Creo que finalmente entiendo Dory PCS. Un pequeño desahogo al respecto. La idea es que comenzamos desde bulletproofs. En BP, el verificador debe "creer" que el probador está plegando correctamente los generadores izquierdo y derecho, y utilizando la combinación apropiada L+alpha R para la siguiente ronda. Para que esto sea sólido, V hace una combinación lineal al final. Dory dice: cuando tenemos un grupo de emparejamiento, podemos *comprometer en preprocesamiento* a L y R en el grupo objetivo de emparejamiento, y así calcular verificablemente el compromiso a L+alpha R. Esto nos permite, en última instancia, evitar la combinación lineal en tiempo. Hasta ahora, esto ha eliminado el cálculo en tiempo lineal de V, pero asumimos un emparejamiento, así que al menos módulo una configuración de confianza, también podría haber usado KZG, y tener un V en tiempo constante. Así que para dar un mayor "impacto", Dory combina esta idea con compromisos de dos tercios que son posibles con emparejamientos (conocido desde el viejo artículo de Abe et. al) Es decir, piensa en tu polinomio como una matriz, compromete cada fila en G1 y luego compromete los compromisos en G_t. Esta combinación da un verificador logarítmico, un probador de apertura en raíz cuadrada y un tamaño de compromiso constante.