此文這裡只介紹較好理解的 KZG 多項式承諾，KZG 多項式承諾（KZG Polynomial Commitment）也被稱為卡特多項式承諾方案，是 Kate，Zaverucha 和 Goldberg 一起發表的。
作者： Xiang，W3.Hitchhiker
修訂： Evelyn，W3.Hitchhiker
封面： Photo by Terry on Unsplash
不同多項式承諾方案列表
上表中，FRI 是 Starkware 採用的多項式承諾方案，可以實現量子級別的安全，但證明的數據量卻是最大；IPA 是 Bulletproof 和 Halo2 零知識算法默認的多項式承諾方案，驗證時間相對較長，採用的項目有門羅幣，zcash 等，前兩者是不需要初始可信設置的。
由上圖可以看出在證明大小與驗證時間上，KZG 多項式承諾的優勢比較大，KZG 承諾也是目前應用最廣的一種多項式承諾方式。但 KZG 是基於橢圓曲線，配對函數，需要初始可信設置的。
ETH 升級路線與多項式承諾的關聯
在 ETH 相關生態及其未來升級路線中，都可以看到多項式承諾的踪影。
The Merge：
現時的以太坊主鍊和 Beacon Chain 將會合併，原本的 PoW (工作量證明) 共識將會轉變成 PoS (權益證明)。
The Surge：
添加 DAS（數據可抽樣性功能），極大的提高 ETH 的擴展性，通過 Danksharding 增強 rollup 性能。
The Verge：
引入 Verkle 樹 (Verkle Trees) 的設計來優化以太坊上的數據存儲。
The Purge：
通過剔除歷史數據和消除技術債務，驗證者不再需要使用大量硬盤空間去進行驗證工作。
The Splurge：
四個不同部分升級後的協調，旨在減少錯誤 (Bugs) 的出現和確保網絡能暢順運作，還有就是 EVM 改進和添加賬號抽像模型等。
其中 The Surge 升級將藉鑑多項式承諾技術實現數據可抽樣性功能，The Verge 升級將利用多項式承諾來優化其數據結構，ETH L2 的 zkrollup 也都採用了多項式承諾來實現其零知識證明帶來的性能拓展。
什麼是 KZG 多項式承諾
此文這裡只介紹較好理解的 KZG 多項式承諾，KZG 多項式承諾（KZG Polynomial Commitment）也被稱為卡特多項式承諾方案，是 Kate，Zaverucha 和 Goldberg 一起發表的。在一個多項式方案中，證明者計算一個多項式的承諾，並可以在多項式的任意一點進行打開，該承諾方案能證明多項式在特定位置的值與指定的值一致。
之所以被稱為承諾，是因為當一個承諾值（橢圓曲線上的一個點）發送給某對象 (驗證者) 時，證明者不可以改變當前計算的多項式。他們只能夠對一個多項式提供有效的證明；當試圖作弊時，它們要不無法提供證明，要不證明被驗證者拒絕。
KZG 數學原理
詳細可參考 Qi Zhou 博士在 Dapp Learning 講解的關於 KZG 視頻。
在理解 KZG 之前，可以先了解一下多項式、群、環、域、橢圓曲線、生成元、配對公式、朗格朗日插值等數學定義。
具有可信設置的多項式承諾
單個證明
卡特證明單個數據的公式推衍如下，由於橢圓曲線群只支持加法同態，無法支持多項式之間的乘法，這是就需要通過配對函數解決，
由於橢圓曲線群並不支持運算多項式之間的乘法運算，所以此時得採用配對函數去解決
批量證明
具體應用場景
多項式承諾應用方向總結起來可以分為 3 大類
- 數據可用性（ETH Surge 升級，ETH danksharding，降低 L2 成本，模塊化數據可用性項目 Avails）
- 數據結構優化（MPT 樹改為 Verkle 樹，ETH Verge 升級，無狀態客戶端，實現 ETH 的輕量的驗證節點）
- 零知識證明系統（Zksync，Zkswap，Scroll，PSE 給 Zk 提供多項式承諾方案，大大提升鏈的拓展能力）
1. 數據可用性
DAS（數據可用性抽樣）
核心目的：數據缺失則無法通過大多數節點抽查
盡力做到：佔用帶寬小，抽樣過程所需計算量小
糾刪碼（celestia）
糾刪碼會增加額外數據塊，這種情況很容易通過抽樣調查發現，從而提升安全性。
以上圖為例，有 4 個數據，一次只能抽樣一個，假設一個數據有問題，每個用戶抽樣發現錯誤的概率是 1/4，但是加入兩數據塊後，還是一個數據有問題，用戶抽樣發現的概率可以高達 1/2（3/6）。這樣就能大幅提升安全性。
KZG 也可實現糾刪碼，利用拉格朗日公式：
比如把 (0,3)，(1,6) 帶入公式可得，y=3x+3
y1，y2 可以理解為要保存的數據，
對應點（2,8）(3,12) 等等，其中 y 值可以作為糾刪碼數據，其中任意兩個點都可以推出原多項式公式係數。
不同數據可用性項目組成
Celestia = Tendermint (cosmos) + 2d 糾刪碼+ 欺詐證明+ Namespace merkle tree + IPFS 基礎設施（數據存儲用的 IPFS Blockstore，傳輸網絡用的 IPFS 的 Libp2p 與 bitswap，數據模型用的 IPFS 的 Ipld）
Polygon Avail = Substrate(Polkadot) + 2d 糾刪碼+ KZG 多項式承諾+ IPFS 基礎設施
ETHprotoDankSharding = Blobs 數據（數據可用性的存儲，替換現有的 calldata）+ 2d 糾刪碼+ KZG 多項式承諾（未定，方案目前仍在討論）+ ETH 基礎設施
EIP-4844 升級將在 The Merge 之後的下一個以太坊分叉升級中引入 “proto-danksharding” 並添加 blob 交易類型（EIP-4844），這有望將第 2 層 Rollup 的可擴展性提高，同時為實現完全分片（sharding）鋪平道路。
Blob Transaction
- 增加一種新的交易類型，這種交易包含額外的存儲空間—— Blobs
- Blob 開始只有 128 KiB 的存儲空間（1）一個交易最多包含 2 個 Blob，即 256 KiB（2）一個 Block 最多包含 16 個，即 2 MiB；Target 是 8 個，即 1 MiB（可擴大）
- Blob 以 KZG Commitment Hash 作為 Hash，用於數據驗證，作用和 Merkle 類似
- 節點同步鏈上的 Blob Transaction 後，Blob 部分會在一段時間後過期刪除
L2 需要通過更新目前在 L1 的合約，以支持 DankSharding。
Celestia 通過欺詐證明實現。當見證人發現數據沒有被正確採用刪碼技術，那麼這個人就會將欺詐證明提交從而來提醒其他節點。但是這裡需要最少誠實假設（至少連接到一個誠實節點）和同步假設（當有人給我發送欺詐證明的時候，需要確保我能在一定時間內收到通知）。
protoDanksharding 後的以太坊和 Polygon Avail 則採用了 KZG 多項式承諾（KZG commitments) 的方法。
KZG 多項式承諾方案，理論上要優於欺詐證明方案，帶寬需求更小，抽樣所需計算量也更小，也免去了欺詐證明中的包括少數誠實假設和同步假設等的安全假設。未來 ETH 也有意引入抗後量子密碼學 (參考 stark，採用哈希，不在使用橢圓曲線作為基礎)，避免量子計算機攻擊。
2. 數據結構優化 Verkle Tree
Verkle Tree 的概念在 2018 年推出，作為 ETH 升級的一個重要部分，其相比於 Merkle Tree，在 Proof 的大小上，有著很大的提升；對於規模在十億級別的數據，Merkle Tree 的 proof 大約需要 1kB，而對於 Verkle Tree， 它將小於 150Bytes。
與 Merkle Tree 一樣 Verkle Tree 也能實現 Proof of Inclusion（PoI），而且只需 KZG root 和 Data 就能驗證，不需要額外的 Proof，更省帶寬。
- 需求：Stateless Client
- （1）節點不存完整的 State Tree，只獲取需要的 State 來驗證 Block
- （2）Portal Network
- （3）對 State Tree 的 PoI 有更高的性能要求
- 回顧 Data Availability 裡的 KZG commitment
- 每個 leaf 都是 polynomial 上的點
- constant size proof，和 leaf 數量無關
在不同樹結構中構建證明，更新證明，以及證明所需的複雜度：
Verkle 方案不需要以太坊客戶端下載完整的狀態數據，使得 ETH 驗證者輕節點成為可能 (甚至可支持手機運行)，多項式承諾（Verkle 樹的多項式承諾方案，早期考慮的 KZG，近期還是考慮用 IPA）需要的證明空間複雜度大幅降低，帶寬量需求量也大幅減少。
3. 零知識證明系統
早期 zk 技術（Groth16）屬於線性 PCP 類。除要求可信設置外，主要缺點是如果需要為不同的計算（不同的電路/多項式）提供證明，都需要一次新的設置。近期 zk 技術 PIOP 類支持通用初始設置和透明設置（不需要信任假設）。
新的 zk 證明系統通常可以描述為 PIOP（Polynomial Interactive Oracle Proof，多項式交互預言證明）+ PCS（Polynomial Commitment Scheme，多項式承諾方案）。前者可被視為是證明者用來說服驗證者的約定程序，而後者使用數學方法確保該程序不會遭到破壞。項目方可以按需修改 PIOP，且可以在不同 PCS 中進行選擇。
由 Amber 文章裡的圖可以看到 zk 系公鏈項目採用 KZG 方案的最多，有 Ploygon Hermez，Scoll，Zksync2.0，Aztec，Aleo，Manta，以太坊基金會支持的 PSE（隱私與擴展探索團隊）也採用的 KZG 方案。而 Starknet，Risc0，Polygon Miden 採用的是 FRI 方案，Ploygon Zkvm(Hermez) 則是 FRI 與 KZG 的結合。
值得一提是，一些新的零知識證明系統支持多項式承諾方案的切換，KZG 未來也可以切換成其他多項式承諾方案。
總的來說，多項式承諾正在重塑整個區塊鏈的架構，不論是在鏈的數據結構優化上，模塊化區塊鏈的數據可用性上，還是零知識證明系統上都將大有作為。其他地方是否還存在應用場景也是非常值得探索與跟進的。
免責聲明：作為區塊鏈信息平台，本站所發布文章僅代表作者及嘉賓個人觀點，與 Web3Caff 立場無關。文章內的信息僅供參考，均不構成任何投資建議及要約，並請您遵守所在國家或地區的相關法律法規。
