Customizable constraint systems for succinct arguments学习笔记（1）

1. 引言

微软研究中心Srinath Setty、a16z crypto research 和 Georgetown University Justin Thaler、Carnegie Mellon University Riad Wahby 20203年论文《Customizable constraint systems for succinct arguments》。

在该论文中，介绍了Customizable constraint systems（CCS），在不增加开销的情况下，同时涵盖了当前主流的电路表示：

• 1）R1CS（rank-one constraint system）：约束电路degree只能为2。
• 2）AIR（algebraic intermediate representation）：电路必须是uniform的。
• 3）Plonkish：泛指具有custom gates的约束系统，或，RAP（randomized AIR with preprocessing），或，TurboPLONK/UltraPLONK。
  • 不同于AIR，不要求电路是uniform的。
  • 不同于R1CS，支持约束degree大于2。
  • Plonkish的表现力更强，对于特定program execution，其表示要比R1CS或AIR更简短。但是，对于Prover来说，证明Plonkish需要更高的per-gate（或per-constraint）开销。
    很多应用场景，其减少的circuit size所接受的成本，可能超过了 Prover证明更具表现力gate的成本。

不同于Plonkish和AIR，CCS不与特定的证明系统绑定。

• 1）SuperSpartan：CRYTPO20论文Spartan中的linear-time polynomial IOP for R1CS 很容易扩展为CCS，将其与 某多项式承诺方案结合，可生成针对CCS的SNARK族——称为SuperSpartan。

  • 1.1）SuperSpartan支持high-degree constraints，且随着constraints degree的增加，prover不会有额外的cryptographic开销，仅会增加field operations。

  • 1.2）Spartan中不包含FFT运算。（FFT运算需superlinear-time，且难于分发处理。）
    不过HyperPlonk采用不同的方法，也为Plonkish实现了无需FFT运算的效果。但是，在不增加开销的情况下，当前并不清楚如何用HyperPlonk（或Plonk）来证明CCS instance（甚至是R1CS instance）。

  • 1.3）不同于HyperPlonk，SuperSpartan可证明CCS（包括AIR） uniform instance：

    • Verifier：无需linear-time preprocessing。
    • 针对这些CCS instance，SuperSpartan提供了“free” addition gates。

  • 1.4）SuperSpartan for AIR：

    • 为首个针对AIR的SNARK
    • 具有linear-time Prover：比现有的AIR STARK方案的Prover要更快。
    • transparent
    • sublinear-time pre-processing
    • polylogarithmic proof size
    • plausible post-quantum security。
• 2）SuperMarlin：2020年Marlin 的扩展。

SNARK（ succinct non-interactive argument of knowledge）中的succinct是指：

• 验证某proof的速度 要比 直接检查witness本身的速度 快指数级。（即proof size要比待证明的statement size 小指数级。）

之前研究通常认为Plonkish与R1CS有很大的不同，并且优于R1CS，并相信，为支持Plonkish，必须基于Plonk证明系统[GWC19]。为提升效率，对底层基石进行修改——如HyperPlonk [CBBZ23]，HyperPlonk严格遵循Plonk的证明系统，但：

• 将基于单变量多项式的“zero checks”、“permutation checks”和“product checks” 替换为 基于multilinear多项式[Set20, SL20]的等价gadgets。
• 这种替换的动机是：这些基于multilinear多项式的gadgets采用了sum-check协议[LFKN90]，该协议对Prover具有独特的成本分布（如，可实现linear-time Prover [Ta13，Set20]）。

1.1 本文贡献

本文贡献主要有3方面：

• 1）CCS：引入了名为Customizable constraint systems（CCS）的R1CS新扩展。CCS可同时扩展Plonkish、AIR和R1CS，可将这3种instance以costless的方式转换为等价的CCS instance。在本文附录B中，还展示了CCS的自然扩展（CCS+），可支持对read-only tables/memories的lookup操作。
  通常以gate checks、copy checks、permutation checks等方式来描述“Plonkish circuits”，而Plonk证明系统是对这些类型checks的证明。
  而CCS中不关心这些checks如何被证明。
  与R1CS类似，CCS中仅包含：

  • matrix-vector products
  • Hadamard（即entry-wise）vector products
  • summation

  与AIR、R1CS电路类似，Plonkish的IR（Intermediate Representation）也可由许多不同的证明系统证明，而不仅局限于Plonk证明系统及其变种。
  类似地，AIR satisfiability（如[BSCKL23, Sta12, BBHR19a]）也常与特定的证明系统绑定。本文将AIR也定义为了CCS格式。

• 2）SNARKs for CCS：本文发现，之前的polynomial IOPs for R1CS，当结合某多项式承诺方案，可生成SNARKs for R1CS。
  将现有个的名为Spartan和Marlin的polynomial IOPs for R1CS进行扩展，分别获得polynomial IOPs for R1CS 的 SuperSpartan和SuperMarlin。
  SuperSpartan具有特别吸引人的开销概括：【类似的性能HyperPlonk以另一种方式实现了】

  • 其Prover的cryptographic开销，不会随constraints degree增长。Spartan中不包含FFT运算。（FFT运算需superlinear-time，且难于分发处理。）

  注意：

  • Remark 1：当前不清楚如何来对polynomial IOPs for Plonkish（Plonk和HyperPlonk）进行扩展以适于处理CCS或R1CS。
    主要问题在于Plonk和HyerPlonk中限制了特定类型的linear constraints（又名“copy constraints”）——仅用于enforce equality between a pair of values in the satisfying assignment。
    而Spartan和Marlin中 都有名为sparse polynomial commitment scheme，如[Tha20第10.3.2和16.2节]，的机制来处理通用linear constraints。
    此外，SuperSpartan可用于：
    • uniform instances of CCS，包括由AIR提升的CCS instance和CCS并行变种
    • 提供了“free” addition gates，即Prover的cryptographic work与CCS instance中的加法运算次数无关。该属性与之前需要per-circuit trusted setup[GGPR13, Gro16]的SNARKs for R1CS类似。
  • Remark 2：Spartan和SuperSpartan的polynomial IOP为interactive oracle protocols [BFL92]，为早于（polynomial）IOP的证明模型，且更简单。
    在Babai等[BFL92]的interactive oracle protocol模式下，Verifier可 以functions或polynomials形式，query访问Prover的特定oracles，但除此之外，Prover和Verifier进行交互式证明（一个密切相关的证明模型是interactive PCP[KR08]，其中Prover的oracle为某PCP）。特别是，在interactive oracle protocol中，在交互过程中不发送oracle。

• 3）SNARKs for uniform CCS（including AIR）：
  本文将描述如何用SuperSpartan来证明“uniform” circuits（特别是，所有AIR instance）的同时，在无需任何preprocessing的情况下实现succinct Verifier。具体依赖的关键技术为：

  • Verifier需evaluate certain multilinear polynomials that capture the “wiring” of the circuit（即CCS instance）。

  支持preprocessing phase的话，Verifier需在offline phase对这些多项式进行commit，然后Prover需在online phase中证明其evaluations。 对于由AIR提升而来的CCS instance，Verifier可在无需任何preprocessing的情况以下，以logarithmic time完成该工作。详情见本文Theorem 2。这可确保SuperSpartan的Verifier以logarithmic time运行（+ 验证多项式承诺方案中的single evaluation proof的time）。从而可实现具有良好开销概况的SNARKs for AIR。
  将SuperSpartan 与 Orion[XZS22]的多项式承诺方案结合，可实现首个具有polylogarithmic time Verifier和linear-time Prover的SNARK for AIR。
  若将SuperSpartan与Orion之前的Brakedown[GLS+21]结合，可实现具有linear-time的field-agnostic，但proof size为AIR instance witness size的平方根。
  尽管HyperPlonk提供了SNARK for AIR，但其需要circuit-dependent preprocessing phase，其time与circuit size呈线性关系，比SuperSpartan for AIR所需的Verifier time要大指数级。该preprocessing算法是指HyperPlonk中的indexer算法，也在[CHM+20, COS20]等早期作品中用作preprocessing。

2. Customizable constraint systems（CCS）

R1CS为quadratic arithmetic programs (QAPs) [GGPR13]中的NP-complete problem。
R1CS instance中包含：

• a set of $m$ constraints
• a vector $z$ over 有限域$\mathbb{F}$，为便于描述，将向量的初始索引值设为1。
• $z$ satisfies所有$m$个约束，则称其satisfy该R1CS instance。

在R1CS instance中：

• 以“structure”来描述约束
• “instance”中仅包含public input。

详细的R1CS定义为：

其中：

• $z=(w,1,x)\in {\mathbb{F}}^n$。
• $\cdot$为matrix-vector乘法运算。
• $\circ$为向量间的Hadamard（即entry-wise）product。
• $0$为$m$-sized向量，其每个条目等于$\mathbb{F}$的additive identity。
• $l$：表示public input个数。
• $m$：表示单个矩阵中的行数。
• $n$：表示单个矩阵中的列数。
• $N$：为$\Omega (\max (m,n))$，即单个矩阵中的最大非零元素个数。即保证矩阵是sparse的。

详细的CCS定义为：

其中：

• $l$：表示public input个数。
• $t$：表示矩阵总个数。
• $m$：表示单个矩阵中的行数。
• $n$：表示单个矩阵中的列数。
• $N$：为$\Omega (\max (m,n))$，即单个矩阵中的最大非零元素个数。即保证矩阵是sparse的。
• $q$：即"structure"约束多项式中所包含的单项的总个数。
• $d$：即"structure"约束多项式中的单项中最多包含的矩阵个数。
• $S_i$：为"structure"约束多项式中第$i$个单项中所包含的矩阵的index索引号。
• $c_i$：为"structure"约束多项式中第$i$个单项中所包含常量值。

注意：

• 等式（3）中的$z$向量的第$0$个元素固定为1。

2.1 将R1CS表示为CCS

假设在算法中存在NP checker，其输入有NP instance和NP witness，会检查该witness是否satisfies该instance。
本文也采用类似的checker runtime来检查转换效率，也会作为size overhead的proxy（如将某R1CS witness转换为CCS witness）。

将R1CS表示为CCS：

2.2 将Plonkish表示为CCS

Plonkish定义为：

其中：

• $g$：即"structure"约束多项式 对应为 多变量多项式$g$。
• $t$：即"structure"约束多项式（即多变量多项式$g$）中的变量个数。【对应CCS定义中的矩阵总个数。】
• $q$：即"structure"约束多项式（即多变量多项式$g$）中所包含的单项的总个数。【对应CCS定义中的 "structure"约束多项式中所包含的单项的总个数】
• $d$：即"structure"约束多项式（即多变量多项式$g$）中的单项中的最大total degree。【对应CCS定义中的 "structure"约束多项式中的单项中最多包含的矩阵个数】
• $s$向量：为selectors取值常量向量。
• $e$：为selectors取值常量个数。
• $m$：表示"structure"中有$m$个约束。【对应CCS定义中的单个矩阵中的行数】
• $l$：表示public input个数。【对应CCS定义中的public input个数】
• $n$：表示witness + public input 总个数。【对应CCS定义中的单个矩阵中的列数】
• $T_i$向量：对应第$i$个约束的向量，$T_i$向量的长度为$t$，$T_i$向量内的每个元素的取值范围为 { 0 , ⋯   , n + e − 1 } \{0,\cdots,n+e-1\} {0,⋯,n+e−1}。可将$T_i$看成是从声称satisfying assignment $z$中选出$t$个元素给多变量多项式$g$。

Remark 3：

• Plonkish通常结合gate constraints和copy constraints来表示，其中：
  • copy constraints：用于enforce satisfying assignment中的某特定element pair具有相同的值。

在上面的Plonkish定义中，避开了copy constraints，其使用的“duplicated”版本的satisfying assignment的length 要短于 Plonkish satisfying assignment的copy constraints数。相比于Plonkish，SNARKs for CCS需具有更快的Prover，因Prover的瓶颈在于对satisfying assignment的cryptographically commit。

Remark 4：

• 典型的Plonkish instance中应包含不是一个，而是多个，多变量多项式$g$，即$g_0,\cdots ,g_{k-1}$。
  不过实际用时，用单个多项式$g$，连同$\log k$个selectors $s$，来对$g$多项式的项进行开关，以 仿真不同的可能多项式$g_0,\cdots ,g_{k-1}$中的一个。$g$多项式的total degree最多为 $\log k$ 乘以 “$g_0,\cdots ,g_{k-1}$中的最大total degree”。

将Plonkish表示为CCS的流程为：
令$w_{CCS}=w_{Plonkish}，{\mathcal{I}}_{CCS}={\mathcal{I}}_{Plonkish}$。
令$S_{CCS}=(m,n,N,l,t,q,d,[M_0,\cdots ,M_{t-1}],[S_0,\cdots ,S_{q-1}],[c_0,\cdots ,c_{q-1}])$，其中$m,n,l,t,q,d$源自上面定义的$S_{Plonkish}$。
剩下的$S_{CCS}$元素的转换规则为：

• 1）派生$M_0,\cdots ,M_{t-1}$和$N$：

  • 注意$g$为$S_{Plonkish}$中的具有$t$个变量的多变量多项式，$T_0,\cdots ,T_{m-1}$每个向量长度为$t$，其中的每个元素为 { 0 , ⋯   , n + e − 1 } \{0,\cdots,n+e-1\} {0,⋯,n+e−1}，为指向$z$向量的索引值。
    除以下指定值之外，$M_0,\cdots ,M_{t-1}\in {\mathbb{F}}^{m\times n}$中的任意元素均为additive identity $0$ of $\mathbb{F}$。这些矩阵的每一行对应$S_{Plonkish}$的一个约束，因此，只需知道如何设定这些矩阵的第$i$行的值就足以。对于所有的 j ∈ { 0 , 1 , ⋯   , t − 1 } j\in\{0,1,\cdots,t-1\} j∈{0,1,⋯,t−1}，令$k_j=T_i[j]$，即$k_j$为$T_i$向量的第$j$个元素，$k_j$值后续表示取$z$向量的第$k_j$个元素：【即$M_0,\cdots ,M_{t-1}$矩阵中的首列对应公开的selectors信息，第$k_j$列的值表示选中$z$向量的第$k_j$个元素。】

    • 若$k_j\ge n$，则设置$M_j[i][0]=s[k_j-n]$。注意，等式（3）中的$z$向量的第$0$个元素固定为1。
    • 若$k_j<n$，则设置$M_j[i][k_j]=1$。

  • 设置$S_{CCS}.N$值为$M_0,\cdots ,M_{t-1}$中非零元素的总数。

• 2）派生$S_0,\cdots ,S_{q-1}$和$c_0,\cdots ,c_{q-1}$：

  • 注意$g$为$S_{Plonkish}$中的具有$t$个变量的多变量多项式，$g$具有$q$个单项，每个单项的degree最多为$d$。对于 i ∈ { 0 , 1 , ⋯   , q − 1 } i\in\{0,1,\cdots,q-1\} i∈{0,1,⋯,q−1}，设$c_i$为$g$中第$i$个单项的系数。
  • 对于 i ∈ { 0 , 1 , ⋯   , q − 1 } i\in\{0,1,\cdots,q-1\} i∈{0,1,⋯,q−1}，若$g$的第$i$个单项中包含了某变量$j$，其中 j ∈ { 0 , 1 , ⋯   , t − 1 } j\in\{0,1,\cdots,t-1\} j∈{0,1,⋯,t−1}，则将$j$添加到multiset $S_j$中 with multiplicity equal to the degree of the variable。

以standard PLONK约束$(q_L{)}_i{a}_i+(q_R{)}_i{b}_i+(q_O{)}_i{c}_i+(q_M{)}_i{a}_i{b}_i+(q_C{)}_i=0$为例：

如以上图为例，为转换为CCS表示，因为有$(q_M{)}_i{a}_i{b}_i=((q_M{)}_i{a}_i)\circ (1\cdot b_i)$，同时又有$(q_M{)}_i{a}_i=(M_{q_M}\cdot z)\circ (M_a\cdot z)$，即需要额外再引入一列$q_1$列，其所有值均为$1$。 将上图转换为：

从而有：

• $s$向量：为selectors取值常量向量。如上图中的各selector取值情况，则$s$向量对应为$(0,1,-1)$。

• $e$：为selectors取值常量个数。如上图情况，则$e$的个数为3。

• $t$：即"structure"约束多项式（即多变量多项式$g$）中的变量个数。【对应CCS定义中的矩阵总个数。】实际$t$表示约束系统的列数，如上图情况，$t$取值为9。【所谓的变量即对应上图的各个selector列的标识，如$q_L、q_R、q_O、q_M、q_C、q_1、a、b、c$，分别对应$M_0,M_1,\cdots ,M_8$。】

• $q$：即"structure"约束多项式（即多变量多项式$g$）中所包含的单项的总个数。【对应CCS定义中的 "structure"约束多项式中所包含的单项的总个数】如上图情况，$q$取值为5。

• $x$：为public input。如上图情况，$x=(5,10)$。

• $w$：为witness。如上图情况，为$a、b、c$三列中除public input之外，且copy constraints（上图颜色标识部分，只需二者取一），$w$ witness的size为$3\ast 6-2-2-1=13$。上图情况$w=(a_2,a_3,a_4,a_5,b_0,b_1,b_2,b_5,c_0,c_1,c_3,c_4,c_5)$

• $z$：CCS中的 $z_{CCS}=(1,x,w)$。如上图情况，$z$的size为$n=1+2+13=16$。也即CCS中每个$M_i$矩阵具有$n$列。 $z_{CCS}=(1,x,w)=(1,5,10,a_2,a_3,a_4,a_5,b_0,b_1,b_2,b_5,c_0,c_1,c_3,c_4,c_5)$。

• $m$：表示"structure"中有$m$个约束。【对应CCS定义中的单个矩阵中的行数】。也即CCS中每个$M_i$具有$m$行。

• $T_i$向量：对应第$i$个约束的向量，$T_i$向量的长度为$t$，$T_i$向量内的每个元素的取值范围为 { 0 , ⋯   , n + e − 1 } \{0,\cdots,n+e-1\} {0,⋯,n+e−1}。可将$T_i$看成是从声称satisfying assignment Plonkish $z_{Plonkish}$中选出$t$个元素给多变量多项式$g$。$T_i$向量中的每个元素值 对应 从 Plonkish $z_{Plonkish}=(1,x,w,s)$中选中相应元素的索引值。
  如上图情况，$z_{Plonkish}=(1,x,w,s)=(1,5,10,a_2,a_3,a_4,a_5,b_0,b_1,b_2,b_5,c_0,c_1,c_3,c_4,c_5,0,1,-1)$
  如上图情况，$T_i$对应上图第$i$行的前$t$列值 对应 $z_{Plonkish}$的索引值。有：
  $T_0=(17,16,16,16,16,17,1,7,11)$
  $T_1=(17,16,16,16,16,17,2,8,12)$
  $T_2=(18,16,16,17,16,17,3,9,5)$
  $T_3=(18,16,16,17,16,17,4,2,13)$
  $T_4=(17,17,18,16,16,17,5,1,14)$
  $T_5=(16,16,18,17,16,17,6,10,15)$

• 派生$M_0,\cdots ,M_{t-1}$矩阵：
  对于所有的 j ∈ { 0 , 1 , ⋯   , t − 1 } j\in\{0,1,\cdots,t-1\} j∈{0,1,⋯,t−1}，令$k_j=T_i[j]$，即$k_j$为$T_i$向量的第$j$个元素，$k_j$值后续表示取$z$向量的第$k_j$个元素：【即$M_0,\cdots ,M_{t-1}$矩阵中的首列对应公开的selectors信息，第$k_j$列的值表示选中$z$向量的第$k_j$个元素。】

  • 若$k_j\ge n$，则设置$M_j[i][0]=s[k_j-n]$。注意，等式（3）中的$z$向量的第$0$个元素固定为1。
  • 若$k_j<n$，则设置$M_j[i][k_j]=1$。

  对于上图情况，有：【事实上，每个$M_i$矩阵对应一个selector 及其所选中的$z_{CCS}$乘积项 。】
  $M_0=\left(\begin{array}{cccccccccccccccc}1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ -1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ -1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_1=\left(\begin{array}{cccccccccccccccc}0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_2=\left(\begin{array}{cccccccccccccccc}0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ -1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ -1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_3=\left(\begin{array}{cccccccccccccccc}0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_4=\left(\begin{array}{cccccccccccccccc}0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_5=\left(\begin{array}{cccccccccccccccc}1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_6=\left(\begin{array}{cccccccccccccccc}0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0\end{array}\right)$
  $M_7=\left(\begin{array}{cccccccccccccccc}0& 0& 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0\\ 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0\end{array}\right)$
  $M_8=\left(\begin{array}{cccccccccccccccc}0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 1& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 1& 0& 0& 0\\ 0& 0& 0& 0& 0& 1& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 1& 0& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 1& 0\\ 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 0& 1\end{array}\right)$

• $S_i$：为"structure"约束多项式中第$i$个单项中所包含的矩阵的index索引号。
  如上图情况，有 S 0 = { 0 , 6 } , S 1 = { 1 , 7 } , S 2 = { 2 , 8 } , S 3 = { 3 , 5 , 6 , 7 } , S 4 = { 4 } S_0=\{0,6\},S_1=\{1,7\},S_2=\{2,8\},S_3=\{3,5,6,7\},S_4=\{4\} S0​={0,6},S1​={1,7},S2​={2,8},S3​={3,5,6,7},S4​={4}

• $d$：即"structure"约束多项式（即多变量多项式$g$）中的单项中的最大total degree。【对应CCS定义中的 "structure"约束多项式中的单项中最多包含的矩阵个数】如上图情况，$d$取值为4。

• $c_i$：为"structure"约束多项式中第$i$个单项中所包含常量值。如上图情况，各$c_i$值均为1。

• 最终满足CCS定义：
  $(M_0\cdot z_{CCS})\circ (M_6\cdot z_{CCS})+(M_1\cdot z_{CCS})\circ (M_7\cdot z_{CCS})+(M_2\cdot z_{CCS})\circ (M_8\cdot z_{CCS})+(M_3\cdot z_{CCS})\circ (M_5\cdot z_{CCS})\circ (M_6\cdot z_{CCS})\circ (M_7\cdot z_{CCS})+(M_4\cdot z_{CCS})=0$

Remark 5：

• 当转换具有gate constraints和copy constraints的Plonkish为CCS时，CCS的witness个数 要比 Plonkish的witness个数 少copy constraints个。

Remark 6:

• Plonkish的NP-checker在evaluate $g$时是逐项操作的，用时为$O(qd)$，但对于某些$g$多项式，可进一步优化具有更快的evaluation流程。
  本文在将Plonkish reduce为CCS时，并不会引入增加SNARK Prover time的开销。原因在于，在SNARK for CCS中的Prover，其执行的field operations数量会随着$q$（$g$多项式中的单项个数）的增加而增加，但Prover所需的cryptographic operations数量与$q$无关。所谓cryptographic operations是指必须cryptographically committed的field elements数量。而通常，cryptographic operations数量为SNARK Prover的计算瓶颈。

Remark 7：

• 当由Plonkish升为CCS时，CCS结构中的特定稀疏矩阵，具有CCS结构中稀疏矩阵$M$的属性，即对于任意的satisfying assignment $z\in {\mathbb{F}}^n$，存在某fixed vector $v\in {\mathbb{F}}^n$，使得$M\cdot z=v$。
  在Plonkish到CCS的过程中，那些包含了Plonkish “selectors”的矩阵（如上例中的$M_0,M_2,\cdots ,M_5$），为减小sparse多项式承诺方案的复杂度和开销，SNARK for CCS（如SuperSpartan）：
  • 可对$v$ commit，而不是在preprocessing phase中对$M$进行commit；
  • 且在proving时，Prover可使用$v$来代替$M\cdot z$。

Remark 8：

• Plonkish instance在实现时常使用随机化fingerprinting技术（如检查多个向量相互为permutation关系）。这就要求Prover在了解fingerprinting流程中用于检查witness正确性的randomness之前，需先对某witness vector进行cryptographically commit。Plonkish instance仅仅实现了该randomized checking procedure。而本文的CCS和SNARK for CCS可很容易就适应处理这样的randomized流程。详细见[Tha20, 第6.6.2节]讨论了如何将约束系统由interactive reductions 提升到 circuit satisfiability problems。

2.3 将AIR表示为CCS

AIR定义为：

其中：

• $t$：为偶数。

• 理论上，AIR assignment $z$包含了$m+1$行，每行具有$t/2$列。上面的Definition 2.4定义中要求：

  • 当对$z$的每个相邻两行（即对于$i-1$行和$i$行，其中$i=1,2,\cdots m$）进行evaluate时，“constraint polynomial” $g$ evaluation值为0。
  • $z$的第一行，认为其为该computation的public input，即第一行的所有$t/2$个元素均属于public 信息 $x$。
  • $z$的最后一行，认为其是该computation的claimed public output，即最后一行的所有$t/2$个元素也均属于public 信息 $x$。
  • $z$中每行的$t/2$列，可看成是某CPU的特定register运行$m$个steps的“execution trace”。constraint polynomial $g$以 状态机相邻step $i-1$和$i$的寄存器值 为输入，检查在step $i$给寄存器的赋值 正确遵循了自$z$的$i-1$行为起始state进行CPU计算的规则。
  • witness vector $w$的size为：$(m-1)\cdot t/2$。因$z$共有$m+1$行，第一行和最后一行均为public信息。

• 本文可处理不只一个（多个）AIR constraint polynomials：
  为表示某CPU某single step的约束，通常需要多个约束多项式$g$，表示为$g_1,\cdots ,g_k$。通常$k$值为数十或数百[GPR21, BGtRZt23]。不过存在直观且标准的randomized reduction方法，可将具有$k>1$个约束多项式的AIR reduce为 只具有单一约束多项式$g$的AIR：

  • Verifier选择并发送随机数$r\in \mathbb{F}$给Prover，Prover将$g_1,\cdots ,g_k$替换为单一约束多项式：
    $g:={\sum }_{i=0}^{k-1}{r}^i\cdot g_i(8)$
    将方程式（7）中的$g$替换为$g_1,\cdots ,g_k$，若其均成立，则对$g_1,\cdots ,g_k$通过随机数$r$合成的random linear combination $g$替换到方程式（7）中成立的概率为$1$。与此同时，对于任意的$g_i$方程式（7）fail，则random linear combination $g$ fail的概率至少为$1-(k-1)/|\mathbb{F}|$。

• 与之前的AIR定义对比：
  之前的一些研究成果中，针对证明AIR instance satisfiability所使用的特定证明系统，以裁剪的方式来定义AIR instance，如称为STARKs [BBHR19b, Sta21, BSCKL23]。这些定义将witness vector $z$的行索引，定义为$\mathbb{F}$的某cyclic subgroup $G$的generator $h$的powers $h^i$，即$h^i$指向$z$的第$i$行。
  本文定义与该定义等价，只是更自然地将$z$的行索引号表示为整数 { 0 , ⋯   , m − 1 } \{0,\cdots,m-1\} {0,⋯,m−1}。不同之处在于：

  • 之前的AIR定义允许每个约束多项式与某associated subset of rows耦合，使得，该constraint仅对属于该subset的rows成立。该subset必须为$G$的subgroup，这实际上限制了其为“periodic” constraints，即意味着对每个第$k$行，其中$k$为a power of 2，则可应用该constraint。
    而本文的SNARKs易于修改为支持这样的periodic constraints（见Remark 11）。

将AIR表示为CCS：

令$w_{CCS}=w_{AIR},{\mathcal{I}}_{CCS}={\mathcal{I}}_{AIR}$。
令$S_{CCS}=(m,n,N,l,t,q,d,[M_0,\cdots ,M_{t-1}],[S_0,\cdots ,S_{q-1}],[c_0,\cdots ,c_{q-1}])$，其中$m,t,q,d$源自上面定义的$S_{AIR}$。
剩下的$S_{CCS}$元素的转换规则为：

• 1）派生$l$和$n$：
  令 $l=t/2,n=m\cdot t/2$ 。 应为：令$l=t/2,n=(m+1)\cdot t/2+1$。

  • 即$z_{AIR}$中首行为public input，共$t/2$个元素，令$l=t/2$表示public input个数。
  • $z_{AIR}$中每相邻2行对应一个约束，共$m+1$行，对应$m$个约束，令$n=(m+1)\cdot t/2+1$表示$z_{CCS}$的size。

• 2）派生$M_0,\cdots ,M_{t-1}$和$N$：
  注意，$S_{AIR}$中的$g$为具有$t$个变量的多变量多项式。
  除明确指出，以下$M_0,\cdots ,M_{t-1}\in {\mathbb{F}}^{m\times n}$中的任意元素均为$0$——即$\mathbb{F}$的additive identity。
  CCS中$M_0,\cdots ,M_{t-1}$矩阵中的一行对应$S_{AIR}$中$m$个约束中的一个，因此，若将CCS行索引号定为 { 0 , ⋯   , m − 1 } \{0,\cdots,m-1\} {0,⋯,m−1}，则令$i=0.\cdots ,m-1$，就足以定义这些矩阵中第$i$行的值。
  对于所有的 j ∈ { 0 , 1 , ⋯   , t − 1 } j\in\{0,1,\cdots,t-1\} j∈{0,1,⋯,t−1}，令$k_j=i\cdot t/2+j$（应为$k_j=(i-1)\cdot t/2+j$） 。存在3种情况：【根据Definition 2.4中定义可知，$|w_{AIR}|=(m-1)\cdot t/2$。】

  • 2.1）如$i=0$且$j<t/2$，则设置$M_j[i][j+|w_{AIR}|]=1$。即对$M_j$的首行的值进行设置。
    即表示取$z_{AIR}$的首行值（即public input）。
  • 2.2）如$i=m-1$且$j\ge t/2$，则设置$M_j[i][j+|w_{AIR}|+t/2]=1$。即对$M_j$的最后一行的值进行设置。
    即表示取$z_{AIR}$的最后一行值（即public output）。
  • 2.3）否则，设置$M_j[i][k_j]=1$。设置$M_j$的第$i$行的第$k_j$列值为1。
    即表示对应CCS的第$i$个约束，分别取$w_{AIR}$的第$i$和第$i+1$行值用于多项式$g$。

  这样使得$z_{CCS}=(w_{AIR},x_{AIR},1)$，$x_{AIR}$的前半部分对应$z_{AIR}$的首行的所有$t/2$个元素，$x_{AIR}$的后半部分对应$z_{AIR}$的最后一行的所有$t/2$个元素，其中：

  • $w_{AIR}$的size为$n=(m-1)\cdot t/2$。
  • $x_{AIR}$对应$z_{AIR}$首行和最后一行的值，其size为$t/2+t/2=t$
  • $z_{CCS}$的size为$(m+1)\cdot t/2+1$。

  2.1）和2.3）结合，表示CCS的第$0$个约束中，分别对$g$用$x_{AIR}$的前半部分和$w_{AIR}$的第一行；2.2）和2.3）结合，表示CCS的第$m-1$个约束中，分别对$g$用$x_{AIR}$的后半部分和$w_{AIR}$的最后一行；单独2.2），表示CCS中除第$0$和第$m-1$个约束之外的所有第$i$个约束，分别对$g$用$w_{AIR}$的第$i$和第$i+1$行。
  $S_{CCS}.N$值为：$M_0,\cdots ,M_{t-1}$矩阵中的所有非零元素总数。

• 3）派生$S_0,\cdots ,S_{q-1}$和$c_0,\cdots ,c_{q-1}$：
  注意，$S_{AIR}$中的$g$为具有$t$个变量的多变量多项式，$g$具有$q$个单项，每个单项的最大degree为$d$。
  对于 i ∈ { 0 , 1 , ⋯   , q − 1 } i\in\{0,1,\cdots,q-1\} i∈{0,1,⋯,q−1}，设置$c_i$为$g$中第$i$项的系数。
  对于 i ∈ { 0 , 1 , ⋯   , q − 1 } i\in\{0,1,\cdots,q-1\} i∈{0,1,⋯,q−1}，若$g$中第$i$项包含某变量$j$，其中 j ∈ { 0 , 1 , ⋯   , t − 1 } j\in\{0,1,\cdots,t-1\} j∈{0,1,⋯,t−1}，则将$j$添加到multiset $S_i$ 中，并with multiplicity equal to the degree of the variable。

经观察可发现，tuple $(S_{CCS},{\mathcal{I}}_{CCS})$ is satisfied by $w_{CCS}$ 当且仅当 $(S_{AIR},{\mathcal{I}}_{AIR})$ is satisfied by $w_{AIR}$。

与Remark 6类似，AIR的NP-checker在evaluate $g$时是逐项操作的，用时为$O(qd)$，但对于某些$g$多项式，可进一步优化具有更快的evaluation流程。
本文在将AIR reduce为CCS时，并不会引入增加SNARK Prover time的开销。原因在于，在SNARK for CCS中的Prover，其执行的field operations数量会随着$q$（$g$多项式中的单项个数）的增加而增加，但Prover所需的cryptographic operations数量与$q$无关。所谓cryptographic operations是指必须cryptographically committed的field elements数量。而通常，cryptographic operations数量为SNARK Prover的计算瓶颈。

Remark 9：

• 除非$m\le 3$，否则根据Lemma3由AIR转换来的CCS instance，其public input $x\in {\mathbb{F}}^t$的size 要远远短于 witness $w\in {\mathbb{F}}^{(m-1)t/2}$的size。
  根据后续第5章以及Theorem 1中的证明中可知，最终适合将$x$填充零后使其长度为$|w-1|$。这样可确保$z_{CCS}$的长度$n$、$|w_{AIR}|$、$|(1,x)|$的长度均可为powers of 2。这个很重要，可避免在将SNARK for AIR用于SNARK for CCS时Verifier的pre-processing开销。详细见后续Theorem 1证明中的段落可知，Verifier可高效evaluate $\tilde{z}$，这样的填充技术并不会让Verifier time与$m和n$呈线性关系，事实上，给Verifier time增加的开销仅为某加法常量值。

3. 背景知识

3.1 Multilinear extensions

对于具有$l$个变量的多项式$p:{\mathbb{F}}^l\to \mathbb{F}$，若$p$中每个变量的degree最多为1，则称$p$是multilinear的。
令 f : { 0 , 1 } l → F f:\{0,1\}^l\rightarrow \mathbb{F} f:{0,1}l→F为可将$l$维度的Boolean hypercube映射为某field $\mathbb{F}$的任意函数。
若对于所有的 x ∈ { 0 , 1 } l x\in\{0,1\}^l x∈{0,1}l，有$g(x)=f(x)$，则可称多项式$g:{\mathbb{F}}^l\to \mathbb{F}$ extend 函数$f$。
众所周知，对于任意的函数 f : { 0 , 1 } l → F f:\{0,1\}^l\rightarrow \mathbb{F} f:{0,1}l→F，存在唯一的extend 函数$f$的multilinear多项式$\tilde{f}:{\mathbb{F}}^l\to \mathbb{F}$。将多项式$\tilde{f}$称为函数$f$的multilinear extension（MLE）。

在interactive proof设计中常用到的一种特殊multilinear extension（MLE）为：多项式$\widetilde{eq}$为函数 e q : { 0 , 1 } s × { 0 , 1 } s → F eq:\{0,1\}^s\times \{0,1\}^s\rightarrow \mathbb{F} eq:{0,1}s×{0,1}s→F的MLE，详细定义为：
$eq(x,e)=\{\begin{array}{cc}1& \text{if x=e}\\ 0& \text{otherwise}\end{array}$
$\widetilde{eq}(x,e)={\prod }_{i=1}^s(e_i\cdot x_i+(1-e_i)\cdot (1-x_i))(9)$

事实上，很容易发现方程式（9）中右侧为一个multilinear多项式，当对任意input ( x , e ) ∈ { 0 , 1 } s × { 0 , 1 } s (x,e)\in\{0,1\}^s\times \{0,1\}^s (x,e)∈{0,1}s×{0,1}s evaluate时，若$x=e$，则输出为1，否则为0。因此方程式（9）中右侧为extend 函数$eq$的唯一multilinear多项式。同时，方程式（9）中暗示了，$\widetilde{eq}(r_1,r_2)$ evaluate at任意point $(r_1,r_2)\in {\mathbb{F}}^s\times {\mathbb{F}}^s$的用时为$O(s)$（本文认为任意的field addition或multiplicatio运算用时均为constant的）。

vector的multilinear extension定义：

• 已知某vector $u\in {\mathbb{F}}^m$，将$u$的multilinear extension表示为multilinear多项式$\tilde{u}$。可将$u$看成是某函数： { 0 , 1 } log ⁡ m → F \{0,1\}^{\log m}\rightarrow \mathbb{F} {0,1}logm→F：该函数的输入为整数$i\in [0,m-1]$的二进制表示$(i_0,\cdots ,i_{\log m-1})$，输出为$u_i$。多项式$\tilde{u}$为该函数的multilinear extension。

为获取任意函数的MLE表示，遵循[Tha20, Lemma3.6]标准规则，采用Lagrange插值方式：

其中多项式集合 { X w : w ∈ { 0.1 } l } \{\mathcal{X}_w:w\in\{0.1\}^l\} {Xw​:w∈{0.1}l}称为 具有$l$个变量multilinear多项式的Lagrange basis polynomials。evaluation结果值 { f ~ ( w ) : w ∈ { 0.1 } l } \{\tilde{f}(w):w\in\{0.1\}^l\} {f~​(w):w∈{0.1}l}有时称为$\tilde{f}$的Lagrange basis系数，具体定义见上面方程式（10）。

3.2 sum-check protocol

令$g$为基于某有限域$\mathbb{F}$的某$l$个变量多项式。sum-check protocol协议是指：Prover向Verifier提供如下求和值：
H : = ∑ b ∈ { 0 , 1 } l g ( b )             ( 11 ) H:=\sum_{b\in\{0,1\}^l}g(b)\ \ \ \ \ \ \ \ \ \ \ (11) H:=∑b∈{0,1}l​g(b)           (11)

若无帮助，为计算$H$，Verifier需对$g$ evaluate at all $2^l$ points in { 0 , 1 } l \{0,1\}^l {0,1}l之后再求和。
sum-check protocol，支持Verifier将这些困难的工作转移给Prover。
sum-check protocol包含$l$轮，每轮对应$g$的一个变量。在第$i$轮：

• Prover发送包含了$d_i$个field elements的message，其中$d_i$对应$g$中第$i$个变量的degree。
• Verifier：回复单个random field element $r_i$。
• 若Prover是诚实的，则以单个$X_i$为变量的多项式为：
  ∑ ( b i + 1 , ⋯   , b l − 1 ) ∈ { 0 , 1 } l − i g ( r 0 , ⋯   , r i − 1 , X i , b i + 1 , ⋯   , b l − 1 )     ( 12 ) \sum_{(b_{i+1},\cdots,b_{l-1})\in\{0,1\}^{l-i}}g(r_0,\cdots,r_{i-1},X_i,b_{i+1},\cdots,b_{l-1})\ \ \ (12) ∑(bi+1​,⋯,bl−1​)∈{0,1}l−i​g(r0​,⋯,ri−1​,Xi​,bi+1​,⋯,bl−1​)   (12)

此时，将sum-check protocol中的轮数，以及，$g$中的起始变量号都以 { 0 , 1 , ⋯   , l − 1 } \{0,1,\cdots,l-1\} {0,1,⋯,l−1}表示，而$r_0,\cdots ,r_{i-1}$为Verifier在协议的第$0,\cdots ,i-1$轮所选择的random field elements。

sum-check protocol中：

• Verifier的runtime为$O({\sum }_{i=1}^l{d}_i)$，+ evaluate $g$ at a single point $r\in {\mathbb{F}}^l$所需的时间。
  经典情况下，对于每轮$i$，有$d_i=O(1)$，这就意味着Verifier总时长为：$O(l)$ + evaluate $g$ at a single point $r\in {\mathbb{F}}^l$所需的时间。
  要比Verifier直接计算$H$所需时长$2^l$快指数级。
  详细见[AB09, 第8章]或[Tha20，第4.1节]。

3.3 SNARKs

本文遵循[KST22] Nova中的SNARK定义：

本文遵循[BFS20] SuperSonic—— Transparent SNARKs from DARK compilers中的多项式承诺方案定义。针对multilinear多项式的多项式承诺方案$\text{PC=(Gen, Commit, Open, Eval)}$为：

3.4 Polynomial IOP + polynomial commitment

现代SNARK为：

• 名为polynomial IOP（ [BFS20, 即SuperSonic]）的交互式协议
• 和 名为polynomial commitment scheme（[KZG10]）的密码学原语

的组合。二者组合可构建succinct interactive argument，通过Fiat-Shamir transformation[FS86]，可转换为non-interactive，即实现某SNARK。

• Polynomial IOP：为一种交互式协议，具有一轮或多轮，Prover可能会“send”一个非常巨大的多项式$g$给Verifier。由于$g$非常大，可能Verifier并不希望读取整个$g$多项式的描述。相反，在任何efficient polynomial IOP方案中，Verifier仅需“query” $g$ at 一个点或少量点。这就意味着，Verifier所仅需的$g$的信息为检查Prover在这个或这些点上的$g$ evaluation计算是诚实的。
• Polynomial Commitment：使得untrusted Prover可简洁地对某多项式$g$进行承诺，并稍后根据Verifier所选择的$r$，提供$g(r)$ 以及 以及该值确实为所承诺的多项式的evaluation值的证明。Polynomial Commitment方案恰为根据Polynomial IOP获取succinct argument所需的密码学原语。
  不同于在Polynomial IOP中Prover需给Verifier发送大多项式$g$，argument system Prover可对$g$进行cryptographically commit，并在稍后reveal any evaluations of $g$ required by the Verifier to perform its check。

具体SNARK方案是否需要trusted setup，还是是否为post-quantum secure，都取决于所采用的Polynomial Commitment方案。

• 若采用的Polynomial Commitment方案不需要trusted setup，则最终实现的SNARK也不需要；
• 若所采用的Polynomial Commitment方案为plausibly binding against quantum adversaries，则最终实现的SNARK也具有plausibly post-quantum sound。

SuperSpartan可采用任何适于multilinear多项式$g$的多项式承诺方案。【任何单变量多项式承诺方案都可转换为multilinear，但转换过程中会引入额外开销，具体见如[CBBZ23, BCHO22, ZXZS20]。】
multilinear多项式$g:{\mathbb{F}}^l\to \mathbb{F}$中每个变量的degree最多为1。当前的multilinear多项式承诺方案主要有：

• 除基于KZG的方案之外的所有方案均为transparent的；
• Brakedown-PC和Orion-PC均具有plausibly post-quantum secure。

参考资料

[1] Customizable constraint systems for succinct arguments