在这篇报告中你可以了解到：
- M9 {2 o# a0 H/ A% tEIP-4844；Proto-danksharding；Danksharding；KZG Commitment；KZG Ceremony；Dynamic state sharding；…; q7 M+ F  h" S
  t8 A1 K1 e0 |1 e. L

6 G5 \. n: `8 l' Z最近社区参与度超标的KZG Ceremony都刷到了吧，这个仪式到底在干什么？
% i5 g' p4 B2 K9 h- [$ ]简单概括，KZG Ceremony是实现EIP-4844不可绕过的一个初始化环节，而EIP-4844是实现以太坊sharding过程中的先行版本。
$ P: T6 d5 A& `, A7 e9 R  O一、Sharding: 以太坊扩容的长久之计
" i- s: `& y; k2 x$ d3 ISharding从数据可用性角度扩容，而rollup主要从执行层面扩容，一起缓解主网拥堵问题；我认为sharding可能是突破区块链不可能三角的一次尝试。下面这张以太坊区块大小的走势图可以从另一个角度说明数据层面扩容的必要性。从创世区块开始，以太坊从底层架构到上层应用都在不断地快速迭代，但平均区块大小仍为90Kb左右，最高点也没有质的突破。虽然Rollup从计算层切入，解决以太坊拥堵问题，但性能仍然受制于layer 1的数据存储能力。
- W, N2 y* y$ C7 ^3 w6 v" p( z  ^& f5 e( `  ?
3 V+ B$ Y; M! H, D* g
由于实现过程的复杂度和安全性考虑，以太坊开发团队将sharding分成了多个阶段，其中就包括最近提到的proto-danksharding和danksharding。整个过程将会是一个历时数年的更新；在目前的以太坊的数据存储模式下，只有少数特定高配置的机器可以加入网络成为节点，而full sharding之后ethereum不再需要每个节点都保存全部数据，在降低主网数据存储成本的同时加强了安全性（成为节点的门槛降低，去中心化程度进一步提升，同时降低被攻击的风险）。* p: n, ~+ _* |+ S2 O5 y  U
9 H$ j1 s) l* L8 W
, G0 y/ ]8 k$ k9 W4 a! k
二、EIP-4844: 短期高回报，Sharding的精简先行版
; J- {! |3 J7 E2 h0 tEIP-4844 = Proto-Danksharding；6 y0 h, x' y: a# t5 c% v
Proto来自以太坊研究者的名称$ x7 k7 T+ u# ^
由于实现danksharding（下一节会分析）的复杂度很高，开发周期至少是以年为单位的。因此proto-danksharding是实现danksharding前对以太坊的扩容方案，主要实现了danksharding中的交易格式、precompile等设计；
; ^) l" `' R( b. S5 [1. Proto-danksharding概述
4 ]) l7 N6 ^$ X1 eProto-Danksharding主要引入了一种新的transaction type，也就是blob-carrying transaction。至此，Rollup的数据通过blob的形式以更低的成本向layer 1传输，并作非永久存储。同时，blob远大于现在的calldata，可以更好地支持rollup上的高TPS。3 a* t! t/ q+ g2 Q
关于blob：; X7 p( V# }$ A4 t  ~
每个transaction最多挂2个blob；每个block理想状态包含8个blob，约为1MB，最多包含16个blob，约为2MB；Blob不需要像calldata一样作为history log被永久存储；相比danksharding，节点还是需要对完整的DA进行验证。# J5 ]7 q  \) ~& B' ^' d6 M, F  H

, M  x: O- t: s8 {/ x5 j2. Blob-carrying transaction解读4 ]2 S2 K! {% d
给transaction挂上blob（数据单元）) J8 \* K2 {/ g0 F- D2 W
作用
6 i" Q( O( x4 l参考Vitalik在提案中给出的图，Data blob和当前的calldata相似，rollup可以将交易、证明等数据通过blob上传到layer 1来保证data availability。' V( R: p5 S) {3 G
成本  U: }6 n* [. r4 I" X
Data blob的设计初衷是支持rollup高通量的交易，相比同等大小的calldata（使用链上存储），blob的成本将会降低很多（不需要永久存储）。因此，rollup在维持数据可用性上花费的gas相比之前会显著降低。( P: X3 h+ U0 M4 ]4 Y9 A
容量/ ^% |+ g' p( r
每个blob的大小约为125kB（fact: 当前平均block size只有～90kB）。: M5 H# b7 Z6 {6 B% p( u. V/ i
3. Blob-carrying transaction的价值和挑战
6 |% u$ Y. M$ A价值
% g3 M( M  e" S+ ]4 ~! ], G可以把blob看成一种缓存，rollup提交的交易数据从此以缓存的形式存在。降低对存储硬件的要求，为以太坊提供额外的数据扩容并降低gas成本。' w: A1 n( q2 ~  ?: L1 z
挑战：对以太坊节点硬件性能的要求
" E1 k+ K0 K) a# @2 j. oEthereum当前平均区块大小只有～90kB，但是一个blob就有～125kB
5 g3 e9 @& s/ \7 S/ o根据EIP-4844的设计，每个slot正常情况下约为1 MB，因此每年增加的数据量为：/ j: J% F0 p/ N. X
1 MB/block * 5 block/min * 43200 min/month * 12 month/year = 2.47 TB per year
7 s- y: }0 D  h  i5 M每年增加的数据大小远超过了以太坊数据总量，这样的存储方案显然是不高效的。; t) m$ `: h( s1 ~1 Q% @  b
解决方案
6 e1 }- v+ K8 i# d: \从短期扩容效果看，由于每个节点仍然需要储存全量历史数据，在实现EIP-4844的同时，对一段时间窗以外的blob（具体的limit time还没有最终确定，可能是1个月或是1年）进行自动删除；
6 i  s7 i# O% Q, `: C" Q/ @% K从sharding的长期利益看，实现EIP-4444，即节点不需要存储全量历史数据，而是只需要参照history expiry，存储特定时间之后的数据；+ Y2 R1 t$ ~8 |+ [' M
这两种解决方案从不同程度上缓解了blob-carrying transaction在存储空间上的tradeoff。
, H1 _* s4 D6 [% @1 r: C4. KZG Commitment# E* k6 x( X) B3 X6 l$ _
KZG Commitment是EIP-4844中采用的多项式承诺方案
0 k$ y6 F8 H6 d( y解析KZG commitment/ R' B9 J0 [( J. ^" _  ^, i
KZG是作者Aniket Kate, Gregory M. Zaverucha和Ian Goldberg姓氏的缩写，他们在2010年发表了多项式承诺方案论文“Constant-Size Commitments to Polynomials and Their Applications” ，并且这个方案在plonk-style的zk-snark协议中有很广泛的应用。! V9 Q4 p9 Z, P# A: u7 h& i) F( ?
参考Dankrad Feist演讲中的示意图，KZG root类似Merkle root，区别在于KZG root承诺一个多项式，即所有position都在这个多项式上。基于proto-danksharding的场景，KZG root承诺了一堆数据，其中的任何一个数据都可以被验证属于这个整体。1 ^, _( B, X( G% t
这也是为什么KZG commitment在兼容性上对后面实现DAS更友好。
, n4 _( u0 U8 g/ yKZG commitment的流程如下：9 g7 u6 g7 G' R3 Q3 `
Prover：提供证明，计算data的commitment，prover无法改变给定的多项式，并且用于证明的commitment只对当前这一个多项式有效；Verifier：接收prover发送的commitment value并进行验证，确保prover提供了有效的证明。: C, X. }$ U4 C9 _3 a, C
- M$ \& v. @! j2 _# C
KZG Commitment的优势
/ f2 r$ E" H, X( F0 v) U我认为主要出于对成本和安全性的思考，可以归纳但不局限于以下几点：
; f4 V( M" K+ K8 O" R8 n. e7 Q成本6 p" s- x' ?5 L) L0 z5 i+ k9 ?
KZG commitment具备快速验证、复杂度相对更低、简洁的特点；. ?: v, h! r! J5 Q( ]
. u( j  Z& V* }6 {
不需要提交额外的proof，因此成本更低、更省bandwidth；4 g1 o* m3 a' ]! x4 t& p
数据触达所需的Point evaluation precompile可以获得更低的成本。8 `9 x/ b) ^" J/ }7 Q( Q
3 Y- \4 k) w3 g$ X0 @% T5 F
安全8 c( \1 T; y& c1 w
假设出现了failure，也只会影响commitment对应的blob中的数据，而不会其他深远的影响。, W0 h) j9 Z' }7 r( Z4 Q
+ p9 C) Y9 k9 U8 G' x. {" u: ~
更兼容
: q& U1 I) a) k6 K6 H% [, K纵观sharding的整体方案，KZG commitment对DAS方案兼容，避免了重复开发的成本。& d; R" s2 k) A& w/ @% b4 h
' U! S/ d1 a! d3 y
5. KZG Ceremony(trusted setup)* ?- b5 I! I8 J% D  H
KZG Ceremony是为KZG Commitment提供trust setup，目前吸引了超过20,000 participants的参与和贡献，已经成为历史上最大规模的trust setup。
8 d/ |( T2 o4 T8 p& T) ]
: k% E3 k  R* V- {" V4 g/ ^9 H最近社区参与热情高涨的KZG Ceremony就是为EIP-4844采用的KZG commitment提供trust setup；0 ?! w- R. n8 R" |9 k5 O3 u
KZG Ceremony的流程; C3 P3 `) A& c
参考Vitalik的流程图，任何人都可以作为participants贡献secret并与之前的结果进行混合产生一个新的result，以此类推，通过套娃的形式获得最终的SRS，并协助完成KZG commitment的trust setup/ N  f& J2 M  c: o; y. {  Q
trust setup3 V+ h  h; p& b9 p3 d! U
EIP-4844中采用了一种常见的multi-participant trust setup，即powers-of-tau；遵循1-of-N 可信模型，不管多少人参与generating setup的过程，只要有一个人不泄漏自己的生成方式，可信初始化就是有效的；$ X: S: A2 z" B  X5 z* \
# k4 t1 P  Q* q
必要性
& ~- ]& F+ J4 v, m8 n/ J+ [& eKZG commitment的trust setup可以简单理解为：生成一个在每次执行cryptographic protocol时需要依赖的一个参数，类似于zk-snark需要可信初始化；Prover在提供证明时，KZG commitment C = f(s)g1。其中f是评估函数，s就是KZG trusted setup最终获得的final secret；可以看出final secret是生成多项式承诺的核心参数，而作为获取这个核心参数的可信流程，这次KZG Ceremony对于整个sharding的实现非常重要。, Y# H: |+ H& x: C3 B: c# a6 ?

  q/ c3 Y6 `. q4 j9 z( n6. EIP-4844带来的变化
" {- D! j4 t% F2 M6 [- p" LRollup
4 H3 z* t" W& B  M8 L参考ethresear上给出的示意图，rollup需要将state delta、KZG commitment的versioned hash包含在calldata中进行提交（zk-rollup还需要提交zk proof）
5 C6 Q1 G/ H+ M1 Z% z% C可以发现不同的是，calldata只包含一些数据量小的，比如state delta、KZG commitment，而将包含大量交易数据的transaction batch放到了blob里。
6 Y0 r. b& _  N: ^" E4 h# ^有效降低成本，放calldata里很贵；降低对区块空间的占用& y# J3 T5 _  d5 y+ b  ]

- o0 t  c$ }6 b) T. {安全性% J: F' y5 w8 V% H- G/ r9 T# r
Data availability: Blob存储在信标链上，等同于layer 1的安全性；历史数据：节点不会只会将blob存储一段时间，需要layer 2 rollup做永久数据存储，因此安全性依赖于rollup。
  J# S. |4 z! |8 x+ V
1 R4 x# p: L' [/ d0 s" q5 x; F成本
1 E1 r) B  p8 q6 JProto-Danksharding引入了新的交易类型，低成本数据格式blob的加入无疑会让rollup的成本进一步降低，取决于实际链上应用和实现进展，优化后rollup的成本可能降低x10甚至x50；
% r/ C4 m4 N3 R5 h- }同时EIP-4844引入了blob fee；
  C! c+ v/ p8 s4 m* k; BGas和blob将会分别有可调节的gas price和limit；Blob的收费单元还是gas，gas amount随traffic变动，以此维持每个block平均挂8个blob的目标（限制额外增加的数据量）
( w4 W( _9 `) g: u
5 t: \4 Q" y; T0 APrecompile的实现2 R. j7 s2 G* ^" c$ _
Blob中的数据本身无法被直接触达，EVM只能获取data blob的commitment。因此需要rollup提供precompile来验证commitment的有效性.
# e- A0 D. n( @7 D, V; ]3 O下面分析两种EIP-4844中提到的precompile算法: a* g9 I7 j' s% s
Point evaluation precompile（对数学原理感兴趣参考vitalik的解析）% M! W# w4 K" B5 y
证明多个commitments指向同一数据；主要针对zk-rollup，rollup需要提供2种commitments: 1. KZG commitment; 2. zk-rollup本身的commitment；对于optimistic rollup，大多数已经采用了multi-round fraud proof的机制，final round fraud proof所需的数据量较小。因此，采用point evaluation precompile能达到更低的成本% z6 X; _% I2 {$ ?) I9 t

6 Q. ^* X# l! j( N: hBlob verification precompile0 n: f, @& c* V
证明versioned hash和blob是有效对应的；optimistic rollup在提交欺诈证明时需要access全量数据，因此先验证versioned hash和blob合法，再进行fraud proof verification, c( x) H1 P. J6 i# A0 U5 d
) D6 T/ O2 X) }( S8 C
! ]1 P4 p, Z8 F
三、Danksharding: 迈向full sharding的重要一步
) R: s8 ^% [) _" lDanksharding的命名来自以太坊研究员Dankrad Feist
4 _# t9 P: g; z5 Q1. 扩容：进一步扩充Rollup的缓存空间
$ J# F) t- d  i7 ]; j1 g在proto-danksharding实现后，由于新的交易格式引入了blob，每个区块可以平均额外获得1MB的缓存空间。Danksharking实现后，每个区块额外16MB，最大允许32MB。; W; X5 J/ {! |
2. Data availability：存储和验证策略更高效8 K! Y% c% S- T: v+ ]
相比proto-danksharding要求全节点下载全量数据，Danksharking实现后以太坊节点只需要对blob抽样。Sampling后的数据会分布在全网节点中，并可以组成完成的data blob。! L5 Z& i9 X0 |. r. |; L2 U
DAS：高效抽样检查, v+ T, v  G0 s2 D5 l- R! g
通过纠缠码（erasure coding）帮助全网节点在下载部分数据的情况下更容易发现原始数据的丢失的概率，从而提升安全性6 U; O" U. J; u3 a
" l7 c1 _8 @  _( ]+ n$ [
3. 安全性：基本不变
9 @3 V" a# _: P. J% F, ^- x由于每个节点不再保存全量历史数据，从数据可用性、备份和抽样检查的角度出发，安全性由至少一个节点保存全量数据变为多个节点存储部分数据，并最终还原完整数据。
9 D) ~0 [9 i; E8 g. z) Z虽然乍一看对单点的依赖安全性远高于对多点的依赖，但是以太坊网络中的节点数量够多，完全可以保证数据备份的需求，因此安全性并不会有很大变化。$ K! o& ?: j( c! Z6 x8 w' |/ Q# e4 y
4. 新的挑战：对block builder的要求提升
- K% c8 u9 l' |4 J+ }/ I/ J虽然验证者不需要下载并保留全量历史数据，对bandwidth和存储硬件的要求得到了缓解，但是区块创建者仍然需要上传包含全量transaction data的blob数据。这里简单介绍一下 PBS(proposer/builder separation)，参考Dankrad给出PBS在danksharding方案中的应用图：
; G+ J0 L! x' X% a4 G$ i将负责出块负责人的角色拆分为proposer和builder。最初是为了做anti-MEV设计的提案，在danksharding的设计中为了降低区块创建时对bandwidth的要求。
! f4 W0 `3 {% I2 C
* Y/ L0 K2 V3 w- Z( O* K) Q四、其他sharding方案：Shardeum的动态分片
9 I" `% ]" R& H0 {$ ]% m9 T3 QShardeum是EVM兼容的layer 1公链, 与以太坊的static sharding方案不同，shardeum通过dynamic state sharding的方案提升底层可扩展性和安全性，同时，天然地保证较高的去中心化程度；
+ {. J) o' x# G1. Dynamic state sharding
* h; h4 u$ h2 X. y& ^' N优势
0 G: b$ i( n+ E. X9 {Dynamic state sharding带来最直观的优势在于linear scaling，接入网络的节点可以非常高效的被sharding算法动态分组，并快速响应，提升区块链网络的TPS。在dynamic state sharding的设计中，每个节点会覆盖不同range的address，并且覆盖范围又会有冗余设计以保证高效的sharding和安全性。
$ ?% @- z! k! `  @3 L: D+ e场景内实现
# `/ E) I' B" s: w抛开生态的复杂度，单从两种技术实现的角度看，dynamic state sharding的难度大于static sharding。可以看出Shardeum的技术团队在sharding的技术层面有很深的积累，团队之前在Shardus technology上的研发也对这条公链的底层技术做出了很大贡献，甚至在项目早期阶段很好的展示了dynamic state sharding所带来的linear scaling。
9 q( P, n. C* Y+ O8 e2. Shardeum综合归纳! [/ d! M+ {7 X& C# m
产品/ w5 H; {& z5 y+ a. v# u
将节点划分到不同的group，参考divide and conquer的思路，把计算和存储的workload进行分流，从而允许更高程度的并行处理。因此，可以容纳更多节点加入，进一步提升公链的throughput和去中心化程度。
2 I. a' N6 z6 w  X: @$ x6 s- r团队/ r; D  r, {3 b: P: ]( f
市场经验丰富，叙事能力超强，对动态分片研究很深。0 j6 I/ i" E' V( \& v0 }2 O4 j! _
技术8 T) o7 e1 g2 b9 s8 o* w
针对自己的场景设计了合适的sharding方案(dynamic state sharding)和共识的设计(Proof of Stake+ Proof of Quorum)，以提升可扩展性为第一目标，保证更高程度的去中心化和安全性。( r1 t/ z0 `7 K  E
进度
& u4 [/ z& }' [; y* _将在2023-02-02 launch betanet，值得关注。2 q- E* |0 N& e+ o- z
五、对sharding的思考和展望
2 g) U* X% \) C9 P& L+ }$ p4 @Sharding是以太坊扩容的长久之计，也是一个价值巨大、意义深远的长期方案。实现sharding的过程中，现有所有方案都可能被不断迭代，包括现在提到的proto-danksharding、danksharding等，值得持续关注；对sharding大方向的理解很重要，但是每一个实现full sharding过程中的提案所采纳的技术方案（PBS、DAS、multidimensional fee market）同样值得关注，并且我相信也会涌现很多相关的优秀团队和项目；Sharding是对一种扩容技术的统称，但具体落地的方案并不是只有一种。需要认识到不同的公链会有适合自己场景的sharding方案。比如danksharding中的一些设计也只适合以太坊网络，安全性的tradeoff需要大量的节点来抵消；Sharding和其他扩容方案的合理结合对于可扩展性的提升1+1>2。目前的Danksharding并不是自成一派的扩容方案，而是和以太坊生态的其他实现相辅相成的。比如Danksharding和rollup一起，为以太坊扩容达成更好的效果。) }- t/ }* ~# K0 V7 [5 G8 t) E
1 Q( b6 b( q8 h$ x* _6 g7 p& L" R
Reference3 ^/ |* Y. ~! s4 r4 U1 s
https://notes.ethereum.org/@dankrad/kzg_commitments_in_proofs
3 Z+ A# \9 A/ l4 N5 t( m8 `' mhttps://notes.ethereum.org/@dankrad/new_sharding
5 d/ g" G. U4 O' o! W+ I2 qhttps://vitalik.ca/general/2022/03/14/trustedsetup.html: Y: L; _( ]4 R! d" h& z0 i: G
https://notes.ethereum.org/@vbuterin/proto_danksharding_faq#Why-use-the-hash-of-the-KZG-instead-of-the-KZG-directly
( j4 {# E0 e0 S/ L8 Xhttps://ethresear.ch/t/easy-proof-of-equivalence-between-multiple-polynomial-commitment-schemes-to-the-same-data/81882 l! A# o. j& ?- x# P5 Y  E
https://dankradfeist.de/ethereum/2020/06/16/kate-polynomial-commitments.html: j7 d2 [9 z% @; U) I( z
https://notes.ethereum.org/@dankrad/new_sharding
( O$ l: _( Z& V2 x$ T  L# chttps://eips.ethereum.org/EIPS/eip-4844+ F+ ^1 Q$ n  D  g, x
https://www.eip4844.com/
5 F' B5 Y: S% dhttps://biquanlibai.notion.site/Data-Availability-caa896aae59d489b98f2448f17b01640: L1 G7 J3 q1 z0 {2 i, q! m( ~: u/ _
https://docs.google.com/presentation/d/1-pe9TMF1ld185GL-5HSWMAsaZLbEqgfU1sYsHGdD0Vw/edit#slide=id.g1150d91b32e_0_474
* {, P1 h1 M& V3 U" Ghttps://ethresear.ch/t/a-design-of-decentralized-zk-rollups-based-on-eip-4844/12434