Три прототипа исследуют разные свойства полиномиальных обязательств. Пакетный Ladder FRI измеряет объём открытий для сдвинутых трасс. Чередующийся FRI-Binius обнаруживает разрыв в привязке к исходному обязательству посредством атаки A/A′. BaseFold внутри трассы проверяет, может ли проверяющая схема замкнуться в фиксированном рекурсивном классе.
Вопрос оценки
Схема полиномиальных обязательств может выглядеть эффективной на алгебраическом уровне и всё же не подходить системе, в которой она будет использоваться. Три прототипа оценивались по трём различным критериям: размер доказательства для сдвинутых трасс, связь смешанных открытий с исходным обязательством и стоимость воспроизведения проверяющей стороны внутри рекурсии.
Схема полиномиальных обязательств (PCS) фиксирует полином — либо представленный им столбец трассы — и позднее доказывает заявленные значения, не раскрывая весь столбец. FRI — семейство протоколов проверки малой степени и открытия значений. Алгебраическое представление вычисления (AIR) описывает трассу исполнения полиномиальными ограничениями между её строками. Эти три понятия используются во всех экспериментах ниже.
Эти нагрузки нельзя сравнивать напрямую. Каждый эксперимент изолирует отдельную системную границу.
Эксперимент 1. Ladder-batched FRI
В испытании CarryRipple 64-битный сумматор с последовательным переносом был представлен как AIR-трасса: каждая строка содержала один разряд и перенос в следующую строку. Поэтому один столбец читался со сдвигом на строку. Лестничная редукция — алгебраический шаг, преобразующий такие утверждения о сдвинутых строках в утверждения о значениях исходного столбца, зафиксированного обязательством. Редукции для отдельных слотов объединялись в одно многоточечное открытие FRI вместо отдельного FRI-доказательства для каждого слота.
| Нагрузка | Строки | Сумматоры | Построение | Проверка | Доказательство |
|---|---|---|---|---|---|
| Малая | 28 | 4 | 30,57 мс | 11,76 мс | 34,55 КБ |
| Средняя | 212 | 64 | 175,77 мс | 33,97 мс | 185,86 КБ |
| Штатная геометрия | 216 | 1 024 | 2,05 с | 65,06 мс | 385,17 КБ |
При 216 строк построение обязательства занимало около 70% времени доказывающей стороны. Многоточечное открытие FRI занимало 381,62 КБ — 99,1% всех байтов доказательства, тогда как сама лестничная редукция — 1,53 КБ.
Алгебраическое пакетирование удалось, но не устранило главный источник объёма. Оптимизация лестницы затронула бы компонент размером 0,4%, а не многоточечное открытие.
Эксперимент 2. Interleaved FRI-Binius
Второй прототип совместно кодировал столбцы двоичного поля, создавал обязательство к чередующимся исходным данным и использовал компактный FRI для проверки малой степени. Смешанные открытия объединяли столбцы и утверждения о значениях через один вызов Fiat–Shamir.
Тест с преднамеренной подменой «обязательство к A, открытие из A′» проверял, аутентифицирован ли компактный оракул нулевого раунда вплоть до закодированных столбцов, названных исходным обязательством. Вариант, проверявший только согласованность, не связывал оракул с исходным обязательством, а дополнительное поглощение транскриптом не могло заменить эту связь.
Выбранная конструкция добавила корень исходных данных и потребовала, чтобы компактный FRI и аутентификация источника использовали одни и те же индексы запросов. Полная конструкция и её проверка с преднамеренной подменой описаны в статье «Привязка компактного смешанного открытия к исходному обязательству».
Для компактного смешанного открытия необходим явный путь от каждого выбранного значения оракула к исходным данным обязательства. Fiat–Shamir связывает порядок сообщений, но сам по себе не доказывает, что два объекта соответствуют одному исходному обязательству.
Эксперимент 3. Воспроизведение проверяющей стороны BaseFold
Время нативной проверки — недостаточная метрика PCS для рекурсивной системы. Поглощение транскрипта, проверки sumcheck, свёртки, пути Merkle и согласование итоговых значений становятся частью свидетеля и системы ограничений в доказательстве-преемнике.
BaseFold — выбранная для рекурсивного доказательства система полиномиальных обязательств и открытий. Её проверяющая сторона была выражена в FieldR1cs — представлении ограничений над двоичным полем, которое позволяет воспроизвести нативные операции проверки внутри доказательства, — и замкнута в фиксированном рекурсивном классе. Этот эксперимент измерял иное свойство, чем первые два: могут ли её трасса, публичные входы и выходы и аутентифицированная форма матрицы проверить предшественника без увеличения класса следующего доказательства.
Полученная конструкция одного класса описана в статье «Рекурсивная проверяющая схема должна была поместиться в саму себя».
Результаты на трёх границах
| Прототип | Проверяемое свойство | Наблюдаемая граница | Решение |
|---|---|---|---|
| Ladder-batched FRI | Общее открытие для сдвинутых утверждений AIR | Многоточечное открытие заняло 99,1% байтов | Не начинать с оптимизации лестницы размером 1,53 КБ |
| Interleaved FRI-Binius | Компактные открытия для множества столбцов двоичного поля | Оракул нулевого раунда не был связан с исходными данными обязательства | Добавить аутентификацию источника с общими запросами |
| BaseFold внутри трассы | Проверка PCS внутри доказательства-преемника | Трасса и память проверяющей стороны преобладают над временем нативной проверки | Учитывать рекурсивную форму как самостоятельную составляющую затрат |
Обобщаемые выводы
- Учитывайте объём открытий отдельно от алгебры, создающей утверждения об их значениях.
- Проверяйте происхождение обязательства преднамеренной подменой A/A′, а не только случайными мутациями доказательства.
- Для рекурсии измеряйте трассу проверяющей стороны и объём памяти, а не только время нативной проверки.
- После включения фиксированной геометрии доказательства в консенсус аутентифицируйте её воспроизводимым способом.
Связанные материалы сохраняют реализации, измерения и негативные тесты. Это экспериментальное основание для выводов, а не заявление о взаимозаменяемости всех трёх прототипов как PCS, пригодных для рабочей сети.