技术深度解析
Halo2的架构堪称工程权衡的典范。它并非单一协议，而是一个构建在PLONKish范式之上的框架，该范式泛化了原始的PLONK（Permutations over Lagrange-bases for Oecumenical Noninteractive arguments of Knowledge）协议。其关键创新在于自定义门和查找表系统。与标准Plonk将所有约束强制到一组固定门（例如加法和乘法）不同，Halo2允许电路设计者定义任意多项式约束。这是通过将电路划分为不同的“区域”来实现的，每个区域应用不同的门集合，然后使用选择器多项式按行启用或禁用这些门。
多项式承诺方案： Halo2使用基于内积论证（IPA）的多项式承诺方案。这是一个关键的设计选择。IPA承诺是透明的（无需可信设置），并且具有后量子抗性，因为它依赖于离散对数假设而非配对。然而，它们会产生更大的证明（O(log n)大小，通常为几千字节），并且验证速度比Plonk中使用的KZG等基于配对的方案更慢。验证时间与承诺数量呈线性关系，这可能会成为大型电路的瓶颈。
递归证明： 该系统的真正威力在于其对递归证明的原生支持。Halo2证明可以在电路内部验证另一个Halo2证明，使用椭圆曲线循环（例如Pallas和Vesta）。这实现了“证明压缩”——可以将由许多小证明组成的链聚合为一个紧凑的单一证明。正是这种机制使Zcash的“Orchard”屏蔽池能够高效扩展，也是Scroll用来将数千笔Layer2交易批量处理为单个有效性证明的相同机制。
性能基准测试： 下表比较了Halo2与Groth16和标准Plonk在代表性电路（例如，包含256位域元素的Merkle树包含证明）上的性能特征：
| 证明系统 | 证明大小 | 证明时间（单核） | 验证时间 | 是否需要可信设置 | 递归证明支持 |
|---|---|---|---|---|---|
| Groth16 | ~200字节 | 1.2秒 | 2毫秒 | 是（每个电路） | 否（朴素实现） |
| Plonk (KZG) | ~1.5 KB | 2.5秒 | 5毫秒 | 是（通用） | 是（通过自定义电路） |
| Halo2 (IPA) | ~3 KB | 4.0秒 | 15毫秒 | 否 | 是（原生，高效） |
数据要点： Halo2以更大的证明大小和更慢的证明/验证时间，换取了无需可信设置和原生递归证明支持这两个关键优势。对于Zcash和Scroll这类将信任最小化和证明聚合置于首位的应用，这些权衡是可以接受的。对于高频、低延迟的应用（例如中心化交易所的偿付能力证明），Groth16仍然更优。
GitHub生态系统： 参考实现由Electric Coin Company在`zcash/halo2`仓库中维护。截至本文撰写时，该项目拥有908颗星和一个活跃的开发分支。一个值得注意的分支是`scroll-tech/halo2`，它包含针对EVM兼容性的优化以及用于zkEVM的自定义查找表。以太坊基金会PSE团队的`privacy-scaling-explorations/halo2`仓库还包含用于ECDSA签名验证和SHA-256哈希的实验性小工具，扩展了Halo2在加密货币之外的适用性。
关键参与者与案例研究
Zcash (Electric Coin Company)： Zcash是Halo2最早且最成熟的采用者。于2022年推出的“Orchard”屏蔽池完全使用Halo2。这取代了较早的Sprout和Sapling池，后者分别依赖BCTV14和Groth16证明系统，两者都需要多方参与的可信设置仪式。迁移到Halo2消除了对该仪式的需求，这是一个重大的信任去中心化里程碑。由Sean Bowe和Daira Hopwood领导的Zcash工程团队贡献了Halo2的核心代码以及使递归高效的曲线循环（Pallas/Vesta）。他们的策略是将Halo2作为一个长期、自主的证明系统，不依赖外部参数。
Scroll： Scroll是一个以太坊Layer2 zkEVM（零知识以太坊虚拟机），使用Halo2作为其证明后端。Scroll的选择具有战略意义：他们需要一个灵活的电路编译器来处理EVM操作码的巨大复杂性，而Halo2的自定义门架构使他们能够将每个操作码实现为专门的组件。Scroll团队为Halo2贡献了重要的优化，包括一种“分块”证明方法，将大型EVM执行轨迹拆分为更小、可并行化的电路。这将在高端GPU集群上生成完整以太坊区块的端到端证明时间从数小时缩短至30分钟以内。Scroll的测试网已处理超过1亿笔交易，证明了Halo2在规模上的能力