最近平面算法(The Nearest Plane Algorithm)

1. Closest Vector Problem

可以将近似 CVP 定义为搜索(search)问题、优化(optimization)问题或判定(decision)问题（后者通常称为Gap问题）。在以下定义中，$\gamma \ge 1$ 是近似因子。 通过设置$\gamma =1$，我们获得了问题的确切版本。

定义1 （$CV{P}_{\gamma }$, SEARCH）给定一组格基$B\in {\mathbb{Z}}^{m\times n}$ 和一个点$t\text{t}t\in {\mathbb{R}}^n$，要求找到一个点$x\text{x}x\in \mathcal{L}(B)$，满足$\forall y\text{y}y\in \mathcal{L}(B),||x-t\text{x−t}x-t||\le \gamma ||y-t\text{y−t}y-t||$。

定义2 （$CV{P}_{\gamma }$, OPTIMIZATION)） 给定一组格基$B\in {\mathbb{Z}}^{m\times n}$ 和一个点$t\text{t}t\in {\mathbb{R}}^n$，要求找到一个数$r\in \mathbb{Q}$，满足$dist(t\text{t}t,\mathcal{L}(B))\le r\le \gamma \cdot dist(t\text{t}t,\mathcal{L}(B))$。

定义3（$CV{P}_{\gamma }$, DECISION)）给定一组格基$B\in {\mathbb{Z}}^{m\times n}$ ，一个点$t\text{t}t\in {\mathbb{R}}^n$和距离$r\in \mathbb{Q}$，判定$dist(t\text{t}t,\mathcal{L}(B))\le r或dist(t\text{t}t,\mathcal{L}(B))>\gamma \cdot r$。

下面描述了最接近向量问题（CVP）的近似算法。 该算法被称为最近平面算法，由 L. Babai 于 1986 年提出。它包含了一个$2(\frac{2}{\sqrt{3}}{)}^n$的近似系数，其中$n$是格的维度。

2. The Nearest Plane Algorithm

该算法有两个主要的步骤。第一步，使用LLL约减输入的格基。第二步，寻找格基向量的整数组合，使得最接近目标向量$t\text{t}t$。算法描述如下：

INPUT: 格基$B\in {\mathbb{Z}}^{m\times n},t\text{t}t\in {\mathbb{R}}^n$

OUTPUT: 一个向量$x\text{x}x\in \mathcal{L}(B)$满足$||(x-t\text{x−t}x-t)||\le 2^{n/2}dist(t\text{t}t,\mathcal{L}(B))$

1. Run $\delta -LLL$ on $B$ with $\delta =\frac{3}{4}$

2. $b\text{b}b\leftarrow t\text{t}t$

   for $j=n$ to 1 do

   ​ $b\text{b}b\leftarrow b\text{b}b-c_j{b}_j\text{bj}{b}_j$, where $c_j=\lceil <b,{\tilde{b}}_j\text{b,b j}b,{\tilde{b}}_j>/<{\tilde{b}}_j,{\tilde{b}}_j\text{b j,b j}{\tilde{b}}_j,{\tilde{b}}_j>\rfloor$

   Output $t-b\text{t−b}t-b$

可以看出，该算法在输入维度大小上运行在多项式时间内。理解算法第二步的一种有用的方法如下。对于满秩格来说(m=n)，令${\widetilde{b\text{b}b}}_1/||{\widetilde{b\text{b}b}}_1||,...,{\widetilde{b\text{b}b}}_n/||{\widetilde{b\text{b}b}}_n||$表示施密特正交化向量方向上的单位向量。则施密特正交化的过程可以写成以下的矩阵形式：

其中${\mu }_{i,j}=<{b\text{b}b}_i,{\tilde{b}\text{b}\tilde{b}}_j>/<{\tilde{b}\text{b}\tilde{b}}_j,{\tilde{b}\text{b}\tilde{b}}_j>$，令$B$是格的一组基，那么$B=\tilde{B}U$。

其中$\tilde{B}$是施密特化向量，$\tilde{B}=QD$，其中$Q$是正交矩阵（$Q^{T}Q=I$），$D$是对角矩阵。因为旋转矩阵是正交矩阵，所以上述式子可以写成：
$$Q^{T}B=\left(\begin{array}{cccc}||{\widetilde{b\text{b}b}}_1||& {\mu }_{2,1}||{\widetilde{b\text{b}b}}_1||& \cdots & {\mu }_{n,1}||{\widetilde{b\text{b}b}}_1||\\ & ||{\widetilde{b\text{b}b}}_2||& \cdots & {\mu }_{n,2}||{\widetilde{b\text{b}b}}_2||\\ & & \ddots & ⋮\\ & & & ||{\widetilde{b\text{b}b}}_n||\end{array}\right)$$
即，我们可以将原始的格基旋转后得到新的基。

对于一般情况，我们可以对其进行扩展，然后我们可以将格基$B$和目标向量$t\text{t}t$写成以下形式：
$$B=\left(\begin{array}{cccc}||{\widetilde{b\text{b}b}}_1||& \ast & \cdots & \ast \\ 0& ||{\widetilde{b\text{b}b}}_2||& \cdots & \ast \\ ⋮& & \ddots & ⋮\\ 0& \cdots & & ||{\widetilde{b\text{b}b}}_n||\\ 0& \cdots & & 0\\ ⋮& \cdots & & ⋮\\ 0& \cdots & & 0\end{array}\right),t\text{t}t=\left(\begin{array}{c}{t}_1\\ t_2\\ ⋮\\ \ast \\ \ast \\ \ast \\ ⋮\\ t_n\end{array}\right)$$

最近平面算法通过寻找一个列向量的整数组合$(c_1,...,c_n)$，使得$x\text{x}x=(c_1,...,c_n{)}^T\in \mathcal{L}(B)$最接近向量$t\text{t}t$。算法中$b\text{b}b\leftarrow b\text{b}b-c_j{b}_j\text{bj}{b}_j$, where $c_j=\lceil <b,{\tilde{b}}_j\text{b,b j}b,{\tilde{b}}_j>/<{\tilde{b}}_j,{\tilde{b}}_j\text{b j,b j}{\tilde{b}}_j,{\tilde{b}}_j>\rfloor$这句话的意思是：找到的整数组合$(c_1,...,c_n)$使得$t\text{t}t$的第$i$个坐标在$\pm \frac{1}{2}||{\tilde{b}\text{b}\tilde{b}}_i||$的范围内。该算法首先找一个格基第$n$列的整数倍使得$t\text{t}t$的第$n$个坐标在$\pm \frac{1}{2}||{\tilde{b}\text{b}\tilde{b}}_n||$的范围内；然后继续找格基第$n-1$列的整数倍，使得$t\text{t}t$的第$n-1$个坐标在$\pm \frac{1}{2}||{\tilde{b}\text{b}\tilde{b}}_{n-1}||$的范围内；以此类推。以上描述可能有点抽象，我们现在考虑第二步的另一种等效描述。 这种描述是递归的，将最方便我们的分析。 它强调了最近平面算法的几何性质，这也解释了它的名字。如图1所示：

图1.三维格的最近平面算法和二维结果的例子。被选择的超平面是左边加粗的平面。

1. 令$s\text{s}s$是$t\text{t}t$在$span(b_1,...,b_n)$上的投影
2. 找到一个超平面$H_c$使得超平面$H_c=c{\widetilde{b\text{b}b}}_n+span({b\text{b}b}_1,...,{b\text{b}b}_{n-1})$尽可能地接近$s\text{s}s$。
3. 令${s\text{s}s}^{\prime }=s\text{s}s-c{b\text{b}b}_n$。递归调用上述过程，其中输入为${s\text{s}s}^{\prime }和{\mathcal{L}}^{\prime }({b\text{b}b}_1,...,{b\text{b}b}_{n-1})$。令${x\text{x}x}^{\prime }$是递归的结果。
4. 返回结果$x\text{x}x={x\text{x}x}^{\prime }+c{b\text{b}b}_n$

很容易验证，上面确实等价于算法的第二步。 我们的第1步是将$t\text{t}t$投影到$span({b\text{b}b}_1,...,{b\text{b}b}_n)$ 上。这一步是有意义的，这使得最接近$s\text{s}s$的格向量与最接近$t\text{t}t$的格向量相同。在第2步，我们确定了子格${\mathcal{L}}^{\prime }$的一个平移，即离$s\text{s}s$最近的一个格向量的位置。第三步，在找到的平移平面中，算法递归调用。更准确地说，在第3步和第4步中，我们在$H_c=c{b\text{b}b}_n+span({b\text{b}b}_1,...,{b\text{b}b}_{n-1})$中计算出一个与 s 接近的向量。 由于$H_c$不是格（它不包含零向量），我们将它（与$s\text{s}s$一起）移动$-c{b\text{b}b}_n$。 然后，当我们得到答案$x^{\prime }$时，我们将其移回$c{b\text{b}b}_n$。 因此，答案$x$确实是$H_c=c{b\text{b}b}_n+span({b\text{b}b}_1,...,{b\text{b}b}_{n-1})$中最接近$s\text{s}s$的向量。

以二维格举例说明最近平面算法的过程：

图2.CVP问题的输入。

给定一组格基$({b\text{b}b}_1,{b\text{b}b}_2)$和点$t\text{t}t$，找到离$t\text{t}t$最近的格向量，答案应为$x\text{x}x=0\cdot {b\text{b}b}_1+1\cdot {b\text{b}b}_2={b\text{b}b}_2$。下面一步一步看如何确定${b\text{b}b}_1,{b\text{b}b}_2$的系数。

假设算法第一步格基约减的结果为$({b\text{b}b}_1,{b\text{b}b}_2)$，根据算法第二步：

令$b\text{b}b=t\text{t}t$

当$i=2时$,$c_2=\lceil <b\text{b}b,{\widetilde{b\text{b}b}}_2>/<{\widetilde{b\text{b}b}}_2,{\widetilde{b\text{b}b}}_2>\rfloor$,这里理解为$b\text{b}b$在${\widetilde{b\text{b}b}}_2$方向上的投影系数取整。将式子展开
$$<b\text{b}b,{\widetilde{b\text{b}b}}_2>=||b\text{b}b||\cdot ||{b\text{b}b}_2||\cdot cos(\theta )=||\widetilde{b\text{b}b}||\cdot ||{\widetilde{b\text{b}b}}_2||$$，
所以$$<b\text{b}b,{\widetilde{b\text{b}b}}_2>/<{\widetilde{b\text{b}b}}_2,{\widetilde{b\text{b}b}}_2>=||\widetilde{b\text{b}b}||\cdot ||{\widetilde{b\text{b}b}}_2||/||{\widetilde{b\text{b}b}}_2||\cdot ||{\widetilde{b\text{b}b}}_2||=||\widetilde{b\text{b}b}||/||{\widetilde{b\text{b}b}}_2||$$

图3.投影系数取整

所以对$\lceil <b\text{b}b,{\widetilde{b\text{b}b}}_2>/<{\widetilde{b\text{b}b}}_2,{\widetilde{b\text{b}b}}_2>\rfloor$取整就得到$c_2=1$。然后更新$b\text{b}b\leftarrow b\text{b}b-c_2{b\text{b}b}_2=b\text{b}b-{b\text{b}b}_2$。

图4.更新向量b

当i=1时，$c_1=\lceil <b\text{b}b,{\widetilde{b\text{b}b}}_1>/<{\widetilde{b\text{b}b}}_1,{\widetilde{b\text{b}b}}_1>\rfloor$，这里理解为$b\text{b}b$在${\widetilde{b\text{b}b}}_1$方向上投影系数取整，结果为$c_1=0$

所以最终输出结果为$t\text{t}t-b\text{b}b$.

图5.返回离t最近的格向量

附录

超平面的定义

在几何学中，超平面是一个子空间，其维度比其环境空间的维度小一。 例如，如果空间是 3 维的，那么它的超平面就是 2 维平面，而如果空间是 2 维的，那么它的超平面就是 1 维的线。

施密特正交基的一种几何解释

第n个Gram-Schmidt向量${\tilde{b}}_n$ 有很好的几何解释。考虑由所有向量$x\in {\mathbb{R}}^n$ 定义的超平面，它的最后一个坐标固定为$c$，

$$H_c:=\sum _{i=1}^{n-1}{a}_i{b\text{b}b}_i+c{b\text{b}b}_n$$
下面通过画一个$n-1$维的超平面来解释：

其中$H_0是n-1$维的超平面，且$H_c=H_c+c{b\text{b}b}_n$。但是由于${b\text{b}b}_n$一般不垂直于$H_0$，$H_0与H_c$之间的距离一般不等于$c||{b\text{b}b}_n||$。两者之间的距离应该等于$c{b\text{b}b}_n$垂直于$H_0$的部分，即$c||{\tilde{b}\text{b}\tilde{b}}_n||$:

由格基$({b\text{b}b}_1,...,{b\text{b}b}_n)$构成的一个格向量的最后一个坐标是整数（当然其他坐标也是整数），所以对于整数$c$，每一个格点都在超平面$H_c$内。举个例子，格可以被划分为$n-1$维格超平面， { , . . . , H − 1 , H 0 , H 1 , . . . , } \{,...,H_{-1},H_0,H_1,...,\} {,...,H−1​,H0​,H1​,...,}，相邻的超平面由${\tilde{b}\text{b}\tilde{b}}_n$分隔。每一个超平面都是由前$n-1$个基向量生成的子格$L^{{}^{\prime }}$复制而来。第$i$个超平面是格$L^{{}^{\prime }}$平移$i{b\text{b}b}_n$得到。下图是二维的描述：

当然，其他 Gram-Schmidt 向量也可以类似地解释。由前$n-1$个基向量生成的子格$L^{{}^{\prime }}$可以被划分为$n-2$维的超平面，每一个的间隔为${\tilde{b}\text{b}\tilde{b}}_{n-1}$。因为$H_c$包含了$L^{{}^{\prime }}$的复制（每次平移$c{b\text{b}b}_n$)，我们可以在$H_c$中找到$L^{{}^{\prime }}$的格超平面，通过平移$c{b\text{b}b}_n$。

参考

https://cims.nyu.edu/~regev/teaching/lattices_fall_2004/ln/cvp.pdf

http://www.noahsd.com/mini_lattices/05__babai.pdf

https://en.wikipedia.org/wiki/Hyperplane

一个正在学习格密码的菜鸡笔记，欢迎一起学习交流~