Lec 15 Sumcheck 协议

MIT 6.5610 · Lecture 15 · 关键词：sumcheck、多元多项式、交互式证明、可靠性、Schwartz–Zippel、复杂度 说明：以标准处理撰写（LFKN 1992），要点与本课"Sumcheck Protocol"一致。

---

TL;DR

• Sumcheck 把多元多项式在布尔超立方体上的大规模求和，逐轮归约为一个随机点上的求值。
• 可靠性来自低度多项式在随机点碰巧相等的概率很低，即 Schwartz–Zippel 引理。
• 验证者工作量很小，但最终仍需获得或验证目标多项式在随机点的值。

0. 目标

证明者 $P$ 想让验证者 $V$ 相信一个多元低次多项式在布尔超立方上的求和值： $H = \sum_{b_1\in\{0,1\}}\sum_{b_2\in\{0,1\}}\cdots\sum_{b_n\in\{0,1\}} g(b_1,\dots,b_n).$ 直接算需 $2^n$ 项；sumcheck 让 $V$ 只用 $O(n)$ 轮、每轮收一个单变量低次多项式就能高可信地验证 $H$，无需自己遍历指数项。这是 GKR（L18）、zk-SNARK（L19）的核心引擎。

---

1. 协议（逐变量"剥皮"）

设 $g$ 在每个变量上次数 $\le d$。

---

3. 复杂度

• 轮数：$n$（变量数）。
• $V$ 工作量：每轮收一个 $\le d$ 次多项式（$d+1$ 个系数）+ 一次域运算；末轮一次 $g$ 单点求值。总计 $O(nd)$ —— 远小于 $2^n$。
• $P$ 工作量：需对每轮的和式求值，朴素 $O(2^n)$，但对结构化 $g$ 可优化。

🔎 威力所在：把"验证一个指数大求和"压成"验证 $n$ 个单变量低次多项式 + 一次单点求值"。验证者几乎不干活，却能高可信地相信一个它无法独立计算的巨型求和——这正是可验证计算/简洁证明的灵魂。

---

4. 工程视角

• Sumcheck 是现代证明系统的"瑞士军刀"：GKR（L18）用它逐层验证电路；许多 zk-SNARK/STARK（L19）的算术化最终归结为 sumcheck。
• 与 Fiat–Shamir（L11）结合可去交互 → 非交互简洁证明。
• 实践框架：将"计算正确性"编码为多项式恒等，再用 sumcheck 让验证者以亚线性代价检验。

---

5. Sumcheck 协议小结

• Sumcheck 验证 $2^n$ 项求和，仅需 $O(n)$ 轮、验证者 $O(nd)$。
• 每轮"剥"一个变量：$P$ 发单变量多项式，$V$ 查一致性并随机降维。
• 可靠性靠 Schwartz–Zippel：错误多项式在随机点几乎必露馅。
• 是 GKR / SNARK 的核心引擎。