ZKSwap團隊解讀：ZKSync中better_better_cs如何實現聚合證明（⼆）

上篇⽂章中，我們研讀了ZKSync中 better_cs如何⽣成single proof、aggregation proof的電路邏輯等實現。在這篇⽂章中，我們繼續研讀ZKSync的聚合證明，我們重點關注better_better_cs如何⽣成聚合證明。

還是⽤上⼀篇的這張代碼調⽤圖，我們這篇著重講create_proof。

我們分析的bellman_ce代碼版本是beta分⽀，commit id 為 48441155ec7006bf7bfac553b5fb7d466d7fcd00。

Aggregation_proof 的⽣成

create_proof 這個函數在 bellman_ce/src/plonk/better_better_cs/proof/mod.rs 中，將近 2000 ⾏代碼。

⼤體上，分為以下⼏個步驟：

在這個函數中，我們看到了熟悉的 MainGate 函數，從中，我們知道這個⽤於⻔的設計，可以實現 custom gate，達到優化電路的⽬的。⽽除開 custom gate，ZKSync 中還使⽤了plonkup（即 plonk + lookup table） 來提升效率。

我們在之前的⽂章中，已經講解過plonkup的原理了，簡單來說，就是預計算有效的input/output組成 lookup table，prover需要證明witness在這個table⾥，詳細內容請參⻅。ZKSync 對 plonkup 的實現，並不是將 custom gate 和 plonkup 分開的，⽽是結合在⼀起來優化電路設計的。 我們下⾯看看，MainGate trait 中的接⼝，是如何和 plonkup 結合的。

Lookup 的使⽤

在上⼀節的 create_proof 函數中，線性化⽤到了 gate 的 contribute_into_linearization_for_public_inputs 函數，我們以它為例，來看看 lookup 的使⽤。這個代碼在 bellman_ce/src/plonk/better_better_cs/cs.rs 中。

⽤到的傳⼊參數有 hashmap 格式的 queried_values、單項式緩存值、隨機數數組 queried_values 這個參數是在 create_proof 時，根據排序的query 列表⽣成的，key 是多項式，value是 Fr 值。query 列表的排序規則是先 witness、gate 的 selector 次之、gate 的setup 再次之，這個 SortedGateQueries 的結構是：

函數會對傳⼊的 gate 數組遍歷，根據 gate 返回的多項式數組，將其按照 VariablesPolynomial，WitnessPolynomial， GateSetupPolynomial 的不同類型，將多項式存⼊ SortedGateQueries 中。

回到 contribute_into_linearization_for_public_inputs 函數，可以看到，它會從queried_values 中，獲取 a/b/c/d 的值。⽽ Q_a/Q_b/Q_c/Q_d/Q_m的值，都是從 create_proof 剛開始⽣成的單項式緩存數據中取到的，也是⼀個lookup table 的概念。

這個單項式緩存的值是從電路的setup獲得的，即電路確定了，那麼電路的⻔就確定了，則在⽣成proof時，這些數據都已經有了，可以直接將setup預計算的結果，放⼊lookup table中，查詢使⽤數據。

最後，結合a/b/c/d和Q_a/Q_b/Q_c/Q_d，可以⾮常⽅便的構造出多項式。

另外⼏個MainGate⾥的接⼝函數，都是⼀樣的，結合lookup table，⾮常容易的計算出多項式。

綜上，ZKSync將witness、gate的selector、setup放⼊lookup table中，在⽣成proof時，使⽤lookuptable，直接查詢⽽不是再次計算，加快⽣成速度，提升prover效率。

引⽤

冷萃財經原創，作者：awing，轉載請註明出處：https://www.lccjd.top/2021/06/09/zkswap%e5%9b%a2%e9%98%9f%e8%a7%a3%e8%af%bb%ef%bc%9azksync%e4%b8%adbetter_better_cs%e5%a6%82%e4%bd%95%e5%ae%9e%e7%8e%b0%e8%81%9a%e5%90%88%e8%af%81%e6%98%8e%ef%bc%88%e2%bc%86%ef%bc%89/?variant=zh-tw