區塊鏈共識機制入門：想搞懂工作量證明、權益證明與拜占庭容錯，先理解它們的運作原理和取捨

共識機制要解決的，是一班互不信任的電腦怎樣寫同一本帳

區塊鏈的帳本不是放在某一台中央伺服器上，每個節點各自保存一份完整副本。用戶把交易廣播出去，節點先按規則檢查簽名、餘額、格式，合格的就丟進自己的待處理池。真正的難題在下一步：誰有資格把這批交易打包成下一個區塊？打包完之後，其他節點憑什麼接受？如果有人同時打包了兩個內容衝突的區塊，大家聽誰的？

傳統資料庫靠管理員裁決，寫入權限集中在單一機構手上，出了爭議由它說了算。區塊鏈把這個角色拿走了，代價是必須用演算法代替裁判。偏偏網路本身不可靠：訊息會延遲、會丟失、節點會當機重啟，鏈路上任何一台機器都可能被入侵之後發出假訊息。Lamport、Shostak 與 Pease 在 1982 年發表的《The Byzantine Generals Problem》論文用一個軍事隱喻描述過這類場景——幾位將軍分散在城外，只能靠信差傳令，其中可能有叛徒故意傳錯指令，忠誠的將軍要怎樣一致地決定同時進攻或同時撤退。那篇論文證明，如果訊息只能用口頭傳遞、無法驗證來源，只有在忠誠者超過三分之二時才存在可行演算法；換句話說，要容忍 f 個叛徒，全體人數至少得是 3f+1。後來 Fischer、Lynch 與 Paterson 又證明，在完全非同步、且允許一顆節點停止回應的網路裡，連這種等級的一致性都無法用確定性演算法保證。兩道結論合起來，說明實務上的共識機制一定得在某處讓步：放寬時序假設、限制參與者數量，或者引入經濟誘因，把「說謊」變成一件要付代價的事。

把拜占庭問題翻譯成區塊鏈的語言，共識機制要同時回答三件事：這一輪由誰提出區塊；其他節點用什麼標準判斷要不要接受；有人違規時要付什麼代價。工作量證明、權益證明、拜占庭容錯這幾類演算法，差別就在它們對這三題給出完全不同的答案，因此換來不同的成本結構與安全邊界。

工作量證明：把帳本安全押在燒掉的電力上

比特幣白皮書在 2008 年提出的做法，是把「誰有權寫下一個區塊」變成一道拍賣題：誰先解出一個沒有捷徑的數學題，誰就拿到這一輪的記帳權，並附帶一筆新發行的比特幣與手續費作為報酬。解題的過程本身沒有任何價值，它的唯一作用是把「我要改寫歷史」這件事變得極度昂貴。

雜湊謎題是怎樣一道題

礦工把前一個區塊的雜湊值、這批交易的摘要、時間戳，再加上一個可以隨意填寫的數字 nonce，全部接起來做一次雜湊運算。雜湊函數的特性是輸入改一個位元，輸出的結果就面目全非，而且沒法從輸出反推輸入。礦工的目標是讓算出來的雜湊值小於某個目標值——換句話說，結果前面要有一串指定數量的零。除了不停換 nonce 硬試，沒有更聰明的辦法。

這件事之所以能維持穩定出塊，靠的是難度調整。比特幣每 2016 個區塊會回看一次全網實際用了多少時間出塊，如果比預設的兩週快，就把目標值收緊，讓題目變難；慢了就放寬。全網算力上升時，單一礦工的勝率下降，但難度會跟著調整，把出塊時間拉回十分鐘左右——Bitcoin Policy Institute 的專文也把這套每兩週一次的自動校正視為網路穩定性的核心。難度調整是工作量證明最容易被忽略、卻最關鍵的零件，它讓一個參與者數量不斷變動的開放網路，維持近乎機械般的節奏。

誰的鏈才算數

礦工各自打包，難免會出現兩個礦工幾乎同時找到合格區塊，並且把它們廣播給不同的鄰居。網路會短暫分裂成兩條分支，一部分節點認為 A 是下一個區塊，另一部分認為是 B。此時規則很簡單：累計工作量最大的那條鏈算數。礦工接著會選擇在自己看到的那條鏈上繼續挖，隨著其中一條先延長，另一條會被丟棄，在上面確認過的交易會退回待處理池，等下一輪重新打包。

這就是所謂的「臨時分叉」和「鏈重組」。也因為有重組的可能，交易所收到大額轉帳時會等好幾個確認才放行——每多一個區塊壓在上面，攻擊者需要追趕的區塊數量就越多，想要逆轉歷史的成功機率會迅速趨近於零。工作量證明的確定性是概率性的：理論上永遠存在被推翻的可能，只是機率隨確認數增加而急速衰減。

安全成本與現實中的集中問題

工作量證明的安全假設寫成一句話，是「多數算力掌握在誠實參與者手上」。要改寫一段歷史，攻擊者需要持續掌握超過全網一半的算力，並且在秘密分支上超車。這意味著要付出巨額的硬體購置與電力支出，同時一旦市場對網路信心動搖，攻擊者手上的代幣與設備也可能一併貶值。這種「攻擊者往往也是持幣者」的自我懲罰結構，常被支持者用來論證 51% 攻擊在經濟上不划算，但它預設了攻擊者確實在意幣價與後續收益，也不能排除純粹以破壞為目的的攻擊。

另一邊，專業化挖礦把主導權推向少數大型礦池。礦工把算力接入礦池、按貢獻分配收益，好處是收入穩定，代價是決定打包哪些交易的權力集中在礦池營運者手上。礦池成員隨時可以切換，這道防線比表面上薄弱，也比表面上靈活。至於能耗，礦場的電費是決定盈虧的主要變數，低價電力地區因此成為算力的聚集地。這套機制用可觀的實體資源換取了一個不需要身分審查、任何人都能隨時進出的開放網路。

權益證明：押金就是你的投票權

權益證明的思路是把競爭標的從「算力」換成「資本」。想參與出塊，就把一定數量的代幣鎖進合約當押金，成為驗證者。系統用可驗證的隨機方式從驗證者中挑出下一個區塊的提議者，其他驗證者負責投票確認。做對事的人拿到獎勵，做壞事的人押金被沒收。

驗證者一輪要做的事

以以太坊的機制為例，想成為獨立驗證者通常需要存入固定數量（32 顆 ETH）的押金，並運行客戶端軟體隨時保持連線。時間被切成固定的時槽（slot），每個時槽有一位被隨機選中的驗證者負責提議區塊，同時有一批驗證者組成委員會，對該區塊投票背書。若干個時槽組成一個 epoch，委員會成員每次重新洗牌。

隨機指派的重要性在於降低被鎖定的可能。如果某位驗證者長期固定負責出塊，攻擊者只要針對那一個人下手就能影響網路。頻繁輪換讓預測變得困難，也讓單一驗證者能夠造成的破壞有上限。

罰沒條款才是真正的安全機制

很多人以為權益證明的安全來自「有錢人不想虧錢」，其實更關鍵的是罰沒（Slashing）的設計。驗證者被沒收押金，通常觸發於幾種明確可證明的違規：在同一個高度簽署兩個互相衝突的區塊（雙簽），或者圍繞著其他驗證者的投票簽出一個邏輯上不可能的歷史（環繞投票）；Consensys 的技術解析把這幾類行為整理為雙重提案、FFG 雙重投票與 FFG 環繞投票三種。這些行為都能被其他驗證者用簽名證據公開指認，不需要主觀判斷。

罰沒金額不是固定數字，會依同時被罰的人數放大。如果一大批驗證者一起作惡，每個人的損失會成倍上升。這個設計的思路很直接：讓協同行動的成本高於分散作惡，因為協同攻擊才是真正能撼動網路的形態。

最終性怎樣做到

權益證明鏈在最終性上有兩種表現。日常出塊仍然可能出現短暫分叉與重組，但每隔一段時間會形成一個檢查點，驗證者對檢查點投票。依照以太坊官方共識文件的說明，當代表超過三分之二質押總量的投票集中在某個檢查點上，該檢查點就取得確定性最終性，被推翻的前提之一是至少三分之一質押者主動違規並承受罰沒。這比工作量證明的概率等待給了使用者一個明確的承諾：過了這一關，交易不會再被回滾。

幾個常被提出的質疑

「富者愈富」是最常見的一種。質押收益按本金比例分配，手上代幣多的人確實賺得多，但這在經濟上難以避免，任何按資本分配的機制都會如此。真正值得看的是收益曲線的形狀：驗證者收入大致與質押量成正比，而罰沒風險卻對雙簽與協同行為施加超線性懲罰，大型驗證者一旦操作失誤，損失的絕對金額也更大。規模化的優勢主要來自營運成本攤薄，而不來自收益率的暴增。

「質押池中心化」是更現實的壓力。個人自行運行驗證節點有硬體、頻寬與技術門檻，於是大量用戶透過流動性質押服務或交易所委託質押。少數幾個服務商掌握大比例質押量時，它們在治理與審查層面的影響力就會上升。這是社群持續改進的方向，也是不少公鏈試圖用降低門檻、推動客戶端多樣性來緩解的問題。

還有一個術語叫「無利害關係」（nothing at stake），早期被用來批評權益證明：驗證者在兩條分叉上同時投票成本近乎為零，因此沒有動機只選一條。現代設計已經用罰沒解決了它，只要偵測到雙簽就沒收押金。另一個是「長程攻擊」：攻擊者取得很久以前的舊私鑰，從某個古老區塊開始重新建立一條更長的分支。防禦手段是把「弱主觀性」寫進規則——新加入的節點需要從可信來源取得一個較新的檢查點作為起點，不能從創世區塊一路自己追。這個做法犧牲了一點純粹性，換來對歷史重寫的抵抗力。

拜占庭容錯：明確節點集合下的即時共識

在工作量證明與純權益證明之外，還有一整支家族直接繼承分散式系統經典的拜占庭容錯（BFT）演算法。它的典型特徵是參與輪次的節點集合事先明確，節點之間用多輪投票達成一致，一旦達成，交易立刻取得最終性，不存在漫長的確認等待或鏈重組問題。

3f+1 這條門檻

經典結論是：要容忍 f 個惡意或故障節點，全體節點數量至少要有 3f+1 個。這個數字的來源是投票需要跨越兩道人數門檻。假設有 3f+1 個節點，其中最多 f 個可能是叛徒，那麼誠實節點有 2f+1 個。當一個提案取得 2f+1 張贊成票（即超過三分之二），扣除可能混在其中的 f 張叛徒票，剩下至少 f+1 張誠實票。兩個互相衝突的提案不可能各自都拿到 2f+1 張票，因為誠實節點不會對衝突提案重複背書。這條算術決定了 BFT 類演算法的安全底線。

PBFT 的三段式流程

Castro 與 Liskov 在 1999 年提出的實用拜占庭容錯（PBFT），把一輪共識拆成三個階段。主節點先把客戶端請求包成提案，廣播 pre-prepare 訊息；其他節點收到後進入 prepare 階段，互相確認大家看到的是同一個提案；累積到足夠數量後進入 commit 階段，各節點執行請求並回覆客戶端。三個階段的作用分別是排序、確認順序、確認提交，缺一不可。

如果主節點當機或故意拖延，其他節點會啟動視圖更換（view change），換一位新的主節點接手。這個過程就是 BFT 的韌性所在：不需要重啟整條鏈，換個人繼續走。

現代 BFT 家族

PBFT 的直接問題是通訊量。每個節點都要跟其他所有節點互傳訊息，節點數是 n 的時候，通訊次數大致按 n² 增長。節點一多，網路頻寬就容易塞車。之後的改良集中在兩條路：一是簡化投票流程、把多輪訊息壓縮；二是引入領導者輪替與流水線，讓共識可以連續進行而不必每輪停下來等。Cosmos 架構下的 Tendermint（CometBFT）用「提議—預投票—預提交」的結構搭配輪替的提議者，證明了 BFT 可以成功驅動開放公鏈；HotStuff 把投票改成星形結構，通訊量降到與節點數成線性關係；IBFT、QBFT 這類變體則在企業聯盟鏈中廣泛出現。

適用場景與邊界

BFT 的優勢很直接：秒級甚至更快的確認速度、明確的確定性、不需要耗費實體電力的挖礦。代價是驗證者集合在運作時必須是已知且可計算的。常見於參與節點經授權的許可鏈或聯盟鏈；在公鏈領域（如 Cosmos 生態），則通常與權益證明結合，依質押權重動態決定一組規模在數十到數百個的活躍驗證者集合。節點數量通常受限於頻寬通訊成本，無法像比特幣那樣容納成千上萬個匿名全節點同時投票。

把三者放在同一張表上看取捨

共識機制是取捨工具箱，而不是排行榜。一條鏈選擇某種機制，通常取決於它想服務誰、讓誰有資格參與、能忍受多長的確認時間。希望任何人都能匿名加入，就得接受較慢的確認或較複雜的隨機抽樣；希望交易一秒內定案，就得接受成員需要事先註冊或按權重篩選。所謂「哪個機制更好」的答案，往往取決於問的是哪條鏈、為了什麼目的。

幾個容易混淆的地方

共識機制、共識演算法、共識層

這三個詞常常被混著用。共識機制是完整的一套規則，包含演算法、獎勵設計、懲罰條款、難度調整或時槽安排；共識演算法是其中達成一致的核心程序，例如 PBFT 或 LMD GHOST；共識層則是系統架構上的位置，指的是專門負責排序與確認的那一層。以太坊在模組化架構中，執行層處理交易運算，共識層負責排序與最終性，兩者可以分別升級，理解這個分層能省下不少困惑。

概率最終性與確定最終性

工作量證明的交易永遠處在「可能被逆轉，但機率隨區塊堆疊而極速歸零」的狀態，這是概率最終性。BFT 與具備確定檢查點的權益證明提供的是確定最終性，過了那條線就沒有回頭路。實務上判斷一筆交易是否安全，要看鏈用的是哪一種，再對應到不同的等待策略。

分叉不等於出事

分叉是共識過程的正常產物，尤其是工作量證明鏈上幾乎每天都在發生短暫分叉，只是很快就被合併回去。真正需要擔心的是持續性的分裂，例如社群對規則改動無法達成一致，導致鏈永久分家，形成兩個各自發展的網路。

安全預算是什麼

工作量證明靠區塊獎勵與手續費支付礦工，權益證明靠通脹獎勵與手續費支付驗證者，這筆支出就是安全預算。預算愈高，攻擊者要動搖網路所需的成本愈高。減半機制會讓區塊獎勵隨時間下降，如果手續費沒能補上缺口，安全預算就會縮水。這個議題在兩類機制上都存在，只是表現形式不同：一個是礦工離場導致算力下降，另一個是質押收益率降低導致驗證者退出。

當前主流趨勢：混合設計與模組化

主流公鏈的共識設計已經很少是單一機制的純粹版本。以太坊用權益證明處理共識與最終性，把執行分流到二層擴容方案上；Cosmos 生態以 Tendermint 系列 BFT 為核心，結合權益質押與跨鏈通訊協議讓多條鏈互通；Solana 把歷史證明（PoH）時間戳機制與權益證明結合，在硬體要求較高的前提下換取高吞吐；Avalanche 則用反覆隨機抽樣的小群體投票，把大規模節點的通訊複雜度大幅壓低。

模組化架構也在改變共識的討論範圍。當資料可用性層、執行層、共識層可以分開採購，一條新鏈的開發者可能直接租用現成的共識與資料可用性服務，自己專心做應用。這讓「共識機制」從鏈的整體屬性，變成可以組合的零件。理解基本原理之後，才有能力判斷這些組合方案在哪些環節放了假設、在哪裡埋了風險。

想親自驗證，可以從這幾件事開始

讀完原理，最有效的下一步是讓自己變成參與者：

• 同步一個比特幣或以太坊全節點，觀察區塊怎樣一個一個接上來，體會同步過程中分叉與重組的實際樣貌。
• 在測試網（Testnet）上領取免費水龍頭測試幣，練習搭建驗證節點或參與質押委託，親自經歷一次客戶端升級與懲罰規則的模擬。
• 打開區塊瀏覽器，找一筆交易追蹤確認數，看它從待處理池到被納入區塊、再到檢查點定案的完整路徑。
• 閱讀原始規範，尤其是比特幣白皮書與以太坊共識層規範，裡面的措辭比二手解說精確得多。

判斷一條鏈是否適合特定業務用途，可以先問四件事：它允許誰加入共識？交易多久取得最終性？出錯時參與者要付出什麼代價？安全預算從哪裡來、能不能持續？這四個問題答得清楚，技術細節的取捨就不難理解了。

共識機制這門學問最有趣的地方，在於它把密碼學、分散式系統理論與經濟誘因綁在一起，逼人在安全性、去中心化與效能之間做選擇。沒有一套機制能同時把三者推到極致，這條限制本身就是理解整件事最好的切入點。

常見問題 (FAQ)