FFT快速傅里叶变换与NTT快速数论变换

前言

大数相乘是公钥密码学中一个非常关键的运算，公钥密码学中往往需要进行大量的大整数相乘运算，它的性能影响着许多公钥密码算法的性能[1]。

最近在阅读格上后量子密钥交换相关论文的过程中，我发现在基于RLWE（Ring learning with errors, 环上容错学习）问题的格密钥交换方案中会进行多项式相乘运算，而其中往往会使用到NTT快速数论变换算法，快速数论变换(NTT)是快速傅里叶变换(FFT)在数论基础上的实现，为了弄懂其中的原理，我对FFT快速傅里叶变换以及NTT快速数论变换的相关知识进行了学习。

基础知识

在学习FFT以及NTT之前，我们应该先对多项式有一个基本的了解。
多项式有两种基本的表示方法，一种是系数表示，一种是点值表示；对于一个已知的多项式$A(x)=a_0+a_{1}x+a_2{x}^2+\cdots +a_{n-1}{x}^{n-1}$,

• 系数表示法：用$n$个系数确定一个$n-1$次多项式，$(a_0,a_1,a_2,\dots ,a_{n-1})$
• 点值表示法：对于多项式$A(x)$，将$x_0$代进去可以得到一个确定的值$y_0$，并且可以将$(x_0,y_0)$看作是坐标系上的一个点；用$n$个点可以确定一个$n-1$次多项式，$$(x_0,x_1,x_2,\dots ,x_{n-1})$$$$(y_0,y_1,y_2,\dots ,y_{n-1})$$

现在有两个多项式$A(x),B(x)$，两个多项式相乘结果为$C(x)$，这个就叫多项式的乘法，多项式乘法的结果又可以叫做这两个多项式的卷积。某种程度上，FFT就是在解决多项式乘法的问题。

FTT

快速傅里叶变换（英语：Fast Fourier Transform, FFT），是快速计算串行的离散傅里叶变换（DFT）或其逆变换的方法[2]。直接暴力求解两个多项式的卷积，复杂度是$O(n^2)$的，而FFT可以将这一过程的复杂度降到$O(nlogn)$，具体过程分为两个过程：离散傅里叶变换（DFT）和离散傅里叶逆变换（IDFT）。通俗地来说，多项式由系数表示法转为点值表示法的过程，就是DFT，多项式由点值表示法转化为系数表示法的过程，就是IDFT；而FFT就是通过取某些特殊的x的点值来加速DFT和IDFT的过程[3]。
FFT通过找到一组特殊的点代入到多项式中，从而快速计算出一组$A(x),B(x)$的点值，而这组特殊点就是复数中的单位根。在复平面上，一个复数可以用一个向量表示，所有在单位圆上的向量都可以称为一个单位根。考虑将这个单位圆从$x$轴开始等分成$n$份，其中得到的这$n$个单位根，就是$n$次单位根，其中的第$k$个可以记为${\omega }_n^k$，且${\omega }_n^0=1$。

图1 复平面上的3次单位根

众所周知，$e^i\theta =cos\theta +i\cdot sin\theta$，所以
${\omega }_n^k=cos(2\pi \cdot \frac{k}{n})+i\cdot sin(2\pi \cdot \frac{k}{n})=e^{2\pi \cdot \frac{k}{n}i}$
显然，单位根具有以下一些性质：
性质一：${\omega }_n^k={\omega }_{2n}^{2k}$
性质二：${\omega }_n^{k+\frac{n}{2}}=-{\omega }_n^k$
性质三：${\omega }_n^k\cdot {\omega }_n^l={\omega }_n^{k+l}$
接下来我们来看FFT的具体过程是如何实现的。

第一步：离散傅里叶变换(DFT)

考虑一个$n=2^b$项的多项式$A(x)$系数表示为$(a_0,a_1,a_2,\dots ,a_{n-1}$