Я думаю, что наконец-то понимаю Dory PCS. Небольшой rant на эту тему. Идея заключается в том, что мы начинаем с bulletproofs. В BP проверяющий должен "верить", что доказатель правильно сворачивает левые и правые генераторы и использует соответствующую комбинацию L+alpha R для следующего раунда. Чтобы это было обоснованно, V в конце делает линейную комбинацию. Dory говорит - когда у нас есть группа парирования, мы можем *зафиксировать в предварительной обработке* L и R в целевой группе парирования, и таким образом проверяемо вычислить обязательство к L+alpha R. Это в конечном итоге позволяет нам избежать линейной комбинации. На данный момент это устранило линейные вычисления V, но мы предполагаем парирование, так что, по крайней мере, модулю доверенной настройки, можно было бы также использовать KZG и иметь постоянное время V. Таким образом, чтобы создать больший "эффект", Dory сочетает эту идею с двухтретьими обязательствами, которые возможны с парированием (известно с давних пор из старой работы Abe и др.) То есть представьте свой многочлен как матрицу, зафиксируйте каждую строку в G1, а затем зафиксируйте обязательства в G_t. Это сочетание дает логарифмического проверяющего, квадратного открывающего доказателя и постоянный размер обязательства.