zkPHIRE: A Programmable Accelerator for ZKPs over HIgh-degRee, Expressive Gates

Resumen Técnico: zkPHIRE

Planteamiento del Problema

Las Pruebas de Conocimiento Cero (ZKPs) son críticas para la computación que preserva la privacidad en dominios como el blockchain, el aprendizaje automático y la votación electrónica. Sin embargo, su adopción generalizada se ve obstaculizada por la excepcionalmente alta sobrecarga computacional requerida para la generación de pruebas, que puede tomar minutos u horas en una CPU.

Aunque se han propuesto implementaciones de GPU y aceleradores de hardware (ASICs) para mitigar estos costos, enfrentan limitaciones significativas en cuanto a flexibilidad y escalabilidad:

1. Arquitecturas Rígidas: Los aceleradores previos, como zkSpeed, a menudo dependen de unidades de función fija diseñadas para conjuntos de puertas "Vanilla" específicos (por ejemplo, sumas y multiplicaciones estándar). Tienen dificultades para manejar eficientemente las puertas complejas, de alto grado y personalizadas que se utilizan cada vez más en los protocolos modernos (por ejemplo, las puertas Jellyfish de Halo2 y HyperPlonk).
2. Problemas de Escalabilidad: Los diseños de función fija a menudo requieren grandes scratchpads en chip para almacenar datos intermedios (tablas de Extensión Multilineal o MLE). A medida que el tamaño de los problemas escala (por ejemplo, más allá de $2^{24}$ puertas), la huella de memoria se vuelve impráctica, limitando la aplicabilidad del acelerador para cargas de trabajo de ZKP a gran escala.
3. Complejidad de SumCheck: Los protocolos ZKP modernos utilizan el protocolo SumCheck para verificar circuitos aritméticos. Si bien es eficiente para puertas simples, SumCheck se vuelve computacionalmente irregular y con una alta densidad de datos cuando se aplica a puertas de alto grado y expresivas. El flujo de datos varía significativamente según la estructura polinómica, lo que hace que los diseños de hardware fijos sean subóptimos.

Metodología

Los autores proponen zkPHIRE, un acelerador programable de sistema completo diseñado para manejar eficientemente puertas personalizadas arbitrarias mediante el protocolo SumCheck. El sistema está construido alrededor de una novedosa unidad SumCheck programable integrada en un marco más amplio que soporta el protocolo HyperPlonk.

1. Unidad SumCheck Programable

La innovación central es un datapath programable que equilibra la asignación de recursos con la reutilización inmediata de datos, evitando la rigidez de las unidades de función fija.

• Arquitectura: La unidad consiste en Elementos de Procesamiento (PEs) que contienen unidades de actualización de MLE, Motores de Extensión (EEs) y Carriles de Producto (PLs).
• Flujo de Datos: En lugar de transmitir todas las entradas de MLE simultáneamente, la unidad procesa un término polinómico a la vez. Recupera teselas (tiles) de datos desde la memoria fuera del chip hacia buffers de scratchpad locales y bancados.
• Programación (Scheduling): Un programador basado en grafos descompone las restricciones polinómicas para mapear las tablas de MLE a los EEs y PLs. Utiliza un esquema basado en acumulación para minimizar los requisitos de almacenamiento temporal en comparación con los enfoques de árbol balanceado, lo que permite el manejo eficiente de polinomios repetitivos dentro de un término.
• Flexibilidad: La unidad soporta un número arbitrario de términos y grados. Se adapta dinámicamente a diferentes estructuras polinómicas mediante la reconfiguración del mapeo de los MLEs a los recursos de hardware.
• Integración de ZeroCheck: El diseño integra la construcción de polinomios aleatorios auxiliares (ZeroChecks) directamente en el datapath de SumCheck, eliminando pasos de precomputación separados y reduciendo la sobrecarga de memoria.

2. Arquitectura de Sistema Completo (zkPHIRE)

La unidad SumCheck está embebida dentro de un marco acelerador más amplio para HyperPlonk, que incluye:

• Bosque Multifunción (Multifunction Forest): Un conjunto de unidades basadas en árboles reutilizadas para la evaluación de MLE, computación de productos y construcción de MLEs. Este diseño compartido mejora la utilización de recursos y reduce el área en comparación con unidades dedicadas.
• MSM (Multi-Scalar Multiplication): Una unidad dedicada para operaciones de curva elíptica, optimizada para los conteos de testigos específicos de HyperPlonk (incluyendo MSMs dispersos y densos).
• Generador de Cociente de Permutación: Una unidad en pipeline para la construcción de argumentos de permutación, que cuenta con una unidad de inverso modular optimizada que reduce el área en 4.2× en comparación con trabajos previos.
• Organización de Memoria: El sistema emplea scratchpads más pequeños y basados en teselas en lugar de masivos SRAM globales. Esto reduce el consumo de área y permite más espacio de die para unidades computacionales, aceptando una latencia de memoria fuera del chip ligeramente mayor a cambio de una mejor escalabilidad.
• Optimización de Enmascaramiento: La arquitectura superpone la latencia de las verificaciones de Identidad de Puerta (ZeroChecks) con las computaciones de MSM durante la fase de Identidad de Cable (Wire Identity), logrando así ocultar la latencia.

3. Metodología de Evaluación

Los autores evaluaron el diseño utilizando tecnología TSMC 22nm (escalada a 7nm para comparación) con un reloj de 1GHz.

• Benchmarks: Probaron una diversa gama de restricciones polinómicas, incluyendo aquellas de Spartan, Halo2 (operaciones de curva elíptica) e HyperPlonk (puertas Vanilla y Jellyfish).
• Comparaciones: El rendimiento se comparó contra una CPU de 32 hilos (AMD EPYC 7502), una GPU NVIDIA A100 y el estado del arte previo de ASICs, zkSpeed (y una versión mejorada, zkSpeed+).
• Exploración del Espacio de Diseño: Los autores realizaron un barrido de parámetros (PEs, EEs, PLs, tamaño de SRAM, ancho de banda) para identificar diseños Pareto-óptimos a través de diversos escenarios de ancho de banda (desde DDR hasta HBM3).

Contribuciones Clave

1. Acelerador SumCheck Programable: El primer actually de hardware capaz de soportar polinomios multilineales de alto grado arbitrarios, permitiendo la compatibilidad con tipos de puertas personalizadas encontradas en protocolos ZKP modernos.
2. Evaluación de Puertas de Alto Grado: La primera evaluación de hardware que demuestra que las puertas de alto grado ofrecen beneficios significativos de rendimiento y escalabilidad, particularmente al reducir el conteo total de puertas de un circuito.
3. Primitivas de Hardware Optimizadas:
   • Un Bosque Multifunción unificado que ahorra un 15.2% de área mediante la reutilización de unidades de árbol en los pasos del protocolo.
   • Una unidad de Inverso Modular optimizada que logra una reducción de área de 4.2× respecto al trabajo previo manteniendo el rendimiento.
4. Acelerador de Sistema Completo (zkPHIRE): Un acelerador completo para el protocolo HyperPlonk que soporta pruebas sucintas para tamaños de problema de hasta $2^{30}$ restricciones.

Resultados

• Aceleración sobre CPU: zkPHIRE logra una aceleración de media geométrica de 1486× sobre una línea base de CPU de 32 hilos.
• Aceleración sobre ASICs Previos: En condiciones de iso-área (comparando un diseño de 294 mm² contra un diseño de 366 mm² de zkSpeed+), zkPHIRE logra una aceleración de media geométrica de 11.87× sobre zkSpeed+.
• Aceleración sobre GPU: Al compararse con una GPU NVIDIA A100 ejecutando la librería ICICLE, zkPHIRE logra aproximadamente una aceleración de 70× para las operaciones de SumCheck.
• Escalabilidad: El sistema soporta tamaños de problema de hasta $2^{30}$ restricciones nominales manteniendo tamaños de prueba pequeños (4–5 KB).
• Puertas Jellyfish: El uso de puertas Jellyfish (que reducen el conteo de puertas hasta en 32×) combinado con la programabilidad de zkPHIRE genera ganancias de rendimiento adicionales. Por ejemplo, una reducción de 4× en el conteo de puertas mediante puertas Jellyfish permite que zkPHIRE supere a las implementaciones de puertas Vanilla tanto en zkSpeed+ como en zkPHIRE.
• Eficiencia de Recursos: El diseño logra estos resultados con un área total de aproximadamente 294 mm² (en escalado a 7nm) y un consumo de energía de 202.28 W.

Significado

El artículo afirma que zkPHIRE representa un paso significativo adelante en la aceleración de hardware para ZKP al abordar el compromiso entre rendimiento y flexibilidad. A diferencia de los aceleradores anteriores que estaban limitados a conjuntos de puertas específicos, la unidad SumCheck programable de zkPHIRE le permite adaptarse al panorama evolutivo de los protocolos ZKP, que dependen cada vez más de puertas de alto grado y complejas para su eficiencia.

Los autores enfatizan que su trabajo demuestra un rendimiento convincente mientras escala a grandes tamaños de problemas ($2^{30}$) y mantiene tamaños de prueba sucintos. Al abstraer SumCheck en primitivas comunes (actualizaciones, extensiones, productos) y explotar el paralelismo a través de tablas y productos de evaluación, zkPHIRE proporciona una base escalable para futuras aplicaciones de ZKP, incluyendo la verificación de edad privada, IA confiable y escalabilidad de blockchain. Los resultados sugieren que las arquitecturas programables son esenciales para soportar la próxima generación de protocolos ZKP expresivos sin sacrificar las ganancias de rendimiento de los ASICs.