💻 computer science

Fast Deterministically Safe Proof-of-Work Consensus

本文介绍了 Sieve-MMR，这是首个通过将权益证明协议适配至工作量证明环境并采用一种新型筛分（Sieve）算法来缓解时间旅行攻击，从而在无需外部机制的情况下同时实现确定性安全和常数预期延迟的全许可区块链协议。

原作者： Ali Farahbakhsh, Giuliano Losa, Youer Pu, Lorenzo Alvisi, Ittay Eyal

发布于 2026-06-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Ali Farahbakhsh, Giuliano Losa, Youer Pu, Lorenzo Alvisi, Ittay Eyal

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个庞大的、全球性的数字账本，任何人都可以随时加入或离开。这就是无许可区块链（如比特币）的世界。其目标是让所有人就交易顺序达成一致，而无需一个“老板”来发号施令。

长期以来，这些系统一直有两种主要的工作方式，两者都存在严重的缺陷：

权益证明 (PoS)： 你通过锁定资金来投票。问题在于，如果攻击者买下了那些在多年前离开的人的旧账户，他们就可以廉价地改写历史。这被称为**“长程攻击” (Long-Range Attack)**。
工作量证明 (PoW)： 你通过解决复杂的数学难题来投票。问题在于，它要么速度极慢，要么依赖于“概率性”安全性（这意味着存在一个微小但非零的可能性，即攻击者可能通过运气好来改写历史）。

这篇论文的作者开发了 Sieve-MMR，声称它结合了两者的优点：它既快速，又能防御历史改写，且不需要外部帮助（如社会共识或检查点）来保证安全。

以下是他们是如何实现的，使用了日常生活的类比。

核心思想：将“投票”与“身份检查”解耦

把一个共识协议想象成一场镇民大会。

共识逻辑 (MMR)： 这是实际的投票过程。“谁拥有最多的选票？让我们达成一致。”这部分非常快速且智能，但它最初是为那些每个人都有固定身份证且大家都了解谁在场的小镇设计的。
无许可问题： 在一个无许可系统中，人们可以瞬间加入或离开。更糟的是，坏人可以伪装成一个多年前离开小镇的人，并带回旧的选票来干扰当前的会议。这就是**“时间旅行攻击” (Time-Travel Attack)**。

作者意识到，他们可以将这种快速、智能的投票逻辑 (MM로) 包装在一个新的“保安”层（Sieve）中，由这个层来处理人员加入/离开以及时间旅行带来的混乱。

反派：时间旅行者

在正常的会议中，如果你发言，你是在“现在”发言。
在无许可区块链中，一个坏人（拜占庭节点）可以做一些诡计：

他们在 2020 年生成了一堆“选票”（数学难题）。
他们把这些选票存起来。
到 2026 年，他们把所有这些旧选票倾倒到当前的会议中，假装这些选票是刚刚投出的。

因为系统看到了来自过去的洪水般的“选票”，它会对今天到底谁拥有多数权感到困惑。这破坏了会议的安全。

英雄：Sieve（筛子）

为了阻止这些时间旅行者，作者发明了一个名为 Sieve 的新过滤器。把它想象成一个俱乐部的保镖，但他带有一个特殊的机制。

Sieve 的工作原理：

“灵柩” (Coffer)： 每当一个节点发送消息（投票）时，它必须包含一个“灵柩”（袋子），里面装着它在上一轮收到的消息。
工作量证明 (DPoW)： 要发送消息，你必须解决一个数学难题。解决该难题所需的时间会被记录下来。
过滤器： 当 Sieve 接收到一堆消息时，它会检查这些“灵柩”。
- 如果一条消息声称来自“第 5 轮”，但它的灵柩中并不包含由诚实的人在“第 4 轮”刚刚生成的那些消息，那么 Sieve 就知道它是伪造的。
- 类比： 想象有人声称自己刚刚在 2026 年到达了一个派对。但当你查看他们的相册（灵柩）时，照片却是 2020 年的，而且他们并没有拍到昨天派对布置的新装饰。保镖（Sieve）会说：“你是时间旅行者。你不能进来。”

Sieve 过滤掉了这些“古董”消息，确保只有那些由近期在场的人在近期生成的有效消息才会被计入。

Sieve 的两种模式

Sieve 有两种工作方式，取决于你在派对上待了多久：

Online-Sieve（常规宾客）： 如果你已经在派对上待了一段时间，你就拥有一份上一轮有效消息的列表。你只需检查新消息是否符合该列表即可。这既快速又简单。
Bootstrap-Sieve（新宾客）： 如果你刚刚加入派对，你没有历史记录。你必须查看派对从开始以来的整个历史，构建一个巨大的地图（DAG），搞清楚哪些消息是真的，哪些是时间旅行的伪造消息。
- 代价： 这种“新宾客”的过程计算量巨大（就像是在解一个极其复杂的谜题）。论文承认这是目前实际应用中的一个障碍，但它证明了这一概念是可行的。

结果：Sieve-MMR

通过将 Sieve（保安）叠加在 MMR（快速投票逻辑）之下，他们创造了 Sieve-MMR。

确定性安全性： 与比特币不同（比特币需要你等待并祈祷攻击者不会走运），这个系统保证了安全性。只要遵守规则，历史就无法被篡改。
恒定延迟： 它很快。论文声称交易可以在可预测的短时间内（约 7 个步骤）完成最终确认，而不是等待“概率性”确认。
无长程攻击： 由于 Sieve 过滤掉了旧消息，攻击者无法通过购买旧密钥来改写历史。
无需外部帮助： 它不需要“社会共识”或中央检查点来保证安全。它完全通过数学实现。

局限性（细则）

论文坦诚地说明了它目前还无法做到的事情：

带宽： 它要求每个人在每一轮都要与所有人通信。如果网络变得庞大，交通拥堵也会随之剧增（二次方扩展）。
“新宾客”问题： Bootstrap-Sieve（针对新节点）需要对链的整个历史进行极其艰苦的数学运算。目前它更多是一个理论证明，而非可以直接给新用户使用的工具。
同步网络： 它假设消息能够快速且按顺序到达，这对于混乱的现实世界互联网来说是一种理想化的假设。

总结

这篇论文提出了 Sieve-MMR，这是一种运行区块链的新方法，它结合了现代投票系统的速度与确定性，以及工作量证明的安全性。它通过使用一种聪明的过滤机制（Sieve）解决了“时间旅行攻击”问题，该机制确保只有新鲜、近期的投票才有效，从而防止攻击者利用旧数据来迷惑系统。虽然在取代比特币或以太坊之前还需要克服一些实际应用中的障碍，但它证明了运行一个快速、完美安全的无许可区块链在理论上是可能的。

技术摘要：快速确定性安全的 Proof-of-Work 共识

问题陈述

无许可区块链面临着安全性保证与性能之间的根本权衡。现有的协议通常分为两类：权益证明（PoS）和工作量证明（PoW），两者都存在特定的漏洞：

PoS 漏洞： PoS 协议容易受到**长程攻击（long-range attacks）**的影响，即攻击者可以通过低成本购买历史密钥来伪造替代的执行历史。防御此类攻击通常需要外部机制（例如社会共识或安全检查点），这削弱了系统的自包含特性。
PoW 漏洞： 传统的 PoW 协议（如比特币）避免了长程攻击，但依赖于概率性安全保证。这使得攻击者成功创建替代历史的可能性依然存在。此外，实现确定性安全性的 PoW 在历史上会导致极其缓慢的协议（例如指数级延迟）或需要受限的模型。

本文解决的核心挑战是**“时间旅行攻击（time-travel attack）”**。在完全无许可的环境中，动态可用（dynamically available）协议（允许节点加入和离开）依赖于法定人数交集（quorum intersection）论证。然而，在无许可环境下，拜占庭节点可以生成过去的讯息，将其存储起来，并在稍后释放，从而扭曲当前时刻对正确节点的法定人数感知。这种“时间旅行”使标准的动态可用协议失效，导致其在没有外部信任假设的情况下变得不安全。

方法论：Sieve-MMR

作者提出了 Sieve-MMR，这是第一个实现了确定性安全性和常数预期延迟，且不依赖外部机制的完全无许可 Proof-of-Work 全序广播（Total-Order Broadcast, TOB）协议。该系统构建在两个不同的层级之上：

1. 底层：Sieve 与 TTRB

主要的理论贡献是 Sieve，它实现了一种新型的广播原语，称为抗时间旅行广播（Time-Travel-Resilient Broadcast, TTRB）。

目标： TTRB 确保在给定轮次中交付的消息都是在紧前一轮生成的，从而过滤掉“陈旧（antique）”消息。
机制： Sieve 利用确定性工作量证明（DPoW）原语。它构建了一个 DPoW 评估的定向无环图（DAG），其中消息为顶点，边表示消息被包含在“库（coffers）”（即上一轮消息集合，并包含在新消息的负载中）的关系。
过滤策略： Sieve 采用两种过滤策略来修剪 DAG 并识别有效消息：
- 在线筛分（Online-Sieve）： 用于在前一步活跃的节点。它通过检查一个消息的“库”与两步之前有效消息集合的交集是否超过加权阈值 ( $1-\rho$ )，来高效地过滤消息。
- 引导筛分（Bootstrap-Sieve）： 用于加入系统或从不活跃状态恢复的节点。它会对整个 DAG 历史进行计算密集型分析，以重建前一步的有效消息集合，确保节点不会接受可能混淆其对法定人数认知的陈旧消息。
假设： Sieve 假设网络是同步的，且在任何足够长的时间间隔内，攻击者控制的 DPoW 总计算能力小于一半 ( $\rho \le 1/2$ )。

2. 上层：MMR

共识逻辑源自 MMR 协议（Malkhi 等人提出），这是一种专为“动态可用”模型设计的快速、确定性安全的 PoS 协议。

集成： 通过在 Sieve 之上叠加 MMR，作者将共识逻辑与无许可参与逻辑解耦。Sieve 提供了 MMR 维持法定人数交集所需的交付保证（TTRB）。
领导者选举： Sieve-MMR 使用基于 DPoW 随机预言机的概率性领导者选举组件，来决定在每一步中对哪条链进行投票或提交。

核心贡献

抗时间旅行广播（TTRB）： 一种新的广播抽象，保证了消息层免疫时间旅行攻击，确保交付的消息在因果关系上与当前轮次一致。
Sieve 算法： 一种利用黑盒 DPoW 原理实现 TTRB 的新颖协议。它引入了“库（coffers）”的概念和基于 DAG 的修剪机制，以区分当前消息与陈旧消息。
Sieve-MMR 协议： 第一个实现以下特性的完全无许可 TOB 协议：
- 确定性安全性： 在 Dolev-Yao 模型下，不存在关于安全性的概率性失效模式。
- 常数预期延迟： 交易在常数步数内完成提交（预期 7 步，最优情况 3 步）。
- 无外部信任： 它不依赖社会共识或外部检查点来防止长程攻击。

结果与保证

安全性： Sieve-MMR 保证了一致性（所有正确节点提交兼容的链）和进展性（链最终会增长）。它继承了 MMR 在共识层容忍 $1/3$ 限制攻击者的能力，而 Sieve 本身在消息层可容忍 $1/2$ 限制的攻击者。
延迟： 该协议实现了常数预期延迟，相比于以往在参与者数量增加时会出现指数级延迟的确定性 PoW 协议，这是一个显著的改进。
安全模型： 安全性声明是在 Dolev-Yao 风格的模型下成立的，即攻击者无法破解密码学原语或猜测消息。该协议假设网络是同步的，并依赖全对全（all-to-all）广播，这相对于活跃节点数会产生二次方带宽成本。

重要性与局限性

本文将 Sieve-MMR 定位为迈向实用、快速且安全的 PoW 共识的重要理论进步。它证明了此前被认为难以在无许可设置中实现低延迟共识的“时间旅行”漏洞，可以通过 Sieve 机制得到缓解。

然而，作者对于立即投入实际应用持谨慎态度，并指出了几个障碍：

计算复杂度： **引导筛分（Bootstrap-Sieve）**阶段需要在协议执行历史上求解一个指数时间问题。虽然节点不必在固定时间内完成此过程，但在参与活跃活动之前必须完成，这对新节点构成了显著障碍。
网络假设： 该协议假设网络是同步的且采用全对全通信，这在现实世界的异步互联网环境中可能无法高效扩展。
验证开销： 验证所有消息的 DPoW 评估可能具有很高的计算成本，尽管作者建议将批量验证和密码学优化（如零知识证明）作为未来的潜在解决方案。

总之，Sieve-MMR 在动态可用模型与完全无许可模型之间架起了一座理论上的桥梁，证明了只要能解决计算和网络约束，在无许可 PoW 设置中实现确定性安全和常数延迟是可行的。