Halo2 学习笔记——设计之Proving system之Vanishing argument（4）

1. 引言

在完成对circuit assignment进行commit之后，Prover需要证明满足如下多种circuit关系：

• custom gates：以多项式${\text{gate}}_i(X)$表示。
• lookup arguments中的rules。
• equality constraint permutations中的rules。

每种关系都以degree为$d$的的多项式来表示，对应为circuit中的一列（其中$d$为the maximum degree of any of the relations）。
若已知每列对应的assignment多项式的degree为$n-1$，则相应的关系多项式对应变量$X$的degree为$d(n-1)$。

以如下constraint system为例：

• 有4个advice columns：$a,b,c,d$
• 有1个fixed column：$f$
• 有3个custom gates：
  • $a\cdot b\cdot c_{-1}-d=0$
  • $f_{-1}\cdot c=0$
  • $f\cdot d\cdot a=0$

以上例子中，对应的gate polynomial degree为$3n-3$：

• ${\text{gate}}_0(X)=a_0(X)\cdot a_1(X)\cdot a_2(X{\omega }^{-1})-a_3(X)$
• ${\text{gate}}_1(X)=f_0(X{\omega }^{-1})\cdot a_2(X)$
• ${\text{gate}}_2(X)=f_0(X)\cdot a_3(X)\cdot a_0(X)$

若以上多项式等于0，则上例中的relation is satisfied。
方法之一是，将以上每个多项式都除以vanishing polynomial $t(X)=(X^n-1)$，该vanishing polynomial为the lowest-degree monomial that has roots at every ${\omega }^i$。若relation的polynomial可整除$t(X)$，则其equal to zero over the domain (as desired)。

最简单的方式是为每个relation创建一个polynomial commitment，可同时对所有的circuit relations进行commit；Verifier发送challenge $y$；Prover构建quotient polynomial：
$$h(X)=\frac{{\text{gate}}_0(X)+y\cdot {\text{gate}}_1(X)+\cdots +y^i\cdot {\text{gate}}_i(X)+\dots }{t(X)}$$
其中分子为a random linear combination of the circuit relations。（因为Prover commits to the cell assignments before the Verifier samples $y$。）

• 若分子多项式（in formal indeterminate $X$）可整除$t(X)$，则大概率所有的relations都satisfied。
• 相反，若至少一个relation未satisfy，则大概率$h(x)\cdot t(x)$ 不会等于分子多项式evaluate at $x$的值。此时，分子多项式无法整除$t(X)$。

2. Committing to $h(X)$

由于分子多项式的degree为$d(n-1)$，分母$t(X)$的degree为$n$，因此$h(X)$的degree为$(d-1)n-d$。但是，Halo2中的polynomial commitment scheme仅支持对degree为$n-1$的多项式进行commit（其中$n-1$为the maximum degree that the rest of the protocol needs to commit to）。为了不增加polynomial commitment scheme的开销，Prover可将$h(X)$切分为多个degree为$n-1$的多项式，将$h(X)$切分表示为：
$$h_0(X)+X^n{h}_1(X)+\cdots +X^{n(d-1)}{h}_{d-1}(X)$$
然后Prover再对每个子多项式进行blinding commit：
$$\mathbf{H}=[\text{Commit}(h_0(X)),\text{Commit}(h_1(X)),\dots ,\text{Commit}(h_{d-1}(X))]$$

3. Evaluating the polnomials

此时，circuit中的所有属性均已commit to。Verifier需要看Prover是否committed to the correct $h(X)$ polynomial。
Verifier提供challenge $x$，Prover生成多个多项式在$x$的evaluations值，以上面2中例子为例，有：

• $a_0(x)$
• $a_1(x)$
• $a_2(x)$, $a_2(x{\omega }^{-1})$
• $a_3(x)$
• $f_0(x)$, $f_0(x{\omega }^{-1})$
• $h_0(x)$, …, $h_{d-1}(x)$

Verifier会验证以上evaluations是否满足$h(X)$的form：
$$\frac{{\text{gate}}_0(x)+\cdots +y^i\cdot {\text{gate}}_i(x)+\dots }{t(x)}=h_0(x)+\cdots +x^{n(d-1)}{h}_{d-1}(x)$$

此时，content that the evaluations collectively satisfy the gate constraints, the verifier needs to check that the evaluations themselves are consistent with the original circuit commitments, as well as $\mathbf{H}$。
为了提升效率，Halo2中引入了a multipoint opening argument。

参考资料

[1] Halo2 之 Vanishing argument