FRI 流程介绍

正大光明松鼠

已于 2024-09-26 18:50:52 修改

阅读量963

点赞数 7

文章标签：区块链

于 2024-09-26 18:47:08 首次发布

本文链接：https://blog.csdn.net/sunguizhu/article/details/142551839

版权

概述

FRI (Fast Reed-Solomon IOPP)是零知识证明协议ZK-STARK的核心。ZK-STARK协议主要可以分为两部分内容：

算术化：将程序的执行过程转化为一个算术问题，这个算术问题被称为RPT (Reed-Solomon Proximity Testing)
FRI协议：即针对RPT问题设计的零知识证明协议

所以，FRI只是零知识证明的一个部件，而不是零知识证明本身。其功能与KGZ10的功能类似。

KGZ10中，欲证明一个多项式f(1) = 2，则需要证明 $p(x) = \frac{f(x) - 2}{x-1}$ 是一个多项式。

同理，FRI的过程就是证明p(x)是多项式且是一个次数不高于degree(f(x)) - 1的多项式。

Reed-Solomon编码

所谓的Reed Solomon编码，下文称RS码，就是利用多项式冗余进行纠错的编码。已知d个点值可以唯一确定一个阶数不大于d-1的多项式f(x)，在编码时对f(x)的N个点值进行编码，接收方接收到的码字中只要包含足够多正确的点值，则可以恢复出正确的多项式，并纠正错误的点。

举例如下：

设编码大小为N。给定一个集合 $S = {s_{0}, s_{1} ... s_{N-1}}\subset \mathbb{F}$ .。待编码的内容为d个元素 $(a_{0}, a_{1} ... a_{d-1})\subset \mathbb{F}$ ，编码过程如下进行：设多项式 $f(x) = a_{0} + a_{1}x + ... + a_{d-1}x^{d-1}$ ，编码结果为 $(f(s_{0}), f(s_{1}), ..., f(s_{n-1}))$ ，即多项式f(x)在集合S指定的这N个点上的取值，简洁起见，将这个编码记为f(S)。

即将d个有效元素编码为长度为N的码字。我们记码率为 $\rho = \frac{d}{N}$ 。

对于两个不同的d-1次多项式，在这N个点中，最多有d−1个点上的取值相等，所以两个不同的编码，至少有N−d+1个位置不同。因此，这样的编码可以容纳N−d个随机的错误(即当码字的错误元素小于等于N-d时，可以通过正确的d个码元恢复出原始正确码字来)。显然，如果N=d，这个编码毫无容错性，即该编码没有检错功能。

一个RS码记为 $RS[\mathbb{F}, S, \rho ]$ ，其中 $\rho = \frac{d}{N}$

RPT问题

简单来说，RPT (RS Proximity Testing)问题是给定一个长度为N的编码，判断它是否属于 $RS[\mathbb{F}, S, \rho ]$ ，即判断一个编码是否是一个合法的RS编码，即判断该编码恢复出的是不是一个degree < ρN 的一个多项式。

RPT问题还有另外一个限制条件：它的输入要么是一个合法的编码，要么和所有合法的编码都有至少δN个位置不同。这就是它的名称中Proximity这个词的意思。

RPT问题最简单直接的方法是对给定的编码进行解码，即多项式插值，恢复出多项式f(x)的各项系数。如果f(x)的次数不大于ρNρN，则输出1，否则输出0。实际上，作为一个纠错码，RS码最初设计来就是这么用的。

RPT是否存在更高效的解法？例如，能否不读取完整的编码，即完整的f(S)，只读取其中一小部分(log⁡N级别)，就能够以大概率作出准确的判断？FRI就是在做这样的事情。

注：

目前对于 $\delta$ 的取值，认可度比较高的是Johnson bound，即 $\delta < 1-\sqrt{\rho }$

FRI

概述

FRI全称为Fast Reed-Solomon Interactive Oracle Proofs of Proximity。

FRI的思想与FFT思想类似，即通过将多项式的奇偶项进行拆分(split)，再将降次后的奇偶多项式进行线性组合(fold)，可以将多项式的次数降低为原来的1/2，这样对degree<d的多项式，最多进行logd次拆分后便可得到一个常量。

假设原始多项式为 $CP_0(x)$ ， $CP_0(x)$ 的偶数次项多项式为g(x), 奇数次项多项式为h(x)，则：

$\left\{\begin{matrix}CP_0(x) = g(x^{2}) + xh(x^{2})\\ CP_0(-x) = g(x^{2}) - xh(x^{2}) \end{matrix}\right. \rightarrow \left\{\begin{matrix} g(x^{2}) = \frac{CP_0(x) + CP_0(-x)}{2}\\ h(x^{2}) = \frac{CP_0(x) - CP_0(-x)}{2x} \end{matrix}\right.$ (1)