TFHE中的几个算法

TFHE中的几个算法

个人总结：

关于TFHE的话其实大概的思路就是优化了FHEW当中Refresh算法里面的ACC计算，把原来的$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}⊠\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}\to \mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$内乘换为了$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}⊡\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}\to \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$的外乘。加快了运算速度，缩小了密钥大小。

除此之外，TFHE还提出了几个应用型算法。包括怎么计算automata，leveled binary gate。但上述的我都略过了，我比较在意的是里面的算法层面的GateBootstrapping，PublicKeySwitch，PrivateKeySwitch以及Circuit Boostrapping算法。

这几个算法比较有意思的点在于PublicKeySwitch和PrivateKeySwitch是可以运算LWE-to-RLWE的算法。Circuit Boostrapping则是可以将®LWE通过Bootstrapping刷为RGSW。

注：TFHE文章里面将LWE和RLWE抽象为TLWE，后面又用了TRLWE和TLWE来具体表示RLWE和LWE，我觉得比较混淆。所以笔记里面改为了LWE和RLWE。而且作者在之后的文章里面也是改为用LWE，RLWE，GLWE来分别表示具体和抽象的情况。而且Torus可以表示为$\mathbb{T}[X]={\mathbb{R}}_q[X]/q$，在实现中还是用的${\mathbb{R}}_q[X]$，所以写成LWE，RLWE反而清楚一点。

外积

外积的写法是
$$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}⊡\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}=Decomp(\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E})\cdot \mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}\to \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$$
来看一下每个定义：

---

RGSW

首先要定义$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$，（这里令TFHE文章中定义的是$\mathsf{T}\mathsf{G}\mathsf{S}\mathsf{W}$，我考虑k=1，专注于$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$的情况）

那么先定义一个Decomposition matrix：是一个$2\ell \times 2$的矩阵，其中$1/B_g$是分解基，
$$H=\left(\begin{array}{cc}1/B_g& 0\\ ⋮& ⋮\\ 1/B_g^{\ell }& 0\\ 0& 1/B_g\\ ⋮& ⋮\\ 0& 1/B_g^{\ell }\end{array}\right)\in {\mathbb{R}}^{2\ell \times 2}$$
再生成$2\ell$个$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(0)$的密文，记为$Z$：
$$Z=\left(\begin{array}{cc}{a}_1& b_1\\ ⋮& ⋮\\ a_{\ell }& b_{\ell }\\ a_{\ell +1}& b_{\ell +1}\\ ⋮& ⋮\\ a_{2\ell }& b_{2\ell }\end{array}\right)\in R_q^{2\ell \times 2}$$
其中${\phi }_s(a_i,b_i)=0$，即$b_i+a_{i}s=0+e_i$。

那对于一个输入$\mu$来说，
$$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}(\mu )=Z+\mu \cdot H=\left(\begin{array}{cc}{a}_1+1/B_g\cdot \mu & b_1\\ ⋮& ⋮\\ a_{\ell }+1/B_g^{\ell }\cdot \mu & b_{\ell }\\ a_{\ell +1}& b_{\ell +1}+1/B_g\cdot \mu \\ ⋮& ⋮\\ a_{2\ell }& b_{2\ell }+1/B_g^{\ell }\cdot \mu \end{array}\right)\in R_q^{2\ell \times 2}$$
其实可以观察一下，现在对于$1\le i\le \ell$来说，${\phi }_s(a_i,b_i)=1/B_g^i\cdot \mu \cdot s$，即每一行都是$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g^i\cdot \mu \cdot s)$，对于$\ell +1\le i\le 2\ell$来说，${\phi }_s(a_i,b_i)=1/B_g^{\ell }\cdot \mu$，即每一行都是$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g^i)\cdot \mu$。

那其实可以观察到$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$中的每一行都是一个$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$密文，可以写作：
$$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}(\mu )=\left(\begin{array}{c}\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g\cdot \mu \cdot s)\\ ⋮\\ \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g^{\ell }\cdot \mu \cdot s)\\ \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g\cdot \mu )\\ ⋮\\ \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g^{\ell }\cdot \mu )\end{array}\right)\in R_q^{2\ell \times 2}$$

---

Decomp

再来看一下$Decomp$的定义：

对于$c=\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(m)=(a,b)$，$Decomp(c)=a_1,...,a_{\ell },b_1,...,b_{\ell }$，其中${\sum }_{i=1}^{\ell }{a}_i\cdot 1/B_g^i=a$，${\sum }_{i=1}^{\ell }{b}_i\cdot 1/B_g^i=b$。

---

外积

有了上述定义就可以得到外积
$$\begin{array}{rlr}⊡:\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}\times & \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}& ⟶\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}\\ & (A,\mathbf{b})⟼A⊡\mathbf{b}=Decomp(\mathbf{b})\cdot A& \end{array}$$
正确性：

令$\mathbf{b}=(a,b)\in \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}({\mu }_1)$，$Decomp(\mathbf{b})=a_1,...,a_{\ell },b_1,...,b_{\ell }$，其中${\sum }_{i=1}^{\ell }{a}_i\cdot 1/B_g^i=a$，${\sum }_{i=1}^{\ell }{b}_i\cdot 1/B_g^i=b$。$A\in \mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}({\mu }_2)$。
$$\begin{array}{rl}Decomp(\mathbf{b})\cdot A& =(a_1,...,a_{\ell },b_1,...,b_{\ell })\cdot \left(\begin{array}{c}\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g\cdot {\mu }_2\cdot s)\\ ⋮\\ \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g^{\ell }\cdot {\mu }_2\cdot s)\\ \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g\cdot {\mu }_2)\\ ⋮\\ \mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_g^{\ell }\cdot {\mu }_2)\end{array}\right)\\ & =\sum _{1\le i\le \ell }\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_{g^i}\cdot {\mu }_2\cdot s\cdot a_i)+\sum _{\ell +1\le i\le 2\ell }\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(1/B_{g^i}\cdot {\mu }_2\cdot b_i)\\ & =\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}({\mu }_2\cdot s\cdot a)+\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}({\mu }_2\cdot b)\\ & =\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}({\mu }_2(b+as))\\ & =\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}({\mu }_1{\mu }_2)\end{array}$$

---

与内积对比

有了外积的定义可以看一下内积：
$$\begin{array}{rl}⊠:\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}\times \mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}& ⟶\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}\\ (A,B)& ⟼A⊠B=\left[\begin{array}{c}A⊡b_1\\ ⋮\\ A⊡b_{2\ell }\end{array}\right]=\left[\begin{array}{c}Decomp\left({\mathbf{b}}_1\right)\cdot A\\ ⋮\\ Decomp\left({\mathbf{b}}_{2\ell }\right)\cdot A\end{array}\right]\end{array}$$
他其实每一行都是一个$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}⊡\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$，而

在FHEW类型的Bootstrapping中，他计算了一个$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}⊠\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}\to \mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$但结果中有用的只有一行，所以完全可以用$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}⊡\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$来代替，可以节省很大的计算并缩小密钥大小。

---

KeySwitch

这里TFHE作者定义了两种KeySwitch，一种是Public，一种是Private。这里的KeySwitch和原来其他文章中的有点区别，他们在替换密钥的时候还会运行一个函数$f$，我感觉这个函数一般来说可以使identity function。其中PublicKeySwitch将$f$作为一个公共的输入，privateKeySwitch中$f$是直接内嵌在KeySwitchKey中，即不可输入。

形式化来说，对于$f:{\mathbb{R}}^p\to \mathbb{R}[X]$：有$p$个LWE密文${\mathsf{L}\mathsf{W}\mathsf{E}}_s({\mu }_z{)}_{1\le z\le p}$。 K e y S w i t c h ( { L W E s ( μ z ) } , f , K S K ) → R L W E S ( f ( μ 1 , . . . , μ p ) ) {\sf KeySwitch}(\{{\sf LWE}_s(\mu_z)\},f,{\sf KSK})\to {\sf RLWE}_S(f(\mu_1,...,\mu_p)) KeySwitch({LWEs​(μz​)},f,KSK)→RLWES​(f(μ1​,...,μp​))。其中$\mathsf{K}\mathsf{S}\mathsf{K}$是KeySwitchKey，一般来说是用密钥$S$对密钥$s$的加密。

这边我把$f:{\mathbb{R}}^p\to \mathbb{R}[X]$具体化成了这样，令${\mu }_0,...,{\mu }_{p-1}\in {\mathbb{R}}^p$，$f({\mu }_0,...,{\mu }_{p-1})={\mu }_0+{\mu }_{1}X+{\mu }_2{X}^2+\cdots +{\mu }_{p-1}{X}^{p-1}+0X^p+\cdots +0X^{N-1}\in \mathbb{R}[X]$。

PublicKeySwitch

---

输入为：

1. $p$个LWE密文${\mathfrak{c}}^{(z)}=({\mathfrak{a}}^{(z)},{\mathfrak{b}}^{(z)})\in {\mathsf{L}\mathsf{W}\mathsf{E}}_s({\mu }_z),1\le z\le p$，其中${\mathfrak{a}}^{(z)}=({\mathfrak{a}}_1^{(z)},...{\mathfrak{a}}_n^{(z)})$。${\mathfrak{b}}^{(z)}-⟨{\mathfrak{a}}^{(z)},s⟩\approx {\mu }_z$
2. 一个公开函数$f:{\mathbb{R}}^p\to \mathbb{R}[X]$
3. 一个KeySwitchKey ${\mathsf{K}\mathsf{S}\mathsf{K}}_{(i,j)}={\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}}_S(\frac{s_i}{2^j})$

输出为：

​ ${\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}}_S(f({\mu }_1,...,{\mu }_p))$

过程为：

​ for $i\in [1,n]$:

​ $a_i=f({\mathfrak{a}}_i^{(1)},...,{\mathfrak{a}}_i^{(p)})$

​ 分解为$a_i\approx {\sum }_{j=1}^t{a}_{i,j}\cdot 2^{-j}$。

​ 返回 $\left(0,f\left({\mathfrak{b}}^{(1)},\dots ,{\mathfrak{b}}^{(p)}\right)\right)-{\sum }_{i=1}^n{\sum }_{j=1}^t{a}_{i,j}\cdot {\mathsf{K}\mathsf{S}\mathsf{K}}_{i,j}$

---

正确性：

记结果为$c$，计算${\phi }_S(c)$：（忽略噪声）
$$\begin{array}{rl}{\phi }_S(c)& =f\left({\mathfrak{b}}^{(1)},\dots ,{\mathfrak{b}}^{(p)}\right)-\sum _{i=1}^n\sum _{j=1}^t{a}_{i,j}\cdot {\phi }_S({\mathsf{K}\mathsf{S}\mathsf{K}}_{i,j})\\ & =f\left({\mathfrak{b}}^{(1)},\dots ,{\mathfrak{b}}^{(p)}\right)-\sum _{i=1}^n\sum _{j=1}^t{a}_{i,j}\cdot \frac{s_i}{2^j}\\ & =f\left({\mathfrak{b}}^{(1)},\dots ,{\mathfrak{b}}^{(p)}\right)-\sum _{i=1}^n{a}_i\cdot s_i\\ & =f\left({\mathfrak{b}}^{(1)},\dots ,{\mathfrak{b}}^{(p)}\right)-\sum _{i=1}^{n}f({\mathfrak{a}}_i^{(1)},...,{\mathfrak{a}}_i^{(p)})\cdot s_i\\ & =f\left(({\mathfrak{b}}^{(1)},\dots ,{\mathfrak{b}}^{(p)})-\sum _{i=1}^n{s}_i({\mathfrak{a}}_i^{(1)},...,{\mathfrak{a}}_i^{(p)})\right)\\ & =f({\mu }_1,...{\mu }_p)\end{array}$$
所以最后能得到一个${\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}}_S(f({\mu }_1,...,{\mu }_p))$。

---

PrivateKeySwitch

---

输入为：

1. $p$个LWE密文${\mathfrak{c}}^{(z)}=({\mathfrak{a}}^{(z)},{\mathfrak{b}}^{(z)})\in {\mathsf{L}\mathsf{W}\mathsf{E}}_s({\mu }_z),1\le z\le p$，其中${\mathfrak{a}}^{(z)}=({\mathfrak{a}}_1^{(z)},...{\mathfrak{a}}_n^{(z)})$。${\mathfrak{b}}^{(z)}-⟨{\mathfrak{a}}^{(z)},s⟩\approx {\mu }_z$
2. 一个KeySwitchKey ${\mathsf{K}\mathsf{S}\mathsf{K}}_{z,i,j}^{(f)}={\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}}_S(f(0,...,0,\frac{s_i}{2^j},0,...,0))$,$\frac{s_i}{2^j}$处于第$z$个位置。令$s_{i+1}=-1$。

可以看到输入和PublicKeySwitch区别就在于没有公开的$f$，而是把$f$嵌入了$\mathsf{K}\mathsf{S}\mathsf{K}$中

输出为：

​ ${\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}}_S(f({\mu }_1,...,{\mu }_p))$

过程为：

​ for $z\in [1,p]$

​ for $i\in [i,n+1]$

​ ${\mathfrak{c}}_i^{(z)}\approx c_{i,j}^{(z)}\cdot 2^{-j}$

返回$-{\sum }_{z=1}^p{\sum }_{i=1}^{n+1}{\sum }_{j=1}^t{c}_{i,j}^{(z)}\cdot {\mathsf{K}\mathsf{S}\mathsf{K}}_{z,i,j}$。

---

正确性：
$$\begin{array}{rl}{\phi }_S(c)& =-\sum _{z=1}^p\sum _{i=1}^{n+1}\sum _{j=1}^t{c}_{i,j}^{(z)}\cdot {\phi }_S({\mathsf{K}\mathsf{S}\mathsf{K}}_{z,i,j}^{(f)})\\ & =-\sum _{z=1}^p\sum _{i=1}^{n+1}\sum _{j=1}^t{c}_{i,j}^{(z)}f(0,...,\frac{s_i}{2^j},...,0)\\ & =-\sum _{z=1}^p\sum _{i=1}^{n+1}f(0,...,\sum _{j=1}^t\frac{s_i}{2^j}{c}_{i,j}^{(z)},...,0)\\ & =-\sum _{z=1}^p\sum _{i=1}^{n+1}f(0,...,s_i{\mathfrak{c}}_i^{(z)},...,0)\\ & =-\sum _{i=1}^{n+1}{s}_{i}f({\mathfrak{c}}_i^{(1)},...,{\mathfrak{c}}_i^{(p)})\\ & =f(-\sum _{i=1}^{n+1}{s}_i{\mathfrak{c}}_i^{(1)},...,-\sum _{i=1}^{n+1}{s}_i{\mathfrak{c}}_i^{(p)})\\ & =f({\mu }_1,...,{\mu }_p)\end{array}$$

---

对比

PublicKeySwitch和PrivateKeySwitch的主要区别在于$f$是作为输入还是作为$\mathsf{K}\mathsf{S}\mathsf{K}$包含的一部分信息。

效率上的比较来说

PublicKeySwitch的效率是普通KeySwitch的$n$倍。

PrivateKeySwitch的效率是普通KeySwitch的$(n+1)\cdot p$倍。

---

Gate Bootstrapping

这块比较熟悉，就不写了

---

Circuit Bootstrapping

一个很重要的观察是$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$是由多个$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$组合而成的，因此可以通过构造$2\ell$个$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$的方法来组合成$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$

因为有了LWE-to-LWE的bootstrapping，可以通过PBS来对某个$\mathsf{L}\mathsf{W}\mathsf{E}(\mu )$进行运算，得到$\mathsf{L}\mathsf{W}\mathsf{E}(\frac{1}{B_g^i}\cdot \mu )$，然后通过一个PrivateKeyswitch将执行LWE-to-RLWE，就可以得到多个$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}$密文$\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(\frac{1}{B_g^i}\cdot \mu \cdot s),\mathsf{R}\mathsf{L}\mathsf{W}\mathsf{E}(\frac{1}{B_g^i}\cdot \mu )$，然后将他们组合起来得到$\mathsf{R}\mathsf{G}\mathsf{S}\mathsf{W}$。总体思路就是这个样子，细节部分没有去深究。