一组新的机器校验证明于 2026 年 7 月 21 日发布在 Ethereum Research 上，将跨域状态保持的形式化理论实质性向前推进——其影响远远超出学术验证本身。该工作将不同同步域之间的保持映射的组合机械化，并按耦合广度对其分层，使用 Isabelle/HOL 作为证明引擎。最终产出不仅是一组定理，而是一套可复用、无 sorry 的验证基础，任何桥接、Rollup 退出、共享排序器或许可结算腿都可以直接据此完成证明义务。
Summary
关键要点
- 状态机之间的保持映射构成一个完备范畴——恒等、复合与结合律都在 Isabelle/HOL 中通过机器校验。
- 监管状态机运行在五种状态、七种动作和十二条有效转换之上，将法律行为语义直接编码进转换关系。
- 同步强度被建模为一个按链宽度分级的函子塔；证明了遗忘最顶层链持仓是一个自然变换。
- 该机械化以无 sorry 的 Isabelle/HOL 构建形式发布并公开可用。
保持映射的机械化组合与范畴结构
核心形式化结果易于表述，却难以高估其重要性：状态机之间的保持映射构成一个范畴。三个定理——preservation_id、preservation_compose 和 preservation_assoc——分别赋予这些映射恒等、封闭复合与结合性，且全部通过针对任意状态机的通用 Isabelle/HOL locale 得到验证。
范畴结构在这里为何重要？因为它为任意长的互操作系统链条提供了逐链路推理的正当性。在一个包含 Rollup 腿、基础层和许可结算腿的序列中，端到端的保持映射可以由各个链路单独的映射推得，而无需重新证明。结合律意味着跳跃的分组方式与保证本身无关。当某个端到端性质失效时，至少有一个逐链路义务必然失败——这种分解组织了诊断过程，即便它并不会自动执行诊断。
该机械化被构建为一组通用 locale，这意味着只要某个领域满足 locale 义务，其定律即可被直接复用。这样的设计将形式化框架与任何具体协议解耦，使这一基础可以在整个 Rollup 生态中移植。
用五状态机建模监管状态转换
在该模型中，监管转换并非抽象标签。机械化实例运行在一个五状态、七动作、十二条有效转换的空间上，在语法上可能的三十五个动作对中仅有十二个有效——而这种稀疏性正是重点。对已处于没收状态的资产再次执行查封在法律上毫无意义；模型在转换关系层面就将其拒绝，而不是把这一约束留给运行时约定。
在转换约束中反映法律语义
升级是有方向的，其中一个状态是终止态（形式化为 confiscated_terminal），而保持被视为异质动作的 locale 解释。由此保持具有了具体的法律分量：监管转换所产生的效果必须在跨域传递中被保留下来。被冻结的资产不可能在接收端仅以“受限”状态出现。
该机械化的范围是刻意限定的。一份目前在 Ethereum Research 上审议中的标准轨提案 ERC-8319，给出了促成这一具体实例的、公开的法律行为分类——但机械化本身并未实现 ERC-8319，而 ERC-8319 也并不强制任何特定状态机。这两层是有意分离的。
作为按链宽度分级函子塔的同步程度
跨域系统中的并非每一类资产都需要相同的同步强度，而函子塔形式化了这种异质性。状态空间按链宽度分级：对每个层级 k，其载体包含所有资产持仓仅分布在 0 到 k 号链上的全局状态，并以 0 号枢纽链为锚。这为每个层级给出一个函子，而该索引形式化了模型所称的耦合广度。
遗忘最顶层链持仓的自然变换定理
在相邻层级之间，映射 degree_forget 会丢弃最顶层链的持仓。核心定理——degree_natural_transformation——证明该映射是自然的：遗忘最顶层链持仓与每一个监管转换可交换。这些投影映射的复合仍然是自然的，因此投影到任意更低层级，无论一步还是多步，都是合法的。
一个具体轨迹可以说明其含义。取一份分布在 0 至 2 号链上的资产以及与之关联的冻结操作。在宽度为 2 的层级上先应用冻结再遗忘 2 号链，与先遗忘 2 号链再在宽度为 1 的层级上应用冻结，最终落入同一状态。投影到更窄的上下文不可能产生与该上下文本应观察到的监管历史相矛盾的结果。论文明确指出，带有延迟、重试和成员变更的实时退出协议是该定律的候选应用场景——仅仅是候选；并未声称有任何具体协议精化了该模型。
模型假设、资产声明的同步度以及可用工件
单一枢纽链锚定及其对多枢纽场景的影响
自然性结果建立在单枢纽拓扑之上：0 号枢纽链在任何层级都不会被遗忘，且可接受性始终锚定于此。当前框架对多枢纽配置或变化的耦合拓扑并无论述。这一边界并非轻微的附注——而是对当前定理适用范围的结构性约束。
资产在发行时携带固定同步度，动态变更仍待解决
模型可以处理在同步周期之间对度数的静态重新分配，但在实时周期中发生的度数变更被明确排除在模型之外。定理对度数何时被声明保持中立；从产品设计角度的解读——在发行时声明——只是其中一种实例化，而非定理陈述。资产的度数在某个同步周期进行中发生变化时会怎样，以及该周期应受哪一个度数约束，是作者直接标出的一个开放问题。
跨域状态保持中的开放问题与局限
作者坦率地说明了框架的边界所在。文中明确列出了四个开放问题，它们并非边缘议题——每一个都代表着在实际重要维度上限制当前模型适用范围的缺口。
- 聚合度数规则：当具有不同声明度数的单位共享同一资产标识符时，哪些保守的聚合规则在何种可替代性与表达力代价下是可靠的？机械化并未证明任何多资产合并规则。
- 动态提升：如果声明度数在某个同步周期进行中发生变化，该周期应受哪一个度数约束，以及转换边界应当放置在何处？
- 多枢纽自然性：当前结果保持 0 号枢纽链。要在多枢纽或变化的耦合拓扑下恢复自然性，还需要哪些额外结构？
- 义务边界：哪些定律应写入公共规范，哪些应由实现层面的符合性来完成，哪些则仍然只是设计指导？
可替代性问题尤其值得关注。函子塔并不要求逐批次来源追踪——自然性方块按监管动作、资产标识符与链宽度对转换进行索引，而不追踪具体单位来自何处。但它确实预设了一个具有明确定义度数分配的稳定资产级标识符。将不同声明度数的单位混合在同一标识符之下，超出了模型的类型边界。可以看到两种修补方式——分桶标识符，或一个支配所有单位声明的保守聚合度数——但二者都带来代价：分桶标识符会在桶退役前打碎可替代性，而单一聚合度数则会基于最高度数组件，为整个余额扩大义务范围。
该工作最终贡献的是一个经过形式化验证的骨架，未来可以在其上安置运行中的协议层级——前提是已经建立起从链宽度到运行度数语义的精化关系。这一精化尚未完成。骨架本身是可靠的；在其上继续构建则需要精确知道它的“地板”在哪里结束。
常见问题
该机械化工作的主要贡献是什么？
它将状态机之间保持映射的组合机械化，证明这些映射构成一个具有恒等、复合与结合律的范畴——全部在 Isabelle/HOL 中完成机器验证——并通过一个函子塔按耦合广度对其进行分层。
研究中如何建模监管状态转换？
它们被建模为一个具有五种状态、七种动作和十二条有效转换的状态机，将法律行为语义直接编码进转换关系，从而使得在法律上毫无意义的操作——例如对已被没收的资产再次执行查封——在模型层面就被拒绝，而不是留给运行时约定。
在同步度中，函子塔代表什么？
它代表一个按链宽度索引的分级同步强度结构，其中遗忘最顶层链持仓被证明为一个与每个监管转换可交换的自然变换——这意味着投影到更窄的上下文不会与该上下文本应看到的监管历史相矛盾。
模型在网络拓扑和资产同步度方面做了哪些假设？
模型假设单一 0 号枢纽链作为拓扑锚点；多枢纽配置和变化的拓扑不在当前结果范围内。资产同步度在发行时被固定，并在一个周期内被视为静态；在实时同步周期中发生的度数动态变更仍是一个开放问题。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”该机械化工作的主要贡献是什么？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”它将状态机之间保持映射的组合机械化，证明这些映射构成一个具有恒等、复合与结合律的范畴——全部在 Isabelle/HOL 中完成机器验证——并通过一个函子塔按耦合广度对其进行分层。”}},{“@type”:”Question”,”name”:”研究中如何建模监管状态转换？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”它们被建模为一个具有五种状态、七种动作和十二条有效转换的状态机，将法律行为语义直接编码进转换关系，从而使得在法律上毫无意义的操作——例如对已被没收的资产再次执行查封——在模型层面就被拒绝，而不是留给运行时约定。”}},{“@type”:”Question”,”name”:”在同步度中，函子塔代表什么？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”它代表一个按链宽度索引的分级同步强度结构，其中遗忘最顶层链持仓被证明为一个与每个监管转换可交换的自然变换——这意味着投影到更窄的上下文不会与该上下文本应看到的监管历史相矛盾。”}},{“@type”:”Question”,”name”:”模型在网络拓扑和资产同步度方面做了哪些假设？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”模型假设单一 0 号枢纽链作为拓扑锚点；多枢纽配置和变化的拓扑不在当前结果范围内。资产同步度在发行时被固定，并在一个周期内被视为静态；在实时同步周期中发生的度数动态变更仍是一个开放问题。”}}]}
本文由人工智能协助生成，并由编辑团队审核。
