七小时才敢认账的链
Filecoin 的主共识 Expected Consensus（EC）是最重链协议：时间切成约 30 秒一个的纪元，被抽中的存储提供方各自出块，同纪元、同父块的一组块合成一个 tipset，节点各自沿权重最高的路径建链，看到更重的分叉就重组。这类协议只给概率终局—— descendant 越多，被翻掉的概率越小，但永远不为零。为了给用户一个可操作的“不可逆”口径，协议里写死了一个软终局门槛：第 N 轮出的块，拒绝一切早于 N-900 的分叉，900 个纪元折算约 7.5 小时。桥、交易所和链上应用因此各要额外等待，FIP-0086 把这种等待列为立项动机。
并行的第二台发动机
FIP-0086（状态为 Final）的做法不是改 EC，而是在每个节点旁边再跑一个组件 F3，其内核是名为 GossiPBFT 的部分同步 BFT 协议。参与 F3 投票的就是 Filecoin 的存储提供方，投票权按质量加权算力（QAP）计，这份算力表由网络的 power actor（f04）维护。数据流是一个闭环：节点把自己当前的 EC 规范链连同上一段已终局前缀喂给 F3，F3 在网络上跑多轮投票，产出一个“已终局 tipset”及对应的终局证书，再把终局前缀交还给 EC，要求 EC 从此承诺不重组这条前缀。除这一点外 EC 照常运转，包括它自己的 900 纪元算力表回看——两套机制各自维护各自的账。
一张证书里装了什么
F3 按“实例”一轮轮推进，每个实例给一个区块集投票。GossiPBFT 的报文分 PREPARE、COMMIT、CONVERGE、DECIDE 等阶段，高阶段报文必须携带由强多数（超过三分之二的加权算力）聚合的 BLS 签名证据，验证方把证据里的公钥聚合后核一次总签名，就能确认这张证书背后确实是三分之二以上的质押算力——这也意味着诚实方假设是恶意方控制少于三分之一的 QAP。证书一旦生成便随消息分发给其他节点、轻客户端和智能合约：FIP 特别强调，验证某个 tipset 已终局不需要回放 EC 历史，只看证书链。新节点由此获得“快速追赶”能力：并行拉取终局证书序列一直回溯到创世，配合区块头与状态快照就能确认可信链头，比逐块重验快得多，也免疫日食攻击。对控制旧算力表、比例不超过三分之二的长程攻击者，证书链同样提供了抵抗力。
出块规则也相应收紧：EC 的分叉选择被修改为永远不选 F3 终局链之外的链。两个组件对同一块谁说了算出现分歧时，以终局前缀为准；正常运行的网络里，F3 把终局时间从 7.5 小时压到几十秒量级。
降级、宕机与“宁可活不可停”
FIP 对失败模式的表态很清楚：F3 的假设被打破（例如消息丢失超出容忍、算力表分歧）导致 F3 停摆时，EC 继续出块、链不瘫痪——组合协议在 CAP 意义上偏向可用性而非一致性，只是新块暂时拿不到终局证书，等 F3 恢复后再补。这种“终局是加速带不是铁轨”的取舍，和把终局器嵌死进主共识、停机即断链的设计形成对照。另一条边界是理性参与者：FIP 用“不持有本地链就不投票”的 EC 兼容性设计，保证投票方不会先为一个自己拿不到的分支盖章、回头反而没法出块。
同一批提案家族里还有一份 FRC-0089：不改协议，纯客户端侧的终局计算器。它按最近若干纪元的实际链增长情况估算“发生深度重组的概率上界”，论文口径下要达到既往 900 纪元对应的约 2 的负 30 次方错误概率，观察约 30 个纪元（15 分钟）的链历史即可——增速快的时段比增速慢的时段能更早下结论。两条路线互补：F3 给出确定性的证书，计算器给概率判断提速，二者都不要求下游一上来就等满 7.5 小时。
怎么核对与警惕什么
对使用者来说，可核对的信号很具体：看节点 API 返回的证书高度是否推进、交易所对 Filecoin 充值的确认口径有没有随之改变、桥是否在读取证书而非数块。需要注意的边界包括：FIP-0086 是规范文本，其状态标注（Final）以 FIPs 仓库当前版本为准；FRC-0089 的数字是论文实验口径而非承诺值；QAP 权重表本身随存储质押变化，终局安全的前提始终是“恶意算力持续少于三分之一”。本文只做机制解释，不构成任何投资建议。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。