💻 computer science

zkPHIRE: A Programmable Accelerator for ZKPs over HIgh-degRee, Expressive Gates

本文提出了 zkPHIRE，一种新型的可编程硬件加速器，它通过利用 SumCheck 协议高效处理复杂的高阶门，从而为 HyperPlonk 系统实现可扩展且快速的零知识证明，其性能显著优于 CPU 及现有的最先进解决方案。

原作者： Alhad Daftardar, Jianqiao Mo, Joey Ah-kiow, Benedikt Bünz, Siddharth Garg, Brandon Reagen

发布于 2026-01-27

📖 1 分钟阅读☕ 轻松阅读

原作者： Alhad Daftardar, Jianqiao Mo, Joey Ah-kiow, Benedikt Bünz, Siddharth Garg, Brandon Reagen

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

核心概览：那个“太慢了”的魔术表演

想象一下，你想向朋友证明你知道一个秘密密码，但又不想把密码真的告诉他们。在密码学领域，这被称为零知识证明（Zero-Knowledge Proof, ZKP）。这就像是向某人展示你拥有房子的钥匙，但并不把钥匙交给对方，也不让对方看到锁。

这项技术对于隐私保护（例如证明你已满21岁而不必出示身份证）和安全性（例如验证区块链交易）至关重要。然而，它面临一个巨大的问题：速度极其缓慢。

在标准计算机（CPU）上生成一个这样的证明可能需要几分钟甚至几小时。这就像是你需要为一场盛宴准备食物，却只能靠手工慢慢烘焙复杂的蛋糕，而距离开席只剩五分钟了。这篇论文介绍了一种名为 zkPHIRE 的新机器，旨在成为一位“超级大厨”，能在几秒钟内完成这些证明的“烘焙”。

问题所在：“一刀切”的陷阱

为了理解这项创新，我们需要了解这些证明是如何构建的。

旧方法（基础门电路/Vanilla Gates）： 把标准计算机处理器想象成一个工厂，它只知道做两件事：加法和乘法。为了构建一个复杂的证明，你必须将每一个数学步骤都拆解成微小的加法和乘法。这就像是用单块砖头去盖摩天大楼。虽然可行，但你需要数以百万计的砖块，而且施工过程极其漫长。
新方法（高阶门电路/High-Degree Gates）： 现代协议（如 HyperPlonk）允许使用“高阶门电路”。这些就像是预制好的墙体组件。你不再需要一块砖一块砖地铺设，而是可以直接安装一整面包含了窗户、门和框架的墙体。这极大地减少了所需的步骤。

症结在于： 虽然这些“预制墙体”建造起来更快，但它们的形状很奇特。一个标准的工厂（或者之前的专用芯片 zkSpeed）是为处理简单的“砖块”而设计的。它无法处理这些新型“墙体”复杂的、定制化的形状。要使用这些新墙体，你要么退回到缓慢的手工模式，要么为每一种类型的墙体都建造一个专门的工厂，而这成本太高且缺乏灵活性。

解决方案：“可编程”工厂 (zkPHIRE)

作者构建了 zkPHIRE，这是一种全新的硬件加速器，它扮演着一个可编程、可变形工厂的角色。

它具有灵活性： 不同于那些被硬编码为特定形状的旧工厂，zkPHIRE 可以根据需要随时重新编程，以处理任何形状的“墙”（多项式门），无论是简单的砖块还是复杂的、高阶的曲线。
它速度极快： 它不仅能处理这些复杂的形状，而且处理效率极高。
- 速度： 它比标准计算机 CPU 快 1,486 倍。
- 对比： 尽管之前的顶尖专用芯片 zkSpeed 是为更简单、灵活性较低的任务设计的，但 zkPHIRE 仍比它快了 11.87 倍。
- 可扩展性： 它可以处理大规模问题（高达 $2^{30}$ 个约束），同时保持最终生成的“证明”（即魔术表演的收据）体积非常小巧（仅 4–5 KB）。

工作原理：“智能装配线”

论文通过几个巧妙的技巧描述了 zkPHIRE 的内部运作机制：

“便签本”策略（The Scratchpad Strategy）： 想象一位厨师将所有食材都放在台面上（片上内存/on-chip memory）。对于简单的食谱，这很好；但对于大型宴会，台面会变得过于拥挤，厨师会因为寻找东西而浪费时间。zkPHIRE 使用了一个更聪明的系统：它为“当下”需要的食材准备了一个小巧、有序的“备菜站”（scratchpad），并根据需要即时从“储藏室”（片外内存/off-chip memory）中提取剩余部分。这节省了空间并保持了装配线的运转。
“森林”中的树结构（The "Forest" of Trees）： 为了进行数学计算，该芯片使用了一个“多功能森林”。想象一组工人沿着流水线传递水桶。与其让一个工人完成所有工作，不如让他们通过一系列“树”（数据结构）来同时进行乘法和加法运算。这使得芯片可以同时进行大量计算，而不会陷入混乱。
隐藏等待时间： 有时，机器必须等待数据从“储藏室”运达。zkPHIRE 非常聪明，它可以在等待数据到达的同时，开始处理证明的其他部分，从而确保机器永远不会处于闲置状态。

实验结果：为什么这很重要

论文在包括 ZCash（一种注重隐私的加密货币）、Rollups（加速区块链交易的方法）以及 zkEVM（一种运行复杂隐私智能合约的方式）在内的多种真实场景下测试了 zkPHIRE。

结论：

速度： 它将原本在普通电脑上需要数小时的过程缩短到了毫秒级。
效率： 在实现这一目标的同时，它比以往的尝试使用了更少的物理空间（硅片面积）。
通用性： 它证明了你不需要在“快速但僵化”和“灵活但缓慢”之间做选择。zkPHIRE 兼具两者。

总结

可以将 zkPHIRE 想象成手摇铅笔削与高速、可编程工业削笔机之间的区别。

旧方法（CPU）既慢又依赖人工。
之前的专用方式（zkSpeed）很快，但只能削标准形状的铅笔。
zkPHIRE 不仅速度快，还能削任何形状的铅笔（甚至是奇形怪状的定制款），而且效率极高，这使得保护隐私的技术在现实世界中变得切实可行。

论文声称，这是首次专门为这些复杂“高阶”证明构建出的如此灵活且高速的机器，为更快、更私密、更安全的数字系统铺平了道路。

技术摘要：zkPHIRE

问题陈述

零知识证明（ZKP）对于区块链、机器学习和电子投票等领域的隐私保护计算至关重要。然而，其广泛应用受到生成证明时极高计算开销的阻碍，在 CPU 上生成证明可能需要几分钟甚至数小时。

虽然已有研究提出了使用硬件加速器（ASIC）和 GPU 实现来缓解这些成本，但它们在灵活性和可扩展性方面面临显著局限：

架构僵化： 先前的加速器（如 zkSpeed）通常依赖于针对特定“Vanilla”门集（例如标准加法和乘法）设计的固定功能单元。它们难以高效处理现代协议中日益增加的复杂、高阶及自定义门（例如 Halo2、HyperPlonk 的 Jellyfish 门）。
可扩展性问题： 固定功能设计通常需要大型片上暂存存储器（Scratchpad）来存储中间数据（多线性扩展或 MLE 表）。随着问题规模扩大（例如超过 $2^{24}$ 个门），内存占用变得不切实际，限制了加速器在大型 ZKP 工作负载中的适用性。
SumCheck 复杂度： 现代 ZKP 协议利用 SumCheck 协议来验证算术电路。虽然对于简单门而言该协议非常高效，但当应用于高阶、高表达能力的门时，SumCheck 会变得计算不规则且数据密集。数据流会根据多项式结构发生显著变化，这使得固定硬件设计显得并非最优。

方法论

作者提出了 zkPHIRE，这是一个旨在通过 SumCheck 协议高效处理任意自定义门的可编程全系统加速器。该系统构建在一个支持 HyperPlonk 协议的更大框架之上，并集成了一个创新的可编程 SumCheck 单元。

1. 可编程 SumCheck 单元

核心创新在于一个可编程数据通路，它在资源分配与即时数据复用之间取得了平衡，避免了固定功能单元的僵化性。

架构： 该单元由包含 MLE 更新单元、扩展引擎（EE）和乘积通道（PL）的处理单元（PE）组成。
数据流： 该单元并非同时流式传输所有 MLE 条目，而是逐个处理多项式项。它将数据分块（Tiles）从离线内存抓取到本地的银行化（Banked）暂存缓冲区中。
调度： 基于图的调度器分解多项式约束，将 MLE 表映射到 EE 和 PL。它采用基于累加的调度方案，相比平衡树方法能最大限度地减少临时存储需求，从而实现对项内重复多项式的有效处理。
灵活性： 该单元支持任意数量的项和阶数。它通过重新配置 MLE 到硬件资源的映射，动态适应不同的多项式结构。
ZeroCheck 集成： 该设计将辅助随机多项式（ZeroChecks）的构建直接集成到 SumCheck 数据通路中，消除了单独的预计算步骤并降低了内存开销。

2. 全系统架构 (zkPHIRE)

SumCheck 单元被嵌入到一个用于 HyperPlonk 的更大加速器框架中，该框架包括：

多功能森林（Multifunction Forest）： 一组基于树的单元，用于复用 MLE 求值、乘积计算和构建 MLE。这种共享设计提高了资源利用率并减少了面积。
MSM（多标量乘法）： 一个用于椭圆曲线运算的专用单元，针对 HyperPlonk 的特定见证计数（包括稀疏和稠密 MSM）进行了优化。
置换商生成器（Permutation Quotient Generator）： 一个用于构建置换参数的流水线单元，其特征是拥有优化的模逆单元，与先前工作相比减少了 4.2 倍的面积。
内存组织： 系统采用较小的、基于分块（Tile-based）的暂存存储器，而非巨大的全局 SRAM。这减少了面积消耗，并允许为计算单元分配更多芯片空间，通过接受略高的离线内存延迟来换取更好的可扩展性。
掩码优化： 架构将门恒等性检查（ZeroChecks）的延迟与 Wire Identity 阶段的 MSM 计算进行重叠，从而有效地隐藏了延迟。

3. 评估方法

作者使用 TSMC 22nm 工艺（缩放至 7nm 进行比较）并在 1GHz 时钟频率下对设计进行了评估。

基准测试： 他们测试了一系列多样化的多项式约束，包括来自 Spartan、Halo2（椭圆曲线运算）和 HyperPlonk（Vanilla 和 Jellyfish 门）的约束。
对比： 性能基准测试对象包括 32 线程 CPU（AMD EPYC 7502）、NVIDIA A100 GPU 以及先前的 ASIC 最先进水平 zkSpeed（以及增强版 zkSpeed+）。
设计空间探索： 作者对参数（PE、EE、PL、SRAM 大小、带宽）进行了搜索，以确定在不同带宽场景（从 DDR 到 HBM3）下的帕累托最优设计。

核心贡献

可编程 SumCheck 加速器： 首个能够支持任意高阶多线性多项式的硬件单元，实现了与现代 ZKP 协议中自定义门类型的兼容性。
高阶门求值： 首个展示高阶门在提升性能和可扩展性方面具有显著优势的硬件评估，特别是在减少电路总门数方面。
优化的硬件原语：
- 统一的多功能森林通过在协议步骤间复用树形单元，节省了 15.2% 的面积。
- 优化的模逆单元在保持吞吐量的同时，比先前的工作实现了 4.2 倍的面积缩减。
全系统加速器 (zkPHIRE)： 一个完整的 HyperPlonk 加速器，支持高达 $2^{30}$ 个约束规模的问题规模下的简洁证明。

结果

相对于 CPU 的加速： zkPHIRE 实现了相对于 32 线程 CPU 基准的 1486 倍几何平均加速。
相对于先前 ASIC 的加速： 在等面积对比下（比较 294 mm² 设计与 366 mm² zkSpeed+ 设计），zkPHIRE 实现了相对于 zkSpeed+ 11.87 倍的几何平均加速。
相对于 GPU 的加速： 与运行 ICICLE 库的 NVIDIA A100 GPU 相比，zkPHIRE 在 SumCheck 操作上实现了约 70 倍的加速。
可扩展性： 该系统支持高达 $2^{30}$ 个名义约束的问题规模，同时保持较小的证明大小（4–5 KB）。
Jellyfish 门： 使用 Jellyfish 门（可将门数减少高达 32 倍）结合 zkPHIRE 的可编程性，可获得进一步的性能增益。例如，通过 Jellyfish 门实现的 4 倍门数减少，使得 zkPHIRE 在处理 Vanilla 门实现时性能优于 zkSpeed+ 和 zkPHIRE。
资源效率： 该设计在总面积约为 294 mm²（在 7nm 缩放时）和功耗为 202.28 W 的条件下实现了上述结果。

重要意义

论文声称，zkPHIRE 通过解决性能与灵活性之间的权衡，代表了 ZKP 硬件加速领域的重要进步。与以往受限于特定门集的加速器不同，zkPHIRE 的可编程 SumCheck 单元使其能够适应不断演进的 ZKP 协议格局，这些协议正日益依赖于更高效的高阶复杂门。

作者强调，他们的工作在提供强大性能的同时，展示了向大规模问题规模（ $2^{30}$ ）扩展的能力，并保持了简洁的证明大小。通过将 SumCheck 抽象为通用原语（更新、扩展、乘积）并利用跨表和求值乘积的并行性，zkPHIRE 为未来的 ZKP 应用（包括隐私年龄验证、可信 AI 和区块链扩展性）提供了可扩展的基础。结果表明，可编程架构对于支持下一代具有高表达能力的 ZKP 协议而不牺牲 ASIC 性能增益至关重要。