sm9 目前实现的mulLine与原始 bn256 package的不同

[emmansun]

都以1-2-6-12塔式扩域表示，

bn256 package中的mulLine，它是

(ret.x*t + ret.y) * ((a*s+b)*t+c) 

ret.x = (ret.x + ret.y)*(as+(b+c)) - ret.x*(as+b)-ret.y = ret.y*as + ret.y *b +ret.x*c
ret.y = ret.y * c + (as+b)*ret.x *s

func mulLine(ret *gfP12, a, b, c *gfP2) {
	a2 := &gfP6{}
	a2.y.Set(a)
	a2.z.Set(b)
	a2.Mul(a2, &ret.x)
	t3 := (&gfP6{}).MulScalar(&ret.y, c)

	t := (&gfP2{}).Add(b, c)
	t2 := &gfP6{}
	t2.y.Set(a)
	t2.z.Set(t)
	ret.x.Add(&ret.x, &ret.y)

	ret.y.Set(t3)

	ret.x.Mul(&ret.x, t2).Sub(&ret.x, a2).Sub(&ret.x, &ret.y)
	a2.MulTau(a2)
	ret.y.Add(&ret.y, a2)
}

而我目前实现的sm9则是（通过1-2-4-12扩域转换而来）：

(ret.x*t + ret.y) * ((c*s)t + (b*s+a))

ret.x = (ret.x + ret.y)(cs + bs + a) - ret.y(bs+a) - ret.x*cs
ret.y = ret.y(bs+a) + ret.x*cs *s

// (ret.x t + ret.y) * ((cs)t + (bs+a))
//= ((ret.x * (bs+a))+ret.y*cs) t + (ret.y*(bs+a) + ret.x*cs*s)
//= (ret.x*bs + ret.x*a + ret.y*cs) t + (ret.y*bs + ret.x*cs*s + ret.y * a)
//ret.x = (ret.x + ret.y)(cs + bs + a) - ret.y(bs+a) - ret.x*cs
//ret.y = ret.y(bs+a) + ret.x*cs *s
func mulLine(ret *gfP12b6, a, b, c *gfP2) {
	a2 := &gfP6{}
	a2.y.Set(b)
	a2.z.Set(a)
	a2.Mul(&ret.y, a2)
	t3 := &gfP6{}
	t3.MulScalar(&ret.x, c).MulS(t3)

	t := (&gfP2{}).Add(b, c)
	t2 := &gfP6{}
	t2.y.Set(t)
	t2.z.Set(a)
	ret.x.Add(&ret.x, &ret.y)

	ret.y.Set(t3)

	ret.x.Mul(&ret.x, t2).Sub(&ret.x, a2).Sub(&ret.x, &ret.y)

	ret.y.MulS(&ret.y)
	ret.y.Add(&ret.y, a2)
}

[emmansun]

当时实现时的参考：guanzhi/GmSSL#1243

1. Final Exponentiation，这个是和Implementing Cryptographic Pairings over Barreto-Naehrig Curves描述的一致。
2. sm9_eval_g_tangent() / sm9_eval_g_line()方法中，算出来的四个sm9_fp_t值a0, a1, a4, b1，是怎么确定在sm9_fp12_t 类型 中的位置的？按Implementing Cryptographic Pairings over Barreto-Naehrig Curves中第六部分的描述，好像是0,1,3啊。
   
3. sm9_twist_point_pi1 / sm9_twist_point_pi2方法，这里的Frobenius Map和 scalar multiple map的结果不同，也就是说sm9_twist_point_pi1(G) != q*G, 这也和https://github.com/miracl/MIRACL/blob/b9b8fd471de253cfd6313446cb490741edb069a7/source/curve/pairing/bn_pair.cpp#L313 不同，看来还是SM9这个映射的特殊性：