Ein neuer Satz von maschinengeprüften Beweisen, der am 21. Juli 2026 auf Ethereum Research veröffentlicht wurde, treibt die formale Theorie der domänenübergreifenden Zustandserhaltung deutlich voran – und die Implikationen reichen weit über die akademische Verifikation hinaus. Die Arbeit mechanisiert die Komposition von Erhaltungskarten zwischen Synchronisationsdomänen und schichtet sie nach Kopplungsbreite, wobei Isabelle/HOL als Beweis-Engine verwendet wird. Am Ende entsteht nicht nur eine Sammlung von Theoremen, sondern eine wiederverwendbare, „sorry“-freie Verifikationsbasis, die jede Bridge, jeder Rollup-Exit, jeder Shared Sequencer oder jede permissionierte Settlement-Strecke direkt erfüllen kann.
Summary
Wichtigste Erkenntnisse
- Erhaltungskarten zwischen Zustandsmaschinen bilden eine vollständige Kategorie – Identität, Komposition und Assoziativität sind alle in Isabelle/HOL maschinell geprüft.
- Die regulatorische Zustandsmaschine läuft über fünf Zustände, sieben Aktionen und zwölf gültige Transitionen und kodiert die Semantik rechtlicher Handlungen direkt in die Transitionsrelation.
- Die Synchronisationsstärke wird als ein Funktorturm modelliert, der nach Kettenbreite graduiert ist; das Vergessen der Bestände der obersten Kette wird als natürliche Transformation bewiesen.
- Die Mechanisierung wird als „sorry“-freier Isabelle/HOL-Build veröffentlicht und ist öffentlich verfügbar.
Mechanisierte Komposition von Erhaltungskarten und Kategoriestruktur
Das zentrale formale Ergebnis ist einfach zu formulieren und in seiner Bedeutung kaum zu überschätzen: Erhaltungskarten zwischen Zustandsmaschinen bilden eine Kategorie. Drei Theoreme – preservation_id, preservation_compose und preservation_assoc – statten diese Karten jeweils mit Identität, abgeschlossener Komposition und Assoziativität aus, alle verifiziert über generische Isabelle/HOL-Locales für beliebige Zustandsmaschinen.
Warum ist die Kategoriestruktur hier wichtig? Weil sie Link-für-Link-Argumentation über beliebig lange Ketten interoperierender Systeme erlaubt. In einer Sequenz mit einem Rollup-Segment, einer Basisschicht und einer permissionierten Settlement-Strecke folgt die Ende-zu-Ende-Erhaltungskarte aus den einzelnen Verknüpfungen, ohne dass ein neuer Beweis erforderlich ist. Assoziativität bedeutet, dass die Gruppierung der Hops für die Garantie irrelevant ist. Wenn eine Ende-zu-Ende-Eigenschaft fehlschlägt, muss mindestens eine Verpflichtung pro Link verletzt worden sein – die Zerlegung organisiert die Diagnose, auch wenn sie sie nicht automatisch durchführt.
Die Mechanisierung ist als Satz generischer Locales aufgebaut, was bedeutet, dass die Gesetze direkt von jeder Domäne wiederverwendet werden können, die die Locale-Verpflichtungen erfüllt. Diese Designentscheidung trennt das formale Rahmenwerk von jedem spezifischen Protokoll und macht die Basis im gesamten Rollup-Ökosystem portabel.
Modellierung regulatorischer Zustandsübergänge mit einer Fünf-Zustände-Maschine
Regulatorische Transitionen sind in diesem Modell keine abstrakten Labels. Die mechanisierte Instanz läuft über einen Fünf-Zustände-, Sieben-Aktionen-Raum mit zwölf gültigen Transitionen aus syntaktisch möglichen fünfunddreißig Aktionspaaren – und diese Dünnheit ist der Punkt. Eine Beschlagnahme, die auf einen Vermögenswert angewendet wird, der sich bereits in einem konfiszierten Zustand befindet, ist rechtlich bedeutungslos; das Modell weist sie auf der Ebene der Transitionsrelation zurück, anstatt die Einschränkung der Laufzeitkonvention zu überlassen.
Rechtliche Semantik in Transitionsbeschränkungen widergespiegelt
Eskalation ist gerichtet, ein Zustand ist terminal (formalisiert als confiscated_terminal), und Erhaltung wird als Interpretation eines heterogenen Aktions-Locales behandelt. Erhaltung trägt damit konkretes rechtliches Gewicht: Die Wirkung, die eine regulatorische Transition erzeugt, muss den Übergang zwischen Domänen überdauern. Ein eingefrorener Vermögenswert kann auf der empfangenden Seite nicht lediglich eingeschränkt ankommen.
Die Mechanisierung ist bewusst begrenzt. Ein Entwurf für einen Standards-Track-Vorschlag, ERC-8319, der derzeit auf Ethereum Research geprüft wird, liefert die öffentliche Taxonomie rechtlich unterschiedlicher Handlungen, die diese spezielle Instanz motiviert hat – aber die Mechanisierung implementiert ERC-8319 nicht, und ERC-8319 schreibt keine spezifische Zustandsmaschine vor. Die beiden Ebenen sind bewusst getrennt.
Synchronisationsgrade als Funktorturm, graduiert nach Kettenbreite
Nicht jeder Vermögenswert in einem domänenübergreifenden System benötigt die gleiche Synchronisationsstärke, und der Funktorturm formalisiert diese Heterogenität. Der Zustandsraum ist nach Kettenbreite graduiert: Für jedes Niveau k enthält ein Träger alle globalen Zustände, deren Vermögensbestände auf den Ketten 0 bis k liegen, verankert an der Hub-Kette 0. Dies ergibt einen Funktor pro Niveau, und der Index formalisiert, was das Modell Kopplungsbreite nennt.
Satz zur natürlichen Transformation beim Vergessen der Bestände der obersten Kette
Zwischen benachbarten Niveaus verwirft die Abbildung degree_forget die Bestände der obersten Kette. Der zentrale Satz – degree_natural_transformation – beweist, dass diese Abbildung natürlich ist: Das Vergessen der Bestände der obersten Kette kommutiert mit jeder regulatorischen Transition. Kompositionen dieser Projektionsabbildungen sind wiederum natürlich, sodass die Projektion auf ein beliebiges niedrigeres Niveau in einem Schritt oder über viele rechtmäßig ist.
Eine konkrete Spur illustriert, was das bedeutet. Man nehme einen Vermögenswert auf den Ketten 0 bis 2 und eine darauf bezogene Einfrierung. Die Anwendung der Einfrierung bei Breite 2 und anschließendes Vergessen von Kette 2 führt in denselben Zustand wie das Vergessen von Kette 2 zuerst und dann die Anwendung der Einfrierung bei Breite 1. Die Projektion auf einen engeren Kontext kann keine regulatorische Historie erzeugen, die derjenigen widerspricht, die der engere Kontext hätte beobachten sollen. Die Arbeit weist ausdrücklich darauf hin, dass ein Live-Exit-Protokoll mit Verzögerungen, Wiederholungen und Mitgliederwechseln ein Kandidatenanwendungsfall dieses Gesetzes ist – und nur das; es wird nicht behauptet, dass ein spezifisches Protokoll das Modell verfeinert.
Modellannahmen, deklarierte Grade von Vermögenswerten und verfügbare Artefakte
Einzelne Hub-Kette als Anker und Implikationen für Multi-Hub-Szenarien
Die Natürlichkeitsergebnisse beruhen auf einer Single-Hub-Topologie: Hub-Kette 0 wird auf keinem Niveau vergessen, und Zulässigkeit ist durchgängig an sie gekoppelt. Nichts im aktuellen Rahmenwerk bezieht sich auf Multi-Hub-Konfigurationen oder sich ändernde Kopplungstopologien. Diese Grenze ist kein kleiner Vorbehalt – sie ist eine strukturelle Einschränkung dafür, wo die aktuellen Theoreme gelten.
Vermögenswerte tragen feste Synchronisationsgrade bei Emission, dynamische Änderungen offen
Das Modell behandelt statische Neuzuordnungen von Graden zwischen Synchronisationszyklen, aber Gradänderungen während eines laufenden Zyklus liegen ausdrücklich außerhalb des Modells. Die Theoreme sind agnostisch in Bezug darauf, wann ein Grad deklariert wird; die produktgestalterische Lesart – Deklaration bei Emission – ist eine Instanziierung, keine Theoremaussage. Was passiert, wenn sich der Grad eines Vermögenswerts ändert, während ein Synchronisationszyklus im Gange ist, und welcher Grad diesen Zyklus bestimmt, ist eine offene Frage, die die Autoren direkt hervorheben.
Offene Fragen und Einschränkungen bei der domänenübergreifenden Zustandserhaltung
Die Autoren sind offen darin, wo der Rahmen endet. Vier offene Fragen werden explizit genannt, und sie sind nicht peripher – jede stellt eine Lücke dar, die den Geltungsbereich des aktuellen Modells in praktisch wichtigen Dimensionen einschränkt.
- Regeln für aggregierte Grade: Wenn Einheiten mit unterschiedlichen deklarierten Graden eine Vermögenswertkennung teilen, welche konservativen Aggregationsregeln sind solide und zu welchem Preis für Fungibilität und Ausdrucksstärke? Die Mechanisierung beweist keine Multi-Asset-Join-Regel.
- Dynamische Höherstufung: Wenn sich ein deklarierter Grad ändert, während ein Synchronisationszyklus im Gange ist, welcher Grad bestimmt diesen Zyklus und wo muss die Übergangsgrenze gezogen werden?
- Multi-Hub-Natürlichkeit: Das aktuelle Ergebnis erhält Hub-Kette 0. Welche zusätzliche Struktur würde Natürlichkeit über mehrere Hubs oder eine sich ändernde Kopplungstopologie wiederherstellen?
- Verpflichtungsgrenzen: Welche Gesetze gehören in eine öffentliche Spezifikation, welche sollten durch Implementierungskonformität erfüllt werden und welche bleiben Gestaltungsempfehlungen?
Das Fungibilitätsproblem verdient besondere Aufmerksamkeit. Der Funktorturm erfordert keine Provenienz auf Los-Ebene – Natürlichkeitsquadrate indexieren Transitionen nach regulatorischer Aktion, Vermögenswertkennung und Kettenbreite und verfolgen nichts darüber, welche Einheiten woher kamen. Er setzt jedoch eine stabile Vermögenswertkennung mit einer wohldefinierten Gradzuweisung voraus. Das Vermischen von Einheiten mit unterschiedlichen deklarierten Graden unter einer Kennung liegt außerhalb der Typgrenze des Modells. Zwei Reparaturen sind sichtbar – gebucketete Kennungen oder ein konservativer aggregierter Grad, der alle Einheitendeklarationen dominiert – aber beide haben Kosten: Gebucketete Kennungen zersplittern die Fungibilität, bis Buckets auslaufen, während ein einzelner aggregierter Grad die Verpflichtungen für einen gesamten Saldo auf Basis seiner Komponente mit dem höchsten Grad ausweitet.
Was die Arbeit letztlich beiträgt, ist ein formal verifiziertes Skelett, auf das operationale Protokollhierarchien aufgesetzt werden können – sobald die Verfeinerung von Kettenbreite zu operationalen Gradsemantiken etabliert ist. Diese Verfeinerung ist noch nicht abgeschlossen. Das Skelett ist solide; darauf aufzubauen erfordert nun, genau zu wissen, wo sein Fundament endet.
FAQ
Was ist der Hauptbeitrag der vorgestellten Mechanisierung?
Sie mechanisiert die Komposition von Erhaltungskarten zwischen Zustandsmaschinen, beweist, dass sie eine Kategorie mit Identität, Komposition und Assoziativität bilden – alles in Isabelle/HOL verifiziert – und schichtet sie mithilfe eines Funktorturms nach Kopplungsbreite.
Wie werden regulatorische Zustandsübergänge in der Studie modelliert?
Sie werden als Fünf-Zustände-, Sieben-Aktionen-Maschine mit zwölf gültigen Transitionen modelliert, die die Semantik rechtlicher Handlungen direkt in die Transitionsrelation kodiert, sodass rechtlich bedeutungslose Operationen – wie die Beschlagnahme eines bereits konfiszierten Vermögenswerts – auf Modellebene zurückgewiesen werden, anstatt der Laufzeitkonvention überlassen zu bleiben.
Was stellt der Funktorturm bei den Synchronisationsgraden dar?
Er stellt eine graduierte Struktur der Synchronisationsstärke dar, indexiert nach Kettenbreite, wobei das Vergessen der Bestände der obersten Kette als natürliche Transformation bewiesen wird, die mit jeder regulatorischen Transition kommutiert – was bedeutet, dass die Projektion auf einen engeren Kontext der regulatorischen Historie, die dieser Kontext hätte sehen sollen, nicht widersprechen kann.
Welche Annahmen trifft das Modell hinsichtlich Netzwerktopologie und Synchronisationsgraden von Vermögenswerten?
Das Modell nimmt eine einzelne Hub-Kette 0 als topologischen Anker an; Multi-Hub-Konfigurationen und sich ändernde Topologien liegen außerhalb der aktuellen Ergebnisse. Synchronisationsgrade von Vermögenswerten sind bei Emission festgelegt und werden innerhalb eines Zyklus als statisch behandelt; dynamische Gradänderungen während laufender Synchronisationszyklen bleiben ein offenes Problem.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was ist der Hauptbeitrag der vorgestellten Mechanisierung?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Sie mechanisiert die Komposition von Erhaltungskarten zwischen Zustandsmaschinen, beweist, dass sie eine Kategorie mit Identität, Komposition und Assoziativität bilden – alles in Isabelle/HOL verifiziert – und schichtet sie mithilfe eines Funktorturms nach Kopplungsbreite.“}},{„@type“:“Question“,“name“:“Wie werden regulatorische Zustandsübergänge in der Studie modelliert?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Sie werden als Fünf-Zustände-, Sieben-Aktionen-Maschine mit zwölf gültigen Transitionen modelliert, die die Semantik rechtlicher Handlungen direkt in die Transitionsrelation kodiert, sodass rechtlich bedeutungslose Operationen – wie die Beschlagnahme eines bereits konfiszierten Vermögenswerts – auf Modellebene zurückgewiesen werden, anstatt der Laufzeitkonvention überlassen zu bleiben.“}},{„@type“:“Question“,“name“:“Was stellt der Funktorturm bei den Synchronisationsgraden dar?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Er stellt eine graduierte Struktur der Synchronisationsstärke dar, indexiert nach Kettenbreite, wobei das Vergessen der Bestände der obersten Kette als natürliche Transformation bewiesen wird, die mit jeder regulatorischen Transition kommutiert – was bedeutet, dass die Projektion auf einen engeren Kontext der regulatorischen Historie, die dieser Kontext hätte sehen sollen, nicht widersprechen kann.“}},{„@type“:“Question“,“name“:“Welche Annahmen trifft das Modell hinsichtlich Netzwerktopologie und Synchronisationsgraden von Vermögenswerten?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Das Modell nimmt eine einzelne Hub-Kette 0 als topologischen Anker an; Multi-Hub-Konfigurationen und sich ändernde Topologien liegen außerhalb der aktuellen Ergebnisse. Synchronisationsgrade von Vermögenswerten sind bei Emission festgelegt und werden innerhalb eines Zyklus als statisch behandelt; dynamische Gradänderungen während laufender Synchronisationszyklen bleiben ein offenes Problem.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
