Filecoin检索，土星Saturn.L1节点抵押设计（连载6）

在这份报告中，我们详细介绍了 Saturn 的 L1 节点运营商的抵押机制如何运作以及设计的基本原则。我们还提供了有关如何估算抵押品价值的更多详细信息。

我们应该注意到，我们决定目前不实施抵押品。添加抵押品要求可以有效减少节点运营商的流失。然而，其防止接管攻击的功效很小，这导致除了抵押品外还需要额外的保护。此外，由于从日志检测系统收到的标志而削减抵押品需要支付和日志检测系统更好的可验证性，这是团队仍在努力的方向。

动机和原则

Saturn 是一个分散的节点网络，它们协同工作以快速交付在线内容。这意味着任何满足硬件要求的人都可以加入、贡献资源并从该贡献中收取费用。系统的这种无需许可的性质意味着网络对一系列攻击开放，需要通过正确的激励设计来缓解这些攻击。

这些设计选择之一是当节点操作员被日志检测系统标记时应用惩罚。在第一次迭代中，我们假设运营商不必提交抵押品即可加入网络，相反，我们将从未来的收益中扣除罚款。这一选择的动机是希望减少进入壁垒和鼓励采用。还有一种理解是，该选择将在发布日期后进行审查。

从那时起，Saturn 的 L1 运营商网络得到了广泛采用，因此，我们正处于考虑添加抵押机制的最佳时机。具体而言，这种机制旨在实现以下功能：

涵盖日志检测系统应用的标志可能导致的任何处罚。

利用人类已知的偏见来避免已知的损失（损失厌恶）。换句话说，众所周知，赔钱比没有获得全部潜在回报更具威慑力。

增加接管攻击的成本，在这种情况下，单个运营商会用大量从相同硬件资源提供的节点淹没网络。

增加节点运营商对土星网络的承诺。

阻止运营商离开网络并以新身份加入，免除以前身份的处罚和以前的不良声誉。

因此，简而言之，土星网络中的抵押品服务于两个主要目标——阻止不良行为并增加参与者与网络长期成功的一致性。这个事实很关键——抵押品并不仅仅意味着可能的处罚。相反，它需要提供额外的承诺和安全层。

主要机制

在本节中，我们将讨论启用抵押品的流程以及运营商将如何与之交互。请注意，让流程足够通用，以允许灵活地实施。特别是，我们将讨论与抵押品密切相关的三种主要机制：

运营商入职

因行为不当而被削减

运营商终止和更新

入职

当运营商希望加入土星时，他们将必须经历以下过程：

运营商说明他们的资源和预期的服务水平。这包括说明他们的上传带宽、可用缓存大小和最短时间承诺。

Saturn 根据当前网络性能、奖励池和运营商声明的性能指标来估算他们的预期收益。

Saturn 使用预期收益为运营商提供抵押金额。

运营商将抵押金额发送给 Saturn。

土星检查何时发送抵押品。一旦抵押品得到确认，Saturn 就会开始向运营商发送检索请求。

请注意，我们要求运营商陈述他们自己的绩效指标，这意味着我们相信他们的“话语”来计算抵押品。这似乎会导致节点声明最低要求以支付较少抵押品的现象。然而，这是一把双刃剑，因为我们总是可以将报告的指标与实际交付的服务进行比较。如果运营商报告 10Gbps 的上传速度，我们可以在他们突然提供 12Gbps 服务时标记运营商。另一方面，如果运营商过度承诺，他们将不得不支付更高的抵押品，同时看到他们的奖励根据实际交付的绩效进行调整。

另一个重要的考虑因素是时间投入。为什么我们需要时间承诺？原因有两个：

拥有运营商的前期承诺（以及承诺被打破时的后果）可以带来更稳定和可预测的服务。

有了服务的“结束日期”，我们就可以随着流量和预期回报的变化重新评估抵押品的计算。

最后，我们注意到节点运营商只有在资金发送后才开始接收请求。这是为了避免欺诈性运营商加入网络以破坏运营而无需“下注”一些钱。如果我们允许运营商在提交抵押品之前接收请求，那么这些类型的行为就有了明确的开放空间。

削减

抵押品将在两种不同的情况下被削减：

当节点行为不当并被日志检测系统标记时。

当节点在加入时中断约定的服务（例如，提前离开网络或始终低于规定的指标执行）。

在第一种情况下，我们应用之前设计的惩罚乘数。回想一下，它是操作员平均奖励的乘数。第二种情况，我们对最佳用量没有具体的建议，需要进行一些分析和模拟。

在这两种情况下，都会从运营商的余额中删除一定数量的抵押品。现在，我们有两个选项来处理 case slashing：

我们会停止请求，直到运营商向其抵押品余额中添加更多资金以弥补损失。这是最安全的方法，但它有两个主要缺点，即它会影响服务，因为请求需要路由到其他操作员，并且它会更加惩罚被日志检测系统标记的诚实操作员（我们总是期望某种程度的误报）。

我们使用未来的奖励来补充抵押品余额，但我们会继续向运营商发送请求。这对诚实节点的惩罚较小，但对于未提供良好服务水平的行为不端的节点来说可能是个问题。

另一个重要的问题是被削减的资金会怎样？我们有两个选择：

“烧掉”资金。我们不能从字面上销毁代币，因为它们将是 FIL 代币。然而，我们可以通过将它们发送到不受任何人控制的死地址来在 FVM 中模拟这个概念。

将资金送回主奖励池。我们可以将此解释为对客户的退款，因为该操作的部分资金将由行为不端的运营商提供。

续订和终止

在入职期间，节点运营商说明了他们预计参与土星网络的时间段。一旦该期限结束，节点运营商有两个选择——终止或更新。终止意味着节点将退出网络，停止接收请求和奖励，并将收回抵押品。更新意味着节点将继续在网络中，继续服务请求并获得奖励，并且抵押品将被更新。如果自运营商首次上线以来网络奖励有所增加，则此更新可能需要添加额外资金。

更具体地说，每当一个算子到达承诺期结束时，将执行以下过程：

1.Saturn 重新计算新的抵押金额

2.Saturn 向运营商发送通知，警告承诺期已结束，并告知他们新的抵押品金额。

3.运营商决定他们是否希望续订或终止：

3.1如果运营商希望终止：他们可以提取资金而不受处罚。

3.2如果运营商希望更新：他们可以更新他们的时间承诺——如果这里没有说明，我们假设相同的时间；他们将更新抵押品（如果新要求更高，则添加更多）

4.在预定义的时间 (TBD) 之后，Saturn 将检查抵押品：

4.1如果抵押品小于要求，Saturn 将停止发送请求并且不再支付奖励。

4.2如果抵押品高于或等于要求，土星将继续向运营商发送请求并分配奖励

请注意，除非抵押品要求发生变化，否则默认结果（即如果运营商什么都不做）将是同一承诺期限的续约。这一点很重要，因为它意味着抵押品金额应该有偏差以避免变化。

另一个考虑因素是我们给运营商多少时间来决定和执行终止/更新。如果我们给的时间太少，运营商将无法做出决定，将属于默认选项（可以是续订或终止）。如果时间太多，那么我们允许退出网络的运营商在不更新抵押品的情况下提取额外的奖励。

抵押金额

简约的设计

在极简主义设计中，抵押品保护网络免受流失和接管攻击。我们将从分析第一个目标开始，然后讨论第二个目标。

对于流失，经济论点非常简单——在任何时间点，风险金额（即可能被削减的抵押品金额）需要大于继续运行 L1 节点操作的成本。如果金额较小，则离开网络的成本将小于继续在网络上的成本。

之前的分析表明，运行一个 L1 节点的每月成本在 1000 美元到 3000 美元之间。如果我们假设这些成本在整个月内呈线性分布，如果我们选择最悲观的成本（3000 美元），如果我们将 FIL 的价格设为 5 美元，我们将得到以下 FIL 最低抵押品的公式：

其中\(d\)是时间承诺结束前的天数。例如，如果时间承诺缺少 15 天，则责任金额至少需要\(\frac{600 \cdot 15}{30} = 300 \text{ FIL}\) 。

如果我们认为继续运营意味着获得奖励，那么运营商将始终被激励继续运营直到时间承诺结束。

通过这个论证，我们同时得到了两件事：

新运营商需要提供的抵押品价值。这是相同的公式，\(d\)现在是运营商承诺网络的天数。

如果运营商决定提前离开，将被削减的金额。

极简设计的第二个目标是让接管攻击者更难。为了评估所提议公式的有效性，我们根据以下假设计算接管攻击的成本：

加入网络的最低抵押品为 600 FIL（或 3000 美元）。这假设最短时间承诺是一个月，并且我们使用前面描述的抵押品公式。

Saturn 网络中合法节点的数量在 150 到 500 之间变化。

攻击者的目标是控制 1% 的网络。（为什么这么少？因为请求是基于区域路由的，总会有一些区域的节点较少）

攻击者使用给定数量的新节点加入网络，支付抵押品，并通过性能不佳严重影响用户体验。Out 系统会相当快地检测到此类攻击者，并且攻击者会被踢出网络，而不会收到他们的抵押品。因此，他们丢失了所有张贴的抵押品。

从图中我们可以看出，在网络规模为 150 个节点（这是上线后第一个月的网络规模）的情况下，这种设计导致接管成本低于 1000 FIL（5000 美元），即如果我们考虑 Saturn 网络的潜在价值，这个数字相当低。此外，如果我们考虑到单个节点可能会影响不太受欢迎的国家/地区的性能（这将导致仅 600 FIL 的接管成本），我们得出结论，抵押品并不是抵御这些攻击的有力保护措施，而网络尺寸仍然很小。这凸显了一个事实，即我们需要建立早期检测系统，因为我们不能完全依赖经济论据。

如果网络规模增加三倍，接管成本将增加到 3000 FIL（或 15,000 美元）。这是一个更可观的成本，但当我们考虑其他去中心化网络（如以太坊或 Filecoin）的接管成本时，它仍然很低。