上一篇主要描述了PLONK协议里的一个核心部分，用置换校验的方法去证明电路门之间的一致性；接下来，将继续分享如何证明门的约束关系得成立，以及整体的协议剖析。
门约束
举个简单的例子，假如存在一个电路，电路中仅有3个乘法门，对应的约束如下：
L1*R1-O1=0
L2*R2-O2=0
L3*R3-O3=0
进行多项式压缩：定义多项式函数L(X),R(X),O(X)满足：
L(1)=L1,R(1)=R1,O(1)=O1
L(2)=L2,R(2)=R2,O(2)=O2
L(3)=L3,R(3)=R3,O(3)=O3
此时，定义新的多项式函数F(X)，令F(X)=L(X)*R(X)-O(X)
则有：
F(1)=L(1)*R(1)-O(1)=0
F(2)=L(2)*R(2)-O(2)=0
F(3)=L(3)*R(3)-O(3)=0
也就是表明：如果多项式函数F(X)在X=1,2,3处有零点，则说明门关系约束成立。
多项式函数F(X)在X=1,2,3处有零点则表明多项式F(X)可以被(X-1)(X-2)(X-3)整除，为了和论文一致，我们把这个多项式函数设置成Z(X)，即：
Poly Network攻击者将约4.3万枚METIS出售为约349枚ETH:金色财经报道，据Spot On Chain监测，Poly Network攻击者在过去15小时内通过4个中间钱包在以太坊上将4.327万枚METIS出售为349.4枚ETH（约65.2万美元），导致METIS价格涨超10%。当前，该攻击者仍然持有62,8181枚METIS。[2023/7/9 22:26:31]
F(X)=T(X)*Z(X)==>T(X)=F(X)/Z(X)
如果能证明T(X)是一个多项式，则说明多项式F(X)与Z(X)有相同的零点，进而说明门约束关系成立。
一般过程应该如下：
1.P计算F(X)并把F(X)发送给V；
2.V根据Z(X)直接校验F(X)/Z(X)
但是如此过程存在两个问题，一个是复杂性问题，假如F(X)的阶为n，那通信复杂度就是O(n)；而是安全性问题，多项式F(X)完全暴露给V。
那应该如何解决这两个问题呢？最佳的答案可能就是：多项式承诺
多项式承诺
什么是多项式承诺？就是证明方P用一个很短的数据来代表一个多项式F，这些很短的数据可以被验证方V用来验证多项式F在某一点的值确实为证明方P声称的值z。
江西省委书记：各级领导干部要沉下心学习区块链等新兴产业相关知识:4月16日，江西省委、省政府召开全省数字经济创新发展大会，省委书记刘奇出席并讲话。他表示，各级领导干部要善于学习借鉴先进地区的好经验好做法，沉下心学习大数据、云计算、人工智能、区块链等新兴产业相关知识，切实提高发展数字经济的能力水平，努力做数字经济发展的行家里手。（大江网）[2020/4/17]
具体看一下论文里的定义：
由图可知：
1.Setup:初始化，生成计算多项式承诺需要的一些必备参数；
2.Commit:计算多项式承诺，其结果是一个值；
3.Open:返回与多项式承诺对应的多项式函数；
4.VerifyPoly:验证多项式承诺是否和多项式函数一致；
5.CreateWitness:证明多项式函数在某一点的值是否是证明方P声称的值，具体的数学方法就是：判断多项式是否能被整除，即：
6.VerifyEval:验证方V验证多项式函数在某一点的值是否是证明方P声称的值，具体的数学方法是：利用双线性配对验证其数学乘法逻辑关系。
声音 | 肖磊：局集体学习“区块链” 中美角逐科技创新制高点:今日，财经作家肖磊发文《局集体学习“区块链”，中美角逐科技创新制高点》称，本周四，中共中央局就区块链技术发展现状和趋势进行集体学习。首先给区块链技术做了定性：1.全球性争夺技术；2.对整个技术和产业领域都会发挥重要作用；3.中国有很好的发展基础，区块链技术未来会全面融入经济社会。其次，明确了发展目标是争取成为区块链领域的领导者。第三，是指出当前需要深化的应用领域包括数字金融、物联网、智能制造、供应链管理、数字资产交易等多个领域。第四，未来要发展区块链+。首次在国家层面提出“区块链+”，要探索“区块链+”在民生领域的运用，积极推动区块链技术在教育、就业、养老、精准脱贫、医疗健康、商品防伪、食品安全、公益、社会救助等领域的应用。同时提出三个方向，要加快产业发展，发挥好市场优势，进一步打通创新链、应用链、价值链。最后是如何监管区块链领域，要探索建立适应区块链技术机制的安全保障体系，引导和推动区块链开发者、平台运营者加强行业自律、落实安全责任。要把依法治网落实到区块链管理中，推动区块链安全有序发展。[2019/10/26]
继续回到我们上面的问题：
证明方如何证明：T(X)=F(X)/Z(X)，我们再简化一下场景，就令Z(X)=X-1，则:
T(X)=F(X)/(X-1)==>T(X)*(X-1)=F(X)==>T(X)*X=F(X)+T(X)
金色相对论 | 肖臻：区块链核心技术还是属于分布式系统、密码学等计算机传统领域，跟机器学习也有很好的结合点:在今日的金色相对论中，针对“区块链、分布式系统以及机器学习领域的研究具体应用有哪些”的问题，北京大学计算机系研究员、博士生导师，肖臻表示，虽然区块链表面上是个新的领域，其实核心技术还是属于分布式系统、密码学等计算机传统领域，跟机器学习也有很好的结合点，目前我们正在致力于利用该技术实现智能合约的高效、细粒度并发执行。已有的区块链技术（比如以太坊中的智能合约）只支持单线程，就是因为在多核环境下并行程序的执行存在不确定性，影响区块链中的节点达成共识。我的课题组开发的确定性重演技术有希望极大地提高智能合约的执行效率，成为区块链3.0中的核心技术。我们的另一项成果是基于多智能体的智能决策系统，通过强化学习技术使得各智能体在去中心化的情况下独立做出判断，实现某个预先设定好的效益函数的最大化。[2019/9/12]
对应多项式承诺的协议可知：证明方P其实是想证明多项式函数F(X)再X=1处的值为0，因此根据协验证方只需要证明：
e(Commit(T(x)),x*G)=？e(Commit(F(x))+Commit(T(x)),G)(双线性配对的性质)
可以看出，利用多项式承诺的数学工具，既可以实现复杂度的优化，又可以实现隐私保护。
声音 | 学习时报：推进数字货币发展必须在安全、可控、可管的前提下稳妥稳步推进:今日，《学习时报》发表题为“积极谋划我国数字货币发展”的分析文章。文章中表示，加强对数字货币研究，谋划我国数字货币发展未来，已经迫在眉睫。针对我国数字货币发展的对策，文章中建议：1.支持移动支付企业国际化发展；2.加快建立我国数字货币发展体系；3.加快制定数字货币监管制度；4.构建数字货币监管技术体系。文章最后还表示，数字经济时代到来，经济社会各个领域都在加快数字化转型，金融领域也不例外，数字货币作为货币数字化发展的重要方向，未来发展势不可挡。然而，货币的数字化和其他领域的数字化具有很大不同，货币具有较强的金融属性，与各国经济、金融、财政、税收、安全等各类政策高度息息相关，发展措施稍不谨慎甚至会引发经济社会破坏性震荡。因此，推进数字货币发展不允许试错，必须在安全、可控、可管的前提下稳妥稳步推进。[2019/8/16]
协议
接下来分析一下完整的PLONK协议：
Relation
上图表示了PLONK算法里，要证明的一种关系，需要说明的是：
1.w代表着电路里的输入、输出，总共3n个，n是电路里乘法门的数量，每个门都有左输入，右输入和输出，因此w总共有3n个；
2.q*代表着选择向量，它的取值对应这这个是乘法门，还是加法门等类似的约束类型
3.σ代表着置换多项式，其表示门之间的一致性约束索引
4.倒数第一个公式代表门之间的约束成立
5.倒数第二个公式代表门的约束关系成立
CRS&P_Input&V_Input
上图表示了PLONK算法里的CRS设置，以及证明方P和验证方V的一些输入，需要说明的是：
1.整个协议都是基于多项式的，因此需要构建对应的多项式形式。
2.多项式σ的阶是3n的，由于和多项式承诺相关的CRS最高的阶位n+2，因此需要把σ拆分成3个多项式S,分别记录每个多项式的置换关系(L,R,O);
3.为了减少通信复杂度和保护隐私，协议基于多项式承诺构建，因此验证方V的输入都是承诺值。
Prove
上图表示了PLONK算法里证明方的一些操作，需要说明的是：
1.b1,...b9是随机数，从用法看是为了安全，但是我暂时也没明白，不加这个随机数，又会有什么安全问题？
2.a(X),b(X),c(X)分别是代表了电路里的左输入，右输入和输出
3.,,表示多项式的承诺值，参考多项式承诺小节里的承诺计算方法
上图表示了PLONK算法里证明方的一些操作，主要是置换校验，参考第一篇的置换校验的协议过程，生成多项式z(X)，需要说明的是：
1.β和?都是用来生成置换校验函数的参数，详见第一篇里f`(x)和g`(x)的生成过程；
2.z(X)的生成方式对应置换校验里跨多项式的生成过程，Li(X)为拉格朗日多项式基，性质满足，尽在x=i的时候为1，其他为0；
3.注意区分ω和w，ω是群H的生成元，是多项式的自变量的取值。w是电路的左输入，右输入和输出，是多项式L,R,O在在群H上的取值。
上图表示了PLONK算法里证明方P的一些操作，主要是把门约束和门之间的一致性约束组合到一起，通过α，需要说明的是：
1.根据前面的描述，门约束多项式和一致性约束多项式在群H上的所有元素都是取值为0的，因此都会被多项式ZH(X)整除，等同于上面所述的T(X);
2.因此，证明方只要能证明整除的结果的确是多项式，那就能证明，门约束多项式和一致性多项式在群H所有元素上取值为0，即所有约束关系成立，即电路逻辑成立；
3.可以知道的是t(X)的阶最高为3n，但是用于计算承诺的CRS只到了n的级别，因此需要把多项式t(X)拆分，然后单独计算承诺值。
上图表示了PLONK算法了证明方P的一些操作，主要根据多项式承诺的协议，前面P算出了多个多项式在点x=z处的值是多少，现在要用多项式承诺协议去证明，这些计算是正确的，需要说明的是：
1.为了减少验证方V的操作复杂度，t(X)的分子部分r(X)在x=z处的值，P计算好，然后验证方直接验证，其他的操作类似；
2.v的值看起来是为了更安全；
3.Wz(X)对应多项式协议里的CreateWitness操作，证明这些多项式r(X),a(X),b(X)等在x=z处的值确实等于r,a,b等，对Wzw(X)同理，并返回承诺值。
Verify
至此，证明方P的所有操作都完事了，接下来都是验证方V的操作。
上图表示了PLONK算法里验证方V的一些操作，主要重新生成相关的参数，确保证明方P没有作恶。需要说明的是：
1.从输入看，比较清晰，就是一些公开的输入和证明方P的证明输出；
2.根据输入，生成置换校验过程中需要的一些参数
上图表示了PLONK算法里验证方V的一些操作，对于一些公开的，并且计算复杂度很小的多项式，其在x=z处的值还是需要自己计算，更为方便。需要说明的是：
1.根据证明方P的过程来看，验证方V的核心工作就是验证两个多项式承诺；
2.两个多项式承诺验证需要两个配对，可以通过一个参数组合成一个配对，即μ；
3.在验证前，先计算Wz(x),Wzw(x)的分母在x=z处的值，两部分，减数和被减数，分别对应,。μ作为系数的，就是对应Wzw(X)多项式的。
4.最后通过一个双线性配对操作完成两个多项式承诺的验证。
结束
至此，PLONK算法的协议原理已全部分享完成，公式很密集，但是细分下来，又很有层次感。能坚持看完，已实属不易。各位读者有什么不同的简介，还请指教，谢谢。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。