Tiêu đề gốc: Mô hình mới trong thiết kế ZK-ASIC, cách zkVM
Tác giả gốc: Nhóm Cysic
Bài viết này được biên soạn bởi: Loopy
Cảm ơn Justin Drake và Luke Pearson vì những cuộc thảo luận sâu sắc.
Việc tạo bằng chứng không có kiến thức theo thời gian thực yêu cầu tăng tốc phần cứng từ đầu đến cuối. zkVM không chỉ đơn giản hóa việc thiết kế ZK ASIC mà còn cho phép phần cứng có hiệu suất cao hơn và chi phí thấp hơn.
Bằng chứng không có kiến thức (ZKP) cho phép một bên (người chứng minh) chứng minh với bên khác (người xác minh) rằng một tuyên bố nhất định là đúng mà không tiết lộ bất kỳ thông tin nào ngoài tính hợp lệ của chính tuyên bố đó.
Silvio Micali, một trong những người phát minh ra bằng chứng không có kiến thức (anh ấy đồng phát minh ra nó với Goldwasser và Rackoff), đã nói rằng giống như việc mã hóa làm nhầm lẫn dữ liệu, bằng chứng không có kiến thức cũng làm nhầm lẫn các phép tính. Cụ thể hơn, các thuật toán mã hóa (chẳng hạn như AES hoặc RSA) chuyển đổi dữ liệu thành văn bản mã hóa tương ứng, giúp ẩn dữ liệu cơ bản. Bằng chứng không có kiến thức chuyển các yêu cầu tính toán thành bằng chứng không chỉ che giấu các chi tiết của phép tính mà còn xác minh tính chính xác của yêu cầu.
ZKP có hai đặc tính tốt - không có kiến thức và tính đơn giản. Điều này cũng làm cho nó trở thành một trong những mật mã cấp cao nguyên thủy được sử dụng rộng rãi nhất.
Không có kiến thức có nghĩa là bản thân bằng chứng không tiết lộ bất kỳ thông tin nào về quá trình tính toán hoặc đầu vào riêng tư. Tính năng này rất hữu ích để xây dựng một số ứng dụng hướng tới quyền riêng tư. Ví dụ, Aleo, không giống như Bitcoin, Ethereum và các chuỗi công khai khác, có thể ẩn chi tiết giao dịch.
Tính đơn giản đề cập đến quy mô nhỏ của bằng chứng và thời gian xác minh ngắn, có nghĩa là một quá trình tính toán phức tạp có thể được chuyển đổi thành một phần dữ liệu nhỏ (tức là "bằng chứng", "bằng chứng"). Và nó có thể được xác minh gần như ngay lập tức trên các thiết bị tính toán yếu (như điện thoại di động hay thậm chí là Raspberry Pi). Tính năng này cực kỳ hữu ích khi mở rộng quy mô Ethereum, vì chúng ta có thể chuyển đổi phép tính EVM tương ứng với 1000 giao dịch thành một bằng chứng nhỏ và sau đó xuất bản bằng chứng này trên Ethereum. Nếu một bằng chứng nhỏ như vậy (có lẽ chỉ 100 byte) được Ethereum xác minh thì toàn bộ 1000 giao dịch cuối cùng cũng được xác nhận. Các chuỗi khối riêng tư và các giải pháp mở rộng quy mô chỉ là hai ví dụ về cơn sốt ZKP trong cộng đồng chuỗi khối. Nhiều dự án ZK cũng có thể được xây dựng bằng cách sử dụng hai thuộc tính chính này, chẳng hạn như bộ đồng xử lý ZK, cầu ZK, học máy ZK (ZKML).
Một trở ngại đáng kể cho việc triển khai rộng rãi ZKP là nhu cầu rất lớn về thời gian và nguồn lực tính toán trong quá trình tạo bằng chứng.
Thông thường, các phép tính phức tạp hơn đòi hỏi nhiều thời gian và nguồn lực hơn. Ví dụ: trong dự án ZKML của Daniel Kang và nhóm của anh ấy, việc tạo bằng chứng cho suy luận GPT-2 mất hơn 9000 giây bằng cách sử dụng CPU 64 luồng mạnh mẽ. Mặt khác, việc tạo bằng chứng cho mạch ZK-EVM trong Scroll yêu cầu RAM trên 280 GB.
Do những yêu cầu tài nguyên nghiêm ngặt này, cộng đồng đang tìm kiếm phần cứng hiệu quả hơn được thiết kế riêng cho tính toán ZK (được gọi là tạo bằng chứng). Các tùy chọn phần cứng bao gồm CPU, GPU, FPGA và ASIC. Các tùy chọn này bao gồm từ hiện có sẵn cho đến thời gian chờ đợi không chắc chắn.
CPU thường được coi là triển khai cơ bản để so sánh với ba tùy chọn còn lại. Có hai chỉ báo phổ biến về khả năng tăng tốc phần cứng. Dưới đây là một số giải thích trực quan:
CPU thường được coi là triển khai cơ bản để so sánh với ba tùy chọn còn lại. Có hai chỉ báo phổ biến về khả năng tăng tốc phần cứng. Dưới đây là một số giải thích trực quan:
- Hiệu suất trên mỗi đô la: Điều này có nghĩa là người dùng phải trả bao nhiêu để mua phần cứng này. Quyết định mua hàng phụ thuộc vào nhiều yếu tố, trong đó không ít yếu tố là hiệu quả tối đa với cùng số tiền. Về cơ bản, số liệu này đo lường hiệu quả chi phí của phần cứng. Nói chung, nếu sử dụng quy trình tiên tiến hơn để sản xuất chip, chúng ta có thể đạt được hiệu suất cao hơn nhưng nó có xu hướng đắt hơn.
- Hiệu suất trên mỗi watt: Điều này có nghĩa là cần bao nhiêu năng lượng để chạy phần cứng này. Ví dụ: công cụ khai thác Bitcoin mới nhất của Bitmain, T 21, chỉ sử dụng 19 joules để hoàn thành 1 TH tính toán, vượt trội so với các sản phẩm của đối thủ cạnh tranh.
Ưu điểm của một sản phẩm chủ yếu phụ thuộc vào hai yếu tố trên, cũng như một số yếu tố phi kỹ thuật (như chế độ bảo hành, giá trị còn lại). Thông thường, phần cứng dựa trên ASIC vượt trội hơn ba loại còn lại trong hai số liệu này do tính chất có thể tùy chỉnh của nó.
Hãy tưởng tượng rằng một ZK ASIC chuyên dụng hiện đã được thiết kế để mang lại hiệu suất trên mỗi đô la và trên mỗi watt tốt hơn đáng kể so với các GPU và FPGA hiện có. ASIC này có thể hỗ trợ nhiều mô-đun khác nhau như phép nhân đa vô hướng (MSM), phép biến đổi lý thuyết số (NTT), cây Merkle, v.v., nhưng làm cách nào để tích hợp phần cứng này với nhóm công nghệ hiện tại?
Cách tiếp cận phổ biến nhất là thay thế các tính toán tương ứng trong mã CPU bằng các thành phần tăng tốc, một sự thay thế đơn giản thường không đạt được khả năng tăng tốc hiệu suất thỏa đáng. Chúng tôi đã công bố những phát hiện của mình về phương pháp này tại ethCC'23 (thông tin chi tiết hơn trong tweet này).
So sánh hiệu năng CPU và FPGA/CPU
Chúng tôi đã đạt được tiến bộ đáng kể so với hiệu suất CPU bằng cách sử dụng kết hợp CPU và máy FPGA tùy chỉnh của mình, nhưng hiệu suất vẫn còn lâu mới đạt được mục tiêu cuối cùng - chứng minh ZK theo thời gian thực.
Hiệu suất dưới mức tối ưu này là do định luật Amdahl và chi phí tương tác giữa các thành phần phần cứng khác nhau. Định luật Amdahl cho thấy rằng sự cải thiện hiệu suất tổng thể đạt được bằng cách tối ưu hóa một phần duy nhất của hệ thống bị hạn chế và điều này càng trở nên trầm trọng hơn do chi phí liên lạc giữa các mô-đun phần cứng khác nhau (Nguồn: Wikipedia ). Để đạt được tốc độ tăng tốc đáng kể so với CPU, mọi thành phần có thể cần phải được tăng tốc trên một phần cứng duy nhất.
Tuy nhiên, do sự đa dạng của các thuật toán ZK (cụ thể là các thuật toán ZK đề cập đến các hoạt động tính toán trong việc tạo chứng minh ZK) nên điều này dường như là không thể. Ví dụ: ảnh chụp màn hình Twitter ở trên hiển thị ba mạch ZK, đó là Poseidon Hash, EVM và GPT-2. Mặc dù sử dụng cùng một chương trình phụ trợ bằng chứng (Halo 2-KZG), nhưng các phép tính vẫn rất khác nhau, đặc biệt là trong phần tạo nhân chứng. Các ảnh chụp màn hình cũng không bao gồm các phần mềm phụ trợ bằng chứng khác nhau (chẳng hạn như Plonky 2/3 và Gnark).
Điểm chúng tôi muốn nhấn mạnh ở đây là phần cứng cần phải đủ linh hoạt để đáp ứng các hoạt động tính toán khác nhau trên chip của thuật toán ZK. Tính linh hoạt này có thể đạt được thông qua kết cấu lai giữa FPGA và ASIC, như chúng tôi đã đề xuất trong dòng tweet năm 2022 này:
Kiến trúc lai FGPA-ASIC
Trong kiến trúc lai này, ASIC thực hiện các hoạt động thông thường trong khi FPGA thực hiện các phép tính dành riêng cho mạch. Sau đó, hai thiết bị phần cứng được gắn trên cùng một bo mạch PCB và được kết nối thông qua kênh SerDes băng thông cao. Ngoài ra, các lõi CPU trên chip như dựa trên RISC-V hoặc dựa trên ARM có thể được sử dụng cho các mục đích tương tự. Các phương pháp lai này thường có yêu cầu rất cao về giá thành cũng như chất lượng chế tạo. Trong sáu tháng qua, chúng tôi đã tự hỏi mình:
Liệu "hybrid" có phải là cấu trúc tốt nhất mà chúng ta có thể nghĩ tới? Chúng ta có thể dựa vào những tiến bộ công nghệ từ cộng đồng ZK để cải thiện thiết kế của mình không? Dưới đây, chúng tôi cung cấp câu trả lời tích cực cho các câu hỏi trên.
Trước khi đi vào chi tiết kỹ thuật, trước tiên chúng ta cần đề cập đến một số điều cơ bản về bằng chứng không có kiến thức (ZKP). Quá trình tạo bằng chứng điển hình của hệ thống bằng chứng Plonkish có thể được chia thành các giai đoạn sau (để phân tích chi tiết về việc tạo bằng chứng, vui lòng đọc blog này của Scroll):
- Ghi nhân chứng: nhân chứng hay còn gọi là dấu vết. Nó đề cập đến một số dữ liệu, cùng với các dữ liệu khác, cho thấy lý do tại sao một tuyên bố là đúng. Việc ghi nhật ký được thực hiện thông qua ma trận hai chiều được gọi là bảng theo dõi. Mỗi mục trong bảng này là một phần tử của một trường hữu hạn. Quá trình điền vào bảng theo dõi được gọi là "tạo nhân chứng" và yêu cầu lặp qua từng ô trong bảng và điền vào các giá trị chính xác. Quá trình này yêu cầu các phép tính số học trên các trường hữu hạn và được tùy chỉnh cho mạch ZK cụ thể.
- Gửi nhân chứng: Sau khi nhân chứng được tạo ra, chúng ta thu được một bảng theo dõi trong đó mỗi cột được hiểu là một đa thức thông qua phép nội suy Lagrange. Sau đó, các đa thức này có thể được cam kết bằng các cơ chế cam kết khác nhau, chẳng hạn như KZG và FRI. Các phép tính chính liên quan ở đây bao gồm phép nhân đa thức (MSM), phép biến đổi lý thuyết số (NTT), bình phương đa thức và cây Merkle. Điều này trở thành nút thắt cổ chai cho việc tạo bằng chứng do tính toán phức tạp trên các trường hữu hạn lớn và lượng dữ liệu khổng lồ cần thiết.
- Chứng minh lời khai là đúng: Bây giờ bảng theo dõi đã được điền và cam kết được tính toán. Điều duy nhất còn lại phải làm là chứng minh rằng dấu vết là hợp lệ. Điều này có nghĩa là những ràng buộc nhất định được đáp ứng. Các phép tính liên quan bao gồm các phép biến đổi lý thuyết số (NTT), phép nhân đa thức (MSM) và làm phẳng đa thức.
Tóm lại, các tính toán trong việc tạo bằng chứng bao gồm một số mô-đun phổ biến: chẳng hạn như phép nhân đa thức (MSM), phép biến đổi lý thuyết số (NTT), cây Merkle và làm phẳng đa thức, cũng như một số mô-đun bổ sung.
Trong blog trước đây, chúng tôi đã trình bày một số chiến lược nâng cao để tối ưu hóa các mô-đun phổ biến này. Trong vài năm qua, cộng đồng cũng đã đề xuất một số kỹ thuật hứa hẹn sẽ tăng tốc các mô-đun phổ biến này (xem công việc của Ulvetanna, Ingonyama và các nhóm khác). Chúng tôi không lặp lại những kỹ thuật này ở đây.
Các mô-đun này không còn là nút thắt cổ chai về mặt hiệu suất, nhưng tốc độ tăng tốc bằng chứng từ đầu đến cuối vẫn chưa đạt yêu cầu. Bộ tăng tốc nửa vời này có thể được coi là phiên bản GPU chuyên dụng với một số cải tiến về hiệu suất. Một so sánh sơ bộ như sau:
- Ưu điểm: Ngoài mô hình điện toán song song SIMD/SIMT kiểu GPU truyền thống, điện toán ZK cũng được hỗ trợ đặc biệt. Điều này cho phép chúng tôi triển khai các phép toán ZK với hiệu suất tối đa mà không cần dựa vào các kỹ năng lập trình CUDA tiên tiến (chẳng hạn như sử dụng CUDA để viết các phép toán số nguyên lớn).
- Nhược điểm: Lập trình phức tạp
- Đối với máy gia tốc, chúng tôi cung cấp mô hình lập trình cấp cao tương tự như phong cách PyTorch trong AI, với mục tiêu cung cấp trải nghiệm mã hóa "có vẻ như được dịch trực tiếp từ giấy" khi đặt bộ chứng minh một phần trên máy gia tốc. Mặc dù chúng tôi cung cấp khả năng lập kế hoạch và kiểm soát linh hoạt ở cấp độ phần cứng, nhưng điều này vẫn đòi hỏi phải hiểu thiết kế phần cứng cơ bản.
- Đối với người dùng GPU sử dụng CUDA, họ có quyền tự do điều khiển tương đối đầy đủ khi làm việc trực tiếp. Họ có thể thực hiện tối ưu hóa tùy ý. Nhưng điều đó cũng có nghĩa là họ phải bắt đầu lại mọi thứ từ đầu.
Rõ ràng, máy gia tốc nửa vời này không đạt được khả năng tăng tốc tối ưu từ đầu đến cuối đã được chứng minh hoặc giao diện lập trình thân thiện với người dùng. Rõ ràng chúng tôi cần thêm một số yếu tố mới vào kế hoạch của mình.
Phần tử mới này là zkVM!
Máy ảo (VM) là một chủ đề cũ trong khoa học máy tính, về cơ bản là một chương trình có thể chạy các chương trình khác. Ví dụ: Máy ảo Ethereum (EVM) có thể chạy các hợp đồng thông minh Ethereum và các hướng dẫn mà nó hỗ trợ được nêu rõ trong tài liệu màu vàng này. Chúng tôi biết rằng các hệ thống chứng minh không có kiến thức liên quan đến các mạch, vì vậy zkVM là một mạch có thể chạy một loạt hướng dẫn hỗ trợ. Ngoài kết quả thực thi, zkVM còn đưa ra bằng chứng cho thấy dấu vết thực thi VM tương ứng với chuỗi lệnh là hợp lệ.
Tóm lại, zkVM là một mạch ZK có thể chạy VM (tóm tắt từ bài viết của David Wong).
Có hai phần đáng xem xét trong thiết kế zkVM:
- Tập lệnh được hỗ trợ: Điều này có nghĩa là các hoạt động mà VM có thể thực hiện. Có một số người chơi đã thành danh trong lĩnh vực này, chẳng hạn như Risc 0, Succinct, Starknet, Polygon, Metis, v.v., làm việc trên các bộ hướng dẫn khác nhau như RISC-V, MIPS hoặc các bộ hướng dẫn tùy chỉnh.
- Kiến trúc ZK: Phần này liên quan đến các bằng chứng ZK được tạo cùng với kết quả thực thi. Kiến trúc ZK gần như độc lập với thiết kế VM cơ bản, nhưng vẫn có một số cân bằng tinh vi cần xem xét.
Có một tính năng hay trong thiết kế zkVM được gọi là phần tiếp theo (từ RISC 0 ). Trong thực thi zkVM, tính liên tục là một cơ chế được sử dụng để chia một chương trình lớn thành nhiều đoạn có thể được tính toán và chứng minh độc lập, như trong hình sau:
Quá trình phân khúc (Nguồn: Risc 0)
Tính năng này thân thiện với phần cứng vì những lý do sau:
- Tính song song: Vì các đoạn được chia này độc lập với nhau nên chúng có thể được phân phối tới nhiều phần cứng để tạo ra các bằng chứng tương ứng cùng một lúc.
- Giảm thiểu yêu cầu về băng thông I/O: quá trình tạo bằng chứng của zkVM tuân theo mô hình “nhỏ vào, ra nhỏ”. Ví dụ: trong Risc 0, đoạn bằng chứng được tạo ra có kích thước khoảng 50 MB và đầu ra là bằng chứng dựa trên FRI có kích thước khoảng 250 KB. Chế độ đặc biệt này làm giảm đáng kể yêu cầu về băng thông I/O.
- Yêu cầu bộ nhớ có thể kiểm soát: Mặc dù đầu vào và đầu ra của mỗi lõi tạo bằng chứng đều nhỏ nhưng yêu cầu bộ nhớ lại lớn, lên tới hàng chục GB. Tuy nhiên, dung lượng bộ nhớ cần thiết phụ thuộc vào kích thước phân đoạn, kích thước này có thể được điều chỉnh dựa trên thiết kế của zkVM.
Dựa trên những tính năng thân thiện với phần cứng này, chúng tôi mô tả thiết kế phần cứng của mình bên dưới.
Kiến trúc của hệ thống tương đối đơn giản, với người thực thi chịu trách nhiệm thực thi chương trình, phần cứng chịu trách nhiệm kiểm soát và phân bổ các "lát cắt (như đã đề cập ở trên)" khác nhau và một số chip chuyên dụng có thể định cấu hình để tạo bằng chứng ZK cho từng phần của hệ thống. chương trình.
Kiến trúc đơn giản này cho phép phần cứng của chúng tôi có kiểu dáng linh hoạt. Chúng tôi có thể đóng gói bộ thực thi (sử dụng CPU yếu hoặc lõi CPU trên chip), một số chip zkVM nhất định và các thành phần phần cứng cần thiết khác (chẳng hạn như bộ nhớ) vào một khung duy nhất. Một trường hợp đơn giản hơn là đóng gói nhiều chip vào một máy di động, như bộ sạc Macbook.
Phần cứng zkVM bao gồm một số lõi tính toán:
- Một máy vectơ lập trình được sử dụng cho các hoạt động vector hóa.
- Mô-đun NTT chuyên dụng cho các trường 31 bit, 64 bit và 256 bit.
- Mô-đun MSM chuyên dụng hỗ trợ các đường cong BN 254, BLS 12 – 377 và BLS 12 – 388.
- Đơn vị hàm băm có thể định cấu hình cho các hàm băm dựa trên các hoạt động tại hiện trường.
Ngoài những lợi thế do zkVM mang lại, mô hình thiết kế ZK-ASIC mới này cũng đã chuyển thành một số sản phẩm tuyệt vời để sử dụng cho cá nhân hoặc doanh nghiệp, như sau:
Sản phẩm ZK ASIC
Cysic, dự án phần cứng zkVM, nhằm mục đích xây dựng phần cứng hiệu quả về mặt chi phí, phù hợp với nhiều trường hợp sử dụng, hiệu suất và năng suất phát triển. Chúng tôi tìm kiếm những quan điểm đa dạng, ý tưởng đổi mới và cam kết đầu tư để cải thiện và mở rộng các thiết kế phần cứng của mình. Chúng tôi mong nhận được sự tham gia và đóng góp ý kiến của cộng đồng và sẵn sàng cung cấp hướng dẫn cũng như hỗ trợ cho bất kỳ ai quan tâm đến việc tham gia.
Tất cả bình luận