Un nouvel ensemble de preuves vérifiées par machine, publié sur Ethereum Research le 21 juillet 2026, fait progresser de manière significative la théorie formelle de la préservation d’état inter-domaines — et les implications vont bien au-delà de la simple vérification académique. Le travail mécanise la composition des applications de préservation entre domaines de synchronisation et les stratifie par largeur de couplage, en utilisant Isabelle/HOL comme moteur de preuve. Ce qui en ressort n’est pas seulement une collection de théorèmes, mais une base de vérification réutilisable et sans « sorry » que n’importe quel bridge, sortie de rollup, séquenceur partagé ou jambe de règlement permissionnée peut directement décharger.
Summary
Points clés à retenir
- Les applications de préservation entre machines à états forment une catégorie complète — identité, composition et associativité sont toutes vérifiées par machine dans Isabelle/HOL.
- La machine à états réglementaire fonctionne sur cinq états, sept actions et douze transitions valides, encodant la sémantique des actions légales directement dans la relation de transition.
- La force de synchronisation est modélisée comme une tour de foncteurs graduée par largeur de chaîne ; l’oubli des avoirs de la chaîne la plus haute est démontré être une transformation naturelle.
- La mécanisation est publiée comme un build Isabelle/HOL sans « sorry » et est disponible publiquement.
Composition mécanisée des applications de préservation et structure de catégorie
Le résultat formel central est simple à énoncer et difficile à surestimer en importance : les applications de préservation entre machines à états forment une catégorie. Trois théorèmes — preservation_id, preservation_compose et preservation_assoc — confèrent à ces applications respectivement une identité, une composition fermée et une associativité, toutes vérifiées via des locales Isabelle/HOL génériques sur des machines à états arbitraires.
Pourquoi la structure de catégorie est-elle importante ici ? Parce qu’elle autorise un raisonnement lien-par-lien à travers des chaînes arbitrairement longues de systèmes interopérants. Dans une séquence impliquant une jambe de rollup, une couche de base et une jambe de règlement permissionnée, l’application de préservation de bout en bout découle des liens individuels sans nécessiter une nouvelle preuve. L’associativité signifie que le groupement des sauts est sans incidence sur la garantie. Lorsqu’une propriété de bout en bout échoue, au moins une obligation par lien a dû échouer — la décomposition organise le diagnostic, même si elle ne l’effectue pas automatiquement.
La mécanisation est construite comme un ensemble de locales génériques, ce qui signifie que les lois sont directement réutilisables par tout domaine qui s’acquitte des obligations de la locale. Ce choix de conception sépare le cadre formel de tout protocole spécifique, rendant la base portable à travers l’écosystème des rollups.
Modélisation des transitions d’état réglementaires avec une machine à cinq états
Les transitions réglementaires ne sont pas des étiquettes abstraites dans ce modèle. L’instance mécanisée fonctionne sur un espace à cinq états et sept actions avec douze transitions valides sur trente-cinq paires d’actions syntaxiquement possibles — et cette rareté est précisément le but. Une saisie appliquée à un actif déjà dans un état confisqué est juridiquement dénuée de sens ; le modèle la rejette au niveau de la relation de transition plutôt que de laisser la contrainte à la convention d’exécution.
Sémantique juridique reflétée dans les contraintes de transition
L’escalade est directionnelle, un état est terminal (formalisé comme confiscated_terminal), et la préservation est traitée comme une interprétation de locale à actions hétérogènes. La préservation porte alors un poids juridique concret : l’effet produit par une transition réglementaire doit survivre au passage entre domaines. Un actif gelé ne peut pas arriver du côté récepteur simplement restreint.
La mécanisation est délibérément circonscrite. Une proposition de norme en cours de rédaction, ERC-8319, actuellement en cours d’examen sur Ethereum Research, fournit la taxonomie publique des actions juridiquement distinctes qui a motivé cette instance particulière — mais la mécanisation n’implémente pas ERC-8319, et ERC-8319 n’impose aucune machine à états spécifique. Les deux couches sont intentionnellement séparées.
Degrés de synchronisation comme tour de foncteurs graduée par largeur de chaîne
Tous les actifs d’un système inter-domaines n’exigent pas la même force de synchronisation, et la tour de foncteurs formalise cette hétérogénéité. L’espace d’états est gradué par largeur de chaîne : pour chaque niveau k, un support contient tous les états globaux dont les avoirs sont portés par les chaînes 0 à k, ancrés à la chaîne hub 0. Cela donne un foncteur par niveau, et l’indice formalise ce que le modèle appelle la largeur de couplage.
Théorème de transformation naturelle sur l’oubli des avoirs de la chaîne la plus haute
Entre niveaux adjacents, l’application degree_forget supprime les avoirs de la chaîne la plus haute. Le théorème central — degree_natural_transformation — démontre que cette application est naturelle : oublier les avoirs de la chaîne la plus haute commute avec chaque transition réglementaire. Les composées de ces applications de projection sont à nouveau naturelles, de sorte que la projection vers n’importe quel niveau inférieur est licite en une seule étape ou à travers plusieurs.
Une trace concrète illustre ce que cela signifie. Prenez un actif sur les chaînes 0 à 2 et un gel qui y est indexé. Appliquer le gel à la largeur 2 puis oublier la chaîne 2 aboutit au même état que d’oublier d’abord la chaîne 2 puis d’appliquer le gel à la largeur 1. La projection vers un contexte plus étroit ne peut pas produire une histoire réglementaire qui contredit celle que ce contexte plus étroit aurait dû observer. Le travail note explicitement qu’un protocole de sortie en direct avec délais, réessais et changements de composition est une application candidate de cette loi — et seulement cela ; aucun protocole spécifique n’est présenté comme affinant le modèle.
Hypothèses du modèle, degrés déclarés des actifs et artefacts disponibles
Chaîne hub unique comme ancrage et implications pour les scénarios multi-hub
Les résultats de naturalité reposent sur une topologie à hub unique : la chaîne hub 0 n’est jamais oubliée à aucun niveau, et l’admissibilité y est ancrée en permanence. Rien dans le cadre actuel ne traite des configurations multi-hub ou des topologies de couplage changeantes. Cette limite n’est pas une simple mise en garde mineure — c’est une contrainte structurelle sur les domaines d’application des théorèmes actuels.
Les actifs portent des degrés de synchronisation fixes à l’émission, avec des changements dynamiques ouverts
Le modèle gère la réaffectation statique des degrés entre cycles de synchronisation, mais les changements de degré pendant un cycle en cours restent explicitement en dehors du modèle. Les théorèmes sont agnostiques quant au moment où un degré est déclaré ; la lecture en termes de conception produit — déclaration à l’émission — est une instanciation, pas une affirmation de théorème. Ce qui se passe lorsqu’un degré d’actif change alors qu’un cycle de synchronisation est en cours, et quel degré régit ce cycle, est une question ouverte que les auteurs signalent directement.
Questions ouvertes et limites de la préservation d’état inter-domaines
Les auteurs sont transparents sur l’endroit où le cadre s’arrête. Quatre questions ouvertes sont énoncées explicitement, et elles ne sont pas périphériques — chacune représente un manque qui limite la portée actuelle du modèle de manière pratiquement importante.
- Règles de degré agrégé : Lorsque des unités avec des degrés déclarés distincts partagent un même identifiant d’actif, quelles règles d’agrégation conservatrices sont valides, et à quel coût pour la fongibilité et l’expressivité ? La mécanisation ne démontre aucune règle de jointure multi-actifs.
- Promotion dynamique : Si un degré déclaré change alors qu’un cycle de synchronisation est en cours, quel degré régit ce cycle et où la frontière de transition doit-elle être placée ?
- Naturalité multi-hub : Le résultat actuel préserve la chaîne hub 0. Quelle structure supplémentaire permettrait de retrouver la naturalité à travers plusieurs hubs ou une topologie de couplage changeante ?
- Frontières d’obligation : Quelles lois doivent figurer dans une spécification publique, lesquelles doivent être satisfaites par la conformité au niveau de l’implémentation, et lesquelles restent des orientations de conception ?
La question de la fongibilité mérite une attention particulière. La tour de foncteurs n’exige aucune provenance par lot — les carrés de naturalité indexent les transitions par action réglementaire, identifiant d’actif et largeur de chaîne, sans rien suivre de l’origine des unités. Mais elle présuppose un identifiant d’actif stable avec une affectation de degré bien définie. Le mélange d’unités de degrés déclarés différents sous un même identifiant sort des limites de typage du modèle. Deux réparations sont visibles — des identifiants compartimentés ou un degré agrégé conservateur qui domine toutes les déclarations d’unités — mais les deux ont un coût : des identifiants compartimentés fracturent la fongibilité tant que les compartiments ne sont pas retirés, tandis qu’un degré agrégé unique élargit les obligations pour l’ensemble d’un solde sur la base de son composant de degré le plus élevé.
Ce que le travail apporte en fin de compte est un squelette formellement vérifié sur lequel des hiérarchies de protocoles opérationnels peuvent être placées — une fois l’affinement entre largeur de chaîne et sémantique opérationnelle des degrés établi. Cet affinement n’est pas encore réalisé. Le squelette est solide ; construire dessus nécessite maintenant de savoir exactement où se termine son plancher.
FAQ
Quelle est la principale contribution de la mécanisation présentée ?
Elle mécanise la composition des applications de préservation entre machines à états, en démontrant qu’elles forment une catégorie avec identité, composition et associativité — toutes vérifiées dans Isabelle/HOL — et les stratifie par largeur de couplage à l’aide d’une tour de foncteurs.
Comment les transitions d’état réglementaires sont-elles modélisées dans l’étude ?
Elles sont modélisées comme une machine à cinq états et sept actions avec douze transitions valides, encodant la sémantique des actions légales directement dans la relation de transition, de sorte que les opérations juridiquement dénuées de sens — comme la saisie d’un actif déjà confisqué — sont rejetées au niveau du modèle plutôt que laissées à la convention d’exécution.
Que représente la tour de foncteurs dans les degrés de synchronisation ?
Elle représente une structure graduée de force de synchronisation indexée par largeur de chaîne, où l’oubli des avoirs de la chaîne la plus haute est démontré être une transformation naturelle qui commute avec chaque transition réglementaire — ce qui signifie que la projection vers un contexte plus étroit ne peut pas contredire l’historique réglementaire que ce contexte aurait dû observer.
Quelles hypothèses le modèle fait-il concernant la topologie du réseau et les degrés de synchronisation des actifs ?
Le modèle suppose une chaîne hub unique 0 comme ancrage topologique ; les configurations multi-hub et les topologies changeantes sont en dehors des résultats actuels. Les degrés de synchronisation des actifs sont fixés à l’émission et traités comme statiques au sein d’un cycle ; les changements dynamiques de degré pendant des cycles de synchronisation en cours restent un problème ouvert.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quelle est la principale contribution de la mécanisation présentée ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Elle mécanise la composition des applications de préservation entre machines à états, en démontrant qu’elles forment une catégorie avec identité, composition et associativité — toutes vérifiées dans Isabelle/HOL — et les stratifie par largeur de couplage à l’aide d’une tour de foncteurs. »}},{« @type »: »Question », »name »: »Comment les transitions d’état réglementaires sont-elles modélisées dans l’étude ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Elles sont modélisées comme une machine à cinq états et sept actions avec douze transitions valides, encodant la sémantique des actions légales directement dans la relation de transition, de sorte que les opérations juridiquement dénuées de sens — comme la saisie d’un actif déjà confisqué — sont rejetées au niveau du modèle plutôt que laissées à la convention d’exécution. »}},{« @type »: »Question », »name »: »Que représente la tour de foncteurs dans les degrés de synchronisation ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Elle représente une structure graduée de force de synchronisation indexée par largeur de chaîne, où l’oubli des avoirs de la chaîne la plus haute est démontré être une transformation naturelle qui commute avec chaque transition réglementaire — ce qui signifie que la projection vers un contexte plus étroit ne peut pas contredire l’historique réglementaire que ce contexte aurait dû observer. »}},{« @type »: »Question », »name »: »Quelles hypothèses le modèle fait-il concernant la topologie du réseau et les degrés de synchronisation des actifs ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le modèle suppose une chaîne hub unique 0 comme ancrage topologique ; les configurations multi-hub et les topologies changeantes sont en dehors des résultats actuels. Les degrés de synchronisation des actifs sont fixés à l’émission et traités comme statiques au sein d’un cycle ; les changements dynamiques de degré pendant des cycles de synchronisation en cours restent un problème ouvert. »}}]}
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.
