对Plonk协议中多项式承诺部分的疑惑

[Einstellung]

在这篇郭老师的文档的第六部分，多项式承诺地方我有点看不明白

文档内容位置：
进而我们可以根据多项式余数定理，推导验证下面的等式：

$$ g(X) - (y_1 + \nu\cdot y_2) = (X-\zeta)\cdot (q_1(X) + \nu\cdot q_2(X)) $$

我们把等号右边的第二项看作为「商多项式」，记为 $q(X)$：

$$ q(X) = q_1(X) + \nu\cdot q_2(X) $$

假如 $f_1(X)$ 在 $X=\zeta$ 处的求值证明为 $\pi_1$，而 $f_2(X)$ 在 $X=\zeta$ 处的求值证明为 $\pi_2$，那么根据群加法的同态性，Prover 可以得到商多项式 $q(X)$ 的承诺：

$$ [q(\chi)]_1 = \pi = \pi_1 + \nu\cdot\pi_2 $$

因此，只要 Verifier 发给 Prover 一个额外的随机数 $\nu$，双方就可以把两个（甚至多个）多项式承诺折叠成一个多项式承诺 $C_g$：

$$ C_g = C_1 + \nu\ast C_2 $$

并用这个折叠后的 $C_g$ 来验证多个多项式在一个点处的运算取值：

$$ y_g = y_1 + \nu\cdot y_2 $$

我的疑惑：

1. 为什么 Prover 可以得到商多项式 $q(X)$ 的承诺是文中的样子，怎么推导出来的呢？
2. 为什么多个多项式承诺可以折叠成一个，而且写成这样线性组合的形式 $C_g = C_1 + \nu\ast C_2$

[readygo67]

问题1.

由前一部分KZG10构造这节，我们知道分 $f_1(X)$ 的承诺为 $[C_1(X)]$, $f_2(X)$ 的承诺为 $[C_2(X)]$

对于 $f_1(X)$， $f_2(X)$，Prover 要同时向 Verifier 证明 $f_1(\zeta)=y_1$ 和 $f_2(\zeta)=y_2$，那么有

$$ \begin{array}{l} f_1(X) = q_1(X)\cdot (X-\zeta) + y_1\\ f_2(X) = q_2(X) \cdot (X-\zeta) + y_2 \\ \end{array} $$

verifer 提供一个随机数 $\nu$， prover 将第二个式子乘以 $\nu$ 后和第一个式子相加，得到

$$ f_1(X) + \nu\cdot f_2(X) = (X-\zeta)\cdot (q_1(X) + \nu\cdot q_2(X)) + (y_1 + \nu\cdot y_2) $$

将 $(y_1 + \nu\cdot y_2)$ 移到等式的左边就得到

$$ f_1(X) + \nu\cdot f_2(X) - (y_1 + \nu\cdot y_2) = (X-\zeta)\cdot (q_1(X) + \nu\cdot q_2(X)) $$

参考商多项式的定义，可以得到将两个多项折叠之后的新商多项式：

$$ q(X) = q_1(X) + \nu\cdot q_2(X) $$

问题2.

这是利用了commitment 的加法同态性。 对于两个多项式

$$ a(X) = a_0 + a_1X + a_2X^2 + \cdots + a_nX^n $$

$$ b(X) = b_0 + b_1X + b_2X^2 + \cdots + b_nX^n $$

他们的commitment 分别为 $[C_a(X)]$ 和 $[C_b(x)]$,

$$ [C_a(X)] = (a_0 G + a_1 G_1 + \cdots + a_n G_n) $$

$$ [C_b(X)] = (b_0 G + b_1 G_1 + \cdots + b_n G_n) $$

使用一个随机数 $\nu$ 将 $a(x)$ 和 $b(x)$ 折叠起来有

$$ \begin{split} a(X) + \nu \cdot b(X) & = a_0 + a_1X + a_2X^2 + \cdots + a_nX^n + \nu\cdot (b_0 + b_1X + b_2X^2 + \cdots + b_nX^n) \\ & = (a_0 + \nu\cdot b_0) + (a_1 +\nu\cdot b_1)X + \cdots + (a_n + \nu\cdot b_n)X^n \end{split} $$

折叠后的多项式的commitment

$$ \begin{split} [C_{a(X) + \nu\cdot b(X)}] &= (a_0 + \nu\cdot b_0) G_0 + (a_1 + \nu\cdot b_1) G_1 + \cdots + (a_n + \nu\cdot b_n) G_n \\ & = (a_0 G + a_1 G_1 + \cdots + a_n G_n) + \nu\cdot (b_0 G + b_1 G_1 + \cdots + b_n G_n) \\ & = [C_a(X)] +\nu\cdot [C_b[X]] \end{split} $$

[readygo67]

可以参考郭老师Plonk视频2(https://www.notion.so/Plonk-Lookup-argument-89aedd901a39469599e43ff7016d0245), 28分钟开始内容。