译自 halo2 book:https://zcash.github.io/halo2/design/gadgets/ecc/witnessing-points.html

见证点(Witnessing points)

我们在电路中用仿射表示(affine representation)$(x,y)$ 来表示椭圆曲线点(point)。 单位元(identity)用伪坐标(pseudo-coordinate)$(0,0)$ 表示,我们 假设它不是曲线上的有效点。

非单位元点(Non-identity points)

为了约束坐标对 $(x,y)$ 表示曲线上的一个有效点,我们直接检查曲线方程。 对于 Pallas 和 Vesta,曲线方程为:

$$y^2=x^3+5$$

$$\begin{array}{cl}\text{Degree}& \text{Constraint}\\ 4& q_{\text{point}}^{\text{non-id}}\cdot (y^2-x^3-5)=0\end{array}$$

包含单位元的点(Points including the identity)

为了允许 $(x,y)$ 表示曲线上的一个有效点,或者表示伪坐标 $(0,0)$, 我们定义一个单独的门(gate),除非 $x$ 和 $y$ 都为零,否则强制执行曲线方程检查。

$$\begin{array}{cl}\text{Degree}& \text{Constraint}\\ 5& (q_{\text{point}}\cdot x)\cdot (y^2-x^3-5)=0\\ 5& (q_{\text{point}}\cdot y)\cdot (y^2-x^3-5)=0\end{array}$$