多项式承诺在一点打开问题

[Einstellung]

比如plonk算法有

$$ \begin{split} f(x) = q_L \circ \bar{w}_a + q_R \circ \bar{w}_b + q_M\circ(\bar{w}_a\cdot \bar{w}_b) + q_C + \bar{public}_inputs - q_O\circ \bar{w}_c + \\ \alpha(f(\zeta){z}(X) - g(\zeta){z}(wX)) + a^2(L_0(\zeta)(\bar{z}(X)-1)) - t \cdot z_H(\zeta) \end{split} $$

verify最终验证过程是 通过多项式承诺 $f(\chi)$ 以及评估点 $f(\zeta)$ 去做多项式承诺验证工作

$$ q(\chi)(\chi-\zeta)=F(\chi)-F(\zeta) $$

这样看来，似乎可以把 $\bar{w}_a$ 这些在 $\zeta$ 点的评估值看成一个实际不参与运算的点，为什么可以这样设计呢？为什么可以提前打开？比如说 $w_a$ 这样的多项式不在 $\zeta$ 点 提前打开成 $\bar{w}_a$ 而是继续保留成多项式的形式，那么整个多项式 $f(\zeta)$ 的值不会发生变化，但是 $f(\chi)$ 的值就变了，但这样是无所谓的是吗，依旧还是可以保证等式 $q(\chi)(\chi-\zeta)=F(\chi)-F(\zeta)$ 是成立的，所以为了简化计算，就对一些多项式提前打开，然后保证整体多项式的线性性不变就可以。

[luckyyang]

无论是否提前打开, 最后 verifier 都会做 pairing 验证, 提前打开只是为了线性化减少工作量, 两者目标和最终验证方式是一样的

[Einstellung]

答案确实如此，不管打开还是不打开， $q(\chi)(\chi-\zeta)=F(\chi)-F(\zeta)$ 的等式都是始终成立的，只不过打开的话将来做承诺验证的时候整体计算量要少一点