Оригинальное название: Новая парадигма проектирования ZK-ASIC, путь zkVM.
Автор оригинала: команда Cysic
Эту статью составил: Loopy
Спасибо Джастину Дрейку и Люку Пирсону за содержательные обсуждения.
Генерация доказательств с нулевым разглашением в реальном времени требует сквозного аппаратного ускорения. zkVM не только упрощает конструкцию микросхем ZK ASIC, но также обеспечивает более высокую производительность и более низкую стоимость оборудования.
Доказательства с нулевым разглашением (ZKP) позволяют одной стороне (доказывающему) доказать другой стороне (проверяющему), что определенное утверждение верно, не раскрывая никакой информации, кроме достоверности самого утверждения.
Сильвио Микали, один из изобретателей доказательств с нулевым разглашением (он изобрел его совместно с Гольдвассером и Ракоффом), сказал, что точно так же, как шифрование сбивает с толку данные, доказательства с нулевым разглашением сбивают с толку расчеты. Более конкретно, алгоритмы шифрования (такие как AES или RSA) преобразуют данные в соответствующий зашифрованный текст, который скрывает лежащие в основе данные. Доказательства с нулевым разглашением преобразуют вычислительные утверждения в доказательства, которые не только скрывают детали вычислений, но и проверяют правильность утверждения.
У ZKP есть два хороших свойства — нулевое разглашение и простота. Это также делает его одним из наиболее широко используемых криптографических примитивов высокого уровня.
Нулевое разглашение означает, что само доказательство не раскрывает никакой информации о вычислительном процессе или частных входных данных. Эта функция очень полезна для создания некоторых приложений, ориентированных на конфиденциальность. Например, Aleo, в отличие от Биткойна, Эфириума и других публичных сетей, может скрывать детали транзакций.
Простота означает небольшой размер доказательства и короткое время проверки, что означает, что сложный процесс вычислений можно преобразовать в небольшой фрагмент данных (т. е. «доказательство», «доказательство»). И это можно практически мгновенно проверить на слабых вычислительных устройствах (таких как мобильные телефоны или даже Raspberry Pi). Эта функция чрезвычайно полезна при масштабировании Ethereum, поскольку мы можем преобразовать расчет EVM, соответствующий 1000 транзакциям, в крошечное доказательство, а затем опубликовать это доказательство на Ethereum. Если такое небольшое доказательство (возможно, всего 100 байт) будет проверено Эфириумом, тогда окончательно подтвердятся все 1000 транзакций. Частные блокчейны и решения для масштабирования — это лишь два примера увлечения ZKP в блокчейн-сообществе. Многие проекты ZK также могут быть созданы с использованием этих двух ключевых атрибутов, таких как сопроцессор ZK, мост ZK, машинное обучение ZK (ZKML).
Существенным препятствием для широкого внедрения ZKP является огромная потребность в вычислительном времени и ресурсах во время генерации доказательств.
Обычно более сложные вычисления требуют больше времени и ресурсов. Например, в проекте Дэниела Канга и его команды ZKML генерация доказательства для вывода GPT-2 заняла более 9000 секунд с использованием мощного 64-поточного процессора. С другой стороны, генерация доказательства для схемы ZK-EVM в Scroll требует более 280 ГБ ОЗУ.
Из-за таких непомерно высоких требований к ресурсам сообщество ищет более эффективное оборудование, предназначенное для вычислений ZK (так называемая генерация доказательств). Варианты аппаратного обеспечения включают процессор, графический процессор, FPGA и ASIC. Эти варианты варьируются от доступности сейчас до неопределенного периода ожидания.
ЦП часто считается базовой реализацией для сравнения с тремя другими вариантами. Есть два распространенных индикатора аппаратного ускорения. Вот несколько интуитивно понятных объяснений:
ЦП часто считается базовой реализацией для сравнения с тремя другими вариантами. Есть два распространенных индикатора аппаратного ускорения. Вот несколько интуитивно понятных объяснений:
- Производительность на доллар: это означает, сколько пользователь должен заплатить за приобретение этого оборудования. Решения о покупке зависят от многих факторов, не последним из которых является максимальная производительность за ту же сумму денег. По сути, этот показатель измеряет экономическую эффективность оборудования. Как правило, если для производства чипа используется более совершенный процесс, мы можем получить более высокую производительность, но он, как правило, дороже.
- Производительность на ватт: это означает, сколько энергии требуется для работы этого оборудования. Например, последний биткойн-майнер Bitmain, T 21, использует всего 19 джоулей для выполнения 1 TH вычислений, превосходя по производительности продукты своих конкурентов.
Преимущества продукта в основном зависят от двух вышеуказанных факторов, а также от некоторых нетехнических факторов (таких как гарантия и остаточная стоимость). Обычно оборудование на базе ASIC превосходит остальные три категории по этим двум показателям благодаря своей настраиваемой природе.
Давайте представим, что теперь разработан специализированный ZK ASIC, который обеспечивает значительно лучшую производительность на доллар и на ватт, чем существующие графические процессоры и FPGA. Этот ASIC может поддерживать различные модули, такие как мультискалярное умножение (MSM), теоретико-числовое преобразование (NTT), деревья Меркла и т. д., но как нам интегрировать это оборудование с текущим стеком технологий?
Самый распространенный подход — заменить соответствующие вычисления в коде ЦП компонентами ускорения. Простая замена, которая часто не обеспечивает удовлетворительного ускорения производительности. Наши выводы по этому подходу мы опубликовали на ethCC'23 (подробнее в этом твите ).
Сравнение производительности ЦП и FPGA/ЦП
Мы добились существенного прогресса по сравнению с производительностью ЦП, используя комбинацию ЦП и наших специализированных машин FPGA, но производительность все еще далека от конечной цели — доказательств ZK в реальном времени.
Такая неоптимальная производительность обусловлена законом Амдала и затратами на взаимодействие между различными аппаратными компонентами. Закон Амдала показывает, что общее улучшение производительности, достигаемое за счет оптимизации одной части системы, ограничено, и это еще больше усугубляется стоимостью связи между различными аппаратными модулями (Источник: Википедия ). Чтобы добиться значительного ускорения по сравнению с ЦП, каждый возможный компонент необходимо ускорить на одном аппаратном обеспечении.
Однако из-за разнообразия алгоритмов ZK (в частности, алгоритмы ZK относятся к вычислительным операциям при генерации доказательств ZK) это кажется невозможным. Например, на приведенном выше скриншоте Twitter показаны три схемы ZK, а именно Poseidon Hash, EVM и GPT-2. Хотя используется один и тот же сервер проверки (Halo 2-KZG), расчеты все равно сильно различаются, особенно в части генерации свидетелей. Скриншоты также не включают в себя различные серверы проверки (такие как Plonky 2/3 и Gnark).
Здесь мы хотим подчеркнуть, что аппаратное обеспечение должно быть достаточно универсальным, чтобы выполнять различные вычислительные операции на кристалле алгоритма ZK. Эта универсальность может быть достигнута за счет гибридной структуры FPGA и ASIC, как мы предложили в этом твите 2022 года:
Гибридная архитектура FGPA-ASIC
В этой гибридной архитектуре ASIC выполняет общие операции, а FPGA выполняет вычисления, специфичные для схемы. Затем два аппаратных устройства монтируются на одной печатной плате и соединяются через канал SerDes с высокой пропускной способностью. В качестве альтернативы для аналогичных целей можно использовать встроенные ядра ЦП, такие как RISC-V или ARM. К этим гибридным методам часто предъявляются чрезвычайно высокие требования с точки зрения стоимости и качества изготовления. Последние шесть месяцев мы задавали себе вопросы:
Является ли «гибрид» лучшей конструкцией, которую мы можем придумать? Можем ли мы полагаться на технологические достижения сообщества ZK для улучшения наших проектов? Ниже мы даем положительные ответы на поставленные выше вопросы.
Прежде чем мы углубимся в технические детали, нам сначала нужно осветить некоторые основы доказательств с нулевым разглашением (ZKP). Типичный процесс генерации доказательств в системе доказательств Plonkish можно разделить на следующие этапы (подробный анализ создания доказательств можно найти в этом блоге от Scroll):
- Запись свидетеля: свидетель, также известный как след. Оно относится к некоторым данным, которые вместе с другими данными показывают, почему утверждение верно. Регистрация осуществляется через двумерную матрицу, называемую таблицей трассировки. Каждая запись в этой таблице является элементом конечного поля. Процесс заполнения таблицы трассировки называется «генерацией свидетелей» и требует перебора каждой ячейки таблицы и заполнения правильных значений. Этот процесс требует арифметических операций над конечными полями и настраивается под конкретную схему ЗК.
- Отправка свидетеля: после создания свидетеля мы получаем таблицу трассировки, в которой каждый столбец интерпретируется как полином посредством лагранжевой интерполяции. Эти полиномы затем могут быть зафиксированы с использованием различных механизмов фиксации, таких как KZG и FRI. Основные вычисления, задействованные здесь, включают умножение полиномов (MSM), теоретико-числовое преобразование (NTT), квадраты полиномов и деревья Меркла. Это становится узким местом для генерации доказательств из-за сложных вычислений в больших конечных полях и огромного объема требуемых данных.
- Доказательство правдивости свидетельства: теперь таблица трассировки заполняется и рассчитывается обязательство. Остается только доказать, что трассировка действительна. Это означает, что соблюдены определенные ограничения. Используемые вычисления включают теоретико-числовые преобразования (NTT), полиномиальное умножение (MSM) и полиномиальное сглаживание.
Подводя итог, можно сказать, что вычисления при генерации доказательства включают в себя несколько общих модулей: такие как полиномиальное умножение (MSM), теоретико-числовое преобразование (NTT), деревья Меркла и полиномиальное сглаживание, а также некоторые дополнительные модули.
В нашем предыдущем блоге мы показали некоторые передовые стратегии оптимизации этих распространенных модулей. За последние несколько лет сообщество также предложило ряд методов, которые обещают ускорить работу этих общих модулей (см. работы Ульветанны, Ингоньямы и других групп). Мы не повторяем здесь эти приемы.
Эти модули больше не являются узким местом с точки зрения производительности, но ускорение сквозной проверки далеко не удовлетворительно. Этот полусырой ускоритель можно рассматривать как специализированную версию графического процессора с некоторыми улучшениями производительности. Грубое сравнение выглядит следующим образом:
- Преимущества: В дополнение к традиционной модели параллельных вычислений SIMD/SIMT в стиле графического процессора также поддерживаются вычисления ZK. Это позволяет нам реализовывать операции ZK с полной производительностью, не полагаясь на передовые навыки программирования CUDA (например, использование CUDA для написания больших целочисленных операций).
- Недостатки: Сложность программирования.
- Для ускорителя мы предоставляем модель программирования высокого уровня, аналогичную стилю PyTorch в ИИ, с целью обеспечить такой опыт кодирования, который «кажется, будто он был переведен прямо с бумаги», когда частичные средства проверки помещаются в ускоритель. Хотя мы предоставляем гибкие возможности планирования и контроля на аппаратном уровне, это все равно требует понимания базовой конструкции оборудования.
- Пользователи графических процессоров, использующие CUDA, имеют относительно полную свободу контроля при непосредственной работе. Они могут выполнять произвольную оптимизацию. Но это также означало, что им пришлось начинать все с нуля.
Очевидно, что этот полусырой ускоритель не обеспечивает оптимального сквозного ускорения или удобного интерфейса программирования. Нам явно нужно было добавить в нашу схему несколько новых элементов.
Этот новый элемент — zkVM!
Виртуальная машина (ВМ) — это старая тема в информатике, которая, по сути, представляет собой программу, которая может запускать другие программы. Например, виртуальная машина Ethereum (EVM) может запускать смарт-контракты Ethereum, а инструкции, которые она поддерживает, указаны в этой желтой книге . Мы знаем, что системы доказательства с нулевым разглашением включают схемы, поэтому zkVM — это схема, которая может выполнять серию вспомогательных инструкций. В дополнение к результатам выполнения zkVM также выводит подтверждение того, что трассировка выполнения VM, соответствующая последовательности команд, действительна.
Короче говоря, zkVM — это схема ZK, на которой может работать виртуальная машина (кратко из статьи Дэвида Вонга).
При проектировании zkVM стоит учитывать две части:
- Поддерживаемый набор инструкций: это означает операции, которые может выполнять виртуальная машина. В этой области есть несколько авторитетных игроков, таких как Risc 0, Succinct, Starknet, Polygon, Metis и т. д., которые работают с различными наборами инструкций, такими как RISC-V, MIPS или индивидуальными наборами инструкций.
- Архитектура ZK. Эта часть включает в себя доказательства ZK, созданные вместе с результатами выполнения. Архитектура ZK практически не зависит от базовой конструкции виртуальной машины, но все же необходимо учитывать некоторые тонкие балансы.
В конструкции zkVM есть приятная функция, называемая продолжениями (из RISC 0 ). При выполнении zkVM продолжение — это механизм, используемый для разделения большой программы на несколько фрагментов, которые можно независимо вычислить и доказать, как показано на следующем рисунке:
Процесс сегментации (Источник: Риск 0)
Эта функция удобна для аппаратного обеспечения по следующим причинам:
- Параллелизм: поскольку эти разделенные фрагменты независимы друг от друга, их можно распределить на несколько аппаратных средств для одновременной генерации соответствующих доказательств.
- Минимизируйте требования к полосе пропускания ввода-вывода: генерация доказательств в zkVM следует шаблону «маленький вход — малый выход». Например, в Риске 0 сгенерированный фрагмент доказательства имеет размер около 50 МБ, а выходные данные представляют собой доказательство на основе FRI размером около 250 КБ. Этот специальный режим значительно снижает требования к полосе пропускания ввода-вывода.
- Контролируемые требования к памяти: хотя входы и выходы каждого ядра генерации доказательств невелики, требования к памяти велики и составляют десятки ГБ. Однако требуемый объем памяти зависит от размера фрагмента, который можно регулировать в зависимости от конструкции zkVM.
Основываясь на этих функциях, удобных для аппаратного обеспечения, мы описываем нашу аппаратную конструкцию ниже.
Архитектура системы относительно проста: исполнитель отвечает за выполнение программы, аппаратное обеспечение отвечает за контроль и распределение различных «срезов (как упоминалось выше)» и настраиваемое количество выделенных микросхем для генерации доказательств ZK для каждой части программы. программа.
Эта простая архитектура позволяет нашему оборудованию иметь гибкий форм-фактор. Мы можем упаковать исполнитель (с использованием слабого ЦП или встроенного ядра ЦП), определенное количество чипов zkVM и другие необходимые аппаратные компоненты (например, память) в одно шасси. Более простым случаем было бы упаковать несколько чипов в портативное устройство, например зарядное устройство для Macbook.
Аппаратное обеспечение zkVM включает в себя несколько вычислительных ядер:
- Для операций векторизации используется программируемая векторная машина.
- Специальный модуль NTT для 31-битных, 64-битных и 256-битных полей.
- Специальный модуль MSM, поддерживающий кривые BN 254, BLS 12–377 и BLS 12–388.
- Настраиваемый блок хеш-функций для хеш-функций на основе полевых операций.
Помимо преимуществ, предоставляемых zkVM, эта новая парадигма проектирования ZK-ASIC также воплотилась в ряд отличных продуктов для личного или корпоративного использования, а именно:
ZK ASIC-продукты
Cysic, аппаратный проект zkVM, направлен на создание производительного и экономически эффективного оборудования, подходящего для широкого спектра вариантов использования, производительности и продуктивности разработки. Мы ищем разнообразные точки зрения, инновационные идеи и целенаправленные инвестиции для улучшения и расширения конструкции нашего оборудования. Мы с нетерпением ожидаем участия и вклада сообщества и готовы предоставить рекомендации и поддержку всем, кто заинтересован в участии.
Все комментарии