《Lagrange 插值 与 Evaluation Form》中关于 $\zeta$ 选择及验证的问题

[tmors]

在《Lagrange 插值 与 Evaluation Form》一节中提到

我们发现：如果直接让 Verifier 发送随机数 $\zeta$ 挑战上面的等式，那么 $\zeta$ 只能属于 $H$。如果只存在一个 $j$ 使得 $a_j\cdot b_j\neq c_j$，那么 Verifier 的一次挑战能发现这个错误的概率只有 $\frac{1}{|n|}$，这样 Verifier 需要挑战多次才能缩小检测出错的概率。不过这样不满足我们的要求，我们希望只通过一次挑战来检测出 Prover 的作弊行为。

在上文中提到，从H中选择点验证的话，每次验证一个点，因此效率较低（此时 $\zeta$ 取值范围为H），从而引出：

如果我们让 Prover 计算出这个 $q(X)$，并且发送给 Verifier，又因为 $H$ 是已知的系统参数，Verifier 可以自行计算 $z_H(X)$，那么 Verifier 只需要一次随机检测即可判断 $a(X)\cdot b(X)-c(X)$ 是否在 $H$ 处等零。

此时，仅需进行一次随机检测时， $\zeta$ 的取值范围还是整个H吗？

[0xxEric]

我是这样理解的（新学，对于术语、数学概念可能表述得不准确）：
1、如果按a(X)⋅b(X)−c(X)=0进行验证，那么此时构建的多项式（其选取的点对应的定义域为H），此时：∀X∈H
所以ζ 取值范围为H （例如，H=（w0,w1,w2......wn)
2、如果将要验证的形式，变为：a(X)⋅b(X)−c(X)=q(X)⋅zH(X)，那么此时为∀X∈F（对于任意的X∈F都成立）。即在整个实数范围。X取值就可以任意了。

所以ζ 取值范围为F

[tmors]

所以其实：

1. 对于 “a(X)⋅b(X)−c(X)=0进行验证”，此时 是验证 f(x) = a(X)⋅b(X)−c(X) 的解为 整个定义域 H。
2. 对于“a(X)⋅b(X)−c(X)=q(X)⋅zH(X)”进行验证，此时是根据 Schwartz-Zippel 定理，判断 多项式 f(x) = a(X)⋅b(X)−c(X) 与 多项式q(X)⋅zH(X) 是同一个多项式 （概率证明），因此 $\zeta$ 取值为 F （此时F应该是整个有限域范围吧）
   上述是正确的吗？

[0xxEric]

@tmors 是的。
式2中验证的点已经扩大到整个有限域，所以P做假的概率大幅降低（如BN254取的F是2^28，则概率由1/n，降低为1/2^28）
不过式2判断的的方式，应该是用Prover提供一个q(x)，看f(x)是否可以整除zH(x)，得到q(x)