一种28nm、8.3mm2、76.9μJ/配对运算的编译器驱动密码处理器：面向混合ZKP-PBC应用，采用软硬件协同设计

《IEEE Journal of Solid-State Circuits》：A 28-nm, 8.3-mm2, 76.9-μJ/Pairing Compiler-Driven Crypto-Processor for Hybrid ZKP–PBC Application With Software–Hardware Co-Design

　　摘要：零知识证明（ZKP）是最受欢迎的隐私保护方案之一，它使证明者能够向验证者证明某个陈述的正确性，而无需泄露任何私人信息。其中，基于配对的简洁非交互式知识论证（zkSNARK），如 Groth16 和 Plonk，凭借简洁的证明大小和常数时间验证的特点，已被广泛部署于一个前景广阔的生态系统中。然而，证明生成中随着应用规模快速增长的繁重运算，以及需要昂贵配对运算的频繁验证，严重阻碍了其更广泛的采用。此外，还有许多其他基于配对构建的密码学方案，例如 Boneh–Lynn–Shacham（BLS）签名、函数加密（FE）、基于身份的加密（IBE）等。遗憾的是，现有的基于综合的 ZKP 加速器存在面积效率低下和操作符覆盖不完整的问题，导致整体加速效果不佳且部署成本高昂。本工作提出了首个经硅片验证的密码处理器，支持完整的证明生成/验证阶段，并且能够适应其他基于配对的密码学（PBC）应用。为实现高灵活性同时保持成本效益，我们在算法、架构和编译器层面采用了整体优化，包括混合粒度指令集、专用内存系统、可重构数据通路、自定义配对编译器和利用率导向的时序调度。该处理器采用 28nm CMOS 工艺制造，覆盖所有相关操作符，与先前的基于综合的工作 LegoZK 相比，实现了 6.4 倍的面积缩减，这使其目前成为 ZKP–PBC 应用实际部署中最具成本效益的候选方案。作为案例研究，该处理器执行 2^16 门证明生成/验证的功耗分别为 0.15 焦耳/0.11 毫焦耳，相比 14 核 2.4GHz CPU 提供了两个数量级的节能效果。对于配对操作符，它实现了开发敏捷性，以启用快速……