Halo2 学习笔记——设计之Proving system之Permutation argument（2）

1. 引言

由于Halo2 circuit中的gate是operate “locally”（on cells in the current row or defined relative rows），因此，通常需要从 任意cell中复制a value 到 gate所在当前行中。通常以equality argument的方式来实现，用于约束source cell和destination cell中的值相同。

Halo2中通过构建a permutation来实现equality constraints，并在proof中使用a permutation argument来完成相应约束。

所谓permutation：
为a one-to-one and onto mapping of a set onto itself。

可将a permutation唯一分解为cycles组合（up to ordering of cycles, and rotation of each cycle）。

有时，也会用cycle notation来表示permutation。令$(abc)$表示a cycle，其中$a$ maps to $b$，$b$ maps to $c$，$c$ maps to $a$，可将此扩展为任意size的cycle。
将两个或多个cycles写在一起，表示相应的permutation组合。如$(ab)(cd)$表示a permutation：
$a$ maps to $b$，$b$ maps to $a$，$c$ maps to $d$，以及$d$ maps to $c$。

2. 构建permutation

2.1 目标

想要构建a permutation，其中，a equality-constraint set中的每个subset of variables可形成a cycle。
如，假设具有定义了如下equality constraints的circuit：

• $a\equiv b$
• $a\equiv c$
• $d\equiv e$

从而具有equality-constraint sets { a , b , c } \{a,b,c\} { a,b,c}和 { d , e } \{d,e\} { d,e}。即想构建permutation：
$(abc)(de)$
其中定义了mapping of $[a,b,c,d,e]$ to $[b,c,a,e,d]$。

2.2 算法

为了跟踪the set of cycles，需使用 disjoint set data structure，这种方式比较简单也易于实现，尽管不是最优的方案。

将current state 表示为：

• 1）一个数组 $\mathsf{m}\mathsf{a}\mathsf{p}\mathsf{p}\mathsf{i}\mathsf{n}\mathsf{g}$ 来表示permutation 本身。
• 2）一个辅助数组 $\mathsf{a}\mathsf{u}\mathsf{x}$ 来跟踪每个cycle的distinguished element。
• 3）另一个数组 $\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}$ 来跟踪每个cycle的size。

对于cycle $C$中的每个元素$c$，有$\mathsf{a}\mathsf{u}\mathsf{x}(x)$指向该元素$c\in C$。这可支持快速判断2个element $x,y$是否在同一cycle——check $\mathsf{a}\mathsf{u}\mathsf{x}(x)=\mathsf{a}\mathsf{u}\mathsf{x}(y)$是否成立。
同理，$\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(x))$ 为包含$x$的cycle size。（仅适于$\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(x))$，而不是$\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(x)$。）

以identity permutation为例：
对于所有的$x$，有 $\mathsf{m}\mathsf{a}\mathsf{p}\mathsf{p}\mathsf{i}\mathsf{n}\mathsf{g}(x)=x,\mathsf{a}\mathsf{u}\mathsf{x}(x)=x,\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(x)=1$。

为了增加an equality constraint $left\equiv right$：

• 1）check $left$ 和 $right$ 是否在同一cycle，即判断$\mathsf{a}\mathsf{u}\mathsf{x}(left)=\mathsf{a}\mathsf{u}\mathsf{x}(right)$是否成立，若成立，则直接返回。
• 2）若不成立，则$left$ 和 $right$分属不同的cycle。将 $left$ 标记为larger cycle, $right$ 标记为smaller cycle。若$\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(left))<\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(right))$，则将$left$ 和 $right$ 两者交换。
• 3）设置 $\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(left))=\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(left))+\mathsf{s}\mathsf{i}\mathsf{z}\mathsf{e}\mathsf{s}(\mathsf{a}\mathsf{u}\mathsf{x}(right))$。
• 4）跟随 $right$ （smaller）cycle的mapping around步骤，对于每一个元素$x$，设置$\mathsf{a}\mathsf{u}\mathsf{x}(x)=\mathsf{a}\mathsf{u}\mathsf{x}(left)$。
• 5）通过交换 $\mathsf{m}\mathsf{a}\mathsf{p}\mathsf{p}\mathsf{i}\mathsf{n}\mathsf{g}(left)$和$\mathsf{m}\mathsf{a}\mathsf{p}\mathsf{p}\mathsf{i}\mathsf{n}\mathsf{g}(right)$，将smaller cycle 拼接成 larger cycle。

比如，已知2个disjoint cycles $(ABCD)$ 和 $(EFGH)$：

A +---> B
^       +
|       |
+       v
D <---+ C       E +---> F
                ^       +
                |       |
                +       v
                H <---+ G

在增加constraint $B\equiv E$ 后，以上算法生成的cycle为：

A +---> B +-------------+
^                       |
|                       |
+                       v
D <---+ C <---+ E       F
                ^       +
                |       |
                +       v
                H <---+ G

若不在第1）步中验证$left$和$right$是否在同一cycle，则将end up undoing an equality constraint。以如下constraints为例：

• $a\equiv b$
• $b\equiv c$
• $c\equiv d$
• $b\equiv d$

若只使用上述算法中的步骤5）来add an equality constraint，则最终构造的cycle为$(ab)(cd)$，而不是正确的cycle $(abcd)$。

3. Argument specification

如需check a permutation of cells in $m$ columns，可使用Lagrange basis polynomial $v_0,\dots ,v_{m-1}$ 来表示。

可将$m$ columns中的每个cell 以a unique element of ${\mathbb{F}}^{\times }$来标记。

假设有permutation：
$\sigma (\mathsf{c}\mathsf{o}\mathsf{l}\mathsf{u}\mathsf{m}\mathsf{n}:i,\mathsf{r}\mathsf{o}\mathsf{w}:j)=(\mathsf{c}\mathsf{o}\mathsf{l}\mathsf{u}\mathsf{m}\mathsf{n}:i^{\prime },\mathsf{r}\mathsf{o}\mathsf{w}:j^{\prime })$
其中cycles 对应为 equality-constraint sets。

若针对 { ( l a b e l , v a l u e ) } \{(\mathit{label}, \mathit{value})\} { (label,value)} pairs set，则the values within each cycle are equal if and only if permuting the label in each pair by $\sigma$ yields the same set：

由于$label$是不同的，则set equality 等价为 multiset equality，可使用product argument来check。

令：

• $\omega$为 a $2^k$ root of unity
• $\delta$为 a $T$ root of unity

其中$T\cdot 2^S+1=p$，$T$为奇数，$k\le S$。

使用 ${\delta }^i\cdot {\omega }^j\in {\mathbb{F}}^{\times }$ 来表示 permutation argument中第$i$列第$j$行的cell。

将 $\sigma$ 表示为 a vector of $m$ polynomials $s_i(X)$ 使得 $s_i({\omega }^j)={\delta }^{i^{\prime }}\cdot {\omega }^{j^{\prime }}$。

identity permutation可表示为 a vector of $m$ polynomials ${\mathsf{I}\mathsf{D}}_i({\omega }^j)$ 使得 ${\mathsf{I}\mathsf{D}}_i({\omega }^j)={\delta }^i\cdot {\omega }^j$。

使用challenge $\beta$ 将pair $(label,value)$ 压缩为 $label+\beta \cdot value$。类似于lookup argument中的product argument，也引入challenge $\gamma$ 来randomize each term of the product。

此时，已知a permutation represented by $s_0,\cdots ,s_{m-1}$ over columns represented by $v_0,\cdots ,v_{m-1}$，需保证：
$$\prod _{i=0}^{m-1}\prod _{j=0}^{n-1}\left(\frac{v_i({\omega }^j)+\beta \cdot {\delta }^i\cdot {\omega }^j+\gamma }{v_i({\omega }^j)+\beta \cdot s_i({\omega }^j)+\gamma }\right)=1$$

【此时，$v_i({\omega }^j)+\beta \cdot {\delta }^i\cdot {\omega }^j$ 表示的是 unpermuted pair $(label,value)$, 而$v_i({\omega }^j)+\beta \cdot s_i({\omega }^j)+\gamma$ 表示permuted pair $(\sigma (label),value)$。 】

令$Z_P$ 满足$Z_P({\omega }^0)=Z_P({\omega }^n)=1$ 且对于 $0\le j<n$有:
$$\begin{array}{rl}{Z}_P({\omega }^{j+1})& =\prod _{h=0}^j\prod _{i=0}^{m-1}\frac{v_i({\omega }^h)+\beta \cdot {\delta }^i\cdot {\omega }^h+\gamma }{v_i({\omega }^h)+\beta \cdot s_i({\omega }^h)+\gamma }\\ & =Z_P({\omega }^j)\prod _{i=0}^{m-1}\frac{v_i({\omega }^j)+\beta \cdot {\delta }^i\cdot {\omega }^j+\gamma }{v_i({\omega }^j)+\beta \cdot s_i({\omega }^j)+\gamma }\end{array}$$

然后足够enforce the rules：
$$\begin{gathered} Z_P(\omega X)\cdot \prod _{i=0}^{m-1}\left(v_i(X)+\beta \cdot s_i(X)+\gamma \right)-Z_P(X)\cdot \prod _{i=0}^{m-1}\left(v_i(X)+\beta \cdot {\delta }^i\cdot X+\gamma \right)=0 \\ {\ell }_0\cdot (1-Z_P(X))=0 \end{gathered}$$

4. 调整为具有zero-knowledge属性

第3节中的证明不具有zero-knowledge 属性。类似于lookup argument，可将以上证明中每列的最后$t$行都以随机值填充。

限制usable rows的数量为$u=2^k-t-1$，与lookup argument中类似，引入2个selector：

• 1）$q_{blind}$ is set to $1$ on the last $t$ rows, and $0$ elsewhere；
• 2）$q_{last}$ is set to $1$ only on row $u$, and $0$ elsewhere（即，设置usable rows和blinding rows之间的过渡row）。

对于usable rows的product rule为：
$(1-(q_{last}(X)+q_{blind}(X)))\cdot$
$\left(Z_P(\omega X)\cdot \prod _{i=0}^{m-1}\left(v_i(X)+\beta \cdot s_i(X)+\gamma \right)-Z_P(X)\cdot \prod _{i=0}^{m-1}\left(v_i(X)+\beta \cdot {\delta }^i\cdot X+\gamma \right)\right)=0$
同理，对于row $0$的约束仍然为：
${\ell }_0(X)\cdot (1-Z_P(X))=0$

由于此处不再依赖wraparound来保证the product $Z({\omega }^{2^k})=1$，因此，可替换为constrain $Z({\omega }^u)=1$，但是这存在潜在的难点：
若存在某$i\in [0,u)$使得$A_i+\beta$或$S_i+\gamma$为$0$，则可能就没法满足permutation argument。
这种情况发生的概率相对于$\beta ,\gamma$可忽略，但是这将是实现 perfect zero knowledge 和 perfect completeness 的一个障碍——因为adversary可rule out witnesses that would cause this situation。

为了保证perfect completeness和perfect zero knowledge，可约束$Z({\omega }^u)$要么为$0$要么为$1$：
$q_{last}(X)\cdot (Z(X{)}^2-Z(X))=0$
此时，若存在某个$i$使得$A_i+\beta =0$或者$S_i+\gamma =0$，则可设置$Z_j=0$ for $i<j\le u$，从而满足constraint system。

注意，challenges $\beta ,\gamma$是在$A,S,A^{\prime },S^{\prime }$ commit之后才发送的，因此，Prover无法强制使$A_i+\beta =0$或$S_i+\gamma =0$。由于这种情况发生的概率可忽略，不会影响soundness。

5. Spanning a large number of columns

第3节中的rules：
$$\begin{gathered} Z_P(\omega X)\cdot \prod _{i=0}^{m-1}\left(v_i(X)+\beta \cdot s_i(X)+\gamma \right)-Z_P(X)\cdot \prod _{i=0}^{m-1}\left(v_i(X)+\beta \cdot {\delta }^i\cdot X+\gamma \right)=0 \\ {\ell }_0\cdot (1-Z_P(X))=0 \end{gathered}$$

可假设第一条rule中的column number $m$ 会小于等于 PLONK中设置的maximum degree bound。若column number $m$ 大于PLONK中设置的 maximum degree bound，则可做如下优化：
spanning a large number of columns。
Halo2实际实现时，并未限制equality constraints中columns的数量。但是，需要处理product rule中生成的多项式degree 大于 PLONK中配置的degree bound 的情况。可提升degree bound，但是若其它rule不需要a larger degree，这将使其它rule的效率降低。

可将product across $b$ sets of $m$ columns，切分为 product columns $Z_{P,0},\dots Z_{P,b-1}$，然后引入另一个rule来：
copy the product from the end of one column set to the beginning of the next。

对于$0\le a<b$，有：
$(1-(q_{last}(X)+q_{blind}(X)))\cdot$
$\left(Z_{P,a}(\omega X)\cdot \prod _{i=am}^{(a+1)m-1}\left(v_i(X)+\beta \cdot s_i(X)+\gamma \right)-Z_P(X)\cdot \prod _{i=am}^{(a+1)m-1}\left(v_i(X)+\beta \cdot {\delta }^i\cdot X+\gamma \right)\right)$
$=0$

为了简单起见，可假设enabled for equality constraints的列数量为$m$的倍数；如果不是整数倍，则最后一列的set具有少于$m$个项。

• 对于第一列set，有：
  $${\ell }_0\cdot (1-Z_{P,0}(X))=0$$
• 对于subsequent column set $0<a<b$，可采用如下rule来copy $Z_{P,a-1}({\omega }^u)$ 到下一列set $Z_{P,a}({\omega }^0)$ 的起始位置：
  $${\ell }_0\cdot \left(Z_{P,a}(X)-Z_{P,a-1}({\omega }^{u}X)\right)=0$$
• 对于最后一列set, 令$Z_{P,b-1}({\omega }^u)$ 要么为$0$要么为$1$：
  $$q_{last}(X)\cdot \left(Z_{P,b-1}(X{)}^2-Z_{P,b-1}(X)\right)=0$$
  从而具有perfect completeness 和 zero knowledge。

参考资料

[1] Halo2 之 Permutation argument