Nussbaumer Transform 以及 Amortized FHEW bootstrapping

参考文献：

1. [Nuss80] Nussbaumer H. Fast polynomial transform methods for multidimensional DFTs[C]//ICASSP’80. IEEE International Conference on Acoustics, Speech, and Signal Processing. IEEE, 1980, 5: 235-237.
2. [SV11] Smart N P, Vercauteren F. Fully homomorphic SIMD operations[J]. Designs, codes and cryptography, 2014, 71: 57-81.
3. [GHS12a] Gentry C, Halevi S, Smart N P. Fully homomorphic encryption with polylog overhead[C]//Annual International Conference on the Theory and Applications of Cryptographic Techniques. Berlin, Heidelberg: Springer Berlin Heidelberg, 2012: 465-482.
4. [GHS12b] Craig Gentry, Shai Halevi, and Nigel P. Smart. Homomorphic evaluation of the AES circuit. In Reihaneh Safavi-Naini and Ran Canetti, editors, CRYPTO 2012, volume 7417 of LNCS, pages 850–867, Santa Barbara, CA, USA, August 19–23, 2012. Springer, Heidelberg, Germany
5. [GHS12c] Gentry C, Halevi S, Smart N P. Better bootstrapping in fully homomorphic encryption[C]//International Workshop on Public Key Cryptography. Berlin, Heidelberg: Springer Berlin Heidelberg, 2012: 1-16.
6. [GHS12d] Gentry C, Halevi S, Peikert C, et al. Ring switching in BGV-style homomorphic encryption[C]//International Conference on Security and Cryptography for Networks. Berlin, Heidelberg: Springer Berlin Heidelberg, 2012: 19-37.
7. [GHPS12] Gentry C, Halevi S, Peikert C, et al. Field switching in BGV-style homomorphic encryption[J]. Journal of Computer Security, 2013, 21(5): 663-684.
8. [AP13] Alperin-Sheriff J, Peikert C. Practical bootstrapping in quasilinear time[C]//Annual Cryptology Conference. Berlin, Heidelberg: Springer Berlin Heidelberg, 2013: 1-20.
9. [AP14] J. Alperin-Sheriff and C. Peikert. Faster bootstrapping with polynomial error. In CRYPTO 2014, volume 8616 of Lecture Notes in Computer Science, pages 297–314, 2014.
10. [BV14] Brakerski Z, Vaikuntanathan V. Lattice-based FHE as secure as PKE[C]//Proceedings of the 5th conference on Innovations in theoretical computer science. 2014: 1-12.
11. [DM15] L. Ducas and D. Micciancio. FHEW: bootstrapping homomorphic encryption in less than a second. In EUROCRYPT (1), volume 9056 of Lecture Notes in Computer Science, pages 617–640. Springer, 2015.
12. [MS18] Micciancio D, Sorrell J. Ring packing and amortized FHEW bootstrapping[J]. Cryptology ePrint Archive, 2018.

Nussbaumer Transform

Multi-dimensional DFT

令 $p_1,p_2,...,p_b$ 是 $b$ 个整数，令 ${\zeta }_j=e^{-2\pi i/p_j}$ 是 $p_j$ 阶单位根，其中 $i^2+1=0$。定义有限群 $G:=Z_{p_1}\times Z_{p_2}\times \cdots \times Z_{p_b}$，容易验证 $G$ 是拥有 $p_1{p}_2\dots p_b$ 个元素的群。对于群元素 $x\in G$，我们简单记做向量形式 $(x_1,x_2,\dots ,x_b),x_j\in Z_{p_j}$

函数 $f:G\to C$（索引为 $x\in G\cong [p_j{]}_j$ 的高阶查找表）执行离散傅里叶变换，得到 $F:G\to C$ （索引为 $\alpha \in G\cong [p_j{]}_j$ 的另一个高阶查找表），
$$F(\alpha )=DFT(f,[{\zeta }_j{]}_j):=\sum _{x\in G}\left(f(x)\cdot \prod _{j=1}^b{\zeta }_j^{{\alpha }_j{x}_j}\right)$$
逆离散傅里叶变换的公式为：
$$f(x)=InvDFT(F,[{\zeta }_j{]}_j):=\frac{1}{p_1{p}_2\dots p_b}\sum _{\alpha \in G}\left(F(\alpha )\cdot \prod _{j=1}^b{\zeta }_j^{-{\alpha }_j{x}_j}\right)$$

容易验证，上式是正确的。由于 ${\zeta }_j^0=1$，并且有 ${\zeta }_j^0+{\zeta }_j^1+\cdots +{\zeta }_j^{p_j-1}=0,\forall j$，因此：
$$\sum _{\alpha \in G}(\prod _{j=1}^b{\zeta }_j^{{\alpha }_j(x_j-x_j^{\prime })})=\{\begin{array}{rlr}|G|& & x=x^{\prime }\\ 0& & x\ne x^{\prime }\end{array}$$

其中$|G|=p_1{p}_2\dots p_b$，所以 DFT 公式和 InvDFT 公式之间多了一个因子
$$InvDFT(F,[{\zeta }_j{]}_j):=\frac{1}{|G|}\cdot DFT(F,[{\zeta }_j^{-1}{]}_j)$$

Polynomial Transform

对于维度 $N\times N,N=2^t$ 的数组 $\{x_{n_1,n_2}{\}}_{n_1,n_2\in [N]}$，它的 DFT 公式为
$${\bar{x}}_{k_1,k_2}=\sum _{n_1=0}^{N-1}\sum _{n_2=0}^{N-1}{x}_{n_1,n_2}{\zeta }_N^{n_1{k}_2+n_2{k}_2}$$

令 $w=\sqrt{{\zeta }_N}$，我们对这个数组 $\{x_{n_1,n_2}{\}}_{n_1,n_2}$ 按列抽取，扭曲后组成多项式，第 $n_2$ 列表示为：
$$x_{n_2}(z):=\sum _{n_1}(x_{n_1,n_2}\cdot w^{-n_1})\cdot z^{n_1}$$

以它们作为系数，构造多项式：
$${\bar{x}}_{k_2}(z):=\sum _{n_2}{x}_{n_2}(z)\cdot w^{2n_2{k}_2}(\mathrm{mod}{z}^N+1)$$

那么可以验证，二维 DFT 被表示为在 $z=w^{2k_1+1}$ 的求值：
$${\bar{x}}_{k_1,k_2}={\bar{x}}_{k_2}(z)(\mathrm{mod}z-w^{2k_1+1})$$

由于 $\gcd (2k_1+1,N)=1$，因此 $k_2\mapsto (2k_1+1)k_2(\mathrm{mod}N)$ 是一个置换。我们重写 ${\bar{x}}_{k_2}$ 为如下形式（不需要实际置换，仅仅是一种表示），
$${\bar{x}}_{(2k_1+1)k_2}(z)=\sum _{n_2}{x}_{n_2}(z)\cdot z^{2n_2{k}_2}(\mathrm{mod}{z}^N+1)$$

对应的，
$${\bar{x}}_{k_1,(2k_1+1)k_2}={\bar{x}}_{(2k_1+1)k_2}(z)(\mathrm{mod}z-w^{2k_1+1})$$

由于 $\mathrm{deg}{\bar{x}}_{(2k_1+1)k_2}(z)\le N-1$，因此可以把它记为
$${\bar{x}}_{(2k_1+1)k_2}(z)=\sum _{l=0}^{N-1}{y}_{k_2,l}\cdot z^l$$

因此二维 DFT 表示为
$$\begin{array}{rl}{\bar{x}}_{k_1,(2k_1+1)k_2}& =\sum _{l=0}^{N-1}{y}_{k_2,l}\cdot (w^{2k_1+1}{)}^l\\ & =\sum _{l=0}^{N-1}(y_{k_2,l}\cdot w^l)\cdot w^{2l{k}_1}\end{array}$$

总结一下，二维数组的 DFT 的计算方法为：

1. 输入数组 $\{x_{n_1,n_2}{\}}_{n_1,n_2\in [N]}$
2. 对所有的 $x_{n_1,n_2}$ 扭曲角度 $w^{-n_1}$，构造出 $N$ 个长度 $N$ 的小多项式 $x_{n_2}(z)$
3. 对于不同的 $k_2$，将它们作为系数，分别组合出 $N$ 个系数的多项式 ${\bar{x}}_{k_2}(z)$
4. 对于每个 $k_2$，扭曲 ${\bar{x}}_{k_2}(z)$ 的系数 $[y_{k_2,l}{]}_l$ 角度 $w^l$，得到长度 $N$ 的一维样本 $[y_{k_2,l}\cdot w^l{]}_l$
5. 对于每个 $k_2$，对样本 $[y_{k_2,l}\cdot w^l{]}_l$ 做关于 $w^{2k_1},k_1\in [N]$ 的一维 FFT/NTT（同时执行 $N$ 个 ${\bar{x}}_{(2k_1+1)k_2}(w^{2k_1})$ 的求值），就可以实现二维 DFT 的计算

step 2 需要 $O(N^2)$ 次数乘，step 3 需要 $O(N^2)$ 次加法，step 4 需要 $O(N^2)$ 次数乘，step 5 需要 $O(N)$ 次长度为 $O(N)$ 的 FFT/DFT 子例程，总的复杂度为 $O(N^2\log N)$

Breaking Polynomials in Parts

[GHS12d] 中为了实现分园环上的 Ring Switching 任务，也采取了类似的多项式切分策略。后续的另一篇文章 [GHPS12] 则采取了完全不同的技术路径，使用分园环塔上的 Trace 来实现 Field Switching 任务。这个技术可以用于加速 BGV 的 Bootstrapping 过程，甚至可以加速同态运算本身。

我们定义 $R_m=\mathbb{Z}[x]/({\Phi }_m(x))$，定义 $C_m=\mathbb{Z}[x]/(x^m-1)$。利用 Modulus Lift 技术，存在多项式 $G(x)\in \mathbb{Z}[x]$，使得 $a(x)\in R_m\mapsto G(x)\cdot a(x)\in C_m$ 是单的加群同态。

对于 $m=u\cdot w$，就有以下的良好性质：

1. 给定三个次数至多为 $\varphi (w)-1$ 的多项式 $f,g,h$，如果满足 $h(x)=f(x)\cdot g(x)(\mathrm{mod}{\Phi }_w(x))$，那么 $h(x^u)=f(x^u)\cdot g(x^u)(\mathrm{mod}{\Phi }_m(x))$
2. 给定三个次数至多为 $w-1$ 的多项式 $f,g,h$，如果满足 $h(x)=f(x)\cdot g(x)(\mathrm{mod}{x}^w-1)$，那么 $h(x^u)=f(x^u)\cdot g(x^u)(\mathrm{mod}{x}^m-1)$

假设 $m=u\cdot w$，那么 $C_w$ 可以视为 $C_m$ 的子环，以及 $R_w$ 可以视为 $R_m$ 的子环，对应的环嵌入是 $x\mapsto x^u$。给定 $\mathbb{Z}[x]/(x^m-1)$ 中的多项式，
$$\begin{array}{rl}a(x)& =\sum _{i=0}^{m-1}{a}_i\cdot x^i\\ & =\sum _{k=0}^{u-1}\sum _{j=0}^{w-1}{a}_{uj+k}\cdot x^{uj+k}\\ & =\sum _{k=0}^{u-1}\left(\sum _{j=0}^{w-1}{a}_{uj+k}\cdot x^{uj}\right)\cdot x^k\end{array}$$

定义 $a_{(k)}={\sum }_{j=0}^{w-1}{a}_{uj+k}\cdot x^j\in \mathbb{Z}[x]/(x^w-1)$，那么
$$a(x)=\sum _{k=0}^{u-1}{a}_{(k)}(x^u)\cdot x^k$$

[GHPS12] 将上述的 $a\in C_m\mapsto [a_{(k)}{]}_k\in C_w^u$ 切分过程称为 split coefficients。容易看出它是可逆的，其逆过程称为 reconstruction。特别地，切分过程是投影，而重构过程是线性组合，从而它们可以和其他的线性函数（比如解密函数）交换。[GHPS12] 提出了 Ring-Switching，首先把大环 $R_m$ 上密文的秘钥切换到子环 $R_w$ 上（需保证子环维度足够大，从而安全），接着执行 Modulus Lift 把密文映射到 $C_m$ 上，然后 Split 得到 $C_w$ 上的若干碎片，最后取模获得小环 $R_w$ 上的若干密文。可以证明，这些小环密文的明文槽中，加密了大环密文的明文槽（但是有额外的槽内线性变换）。

Amortized FHEW bootstrapping

[MS18] 给出了第一个 “困难假设的近似因子为多项式” 并且 “自举复杂度是（均摊）亚线性” 的 FHE 方案。虽然单次自举的复杂度略高于 FHEW，但是可以批处理，因此均摊下来减少了大约 $O(n)$ 因子。

High level outline

[BGV12] 提出 BGV 方案时，便给出了 Batching Bootstrapping 的设计，使用底层代数自带的 Rotation 实现各个槽之间的迁移，同时自举 $\tilde{O}(\lambda )$ 个密文，获得了拟线性的均摊自举时间。 但是，[BGV12] 使用的是布尔电路，因此速度很慢。

[GHS12c] 提出了特殊密文模数 $q_0=p^t$ 的快速解密例程（完全算术的），然后采取 p-adic number 以及 Hensel Lifting，扩展了 [SV11] 的 SIMD 技术，使得明文槽成为环 ${\mathbb{Z}}_{p^t}$ 而非有限域 $GF(p^t)$，最后再通过 [GHS12a] 的 Slot Permutation 技术，执行同态 DFT 来实现 coeff packing 和 slot packing 之间的转换，于是实现了并行的解密。

[AP13] 并不采用 Benes 置换网络来实现同态 DFT，而是通过[GHS12D] 和 [GHPS12] 的 Field Switching（用 Trace 实现任意的线性函数），以及分园环的 Tensorial Decomposition，直接将 coeff 映射到 slot 上。另外 [AP13] 使用分园环上的 Ideal Factorization 来推广 [SV11] 的 SIMD 技术到环 ${\mathbb{Z}}_{p^t}$ 的明文槽，而非 p-进数。

不过，上述的这些 BGV 的并行自举方案，都导致噪声的超多项式增长，因此需要假设近似因子为超多项式的格上问题困难。基于 GSW 方案，[BV14] 给出了第一个近似因子为多项式的 FHE 方案，但是解需要利用 5-PBP 实现布尔解密电路，计算复杂度。之后 [AP14] 使用 GSW 构造出 HE-Perm 方案（实际就是同态累加器），用它来自举任意的单个 LWE 密文，计算复杂度仅为 $\tilde{O}(\lambda )$，同时所依赖的假设近似因子是多项式的。

[MS18] 给出了第一个 “困难假设的近似因子为多项式” 并且 “自举复杂度是（均摊）亚线性” 的 FHE 方案。虽然单次自举的复杂度略高于 FHEW，但是可以批处理，因此均摊下来减少了大约 $O(n)$ 因子。一些方案的计算复杂度比较，如图所示：

大体思路为：

1. 选取 $LW{E}_n^{2/q}$ 的参数：代数结构 ${\mathbb{Z}}_q^{n+1}$，密文模数 $q$，明文模数 $t=2$，维度 $n=2^{l-1}$
2. 选取 $RLW{E}_d^{2/2n}$ 的参数：代数结构 ${\mathbb{Z}}_{2n}[x]/({\Phi }_d(x))$，密文模数 $2n$，明文模数 $t=2$，维度 $\varphi (d)$
3. 选取 $RGS{W}_N^{2n/Q}$ 的参数：代数结构 ${\mathbb{Z}}_Q[x]/({\Phi }_N(x))$，密文模数 $Q$，维度 $2n\mid \varphi (N)$，被编码在多项式的指数上的明文空间大小为 $2n$
4. 我们使用 RGSW 构造一个比 FHEW 的累加器（仅支持加法）更强的同态寄存器 $RE{G}^{2n/Q}$，它支持 ${\mathbb{Z}}_{2n}$ 中的加法和减法（不支持数乘）
5. 为了同态解密 $b-a\cdot s\in R_{d,2n}$，我们把私钥预处理为 DFT 格式 $DFT(s)$，设置自举秘钥为 $BK:=RE{G}^{2n/Q}([2^j\cdot DFT(s{)}_i{]}_{i,j})$
6. 我们首先把 $\varphi (d)$ 个 LWE 密文，打包到单个 RLWE 密文中，并执行模切换将模数从 $q$ 降低到 $2n$
7. 然后对这个打包的 RLWE 密文 $(a,b)\in R_{d,2n}^2$ 做同态解密：将 $a$ 视为常数多项式，明文下转化为 $DFT(a)$，然后和 $BK$ 做阿达玛积（数乘），得到 $DFT(s\cdot a{)}_i\in {\mathbb{Z}}_{2n}$ 的累加器状态
8. 现在执行同态 InvDFT，这个过程中我们仅仅能够使用 $RE{G}^{2n/Q}$ 所支持的加法和乘法操作。其中的与单位根的数乘，通过 Nussbaumer Transform 变为子环的旋转（取模运算需要 ${\mathbb{Z}}_{2n}$ 上的减法）
9. 经过一些转换，现在我们得到了加密 $s\cdot a\in R_{d,2n}$ 各个系数的寄存器，从而可以计算出 $m\approx b-a\cdot s$ 的寄存器（共有 $O(d)$ 个 RGSW 密文分别加密 $m(x)$ 的各个系数）
10. 最后，利用 $RGS{W}_N^{2n/Q}$ 的明文 one-hot 性质，利用各个系数对应的寄存器，查找舍入函数的 Lookup Table（反循环向量）获取 $m_i=MSB(m_i+e)$ 的值，这便是我们一开始输入的那些 LWE 密文的明文

现在有如下几个问题：怎么打包 LWE 到 RLWE、怎么构造支持减法的寄存器、怎么将 InvDFT 的数乘运算仅使用加/减法实现。其他的诸如模切换、提取 MSB 都是简单的。

Modulus Switching

[MS18] 采取了随机化园整的模切换变体。定义随机函数 $\lfloor \cdot \rceil_$: \mathbb R \to \mathbb Z$，
$$\lfloor x{\rceil }_{\$}:=\{\begin{array}{rlr}\lfloor x\rfloor ,& & Pr=\lceil x\rceil -x\\ \lceil x\rceil ,& & Pr=x-\lfloor x\rfloor \end{array}$$

舍入噪声为 $-1< x-\lfloor x \rceil_$<1$，因此它是参数 $\sqrt{2\pi }$ 的亚高斯分布。

模切换算法为

对于 LWE 密文：它的输入是 $LW{E}_s^{t/Q}[m,\beta ]$，其输出为 $LW{E}_s^{t/q}[m,{\beta }^{\prime }]$，简记 $e=(\lfloor (n/q)b \rceil_$,\lfloor (n/q)a \rceil_$)$（参数 $\sqrt{2\pi }$ 的亚高斯），那么噪声界以极高的概率为
$${\beta }^{\prime }=\frac{q}{Q}\cdot \beta +\Vert e\cdot (1,-s)\Vert =\frac{q}{Q}\cdot \beta +O(\Vert s\Vert )$$

对于 RLWE 密文：它的输入是 $RLW{E}_z^{t/q}[m,\beta ]$，其输出为 $LW{E}_s^{t/n}[m,{\beta }^{\prime }]$，简记 $e_0=\lfloor (n/q)b \rceil_$$ 和 $e_1=\lfloor (n/q)a \rceil_$$（参数 $\sqrt{2\pi }$ 的亚高斯），那么噪声界以极高的概率为
$${\beta }^{\prime }=\frac{n}{q}\cdot \beta +\Vert e_0\Vert +\Vert e_1\cdot z\Vert =\frac{n}{q}\cdot \beta +w\left(\sqrt{d\log d}\right)\cdot \Vert z\Vert$$

Ring packing

类似于 TFHE 的 functional Key-switch 例程，我们可以把一些 LWE 密文打包到单个 RLWE 密文中。

算法如下：

打包秘钥 $K_{j,l}^P\in RLW{E}_z^{q/q}[s_l\cdot 2^j,{\beta }_P]$，输入 $\varphi (d)$ 个 $LW{E}_n^{t/q}[m_i,\Delta ]$，输出单个 $RLW{E}_z^{t/q}[m(x),\beta ]$，其中 $m(x)={\sum }_i{m}_i{x}^i$，它的噪声界是
$$\beta =O(\sqrt{d}\cdot \Delta +\sqrt{dn\log q}\cdot {\beta }_P)$$

在对这个打包的 RLWE 密文执行同态解密之前，执行 Modulus Switching 将模数从 $q$ 降低到 $2n$（环面以 $1/2n$ 精度离散化），从而可以被 RGSW 自举（没看懂为啥 RGSW 的维度要和 LWE 的维度有关，没必要吧？）

此时我们拥有了打包密文 $(a,b)\in RLW{E}_z^{t/2n}[m(x),\beta ]\subseteq R_{d,2n}^2$，秘钥为 $z\in R_{d,2n}$，我们接下来需要同态地计算 $b-a\cdot z\in R_{d,2n}$ 并且同态地园整。

Homomorphic Registers

FHEW 的累加器仅支持同态加法，不支持减法（ homomorphic inversion），难以支持数乘（ homomorphic exponentiation）。[MS18] 类似于 FHEW 采取 RGSW 来构建同态累加器（而非 TFHE 采用的 RLWE），但是通过冗余，增强实现了支持减法的寄存器。

对于加密系统 $RGS{W}_N^{2n/Q}$，这里的上角标 $2n/Q$ 并非纠错码缩放倍率，而是指的明文空间为 ${\mathbb{Z}}_{2n}$（编码在多项式指数上）。对于 $v\in {\mathbb{Z}}_{2n}$，假设 $Y=X^{N/2n}$ 是 $2n$ 次本原单位根，FHEW 的累加器为 $RGS{W}_N^{2n/Q}(u\cdot Y^v)$，其中的 $u\approx Q/2t$ 是 RLWE 的纠错码缩放倍率。我们选取 $t=4$，它对应于 ${\mathbb{Z}}_4$ 的纠错编码倍率 $Q/t$ 的一半（反循环函数）

FHEW 的累加器：

• 初始化（Initialization）：记为 $v\leftarrow w$，状态为无噪密文
  $$C=u\cdot X^{w}G\in RGS{W}_z^{2n/Q}(u\cdot X^w)$$

• 常数加法（Increment）：记为 $v\leftarrow v+c$，状态转换为
  $$C\cdot X^c\in RGS{W}_z^{2n/Q}(u\cdot X^{w+c})$$

• 密文加法（Addition）：记为 $v\leftarrow v+C^{\prime }$，状态转换为
  $$(u^{-1}\cdot C)\cdot G^{-1}(C^{\prime })\in RGS{W}_z^{2n/Q}(u\cdot X^{v+w})$$

• 密文提取（Extraction）：从 $C$ 中提取出 LWE 密文

为了使得同态寄存器也支持减法，[MS18] 将数值 $v\in {\mathbb{Z}}_{2n}$ 存储为冗余的一对 RGSW 密文（两个反向的累加器），
$$RE{G}_z^{2n/Q}[v,\beta ]:=\left(RGS{W}_z^{2n/Q}(u\cdot X^v),RGS{W}_z^{2n/Q}(u\cdot X^{-v})\right)$$

这个寄存器的：初始化、常数加法、密文加法，都是从累加器自然继承的。密文提取就是对第一分量 $C$ 的密文提取。它额外支持减法：简单交换两个累加器，$(C,C^{\prime })\mapsto (C^{\prime },C)$

后文中，我们使用符号 $[[v]]$ 简记加密 $v\in {\mathbb{Z}}_{2n}[x]\cong {\mathbb{Z}}_{2n}^{\infty }$ 的一组寄存器。

Slow Multiplication

现在，我们看一下如何在 $RE{G}^{2n/Q}$ 下，计算 $R_{d,2n}$ 中环元素的数乘 $a\cdot [[z]]$

由于 $z\in R_{d,2n}$ 是各个系数单独加密在 REG 内的，并且 $a\in R_{d,2n}$ 的各个系数都已知的 $l=\log n+1$ 比特常数。因此我们可以在 REG 中存储私钥的二的幂， $f(z):=[z_k{2}^j{]}_{k,j}\in {\mathbb{Z}}_{2n}^{l\times \varphi (d)}$ 的值，然后将 $a_i\in {\mathbb{Z}}_{2n}$ 做二进制分解 ${\sum }_{j=0}^{l-1}{a}_{ij}{2}^j$

定义计算标量数乘 $a_i\cdot z_k\in {\mathbb{Z}}_{2n}$ 的同态电路
$$C_{a_i}([[f(z)]],k):=\sum _{j\in [l],a_{ij}=1}[[z_k{2}^j]]$$

上述过程中，仅仅需要同态加法（不需要计算幂次），这是寄存器所支持的。

于是环元素数乘 $a\cdot z\in R_{d,2n}$ 的同态电路 $C_a$ 为：

1. $R_{d,2n}$ 的长度为 $d$，因此我们先提升到整数多项式环，计算 $a\cdot z\in {\mathbb{Z}}_{2n}[x]$，它的长度为 $2d-1$
2. 每个系数 $(a\cdot z{)}_i={\sum }_{i=j+k}{a}_j\cdot z_k\in {\mathbb{Z}}_{2n}$ 是若干数乘的加和，采取 $C_{a_j}([[f(z)]],k)$ 来实现，共计 $O(d^2\cdot l)$ 个同态加法
3. 现在模掉 ${\Phi }_d(x)$ 回到分圆环 $R_{d,2n}$ 上，假如我们选取 $d$ 是素数幂次，那么 ${\Phi }_d(x)$ 的系数都是 $\{0,1\}$ 的，从而模约减只需要若干的减法

令 $p$ 是素数，$k$是自然数，那么
$$\begin{array}{rl}{Q}_{p^k}(x)& =\frac{x^{p^k}-1}{Q_1(x)Q_p(x)\cdots Q_{p^{k-1}}(x)}\\ & =\frac{x^{p^k}-1}{x^{p^{k-1}}-1}\\ & =1+x^{p^{k-1}}+x^{2p^{k-1}}+\cdots +x^{(p-1)p^{k-1}}\end{array}$$

它仅包含 $p$ 个系数是 $1$，其他的系数都是 $0$，于是模约减容易的。素数 $p$ 越小，模约减复杂度的常数因子越小。

假设 $B_g$ 是 RGSW 的 Gadget 矩阵的参数，$d_g={\log }_{B_g}Q$ 是分解位数，那么存在算法 $SlowMult:R_{d,2n}\times RE{G}_z^{l\times \varphi (d)}\to RE{G}_z^{\varphi (d)}$，
$$\left(a,{\left[RE{G}_z^{2n/Q}[f(z{)}_{j,k},\beta ]\right]}_{j,k}\right)\mapsto {\left[RE{G}_z^{2n/Q}[(a\cdot z{)}_i,{\beta }^{\prime }]\right]}_i$$

以压倒性概率 ${\beta }^{\prime }=\tilde{O}\left(\beta B_g\cdot \sqrt{n{d}_g\cdot d}\right)$，它的计算复杂度为 $\tilde{O}(d^2)$ 次同态加法/减法。

Homomorphic DFT

然而，上述 Slow Multiplication 的计算效率太低了（拟二次函数），即使 $\varphi (d)$ 个密文均摊下来复杂度依旧是拟线性的。我们希望把均摊成本降低到亚线性，也就是说多项式的同态乘法的复杂度应当为拟线性。如果可以在 DFT 域上计算阿达玛乘法，然后再利用 InvFFT 算法得到它的系数表示，计算复杂度就降低到了拟线性级别。

我们简记 $R_d:=\mathbb{Z}[x]/({\Phi }_d(x))$ 是分园数域的整数环（$d$ 是任意整数），令商环 $R_{d,q}:=R_d/q{R}_d$，另外简记 $C_m:=R_m:=\mathbb{Z}[x]/(x^m-1)$ 是循环卷积环（$m$ 是素数幂次）

$C_m$ 上的 DFT 的公式为，
$$\begin{array}{ccrcl}{\bar{x}}_i& =& DFT(x{)}_i& :=& {\sum }_{k=0}^{m-1}{x}_k{\zeta }_m^{ik}\\ x_k& =& DF{T}^{-1}(x{)}_i& :=& {\sum }_{i=0}^{m-1}{\bar{x}}_i{\zeta }_m^{-ik}\end{array}$$

那么对于 $a,z\in R_d$ 的多项式乘法，只要满足 $\mathrm{deg}a\cdot z<m$（即 $m>2\varphi (d)-1$），就可以先在 $C_m$ 的 DFT 域上计算阿达玛积，然后 InvFFT 回到 $C_m$ 上并且模掉 ${\Phi }_d(x)$ 得到 $R_d$ 上结果，
$$\left(a(x)\cdot z(x)(\mathrm{mod}{x}^m-1)\right)(\mathrm{mod}{\Phi }_d(x))=DF{T}^{-1}\left(\frac{1}{m}DFT(z)\odot DFT(a)\right)(\mathrm{mod}{\Phi }_d(x))$$

然而，我们的 RGSW 累加器（用同态乘法实现指数上的算术加法）难以计算数乘。DFT 可以在明文下预处理，然而 InvDFT 必须在密文下同态计算。但是让 $REG({\bar{x}}_i)$ 和 ${\zeta }_m^{-ik}\in \mathbb{C}$ 数乘，显然不是什么好主意。

[MS18] 使用 Nussbaumer Transform 来解决这个问题。它使用了更加代数化的语言，描述 Nussbaumer 的映射过程。给定 $m|d$ 都是素数 $p\ge 2$ 的幂次，并且满足 $d\ge p{m}^2$（为了使得 $pm\mid d/m$ 次本原根落在 $R_{d/m}$ 内），简记 $r=\varphi (d/m)=\varphi (d)/m$，那么单变元 $(x)$ 的多项式，可以映射为双变元 $(x,y=x^m)$ 的多项式。确切地，映射为（其实就只是一种表示而已，不需要实际的映射/置换），
$$\begin{array}{crcl}\psi :& R_{d,q}& \to & R_{d/m,q}[x]/(x^m-y)\\ & a(x)={\sum }_{i=0}^{\varphi (d)}{a}_i{x}^i& \mapsto & a(x,y)={\sum }_{j=0}^{m-1}\left({\sum }_{i=0}^{r-1}{a}_{mi+j}{y}^i\right)x^j\end{array}$$

其中 $a_{(j)}(y):={\sum }_{i=0}^{r-1}{a}_{mi+j}{y}^i\in {\mathbb{Z}}_q[y]/({\Phi }_{d/m}(y))$，由于 $x$ 是 $d$ 次本原单位根，因此 $y=x^m\in R_{m,q}$ 是 $d/m$ 次本原单位根。

为了快速计算多项式乘法，我们试图对 $a(x,y)$ 做关于 $R_{d/m,q}[x]/(x^{pm}-1)$ 的 DFT（简单的 Lift，两个关于 $x$ 的次数至多为 $m-1$ 的多项式，乘积的次数不会越过 $pm-1$，因此计算正确），那么就需要 $pm$ 次本原单位根，而恰好 $y^{d/(p{m}^2)}\in R_{d/m,q}$ 就是！因此，DFT 中的关于本原根的大环中的数乘运算，完全的转化为了小环中的多项式旋转（寄存器加密了小环元素的 ${\mathbb{Z}}_{2n}$ 上系数，并且 ${\Phi }_{d/m}(y)$ 是稀疏 $\{0,1\}$ 系数的，因此系数旋转就是少量的减法）

现在我们整理下 $a\cdot s\in R_d$ 的计算流程：

1. 秘钥 $s\in R_d$ 是关于 $x$ 的度数 $\varphi (d)-1$ 单变元多项式，经过映射 $\psi (s)\in R_{d/m}[x]/(x^m-y)$ 得到了关于 $x$ 的度数 $m-1$ 且关于 $y$ 的度数 $r-1$ 的双变元多项式
2. 关于变元 $x$，预计算 $f=\frac{1}{m}DFT(\psi (s))$，所使用的本原根是 $y^{d/(p{m}^2)}\in R_{d/m}$，其中的 $\psi (s)$ 被提升到了 $R_{d/m}[x]/(x^{pm}-1)$ 上
3. 将向量 $f$ 按照各个系数（落在环 $R_{d/m}$ 中）分别加密到 RGSW 密文（二进制分解的冗余累加器，可计算加/减法和数乘），简记为 $[E(2^j{f}_k){]}_{k,j}$，每个 $E(2^j{f}_k)$ 实际包含了小环 $R_{d/m}$ 中的 $r$ 个系数 $f_{k,i}$ 的密文
4. 类似地，密文 $a\in R_d$ 作为常数（因此 $s,a$ 的 DFT 都不是同态计算的），计算出 ${\bar{a}}_i=DFT(\psi (a){)}_i$
5. 使用二进制分解手段，将 ${\bar{a}}_i$ 数乘 $f_i$ 转化为：使用 $a_{ij}$ 挑选 $E(2^j{f}_k)$，共计算 $pm$ 个 $R_{d/m}$ 上的数乘，获得了 $\bar{c}:=\frac{1}{m}DFT(\psi (z))\odot DFT(\psi (a))$
6. 现在，我们执行 InvDFT 操作，简单按照公式 $c_k={\sum }_{i=0}^{m-1}{\bar{c}}_i{\zeta }_m^{-ik}$ 来计算即可（不要使用 FFT/NTT，多层迭代导致了无法利用 GSW 的不对称噪声增长特性），其中的数乘 ${\zeta }_m^{-ik}$ 就是在小环 $R_{d/m}$ 中旋转系数向量（需要模掉 ${\Phi }_{d/m}(y)$，它仅包含 $p$ 项非零，因此通过稀疏的减法来实现）。
7. 现在我们得到了 $c:=\psi (z)\cdot \psi (a)\in R_{d/m}[x]/(x^{pm}-1)$ 的（各个系数的系数）密文，把它同态的模掉 $(x^m-y)$ 得到 $\psi (z\cdot a)\in R_{d/m}[x]/(x^m-y)$，它其实就是 $z\cdot a\in R_d$

Ring Decrypt

我们选取三的幂次的分园环，设置 $d=3^k$，令 $m=d^{ϵ}=3^{ϵk}$ 满足 $d\ge 3m^2$，简记 $r=\varphi (d/m)=\varphi (d^{1-ϵ})$，那么密文 $(a,b)\in RLW{E}_z^{t/2n}$ 的 Nussbaumer 转换为：
$$\psi :R_{d,2n}\to R_{d/m,2n}[x]/(x^m-y)$$

其中 ${\zeta }_{3m}:=y^{d/(3m^2)}\in R_{d/m,2n}$ 是 $3m$ 次本原单位根

同态线性解密的过程为：

1. 我们将 $a,z\in R_{d,2n}$ 映射为 $\psi (a),\psi (z)\in R_{d/m,2n}[x]/(x^m-y)$

2. 然后将 $\psi (a),\psi (z)$ 提升到 $R_{d/m,2n}[x]/(x^{3m}-1)$，现在可以对 $\psi (a),\psi (z)$ 执行 DFT/InvDFT

3. 我们定义私钥在 DFT 域的二的幂次，
   $$f(z)=(1,2,4,\cdots ,2^{l-1})\otimes {\left[\frac{1}{3}\cdot DFT(\psi (z){)}_i\right]}_{i\in [3m]}\in R_{d/m,2n}^{l\times 3m}$$

   将它用寄存器加密为 $[[f(z)]]$

4. 计算 ${\bar{a}}_i=DFT(\psi (a){)}_i$，然后用 SlowMult 电路 $C_{{\bar{a}}_i}([[f(z)]])$ 计算小环 $R_{d/m,2n}$ 上的阿达玛乘积

5. 再令电路 $C_F$ 是利用公式 $(a\cdot z{)}_k={\sum }_{i=0}^{3m-1}\overline{(a\cdot z{)}_i}{\zeta }_{3m}^{-ik}$ 同态计算 InvDFT 的电路（因为 ${\zeta }_{3m}\in R_{d/m,2n}$，所以只需要同态加/减法），那么计算 $a\cdot z\in R_{d,2n}$ 的电路为
   $$[[a\cdot z]]=C_a([[f(z)]]):=C_F({\left[C_{{\bar{a}}_i}([[f(z)]])\right]}_i)(\mathrm{mod}{x}^m-y)$$

6. 接着定义电路 $C_{a,b}([[f(z)]])=b-C_a([[f(z)]])$ 是计算 $b-a\cdot z\in R_{d,2n}$ 的同态电路

我们设置 refreshing key 成为 $3m\times l\times r$ 的寄存器矩阵，
$$K^R=K_{ijk}^R:=RE{G}_z^{2n/Q}{\left[\frac{1}{3m}\cdot DFT(\psi (z){)}_{i,k}\cdot 2^j,{\beta }_R\right]}_{i\in [3m],j\in [l],k\in [r]}$$

解密算法为：

其中的 $DF{T}^{-1}$，由于 $m|d$ 都是三的幂次，令 $r=\varphi (d)/m$，变元 $y^{d/m}=1$，
$${\Phi }_{d/m}(y)=y^r+y^{r/2}+1$$

于是数乘 ${\zeta }_{3m}^{-ik}$ 可以表示为对 $R_{d/m,2n}$ 上的各个项 $a\cdot y^v$ 乘以某个 $y^i$，然后模掉稀疏的 ${\Phi }_{d/m}(y)$。注意：我们分别加密 $R_{d/m,2n}$ 的各个系数，成为带索引的寄存器 $(REG(a),v)$，而变元 $y^v$ 并不被加密，乘以 $y^i$ 就只是把系数的密文简单的置换到 $y^{v+i}$ 位置。模约减的公式为：
$$(a\cdot y^v)\cdot y^i(\mathrm{mod}{\Phi }_{d/m}(y))=\{\begin{array}{lc}a\cdot y^{v+i},& \text{for }v+i<r\\ -a\cdot y^{v+i(\mathrm{mod}r)}-a\cdot y^{v+i+r/2(\mathrm{mod}r)},& \text{for }r\le v+i<d/m\\ a\cdot y^{v+i(\mathrm{mod}d/m)},& \text{for }v+i\ge d/m\end{array}$$

复杂度分析：

• 朴素的 InvDFT 共计花费 $(3m{)}^2$ 次小环 $R_{d/m,2n}$ 的元素与 ${\zeta }_{3m}^{-ik}$ 的数乘，每个数乘（旋转系数）的开销是 $O(r)$ 次减法，共计 $O((3m{)}^{2}r)$ 次减法

• 在 SlowMult 步骤，执行了 $3m$ 个小环 $R_{d/m,2n}$ 上的常数乘法，每个数乘（子集加和）开销是 $O(r^2\cdot l)$ 次加法，共计 $O(3m{r}^{2}l)$ 个加法

• 其他运算的计算复杂度都很低

假设 $d=3^k$，由于 $d>3m^2$，可推出 $ϵ\le \frac{1}{2}-\frac{1}{2k}$，因此 RingDecrypt 的（关于 REG 同态加/减法）总复杂度为：
$$O((3m{)}^{2}r+3m{r}^{2}l)=\tilde{O}(d^{1+ϵ}+d^{2-ϵ})=\tilde{O}(d^{2-ϵ})$$

于是选取 $m\approx \sqrt{d},ϵ\approx 0.5$ 将会导致更好的性能。它输出了 $\varphi (d)$ 个寄存器 $RE{G}_z^{2n/Q}[{\tilde{m}}_i,{\beta }^{\prime }]$，噪声界为
$${\beta }^{\prime }=\tilde{O}({\beta }_R{B}_g^4\cdot (n{d}_g{)}^{3.5}\cdot d^{ϵ+0.5})$$

它与原始 LWE 密文的噪声无关，仅依赖于自举秘钥 $K^R$ 的噪声 ${\beta }_R$

MSB Extract

现在我们获得了 $\varphi (d)$ 个寄存器 $RE{G}_z^{2n/Q}[{\tilde{m}}_i,{\beta }^{\prime }]$，类似于 FHEW 那样从寄存器第一分量 $RGS{W}_z^{2n/Q}(u\cdot Y^{{\tilde{m}}_i})$ 中提取出 $RLW{E}_z^{2n/Q}(u\cdot Y^{{\tilde{m}}_i})$，其中的 ${\tilde{m}}_i=n\cdot m_i\in {\mathbb{Z}}_{2n}$

使用这个 RLWE 密文，作用于舍入函数（反循环函数）的 Lookup Table，提取出 $m_i\in {\mathbb{Z}}_4$ 的 LWE 密文，编码倍率为 $2u=Q/4$

简记 $((z))$ 是多项式 $z\in R_{d,2n}$ 的系数向量，密文提取算法为：

现在的密文是 $LW{E}_{\varphi (d)}^{4/Q}$，我们还应当执行密钥-维度-模数切换，回到本来的 $LW{E}_n^{4/q}$ 上。

Refreshing

综合上述的技术，我们就得到了亚线性（均摊）复杂度的自举方案。给定 packing key $K^P$ 和 refreshing key $K^R$，批处理的自举算法的具体步骤如下：

它的计算复杂度和噪声增长为：

Recursive optimization

可以递归地使用 Nussbaumer 转换，每层的每个小环元素拆分出 $m$ 个更小的环元素。对于固定的 $ϵ$，确定某个递归深度 ρ \r