此前以太坊創始人Vitalik根據ZK-SNARKs技術提出的500tps擴容方案，引發了社群對區塊鏈擴容的更多思考，而此後由以太坊研究者Barry Whitehat，Alex Gluchowski，Harry R，Yondon Fu和Philippe Castonguay共同提出的snark側鏈方案，更是號稱可讓以太坊網路實現17000 tps 的交易吞吐量。那這種方案究竟是怎麼回事呢？本文試圖給出答案。

一、概述

本文介紹了一種基於snark的側鏈方案，它要求每次狀態轉換恆定的gas，其不依賴於每次轉換過程中包含的交易數。這限制了snark大小的可擴充套件性，其在經濟上是可證明的，這與之前提出的gasBlockLimit/gasPerTx提議（注：以太坊創始人vbuterin提出的500tps擴容方案）不同。

如果出現了一個惡意運營者（最壞的情況下），系統會退化為一種鏈上通證，而惡意的運營者將無法竊取人們的資金。

如果資料變得不可用，運營者可以被替換，我們可以回滾到之前的有效狀態（根據現有使用者的請求），然後通過新的運營者繼續該狀態的執行。

二、系統角色

系統當中有兩種角色

建立交易以更新狀態的使用者；

使用snark的運營者，他們會將這些交易聚合為單個鏈上狀態更新；

他們使用智慧合約來進行互動。系統在默克爾樹（merkle tree）中有一個 item列表，它將公鑰（所有者）與不可替代通證聯絡起來。

通證可以被撤回，但機會只有一次。

2.1、在snark交易中

使用者建立交易，以更新通過鏈外方式傳送給運營者的通證所有權。該運營者建立的證明包含：

之前的狀態；

交易集；

通過newState碼，我們可以驗證EVM虛擬機器中的證明，當且僅當證明是有效的時候，系統會更新這個默克爾根（merkle root）；

2.2、優先佇列
使用者還可以通過智慧合約層請求一次取回操作。如果運營者無法在給定的時間內服務這個佇列，我們就假定資料不可用。由此，這個運營者會受到懲罰，而系統會開始尋找新的運營者。

兩次取出相同的leaf（子葉）是不可能的，因為每次取出時，系統會儲存已經退出的leaf（子葉），並檢查未來所有退出的leaf（子葉）；

2.3、運營者拍賣活動

如果先前的運營者已經遭到了懲罰，系統會開始搜尋新的運營者，而這是通過拍賣活動來實現的，其中使用者可以通過投標的方式競選運營者。

經過一段時間後，新的運營者將根據最新側鏈狀態的最高出價（高於某個最小出價）被選出。

2.4、回滾
當運營者發生更改時，系統會允許使用者退出。要做到這一點的原因在於，在回滾發生時，使用者能夠拿回某個狀態下自己的幣。

系統會按狀態，排序這些取款操作，並在該狀態下回滾鏈交易，直到新的運營者繼續負責狀態的更新。

請注意，由於不可能將同一leaf（子葉）撤回兩次，所以使用者不能從舊狀態退出同一leaf（子葉）；

三、討論

運營者被迫處理優先佇列中的請求，否則將遭到懲罰。如果他們拒絕執行系統的snark側鏈，他們仍會被迫允許優先佇列退出。因此，如果運營者出現了惡意，系統將會退化為一種鏈上通證。

使用者不應該接受一個被傳輸的leaf（葉交易），除非所有的鏈資料都是可用的，以便他們知道在最壞的情況下（如果發生了回滾），他們可以成為新的運營者。

成為運營者所擁有的許可權，可能超出了普通使用者，但只要有一個誠實的運營者想要接管狀態，那麼使用者的錢就會是安全的。此外，在較新的狀態投標中，這些運營者的投標相對其他投標都具有優勢。

然而，這就允許當前運營者繼續連任，因為他們將知道最新狀態的資料，並且可競標最新的狀態。

然而，我們可以定一個最低權益，如果他們再次拒絕優先服務，這些運營者會再次遭受懲罰。因此，這樣的系統可保證有人會前來處理佇列，否則鏈將回滾到最初的狀態，而使用者可以在回滾發生時進行退出操作。

不同於無法保證所有狀態有效性的Plasma結構，這種設計避免了競爭性撤回，因為snark不允許無效的狀態轉換。因此，我們可以從具有惡意運營者的場景當中恢復過來，而不必強制所有使用者退出（當然，希望退出的使用者仍然可以退出）。

四、附錄 ：TPS的計算

目前，每個簽名需要~500k的constraints，通過優化，我們認為這可以減少到2k constraints；

目前，我們的雜湊函式（sha256）每秒消耗50000筆交易。我們可以用消耗1k constraints的佩德森承諾（ pedersen commitments）方案來替代這一點。

如果我們建立自己的29層默克爾樹（merkle tree 29 layers），系統就可以容納536,870,912個子葉（ leaves）。 對於每一筆交易，我們必須：

確認簽名 = 2k constraints

確認樹中的舊葉交易 = 1k * 29 = 29k constraints

新增新的葉交易，並重新計算根 = 1k * 29 = 29k constraints

這等於每筆交易為60k constraints ；

吳等人所撰寫的論文指出，他們可以證明一個10億gate的 snark；

1000000000 / 60,000 ，則每個snark確認16666筆交易；

而驗證一個snark，就需要50萬的gas，而以太坊每個區塊可以有800萬gas。這意味著每個區塊，我們可容納16個這樣的snark；

也就是說，每個區塊理論上可以容納 16666 * 16 = 266656筆交易；

266656 / 15 = 每秒 17777筆交易；

我們可通過建立更大的叢集來達到更高的tps；

注：執行硬體以達到這個速率，可能會是相當昂貴的，但同時其回報也遠遠小於當前區塊的獎勵。

五、社群評論

fleupold回覆：

關於回滾期間的退出問題，我有些不解：

“barryWhiteHat: 當運營者發生更改時，系統允許使用者退出。要做到這一點的原因在於，在回滾發生時，使用者能夠拿回某個狀態下自己的幣。”

這是否意味著在發生回滾後，你能夠退出在某個區塊（不再是鏈的一部分）中得到的幣（例如，假設我們回滾到第42個區塊，我們能夠退出在44個區塊中得到的幣）？

假設第44個區塊的資料不可用，有人能夠證明退出是有效的嗎？

barryWhiteHat答：

在回滾過程中，你將有機會從狀態44退出你的幣。如果你錯過了這個機會，你會丟失掉你的幣，而幣的傳送者將重新獲得它的所有權。

一旦你退出了一個 leaf（子葉），那麼同一個 leaf（子葉）就無法再次退出，即使我們回滾到它被退出之前；

kaibakker回覆說：

我真的很喜歡這個專案的進展情況，這個專案的github程式碼可以在這裡找到：

https://github.com/barryWhiteHat/roll_up .

下面我來探討一個問題：你如何確保一個誠實者隨時準備成為一名運營者？怎樣的收費才是有意義的？

作為一名運營者，他是需要付出一定成本的：

執行者可以通過以下的方式收回這些成本：

對於一個新的運營者來說，有利可圖是很重要的，否則沒有人會為此付出代價。如果沒有人願意成為運營者，費用可以適當地增加。

以當前gas價格為例：

假設一名運營者希望每小時更新一次snark。他每年在gas上的花費大約為0.50$ × 24 × 356 = 3560 + 812 = 4372美元，他每年要處理50000筆存款和提現交易，假設這名運營者每提現一次只需支付0.1美元，這就需要額外的5000美元成本，而伺服器的成本又需要4000美元，而他如果預計的利潤為每年5628美元。

那他預計的收入總額就要達到20000美元，他需要對每筆存款交易收取0.3美元，或者3倍的以太坊gas費用，這樣他的業務才是可持續的。這個問題可能是有趣的。

barryWhiteHat回覆：

“怎樣的收費才是有意義的？”

這取決於用途。我希望它能夠應用於不可替代通證、去中心化媒體以及一堆其它應用。文章中我們沒有具體討論到費用。如果你想按每筆交易收取費用，你可以使用存款費或取款費的方式（當然不包括優先佇列，這意味著你的取款費必須比優先佇列費用要低，以防止費用避免問題的發生），你可能需要用到plasma debit這類技術。目前，我不知道哪種方式最有意義。我想看到一些充分使用的情況。

“你如何確保一個誠實者隨時準備成為一名運營者？”

他們不需要誠實，我們只是需要有人挺身而出，最好的辦法，似乎就是付錢給他們。當然，這也取決於用例。

MihailoBjelic：

@barryWhiteHat 為你們之前以及現在的工作致敬！

“barryWhiteHat：系統在默克爾樹（merkle tree）中有一個item列表，其將公鑰（所有者）與不可替代通證聯絡起來。”

可以說說，為什麼整個設計是基於NFT嗎，你們是否認為它對於公鑰-餘額模型（當然會有一些修改）也是有效的呢？

barryWhiteHat：

餘額（Balance）模型是很棘手的，因為你可以通過將餘額（Balance）從一個leaf（子葉）移動到另一個leaf（子葉），從而實現取出相同的餘額（Balance）兩次。

我們可以嘗試並建立plasma debit，以增加可調節的餘額（Balance）。但這需要我們更多的思考。

MihailoBjelic：

對不起，我沒有看懂你所說的話。你怎麼能把你的balance轉移到另一個leaf（子葉）上，你不是隻有一個代表你賬戶（及其餘額）的 leaf嗎？或許你的思路是用到了SMT？如果你有時間，請檢視@jieyilong的帖子：通過鏈上智慧合約實現的鏈外Plasma狀態驗證 （你可以只閱讀“Plasma狀態構造”和“概率Plasma狀態驗證”部分的內容）。我在思考類似的東西，但使用的是SNARK，而不是隨機抽樣？

barryWhiteHat：

不確定我們是否在同一個頻道。這是我的回答，希望它能回答你提出的問題。

“你怎麼能把你的餘額（balance）轉移到另一個leaf（子葉）上，你不是隻有一個代表你賬戶（及其餘額）的 leaf嗎？”

如果你無法移動leaf之間的餘額（balance），那麼你就沒有賬戶餘額，因為餘額永遠都不會改變。如果你不能移動 leaf之間的餘額（不包括plasma debit），那麼你擁有的只是一個輸入輸出模型。

“我在思考類似的東西，但使用的是SNARK，而不是隨機抽樣？ ”

我快速地瀏覽了一下，如果你想驗證整棵默克爾樹（ merkle tree）的完整性，為什麼不驗證每筆交易呢？對一棵大默克爾樹進行證明，這需要大量的雜湊，而這是相當昂貴的。

你看好這一snark側鏈結構方案嗎？歡迎發表你的看法。

原文：https://ethresear.ch/t/roll-up-roll-back-snark-side-chain-17000-tps/3675
作者：BarryWhitehat, Alex Gluchowski, HarryR , Yondon Fu以及Philippe Castonguay
編譯：灑脫喜
稿源（譯）：巴位元資訊（http://www.8btc.com/snark-side-chain-17000-tps)