对Plonk协议中多项式承诺部分的疑惑

[Einstellung]

在这篇郭老师的文档的第六部分，多项式承诺地方我有点看不明白

文档内容位置：
进而我们可以根据多项式余数定理，推导验证下面的等式：

$$g(X)-(y_1+\nu \cdot y_2)=(X-\zeta )\cdot (q_1(X)+\nu \cdot q_2(X))$$

我们把等号右边的第二项看作为「商多项式」，记为 $q(X)$：

$$q(X)=q_1(X)+\nu \cdot q_2(X)$$

假如 $f_1(X)$ 在 $X=\zeta$ 处的求值证明为 ${\pi }_1$，而 $f_2(X)$ 在 $X=\zeta$ 处的求值证明为 ${\pi }_2$，那么根据群加法的同态性，Prover 可以得到商多项式 $q(X)$ 的承诺：

$$[q(\chi ){]}_1=\pi ={\pi }_1+\nu \cdot {\pi }_2$$

因此，只要 Verifier 发给 Prover 一个额外的随机数 $\nu$，双方就可以把两个（甚至多个）多项式承诺折叠成一个多项式承诺 $C_g$：

$$C_g=C_1+\nu \ast C_2$$

并用这个折叠后的 $C_g$ 来验证多个多项式在一个点处的运算取值：

$$y_g=y_1+\nu \cdot y_2$$

我的疑惑：

1. 为什么 Prover 可以得到商多项式 $q(X)$ 的承诺是文中的样子，怎么推导出来的呢？
2. 为什么多个多项式承诺可以折叠成一个，而且写成这样线性组合的形式 $C_g=C_1+\nu \ast C_2$

[readygo67]

问题1.

由前一部分KZG10构造这节，我们知道分 $f_1(X)$ 的承诺为 $[C_1(X)]$, $f_2(X)$ 的承诺为 $[C_2(X)]$

对于 $f_1(X)$， $f_2(X)$，Prover 要同时向 Verifier 证明 $f_1(\zeta )=y_1$ 和 $f_2(\zeta )=y_2$，那么有

$$\begin{array}{l}{f}_1(X)=q_1(X)\cdot (X-\zeta )+y_1\\ f_2(X)=q_2(X)\cdot (X-\zeta )+y_2\end{array}$$

verifer 提供一个随机数 $\nu$， prover 将第二个式子乘以 $\nu$ 后和第一个式子相加，得到

$$f_1(X)+\nu \cdot f_2(X)=(X-\zeta )\cdot (q_1(X)+\nu \cdot q_2(X))+(y_1+\nu \cdot y_2)$$

将 $(y_1+\nu \cdot y_2)$ 移到等式的左边就得到

$$f_1(X)+\nu \cdot f_2(X)-(y_1+\nu \cdot y_2)=(X-\zeta )\cdot (q_1(X)+\nu \cdot q_2(X))$$

参考商多项式的定义，可以得到将两个多项折叠之后的新商多项式：

$$q(X)=q_1(X)+\nu \cdot q_2(X)$$

问题2.

这是利用了commitment 的加法同态性。 对于两个多项式

$$a(X)=a_0+a_{1}X+a_2{X}^2+\cdots +a_n{X}^n$$

$$b(X)=b_0+b_{1}X+b_2{X}^2+\cdots +b_n{X}^n$$

他们的commitment 分别为 $[C_a(X)]$ 和 $[C_b(x)]$,

$$[C_a(X)]=(a_{0}G+a_1{G}_1+\cdots +a_n{G}_n)$$

$$[C_b(X)]=(b_{0}G+b_1{G}_1+\cdots +b_n{G}_n)$$

使用一个随机数 $\nu$ 将 $a(x)$ 和 $b(x)$ 折叠起来有

$$\begin{array}{rl}a(X)+\nu \cdot b(X)& =a_0+a_{1}X+a_2{X}^2+\cdots +a_n{X}^n+\nu \cdot (b_0+b_{1}X+b_2{X}^2+\cdots +b_n{X}^n)\\ & =(a_0+\nu \cdot b_0)+(a_1+\nu \cdot b_1)X+\cdots +(a_n+\nu \cdot b_n)X^n\end{array}$$

折叠后的多项式的commitment

$$\begin{array}{rl}[C_{a(X)+\nu \cdot b(X)}]& =(a_0+\nu \cdot b_0)G_0+(a_1+\nu \cdot b_1)G_1+\cdots +(a_n+\nu \cdot b_n)G_n\\ & =(a_{0}G+a_1{G}_1+\cdots +a_n{G}_n)+\nu \cdot (b_{0}G+b_1{G}_1+\cdots +b_n{G}_n)\\ & =[C_a(X)]+\nu \cdot [C_b[X]]\end{array}$$

[readygo67]

可以参考郭老师Plonk视频2(https://www.notion.so/Plonk-Lookup-argument-89aedd901a39469599e43ff7016d0245), 28分钟开始内容。