Polygon zkEVM公式梳理

Posted 2022-12-08 mutourend

const resP = await starkGen(comPols, constPols, constTree, starkInfo)
其中输入有：

• 1）comPols：为commit多项式trace domain evaluation值
• 2）constPols：为常量多项式trace domain evaluation值
• 3）constTree：为常量多项式Low Degree Extension domain evaluation值的Merkle树
• 4）starkInfo：为Prover生成证明以及Verifier验证证明所需的逻辑表达

starkGen函数内各关键变量含义为：

• cm1_n：为commit多项式trace domain的evaluation值。
• cm1_2ns：为commit多项式low degree extension domain的evaluation值。
• tree1：为commit多项式扩域上evaluation值构建的Merkle树。
• cm2_n/cm2_2ns/tree2：为plookup约束相关evaluation值及Merkle树。
• cm3_n/cm3_2ns/tree3：为plookup/permutation/connection约束Z多项式evaluation值及Merkle树。
• exps_withq_n/exps_withq_2ns/q_2ns/tree4：为polIdentities约束相关evaluation值及Merkle树。【tree4为根据q_2ns构建的Merkle树。】
• constTree：为constant多项式low degree extension domain的evaluation值对应的Merkle树。

各关键变量定义为：

• $N=2^{\text{nBits}}$

• $\text{Next}=2^{\text{nBitsExt}}$

• $\text{extendBits}=\text{nBitsExt}-\text{nBits}$

• 令$w$为$F$域内的$N$-th root of unity，$w^{\prime }$为$F$域内的$\text{Next}$-th root of unity。

• 令$g$为$F.\text{shift}$，$e$为$F$域内的$2^{\text{extendBits}}$-th root of unity。

• $\text{ctx.Zi}$ 表示的是长度为$\text{Next}$的数组，其每个元素i为：
  $$\frac{1}{(g{w}^{\prime }{)}^{2^{\text{nBits}}}-1}=\frac{1}{(g^{2^{\text{nBits}}}\ast e^i)-1}=\frac{1}{g^N\ast e^i-1}$$

• x_n为长度为N的数组，其每个元素$i$为：$w^i$，其中$w$为$F$域内的$N$-th root of unity。【ctx.x_n为trace domain的插值点】

• x_2ns为长度为$\text{Next}$的数组，其每个元素$i$为：$g{w}^{\prime i}$，其中$w^{\prime }$为$F$域内的$\text{Next}$-th root of unity。【ctx.x_2ns为low degree extension domain的插值点】

• 令challenge[7]=$x_i$，有：$\text{xis}=x_i/g,\text{wxis}=(w{x}_i)/g$。构建长度为$N$的数组LEv_tmp，其每个元素$i$为：$(x_i/g{)}^i$；构建长度为$N$的数组LpEv_tmp，其每个元素$i$为：$((w{x}_i/g{)}^i$。以LEv_tmp中值为插值点$y$坐标，以x_n为插值点$x$坐标，ifft获得多项式系数数组LEv；同理以LpEv_tmp中值为插值点$y$坐标，以x_n为插值点$x$坐标，ifft获得多项式系数数组LpEv。

  • starkInfo.json的evMap中的第$i$项ev，若其ev.prime为true，则使用LpEv多项式；否则，使用LEv多项式。l = ev.prime ? LpEv : LEv;。根据ev.type取相应的扩域ctx.*_2ns evaluations中依次取第0、1<<extendBits、...、k<<extendBits、...、(N-1)<<extendBits共N个值$v$，计算 $\text{ctx.evals}[i]={\sum }_{k=0}^{N-1}v[k]\ast l[k]$。ctx.evals数组的长度为starkInfo.evMap.length。【后续计算FRI多项式扩域值ctx.exps_withoutq_2ns需用到。】

• 令 $\text{wxi}=w{x}_i$，其中$w$为$F$域内的$N$-th root of unity。

• ctx.xDivXSubXi 和 ctx.xDivXSubWXi 均为长度为$\text{N}$的数组，其每个元素$i$均为Goldilocks extension 3 域元素，表示为$[a_i,b_i,c_i]$。

  • ctx.xDivXSubXi的第$i$个元素为：$\frac{g{w}^{\prime i}}{g{w}^{\prime i}-x_i}$
  • ctx.xDivXSubWXi的第$i$个元素为：$\frac{g{w}^{\prime i}}{g{w}^{\prime i}-w{x}_i}$

• starkInfo.json中的“Zi”标签，在compileCode时翻译为ctx.Zi(i)。

以Fibonacci为例：

namespace Fibonacci(%N);


    pol constant L1, LLAST; //constant多项式
    pol commit l1,l2; //commit多项式

    pol l2c = l2; //中间多项式
	//公开变量值
    public in1 = l2c(0);
    public in2 = l1(0);
    public out = l1(%N-1);

    (l2' - l1)*(1-LLAST) = 0; //约束1

    pol next = l1*l1 + l2*l2; //中间多项式

    (l1' - next)*(1-LLAST) = 0; //约束2

    L1 * (l2 - :in1) = 0; //约束3
    L1 * (l1 - :in2) = 0; //约束4
    LLAST * (l1 - :out) = 0; //约束5

序号	$x$	$\mathbf{A}$（$l_2(x)$多项式）	$\mathbf{B}$（$l_1(x)$多项式）	$\mathbf{i}\mathbf{s}\mathbf{I}\mathbf{n}\mathbf{i}\mathbf{t}\mathbf{i}\mathbf{a}\mathbf{l}$（ L 1 ( x ) L_1(x) < 以上是关于Polygon zkEVM公式梳理的主要内容，如果未能解决你的问题，请参考以下文章 Polygon zkEVM Prover Polygon zkEVM网络节点 Polygon zkEVM节点代码解析 Polygon zkEVM——Hermez 2.0简介 Polygon zkEVM可验证计算简单状态机示例 Polygon zkEVM zkROM代码解析