深入理解區塊鏈二層擴展方案Rollup_ROL

編者注：原標題為《深入理解區塊鏈二層擴展方案Rollup》

本文作者朱光宇，區塊鏈愛好者，前阿里巴巴JVM專家。現就職于Westar實驗室，從事智能合約編程語言及其執行引擎的研發。

背景

最近，以太坊創始人VitalikButerin在一篇題為“混合式二層協議的曙光”的文章里對Rollup方案大加贊賞，認為它為智能合約的可擴展性打開了大門。那么什么是Rollup？它包括哪些主流方案？這些方案各自有什么優缺點？它們未來發展前景怎么樣？為了找到這些問題的答案，筆者對相關項目做了一番調研，將收集到的信息整理成下面這篇文章。

Rollup的出現

最近兩年，以太坊二層擴容技術得到突飛猛進的發展。所謂二層技術，就是將一部分資金存儲在主鏈上的智能合約內作為，在保證足夠的安全性和不可篡改的前提下，把一部分交易放到主鏈之外進行，就好像鏈下多出來第二層網絡。二層方案里表現較突出的要數狀態通道和Plasma側鏈，但是這兩種方案距離被廣泛接受還有一段距離，其背后的原因歸根結底是數據的可用性問題。什么是數據可用性呢？假設你去賭場玩撲克，需要先到柜臺把現金兌換成籌碼，這可以理解成在鏈上創建狀態通道并存入押金。然后你開始玩撲克，這就是所謂的鏈下交易。在贏得一手大牌之后，你想要兌現籌碼走人，突然有人給你腦后來了一悶棍，醒來后桌上的籌碼不翼而飛。你記不起來牌局的細節，所以無法追回已經贏得的籌碼。這就是所謂的“數據不可用”。無論是狀態通道還是Plasma側鏈，完整的交易記錄和見證數據都只保存在鏈下，出現爭端時如果參與者沒有及時提供正確的交易和見證數據，交易的安全性就無法保證。就好像是玩撲克的人被打了一悶棍忘記了牌局細節，很難追回屬于自己的籌碼。即便是數據沒有丟失，面對不合作的對手，也要走非常復雜的仲裁流程。

中央財經大學郭田勇：應深入研究如何用數字人民幣組建更多功能:中央財經大學中國銀行業研究中心主任郭田勇表示，在數字化的浪潮下，貨幣作為一種支付媒介，其本身的數字化是必然趨勢。考慮到傳統貨幣印制發行成本高、不易攜帶等局限，數字貨幣以其獨特的優勢，極大降低了交易成本。郭田勇指出，數字貨幣如果由政府或者中央銀行來主導，必須協同好同原有銀行體系為主導的支付關系。目前，中國的數字貨幣屬于M0范疇，從金融學角度看，M0并不具有貨幣創造的能力，在整個貨幣儲存量中占比也很小，因此，數字人民幣的范圍還非常有限，未來如何用數字人民幣組建更多的功能，將其推向更大的領域，值得深入研究。這是一個循序漸進的過程，要把握好節奏。郭田勇稱，數字人民幣前期推進比較成功，有利于提升人民幣國際化程度。隨著中國經濟實力增強，人民幣國際業務更為廣泛。面對龐大的國際結算量，數字貨幣高支付效率的優點更易凸顯。（中國新聞網）[2021/7/7 0:32:14]

就在二層擴容技術舉步維艱的時候，一位開發者提出了一種名叫Rollup的新方案。與Plasma不同的是，它可以“打包”交易，將“打包”后的交易數據連同一個SNARK零知識證明發布在鏈上。打包的正確性可以通過SNARK證明，從而確保運營商不可能發布惡意或無效的交易。這就是后來被VitalikButerin稱之為ZKRollup的二層擴容方案。ZKRollup并非萬能，它遇到的最大問題是通用性。除非要證明的交易非常簡單，否則創建SNARK證明的成本會非常高。因此，一個名叫OptimisticRollup的折衷方案被提了出來。OptimisticRollup也是把交易數據都放到鏈上，但不是用SNARK做驗證，而是采用加密經濟學有效性博弈來實現有效性驗證。我們將在下面的章節詳細介紹這兩種Rollup方案的原理。

馬克·庫班稱自己已經完全改變看法 正在深入研究加密貨幣:6月21日消息，達拉斯獨行俠隊老板、億萬富翁馬克·庫班稱自己正在深入研究加密貨幣，已經完全轉變看法，不會錯過這個。（bitcoin.com）[2021/6/21 23:52:57]

工作原理

Rollup的核心思想是將“打包”后的交易數據區塊發布在鏈上，從而大大降低交易有效性驗證的難度。交易數據的上鏈和驗證是基于智能合約完成的。運營者收集到不同參與者提交的鏈下交易后，在鏈上執行Rollup智能合約提供的腳本，將打包后的交易數據區塊作為參數提交給合約，合約驗證數據有效后為每個參與者記賬。這相當于一次性執行了一批鏈下交易，但是在鏈上只執行了一個交易。

下圖是ZKRollup提交上鏈的打包數據。它包含一組壓縮后的交易數據、執行這批交易之前的記錄用戶狀態的merkle樹樹根，以及執行交易之后的新merkle樹樹根。除此之外還包含一個SNARK零知識證明，合約用它來驗證在Prev狀態上施加這批交易后結果就是New狀態。如果對零知識證明的工作原理感興趣，可以參考文章。

生成SNARK的成本非常高，所以OptimisticRollup采用了不同的方法——“欺詐證明”來驗證交易有效性。這里的“欺詐證明”并非類似SNARK那樣的見證數據，它實際上指的是加密經濟學有效性博弈。也就是說，運營者發布新的狀態樹樹根時無需每次都接受Rollup智能合約的驗證，每個人都假設狀態轉換是正確的。如果有人發布了非法的狀態轉換，其它運營者或者參與者都可以挑戰非法交易并回滾不正確的區塊。為了實現“欺詐證明”，光有ZKRollup那樣的交易數據是不夠的，Tx數據需要包涵交易提交者的簽名，合約通過校驗簽名判斷交易是否合法。

工行業務總監：區塊鏈等技術在金融行業得到深入應用:工商銀行信息科技業務總監呂仲濤在接受記者采訪時表示，從技術基礎上看，中國正在躋身全球金融科技發展的“第一梯隊”，人工智能、大數據、區塊鏈等新技術在金融行業得到深入應用，很多銀行都在積極建設新技術平臺。從實踐運用上看，各行也紛紛加強金融科技的頂層設計和實施運用。他表示，經此一疫，各行業將加快生產要素、生產關系的重組升級和生產方式的變革突破，推動產業互聯網建設，進而推動金融服務供需關系的重塑。（經濟參考報）[2020/5/21]

安全性

Rollup的安全性來自于數據可用性和交易有效性。有了數據可用性和交易有效性，就能保證Rollup操作者永遠不能破壞狀態或竊取資金，即使操作者不配合，參與者也能方便的追回Rollup網絡上的資產。Rollup將交易數據發布到鏈上，就像“錨”一樣將Rollup網絡錨定到了以太坊主鏈上。就好比是賭場里裝上了攝像頭，即便是玩撲克的人被打了一悶棍，還是能通過視頻記錄證明自己確實贏了錢。

對于交易有效性驗證，ZKRollup和OptimisticRollup采取了不同的方法。ZKRollup采用零知識證明來保證交易有效。它的安全性建立在密碼學基礎之上，智能合約僅在交易數據被證明為正確之后才會接受狀態轉換。每次狀態轉換都有一個零知識證明，這保證了鏈上總是對應著一個正確的二層狀態。OptimisticRollup采用基于加密經濟學有效性博弈的錯誤證明，它無需為每一次狀態轉換都提供證明，只在有人認為狀態轉換有誤的時候提供。所以它要求交易方必須在線，因為沉默將被視為同意。所以相比較ZKRollup，OptimisticRollup的安全性有所降低，它需要采取額外的措施來防止DDoS攻擊造成的默許。

央行上海總部：深入推進金融科技創新監管試點:5月12日，央行上海總部發布通知稱，下一步將加強對金融科技應用創新試點工程的組織領導，并會同上海市地方金融監管局等單位，深入推進金融科技創新監管試點，提升金融科技支撐能力。中國人民銀行于2020年4月26日支持在上海等6市（區）擴大金融科技創新監管試點，這標志著金融科技創新監管工作正式在上海啟動，也為加快推進上海金融科技中心建設再添助力。

近年來，人民銀行上海總部把大力發展金融科技作為推動上海國際金融中心和科技創新中心聯動發展的重要著力點，積極探索設計上海金融科技中心的建設與發展路徑，發布了《關于促進金融科技發展 支持上海建設金融科技中心的指導意見》（銀總部發〔2019〕67號）。

央行上海總部明確，下一步將以《發展規劃》為指引，加強對金融科技應用創新試點工程的組織領導，并會同上海市地方金融監管局等單位，深入推進金融科技創新監管試點，加大試點項目橫向交流和成果共享，深化金融市場科技應用，提升金融科技支撐能力，為把上海建設成為與國際金融中心地位相適應的金融科技中心提供有力支撐。（中新經緯APP）[2020/5/12]

可擴展性

Rollup通過一次鏈上交易可以執行一大批打包后的鏈下交易，主鏈不需要通過執行每筆交易來驗證其有效性，而且交易數據是作為函數參數發布的，驗證完有效性后就會被丟棄，這樣就不會占據以太坊的存儲空間。因此Rollup可以大幅度提升以太坊的可擴展性。

天津市委網信辦會議：深入開展區塊鏈等領域的地方立法研究:天津日報6月8日報道，日前，天津市委網信辦召開全體干部會議。會議要求，要加快制定天津市大數據發展規劃和促進數字經濟發展的指導意見和大數據發展規劃，深入開展大數據、區塊鏈等新技術領域的地方立法研究，不斷增強工作的前瞻性。[2018/6/8]

但是這種提升并非沒有限制，雖然只有一次鏈上交易，但是它會受到交易數據本身gas成本的制約。以太坊數據的gas成本在伊斯坦布爾升級前是每字節68單位，而以太坊上每個地址就會占用20字節，所以用以太坊交易數據結構來表示鏈下交易gas費用會非常高，因此Rollup對交易數據進行了壓縮。

ZKRollup在智能合約里用merkle樹來記錄地址，這樣地址就可以表示成樹的索引值，地址數據的大小就從原本的20bytes減少到只有3bytes到4bytes。每筆交易就被壓縮成10幾個字節，再加上一個約100-300字節的SNARK，理論上可以將以太坊吞吐量從32TPS提升到約680TPS，伊斯坦布爾升級后可達到2000TPS。下圖是壓縮后ZKRollup每筆交易數據的格式：

OptimisticRollup的吞吐量理論上只有100TPS，主要原因是上文提到過的，為了支持欺詐證明OptimisticRollup的每筆交易數據需要包涵交易提交者的簽名。每條簽名的大小是64bytes，這大大增加了提交上鏈的交易數據的字節數，從而很快達到gas上限。為了減少交易數據的字節數，一種BLS聚合簽名機制被提了出來。如下圖所示，BLS聚合簽名機制是在操作員收集到所有交易后，將打包后的交易發送給每個交易提交者簽名，因為每個簽名都是針對相同的數據，所以可以被操作員聚合成一個BSL簽名。發送給鏈上合約的將是壓縮后的交易數據加上聚合后的BLS簽名，從而大幅減少了交易數據所消耗的gas。BLS簽名可以將OptimisticRollup的吞吐量從100TPS提升到450TPS，伊斯坦布爾升級后也可以達到2000TPS。

延遲

OptimisticRollup基于加密經濟學有效性博弈，只有過了1～2周的挑戰期才能確認交易生效。ZKRollup的延遲相對較小，如果一個打包區塊中有1000筆交易，在普通的服務器上大概需要20分鐘可以構造出一個證明。開發者們已經提出很多減少延遲的方法，比如采用GPU加速可以將零知識證明構造時間壓縮到1分鐘。還有一種叫做“即時交易收據”的方法兩種Rollup方案都適用。它主要借助經濟學博弈來完成，就是負責打包的操作員需抵押一部分安全保證金，如果某個交易沒有被打包到區塊中，這筆錢就會被沒收。理論上“即時交易收據”可以將交易確認時間壓縮到1秒以內，但是實現相對復雜，安全性有所降低。

通用性

通用性方面，OptimisticRollup明顯好于ZKRollup，當然它的設計目標就是支持任意智能合約。而ZKRollup目前僅適用于支付之類的特定交易，對于通用智能合約，由于創建零知識證明的成本非常高，部署起來困難較大。為了提高效率，開發者正在開發專門的零知識證明虛擬機，比如ZEXE。它在一定程度上可以縮短創建證明的時間，但是缺點是合約開發者需要大量的專業知識。MatterLabs團隊基于ZKRollup開發的新一代區塊鏈擴展方案ZKSync，設計開發了一款以委托的方式生成零知識證明的沙盒式虛擬機，開發者不需要深入了解零知識證明領域的技術細節就可以編寫出高效且安全的智能合約。

總結與展望

本文簡要介紹了區塊鏈擴容方案Rollup的工作原理，對比分析了兩種Rollup方案ZKRollup和OptimisticRollup在可擴展性、延遲、通用性、安全性上的優劣。

根據以上的對比分析，短期看來OptimisticRollup由于較好的通用性會受到開發者的青睞；但從長期來看，隨著零知識證明虛擬機的演進，ZKRollup會在通用性上不斷提高。它能否主宰智能合約可擴展性的未來呢？這個問題只能留給時間來回答了。

參考文章

1、《混合式二層協議的曙光》2、《零知識證明–zkSNARK入門》3、《有效性證明和錯誤證明》4、《ZKSync介紹》

Tags：ROLLROLKROTIMAITROLLSroll幣怎么用BankRollOptimism Doge

Ethereum