Myślę, że w końcu rozumiem Dory PCS. Mała dygresja na ten temat. Pomysł polega na tym, że zaczynamy od bulletproofs. W BP weryfikator musi "wierzyć", że dowodzący prawidłowo składa lewy i prawy generator oraz używa odpowiedniej kombinacji L+alpha R na następnej rundzie. Aby to było sensowne, V wykonuje kombinację w czasie liniowym na końcu. Dory mówi - gdy mamy grupę parującą, możemy *zobowiązać się w preprocessing* do L i R w grupie docelowej parowania, a tym samym weryfikowalnie obliczyć zobowiązanie do L+alpha R. To ostatecznie pozwala nam uniknąć kombinacji w czasie liniowym. Jak dotąd, to usunęło liniowe obliczenia V, ale zakładamy parowanie, więc przynajmniej w przypadku zaufanego setupu, moglibyśmy równie dobrze użyć KZG i mieć stały czas V. Aby dać większy "efekt", Dory łączy ten pomysł z dwu-trzecimi zobowiązaniami, które są możliwe z parowaniami (znane z dawnego artykułu Abe i in.) To znaczy, pomyśl o swoim wielomianie jako o macierzy, zobowiąż się do każdego wiersza w G1, a następnie zobowiąż się do zobowiązań w G_t. Ta kombinacja daje logarytmowego weryfikatora, otwierającego dowodzącego w czasie pierwiastka i stały rozmiar zobowiązania.