23、常轮精确零知识证明协议解析

常轮精确零知识证明协议解析

1. 精确性要求的放松

在零知识证明的模拟过程中，存在一个问题：验证者 $V^ $ 虽然有较长的辅助输入，但大部分时间只访问其中一小部分；而模拟器总是对 $V^ $ 的完整描述（包括整个辅助输入）的哈希值进行承诺，这导致模拟器总是需要较长时间，而 $V^*$ 大部分时间可能运行得很快，所以现有的模拟策略不够精确。

为了解决这个问题，我们对精确性要求进行了轻微放松。原本定义要求精确性 $p$ 对于所有验证者以概率 $1 - neg(n)$ 成立，现在我们放松为以任意多项式接近 1 的概率，存在一个精确性 $p$ 对于所有验证者成立。即把可满足概率从 $1 - neg(n)$ 放松到 $1 - 1/q(n)$，其中 $q(n)$ 可以是任意大的多项式。

形式化定义如下：
设 $(P, V)$ 是语言 $L$ 的交互式证明或论证系统。若存在严格多项式时间算法 $S$ 满足以下条件，则称 $(P, V)$ 是精确零知识证明或论证：
1. 对于每个多项式时间验证者 $V^ $ 和 $V^ $ 的每个辅助输入 $aux \in {0, 1}^ $，$S(x, V^ , aux)$ 的输出在计算上与 $V^ $ 与 $P(x, w)$ 交互的真实视图不可区分。
2. 对于任何多项式 $q(n)$，存在一个单调递增的二元多项式 $p : N \times N \to N$，使得对于每个多项式时间验证者 $V^ $ 和 $V^ $ 的每个辅助输入 $aux \in {0, 1}^ $，对于足够长的随机硬币 $r \in {0, 1}