为什么说zkRollup的可行性起源于零知识证明的计算代理思想

撰文：FoxTechCTO林彦熹，FoxTech首席科学家孟铉济

前言

Prover和Verifier之间的计算代理思想是零知识证明的核心内容之一，是调节证明者和验证者工作量于复杂度之间取舍的工具。不同的零知识证明算法本质的不同在于不同程度的计算代理；高度的代理虽然会使验证的计算容易，但是却可能使得证明的复杂度高，从而导致证明耗时长，或是生成的证明大小较大；反之，低程度的代理会使得验证者的开销较大。

图1:零知识证明的计算代理程度影响

Stader Labs推出漏洞赏金计划，最高奖金100万美元:7月10日消息，流动性质押协议Stader Labs在Immunefi上推出漏洞赏金计划，赏金按照漏洞严重程度从 2 万美元至 100 万美元不等，主要面向协议智能合约方面。[2023/7/10 10:46:06]

计算代理是什么

随着以太坊上应用和用户的扩展，以太主网上的拥堵程度不断提升，使用zkRollup进行Layer?2的扩容成为一个很有吸引力的方案，FOX就是专注于使用FOAKS算法进行zkRollup的项目。而zkRollup的可行性，本质上在于使用的零知识证明算法的原理可行性。简单来说，零知识证明算法实现的功能是使得证明者向验证者证明某件事，但又不透露任何关于这件事的信息。zkRollup的构造就是利用了这个性质，使得Layer?2的节点可以执行原本在Layer?1进行的计算，同时向Layer?1节点提供计算正确性的证明。

Shiba Inu首席开发者：ShibaSwap是Shibarium生态唯一官方DEX:3月5日消息，Shiba Inu首席开发者Shytoshi Kusama新的推特个人简介更新中透露，ShibaSwap是Shibarium生态系统唯一的官方去中心化交易所（DEX）。

根据该项目的白皮书，ShibaSwap旨在为交易员提供一个安全的去中心化交易环境。ShibaSwap还允许SHIB、Bone（BONE）和Doge Killer（LEASH）的持有者质押他们的代币或向ShibaSwap提供流动性以获得奖励。

上周，Shiba Inu生态系统推出了加入Shibarium门户网站，任何对Shibarium感兴趣的人都可以申请和联系。目前该门户网站已经收到了数千份回复。（The Daily Hodl）[2023/3/5 12:43:28]

从更广义的角度来说，上述的过程我们可以理解为，由于验证者计算能力有限，所以将这部分的计算代理给了证明者来执行，证明者完成了这个任务，需要返回结果给验证者。从这个角度来说，我们可以说，零知识证明算法使得保障正确性的“计算代理”得以实现。从宏观上这种计算代理的例子可以表现为zkRollup这种形式的应用，具体到零知识算法当中，这种计算代理的思想也有各种应用。

PancakeSwap：已销毁超705万枚CAKE，约2900万美元:1月30日消息，去中心化交易平台PancakeSwap官方宣布，今日已销毁7,059,088枚CAKE，约2900万美元。根据PancakeSwap文档，PancakeSwap当前每个区块释放40枚CAKE，销毁约30.1枚CAKE（每周销毁一次），每个区块有效释放量约为9.9枚。[2023/1/30 11:36:46]

本文主要介绍FOAKS使用的在Orion当中提到的Code-Switching所做的令证明者帮助验证者执行的验证计算过程，以及FOAKS如何应用这种技巧进行递归。从而减少了证明的大小以及验证者的开销。

为什么需要计算代理

从系统的实用性角度来说，很多情况下计算节点的算力是有限的，或者说计算资源是很宝贵的。例如在Layer?1链上的所有计算都需要经过所有节点的共识，并且用户需要为此支付高昂的手续费。所以，在这种情况下，将本来由共识节点来处理的计算“代理出去”交给链下节点来完成，就是一种自然的想法，避免消耗链上资源。而这也正是FOX所专注的链下计算服务。

英国《金融时报》：将于9月初选出新英国首相:7月8日消息，了解相关计划的议员表示，保守党打算在9月初下议院结束夏季休假后任命一位新的英国首相。英国首相约翰逊周四宣布辞职，触发党内新党魁的竞选，而新任党魁将由女王任命为首相。竞选计划将于下周一的1922委员会会议上签署。竞选将分两个阶段进行，在第一阶段中，保守党议员将把候选人名单缩减至两名；随后将在该党10万名党员中展开竞选活动，将由他们决定下一任领导人。1922委员会执行机构的资深议员表示，他们希望在7月21日下议院夏季休会前完成两阶段竞选中的议会部分。一位长期接近这一进程的议员表示：“从逻辑上讲，我认为在9月初众议院复会时应该有可能全部完成。”(金十)[2022/7/8 1:58:56]

从密码学理论角度来讲，在GMR模型当中限定了证明者拥有无限计算能力，验证者拥有多项式计算能力。如果验证者也有无限能力，则零知识证明的基本性质无法满足。所以自然地，将计算向证明者一方倾斜，让证明者承担更多的计算就是很多零知识证明算法设计都会考虑的问题。

东方文化：与迈塔沃斯战略合作 推进实物及数字收藏品挂牌交易:5月26日消息，收藏品和艺术品电子商务服务在线提供商东方文化（NASDAQ：OCG）宣布，公司全资子公司香港数码资产交易中心有限公司与杭州迈塔沃斯互联网科技有限公司签署战略合作备忘录，双方将通力合作整合各自在相关行业的资源，为全球用户提供数字藏品铸造、发售、拍卖、交易等服务。双方将发挥自身优势，推进实物收藏品与数字收藏品在香港数码资产交易中心挂牌交易事宜，并面向全球收藏者征集挂牌藏品。[2022/5/27 3:44:21]

当然，为了实现这一点，我们需要特别的技巧。

CodeSwitching

这一节介绍Orion当中使用的CodeSwitching技巧。Orion和FOAKS都使用了Brakedown作为多项式承诺方案，而CodeSwitching是在Orion当中命名的有证明者代替验证者执行验证计算的过程。

在《一文了解FOAKS当中的多项式承诺协议Brakedown》一文当中我们曾经介绍过，验证者的验证计算为以下的过程:

现在如果令证明者承担这部分计算，则证明者除了执行这些计算，还要附上证明值来证明自己的计算是正确的。

做法是将上述等式同样写成R1CS电路：

之后使用Virgo算法进行验证。

FOAKS当中的计算代理

在FOAKS当中同样使用类似的技巧完成计算代理，值得一提的是，FOAKS由于使用了Fiat-Shamirheuristic技巧实现了非交互式证明。想要了解更多，读者可以参考《如何将交互式证明改造为非交互式？Fiat-ShamirHeuristic！》。所以FOAKS的挑战生成和Orion所使用的CodeSwitching方法不同，电路当中也需要加入新的等式：

这样之后FOAKS当中的证明者同样生成了代理验证者进行验证的计算证明。而对于验证证明的过程，FOAKS利用算法自身进行迭代，这也是FOAKS实现递归的关键内容。具体内容见《如何设计出一种精妙绝伦的证明递归方案》。

通过一定次数的迭代可以使得证明的大小被压缩，从而极大降低验证者的计算负担以及通信复杂度。这就是FOAKS这个零知识证明方案对FOX这条zkRollup的重大意义。

结语

zkRollup中使用的零知识证明算法的计算代理程度需要被精心设计，必须恰到好处才能使其整体达到最佳效率。而FOAKS算法通过自身迭代的递归实现了可以调节的计算代理，是为专门为zkRollup所设计的零知识证明算法。

参考文献

1.Orion：Xie,Tiancheng,YupengZhang,andDawnSong."Orion:Zeroknowledgeproofwithlinearprovertime."AdvancesinCryptology–CRYPTO2022:42?ndAnnualInternationalCryptologyConference,CRYPTO2022,SantaBarbara,CA,USA,August15?–?18,2022,Proceedings,PartIV.Cham:SpringerNatureSwitzerland,2022.

标签：FOASHIOAKSHIBFOAM币SHIBSHABU币SoakmontGreen Shiba Inu

MANA热门资讯