ZKSwap团队解读零知识证明算法之Zk-stark——Arithmetization_LIC:Knight War Spirits

前言

本系列的第一篇文章,以Zk-snark做对照,分别从概念和算法流程上,做了概括性的介绍。建议在阅读本篇文章之前,先阅读下第一篇文章的内容。本篇文章,让我们由浅入深,一起踏上探索Zk-stark算法奥秘的旅途。

回顾

在第一篇的文章中讲到,Zk-stark算法大体可以分为两个部分:Arithmetization和LowDegreeTesting。本篇我们先详细介绍算法的第一阶段Arithmetization。Arithmetization的整体步骤如下图所示:

那什么是Arithmetization?具体过程又是什么呢?带着这些疑问,让我们仔细的品味文章后面的内容。

首先,什么是Arithmetization?

Arithmetization就是把CIstatement转化成正式的Algebraiclanguage的过程,此步骤有两个目的:第一,把CIstatement以简洁清晰的方式呈现出来;第二,把CIstatement嵌入到代数域,为后面多项式的转换做铺垫。Arithmetizationrepresentation主要由两部分组成:第一,执行轨迹;第二,多项式约束。执行轨迹是一个表,表的每一行代表一个单步的运算;多项式约束的构造是和执行轨迹相辅相成的,即当前仅当执行轨迹是正确的,多项式约束会满足执行轨迹的每一行计算。最后把执行轨迹和多项式约束结合组成一个确定的多项式,然后对多项式进行LDT验证。至此,验证CIstatement的问题转换成了验证确定性多项式LDT的问题。

数据:zkSync Era提交区块数量突破100万:金色财经报道,据zkSync Era链上数据显示,当前提交区块数量已突破100万,本文撰写时达到1,001,636,其中已验证区块数量为932,956个,链上交易总量达到5,104,679笔。另据l2beat数据显示,zkSync Era锁仓量为1.56亿美元,涨幅98.52%。[2023/4/8 13:50:52]

Arithmetization

知道了Arithmetization的整体流程,接下来,我们讨论下具体的过程。为了便于理解,我们用一个简单的例子,来贯穿整个Arithmetization的过程。每个人都去过超市,一般超市的收据的内容如下:

现在,好莱坞人气演员Bob声称:"thetotalsumweshouldpayatthesupermarketwascomputedcorrectly"。那怎么验证呢?其实很简单,这时另一个气人演员Alice只要对着收据,每一项累加求和就可以完成验证。那么,这只是一个很简单的例子,事实上,Alice只需要5步,就可以完成验证过程。试想这样一个场景:毕竟Bob很有钱,在超市买了1000000样东西,同样,他又声称:"thetotalsumweshouldpayatthesupermarketwascomputedcorrectly",这时候,Alice真的生气了,这怎么验证,按照之前的办法,得大约要算1000000步,闹呢?谁爱干谁干。Bob心里也心疼Alice,毕竟那么多年了。心想,有没有什么牛掰的办法能让Alice用很少的步骤,就能确信我说的是对的呢?于是,Bob开动了最强大脑模式。下面,让我们用上面简单的例子,跟随Bob去寻找这个牛掰的办法。

zkSync生态Token出现普涨行情,ZZ(ZigZag)24小时涨幅18.8%:3月24日消息,据CoinGecko行情显示,zkSync生态Token出现普涨行情,其中:ZZ(ZigZag)现报0.613美元,24小时涨幅18.8%;FRIN(Fringe Finance)现报0.005美元,24小时涨幅14.4%;MUTE(Mute)现报1.65美元,24小时涨幅16.5%;SPACE(SpaceFi)现报0.187美元,24小时涨幅102.6%。行情波动较大,请做好风险控制。

此前报道,今日凌晨起,包括MathWallet、SpaceFi、Argent、Across、zkRock在内的众多zkSync生态项目以及zkSync官方账号均发布带有“03.24.23”字样与zkSync“?”图案的短视频,据社群猜测,zkSync或将于今日公布空投及主网相关事宜。[2023/3/24 13:24:06]

Bob心想,你不就是验证最终的总和对不对么?那我就把总和的计算过程列出来,我保证每次的累加都对,那么我最终的结果一定也是对的。于是Bob在收据上新增了一列,用来保存计算总和过程中的中间值,这就是执行轨迹。新增的一列值需要满足,初始化的值为0、最终的值和要付的总和相等、中间的每一个值都要等于上一个值加上上一行物品的单价,这构成了多项式约束。从图2可以看出:

数据:过去5日zkSync日均转入ETH超700枚,增幅超250%:10月25日消息,据Dune Analytics数据显示,自10月20日以来,zkSync网络ETH转入量持续出现快速增长,日均转入量为746.4枚。而此前日均转入量为199枚,增幅超250%。[2022/10/25 16:38:14]

多项式约束总共有3个,两个是边界约束,一个是循环约束;多项式的大小和执行轨迹的答案小没有关系,即表格的长度即使扩大到1000000,最终的多项式约束仍是这三个,唯一变化的是变量x的取值范围而已。在这里,借用V神的话来描述一下Zk-stark:Zk-Stark不是一个确定性的算法,它是一大类密码??数学结构,对于不同的应用,具有不同的最优设置。可以理解为,对于不同的问题,具有不同的算术化的方案,因此要做到具体问题具体分析。但是有一个共同目标就是,无论是什么问题,得到的执行轨迹最好是用一个LOOP就可以表示,这样得到的多项式约束也就最为简洁。多项式约束的个数和形式直接影响到了proof的大小和Zk-stark算法的性能,因此,寻找一个最优的设置对于Zk-stark算法显得尤为重要。回归到主题,现在Bob已经得到了多项式约束和执行轨迹,那么如何把它们转换成一个确定的多项式呢?请看下图:

火币ZKS活动奖励将双倍发放:据官方消息,Huobi Global的ZKS双重赚币活动奖励将在原先基础上双倍发放,已结束的ZKS交易和挖矿活动奖励也将双倍发放,补发奖励将在活动结束后7日内完成发放。

同时,Huobi Global已于2月25日完成对ZKS持有者空投ZKS的发放。用户可登录火币账户查看。[2021/2/25 17:52:34]

Bob首先把关注点切到执行轨迹,可以看到执行轨迹有2列,一列是单项价格,一列是价格总和,我们分别对两列的元素进行拉格朗日插值,得到两个函数f(x),w(x),0≤x≤5。分别对两个函数进行域扩展,得到了在更多的点上的评估,即f(x),w(x),0≤x≤10000。

然后,Bob把f(x),w(x)和多项式约束等式结合,得到一组确切的多项式约束(图中红色圈2所示),以循环约束多项式为例:

1≤x≤5w(x)-f(x-1)-w(x-1)=0(1)

令Q(x)=w(x)-f(x-1)-w(x-1),则有Q(1)=0、Q(2)=0、Q(3)=0、Q(4)=0、Q(5)=0。

ZKSwap已恢复Uniswap上ZKS/USDT资金池,并重新添加1089万美元流动性:据官方消息,基于ZKRollup扩容技术的AMM去中心化交易所ZKSwap表示空投已全部发放完成,原于Uniswap上的ZKS/USDT流动性资金池现已恢复。

在重新添加Uniswap上的流动性时,由于市场价格高于移除流动性时价格的50%,已按照市场价格重新添加1089万美元流动性。

目前ZKSwap功能已开发完毕,正在进行最后阶段压力测试。[2021/2/8 19:14:43]

根据已知事实,度为d的多项式H(x)在x=n处为0,则存在一个度为d-1的多项式H(x),满足d(H(x))=d(H(x))-1&&H(x)=H`(x)*(x-n)

因此对于Q(x),度为5,存在一个多项式Ψ(x),度为0,即常量,满足Q(x)=Ψ(x)*(x-1)(x-2)(x-3)(x-4)(x-5),令目标多项式T(x)=(x-1)(x-2)(x-3)(x-4)(x-5),度为5,则有:

Q(x)=Ψ(x)*T(x)(2)

验证者Alice从0≤x≤10000随机选择一点a,发送给证明者Bob,要求Bob返回相应的值,以公式(2)为例,Bob需要返回w(a)、w(a-1)、f(a-1)、Ψ(a),然后Alice判断等式是否成立,即:

w(a)-f(a-1)-w(a-1)=Ψ(a)*T(a)(3)

如果等式成立,则Alice大概率相信执行轨迹是正确的,那么原始计算成立。假如验证者Bob作恶,讲表格中的4.98改成5.98把,那么Q(1)=w(1)-w(0)-f(0)=5.98-0-4.98=1,不等于0。在这种情况下,观察公式(2),等式右边为Q(x),度为5,x=1不是零点;等式右侧Ψ(x)*T(x),令G(x)=Ψ(x)*T(x),度为5,因为T(x)在x=1处是零点,所以G(x)在x=1处也是0点,因此,等式两边实际上是度相等的不同多项式,其交点最多为5个,因此在0≤x≤10000范围内,只有5个值相等,9995值是不等的,因此随机的从0≤x≤10000中选择一个值,验证不通过的概率是99.95%,如果域扩展的范围更大,则验证不通过的概率将会更接近于1。按照同样的逻辑,分别处理边界约束多项式,得到的结果如图所示。

下面,我们讲讨论如何增加零知识属性。

对于证明者Bob来讲,执行轨迹是不希望被验证者Alice看到的,因为它会包含一些重要的信息,因此,限定验证者Alice只能从6≤x≤10000范围内随机选择一个值,进行验证,当然这种限定,双方都是同意的。

存在这样一类问题。当验证者Alice收到证明者Bob反馈的值时,如何保证这些值是合法的,确实是通过多项式的形式计算,并且这些多项式是小于某个度的,而不是证明者Bob仅仅为了验证通过,而生成的随机值?比如如何确保w(a)、w(a-1)、f(a-1)、Ψ(a)是多项式w(x)、f(x)、Ψ(x)分别在x=a&&x=a-1上的取值呢,且多项式w(x)、f(x)、Ψ(x)的度小于某个固定值的呢?这些问题将在下一篇文章中给出答案,在此之前,不如先讨论一下,为何多项式的度小于某个固定值就能证明原始执行轨迹式正确的呢?

从以上的例子中,可以看出,当且仅当执行轨迹是正确的时候,Q(x)才会在x取值为1、2、3、4、5时,等于0。那么Q(x)才可以被目标多项式T(x)整除,即:Ψ(x)=Q(x)/T(x),d(Ψ(x))=d(Q(x))-5。

从图3可以看出,需要验证的多项式的个数时5个(红色圈4所示),如果对每一个多项式都进行LDT,那么消耗是很巨大的,因此,可以通过将这些多项式进行线性组合(红色圈5所示),当且仅当每个多项式都满足小于某个度时,其线性组合后的多项式也是小于某个度的,这个条件时充分的,具体的细节见后续的系列章节。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金宝趣谈

[0:15ms0-3:464ms