CKKS同态加密方案

Abstract

本文提出了可用于复数的同态加密方案。本文提出了一个用于管理明文大小的RS操作，该操作可以将密文转换到更小的模数上，本质上实现的是对底层明文的舍入操作。该方案的主要思想是将噪声放在有效位后。该噪声初始是为了安全性添加的，但在方案中被认为是近似计算期间所必然发生的误差的一部分。因此本方案最后输出的结果是一个近似值，但是可以预定义精度。

本文也为基于RLWE的结构提出了一种新的批处理技术。明文多项式是特征为0的分圆环中的元素，可以通过复数canonical embedding映射将该明文多项式映射为复数向量，该映射是环同构。

本方案还可以用于评估超越函数，比如乘法逆函数，指数函数，逻辑回归函数以及离散傅里叶变换。

1. 预备知识

1.1 The Cyclotomic Ring and Canonical Embedding

(1) 分圆多项式

给定一个正整数$M$,设${\Phi }_M(X)$是第M个分圆多项式，则其次数为$N=\varphi (M)$。

已知分圆多项式${\Phi }_M(X)$的单位原根是$\xi =e^{2\pi i/M}$，其共有N个根分别为 { ξ 1 , ξ 3 , . . . , ξ 2 N − 1 } \{\xi^1,\xi^3,...,\xi^{2N-1}\} {ξ1,ξ3,...,ξ2N−1}。

给出乘法群 Z M ∗ = { x ∈ Z M : g c d ( x , M ) = 1 } \mathbb{Z}_M^*=\{x\in\mathbb{Z}_M : gcd(x,M)=1\} ZM∗​={x∈ZM​:gcd(x,M)=1}，由于$M$是2的幂，所以我们可以看到这里的乘法群实际上是 Z M ∗ = { 1 , 3 , 5 , . . . , M − 1 } \mathbb{Z}_M^*=\{1,3,5,...,M-1\} ZM∗​={1,3,5,...,M−1}​。

(2) 分圆环

设$R=\mathbb{Z}[X]/{\Phi }_M(X)$是数域$\mathbb{Q}[X]/{\Phi }_M(X)$上的整数环。设$R_q=R/qR$是环$R$模整数$q$​得到的商环。

设$S=\mathbb{R}[X]/{\Phi }_M(X)$是实数环，环$S$中的任意元素都是一个实数多项式，可以将其表示为$a(X)={\sum }_{j=0}^{N-1}{a}_j{X}^j$，可以看到$a(X)$的次数是小于$N$的，也可将其表示为系数向量$(a_0,a_1,...a_{N-1})\in {\mathbb{R}}^N$。我们定义元素$a$的相关范数为$||a|{|}_{\infty }$和$||a|{|}_1$。

(3) Canonical Embedding

现在定义有复数多项式环$\mathbb{C}[X]/{\Phi }_M(X)$和复数向量空间${\mathbb{C}}^N$​上的canonical embedding:

---

Canonical Embedding :
$$\sigma :\mathbb{C}[X]/{\Phi }_M(X)\to {\mathbb{C}}^N$$
设$a\in \mathbb{C}[X]/{\Phi }_M(X)$​，则有
$$\sigma (a)=a({\xi }^j{)}_{j\in {\mathbb{Z}}_M^{\ast }}=(a(\xi ),a({\xi }^3),...,a({\xi }^{2N-1}))=(z_1,z_2,...,z_N)\in {\mathbb{C}}^N$$
将上式分解为线性代数形式有:
$$\left[\begin{array}{ccccc}1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\\ 1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{2N-1}{)}^1& ({\xi }^{2N-1}{)}^2& \cdots & ({\xi }^{2N-1}{)}^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]=\left[\begin{array}{c}{z}_1\\ z_2\\ z_3\\ ⋮\\ z_N\end{array}\right]$$

---

现在定义实数多项式环$S$和复数向量空间${\mathbb{C}}^N$上的canonical embedding:

---

Canonical Embedding:
$$\sigma :\mathbb{R}[X]/{\Phi }_M(X)\to {\mathbb{C}}^N$$

$$\sigma (a)=a({\xi }^j{)}_{j\in {\mathbb{Z}}_M^{\ast }}=(a(\xi ),a({\xi }^3),...,a({\xi }^{2N-1}))=(z_1,z_2,...,z_N)\in {\mathbb{C}}^N$$

由于$a(X)$现在是实数多项式，而${\Phi }_M(X)$的N个根有如下关系:
$${\xi }^j=\overline{{\xi }^{-j}}=\overline{{\xi }^{2N-j}}$$
所以此时Canonical Embedding必有如下关系:
$$a({\xi }^j)=a(\overline{{\xi }^{-}j})=a(\overline{{\xi }^{2N-j}})$$
实际上，这里就可以认为前$N/2$个元素(由前向后)和后$N/2$个元素(由后向前 )提供的信息是一样的。

故我们可以重新定义这个Canonical Embedding如下:
$$\sigma :\mathbb{R}[X]/{\Phi }_M(X)\to {\mathbb{C}}^{N/2}$$

---

2. Homomorphic Encryption for Approximate Arithmetic

2.1 CKKS的解密结构

​ 本方案的明文是一个属于特征为0的多形式环域中的多项式，为了安全性它会接受一个误差，在解密时并不会移除这个误差，实际上这正是CKKS最重要的思想，包括后续的自举等等算法，均由于接受了这个误差，使得算法设计变的非常简单。
$$<ct,sk>=m+e$$

2.2 Plaintext Encoding for Packing

​ HE中的批处理技术允许同时将多个消息加密到同一密文中，并以SIMD方式进行平行计算。下面展示CKKS如何将一个消息向量加密到单一明文多项式中。

给定Canonical Embedding :

$$\sigma :\mathbb{R}[X]/{\Phi }_M(X)\to {\mathbb{C}}^N$$
或
$$\sigma :\mathbb{R}[X]/{\Phi }_M(X)\to {\mathbb{C}}^{N/2}$$
将其表达为线性方程组的形式:
$$\left[\begin{array}{ccccc}1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\\ 1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{2N-1}{)}^1& ({\xi }^{2N-1}{)}^2& \cdots & ({\xi }^{2N-1}{)}^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]=\left[\begin{array}{c}{z}_1\\ z_2\\ z_3\\ ⋮\\ z_N\end{array}\right]$$
在这里可以看到我们得到了一个将多项式映射为复数消息向量的方式:
$$A\cdot a=z$$
由此我们也可以得到一个将多项式映射到复数消息向量中具体某个值的方式:
$$z_i=a({\xi }^{2i-1})=\left[\begin{array}{ccccc}1& ({\xi }^{2i-1}{)}^1& ({\xi }^{2i-1}{)}^2& \cdots & ({\xi }^{2i-1}{)}^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]$$
但是我们知道实际上$z$ 向量中后一半元素提供的信息是重复的，而且A矩阵中前$N/2$行和后$N/2$是共轭的，所以我们可以将矩阵$A$分解为以下两个矩阵:
$$U=\left[\begin{array}{ccccc}1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\\ 1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{N-1}{)}^1& ({\xi }^{N-1}{)}^2& \cdots & ({\xi }^{N-1}{)}^{N-1}\end{array}\right]$$

和
$$\overline{U}$$

将$z$向量分解为以下两个子向量:
$$z^{\prime }=[z_1,z_2,...,z_{N/2}]$$
和
$$\overline{z^{\prime }}$$
则我们现在得到一个新的将多项式映射得到复数消息向量的方式:
$$U\cdot a=z^{\prime }$$

$$\overline{U}\cdot a=\overline{z^{\prime }}$$

(1) 现在可以定义由$N/2$维的消息向量$z$到多项式$a\in \mathbb{R}/{\Phi }_M(X)$的编码方法:

---

给定一个$N/2$维的消息向量$z^{\prime }=[z_1,z_2,...,z_{N/2}]$，我们首先需要对其扩展为$N$维的消息向量$z=[z^{\prime },\overline{z^{\prime }}]$。这里定义这个扩展的操作为${\pi }^{-1}$，即:
$${\pi }^{-1}:z^{\prime }\to [z^{\prime },z^{\prime \prime }]$$
然后我们可以直接进行编码:
$$a=A^{-1}\cdot z$$
或考虑A形式矩阵的一个性质:
$$A^{-1}={\overline{A}}^T$$
编码算法又可以写为:
$$a=({\overline{U}}^T\cdot z^{\prime }+U^T\cdot \overline{z^{\prime }})$$
我们定义这个编码的操作为${\sigma }^{-1}$，即:
$${\sigma }^{-1}:[z^{\prime },z^{\prime \prime }]\to a$$
需要注意的是，这里$a\in S=\mathbb{R}/{\Phi }_M(X)$​​，是一个实数多项式。

---

(2) "完整"的CKKS编码算法 （这里打引号，是因为这个用于编码解码的矩阵的行排列还需要变化，具体看旋转部分）

---

上述步骤，将$N/2$​维的复数向量编码为一个实数多项式，而CKKS操作的所有元素都是整数多项式(之所以是整数多项式，是因为整数有很多好的性质)，因此我们需要对此时得到的实数多项式进行转换，转换方法如下:

给定一个缩放因子$\Delta$，然后在系数级别执行下式:
$$m(x)=\lfloor \Delta \cdot a(x)\rceil$$
可以看到，这里是存在近似的，也就是引入了近似误差。换句话说，当我们给定足够大的$\Delta$时，这里引入的近似误差就会足够小。

现在我们得到了整数多项式:
$$m(X)\in R=\mathbb{Z}/{\Phi }_M(X)$$
这里的$m(X)$即编码得到的结果，称其为明文多项式。

---

(3) 现在定义CKKS的解码算法

---

给定一个明文多项式$m\in R$，首先将缩放因子$\Delta$去除，即:
$$a(X)=m(X)/\Delta$$
然后直接利用上述Canonical Embedding进行计算:
$$\sigma :\mathbb{R}[X]/{\Phi }_M(X)\to {\mathbb{C}}^N$$
即:
$$\sigma (a)=A\cdot a=z=[z^{\prime },z^{\prime \prime }]$$
然后将前半部分元素投影出来，记此操作为$\pi$，即:
$$\pi :[z^{\prime },z^{\prime \prime }]\to z^{\prime }$$
由此，得到解码后的消息向量$z^{\prime }$​。

---

注意: 实际上CKKS原论文乘以缩放因子$\Delta$的步骤，执行在操作${\sigma }^{-1}$​之前，但是这里两种方法实现的效果是一样的。

另外由于考虑到了CKKS的旋转操作，实际上这里编码和解码用到的矩阵A还并不是最终版本的矩阵，但是这里为了方便理解，所以可以先这么写。

---

2.3 CKKS的具体构造

---

首先选择分圆多项式的次数$M$为2的幂，则$N=\varphi (M)$，故:
$${\Phi }_M(X)=X^N+1$$
选择分圆环:
$$R=\mathbb{Z}[X]/(X^N+1)$$
这里指出CKKS方案的所有元素都是操作在分圆环$R$上的。

选择缩放因子$\Delta =p>0$，选择模$q_0$，设置$q_l=p^l\cdot q_0$，其中$0<l\le L$。

选择一个辅助模数$P$，需要保证足够大，以尽可能地减少KS操作中引入的误差。

---

$KeyGen(1^{\lambda })$:

均匀采样 $s\leftarrow {\chi }_{sk}$，$a\leftarrow R_{q_L}$，$e\leftarrow {\chi }_{err}$，$a^{\prime }\leftarrow R_{P\cdot q_L}$，$e^{\prime }\leftarrow {\chi }_{err}$。

生成$sk$和$pk$:
$$\begin{gathered} sk\leftarrow (1,s) \\ pk\leftarrow (b,a)\in R_{q_L}^2,其中b=-as+e \end{gathered}$$
生成$evk$:
$$evk\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s^{\prime }$$
实际上计算公钥$evk$包含以下三类:

重现性化计算公钥:
$$rlk\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s^2$$
伽罗瓦计算公钥:
$$galkey\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s(X^{rot})$$
共轭计算公钥:
$$conjkey\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s(X^{cunj})$$
关于$galkey$和$conjkey$的详细构造，在之后的旋转部分进行详细介绍。

---

$Ecd(z;\Delta )$

$Dcd(m;\Delta )$

---

$En{c}_{p}k(m)$:

均匀采样$v\leftarrow ZO(0.5)$,$e_0,e_1\leftarrow {\chi }_{err}$

生成密文:
$$ct=v\cdot pk+(m+e_0,e_1)=(-asv+ev+m+e_0,av+e_1)$$

---

$De{c}_{p}k(m)$:

给定一个$l$级别的密文$ct=(c_0,c_1)\in R_{q_l}^2$。

解密:
$$<ct,sk>=c_0+c_1\cdot s=m+e$$

---

$Add(c{t}_1,c{t}_2)$

$Mul{t}_{rlk}(c{t}_1,c{t}_2)$

$RS(ct)$

---

3.KS算法分析

对于KS算法，后续有需要优化，所以这应该作为一个重点来记录。下边介绍的重现性化操作，旋转操作以及共轭操作均是KS算法的实例。

3.1 重现性化操作

给定两个$l$ 级别的密文$c{t}_1=(b_1,a_1)$和$c{t}_2=(b_2,a_2)$。

(1) Tensor操作:
$$(d_0,d_1,d_2)\leftarrow (b_1{b}_2,a_1{b}_2+a_2{b}_1,a_1{a}_2)$$
这里需要从解密的角度来思考:
$$d_0+d_1\cdot s+d_2\cdot s^2=(m_1+e_1)\cdot (m_2+e_2)$$
可以看到如果我们有密钥$s$和$s^2$，则现在即可以进行解密，但是我们需要只用$s$就能解密。

(2) Relinearization操作:

还记得我们上边生成的重线性化密钥为:
$$rlk\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s^2$$
现在执行重现性化中的KS算法:
$$c{t}_{mult}\leftarrow (d_0,d_1)+\lfloor P^{-1}\cdot d_2\cdot rlk\rceil (mod{q}_l)$$
查看一下$c{t}_{mult}$的具体内容:
$$\begin{gathered} c{t}_{mult}=(c{t}_0,c{t}_1)= \\ (d_0+\lfloor -P^{-1}\cdot d_2\cdot a^{\prime }\cdot s+P^{-1}\cdot d_2\cdot e^{\prime }+d_2\cdot s^2\rceil ,d_1+\lfloor P^{-1}\cdot d_2\cdot a^{\prime })\rceil ) \end{gathered}$$
虽然这里看似好像内部的元素进行各种乘法之后变的复杂了，但是究其本质，这仍然是$R$中的元素而已。

可以看到此时可以单独使用密钥$s$​来进行解密:
$$\begin{array}{rl}c{t}_0+c{t}_1\cdot s=& d_0+\lfloor -P^{-1}\cdot d_2\cdot a^{\prime }\cdot s+P^{-1}\cdot d_2\cdot e^{\prime }+d_2\cdot s^2\rceil +(d_1+\lfloor P^{-1}\cdot d_2\cdot a^{\prime })\rceil )\cdot s\\ =& d_0+d_1\cdot s+\lfloor -P^{-1}\cdot d_2\cdot a^{\prime }\cdot s+P^{-1}\cdot d_2\cdot e^{\prime }+d_2\cdot s^2+P^{-1}\cdot d_2\cdot a^{\prime }\cdot s\rceil \\ =& d_0+d_1\cdot s+\lfloor d_2\cdot s^2+P^{-1}\cdot d_2\cdot e^{\prime }\rceil \\ =& d_0+d_1+d_2\cdot s^2+e\end{array}$$
只不过引入了少许误差$e=\lfloor P^{-1}\cdot d_2\cdot e^{\prime }\rceil$，该误差足够小。

3.2 旋转操作

(1)考虑旋转操作之前，我们需要再一次考虑CKKS的解码操作，如下所示:

给定Canonical Embedding :
$$\sigma :\mathbb{Z}[X]/{\Phi }_M(X)\to {\mathbb{C}}^N$$
将其表达为线性方程组的形式:

$$\left[\begin{array}{ccccc}1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\\ 1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{2N-1}{)}^1& ({\xi }^{2N-1}{)}^2& \cdots & ({\xi }^{2N-1}{)}^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]=\left[\begin{array}{c}{z}_1\\ z_2\\ z_3\\ ⋮\\ z_N\end{array}\right]$$

由此我们可以得到一个将多项式映射到复数消息向量中具体某个值的方式:

$$z_i=a({\xi }^{2i-1})=\left[\begin{array}{ccccc}1& ({\xi }^{2i-1}{)}^1& ({\xi }^{2i-1}{)}^2& \cdots & ({\xi }^{2i-1}{)}^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]$$

实际上，由于复数消息向量的后半部分不提供信息，因此我们可以简化这个解码操作为:

$$\sigma :\mathbb{Z}[X]/{\Phi }_M(X)\to {\mathbb{C}}^{N/2}$$

新的线性方程组的形式为:

$$\left[\begin{array}{ccccc}1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\\ 1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{N-1}{)}^1& ({\xi }^{N-1}{)}^2& \cdots & ({\xi }^{N-1}{)}^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]=\left[\begin{array}{c}{z}_1\\ z_2\\ z_3\\ ⋮\\ z_{N/2}\end{array}\right]$$

现在我们左侧矩阵按行向上旋转1位，则移位后的解码线性方程组为；

$$\left[\begin{array}{ccccc}1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{N-1}{)}^1& ({\xi }^{N-1}{)}^2& \cdots & ({\xi }^{N-1}{)}^{N-1}\\ 1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\end{array}\right]\left[\begin{array}{c}{a}_0\\ a_1\\ a_2\\ ⋮\\ a_{N-1}\end{array}\right]=\left[\begin{array}{c}{z}_2\\ z_3\\ ⋮\\ z_{N/2}\\ z_1\end{array}\right]$$
可以发现解码后的消息向量也进行了1位的旋转。

同理，如果我们将左侧矩阵按行向上旋转rot位，则解码后的消息向量也会向左旋转rot位置(这里是把消息向量横着考虑)。

但是实际操作中，我们需要保证左侧矩阵是不变化的，因此我们需要再次进行变化。

观察到，明文多项式为:
$$a(X)=a_0+a_1\cdot X+a_2\cdot X^2+\cdot \cdot \cdot +a_{N-1}\cdot X^{N-1}$$

$$\left[\begin{array}{c}{z}_1\\ z_2\\ z_3\\ ⋮\\ z_{N/2}\end{array}\right]=\left[\begin{array}{c}a(\xi )\\ a({\xi }^3)\\ a({\xi }^5)\\ ⋮\\ a({\xi }^{N-1})\end{array}\right]$$

即，要解码得到$z_1$，只需要在$\xi$上评估$a(X)$

则$z_1=a(\xi )=a_0+a_1\cdot \xi +a_2\cdot {\xi }^2+\cdot \cdot \cdot +a_{N-1}\cdot {\xi }^{N-1}$。

现在将明文多项式$a(X)$变化为$a(X^3)=a_0+a_1\cdot (X^3)+a_2\cdot (X^3{)}^2+\cdot \cdot \cdot +a_{N-1}\cdot (X^3{)}^{N-1}$。

则我们同样在$\xi$上评估多项式$a(X^3)$，此时会发现，这和在${\xi }^3$上评估多项式$a(X)$具有同样的效果。

也就是说，如果我们令$b(X)=a(X^3)$，此时我们会得到:
$$\left[\begin{array}{c}{z}_2\\ z_3\\ ⋮\\ z_{N/2}\\ z_1\end{array}\right]=\left[\begin{array}{c}b(\xi )\\ b({\xi }^3)\\ b({\xi }^5)\\ ⋮\\ b({\xi }^{N-1})\end{array}\right]=\left[\begin{array}{ccccc}1& ({\xi }^3{)}^1& ({\xi }^3{)}^2& \cdots & ({\xi }^3{)}^{N-1}\\ 1& ({\xi }^5{)}^1& ({\xi }^5{)}^2& \cdots & ({\xi }^5{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\xi }^{N-1}{)}^1& ({\xi }^{N-1}{)}^2& \cdots & ({\xi }^{N-1}{)}^{N-1}\\ 1& {\xi }^1& {\xi }^2& \cdots & {\xi }^{N-1}\end{array}\right]\left[\begin{array}{c}{b}_0\\ b_1\\ b_2\\ ⋮\\ b_{N-1}\end{array}\right]$$
此时发现，我们不需要改变解码矩阵，也可以对消息向量进行旋转。

现在我们正式定义一下这个新的旋转方式:

我们将消息向量$[z_0,z_1,...,z_{N/2}]$编码为明文多项式$a(X)$​，且我们现在拥有一个解码矩阵U。

我们的解码操作为:
$$U\cdot a=z$$
若我们将$a(X)$变化为$a(X^3)$，则应用上步解码操作，我们会得到左旋转1位的消息向量$[z_2,z_3,...z_{N/2},z_1]$.

若我们将$a(X)$变化为$a(X^5)$，则解码后，得到左旋2位的消息向量$[z_3,z_4,...z_{N/2},z_1,z_2]$。

……

虽然这样也可以实现旋转，但是还是存在一种问题，那就是这里不定元$X$的次数转变是复杂的，即不能找到一个同意的步骤来实现这种次数的转化。

所以需要考虑一种新的方法。

(2)考虑上边进行旋转所有可能的次数变化，发现它们都属于下边的集合:
Z N ∗ = { 1 , 3 , 5 , . . . , N − 1 }      m o d    N \mathbb{Z}_N^* = \{1,3,5,...,N-1\}\ \ \ \ mod \ \ N ZN∗​={1,3,5,...,N−1}    mod  N
这里N是2的幂，则乘法群${\mathbb{Z}}_N^{\ast }$有一个生成元为5，即:
Z N ∗ = < 5 > = { 5 1 , 5 2 , 5 3 , . . . , 5 N / 2 }       m o d      N \mathbb{Z}_N^* =<5>=\{5^1,5^2,5^3,...,5^{N/2}\} \ \ \ \ \ mod \ \ \ \ N ZN∗​=<5>={51,52,53,...,5N/2}     mod    N

所以，现在我们考虑变换解码矩阵的形式，首先，引入一个新的符号:
$${\zeta }_i={\xi }^{5^i}$$
则解码矩阵$U$可以重新表示为:
$$U=\left[\begin{array}{ccccc}1& ({\zeta }_0{)}^1& ({\zeta }_0{)}^2& \cdots & ({\zeta }_0{)}^{N-1}\\ 1& ({\zeta }_1{)}^1& ({\zeta }_1{)}^2& \cdots & ({\zeta }_1{)}^{N-1}\\ 1& ({\zeta }_2{)}^1& ({\zeta }_2{)}^2& \cdots & ({\zeta }_2{)}^{N-1}\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ 1& ({\zeta }_{N/2-1}{)}^1& ({\zeta }_{N/2-1}{)}^2& \cdots & ({\zeta }_{N/2-1}{)}^{N-1}\end{array}\right]$$
所以我们可以重新用这个矩阵进行上述的编码操作以及解码操作。

---

给定消息向量$z^{\prime }=[z_1,z_2,..,z_{N/2}]$，和新的编码矩阵$U$。

则编码结果为:
$$a=({\overline{U}}^T\cdot z^{\prime }+U^T\cdot \overline{z^{\prime }})$$
解码结果为:
$$z^{\prime }=U\cdot a$$

---

现在我们如果想实现旋转操作就会简单很多。

定义一个$automorphism$操作:
$${\kappa }_k:m(X)\to m(X^{5^k})$$
则可以定义明文上的旋转算法：

---

如果我们需要将$z^{\prime }$向量左旋$k$位:

我们只需要对其编码的明文多项式执行一个$automorphism$操作：
$$b(X)\leftarrow {\kappa }_k(a(X))=a(X^{5^k})$$
现在对$b(X)$进行解码，则得到消息向量$z^{\prime }$左旋k位的结果。

---

(3)完整的CKKS旋转算法

实际上在CKKS中对消息向量旋转是在秘态下计算的，假设我们需要执行左旋$k$​位的操作。

---

消息向量$z^{\prime }$被编码得到明文多项式$a(X)$，然后对$a(X)$加密得到密文$ct=(c_0(X),c_1(X))$，$ct$的解密结构如下：
$$<ct,sk>=c_0(X)+c_1(X)\cdot s(X)\approx a(X)$$
现在我们对密文$ct$执行$automorphic$​操作:
$$c{t}^{\ast }\leftarrow {\kappa }_k(ct)=(c_0(X^{5^k}),c_1(X^{5^k}))$$
很明显，此时我们需要使用$s{k}^{\ast }=(1,s(X^{5^k}))$这个新密钥来解密:
$$<c{t}^{\ast },s{k}^{\ast }>=c_0(X^{5^k})+c_1(X^{5^k})\cdot s(X^{5^k})\approx a(X^{5^k})$$
但是CKKS需要从始至终只使用原始密钥$sk$来解密

---

因此我们需要KS算法:

---

还记得之前生成的伽罗瓦计算公钥为:
$$galkey\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s(X^{rot})$$
现在我们具体定义一个可以执行左旋$k$位的伽罗瓦计算公钥为:
$$galke{y}_k\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2,其中b^{\prime }=-a^{\prime }s+e^{\prime }+P\cdot s(X^{5^k})$$
现在对旋转后的密文$c{t}^{\ast }$执行旋转中的KS算法:
$$c{t}_{rot}=(c_0(X^{5^k}),0)+\lfloor P^{-1}\cdot c_1(X^{5^k})\cdot galke{y}_k\rceil mod{q}_l$$
查看一下$c{t}_{rot}$中的具体内容:
$$\begin{gathered} c{t}_{rot}=(c{t}_{rot,0},c{t}_{rot,1})= \\ (c_0(X^{5^k})+\lfloor -P^{-1}\cdot c_1(X^{5^k})\cdot a^{\prime }\cdot s+P^{-1}\cdot c_1(X^{5^k})\cdot e^{\prime }+c_1(X^{5^k})\cdot s(X^{5^k})\rceil ,\lfloor P^{-1}\cdot c_1(X^{5^k})\cdot a^{\prime })\rceil ) \end{gathered}$$
虽然这里看似好像内部的元素变复杂了，但是究其本质，这仍然是$R$中的元素而已。

可以看到此时可以单独使用密钥$s$来进行解密:
$$\begin{array}{rl}c{t}_{rot,0}+c{t}_{rot,1}\cdot s& \\ =& c_0(X^{5^k})+\lfloor -P^{-1}\cdot c_1(X^{5^k})\cdot a^{\prime }\cdot s+P^{-1}\cdot c_1(X^{5^k})\cdot e^{\prime }+c_1(X^{5^k})\cdot s(X^{5^k})\rceil +\lfloor P^{-1}\cdot c_1(X^{5^k})\cdot a^{\prime })\rceil \cdot s\\ =& c_0(X^{5^k})+c_1(X^{5^k})\cdot s(X^{5^k})+\lfloor -P^{-1}\cdot c_1(X^{5^k})\cdot a^{\prime }\cdot s\rceil +\lfloor -P^{-1}\cdot c_1(X^{5^k})\cdot a^{\prime }\rceil \cdot s+\lfloor P^{-1}\cdot c_1(X^{5^k})\rceil \\ =& c_0(X^{5^k})+c_1(X^{5^k})\cdot s(X^{5^k})+e\end{array}$$
这里也引入了少许误差$e=\lfloor P^{-1}\cdot c_1(X^{5^k})\rceil$，当$P$​足够大时，该误差可以足够小。

---

3.3共轭操作

CKKS的共轭非常简单，实际上就是旋转的特殊形式，我们只需要将旋转中的左旋$k$位，将$k$设置为$-1$，然后执行上述的旋转操作，即可得到消息向量的共轭。