我们在这篇文章中解释了如何思考和利用PLONK中使用的算术化类型。在其最一般的形式中，我们将这种算术化称为带预处理的随机性Air，简称RAP。然而，在实践中，处理RAP的约束情况通常会变得便利，我们称之为turbo-Plonk和ultra-Plonk程序。在本文中，我们将解释以上所有这些术语！
我们的起点是AlgebraicIntermediateRepresentations-AIRs；这是?STARKWARE?使用的算术化。
AIRs
一个?AIRP?在一个域?F?有长度为?n,和宽度为?w。
P?由一组?2w?个变量，预定义阶数?d?的约束多项式?定义?{f?i??}?。
P?的执行轨迹?T?由?F?的元素长度为?w?的?n?个向量组成。我们认为是“行宽?w”。
T?是有效的，如果将任意两个连续行??的?2w?值替换为任何约束多项式?fi，则计算结果为零。
STARK可以证明我们知道有效?P?的执行轨迹与一些验证者定义的边界约束一致：例如，我们可以要求轨迹的第一行的第一个值应该为零。
数据：持有344万枚PENDLE的鲸鱼地址投资回报率达340%:金色财经报道，据Lookonchain监测，在Binance宣布PENDLE上市后，PENDLE的价格暴涨50%以上。拥有344万枚PENDLE（256万美元）的鲸鱼目前盈利340万美元（投资回报率340%）。[2023/7/3 22:14:41]
让我们看一个经典的例子——斐波那契数列。
我们使用宽度?w=2；作为边界条件，我们要求第一行包含两个。然后我们使用约束多项式
有效的长度轨迹?n=4看起来像这样：
也就是说，有效轨迹必须包含斐波那契数列的连续元素。因此，在第四行的第二个值21上添加边界条件将验证这确实是正确的第8个斐波那契元素。
PAIRs-带有预处理列的AIRs
在一个预处理AIR（PreprocessedAIR),或者说PAIR?T,我们有一个额外的参数?t,并且?t?预处理/预定义了列?c1,…,ct∈F^n。除了证明者提供的?w?列外，一个执行轨迹现在还包括?{ci}?。(我们将证明者提供的列称为执行轨迹的见证部分。)
硅谷银行新CEO：在美国境内的业务照常开展，存款人可以全额支取资金:金色财经报道，硅谷银行新CEO表示，在美国境内的业务照常开展，预计未来几天将恢复跨境交易。上周末FDIC将前硅谷银行的所有存款和大部分资产转移到新成立的、提供全面服务的FDIC运营的“过渡银行”。存款人可以全额支取资金，新的和现有存款都受到保护。[2023/3/14 13:02:20]
举例来说当?t=1，w=2，n=4，执行轨迹可能如下所示：
这个多项式约束?fi?将有?2(t+w)?个变量——换句话说，预定义值?ci,j?参与了约束。
为了说明PAIRs强大的功能，让我们看看如何使用它们来模拟AIR，其中不同行的约束不同。???一个天然的例子就是AIR，其中对于某些行，我们希望执行的行值相加；对于其他行，我们希望执行乘法。
为此，我们将PAIR?P?定义如下：我们设置?t=1，并将列?c1??定义为行中的一员，当然我们想要相加时为1，以及当我们要相乘时为0。
P的单约束多项式为：
变量?C1??是从预定义的列?c?1??分配的。
美股三大指数集体低开 英特尔跌约10%:1月27日消息，美股开盘，道指跌0.03%，纳指跌0.36%，标普500指数跌0.25%。英特尔开跌约10%，公司2022年Q4营收同比降32%并创2016年以来最低营收，2023年Q1指引大幅低于市场预期。雪佛龙跌2.54%，2022年Q4净利润63.53亿美元，调整后每股盈利4.09美元，但均不及市场预期。[2023/1/28 11:32:53]
很明显，根据?c1?的值强制执行加法或乘法关系。
例如，在我们希望执行两次加法然后执行一次乘法的程序中，执行轨迹可能如下所示：
因为可以通过这种方式使用预定义的列来选择操作，所以它们通常被称为“选择器(selecors)”。???
门(gate)之间交替：
上面的例子示意并建议了人们设计PAIR的典型方式：我们预定义了几组约束，将每一组视为一个“门”。然后，在设计我们的最终程序时，我们将这些门分配给每一行。如上例所示，选择器将用来为我们的程序“编译”成PAIR。
值得注意的是，除了使用选择器在门之间切换外，很多时候门本身也会使用选择器来实现更大的灵活性。一个典型的例子是通过预定义点添加椭圆曲线的门-预定义点将在选择器的值中编码。
pNetwork：此前砸空pGALA池系检测到高安全风险，抽干BNB资金将返还给无抵押pGALA持有者:11月6日消息，跨链协议pNetwork发布此前GALA异常事件分享，称团队在11月3日注意到GALA的pNetwork跨链桥的一个配置错误。团队注意到，由于配置错误，pGALA智能合约（部署在BSC上）的所有权已被秘密接管。获得该智能合约所有权的攻击者并没有发动任何攻击，但这种情况突显了必须立即缓解的高安全风险。因此pNetwork联系Gala Games决定暂停跨链桥活动，并执行pGALA/BNB Pancake Swap池的白帽抽干，以试图将BNB资金保存在该池中，以便在局势得到控制后，它们可以返回到其合法所有者(流动性提供者)。白帽抽干收回12977BNB（约合450万美元），资金将返还给目前无抵押pGALA的持有者，快照将于2022年11月7日16时拍摄。
跨链协议pNetwork于11月4日凌晨在重新部署pGALA合约后，铸造超10亿美元pGALA以砸空原有pGALA池，或因未能与Huobi平台沟通暂时关闭充提服务，导致大量用户从DEX上提币转移至Huobi平台后抛售，引发价格崩盘现象。[2022/11/6 12:22:35]
RAPs-插入验证者随机性的PAIRs
蓝色宇宙与中广协达成战略合作 携手共推元宇宙营销规范化进程:5月29日消息，蓝色光标全资子公司蓝色宇宙与中国广告协会数字元宇宙工作委员会在北京举行战略合作签约仪式。蓝色光标副董事长熊剑表示，国内元宇宙尚处发展初期，但未来，元宇宙将会像移动互联网一样，为各行各业带来巨大变革。2021年，蓝色光标明确了“营+销”和“元宇宙”两大新业务方向；未来，集团也将打通上下游生态，不断迭代，用心投入。蓝色光标期待与中国广告协会共同推动建立相关行业标准、树立标杆案例，共同帮助企业与品牌规划好虚拟人、虚拟物、虚拟空间的内容及呈现方式，为元宇宙发展带来更加美好、更具价值的想象空间。[2022/5/29 3:48:08]
我们的最终模型是允许多轮交互，其中验证者发送域中随机元素，而证明者可以在看到这些域元素后随后添加更多列。
约束多项式现在可以使用验证者随机性作为附加变量。
我们将这样的程序称为RAP(RandomizedAIRwithPreprocessing)。
让我们用下面的例子来说明RAP。假设我们有一个宽度为2的AIR，并且想要检查证明者提供的列是否是彼此的排列。
假设这些列的值为?a1,…,an,b1,…,bn。
从Schwartz-Zippel引理我们知道，要检查它们是否是彼此的排列，只需检查对于统一选择的γ∈F，我们有很高的概率。
上等式右侧的因子都是非零的，在这种情况下，这相当于
一个RAP长度为n+1和总宽度为3可以很容易地检查：
证明者首先发送列?(a1,…,an,0)，(b1,…,bn,0)验证者随机发送γ∈F。证明者发送第三列?(1,z1,…,zn)?这样对于每个i∈
如果?z?是这样定义的，我们的排列检查相当于检查?zn=1。我们可以将其添加为边界约束。
此外，程序必须检查?z?确实是这样定义的。
以此目的
为了说明，下面是这个程序的有效执行轨迹，是当?b?只是?a?的一个移位时：
这里可能在哲学上很有趣的是，随机性使局部约束能够验证全局属性。
turbo-PLONK和ultra-PLONK程序-便于RAPs的特别用例
RAPs比PAIRs更强大，但是对于程序设计通常想到一个PAIR是很方便的，同时允许自己将RAP的一些特殊功能使用黑盒，稍后，这个程序会编译成最后的RAP。
RAP的一种非常有用的特殊功能是强制复制约束。
这意味着强制轨迹的某些元素相等。例如“第一列的第二个元素?a?2???必须等于第二列的第40个元素?b40??”。这就赋予了程序一定的长时记忆能力。
turbo-plonk程序?是一个PAIR，具有在执行轨迹的任意两个元素之间定义复制约束的额外能力。
“在turbo-Plonk中编程”的实用方法：
复制约束使设计人员能够抽象出对执行轨迹和PAIR的明确思考，而是设计如下程序：
我们有一组见证变量，其值只能在程序中设置一次。我们在每个步骤中选择将哪个门应用于哪些变量。上面的内容可能看起来微不足道，也并没有说太多。然而，复制约束对于这种简化的设计方法至关重要的原因是，当见证变量参与两个门时，复制约束将确保两个门中确实使用相同的值，即使它们最终可能会出现在实际RAP中完全不同的行。
ultra-Plonk编程
一个ultra-Plonk程序???是一个turbo-Plonk程序，带有一个额外的、非常强大的门类型，称为查找门。
这意味着作为设计程序的一部分，我们定义了一组表?T1，...,Tk。这些表的元素是一定长度?t的域元素的元组(tuples)。
现在，在设计程序时；我们被允许使用具有以下形式的查找门：“检查这些?t?witness变量的元组是否在表?T4?中”。
在这一点上，从RAP到具有此类功能的程序的飞跃似乎有点神奇。有关如何通过我们在上一节中展示的多重集检查确实可以实现复制约束和查找表的详细信息，请参阅这篇文章。
何时使用lookupgates
启用查找门在最终的SNARK中有很大的成本；根据经验，一旦查找次数与表一样大，它就会得到回报。
总的来说：
对于程序设计者来说，使用turbo和ultra-plonk程序通常会很方便，考虑将哪些门应用于哪些见证变量。这已经很底层了，而且足够复杂和通用！然而，有时最好记住引擎盖下有一个RAP，当需要时，可以利用验证者的随机性来获得更具体/更有效的功能。
这一切与R1CS有什么关系？
如果你熟悉SNARK开发和文献，可能已经看过R1CS约束格式，其中所有约束都具有以下形式
R1CS很好地捕捉了从到Groth优化版本的一系列作品的约束格式。这项工作依赖于检查指数中秘密元素的验证者方程。正如我们目前拥有的加密货币k-线性映射仅适用于k=2个，R1CS确实是这些协议可以使用的最通用的约束形式。
然而，构建SNARK的多项式IOP方法支持更灵活的约束格式。特别是，可以使用大于二的阶数约束。
当使用GGPR方法时，R1CS有一个很好的理论优势——不需要随机预言机模型；还有一个很好的实际优势——证明者组指数的数量不依赖于加法门的数量或fan-in。然而，获得这些优势需要为每个电路的做可信设置。
假设我们正在使用Sonic、Plonk和Marlin这样的通用设置系统，可能更难说我们应该将自己限制在R1CS上。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。