💬 NLP

Enabling AI ASICs for Zero Knowledge Proof

本文提出了 MORPH 框架，通过引入硬件感知的 Big-T 复杂度模型，将零知识证明中的核心运算（如 MSM 和 NTT）重构为适配 AI ASIC（如 TPU）的密集矩阵计算模式，从而显著提升了证明生成的吞吐量并降低了成本。

原作者： Jianming Tong, Jingtian Dang, Simon Langowski, Tianhao Huang, Asra Ali, Jeremy Kun, Jevin Jiang, Srinivas Devadas, Tushar Krishna

发布于 2026-04-21

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Jianming Tong, Jingtian Dang, Simon Langowski, Tianhao Huang, Asra Ali, Jeremy Kun, Jevin Jiang, Srinivas Devadas, Tushar Krishna

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 MORPH 的新系统，它的目标是让一种叫做“零知识证明”（ZKP）的加密技术运行得更快、更省电。

为了让你更容易理解，我们可以把整个故事想象成在一个巨大的物流仓库里，如何最高效地整理和运送成千上万个包裹。

1. 背景：什么是“零知识证明”？

想象一下，你有一个巨大的仓库（数据），你想向别人证明“我仓库里有 100 个苹果”，但你不想让他们看到具体的苹果长什么样，也不想让他们数一遍（保护隐私）。

零知识证明（ZKP） 就是那个“证明”的过程。
问题：目前这个“证明”的过程非常慢且昂贵。就像你雇了一个人，让他用算盘（传统芯片）去数几百万个苹果，可能需要花一个小时。
瓶颈：在这个“数苹果”的过程中，最耗时的两个步骤是：
1. 多标量乘法（MSM）：相当于把很多不同重量的苹果堆在一起，计算总重量。
2. 数论变换（NTT）：相当于把苹果按照某种复杂的数学规律重新排列，以便快速打包。

2. 主角登场：AI 专用芯片（TPU）

谷歌有一种叫 TPU 的芯片，它是专门为人工智能（AI）设计的。

比喻：如果说传统芯片（CPU/GPU）是全能型卡车司机，什么都能干但一次只能搬几个箱子；那么 TPU 就是超级自动化传送带系统。它一次能同时处理成千上万个箱子，而且极其省电。
挑战：虽然 TPU 很强，但之前的“数苹果”算法（ZKP 算法）是专门为“卡车司机”设计的。如果直接把这套老算法搬到“传送带”上，会发生什么？
- 不匹配：老算法要求把箱子一个个拆开、重新排序、再打包。但在传送带上，这种频繁的“拆包、重组”动作（数据重排）非常慢，甚至比搬运本身还慢。
- 精度问题：ZKP 需要处理巨大的数字（像 753 位的大数），而 TPU 擅长处理小数字（像 8 位或 32 位）。就像用乐高积木去拼一座摩天大楼，如果积木太小，拼起来就太慢了。

3. MORPH 的解决方案：三大绝招

MORPH 团队没有试图强行把老算法塞进新芯片，而是彻底重写了算法，让它完美适配 TPU 的“传送带”特性。

绝招一：换一种“包装方式”（算术优化）

旧方法：处理大数字时，就像做加法，必须从个位算到十位，再算到百位，一步接一步（进位链）。这就像排队过独木桥，一个人走了，下一个人才能走，非常慢。
MORPH 的新方法：他们发明了一种“魔法包装”（RNS 技术）。
- 比喻：他们不再把大数字当成一个整体去算，而是把它拆成很多个独立的小包裹。这些包裹可以同时在传送带上处理，互不干扰，完全不需要排队。
- 效果：把原本需要“排队过桥”的慢动作，变成了“千军万马同时冲锋”。这让计算速度提升了 90 倍。

绝招二：不再“反复横跳”（数据流优化 - MSM）

旧方法：在整理包裹时，旧算法要求工人先把所有包裹按颜色分类，再按大小分类，再按重量分类。每次分类都要把包裹从传送带 A 搬到 B，再搬到 C。这种“搬运”在 TPU 上极其昂贵。
MORPH 的新方法（LS-PPG）：
- 比喻：MORPH 设计了一种“原地分拣”策略。它让传送带上的每个区域只负责自己那一小块区域的任务，不需要把包裹搬来搬去。
- 效果：消除了昂贵的“搬运工”时间，让数据在原地就能完成整理。

绝招三：更聪明的“排列组合”（数据流优化 - NTT）

旧方法：之前的算法（3 步 NTT）虽然减少了搬运，但在处理超大规模数据时，需要的“说明书”（参数）太多，导致传送带内存不够用，或者计算步骤太长。
MORPH 的新方法（5 步 NTT）：
- 比喻：他们把原本需要一次搬完的大任务，拆成了五个更小的步骤。就像把一个大箱子拆成五个小箱子，每个小箱子都能完美塞进传送带的格子里，既省空间又高效。
- 效果：在大规模数据下，比之前的算法又快了 10%，而且更稳定。

4. 成果：快得惊人

经过这些改造，MORPH 在谷歌的 TPU 上取得了惊人的成绩：

NTT（排列任务）：比目前最快的方案（GZKP）快了 10 倍！
MSM（堆叠任务）：比最快方案快了 1.2 倍，而且随着数据量变大，优势会更明显。
省电：因为 TPU 本身就很省电，加上算法优化，整体效率极高。

总结

这篇论文的核心思想就是：不要试图让旧鞋子适应新脚，而是给新脚（AI 芯片）量身定做一双新鞋（新算法）。

MORPH 通过重新设计数学计算方式（把串行变并行）和优化数据搬运路径（减少不必要的移动），成功激活了 AI 芯片在加密领域的潜力。这意味着未来，我们可以在几秒钟内生成以前需要一小时才能完成的隐私证明，让区块链和隐私保护技术变得更加普及和实用。

论文技术总结：Enabling AI ASICs for Zero Knowledge Proof (MORPH)

1. 研究背景与问题 (Problem)

背景：
零知识证明（ZKP）已成为可验证计算和可扩展区块链的核心技术。然而，ZKP 的生成端（Prover）成本极高，例如生成 ImageNet ViT 的证明需要近一小时。在广泛部署的协议中，**多标量乘法（MSM）和数论变换（NTT）**占据了约 70% 和 20-30% 的运行时间，是主要的性能瓶颈。

现有挑战：
虽然 AI ASIC（如 Google TPU、AWS Trainium）提供了极高的矩阵吞吐量和能效，但直接将现有的 ZKP 算法移植到这些平台上效果不佳（性能下降可达 30 倍）。主要原因包括：

传统复杂度模型失效： 传统的 Big-O 复杂度无法捕捉异构硬件上的布局转换（Layout Transformation）成本和流水线瓶颈。在 TPU 上，细粒度的数据重排（Shuffle/Transpose）成本极高，往往成为主导瓶颈，而 Big-O 忽略了这一点。
算术精度不匹配： ZKP 需要在大的素数域（如 256/377/753 位）上进行模运算，而 TPU 原生支持低精度（8/32 位）。现有的大整数乘法算法（如基于 Radix 的 Montgomery 约减）依赖大量的进位传播（Carry Propagation），导致 TPU 的计算利用率极低（<1%）。
数据流效率低下： 现有的 MSM 和 NTT 算法（如 Presorted Pippenger 和 Butterfly NTT）涉及大量的跨设备通信或片内数据重排，导致 TPU 昂贵的内存带宽和计算单元闲置。

2. 方法论 (Methodology)

作者提出了 MORPH（Matrix-Oriented Reformulation of ZKP for Parallel Heterogeneous AI ASICs），这是首个针对 AI ASIC（特别是 TPU）优化的 ZKP 框架。MORPH 从算术级和数据流级两个层面进行了重构。

2.1 新的复杂度模型：Big-T

为了准确分析 TPU 上的性能，作者提出了 Big-T 复杂度模型。

定义： $T(N) = O(\max(\max_k \frac{W_k}{P_k}, Mem))$ 。
意义： 它不仅考虑计算工作量（ $W_k$ ）和并行度（ $P_k$ ），还显式地纳入了布局转换（Layout Transformation）的延迟和内存访问开销。Big-T 揭示了传统 Big-O 忽略的异构流水线瓶颈，为算法设计提供了理论指导。

2.2 算术级优化：MXU 为中心的 RNS 惰性约减

针对大素数域模运算效率低的问题：

扩展域表示： 将素数域 $\mathbb{F}_M$ 中的元素映射到一个更大的非素数域 $\mathbb{F}_Q$ （其中 $Q > M^2$ ），利用剩余数系统（RNS）表示。
消除进位链： 在 $\mathbb{F}_Q$ 中，乘法被分解为独立的 32 位向量乘法，完全消除了串行进位传播。
MXU 加速约减： 将原本复杂的模约减过程（RNS 重构 $\to$ 模 $M$ 约减 $\to$ RNS 分解）重构为**低精度的矩阵乘法（GEMM）**和并行向量操作。
效果： 将计算模式从 $O(D^2)$ 的串行进位链转变为 $O(D)$ 的矩阵运算，充分利用 TPU 的矩阵乘法单元（MXU），消除了进位传播带来的流水线停顿。

2.3 数据流级优化

针对 MSM 和 NTT 的数据流瓶颈：

MSM - LS-PPG (Layout-Stationary Pippenger)：
- 设计了**布局不变（Layout-Stationary）**的 Pippenger 算法。
- 通过跨张量核心（Tensor Cores）对“无约减维度”进行分片（Sharding），确保预处理（Presorting）和桶累加（Bucket Accumulation）阶段的数据布局一致。
- 消除通信： 避免了跨 TPU 的通信和片内昂贵的数据重排（Shuffle/Transpose）。
- 树形归约： 使用树形结构进行桶归约（Bucket Reduction），提高 VPU 利用率。
NTT - 5 步 NTT：
- 改进了现有的 3 步 NTT。将行方向的 $R$ 阶 NTT 进一步递归分解为基于 $(R_1, R_2, C)$ 的 3 步 NTT。
- 优势： 将巨大的 GEMM 分解为多个较小的 GEMM，在保持 MXU 高利用率的同时，显著降低了 MXU 跨度（Span）和参数存储开销，避免了大规模问题下的显存溢出（OOM）。

3. 主要贡献 (Key Contributions)

Big-T 复杂度模型： 首个捕捉异构计算跨度（Heterogeneous Compute Spans）和布局转换成本的硬件感知复杂度指标，为 AI ASIC 上的 ZKP 算法设计提供了理论依据。
MXU 为中心的 RNS 惰性约减： 提出了一种针对大整数素数域乘法的矩阵化模约减方案，用 MXU 加速的低精度矩阵运算替代了串行进位传播，实现了高达 90 倍 的加速。
LS-PPG 与 5 步 NTT：
- LS-PPG： 实现了无跨设备通信、无片内布局重排的 MSM 数据流，相比 SotA 算法在 TPU 上加速 5.8 倍。
- 5 步 NTT： 通过递归分解优化了大规模 NTT 的参数存储和计算跨度，解决了大规模下的显存瓶颈。
首个 TPU ZKP 框架： 证明了 AI ASIC 可以成为 ZKP 加速的 SotA 平台。

4. 实验结果 (Results)

实验在 Google TPUv6e-8 上进行，与基于 NVIDIA V100 的 SotA 实现（GZKP）进行对比：

NTT 性能：
- 在 753 位精度的 NTT 上，TPUv6e-8 的吞吐量比 GZKP (V100) 高出 10 倍。
- 随着模数精度从 256 位增加到 753 位，GPU 延迟增加 6-7 倍，而 TPU 仅增加 1.3-3 倍，显示出 TPU 对高精度运算的优异扩展性。
MSM 性能：
- 在 753 位精度下，TPU 实现了与 V100 相当的吞吐量（约 1.2 倍）。
- 在 256 位精度下，由于细粒度散点（Scatter）导致的内存带宽瓶颈，性能略低于 V100，但通过硬件优化仍有提升空间。
消融实验：
- 算术优化（RNS Lazy Reduction）贡献了主要的性能提升（50-90 倍延迟降低）。
- 数据流优化（LS-PPG 和 5-step NTT）进一步消除了通信和布局转换开销，在大规模场景下表现更佳。

5. 意义与结论 (Significance)

范式转变： 本文证明了通过重新设计算法以匹配 AI ASIC 的硬件特性（如 MXU 的矩阵吞吐能力和粗粒度数据布局），可以极大地释放 ZKP 的算力潜力。
硬件感知设计： 提出了 Big-T 模型，填补了传统算法复杂度分析与现代异构硬件性能评估之间的空白，指导未来的硬件协同设计。
实际应用价值： MORPH 使得 TPU 成为高精度 NTT 处理的 SotA 平台，为构建大规模、低成本的 ZKP 系统（如区块链扩容、隐私保护计算）提供了可行的硬件基础。
开源贡献： 代码已开源，推动了 ZKP 在 AI 硬件上的生态发展。

总结： MORPH 通过“算术重构（RNS+ 矩阵化）”和“数据流优化（布局不变+ 递归分解）”，成功克服了将 ZKP 移植到 AI ASIC 上的核心障碍，实现了数量级的性能提升，标志着 ZKP 加速进入 AI 芯片时代。