这是我围绕 Plonky2 → QED Plonky2.5 → Plonky3 整理的一组个人学习总结。我先梳理有限域、多项式、PLONK、AIR、FRI 与 Fiat–Shamir，再逐层记录三套实现为什么这样组合、哪些概念可以迁移，以及哪些 proof format 完全不兼容。 资料快照：2026-07-29。 数学原理与软件状态分开叙述；“当前实现”均绑定具体仓库快照。Plo...

理解基础：知道“有限域”与“哈希承诺”的直觉即可。 资料快照：2026-07-29。 1. 所有协议都从关系开始 一个可验证计算最终描述为 NP 关系 [R(x,w)=1,] 其中 $x$ 是 statement / public input，$w$ 是 witness。证明系统的三个核心算法可抽象为 [\begin{aligned} \mathsf{pp} &\left...

1. 为什么在有限域里计算 有限域 $\mathbb F_q$ 是包含 $q=p^k$ 个元素的域。最简单的是素域 [\mathbb F_p=\mathbb Z/p\mathbb Z.] 域的关键性质是每个非零元素都有乘法逆元。因此加、减、乘、除都能用代数恒等式描述，且不会遇到整数除法的截断。 例如在 $\mathbb F_{17}$： [13+7=3,\qquad 5^{-1}=...

1. PCS 的抽象接口 多项式承诺方案 Polynomial Commitment Scheme 至少提供： [\begin{aligned} \mathsf{pp}&\leftarrow\mathsf{Setup}(1^\lambda,d), C&\leftarrow\mathsf{Commit}(\mathsf{pp},f;r), \pi_z&\leftar...

1. 把电路排成三列 原始 PLONK 用 $n$ 行、三条 witness wires： row $i$ left $a_i$ right $b_i$ output $c_i$ 0 $a_0$ $b_0$ $c_0$ ...

说明：本篇以原始三列 PLONK 的简化一致版本推导。论文修订版和工程实现会改变盲化次数、opening aggregation 与 proof layout；这些差异不改变分层逻辑。 1. 公开预处理 给定最大 degree 的 universal KZG SRS： [\left(g_1^{\tau^0},\ldots,g_1^{\tau^D}; g_2,g_2^\tau\righ...

1. 为什么 lookup 是现代证明系统的核心 有限域乘加很便宜，但计算机语义大量是非算术的： $0\le x<2^{16}$； $z=x\mathbin{\mathrm{XOR}}y$； opcode 属于合法指令集合； byte decomposition； S-box、AES/Keccak 小部件； memory event 属于另一张表； 条...

1. STARK 不是单个公式，而是一条归约链 经典 STARK 把“程序执行正确”逐层归约为： [\begin{aligned} \text{valid computation} &\Longrightarrow \text{valid execution trace} &\Longrightarrow \text{AIR constraints vanish} &am...

1. FRI 要解决的问题 给定 domain $D\subset\mathbb F$、$\lvert D\rvert=N$ 和 oracle [f_0:D\to\mathbb F,] verifier 要判断它是否接近 [\operatorname{RS}(D,d) ={p|_D:\deg p<d}.] FRI 是 Interactive Oracle Proof of P...

版本口径：协议公式主要对应 Polygon Zero 的 2022 年 Plonky2 技术稿；实现参数对应已弃用仓库主分支快照 5d9da5a。二者不一致处会显式指出。 1. 先把名字说准确 Plonky2 不是“原始 PLONK 换了一套 Rust 实现”，也不是传统意义上以 KZG 为后端的 PLONK。 更准确的分层是： 关系 / 程序 ↓ 宽 trace 上的 PLO...