技術要約: SNARKChain – 汎用目的のSNARKマーケットプレイスを備えたProof-of-Useful-Workブロックチェーン

1. 問題定義

Proof of Work (PoW) は最も安全なパーミッションレス・コンセンサス・プロトコルであるが、ブロックチェーンの外では価値を生み出さない計算集中的なパズル（例：ハッシュ衝突）への依存により、深刻な環境効率の悪さを抱えている。Proof of Useful Work (PoUW) は、これらの恣意的なパズルを、科学的シミュレーションや暗号学的証明といった実社会の価値を生み出すタスクに置き換えることを目的としている。しかし、既存のPoUWの提案は、PoWが持つ厳格なセキュリティ要件、特に鮮度（freshness）（リプレイ攻撃への耐性）、チェーン整合性の埋め込み（chain integrity embedding）、および**マイナーのアイデンティティ結合（miner identity binding）**を満たすことができていない。

同時に、ゼロ知識簡潔非対話知識証明（zk-SNARKs）の生成は多くのユーザーにとって計算コストが高すぎるため、アウトソーシングが必要となっている。SNARK生成のための分散型マーケットプレイスはアプリケーション層には存在するが、それらは通常、特定の専用回路に限定されているか、コンセンサス層に直接統合されず、汎用的な能力を維持できていない。

2. 手法

著者らは、コンセンサス・プロトコルにおける「有用な作業（useful work）」を、クライアントがアウトソーシングしたSNARK証明の生成とする新しいコンセンサス・プロトコルであるSNARKChainを提案する。本システムは、マイナーがネットワークを保護するために証明を計算する、分散型マーケットプレイスとして機能する。

コア・アーキテクチャ

ネットワークは以下の3つの参加者ロールで構成される：

1. クライアント (Clients): コインのトランザクションと、SNARK生成をリクエストするための算術回路およびパラメータを含む「証明トランザクション」を送信する。
2. マイナー / フルノード (Miners / Full Nodes): トランザクションを選択し、必要なSNARK証明を生成し、ブロックを公開するために競合する。彼らは、有効な証明を含むブロックに対して報酬を受け取る。
3. 回路レジストリノード (Circuit Registry Nodes): ステークを保有するサブネットワークであり、算術回路の分散登録、証明・検証キーの保存、および信頼できるセットアップのためのセキュア多党計算（SMPC）への参加を担当する。

コンセンサス・メカニズム：抽選と整合性

PoUW特有の課題に対処するため、プロトコルは**抽選メカニズム（Lottery Mechanism）と整合性結合（Integrity Binding）**を導入している。

• 抽選ベースのブロック選択: マイナーが固定の難易度閾値に達することを要求する代わりに（これは最も強力なマイナーによる中央集権化を招く）、プロトコルは加重抽選を使用する。マイナーがブロックのための新しい証明を生成するたびに、抽選チェックがトリガーされる。勝利確率（$P_{win}$）は、現在の難易度ターゲット（$\kappa$）に対する生成された証明の複雑さ（$C_i$）に比例する：
  $$P_{win}(i) = \frac{C_i}{\kappa}$$
  これにより、**進捗非依存性（progress-freeness）**が確保される。すなわち、勝利確率は既に費やした時間ではなく、最後に生成された証明のみに依存する。

• 整合性パラメータ ($\eta$): 証明の窃盗やリプレイ攻撃を防ぐため、各算術回路は公開された integrity パラメータを含むように修正される。このパラメータは、構築中のブロックヘッダーのハッシュから導出される。マイナーが抽選に失敗した場合、新たに生成された証明を含めるために整合性パラメータを再計算しなければならず、これによりブロック内に暗号的にリンクされた証明の連鎖が作成される。これにより、証明が検証を無効にすることなく別のブロックで再利用されることはなくなる。

• アモルティゼーション（償却）の防止: マイナーが証明をバッチ処理することで不当な利益を得ることを防ぐため、システムは mask パラメータ（マイナーのアドレスと回路使用回数を組み合わせたもの）を使用し、公開入力（整合性パラメータなど）の変更がGroth16におけるQAP評価全体を無効にし、完全な再計算を必要とすることを保証する。

• バケッティング (Bucketing): 並列で動作する複数のマイナー間でのトランザクションの重複による無駄な作業を減らすため、プロトコルはトランザクションハッシュのプレフィックスに基づいてトランザクション空間を「バケット」に分割する。マイナーはバケットを選択することで、互いに素なトランザクションセットを確保し、競合を最小限に抑える。

暗号学的詳細

システムは Groth16 SNARKを利用する。著者らは、定数サイズの証明（128バイト）と、制約数に対する線形な証明時間を実現するためにGroth16を選択した。プロトコルは、単一の専用回路に限定されず、ZoKratesやCircomのようなDSLで定義された汎用回路をサポートする。

3. 主な貢献

本論文は以下の貢献を主張している：

1. コンセンサス層における初のSNARKマーケットプレイス: 本提案は、証明生成がブロックのセキュリティと不可分である、コンセンサス層で直接動作する汎用zk-SNARK生成の最初の分散型マーケットプレイスである。
2. PoUWプロトコルの設計: リソース集中的なSNARK計算をノードにオフロードする新しいアプローチであり、PoWのすべての重要な特性（非対称性、粒度、アモルティゼーション非依存性、独立性、効率性、不可偽性、鮮度、決定論、進捗非依存性、および公開検証可能性）を満たしている。
3. プライベート入力の処理: 論文（付録に詳述）では、初期設計の公開パラメータのみという制限に対処するため、ウィットネスの難読化アウトソーシングを介したプライベートパラメータを持つ証明の取り扱い方法を提案している。
4. セキュリティ分析: プロトコルの公平性とセキュリティ特性を実証するために、Stochastic Time Colored Petri Netsを用いた形式的な分析とシミュレーションを実施した。

4. 結果と評価

著者らは、4つの仮説をテストするためにペトリネットモデルを用いてプロトコルを評価した：

• H1 (公平性): 報酬の分配はマイニングパワーに見合ったものである。シミュレーションにより、ブロック報酬は計算能力に線形にスケールすることが確認された。しかし、証明報酬は計算能力に対して二次的な依存関係を示した。これは、マイニングプールの中央集権化を防ぐために、証明報酬をブロック報酬に対して最小限に抑える必要があることを示唆している。
• H2 (独立性): 選択された証明の複雑さが報酬を不当に偏らせることはない。結果は、大きな証明を好むマイナーが不当に多くのブロック報酬を得ることはないものの、より多くの証明を生成していることを示した。
• H3 (中央集権化 vs 効率性): 長い証明の連鎖を優先するパラメータ（$\psi$）を導入すると、無駄な作業は減少するが、中央集権化が進む。このトレードオフは、効率性は向上させられるものの、ネットワークの公平性を損なうリスクがあることを示唆している。
• H4 (バケッティング): バケット数を増やすことで、トランザクションの重複による無駄な作業が大幅に減少する。シミュレーションは、バケット数が多いほど、無駄な作業の割合が低くなることを示した。

分析により、Groth16は証明生成時間において必要な線形スケーリングを提供し、プロトコルを予測可能かつスケーラブルにすることが確認された。

5. 重要性と主張

本論文は、SNARKChainを、ブロックチェーンのエネルギー浪費とzk-SNARK生成の高コストという二重の課題に対する解決策として位置づけている。

• セキュリティ: 従来のPoUWの提案とは異異なり、本システムはチェーンの整合性とマイナーのアイデンティリティをパズルの解に直接組み込んでおり、PoWの厳格な「鮮度」および「不可偽性」の要件を満たしている。
• 有用性: これはPoWの「無駄」を、プライバシー、スケーラビリティ、および広範なアプリケーションにおけるクロスチェーン相互運用性に利用可能な、価値ある暗号学的証明へと変貌させる。
• 新規性: 著者らは、知る限り、汎用的なSNARK生成をコンセンサス層に統合し、かつ必要なすべてのPoW特性を満たすことに成功した最初のシステムであると断言している。

結論として、$\psi$ パラメータによる中央集権化と無駄な作業のトレードオフなどの課題は残っているものの、提案されたプロトコルは、安全でエネルギー効率の高い、有用な暗号学的副産物を生成するブロックチェーンへの実行可能な道筋を提示している。