IntentionBFT

IntentionBFT 是 Intention 的共识协议——为金融基础设施做过扩展的 HotStuff 系 BFT 协议。在故障阈值以内，安全性无条件成立；活性在网络稳定之后成立。 这里的共识做了两件通用链的共识不做的事：它把顺序作为一等对象提交，并在同一个事件中提交一组认证过的价格向量。内核关于执行所能给出的一切保证，都依赖这两者在执行开始之前就已确定。

​

模型

拜占庭对手最多控制总权益的三分之一，IntentionBFT 都能容忍。诚实权益因此始终超过三分之二：只要一组验证者的合计权益超过三分之二，就构成标准法定人数——本文档称之为 $2f+1$ 权益加权法定人数。网络是部分同步的：在稳定点之前，延迟是任意的；在稳定点之后，诚实验证者之间的延迟有界。 每一轮都有一个指定的主节点。一轮之内，提案依次收集 $2f+1$ 的聚合签名，各阶段在相邻轮次之间流水线化，所以常规情况下，一个区块两次网络往返就达到最终性。在乐观响应性下，推进速度只受实际消息延迟约束；只有当网络处于对抗或分区状态时，pacemaker 的退避才会启动。

​

提交一个顺序

区块内的交易次序被提升成共识提交的对象，不再是执行过程的副产物。区块哈希覆盖已排序的载荷，所以共识之后再重排，提交它的那些签名就全部失效。 效果是：区块一旦最终确定，就有一个 $2f+1$ 权益加权法定人数对这个确切顺序签了名，而且同一轮里，没有哪个诚实验证者会为这批交易的另一种顺序签名。再加上按这个已提交顺序进行的串行执行，确定性重放就从一种实现惯例，变成了任何人都能核验的性质。

​

批次可用性

朴素的协议里，主节点提议的区块，载荷里装着本轮的全部交易，共识消息的大小就这样和吞吐量绑死了。IntentionBFT 把数据传播和排序拆开。 验证者在后台持续传播交易批次。每个批次会被逐一确认，直到发起方能够证明它达到了 $2f+1$ 权益加权的可用性，此后提案才可以引用它——按摘要引用，而不是按内容。吞吐量再高，共识消息都很小；已提交的区块也总是可重放，因为没有哪个区块能引用只握在拜占庭少数方手里的数据。

​

认证价格

验证者同时也是价格观测者，区块携带它据以执行的那组价格。 每个验证者都运行自己的预言机 sidecar，它采集各交易场所的数据，为每个品种产出一个指数价格。验证者取回这个价格，先做校验——包括按配置的阈值检查新鲜度——再签名，然后把已签名的提交作为一条共识网络消息 gossip 给其他验证者。认证价格按纪元和轮次组装，并随区块携带，因此提交这些交易的签名，同时也提交了这些交易据以结算的价格。 拿得出当前轮次有效价格观测的验证者，才有资格提议区块。所以价格可用性是出块的前提条件，不是执行时指望能找到的输入。

​

主节点声誉

主节点按确定性的权益加权轮换逐轮选出，并叠加了一个基于滑动窗口的声誉启发式。验证者反复提案失败——要么是不可用，要么是有对抗行为——在后续选择中就会被降权，槽位转给近期响应良好的验证者。这样一来，不可用的验证者就不会占着分给它的槽位拖住进度。 由于价格观测构成提案资格的门槛，声誉机制还必须避免把主节点资格集中到行情连通性最好的那批验证者手里。一条场所多样性要求——每个品种的观测须取自多个相互独立的来源——堵住了这条路。

​

纪元与重配置

时间按纪元（epoch）组织。一个纪元之内，验证者集合和大多数参数保持不变。到了纪元边界，可以通过一次经治理授权的重配置改动：验证者集合变更、共识参数变更、风险参数更新，以及紧急动作。切换是原子的——每个诚实验证者都在同一个区块高度看到同一次切换。

​

网络拓扑

验证者参与共识。每个验证者都跑完整的技术栈：共识、内存池、一个预言机 sidecar、内核执行和存储。它们是唯一投票的角色。 验证者全节点直接位于验证者之后。它们跟随并执行已提交的区块，但不投票。它们的作用是隔离——吸收公网的读流量和对等连接，使验证者不直接暴露在开放互联网上。 公共全节点是开放的一层。任何人都可以运行一个。它们跟随链、执行已提交的区块、提供读取服务，并为下游系统供数。 客户端——前端、交易智能体、做市商、索引器——连接的是全节点，而不是验证者。需要最低延迟、最完整视图的客户端，会自己跑一个全节点，而不是依赖别人的。 加入网络的节点默认不会从创世块开始重放；新节点如何追上进度，见状态同步。

​

后续阅读