💻 computer science

zkPHIRE: A Programmable Accelerator for ZKPs over HIgh-degRee, Expressive Gates

Il documento presenta zkPHIRE, un nuovo acceleratore hardware programmabile che supera significativamente sia la CPU che le soluzioni allo stato dell'arte gestendo efficientemente porte complesse ad alto grado tramite il protocollo SumCheck per abilitare prove Zero-Knowledge scalabili e veloci per il sistema HyperPlonk.

Autori originali: Alhad Daftardar, Jianqiao Mo, Joey Ah-kiow, Benedikt Bünz, Siddharth Garg, Brandon Reagen

Pubblicato 2026-01-27

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Alhad Daftardar, Jianqiao Mo, Joey Ah-kiow, Benedikt Bünz, Siddharth Garg, Brandon Reagen

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il quadro generale: Il "trucco di magia" che richiede troppo tempo

Immagina di voler dimostrare a un amico di conoscere una password segreta senza però rivelargli quale sia la password. Nel mondo della crittografia, questo viene chiamato Zero-Knowledge Proof (ZKP). È come mostrare a qualcuno che hai la chiave di una casa senza consegnargli la chiave o lasciargli vedere la serratura.

Questa tecnologia è incredibile per la privacy (come dimostrare di avere più di 21 anni senza mostrare il documento d'identità) e per la sicurezza (come verificare le transazioni blockchain). Tuttavia, c'è un grosso problema: è incredibilmente lenta.

Generare una di queste prove su un computer standard (CPU) può richiedere minuti o addirittura ore. È come cercare di preparare una torta complessa a mano quando devi servire un banchetto in cinque minuti. Il paper introduce una nuova macchina, zkPHIRE, progettata per essere un "super-chef" capace di preparare queste prove in pochi secondi.

Il problema: La trappola del "taglia unica"

Per capire l'innovazione, dobbiamo guardare come vengono costruite queste prove.

Il vecchio modo (Vanilla Gates): Pensa a un processore di un computer standard come a una fabbrica che sa fare solo due cose: Sommare e Moltiplicare. Per costruire una prova complessa, devi scomporre ogni singolo passaggio della matematica in minuscole addizioni e moltiplicazioni. È come cercare di costruire un grattacielo usando solo singoli mattoni. Funziona, ma servono milioni di mattoni e la costruzione richiede un tempo infinito.
Il nuovo modo (High-Degree Gates): I protocolli moderni (come HyperPlonk) permettono l'uso di "High-Degree Gates". Questi sono come sezioni di pareti prefabbricate. Invece di posare un mattone alla volta, puoi incastrare un'intera parete che include già una finestra, una porta e un telaio tutto in una volta. Questo riduce drasticamente il numero di passaggi necessari.

Il problema: Sebbene queste "pareti prefabbricate" siano più veloci da costruire, hanno forme strane. Una fabbrica standard (o un chip specializzato precedente chiamato zkSpeed) era stata costruita per gestire solo semplici mattoni. Non poteva gestire le forme complesse e personalizzate di queste nuove pareti. Per usare le nuove pareti, dovevi o tornare al metodo manuale lento o costruire una fabbrica personalizzata per ogni singolo tipo di parete, il che è troppo costoso e poco flessibile.

La soluzione: La fabbrica "programmabile" (zkPHIRE)

Gli autori hanno costruito zkPHIRE, un nuovo acceleratore hardware che agisce come una fabbrica programmabile e mutaforma.

È flessibile: A differenza delle vecchie fabbriche che erano cablate per forme specifiche, zkPHIRE può essere riprogrammato al volo per gestire qualsiasi forma di "parete" (polynomial gate), che si tratti di un semplice mattone o di una curva complessa ad alto grado.
È veloce: Non solo gestisce queste forme complesse, ma le gestisce in modo incredibilmente efficiente.
- Velocità: È 1.486 volte più veloce di un normale computer CPU.
- Confronto: È anche 11,87 volte più veloce del precedente miglior chip specializzato (zkSpeed), nonostante zkSpeed fosse stato costruito per un compito più semplice e meno flessibile.
- Scalabilità: Può gestire problemi massicci (fino a $2^{30}$ vincoli) mantenendo la "prova" finale (la ricevuta del trucco di magia) minuscola (solo 4–5 KB).

Come funziona: La "linea di montaggio intelligente"

Il paper descrive il funzionamento interno di zkPHIRE utilizzando alcuni trucchi astuti:

La strategia del "Blocco Note" (Scratchpad): Immagina uno chef che tiene tutti gli ingredienti sul bancone (memoria on-chip). Per ricette semplici, questo è ottimo. Ma per banchetti massicci, il bancone diventa troppo affollato e lo chef perde tempo a cercare le cose. zkPH via usa un sistema più intelligente: tiene una piccola "stazione di preparazione" organizzata (scratchpad) per gli ingredienti di cui ha bisogno proprio ora, e preleva il resto dalla dispensa (memoria off-chip) proprio in tempo. Questo risparmia spazio e mantiene fluida la linea di montaggio.
La "Foresta" di alberi: Per eseguire i calcoli, il chip utilizza una "Multifunction Forest". Immagina una squadra di operai che si passano secchi d'acqua lungo una linea. Invece di avere un solo lavoratore che faccia tutto, passano l'acqua attraverso una serie di alberi (strutture dati) che moltiplicano e sommano i valori simultaneamente. Questo permette al chip di fare molti calcoli contemporaneamente senza creare grovigli.
Nascondere l'attesa: A volte, la macchina deve aspettare che i dati arrivino dalla dispensa. zkPHIRE è abbastanza intelligente da iniziare a lavorare su una parte diversa della prova mentre aspetta, in modo che la macchina non rimanga mai ferma.

I risultati: Perché è importante

Il paper ha testato zkPHIRE su vari scenari reali, tra cui:

ZCash: Una criptovaluta orientata alla privacy.
Rollups: Metodi per velocizzare le transazioni blockchain.
zkEVM: Un modo per eseguire smart contract complessi in modo privato.

Il verdetto:

Velocità: Trasforma un processo che richiede ore su un computer normale in un processo che richiede millisecondi.
Efficienza: Ci riesce utilizzando meno spazio fisico (area del silicio) rispetto ai tentativi precedenti.
Versatilità: Dimostra che non è necessario scegliere tra "veloce ma rigido" e "lento ma flessibile". zkPHIRE è sia veloce che flessibile.

Sintesi

Pensa a zkPHIRE come alla differenza tra un temperino a manovella e una macchina industriale programmabile ad alta velocità.

Il vecchio modo (CPU) era lento e manuale.
Il precedente modo specializzato (zkSpeed) era veloce ma poteva temperare solo matite standard.
zkPHIRE è veloce, può temperare qualsiasi forma di matita (anche quelle strane e personalizzate) e lo fa con tale efficienza da rendere la tecnologia che preserva la privacy pratica per il mondo reale.

Il paper afferma che questa è la prima volta che una macchina così flessibile e veloce è stata costruita specificamente per queste complesse prove "High-Degree", aprendo la strada a sistemi digitali più veloci, privati e sicuri.

Riepilogo Tecnico: zkPHIRE

Problematica

Le prove a conoscenza zero (Zero-Knowledge Proofs, ZKP) sono fondamentali per il calcolo preservante la privacy in domini come la blockchain, il machine learning e il voto elettronico. Tuttavia, la loro adozione diffusa è ostacolata dall'eccezionale overhead computazionale richiesto per la generazione delle prove, che può richiedere minuti o ore su una CPU.

Sebbene siano state proposte implementazioni basate su acceleratori hardware (ASIC) e GPU per mitigare questi costi, esse affrontano limitazioni significative in termini di flessibilità e scalabilità:

Architetture Rigide: Gli acceleratori precedenti, come zkSpeed, spesso si affidano a unità a funzione fissa progettate per specifici set di gate "Vanilla" (ad esempio, addizioni e moltiplicazioni standard). Faticano a gestire efficientemente i gate complessi, ad alto grado e custom che vengono sempre più utilizzati nei protocolli moderni (ad esempio, i gate Jellyfish di Halo2 e HyperPlonk).
Problemi di Scalabilità: Le progettazioni a funzione fissa richiedono spesso grandi scratchpad on-chip per memorizzare i dati intermedi (tabelle di Estensione Multilineare o MLE). Man mano che le dimensioni dei problemi aumentano (ad esempio, oltre $2^{24}$ gate), l'impronta di memoria diventa impraticabile, limitando l'applicabilità dell'acceleratore a carichi di lavoro ZKP su larga scala.
Complessità del SumCheck: I moderni protocolli ZKP utilizzano il protocollo SumCheck per verificare i circuiti aritmetici. Sebbene sia efficiente per gate semplici, il SumCheck diventa computazionalmente irregolare e intensivo in termini di dati quando applicato a gate ad alto grado ed espressivi. Il flusso di dati varia significamente in base alla struttura polinomiale, rendendo subottimali le progettazioni hardware a funzione fissa.

Metodologia

Gli autori propongono zkPHIRE, un acceleratore programmabile a sistema completo, progettato per gestire efficientemente arbitrari gate custom tramite il protocollo SumCheck. Il sistema è costruito attorno a un'innovativa unità SumCheck programmabile integrata in un framework più ampio che supporta il protocollo HyperPlonk.

1. Unità SumCheck Programmabile

L'innovazione principale è un datapath programmabile che bilancia l'allocazione delle risorse con il riutilizzo immediato dei dati, evitando la rigidità delle unità a funzione fissa.

Architettura: L'unità consiste in Elementi di Elaborazione (PE) contenenti unità di aggiornamento MLE, Motori di Estensione (EE) e Lane di Prodotto (PL).
Flusso di Dati: Inveve di trasmettere simultaneamente tutte le voci MLE, l'unità elabora un termine polinomiale alla volta. Recupera blocchi (tiles) di dati dalla memoria off-chip in buffer scratchpad locali e bancati.
Scheduling: Uno scheduler basato su grafi decompone i vincoli polinomiali per mappare le tabelle MLE agli EE e ai PL. Utilizza uno scheduling basato sull'accumulazione per minimizzare i requisiti di archiviazione temporanea rispetto agli approcci ad albero bilanciato, consentendo una gestione efficiente dei polinomi ripetuti all'interno di un termine.
Flessibilità: L'unità supporta un numero arbitrario di termini e gradi. Si adatta dinamicamente a diverse strutture polinomiali riconfigurando la mappatura delle MLE sulle risorse hardware.
Integrazione ZeroCheck: Il design integra la costruzione di polinomi ausiliari casuali (ZeroChecks) direttamente nel datapath SumCheck, eliminando i passaggi di precomputazione separati e riducendo l'overhead di memoria.

2. Architettura Full-System (zkPHIRE)

L'unità SumCheck è inserita in un framework acceleratore più ampio per HyperPlonk, che include:

Multifunction Forest: Un insieme di unità basate su alberi riutilizzate per l'evaluazione MLE, il calcolo dei prodotti e la costruzione delle MLE. Questo design condiviso migliora l'utilizzo delle risorse e riduce l'area rispetto alle unità dedicate.
MSM (Multi-Scalar Multiplication): Un'unità dedicata alle operazioni su curve ellittiche, ottimizzata per i conteggi specifici dei witness di HyperPlok (inclusi MSM sparsi e densi).
Generatore di Quoziente di Permutazione: Un'unità in pipeline per la costruzione di argomenti di permutazione, dotata di un'unità di inverso modulare ottimizzata che riduce l'area di 4,2× rispetto ai lavori precedenti.
Organizzazione della Memoria: Il sistema impiega scratchpad più piccoli e basati su tile piuttosto che massicci SRAM globali. Ciò riduce il consumo di area e permette più spazio die per le unità computazionali, accettando una latenza della memoria off-chip leggermente superiore in cambio di una migliore scalabilità.
Ottimizzazione del Masking: L'architettura sovrappone la latenza dei controlli di Identità del Gate (ZeroChecks) con i calcoli MSM durante la fase di Wire Identity, effettuando di fatto l'occultamento della latenza.

3. Metodologia di Valutazione

Gli autori hanno valutato il design utilizzando la tecnologia TSMC 22nm (scalata a 7nm per il confronto) con un clock a 1GHz.

Benchmark: Hanno testato una vasta gamma di vincoli polinomiali, inclusi quelli di Spartan, Halo2 (operazioni su curve ellittiche) e HyperPlonk (gate Vanilla e Jellyfish).
Confronti: Le prestazioni sono state messe in scala rispetto a una CPU a 32 thread (AMD EPYC 7502), una GPU NVIDIA A100 e lo stato dell'arte precedente degli ASIC, zkSpeed (e una versione migliorata, zkSpeed+).
Esplorazione dello Spazio di Design: Gli autori hanno analizzato i parametri (PE, EE, PL, dimensione SRAM, larghezza di banda) per identificare i design Pareto-ottimali attraverso diversi scenari di larghezza di banda (da DDR a HBM3).

Contributi Chiave

Acceleratore SumCheck Programmabile: Il primo modulo hardware capace di supportare arbitrari polinomi multilineari ad alto grado, abilitando la compatibilità con i tipi di gate custom presenti nei moderni protocolli ZKP.
Valutazione di Gate ad Alto Grado: La prima valutazione hardware che dimostra come i gate ad alto grado offrano significativi benefici in termini di prestazioni e scalabilità, in particolare riducendo il numero totale di gate di un circuito.
Primitive Hardware Ottimizzate:
- Una Multifunction Forest unificata che risparmia il 15,2% di area riutilizzando le unità ad albero attraverso i vari step del protocollo.
- Un'unità di Inverso Modulare ottimizzata che ottiene una riduzione dell'area di 4,2× rispetto ai lavori precedenti mantenendo la throughput.
Acceleratore Full-System (zkPHIRE): Un acceleratore completo per il protocollo HyperPlonk che supporta prove succinte per problemi con dimensioni fino a $2^{30}$ vincoli.

Risultati

Speedup rispetto alla CPU: zkPHIRE raggiunge un speedup della media geometrica di 1486× rispetto a una baseline CPU a 32 thread.
Speedup rispetto ai precedenti ASIC: A parità di area (confrontando un design da 294 mm² con uno da 366 mm² di zkSpeed+), zkPHIRE raggiunge uno speedup della media geometrica di 11,87× rispetto a zkSpeed+.
Speedup rispetto alla GPU: Rispetto a una GPU NVIDIA A100 con la libreria ICICLE, zkPHIRE raggiunge circa 70× di speedup per le operazioni SumCheck.
Scalabilità: Il sistema supporta dimensioni di problemi fino a $2^{30}$ vincoli nominali mantenendo dimensioni delle prove ridotte (4–5 KB).
Gate Jellyfish: L'uso di gate Jellyfish (che riducono il numero di gate fino a 32×) combinato con la programmabilità di zkPHIRE genera ulteriori guadagni di prestazione. Ad esempio, una riduzione di 4× del numero di gate tramite gate Jellyfish consente a zkPHIRE di superare le implementazioni di gate Vanilla sia su zkSpeed+ che su zkPHIRE.
Efficienza delle Risorse: Il design raggiunge questi risultati con un'area totale di circa 294 mm² (alla scalatura a 7nm) e un consumo di potenza di 202,28 W.

Significato

Il paper sostiene che zkPHIRE rappresenti un passo avanti significativo nell'accelerazione hardware ZKP affrontando il compromesso tra prestazioni e flessibilità. A differenza degli acceleratori precedenti, limitati a specifici set di gate, l'unità SumCheck programmabile di zkPHIRE consente di adattarsi al panorama in rapida evoluzione dei protocolli ZKP, che fanno sempre più affidamento su gate complessi e ad alto grado per l'efficienza.

Gli autori sottolineano che il loro lavoro dimostra prestazioni convincenti pur scalando verso grandi dimensioni di problemi ( $2^{30}$ ) e mantenendo dimensioni delle prove succinte. Astrarre il SumCheck in primitive comuni (aggiornamenti, estensioni, prodotti) e sfruttare il parallelismo tra le tabelle e i prodotti di valutazione, zkPHIRE fornisce una base scalabile per le future applicazioni ZKP, tra cui la verifica dell'età privata, l'IA affidabile e la scalabilità della blockchain. I risultati suggeriscono che le architetture programmabili sono essenziali per supportare la prossima generazione di protocolli ZKP espressivi senza sacrificare i vantaggi prestazionali degli ASIC.