Halo2 学习笔记——设计之Proving system之Circuit commitments（3）

1. 引言

在创建proof之前，Prover有a table of cell assignments that it claims satisfy the constraint system。该table具有$n=2^k$行，可分为 advice columns、instance columns 以及 fixed columns。
将第$i$个fixed column中的第$j$行的assignment定义为$F_{i,j}$，同理，定义advice 和 instance assignment为$A_{i,j}$。
【注意，此处将fixed column assignment 与advice/instance column assignment区分的主要原因是：fixed columns由Verifier提供，而advice columns和instance columns 由Prover提供。实际上，instance column 和 fixed column的commitment均由Prover和Verifier计算，仅advice commitment会存储在proof中。】

为了对这些assignment进行commit，需为每列构建degree $n-1$ Lagrange polynomials，基于的evaluation domain size 为$n$（其中$\omega$为$n$-th primitive root of unity）：

• $a_i(X)$ interpolates such that $a_i({\omega }^j)=A_{i,j}$.
• $f_i(X)$ interpolates such that $f_i({\omega }^j)=F_{i,j}$.

然后为每列的polynomial创建blinding commitment：
$\mathbf{A}=[\text{Commit}(a_0(X)),\dots ,\text{Commit}(a_i(X))]$
$\mathbf{F}=[\text{Commit}(f_0(X)),\dots ,\text{Commit}(f_i(X))]$

$\mathbf{F}$会作为key generation的一部分生成，使用的blinding factor为$1$。$\mathbf{A}$由Prover构建并发送给Verifier。

2. Committing to the lookup permutations

1）首先，Verifier提供sampling challenge $\theta$ 用于keep individual columns within lookups independent。

2）然后，Prover commits to the permutations for each lookup：

• 已知a lookup 具有 input column polynomials $[A_0(X),\dots ,A_{m-1}(X)]$ 和 table column polynomials $[S_0(X),\dots ,S_{m-1}(X)]$，Prover会构建2个压缩的多项式：
  $$A_{\text{compressed}}(X)={\theta }^{m-1}{A}_0(X)+{\theta }^{m-2}{A}_1(X)+\cdots +\theta A_{m-2}(X)+A_{m-1}(X)$$
  $$S_{\text{compressed}}(X)={\theta }^{m-1}{S}_0(X)+{\theta }^{m-2}{S}_1(X)+\cdots +\theta S_{m-2}(X)+S_{m-1}(X)$$

• Prover会根据 lookup argument的rules 来 permutes $A_{\text{compressed}}(X)$ 和 $S_{\text{compressed}}(X)$。

3）Prover为所有的lookups创建blinding commitments，并将相应的blinding commitments发送给Verifier。
$$\mathbf{L}=\left[(\text{Commit}(A^{\prime }(X))),\text{Commit}(S^{\prime }(X))),\dots \right]$$

4）Verifier收到$\mathbf{A}$，$\mathbf{F}$ 和 $\mathbf{L}$之后，发送将用于permutation argument和lookup argument中的random challenges $\beta ,\gamma$。（因为2个argument是独立的，因此可复用$\beta ,\gamma$。）

3. Committing to the equality constraint permutation

令$c$为the number of columns that are enabled for equality constraints。

扫描二维码关注公众号，回复： 13196800 查看本文章

令$m$为可容纳于column set 中的maximum number of columns，该值不会超过 PLONK配置的polynomial degree bound。

令$u$为定义在 Permutation argument 中的 number of “usable” rows。

令 $b=\mathsf{c}\mathsf{e}\mathsf{i}\mathsf{l}\mathsf{i}\mathsf{n}\mathsf{g}(c/m)$。

1）Prover构建长度为 $bu$ 的 vector $\mathbf{P}$，对于每一个column set $0\le a<b$和每行$0\le j<u$，有：
$${\mathbf{P}}_{au+j}=\prod _{i=am}^{\min (c,(a+1)m)-1}\frac{v_i({\omega }^j)+\beta \cdot {\delta }^i\cdot {\omega }^j+\gamma }{v_i({\omega }^j)+\beta \cdot s_i({\omega }^j)+\gamma }.$$
2）Prover 从$1$开始，计算a running product of $\mathbf{P}$，同时计算a vector of polynomials $Z_{P,0..b-1}$ that each have a Lagrange basis representation corresponding to a $u$-sized slice of this running product，详细参看Permutation argument。
3）Prover为每个$Z_{p,a}$多项式创建blinding commitments，并将这些blinding commitments值发送给Verifier：
$${\mathbf{Z}}_{\mathbf{P}}=\left[\text{Commit}(Z_{P,0}(X)),\dots ,\text{Commit}(Z_{P,b-1}(X))\right]$$

4. Committing to the lookup permutation product columns

对于每个lookup，除了需要commit to the individual permuted lookups，Prover还需要commit to the permutation product column：

• Prover构建a vector $P$：
  $$P_j=\frac{(A_{\text{compressed}}({\omega }^j)+\beta )(S_{\text{compressed}}({\omega }^j)+\gamma )}{(A^{\prime }({\omega }^j)+\beta )(S^{\prime }({\omega }^j)+\gamma )}$$
• Prover构建a polynomial $Z_L$，该polynomial $Z_L$具有a Lagrange basis representation corresponding to a running product of $P$，初始有$Z_L(1)=1$。
• Verifier收到$\mathbf{A}$，$\mathbf{F}$ 和 $\mathbf{L}$（即已commit to all the cell values used in lookup columns和每个lookup的$A^{\prime }(X),S^{\prime }(X)$）之后，发送将用于random challenges $\beta ,\gamma$。
• Prover使用$\beta ,\gamma$用于combine the permutation argument for $A^{\prime }(X)$和$S^{\prime }(X)$并保持两者独立。
• Prover为每个$Z_L$多项式创建blinding commitments，并将这些blinding commitments 发送给Verifier：
  $${\mathbf{Z}}_{\mathbf{L}}=\left[\text{Commit}(Z_L(X)),\dots \right]$$

参考资料

[1] Halo2 Book 之 circuit commitment