arianaraghi 实测 leanVM 后量子签名聚合中 folding 与全验证器递归，哈希累积未胜出

内容摘要

作者在 8 GB M2、leanVM 提交 df7d122 上实测三种哈希累积设计与 leanVM 全验证器递归，用于后量子签名聚合，结论为累积方案均未胜出。直接折叠 leanXMSS 验证每签名需约 7.1M R1CS 约束，约为 leanVM 每签名成本的 450 倍（由实测速率推断）；折叠整个 step 关系为 260 ns/见证元素，对 leanVM 的 55 ns/提交词；跨 merge 累积子 WHIR opening 每步花约 57k cycles 只省最多 46k。批处理设计 B'-L1 每子项省 32.8k cycles（17.6%），但在 1500 签名时比基线最佳配置的 slot deadline 慢 2.4%。配置规则显示把叶子从 6×250 改为 5×300 可让 merge 节点保持 mu 25，deadline 从 3.11 s 降至 2.24 s、每 slot CPU 从 7.99 s 降至 6.47 s。范围为单聚合器内部，gossip 对象仍是 leanVM 证明；1500 签名的累积器需携带约 1 GiB witness，而 leanVM 证明约 265 KiB。