zkPHIRE: A Programmable Accelerator for ZKPs over HIgh-degRee, Expressive Gates

기술 요약: zkPHIRE

문제 정의

영지식 증명(Zero-Knowledge Proofs, ZKPs)은 블록체인, 머신러닝, 전자 투표와 같은 도메인에서 프라이버시를 보존하는 계산을 위한 핵심 기술입니다. 그러나 증명 생성에 요구되는 매우 높은 계산 오버헤드(CPU에서 몇 분에서 몇 시간까지 소요될 수 있음)로 인해 광범위한 채택이 저해되고 있습니다.

이러한 비용을 완화하기 위해 하드웨어 가속기(ASIC) 및 GPU 구현이 제안되어 왔으나, 이들은 유연성과 확장성 측면에서 상당한 한계에 직면해 있습니다:

1. 경직된 아키텍처: zkSpeed와 같은 기존 가속기는 특정 "바닐라(Vanilla)" 게이트 세트(예: 표준 덧셈 및 곱셈)를 위해 설계된 고정 기능 유닛에 의존하는 경우가 많습니다. 이들은 현대적인 프로토콜(예: Halo2, HyperPlonk의 Jellyfish 게이트)에서 점점 더 많이 사용되는 복잡하고 차수가 높은 커스텀 게이트를 효율적으로 처리하는 데 어려움을 겪습니다.
2. 확장성 문제: 고정 기능 설계는 중간 데이터(다선형 확장 또는 MLE 테이블)를 저장하기 위해 대규모 온칩 스크래치패드를 필요로 하는 경우가 많습니다. 문제 규모가 커짐에 따라(예: $2^{24}$ 게이트 초과), 메모리 풋프린트가 비현실적이 되어 대규모 ZKP 워크로드에 대한 가속기의 적용 가능성을 제한합니다.
3. SumCheck 복잡성: 현대적인 ZKP 프로토콜은 산술 회로를 검증하기 위해 SumCheck 프로토콜을 활용합니다. 단순한 게이트에는 효율적이지만, 고차의 표현력이 풍부한 게이트에 적용될 경우 SumCheck는 계산적으로 불규칙하고 데이터 집약적이 됩니다. 데이터 흐름은 다항식 구조에 따라 크게 달라지며, 이는 고정된 하드웨어 설계를 최적화하기 어렵게 만듭니다.

방법론

저자들은 임의의 커스텀 게이트를 SumCheck 프로토콜을 통해 효율적으로 처리할 수 있도록 설계된 프로그래밍 가능한 풀 시스템 가속기인 zkPHIRE를 제안합니다. 이 시스템은 HyperPlonk 프로토콜을 지원하는 더 큰 프레임워크 내에 통합된 새로운 프로그래밍 가능한 SumCheck 유닛을 중심으로 구축되었습니다.

1. 프로그래밍 가능한 SumCheck 유닛

핵심 혁신은 고정 기능 유닛의 경직성을 피하면서 자원 할당과 즉각적인 데이터 재사용 사이의 균형을 맞추는 프로그래밍 가능한 데이터패스입니다.

• 아키텍처: 유닛은 MLE 업데이트 유닛, Extension Engine(EE), Product Lane(PL)을 포함하는 프로세싱 엘리먼트(PE)로 구성됩니다.
• 데이터 흐름: 모든 MLE 엔트리를 동시에 스트리밍하는 대신, 유닛은 한 번에 하나의 다항식 항을 처리합니다. 로컬 뱅크형 스크래치패드 버퍼로 오프칩 메모리로부터 데이터 타일을 가져옵니다.
• 스케줄링: 그래프 기반 스케줄러는 다항식 제약 조건을 분해하여 MLE 테이블을 EE 및 PL에 매핑합니다. 이는 균형 잡힌 트리 방식에 비해 임시 저장 요구 사항을 최소화하는 누적 기반 스케줄을 활용하며, 이를 통해 항 내에서 반복되는 다항식을 효율적으로 처리할 수 있습니다.
• 유연성: 유닛은 임의의 수의 항과 차수를 지원합니다. MLE를 하드웨어 리소스로 매핑하는 구성을 재설정함으로써 다양한 다항식 구조에 동적으로 적응합니다.
• ZeroCheck 통합: 설계는 보조 무작위 다항식(ZeroChecks)의 구축을 SumCheck 데이터패스에 직접 통합하여, 별도의 사전 계산 단계를 제거하고 메모리 오버헤드를 줄입니다.

2. 풀 시스템 아키텍처 (zkPHIRE)

SumCheck 유닛은 다음과 같은 HyperPlonk용 가속 프레임워크 내에 내장되어 있습니다:

• Multifunction Forest: MLE 평가, 곱셈 계산, MLE 구축을 위해 재사용되는 트리 기반 유닛 세트입니다. 이러한 공유 설계는 전용 유닛에 비해 자원 활용도를 높이고 면적을 줄입니다.
• MSM (Multi-Scalar Multiplication): HyperPlonk의 특정 위너(witness) 카운트(희소 및 밀집 MSM 포함)에 최적화된 타원 곡선 연산을 위한 전용 유닛입니다.
• Permutation Quotient Generator: 순열 인수를 구성하기 위한 파이프라인 유닛으로, 이전 작업보다 면적을 4.2배 줄이는 최적화된 모듈러 역수(modular inverse) 유닛을 특징으로 합니다.
• 메모리 구조: 시스템은 거대한 글로벌 SRAM 대신 작은 타일 기반 스크래치패드를 사용합니다. 이는 면적 소비를 줄이고 더 많은 다이 공간을 계산 유닛에 할당할 수 있게 하며, 더 나은 확장성을 위해 약간 높은 오프칩 메모리 레이턴시를 수용합니다.
• 마스킹 최적화: 아키텍처는 Wire Identity 단계 동안 MSM 계산과 Gate Identity 체크(ZeroChecks)의 레이턴시를 중첩시켜 레이턴시를 효과적으로 숨깁니다.

3. 평가 방법론

저자들은 TSMC 22nm 기술을 사용하여 설계를 평가하였으며(비교를 위해 7nm로 스케일링됨), 1GHz 클럭을 사용했습니다.

• 벤치마크: Spartan, Halo2(타원 곡선 연산), HyperPlonk(Vanilla 및 Jellyfish 게이트)에서 가져온 다양한 다항식 제약 조건을 테스트했습니다.
• 비교 대상: 성능은 32 스레드 CPU(AMD EPYC 7502), NVIDIA A100 GPU, 그리고 이전 SOTA ASIC인 zkSpeed(및 향상된 버전인 zkSpeed+)와 벤치마킹되었습니다.
• 설계 공간 탐색: 저자들은 PEs, EEs, PLs, SRAM 크기, 대역폭 등의 파라미터를 조사하여 다양한 대역폭 시나리오(DDR에서 HBM3까지)에 걸친 파레토 최적(Pareto-optimal) 설계를 식별했습니다.

주요 기여

1. 프로그래밍 가능한 SumCheck 가속기: 현대적인 ZKP 프로토콜에서 발견되는 커스텀 게이트 유형과 호환될 수 있도록 임의의 고차 다선형 다항식을 지원할 수 있는 최초의 하드웨어 유닛입니다.
2. 고차 게이트 평가: 고차 게이트가 회로의 총 게이트 수를 줄임으로써 성능과 확장성 측면에서 상당한 이점을 제공한다는 것을 보여주는 최초의 하드웨어 평가입니다.
3. 최적화된 하드웨어 프리미티브:
   • 트리 유닛을 프로토콜 단계 전반에 걸쳐 재사용하여 15.2%의 면적을 절감하는 통합 Multifunction Forest.
   • 처리량을 유지하면서 이전 작업 대비 4.2배의 면적 감소를 달야낸 최적화된 Modular Inverse 유닛.
4. 풀 시스템 가속기 (zkPHIRE): $2^{30}$ 규모의 제약 조건까지 서브젝트 증명을 지원하는 HyperPlonk용 완전한 가속기입니다.

결과

• CPU 대비 속도 향상: zkPHIRE는 32 스레드 CPU 베이스라인 대비 1486배의 기하 평균 속도 향상을 달성했습니다.
• 이전 ASIC 대비 속도 향상: 등면적 비교 시(294 mm² 설계 vs 366 mm² zkSpeed+ 설계), zkPHIRE는 zkSpeed+ 대비 11.87배의 기하 평균 속도 향상을 달성했습니다.
• GPU 대비 속도 향상: ICICLE 라이브러리를 실행하는 NVIDIA A100 GPU와 비교했을 때, zkPHIRE는 SumCheck 연산에 대해 약 70배의 속도 향상을 달성했습니다.
• 확장성: 시스템은 작은 증명 크기(4–5 KB)를 유지하면서 최대 $2^{30}$의 명목 제약 규모를 지원합니다.
• Jellyfish 게이트: 게이트 수를 최대 32배까지 줄이는 Jellyfish 게이트를 zkPHIRE의 프로그래밍 가능성과 결려 사용할 경우 추가적인 성능 이득을 얻습니다. 예를 들어, Jellyfish 게이트를 통한 4배의 게이트 수 감소는 zkPHIRE가 zkSpeed+와 zkPHIRE 모두에서 Vanilla 게이트 구현보다 성능이 우수하게 만듭니다.
• 자원 효율성: 설계는 약 294 mm²의 총 면적(7nm 스케일링 시)과 202.28 W의 전력 소비로 이러한 결과를 달성했습니다.

의의

본 논문은 성능과 유연성 사이의 트레이드오프를 해결함으로써 ZKP 하드웨어 가속의 중요한 진전을 나타낸다고 주장합니다. 특정 게이트 세트에 국한되었던 이전 가속기들과 달리, zkPHIRE의 프로그래밍 가능한 SumCheck 유닛은 복잡하고 고차인 게이트를 통해 효율성을 높이는 현대 ZKP 프로토콜의 진화하는 환경에 적응할 수 있습니다.

저자들은 높은 성능을 보여주는 동시에 대규모 문제 규모($2^{30}$)로 확장하고 작은 증명 크기를 유지한다는 점을 강조합니다. SumCheck를 공통 프리미티브(업데이트, 확장, 곱셈)로 추상화하고 테이블 및 평가 곱에 대한 병렬성을 활용함으로써, zkPHIRE는 확장 가능한 기반을 제공합니다. 이는 프라이버시가 보장되는 연령 인증, 신뢰할 수 있는 AI, 블록체인 확장성 등을 포함한 차세대 ZKP 애플리케이션을 위한 토대가 됩니다. 결과는 ASIC의 성능 이점을 희생하지 않으면서도 표현력이 풍부한 차세대 ZKP 프로토콜을 지원하기 위해 프로그래밍 가능한 아키텍처가 필수적임을 시사합니다.