“365官方游戏”再议有效性证明 vs. 错误性证明

本文摘要：导语近几个月以来，更加多注目的目光放在了 Optimistic Rollup (OR) 这个基于错误性证明（Fault Proof）的扩展框架上。

导语近几个月以来，更加多注目的目光放在了 Optimistic Rollup (OR) 这个基于错误性证明（Fault Proof）的扩展框架上。我们 StarkWare 则使用有效性证明（Validity Proofs ，VP），因为它比错误性证明更加安全性。本文将在安全性辩论之外，列出一些 VP 较 OR 的额外优势，同时缺失大众对有效性证明的少见误会，最后讲解 StarkEx —— StarkWare 研发、基于 STARK 和有效性证明的扩展引擎。在此尤其解释，和 OR 较为，VP 具备以下优势：· 彻底更加安全性· 撤款时的资本效率高 1000 倍· 可扩展性更加强劲（链上）· 在计算出来方面，最少能超过完全相同的效率安全性在上一篇分析（编者注：中译本闻文末）中，我们较为了 VP 和 OR ，前者只不会在某状态切换被严苛证明有效地的情况下继续执行该状态切换，而后者则容许给定的状态切换（因此是 Optimistic ，悲观的），参与方可以针对违宪的状态切换递交错误性证明。

我们的上一篇文章探讨安全性分析，明确指出了一种能在 OR 中实行、且不会造成 OR 中所有资金被盗的反击手段（其它不切实际的反击手段也在先前大大辩论）。区块链上的基础架构解决方案必需充足强壮，要能承托来自金融世界、每天万亿级别的资金交互阻抗。

VP 和 OR 分别怎样胜任？由于在 OR 中盗取资金的成本和收益大小牵涉到，所以一旦系统支撑了充足多的资本，使得毁坏系统显得有利可图，那理性的参与者认同不会想方设法通过反击牟利。与 OR 忽略，VP 会切换到任何违宪的状态，使得无论支撑多少资金都会被盗。对于大规模的金融系统，VP 更加强壮，而 OR 更加薄弱。

也可以车站在数据集一旦遗失的角度分析系统的安全性。和 VP 比起，OR 中的数据更加脆弱。

一旦数据遗失，OR 中的资金就有可能被盗 —— 也正因如此，目前的设计方案都集中于在链上数据可用性挑战（Data Availability）上。而对于 VP ，由于使用了链上数据（例如 ZK-Rollup），资金就跟不存在 Layer-1 中一样安全性。至于 VP 的链下数据部分，资金最少被失效，而会被盗。

资金效率数字货币世界中流动性的众多痛点在于资金存款时的延后。在 OR 中，标准存款窗口期约为 1 周时间——这是给递交错误性证明的有效地窗口时间（一个安全性参数）。在 VP 中，标准存款窗口约为 10 分钟（利用额外的软件和硬件提高能显得更加较短）—— 这是针对上一次计算结果来分解有效性证明的时间。

因此 OR 的标准存款窗口时间要比 VP 宽 1000 倍（1 周/10 分钟 ~ 1000）。用于 OR 就要忍受这样 1000 倍的不便，这不仅是时间上的延后，也是资金效率的减少。我们先前叙述过一个免除信任的较慢提款机制：想马上付款的用户必须给流动性提供商打一份链下资产的欠条，即亲笔签名了的条件缴纳交易，然后流动性提供商从自己的 “存钱罐” 智能合约中拨付这笔资金，在链上把欠条金额上的资金转交付款用户，整套操作者必须的时间和区块链网络的账户时间差不多。

流动性提供商不会定期把积累的链下资产移往到链上的“存钱罐”中。VP 和 OR 都能应用于较慢存款机制。但在 OR 系统中，流动性提供商必须在 “存钱罐” 中打算 1000 倍的资金，因为他们接到链下资产等候的时间窗口要长 1000 倍。

这个 1000 倍的比例和 “存钱罐” 流动性算法中的各种假设都牵涉到：无论是基于存款金额期望值，或 付款-存款差额，再行或者是峰值流动性市场需求、平均值撤款金额等等，OR 必须的储备金数量都是 VP 的 1000 倍。然而，有时根本无法用于较慢撤款。对于非同质化资产（或者是一些非主流同质化资产）就不了用于（或者应用于的成本很高）：· 非同质 Token（NFT）：正如先前由 Vitalik 讲解那样，如果一只名为 Mitzi 的名贵 CryptoKitty 不存在了链下，网卓新闻网，他的所有者不了拒绝在链上再行接到一只 Mitzi ，因为世界下有且只有这一只叫 Mitzi 的 CryptoKitty。

· 隐密交易：Zerocash 风格的允诺（commitment）在或许上也所谓同质化的。要想要把隐密交易中的资金较慢提及主链（主链上也应当维持隐蔽性），用户必需要向流动性提供商揭发允诺中的数据，毁坏隐蔽性。

在这种较慢撤款机制无法应用于的场景下，用户不能自由选择等候标准撤款窗口完结，VP 则要比 OR 慢 1000 倍。可扩展性（链上）在这一部分我们将对比有所不同的 rollup 系统，由于同类事物间的较为才有意义，因此我们只较为获取链上数据可用性的 rollup 系统，即：OR vs. STARK ZK-Rollup（StR）。虽然我们想，但是所有在链上存储数据的 rollup 系统都将随着 rollup 交易的激增而线性减小消耗的资源量。

链上数据包括一些 状态（例如交易细节）以及 亲眼数据（例如用来证明交易参予各方的数字签名）。OR 和 StR 的区别在于随着交易量的减少，前者的亲眼数据线性快速增长，而后者把这些亲眼替换成了一个证明，这个证明的大小只不会多项式对数级别快速增长。划出重点，对于充足大、充足多的批量交易，StR 的链上数据指纹要比 OR 小很多...从细节抵达：在 StR 中，亲眼数据能核实 rollup 运营者所展开的按规定，因此一批计算出来只必须一则亲眼（例如一份 zk-proof），而不必须在每一份交易后面都所附一份证明。

更加杰出的是，在现代 zkp 系统中，这个证明的大小是相同的（精确点来说，正如我们前文所提及，是多项式指数级别）。因此随着批量交易的减小，分摊到每一条交易头上的资源消耗反而增加。

在 OR 中，每一条交易都必需附上一则亲眼，使检验人能核实交易的正确性。因此对于大批量的交易，并没均摊增加的优势。

更加最重要的是。OR 中的亲眼要比交易本身大很多：比方说 OR 亲眼必须包括所有用户的亲笔签名 1，而 VP 不必须（证明能核实它们早已在链下被检验过了）。

在全然的缴纳中，亲眼要比缴纳的数据量大 3 到 5 倍；而对于简单的应用于场景（比如说隐密交易），亲眼一般来说不会比状态的数据大 10 倍以上，有时甚至更加多。总的来说，OR 显著要消耗更好的链上资源，也因此比 StR 更慢地覆以到扩展性天花板。标准化计算出来支出（STARKs 越用越少用）人们经常拿 VP 和 OR 的标准化计算出来支出做到对比：即对于一个等价的链下计算出来任务，两种有所不同的系统额外必须做到哪些工作？下文我们将环绕 StarkWare 的 STARK 进行，因为这是我们目前应用于的 VP 框架。

OR：由于 100 个检验者互相监督基本上需要确保整个计算出来的正确性，因此当提及 OR ，检验者的数量都数以百计。到了检验阶段，每一个检验人都必须展开一遍计算出来任务，因此在 OR 中做到标准化计算出来的支出是原任务的 100 倍。有适当解释，检验人子集就越小或者就越多预先指派的情况，检验人就就越更容易相互指使，或者受到外界的行贿、反击。STARK：由于检验过程的计算出来支出微不足道，它只必须一个实体 —— 证明者 —— 展开大量的计算出来。

检验的计算出来支出有多微不足道呢？现在我们甚至可以用一台非常简单的智能手机对一大批计算结果做到检验，因此可以忽视检验的计算出来消耗。人们经常说道证明者的计算出来支出是原先任务的 10000 倍，因为证明必须消耗大量的计算出来来分解。但实质上 StR 必须的计算出来支出意味着是 100 倍，因此额外的计算出来支出和 OR 大体非常。之所以说道 StR 的计算出来支出仅有 100 倍，是基于以下理由：· 对于算数/几何运算操作者，我们早已超过了多于 100 倍的计算出来支出。

目前应用于的 Pedersen 哈希函数意味着比原本的操作者减少了 20 倍计算出来消耗：即用 STARK 来证明一个 Pedersen 哈希值的正确性意味着比必要计算出来 Pedersen 快 20 倍。· 对于那些像 SHA-256 那样众所周知计算出来支出相当大的操作者，我们于是以试着把那些函数替换成对 STARK 友好关系的操作者。

我们目前不受以太坊基金会的资助来展开这些研究，而且在 2020 年第一季度，许多密码学大牛会递交给我们他们的替代方案建议。估算对 STARK 友好关系的哈希函数在证明时仅有比某些高效的哈希算法（例如 SHA-256）的必要计算出来快 100 倍。

本文来源：365官方游戏-www.plenavidamusic.com