Предположим, вы хотите использовать $а$ в двух ограничениях, как вы написали. Вы хотите предположить, что $л(х_1) = а$ и $л(х_2) = а$, куда $x_1$ и $x_2$ являются индексами двух ограничений. Но $л(х)$ создается испытателем, и они, безусловно, могли бы выбрать $л(х)$ который оценивается как два разные значения в $x_1$ и $x_2$. Тогда у вас в основном есть две независимые переменные вместо использования $а$ дважды. Это показано в верхней части страницы 36 в связанном PDF-файле.
До этого момента каждое ограничение проверяется независимо. Под этим я подразумеваю, что $l(x_i)*r(x_i) - о(x_i) = 0$ по каждому индексу $x_i$, что проверяется обеспечением $(х-х_я)$ является корнем многочлена. Теперь нам нужен способ проверить равенство переменных между двумя разными ограничениями.Другими словами, чтобы как-то установить такие вещи, как $л(х_1) = л(х_2)$ между разными индексами.
Это делается путем дальнейшего ограничения способа, которым доказывающая сторона может построить многочлены (например, $л(х)$), поэтому они не могут просто интерполировать любые значения, которые им нравятся. Один из способов сделать это — дать доказывающему различные полиномы. $л_а(х)$ которые оцениваются до 1 всякий раз, когда $а$ используется и 0 везде. Например, многочлен, где $l_a(x_1) = l_a(x_2) = 1$, а в остальных местах равен нулю. Затем они могут просто умножить это на $а$ установить такое же значение $а$ во всех местах он используется. Чтобы заставить доказывающую использовать это, мы снова шифруем его и предоставляем $\альфа$ измененная версия:
$$g^{l_a(x)}, g^{\alpha l_a(x)}$$
(как это делалось много раз ранее). Затем доказывающий может возвести каждое из них в степень $а$ чтобы установить это значение во всех местах.
Если у нас есть еще одна такая пара для другой переменной $д$:
$ $ г ^ {l_d (х)}, г ^ {\ альфа l_d (х)} $ $
Тогда доказывающий может установить оба $а$ и $д$ а затем умножить зашифрованные полиномы вместе (что соответствует сложению полиномов в показателях вместе).
То же самое делается для $ Р (х) $ и $ О (х) $.
Есть еще одна уловка, рассмотренная в разделе 4.9.3, которая позволяет доказывающему добавлять дополнительные элементы к своим полиномам путем умножения на другой. $г^1$ и $ г ^ {\ альфа} $. Это исправлено введением еще одного секретного сдвига $\гамма$.
