前言
2017年，VitalikButerin与VirgilGriffith共同发表了CaspertheFriendlyFinalityGadget。CasperFFG是受PBFT启发并经过改良的共识协议，它虽然被设计得很简洁，但其对安全性的证明却不简单。
笔者将于本文解析CasperFFG的原理，读者可以一窥权益证明共识所尝试解决的问题及其设计理念。此外，CasperFFG是以太坊2.0的共识机制，理解其运作也能帮助研究员与开发者进一步理解以太坊2.0的设计。
最后要特别感谢以太坊研究员Chih-ChengLiang提供重要素材并与笔者共同大量讨论及给予回馈，没有他的协助便不会有这篇文章的诞生。
CasperFFG是怎么开始的？
以太坊对权益证明的研究最早可追溯至2014年的这篇文章。从此之后，以太坊研究员们便一直朝「实现基于PoS的共识协议」此一目标前进。PoS共识的设计是一个跨领域且相当复杂的问题，其包含计算机科学/经济学/密码学等方面。以太坊拥有区块链生态系中最跨领域的团队，对PoS的研究可以说是相当透彻。
笔者于日前翻译了一篇关于CasperFFG发展脉络的重要文献：
CasperFFG与CasperCBC的瑜亮情结
CasperFFG受到PBFT的启发，并可以被视为改良后的PBFT——它继承了PBFT的重要设计，同时添加新的机制与简化若干规则。若读者对PBFT感到陌生，可以参考笔者日前针对PBFT的解析文：
若想搞懂区块链就不能忽视的经典：PBFT
IMF今日发布的加密货币科普视频实为两年前旧闻，且存在诸多疏漏:国际货币基金组织IMF今日在推特上发布了一条关于加密货币的科普视频，这段时长两分钟的视频最初发布于2018年6月。该视频称加密货币是“货币进化的下一步”，但没有特别提到DLT、区块链，甚至是代币名称等术语。BTC、XRP和ETH只出现在说明加密交易的图形中。尽管这段视频到目前为止已经获得了超过13.7万的点击量和2900个赞，但来自加密社区的许多反应都是批评的，他们指出了信息中的漏洞和似乎具有误导性的措辞。
Reddit用户nanooverbtc称：“他们犯了很多错误，比如把私钥称为密码。”该视频也没有讨论挖矿或加密货币供应。Kraken策略师Pierre Rochard等知名人士表示：“可证明的稀缺性是比特币有趣的原因，你忘了提这一点。”（Cointelegraph）[2020/8/24]
简而言之，PBFT是一个具有二轮投票机制的共识协议，且具有下列特性：
许可制的：只有被「允许」的节点能参与共识。
基于领袖的：只由主导节点负责「提案」，其他节点只负责投票，因此需要视域变换机制来节制不诚实的主导节点。
基于通讯的：使用决定性的多数决来形成共识，而不是非决定性的算力解谜赛局。
安全性重于活跃性的：无论网络是否延迟，协议都能保证共识的安全性，这赋予协议即时敲定的特性。
其中PBFT所具备的即时敲定性，或许是其受到Vitalik青睐的主要原因。Vitalik在熟读PBFT后也特撰文总结，并于其中提出日后演变成CasperFFG的重要想法。
人大附中物理老师李永乐科普拜占庭将军问题和区块链:5月14日，人大附中物理老师、科普视频网红李永乐在其公众号发布视频《拜占庭将军问题是什么？区块链如何防范恶意节点？》。李永乐老师在视频中对拜占庭将军问题和区块链进行了讲解，他表示，拜占庭将军问题本质上指的是，在分布式计算机网络中，如果存在故障和恶意节点，是否能够保持正常节点的网络一致性问题。在近40年的时间里，人们提出了许多方案解决这一问题，称为拜占庭容错法。例如兰波特自己提出了口头协议、书面协议法，后来有人提出了实用拜占庭容错PBFT算法，在2008年，中本聪发明比特币后，人们又设想了通过区块链的方法解决这一问题。区块链通过算力证明来保持账本的一致性，也就是必须计算数学题，才能得到记账的权力，其他人对这个记账结果进行验证，如果是对的，就认可你的结果。与拜占庭问题比起来，就增加了叛徒的成本。[2020/5/14]
CasperFFG的前身：砍押金的4条规则
PBFT虽然具有即时敲定性，但并不具有抵抗共谋的能力，因此需要一个惩罚机制来遏止作恶的行为，只要节点做出逾越规则的行为，便必须承受经济损失——透过经济学法则来调节节点的行为正是PoS的设计理念。任何支付押金的节点，都可以加入网络参与共识，无需任何人的许可，因此基于PoS模型的共识都是非许可制的。在这里要澄清一下「许可」这件事。我们会说他「非许可制」，是因为任何验证节点可以加入和退出。但如果在他加入的时候，链要维持一个验证节点清单，从这个角度看又有点是「许可制」。从PBFT的角度看，投票的验证节点也必须从许可的清单中挑选。那么下一个问题是：哪些行为该被惩罚？Vitalik仔细推敲PBFT后发现，PBFT只需4条规则便能确保共识运作良好：最少的砍押金条件Vitalik在这篇文章中总结了这4条规则，并把它们称为PBFT的「最少的砍押金条件」，任何违反此4条规则的行为都要被取走押金。这4条规则如下：
动态 | 新浪财经：官媒针对区块链的报道从科普宣传转向打假监管:据新浪财经今日消息，“1025新政”满月，一个月间，官媒对区块链的态度风向已转。据11月初的一项统计，七家党媒在新政一周内发布了65篇直接相关报道，当时文章中的关键词是数据、产业、安全、创新等，大量文章偏向于科普区块链的概念以及应用介绍，提醒警惕虚拟货币炒作的仅有3篇。近期，官媒的批评焦点则纷纷指向借区块链之名进行的虚拟货币发行和炒作行为。据统计，新华网、人民网收录转载的，以打击虚拟货币或揭露假借区块链行为主题的文章，自10月25日到11月25日午间，共28篇；其中，11月19日至11月25日的一周内就高达15篇。这些文章主要围绕三个观点展开：厘清区块链和虚拟货币的关系，说明二者概念不等；打击伪“区块链”局，或是虚拟货币局揭露；提醒民众，区块链不能成为炒作的噱头，更不是行的招牌，需警惕此类活动，理性投资。[2019/11/26]
1.提交：收到2/3节点的预备讯息后才能提交。2.预备：每个预备讯息只能指向某个也具有2/3节点预备讯息的高度，且这些预备讯息也必须都指向同一个高度。3.预备提交一致性:任何新的预备讯息只能指向最后一个已提交的或其他比其更新的高度。4.不重复预备：不能在同一个高度送出两次预备。
这4条规则可以进一步简化为2条：
某验证节点v必不可发出两个相异的投票：<ν,s1,t1,h(s1),h(t1)>及<ν,s2,t2,h(s2),h(t2)>,且使下列任一条件成立：1.h(t1)=h(t2)验证节点必不可对某高度发出两个相异投票。2.h(s1)<h(s2)<h(t2)<h(t1)验证节点必不可投出高度围绕/被围绕于另一投票高度的投票。
动态 | 币安科普MimbleWimble算法:币安官方推特今日发布隐私算法Mimblewimble的科普贴，在下方留言区大量网友留言猜测是否是基于 Mimblewimble算法的隐私币Grin或者Beam即将登陆币安交易所，其中猜测Grin的呼声更高。[2019/9/2]
这2条规则便是CasperFFG的最少砍押金条件。
CasperFFG如何运作？
-CasperFFG:检查点树-CasperFFG是一个将出块机制抽象化的覆盖链，只负责形成共识。出块机制由底层链实现，而来自底层链的出块称为检查点。检查点组成检查点树，例如：把高度为0、50、100、150的区块哈希值取出，形成一棵新的树，如上图所示。最底部的检查点则称为根检查点。每个节点都必须对检查点送出投票，投票的内容是由两个不同高度的检查点组成的连结，连结的起点高度较低，称为源头；连结的终点高度较高，称为目标。节点会将投票广播到网络中，并同时收集来自其他节点的投票。其中若投票给某连结L的节点押金总和超过全部押金的2/3，则称L为绝对多数连结，以s→t表示。例如上图中，b1/b2/b3之间都形成了绝对多数连结，分别以b1→b2、b2→b3表示。由根检查点开始，若两个检查点之间形成绝对多数连结，则该连结的目标进入「已证成」状态；而在连结建立当下已处于「已证成」状态的源头，则进入「已敲定」状态；根检查点则预设为「已证成」及「已敲定」状态。由此可知，每个检查点在经过两次投票后，会先「证成」而后「敲定」，几乎等同于PBFT的「预备」与「提交」。例如在上图右边的分支中，r/b1/b2皆为「已敲定」状态，只有b3为「已证成」状态。那么验证节点该对哪些检查点建立连结？每个节点都必须遵循分叉选择规则来选择下一个要连接的检查点，CasperFFG的规则是：选择最高的「已证成」状态的检查点。
金色财经独家分析 监管机构、媒体、业界提示风险 区块链科普道阻且长:新华社今日发文表示，近来“区块链”类案件频发，不法分子以“投资虚拟货币周期短、收益高、风险低”为借口，取用户信任并诱使其转账进行投资。无独有偶，同日消息，腾讯手机管家安全专家也提醒此类风险，并从技术上提出防建议。在美国，监管机构警示加密货币欺诈现象普遍承诺高收益而不披露潜在风险。金色财经独家分析，不法分子假借新技术之名进行，一方面是抓住民众趋利的心理，一方面反映出区块链科普的欠缺。区块链是新兴科技和底层技术并有改变社会生产关系的潜力，应该进行系统性的科普教育，当前，部分大学已经开始设置了区块链课程，但对于普通民众仍然有科普的需求，人们应该了解到系统和正确的知识，不仅要了解区块链的好，也要明确局限和弊端，以在高收益的诱惑下，保持清醒客观。[2018/4/11]
-CasperFFG:验证节点集合的大幅变化引起的分叉-由于CasperFFG能让任何存入押金的节点成为验证节点，因此验证节点集合会动态地随着时间变化。节点从退出网络至取出押金需要等待一段期间，该等待期间称为提领延迟。每个检查点C都有其对应的朝代数，其定义为：从根检查点开始至C为止的已敲定检查点数量，例如上图中，b3的朝代数为3。每一代检查点都对应两种验证节点集合：前端验证节点集合以及后端验证节点集合。理论上每代检查点的前端/后端集合会高度重复，但难保节点共谋造成前端/后端集合的大幅变化，若此情形发生，则出错时可能会砍不到坏节点的押金导致安全性受到威胁。例如上图中，验证节点A可以退出，代表对C'分叉来说A退出了，可是对C分叉来说，A却从来没退出过。因此A有办法继续投旧链C，但新链C'砍不到A的押金。为了让每代检查点在出错时都能确实归责，因此需要缝合机制将检查点的前端/后端集合「缝」起来，确保每个错误都必定能归责。综合以上，CasperFFG几乎针对PBFT的所有方面都做出改进：
经济上的制约：PBFT是许可制的，它仰赖原本就存在信任基础的组织共同运行协议；CasperFFG则是非许可制的，它引入最少砍押金条件，利用经济损失的风险来制约节点的行为，节点之间不需要任何信任基础也能共同运行协议，实现真正的去中心化。
抽象的出块机制：PBFT仰赖诚实的主导节点产生区块并需要视域变换机制节制拜占庭节点；CasperFFG无需理会底层的出块机制，只需负责形成共识。出块抽象的好处是：底层链的出块频率不必与覆盖链的共识频率一致，如此可以增加效率并降低网络的负担。例如：每100个底层区块只产生1个检查点。
流水线化的投票：PBFT具有<Prepare>、<Commit>、<View-change>等数种投票讯息；CasperFFG仅有<Vote>一种，且投票的内容并不是单一的区块/请求，而是两个形成连结的检查点，这使CasperFFG能够在不牺牲太多表达力的前提下变得简洁许多。这些形成链式结构的检查点，会于两个不同高度分别经历两轮投票，由于每一轮投票都会敲定源头与证成目标，因此共识能如流水线般不断推进。相似的设计理念也出现于Hot-Stuff，有趣的是，该论文作者DahliaMalkhi还撰文比较Hot-Stuff与CasperFFG，其相似程度可见一斑。
强健的抗攻击性：PBFT不具备对远程攻击以及灾难性崩溃的抗性；CasperFFG则具有特别的机制来防御这两种攻击：针对远程攻击，节点必须定期同步区块及禁止回朔已敲定的区块；针对灾难性崩溃，CasperFFG则引入「离线溢金」机制来应对。关于这两种攻击的说明，笔者将于日后另撰文论述。
由于CasperFFG相当简洁，以太坊研究员一度实现了合约版本的CasperFFG：ethereum/casper然而，这个合约版的CasperFFG后来被弃用了！在合约版中原本假设投票能够被并行处理，但在计算投票报酬有很多中间状态，不同投票处理的先后顺序将会影响最后得到的状态，这代表并行化将无法达成共识。而要修正这个问题则必须要在合约与客户端做大量修改，失去了「逻辑用合约实现，避免修改客户端」的精神。因此，为了能够更好地整合CasperFFG与其他优化提案，全新的以太坊2.0磅礴登场了。
以太坊2.0中的CasperFFG
-以太坊2.0:分片-以太坊2.0是一个基于EVM并整合CasperFFG与众多优化提案的分布式帐本。以太坊2.0除了想实现PoS，还试图将每秒交易数扩展到10000笔的量级，使区块链成为如网际网络一般的基础设施，并且让任何存入32个以太币的押金的节点都能成为验证节点。分片即是为了增加可扩展性的重要设计，也是以太坊2.0最重要的目标。分片就是分工合作，我们可以用一个简单的例子来说明分片的概念：2人写2题作业，2人各写不同的1题再合起来一定比2人都各写完2题来得更有效率。目前的以太坊只有1条区块链，所有节点必须各自处理所有交易；在以太坊2.0中，网络会分成1024个片，每片分别运行1条分片链，它们将各自处理一部分的交易后再将结果交由1条信标链统整。因此，以太坊2.0预计会有1条信标链以及1024条分片链。值得注意的是：片是一个抽象层，并不特指某一群节点。为了更了解这个概念，笔者扩充一下上文的例子：假设写作业有找答案及抄答案两个步骤，那么A/B2人写2题作业，由读速快的A找第1题答案，读速慢的B找第2题答案；由手速快的B抄第1题答案，手速慢的A抄第2题答案。如此，A/B便可以依照读/写的快/慢来分别负责不同题目的不同步骤。同样地，在以太坊2.0中，除了有1024个片，还会有1024个持续委员会与1024个交联委员会：
每个片都会对应1个持续委员会与1个交联委员会，如同上例中每个题目可以依照读/写的步骤来对应不同的个体。
使用链上随机数决定各委员会的分派，如同上例中依照读/写的快/慢来分派题目。
持续委员会负责维护分片链与产生分片区块、交联委员会负责维护信标链与产生信标区块，如同上例中读速快的负责找答案、手速快的负责抄答案。各区块的出块节点也交由链上随机数决定。
换句话说，每个验证节点都需维护1条唯一的信标链及1条所属片的分片链，也都会隶属于与该分片对应之1个交联委员会与1个持续委员会。CasperFFG是运行于以太坊2.0之上的覆盖链，这个覆盖链同样由检查点构成，各检查点之间的跨度称为时期，1个时期切成64个时段，每个时段对应16个片，因此每片在每时期中都有对应的时段，并只能在轮到自己时才广播其对检查点的投票，且每分片只能1个时段中投出1票——也就是说，各分片需要先对投票内容形成共识，不过各片内部形成共识的方法仍尚未定论，近期最新的提案是使用聚合签名。另外，CasperFFG在以太坊2.0中的分叉选择规则是最新消息驱动GHOST。理论上，CasperFFG于每个检查点的投票应该要与底层出块机制的投票分开；实际上，以太坊2.0的底层投票内容会同时包含顶层投票内容，如同顶层投票搭了底层投票的便车，借此优化效能。如此在每个时期结束时，每个片都会收到所有其他片在该时期的投票，CasperFFG活跃性得以维持。
结语
CasperFFG是一个实现权益证明的大胆尝试，它在以太坊2.0的表现值得期待。然而以太坊2.0还有许多难题留待解决，例如轻节点/链上随机数生成器/跨片交易等等。与此同时，许多以太坊2.0的竞争者也提出新的共识协议与分片技术，例如RapidChain/Harmony/Chainspace等等。CasperFFG以及以太坊2.0是经过众多研究员/开发者不断激荡与迭代的重要结晶，但一直以来都缺乏提供系统性论述的中文材料，希望此文可以帮助中文世界的研究员/开发者快速理解CasperFFG与以太坊2.0的精要。
原文链接:
https://medium.com/taipei-ethereum-meetup/intro-to-casper-ffg-and-eth-2-0-95705e9304d6
作者:JuinChiu
本文首发于TaipeiEthereumMeetup的Medium站，EthFans经授权转载，为符合大陆读者的习惯，进行了简繁转换并将部分术语改为习惯用法。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。