Penso di aver finalmente capito Dory PCS. Un piccolo sfogo su di esso. L'idea è che partiamo dai bulletproofs. Nei BP il verificatore deve "credere" che il provatore stia piegando correttamente i generatori sinistro e destro, e utilizzando la combinazione appropriata L+alpha R per il turno successivo. Per rendere questo valido, V fa una combinazione lineare alla fine. Dory dice - quando abbiamo un gruppo di accoppiamento, possiamo *impegnarci in preprocessing* a L e R nel gruppo target di accoppiamento, e quindi calcolare verificabilmente l'impegno a L+alpha R. Questo ci consente di evitare la combinazione lineare nel tempo. Finora, questo ha rimosso il calcolo lineare di V, ma assumiamo un accoppiamento, quindi almeno modulo una configurazione fidata, avremmo potuto usare KZG, e avere V in tempo costante. Quindi, per dare un "splash" maggiore, Dory combina questa idea con impegni a due terzi che sono possibili con gli accoppiamenti (noti da un vecchio articolo di Abe et. al) Cioè, pensa al tuo polinomio come a una matrice, impegnati a ciascuna riga in G1 e poi impegnati agli impegni in G_t. Questa combinazione dà un verificatore logaritmico, un provatore di apertura sqrt, e una dimensione di impegno costante.