КонсенсусВизантийская доля остаётся ниже трети
Ниже порога никакое меньшинство не удержит батч и не зафиксирует второй порядок. Выше — аргумент безопасности просто заканчивается.
ЦенаКворум удостоверяет наблюдение, а не его точность
Зажим и разнообразие площадок ограничивают, насколько один источник двигает результат. Ни то ни другое не создаёт информацию, которой у рынка не было.
УправлениеПереконфигурация на границах эпох
Ограничено набором валидаторов, параметрами консенсуса и риска, аварийными действиями. Кому принадлежат эти полномочия, пока не опубликовано.
МостЭскроу-контракты и канал сообщений, заверяемый валидаторами
Лимиты на вывод ограничивают радиус поражения. Глубокие реорганизации исходной сети и компрометация ключей подписи — нет.
ПрограммыВ периметре один внешний аудит, остальное — внутренний контроль
Повтор доказывает, что узлы сходятся друг с другом. Он не доказывает, что спецификацию реализовали дважды независимо и они сошлись.
Что всё ещё приходится допускать
Чем это ограничено
Проверка ограничивает то, что приходится допускать. Она не опустошает этот список, и ни один протокол его не опустошает.
Консенсус
Допущение: византийская доля остаётся ниже трети от общей. IntentionBFT выдерживает противника, контролирующего до трети доли. Честная доля поэтому всегда больше двух третей, а кворум для чего угодно — это множество валидаторов, чья суммарная доля превышает две трети. Ниже порога безопасность держится безусловно; живучесть — после стабилизации сети. Что даёт эта граница. Две конкретные вещи, а не общее ощущение защищённости. Пакеты транзакций обязаны доказать доступность, взвешенную двумя третями доли, прежде чем предложение сможет на них сослаться, — значит, блок никогда не зависит от данных, которые держало одно византийское меньшинство. А порядок — объект, зафиксированный консенсусом и покрытый хешем блока, поэтому ни один честный валидатор не подпишет второй порядок тех же транзакций в том же раунде. Чего она не даёт. Выше порога аргумент не деградирует плавно — он прекращается. А ниже порога одна поверхность остаётся открытой: лидер выбирает, какие доступные пакеты включить в собственное предложение и как их расположить. Страница о консенсусе называет это остаточной поверхностью, смягчаемой репутацией лидеров и тем, что без действительных ценовых наблюдений лидер вообще не создаст блок. Более сильные конструкции честного упорядочивания ведутся как кандидат на обновление, а не как уже поставленное.Цена
Допущение: кворум удостоверяет, что эти наблюдения были поданы в этом раунде. Он не удостоверяет, что они были верны. В этом различии — всё. Страница оракула формулирует гарантию точно: транзакция рассчиталась по цене, которую кворум валидаторов удостоверил в том же раунде, что зафиксировал транзакцию, и ни один путь исполнения не мог прочитать другую. Привязка цены к транзакции — настоящее свойство, и оно не то же самое, что верность цены. Чем это ограничено. Агрегация зажимает, насколько один источник способен сдвинуть результат, а требование разнообразия площадок означает, что наблюдения по инструменту берутся более чем из одного независимого источника. Маркировочная цена выводится из индексной со сглаживанием и ограничением, поэтому короткий разрыв не переходит сразу в каскад ликвидаций. Чего это не ограничивает. Согласованное движение сразу на нескольких базовых площадках или общерыночный разрыв. Взвешивание и зажим не создают информацию, которой у рынка не было. Цена — самый весомый внешний вход торговой системы, и устойчивость к манипуляции здесь вопрос степени.Управление
Допущение: полномочие на переконфигурацию существует, и на границах эпох оно может изменить то, на что вы опираетесь. Внутри эпохи набор валидаторов и большинство параметров постоянны. На границе эпохи санкционированная управлением переконфигурация может изменить набор валидаторов, параметры консенсуса и риска, а также предпринять аварийные действия. Переходы атомарны — каждый честный валидатор видит один и тот же переход на одной и той же высоте блока, — но атомарность описывает, как изменение приземляется, а не ограничивает то, что может измениться. Досягаемость реальна и её стоит назвать прямо. Листинг рынка, конфигурация комиссий, ступени плеча и параметры риска — всё это инструкции системной конфигурации, санкционируемые управлением, а маржинальные ступени, задающие вашу цену ликвидации, движутся внутри установленных управлением границ.Мост
Допущение: эскроу-контракты во внешних сетях и канал сообщений, заверяемый валидаторами между ними и этой сетью, держатся оба. Обеспечение попадает сюда через мост. Контракты исходной сети держат депонированные активы; успешная эксплуатация этих контрактов или канала заверения оборачивается потерей перенесённого обеспечения. Структурно это самый уязвимый компонент системы, потому что он единственный, чья безопасность зависит от кода, который сам протокол не исполняет. Чем это ограничено. Выводы ограничены по скорости, что ограничивает радиус поражения обнаруженной уязвимости, но не необнаруженной. Мост — область наивысшего приоритета для внутреннего аудита и входит в периметр программы вознаграждений. Чего лимит скорости не ограничивает. Реорганизации исходной сети глубже настроенной глубины подтверждения, компрометацию ключей подписи валидаторов и дефекты самой логики заверения.Программное обеспечение
Допущение: спецификация реализована верно, и сама спецификация верна. Проверка устанавливает, что состояние, которое вам отдают, получено по опубликованным правилам на зафиксированных входах. Она не устанавливает, что эти правила без дефектов: точно воспроизвести баг — всё равно воспроизвести баг. Для этого существуют аудиты и программа вознаграждений, и страница аудитов прямо говорит, что сейчас в периметре один внешний аудит, тогда как ядро, консенсус и клиринговая палата закрыты внутренними мерами контроля, а не внешней проверкой. Одно следствие стоит назвать, потому что его легко переоценить. Побайтный детерминизм становится перекрёстной проверкой только тогда, когда существует более одной реализации. Пока в продакшене не работает второй независимый клиент, повтор блока подтверждает, что узлы сходятся друг с другом, — но не то, что спецификацию реализовали дважды независимо и результаты сошлись.Где это вас оставляет
Честный итог не в том, что доверие убрано. Он в том, что доверие перенесено: из мест, где приходится верить кому-то на слово — маржинальные цифры оператора, момент решения риск-комитета, отчёт, собранный рядом с системой, — в места, где допущение можно хотя бы назвать, ограничить и наблюдать. Список выше — это то, что осталось. Он сокращается по мере того, как разнообразятся клиенты, завершаются аудиты и документируется управление; до нуля он не доходит, и площадка, которая говорит вам обратное, рассказывает о своей документации, а не о своей архитектуре.Что дальше
Проверьте сами
Пять проверок, которые сокращают этот список.
IntentionBFT
Порог отказов, кворумы и то, что лидер всё ещё может выбрать.
Оракул
Что именно гарантирует удостоверение, сформулировано точно.
Риски
Та же территория со стороны трейдера, а не архитектора.