以太坊可能的未来：The Surge

The Surge：关键目标

1. 未来以太坊通过 L2 可以达到 10 万以上的 TPS；

2. 保持 L1 的去中心化和鲁棒性；

3. 至少一些 L2 完全继承了以太坊的核心属性（去信任、开放、抗审查）；

4. 以太坊应该感觉像一个统一的生态系统，而不是 34 个不同的区块链。

本章内容

1. 可扩展性三角悖论
2. 数据可用性采样的进一步进展
3. 数据压缩
4. Generalized Plasma
5. 成熟的 L2 证明系统
6. 跨 L2 互操作性改进
7. 在 L1 上扩展执行

可扩展性三角悖论

可扩展性三角悖论是 2017 年提出的一个想法，它认为区块链的三个特性之间存在矛盾：去中心化（更具体地说：运行节点的成本低）、可扩展性（处理的交易数量多）和安全性（攻击者需要破坏网络中很大一部分节点才能使单笔交易失败）。

值得注意的是，三角悖论不是一个定理，介绍三角悖论的帖子也没有附带数学证明。它确实给出了一个启发式的数学论点：如果一个去中心化友好的节点（例如消费类笔记本电脑）每秒可以验证 N 笔交易，并且你有一个每秒处理 k*N 笔交易的链，那么 （i） 每笔交易只能被 1/k 个节点看到，这意味着攻击者只需破坏少数节点就能通过一笔恶意交易， 或 （ii） 你的节点将变得强大，而你的链不会去中心化。这篇文章的目的从不是证明打破三角悖论论是不可能的；相反，它旨在表明打破三元悖论是困难的，它需要在某种程度上跳出该论证所隐含的思维框架。

多年来，一些高性能链常声称它们在不从根本上改变架构的情况下就解决了三元悖论，通常是通过运用软件工程技巧来优化节点。这总是具有误导性的，在这些链上运行节点比在以太坊上运行节点要困难得多。本篇文章将探讨为何会如此，以及为什么仅凭 L1 客户端软件工程本身无法扩展以太坊？

然而，数据可用性采样与 SNARKs 的结合确实解决了三角悖论：它允许客户端在仅下载少量数据并执行极少量计算的情况下，验证一定数量的数据是可用的，并且一定数量的计算步骤是正确执行的。SNARKs 是无需信任的。数据可用性采样具有一种微妙的 few-of-N 信任模型，但它保留了不可扩容链所具有的基本特性，即即使是 51% 的攻击也无法强制坏块被网络接受。

解决三难困境的另一种方法是 Plasma 架构，它使用巧妙的技术，以激励兼容的方式将监视数据可用性的责任推给用户。早在 2017-2019 年，当我们只有欺诈证明这一手段来扩展计算能力时，Plasma 在安全执行方面非常受限，但随着 SNARKs（零知识简洁非交互式论证）的普及，Plasma 架构对于比以往更广泛的使用场景变得更加可行。

数据可用性采样的进一步进展

我们正在解决什么问题？

2024 年 3 月 13 日，当 Dencun 升级上线时，每 12 秒的 slot 有 3 个约 125 kB blob，或每个 slot 的数据可用带宽约 375 kB。假设交易数据直接在链上发布，则 ERC20 转账约为 180 字节，因此上 Rollup 的最大 TPS 为：375000 / 12 / 180 = 173.6 TPS

如果我们加上的 calldata（理论最大值：每个 slot 3000 万 Gas / 每字节 16 gas = 每个 slot 1,875,000 字节），则变为 607 TPS。使用 PeerDAS，blob 数量可能会增加到 8-16，这将为 calldata 提供 463-926 TPS。

这是对 L1 的重大提升，但还不够。我们想要更多的可扩展性。我们的中期目标是每个 slot 16 MB，如果结合 Rollup 数据压缩的改进，将带来 ~58000 TPS。

它是什么？如何运行？

PeerDAS 是"1D sampling"的一个相对简单的实现。在中，每个 blob 都是一个在 253 位素数域（prime field）上的 4096 次多项式（polynomial）。我们广播多项式的 shares，其中每个 shares 包含从总共 8192 个坐标中相邻的 16 个坐标上的 16 个评估值。在这 8192 个评估值中，任何 4096 个（根据当前提出的参数：128 个可能样本中的任何 64 个）都可以恢复 blob。

PeerDAS 的工作原理是让每个客户端侦听少量子网，其中第 i 个子网广播任何 blob 的第 i 个样本，并通过询问全球 p2p 网络中的对等方（谁将侦听不同的子网）来请求它需要的其他子网上的 blob。更保守的版本 SubnetDAS 仅使用子网机制，而没有额外的询问对等层。当前的提案是让参与权益证明的节点使用 SubnetDAS，而其他节点（即客户）使用 PeerDAS。

从理论上讲，我们可以将一"1D sampling"规模扩展得相当大：如果我们将 blob 的最大数量增加到 256（目标为 128），那么我们就能达到 16MB 的目标，而数据可用性采样中每个节点 16 个样本 * 128 个 blob * 每个 blob 每个样本 512 字节 = 每个 slot 1 MB 的数据带宽。这只是勉强在我们的容忍范围内：这是可行的，但这意味着带宽受限的客户端无法采样。我们可以通过减少 blob 数量和增加 blob 大小来对此进行一定程度的优化，但这会使重建成本更高。

因此，我们最终想要更进一步，进行 2D 采样（2D sampling），这种方法不仅在 blob 内进行随机抽样，还在 blob 之间进行随机抽样。利用 KZG 承诺的线性属性，通过一组新的虚拟 blob 来扩展一个区块中的 blob 集，这些虚拟 blob 冗余地编码了相同的信息。

因此，最终我们想更进一步，进行 2D 采样，它不仅在 blob 内，而且在 blob 之间进行随机采样。KZG 承诺的线性属性用于扩展一个区块中的 blob 集，其中包含对相同信息进行冗余编码的新虚拟 blob 列表。

至关重要的是，计算承诺的扩展并不需要有 blob，因此该方案从根本上来说对分布式区块构建是友好的。实际构建区块的节点只需要拥有 blob KZG 承诺，并且它们可以依赖数据可用性采样（DAS）来验证数据块的可用性。一维数据可用性采样（1D DAS）本质上也对分布式块构建友好。

还需做什么？又有哪些权衡？

接下来是完成 PeerDAS 的实施和推出。之后，不断增加 PeerDAS 上的 blob 数量，同时仔细观察网络并改进软件以确保安全，这是一个渐进的过程。同时，与此同时，我们希望有更多的学术工作来规范 PeerDAS 和其他版本的 DAS 及其与分叉选择规则安全等问题的交互。

在未来更远的阶段，我们需要做更多的工作来确定 2D DAS 的理想版本，并证明其安全属性。我们还希望最终能够从 KZG 转向一种量子安全且无需可信设置的替代方案。目前，我们还不清楚有哪些候选方案对分布式区块构建是友好的。即使使用昂贵的"蛮力"技术，即使用递归 STARK 来生成用于重建行和列的有效性证明，也不足以满足需求，因为虽然从技术上讲，一个 STARK 的大小为 O(log(n) * log(log(n)) 哈希值（使用 STIR），但实际上 STARK 几乎与整个 blob 一样大。

我认为的长期现实路径是：

1. 实施理想的 2D DAS；
2. 坚持使用 1D DAS，牺牲采样带宽效率，为了简单性和鲁棒性而接受较低的数据上限
3. 放弃 DA，完全接受 Plasma 作为我们关注的主要 Layer2 架构。

请注意，即使我们决定直接在 L1 层扩展执行，这种选择也是存在的。这是因为如果 L1 层要处理大量的 TPS，L1 区块将变得非常大，客户端将希望有一种高效的方法来验证它们的正确性，因此我们将不得不在 L1 层使用与 Rollup（如 ZK-EVM 和 DAS）相同的技术。

如何与路线图的其他部分交互？

如果实现数据压缩，对 2D DAS 的需求会有所减少，或者至少会延迟，如果 Plasma 被广泛使用，则需求会进一步减少。DAS 也对分布式区块构建协议和机制提出了挑战：虽然 DAS 理论上对分布式重建友好，但这在实践中需要与包 inclusion list 提案及其周围的分叉选择机制相结合。

数据压缩

我们在解决什么问题？

Rollup 中的每笔交易都会占用大量的链上数据空间：ERC20 传输大约需要 180 字节。即使有理想的数据可用性采样，这也限制了 Layer 协议的可扩展性。每个 slot 16 MB，我们得到：

16000000 / 12 / 180 = 7407 TPS

如果我们不仅能解决分子的问题，还能解决分母的问题，让每个 Rollup 中的交易在链上占用更少的字节，那会怎样？

它是什么，如何工作？

在我看来，最好的解释是两年前的这张图：

零字节压缩中，用两个字节替换每个长的零字节序列，表示有多少个零字节。更进一步，我们利用了交易的特定属性：

签名聚合：我们从 ECDSA 签名切换到 BLS 签名，BLS 签名的特性是多个签名可以组合成一个单一的签名，该签名可以证明所有原始签名的有效性。在 L1 层中，由于即使进行聚合，验证的计算成本也较高，因此不考虑使用 BLS 签名。但在 L2 这样数据稀缺的环境中，使用 BLS 签名是有意义的。ERC-4337 的聚合特性为实现这一功能提供了一条途