SYM:二次算術程序：關于零知識證明的論述_ARK

作者：VitalikButerin

原標題：《QuadraticArithmeticPrograms:fromZerotoHero》

發表時間：2016年12月10日

最近人們對zk-SNARKs背后的技術有很多興趣，人們越來越多地試圖去揭開一些被許多人稱為“月球數學”的東西的神秘面紗，因為人們認為它的復雜性非常難以理解。zk-SNARKs的理解確實相當具有挑戰性，尤其是由于整個系統需要組裝起來才能工作的移動部件太多，但如果我們把這項技術一件一件地分解，那么理解起來就會變得更簡單。

這篇文章的目的不是用于完整的介紹zk-SNARKs，它假定您具有以下背景知識：

1-你知道zk-SNARKs和他的大致原理；

2-你有足夠的數學知識，能理解一些基本的多項式知識。(如ifP(x)+Q(x)=(P+Q)(x)，P和Q代表多項式，如果你對這類多項式表述方式已經非常熟悉，說明你符合繼續閱讀的要求)。

zk-SNARK知識管道圖，EranTromer繪制

如上圖，可以將以上零知識證明分為由上至下的兩個階段。首先，zk-SNARK不能直接應用于任何計算問題；相反，您必須將問題轉換為操作的正確“形式”。這種形式被稱為“二次算術程序”(QAP)，將函數的代碼轉換成這些代碼本身就非常重要。與將函數代碼轉換為QAP的過程一起運行的還有另一個過程，這樣，如果對代碼有輸入，就可以創建相應的解決方案(有時稱為QAP的“見證”)。這就是本文需要講述的內容。

在此之后，還有另一個相當復雜的過程來為這個QAP創建實際的“零知識證明”，還有一個單獨的過程來驗證別人傳給你的證據，但是這些細節超出了本文的范圍。

EOS生態二次融資平臺Pomelo第一期資助結束，209個EOS生態項目提交申請:12月2日消息，EOS生態二次融資平臺Pomelo第一期資助已于2021年12月1日21:00正式結束，總計收到209個EOS生態項目申請，其中來自中國、歐美、日韓、東南亞等世界多個地區的76個項目順利通過審核，涵蓋DeFi、錢包、NFT、基礎設施等多個類別。1022名獨立用戶為自己喜愛的項目發起了5796次捐助，總計捐助金額為30759枚EOS，約合133276美元，生態討論度與參與度高漲。

作為EOS網絡基金會資金申請正式渠道，此前EOS網絡基金會為Pomelo提供了價值50萬美元EOS作為本期資助的資金匹配池。目前Pomelo團隊正在進行結果分析與統計，匹配池中的資金將以二次融資的方式分配給通過KYC的合格項目。[2021/12/2 12:45:07]

在下面示例中，我們將選擇一個非常簡單的問題：

求一個三次方程的解:x**3+x+5==35(提示:答案是3)。

這個問題很簡單，但是重要的，你可以由此案例看到所有的功能是如何發揮作用的。

用編程語言描述以上方程如下：

defqeval(x):??y=x**3??returnx+y+5我們在這里使用的簡單編程語言支持基本的算術(+、-、、/)、恒等冪指數(x7，但不是x*y)和變量賦值，這足夠強大到理論上可以在其中進行任何計算(只要計算步驟的數量是有界的;不允許循環)。注意模(%)和比較運算符(<、>、≤≥)不支持,因為沒有有效的方法做模或直接比較有限循環群算法(感謝;如果有任何一種方法可以做到這一點，那么橢圓曲線密碼破環的速度將超過“二分查找”和“中國剩余定理”)。

動態 | IRIS 基金會第二次執行通證銷毀計劃 共計銷毀 1430 萬個通證:IRIS 基金會宣布根據為期一年的通證銷毀計劃，按時執行了第二次銷毀，通過兩筆交易共銷毀了 14,304,888 個 IRIS 通證，目前總量為 20 億個 IRIS 通證。本次銷毀涉及兩個地址：基金會預留的生態發展基金的主地址銷毀了 5,696,910 個 IRIS 通證，委托收益提取地址銷毀了 8,607,978 個 IRIS 通證。[2019/9/27]

您可以通過位分解來將語言擴展到模和比較，不過請注意，條件的兩個“路徑”都需要執行，如果您有許多嵌套的條件，那么這會導致大量開銷。

現在讓我們一步一步地經歷這個過程。如果你想自己做任何代碼，我在這里用Python實現了一段代碼

第一步：壓扁

第一步是一個“壓扁”的過程，我們把原來的代碼分解為最簡單的表達式，這種表達式有兩種形式:

1-x=y（y可以是變量或數字)2-x=y(op)z(op可以+,-,*,/，y和z可以是變量，數字或子表達式)。

你可以把這些表述看成是電路中的邏輯門。上述表達式x**3+x+5的扁平化過程結果如下:

sym_1=x*xy=sym_1*x//相當于實現了冪函數y=x**3sym_2=y+x~out=sym_2+5

你可以認為上述的每一行聲明都是一個電路中的邏輯門，與原始代碼相比，這里我們引入了兩個中間變量sym_1和sym_2，還有一個表示輸出的冗余變量~out，不難看出“壓扁”后的聲明序列和原始代碼是等價的。

第二步：轉為R1CS

現在，我們把它轉換成一個稱為R1CS的東西。R1CS是由三個向量(a,b,c)組成的序列，R1CS的解是一個向量s，其中s必須滿足方程

動態 | 億邦國際第二次提交的招股書已失效:據每經網消息，6月21日，港交所披露信息顯示，礦機巨頭“億邦國際”招股書已失效，這是億邦國際招股書的第二次失效，距億邦國際去年年底（2018年12月20日）向港交所第二次提交招股書足6個月。公開資料顯示，億邦國際曾于2018年6月24日首次遞交港交所上市申請，但該申請于當年12月失效。[2019/6/21]

s.a*s.b-s.c=0

其中.代表內積運算。

例如，以下是一個令人滿意的R1CS：

a=(5,0,0,0,0,1)，b=(1,0,0,0,0,0)，c=(0,0,1,0,0,0)，s=(1,3,35,9,27,30)，

上述例子只是一個約束，接下來我們要將每個邏輯門轉化成一個約束，轉化的方法取決于聲明是什么運算(+,-,*,/)和聲明的參數是變量還是數字。在我們這個例子中，除了“壓扁”后的五個變量('x','~out','sym_1','y','sym_2')外，還需要在第一個分量位置處引入一個冗余變量~one來表示數字1，就我們這個系統而言，一個向量所對應的6個分量是(可以是其他順序，只要對應起來即可)：

'~one','x','~out','sym_1','y','sym_2'

第一個門

sym_1=x*x，即x*x-sym_1=0

我們可以得到如下向量組：

a=b=c=

如果解向量s的第二個標量是3，第四個標量是9，無論其他標量是多少，都成立，因為：a=3*1,b=3*1,c=9*1，即a*b=c。同樣，如果s的第二個標量是7，第四個標量是49，也會通過檢查，第一次檢查僅僅是為了驗證第一個門的輸入和輸出的一致性。

聲音 | Polkadot創始人：計劃年底上線主網 將進行第二次代幣融資:以太坊聯合創始人Polkadot（波卡）創始人Gavin Wood近日接受采訪時表示，在面對大家非常關心的主網上線問題，Gavin Wood透露，現在的目標仍是在今年年底前推出。團隊希望在今年7月接近完成功能完整性，然后進行全面的審計，在第三方審計專家認為可以發布后，才會正式發布Polkadot主網。在主網發布前3個月，Polkadot將會進行第二次代幣融資，發售剩余的20%代幣，具體的形式還在研究考慮中，不過IEO也存在一定可能。[2019/4/16]

第二個門

y=sym_1*x，即sym_1*x-y=0可以得到以下向量組：

a=b=c=

第三個門

sym_2=y+x，加法門需要轉換為：(x+y)*1-sym_2=0得到以下向量組：

a=b=對應常量1，用~one位c=

第四個門

~out=sym_2+5，即(sym_2+5)*1-~out=0得到以下向量組：

a=b=c=

現在，我們假設x=3，根據第一個門，得到sym_1=9，根據第二個門得到y=27，根據第三個門，得到sym_2=30，根據第四個門得到~out=35，因此，根據：'~one','x','~out','sym_1','y','sym_2'，可以得到：

s=

如果假設不同的x，都可以得到不同的s，但所有s都可以用來驗證(a,b,c)

現在我們得到了四個約束的R1CS，完整的R1CS如下：

動態 | Monero第二次算法更新即將到來 預計升級之后難度會小幅回落:據財經網消息，Monero核心團隊成員@fluffypony將名為Cryptonight variant 2的pull request合入了主分支，這意味著Monero的第二次算法更新即將到來。

算法的具體改動總結如下：

1.整個改動只涉及到約500行代碼，是一些小改動，并沒有改動算法的核心部分，所以之前流傳的比如新算法不能用CPU挖或者不能用3G以下顯存挖均是謠言；

2.具體升級的區塊高度沒有包含在這個pull request里，意味著升級時間還沒確定；

3.這個改動會讓ASIC礦機再次失效（如果有的話），同時可能會讓開發新ASIC的難度變高；

按照上一次升級的經驗，礦工只需要在升級時間之前，將自己的挖礦軟件更新到最新版，同時確保礦池也是最新版本，就可以平滑遷徙。據悉，9月初難度已經開始上升，預計這次升級之后難度會有小幅回落。CoinMarketCap行情顯示，Monero（XMR）全球均價現為106.15美元，24小時漲幅6.63%。[2018/9/13]

A

B

C

第三步：從R1CS到QAP

下一步是將這個R1CS轉換成QAP形式，它實現了完全相同的邏輯，只是使用多項式而不是內積。我們是這樣做的：從4組長度為6的3個向量到6組長度為3度的多項式，在每個x坐標處求多項式代表一個約束條件。也就是說，如果我們求出x=1處的多項式，我們就得到了第一組向量，如果我們求出x=2處的多項式，我們就得到第二組向量，以此類推。

我們可以用拉格朗日插值來做這個變換。拉格朗日插值法解決的問題是：如果你有一組點(即(x,y)坐標對），然后對這些點做拉格朗日插值得到一個經過所有這些點的多項式。我們通過分解問題：對于每個x坐標,我們創建一個多項式,所需的y坐標的x坐標和y坐標0在所有其他的x坐標我們感興趣，然后讓最終結果我們一起添加所有的多項式。

讓我們做一個例子。假設我們想要一個多項式經過(1,3),(2,2)和(3,4)。我們首先做一個多項式，經過(1,3)(2,0)和(3,0)。事實證明,一個多項式,“伸出”x=1和0的其他的興趣點是很容易的，我們只要做以下多項式即可：

y=(x-2)*(x-3)

如下圖：

然后，在y軸方向“拉伸”，使用如下方程：

y=(x-2)*(x-3)*3/((1-2)*(1-3))

經整理，得到：

y=1.5*x**2-7.5*x+9

滿足同時經過(1,3)(2,0)和(3,0)三個點，如下圖：

將(2,2)和(3,4)兩點代入上式，可以得到：

y=1.5*x**2-5.5*x+7

就是我們想要的坐標方程。上述算法需要O(n3)時間，因為有n個點，每個點都需要O(n2)時間將多項式相乘。稍微思考一下，這就可以減少到O(n**2)的時間，再多思考一下，使用快速的傅里葉變換算法等等，它可以進一步減少——這是一個關鍵的優化，當在zk-spuks中使用的函數通常有成千上萬個門時。

在這里我直接給出拉格朗日插值公式：

通過n個點(x1,y1),(x2,y2),(x3,y3),...,(xn,yn)的n-1階多項式為：

例如上例中，通過點(1,3),(2,2),(3,4)的多項式為：

學會使用這個公式后可以繼續我們的步驟了。現在我們要將四個長度為六的三向量組轉化為六組多項式，每組多項式包括三個三階多項式，我們在每個x點處來評估不同的約束，在這里，我們共有四個約束，因此我們分別用多項式在x=1,2,3,4處來評估這四個向量組。

現在我們使用拉格朗日差值公式來將R1CS轉化為QAP形式。我們先求出四個約束所對應的每個a向量的第一個值的多項式，也就是說使用拉格朗日插值定理求過點(1,0),(2,0),(3,0),(4,0)的多項式，類似的我們可以求出其余的四個約束所對應的每個向量的第i個值的多項式。

這里，直接給出答案：

Apolynomials

Bpolynomials

Cpolynomials

這些系數是升序排序的，例如上述第一個多項式是0.833*x**3-5*x**2+9.166*x-5.如果我們將x=1帶入上述十八個多項式，可以得到第一個約束的三個向量

(0,1,0,0,0,0),(0,1,0,0,0,0),?(0,0,0,1,0,0),...類似的我們將x=2,3,4帶入上述多項式可以恢復出R1CS的剩余部分。

第四步：檢查QAP

通過將R1CS轉換成QAP我們可以通過多項式的內積運算來同時檢查所有的約束而不是像R1CS那樣單獨的檢查每一個約束。如下圖所示：

因為在這種情況下，點積檢驗是一系列多項式的加法和乘法，結果本身就是一個多項式。如果得到的多項式，在我們上面用來表示邏輯門的每一個x坐標處的值，等于0，那就意味著所有的檢查都通過了；如果結果多項式至少有一個非零值，那么這就意味著進出邏輯門的值是不一致的。

值得注意的是，得到的多項式本身不一定是零，事實上在大多數情況下不是;它可以在不符合任何邏輯門的點上有任何行為，只要在所有符合某些門的點上結果是零。為了驗證正確性，我們不計算多項式t=A.s*B.s-C.s在每一點對應一個門；相反，我們把t除以另一個多項式Z，然后檢查Z是否均勻地除t，也就是說，除法t/Z沒有余數。

Z定義為(x-1)*(x-2)*(x-3)…-最簡單的多項式，在所有對應邏輯門的點上都等于0。這是代數的一個基本事實任何多項式在所有這些點上等于零都必須是這個最小多項式的倍數，如果一個多項式是Z的倍數那么它在任何這些點上的值都是零；這種對等使我們的工作容易得多。

現在，讓我們用上面的多項式做內積檢驗。

首先，我們得到中間多項式：

A.s=B.s=C.s=（譯者注：以上計算過程：43.0=-5*1+8*3+0*35-6*9+4*27-1*30，-73.333=9.166*1-11.333*3+0*35+9.5*9-7*27+1.833*30,...-3=3*1-2*3+0*35+0*9+0*27+0*30...)

以上多項式經過：A.s*B.s-C.s計算后得到：

t=（譯者注：計算過程：A.s==-5.166*x3+38.5*x2-73.333*x+43,B.s==0.666*x3-5*x2+10.333*x-3.0,C.s==2.833*x3-24.5*x2+71.666*x-41.0A.s*B.s-C.s就是上面多項式的計算，計算后，按冪從低到高排列系數，得到：

點擊這里查看計算過程

最小多項式為：

Z=(x-1)*(x-2)*(x-3)*(x-4)

即：

Z=

以上計算過程點擊這里查看

現在計算多項式相除：

h=t/Z=

h必須是沒有任何余數的整除。

可以點這里查看到過來驗證。

我們有了QAP的解。如果我們試圖偽造R1CS中的變量，而這個R1CS推導出了QAP解決方案——比如,將s的最后一個數字設為31，而不是30，我們將得到一個t多項式失敗的檢查(在特定情況下,在x=3=1而不是0),而且不會是Z的倍數;相反，除以t/Z會得到的余數。

注意，以上只是一個非常簡單的示例；在現實世界中，加減乘除運算通常伴隨著非常規的數字，所以所有的我們知道并且愛戴的代數定律還是有用的，但是，所有答案是一些——的尺寸的元素，通常是從0到n-1范圍內的整數n。例如，如果n=13,然后1/2=7(7*2=1),3*5=2,等等。使用有限域算法消除了對舍入誤差的擔心，并允許系統與橢圓曲線很好地工作，這最終對使zk-SNARK協議變得真正安全。

Tags：SYMONEEOSARKsymbiosisfinance幣創始人moneroEOS CrashMARKO價格

XRP