原语来生成证明。

比特币倡导者Nic Carter因支持钱包身份验证项目Dynamic而受到批评:6月29日消息，推特加密用户对知名比特币倡导者Nic Carter提出批评，原因是他参与了一个第三方钱包认证项目Dynamic。对于Dynamic而言，如果一个钱包被归类为存在风险，该项目可能会阻止其进行钱包交易。

Carter在推特上分享了他对支持该项目的兴奋之情，并发布了Dynamic最近的融资公告。随后，加密用户纷纷涌向Carter的推特，表达他们对此举的失望之情。然而面对批评，Carter坚持自己的立场，在推特上回应了这些指控，还称批评他的人不高兴的话可以取关自己。

此前消息，Web3身份验证初创公司Dynamic完成750万美元种子轮融资。（Cointelegraph）[2022/6/29 1:39:48]

更昂贵和复杂的操作会导致需要花费更长的证明生成时间。此外一些对ZK不友好操作也会导致在普通计算机上的证明生成时间会变得非常长，而这种情况时常发生。

一旦你的计算变成了ZK友好的形式，你就能选择一些输入并将其发送到一个证明系统。比如以其论文作者的名字命名的Groth16、GM17，或是名字更具创意的PLONK、Spartan以及STARK等。这些证明系统都接受以ZK友好格式表达的计算。根据不同的证明系统，证明的生成过程可能有所不同，但瓶颈实际上存在共性，即：

大数向量的乘法，特别是变基和定基多标度乘法；或者快速傅里叶变换和反FFT。?

在同时存在FFT和MSM的系统中，生成证明的时间中大概70%会花在MSM上，剩下的时间则用于FTT计算。MSM和FFT都很慢，但也并非毫无优化的可能。先看问题：

?对于MSM来说，可以通过在多线程运行来进行加速。然而，即使在数百个内核上，如果每个元素向量达到2的25次方个，乘法最终仍然需要花费大量的时间。这就可能会导致设备「爆内存」。简而言之，MSM需要大量的内存，即使在多线程的情况下仍然很慢。FFT很大程度上依赖于算法运行时数据的频繁重组。这使得它们很难通过在一个计算集群中有效分配负载来加速，这类计算在硬件上运行时需要大量的带宽。重组意味着你需要「随机」加载和卸载部分数据，例如，在内存为16GB或更少的硬件芯片上加载一个>100GB的数据集。虽然硬件上的操作非常快，但通过接口加载和卸载数据的时间会导致操作速度大幅减慢。?

简单来说：

MSM的内存访问需求是可预测的，可以实现大量的并行化，但由于原始的计算量和内存需求非常大，其成本仍然很高。FFT的内存访问是随机的，这一点对硬件并不友好，而且自然很难在分布式基础设施上运行。?

我们在解决大型MSM和FFT的缓慢性方面看到的最有希望的工作是PipeZK。在他们的论文中，作者描述了一种使用Pippenger算法跳过重复计算来让MSM变得更加高效的方法。他们还描述了一种「unroll」FFT的方法，这样就可以在不进行大量数据重组的情况下进行计算，内存的访问模式会变得可预测，这可以有效提升硬件的计算效率。

假设上述方法解决了每种算法的基本瓶颈问题，那么问题就来了。能够同时优化MSM和FTT算法并让ZKP生成效率大幅提升的硬件是什么样的呢？

硬件的选择

上述加速技术可以在多种硬件技术上实现，包括但不限于GPU、FPGA以及ASIC等。但哪一个是最好的选择呢？

在回答这个问题之前我们要先明确一点，ZKPs仍然处于发展的早期，系统参数或证明系统的选择上仍然没有实现标准化。正因为如此，FPGA的两个核心特性让其在当前的大环境中相比ASIC更具吸引力。

「多次写入」对比「一次性写入」：ASIC上的业务逻辑是一次性写入的。如果任何ZKP逻辑发生变化，你就需要从头再来。而FPGA可以实现秒级的重新刷新，这意味着可以在具有不兼容的证明系统的多个链上重新使用相同的硬件，硬件可以适应ZK「元」的变化灵活。更成熟的供应链：ASIC的设计、制造和部署通常需要12至18个月乃至更长的时间。相比之下FPGA供应链要成熟许多，像Xilinx这样头部的供应商允许从网站上下订大量的零售订单并在16周内到达。这使得以FPGA为中心的业务能够对其产品有一个更紧凑的反馈回路，并能更灵活地通过购买和部署更多的FPGA来随时扩大业务规模。?

而随着机器学习和计算机视觉领域技术的发展，未来FPGA的性能甚至有望超越GPU，而与GPU相比，FPGA还存在两个很明显的优势：

硬件成本：顶级FPGA比顶级GPU便宜约3倍。而全球内GPU供不应求的状况进一步加剧了这个问题。能耗比：FPGA的能效比GPU高10倍以上，很大的原因是GPU需要连接到主机设备上才能运行，而主机设备往往要消耗大量的电能。?

鉴于上述情况，我们预计市场上的获胜者将是那些专注于FPGA而不是ASIC或GPU的公司。然而，如果只有一个或几个ZKL1或L2最终「垄断」了市场，且ZK证明系统稳定在一个单一的实现方案上的话，ASIC战胜FPGA的可能性会更大。但从目前的情况来看，即便会发生，可能也需要等到很多年以后。

结论

在刚刚结束的2021年里，比特币矿工的净收入超过150亿美元，以太坊矿工的收入更是超过了170亿美元。零知识证明最终会成为网络上计算完整性和隐私的重要实现手段，在这种情况下，「ZK矿工」的市场规模有望媲美PoW挖矿市场。

而综上所述，至少在当前的背景下，FPGA硬件可以更好地解决ZKPs证明生成低效且昂贵的现状，在这条新赛道的硬件竞逐中，FPGA相比GPU和ASIC暂时处在领先的位置之上。

标签：ZKPFPGASIARBzkProofFPG币ASIX价格arb币价格

LTC热门资讯