Acho que finalmente entendi o Dory PCS. Um pequeno desabafo sobre isso. A ideia é começarmos pelos bulletproofs. Nos BP, o verificador deve "acreditar" que o provador está dobrando corretamente os geradores esquerdo e direito, e usando a combinação apropriada L+alpha R para a próxima rodada. Para tornar isso sólido, V faz uma combinação linear no final. Dory diz - quando temos um grupo de emparelhamento, podemos *comprometer em pré-processamento* a L e R no grupo alvo de emparelhamento, e assim calcular verificavelmente o compromisso a L+alpha R. Isso nos permite, em última análise, evitar a combinação linear no tempo. Até agora, isso removeu o cálculo de tempo linear de V, mas assumimos um emparelhamento, então pelo menos modulo uma configuração confiável, poderia muito bem ter usado KZG, e ter V em tempo constante. Assim, para dar um "splash" maior, Dory combina essa ideia com compromissos de dois terços que são possíveis com emparelhamentos (conhecido desde o antigo artigo de Abe et. al) Ou seja, pense na sua polinômio como uma matriz, comprometa-se a cada linha em G1 e depois comprometa-se aos compromissos em G_t Essa combinação dá um verificador logarítmico, um provador de abertura sqrt, e um tamanho de compromisso constante.