FHE 的高精度算术：BGV-big、BFV-big

参考文献：

1. [NL11] Naehrig M, Lauter K, Vaikuntanathan V. Can homomorphic encryption be practical?[C]//Proceedings of the 3rd ACM workshop on Cloud computing security workshop. 2011: 113-124.
2. [GC15] Geihs M, Cabarcas D. Efficient integer encoding for homomorphic encryption via ring isomorphisms[C]//Progress in Cryptology-LATINCRYPT 2014: Third International Conference on Cryptology and Information Security in Latin America Florianópolis, Brazil, September 17–19, 2014 Revised Selected Papers 3. Springer International Publishing, 2015: 48-63.
3. [CS16] Costache A, Smart N P. Which ring based somewhat homomorphic encryption scheme is best?[C]//Topics in Cryptology-CT-RSA 2016: The Cryptographers’ Track at the RSA Conference 2016, San Francisco, CA, USA, February 29-March 4, 2016, Proceedings. Springer International Publishing, 2016: 325-340.
4. [CSVW17] Costache A, Smart N P, Vivek S, et al. Fixed-point arithmetic in SHE schemes[C]//Selected Areas in Cryptography–SAC 2016: 23rd International Conference, St. John’s, NL, Canada, August 10-12, 2016, Revised Selected Papers 23. Springer International Publishing, 2017: 401-422.
5. [CJLL17] Cheon J H, Jeong J, Lee J, et al. Privacy-preserving computations of predictive medical models with minimax approximation and non-adjacent form[C]//Financial Cryptography and Data Security: FC 2017 International Workshops, WAHC, BITCOIN, VOTING, WTSC, and TA, Sliema, Malta, April 7, 2017, Revised Selected Papers 21. Springer International Publishing, 2017: 53-74.
6. [CLPX18] Chen H, Laine K, Player R, et al. High-precision arithmetic in homomorphic encryption[C]//Cryptographers’ Track at the RSA Conference. Cham: Springer International Publishing, 2018: 116-136.
7. [BGGJ20] Boura C, Gama N, Georgieva M, et al. Chimera: Combining ring-lwe-based fully homomorphic encryption schemes[J]. Journal of Mathematical Cryptology, 2020, 14(1): 316-338.

BGV-big-number

类似于 [HS00] 的 NTRU 优化技巧，[GC15] 提出了 Ring Isomorphism Encoding 编码方案，使用形如 $p=x-b$ 的明文模数，给出了高精度整数的 BV/BGV 变体。

Bit Coefficient Encoding

[NL11] 给出了 BFV 的代码实现。除此之外，它还给出了如何把平凡的消息空间（整数、比特串）的编码到明文多项式环 $R_p={\mathbb{Z}}_p[x]/(x^N+1)$。这种编码方案，被 [GC15] 称为 BCE 编码。

BCE.Encode：给定 $n$ 比特的整数 $m$，二进制分解，编码为多项式：
$$p_m(x)=\sum _{i=0}^{n-1}{m}_i{x}^i$$

BCE.Decode：就是 $m=p_m(2)$，多项式求值。

运算就是多项式加法/多项式乘法，

• 对于 $l$ 个整数的连续加法，需要 $p>l$
• 对于 $l$ 个整数的连续乘法，需要 $N>nl$，并且 $p>n^{l-1}$

Ring Isomorphism Encoding

但是 BCE 的两个空间并非同构，因此需要追踪是否越界 $p$ 以及 $x^n+1$

[GC15] 提出了另一种编码方式： 明文多项式环 $R_p=\mathbb{Z}[x]/(x^N+1,p)$，其中的 $p\in \mathbb{Z}[x]$ 是多项式（不必是常数）。

特别地，对于 $a\in \mathbb{Z}$，映射 $\varphi :\mathbb{Z}[x]/(x^n+1,x-a)\to \mathbb{Z}/(a^n+1)$ 定义为
$$f(x)+(x^n+1,x-a)\mapsto f(a)+(a^n+1)$$

容易验证 $\varphi$ 是两个整环的同构映射。

对于不同的 $a$，环 $R_p$ 可以同构于：整环、有限域、整环直积，代码实现的效率也有差异。方便起见，[GC15] 选取了 $p=x-2$，此时 $R_p\cong {\mathbb{Z}}_{2^n+1}$ 环同构。我们需要约束下 $R_p$ 的代表元的范围，
T n = { a ( x ) = ∑ i = 0 n − 1 a i x i : a i ∈ { 0 , ± 1 } } T_n = \{a(x) = \sum_{i=0}^{n-1} a_ix^i:a_i \in \{0,\pm 1\} \} Tn​={a(x)=i=0∑n−1​ai​xi:ai​∈{0,±1}}

易知 $|T_n|=3^n>2^n+1$，从而这个集合包含了全部的 $R_p$ 代表元。例如，$2x^2+x+1\equiv (x-2)x^2+2x^2+x+1\equiv x^3+x+1(\mathrm{mod}x-2)$（取模 $p=x-2$ 时，并非是把高次项都消除，而是要将较大的系数消除，多项式次数甚至会更高了）。

RIE.Encode：给定整数 $z\in \mathbb{Z}$，取值范围 $[-2^{n-1},\cdots ,0,\cdots ,2^{n-1}]$

1. 寻找 z i ∈ { 0 , ± 1 } z_i \in \{0,\pm1\} zi​∈{0,±1}，满足
   $$z\equiv \sum _{i=0}^{n-1}{z}_i{2}^i(\mathrm{mod}{2}^n+1)$$

   并且要使得 ${\sum }_i|z_i|$ 最小化

2. 编码为多项式
   $$m(x)=\sum _{i=0}^{n-1}{z}_i{x}^i$$

   可以验证 $\varphi :m(x)\to z$ 成立

RIE.Decode：给定多项式 $m\in R_p$（系数不一定还是 { 0 , ± 1 } \{0,\pm 1\} {0,±1} 的）

1. 多项式求值 $z^{\prime }=m(2)(\mathrm{mod}{2}^n+1)$，取值范围 $[0,\cdots ,2^n]$
2. 当 $z^{\prime }>2^{n-1}$ 时，输出 $z^{\prime }-(2^n+1)$（负数）
3. 否则，直接输出 $z^{\prime }$（正数）

因为 $R_p\cong {\mathbb{Z}}_{a^n+1}$，因此 RIE 码字的同态运算是自然的（不必担心 $p$ 和 $x^n+1$ 是否溢出）：多项式加法就是整数加法、多项式乘法就是整数乘法。此外，如果 $a^n+1$ 可以分解为一些互素的因子 $n_1,\cdots ,n_t$，那么就有 CRT 分解（SIMD 槽）
$$R_p\cong {\mathbb{Z}}_{a^n+1}\cong \prod _{i=1}^t{\mathbb{Z}}_{n_i}$$

对于 RLWE-based BGV 方案，

• 密文的代数结构是 $R_{q_L}$，密文模数 $q_L$ 是素数的乘积（常数多项式）
• 明文的代数结构是 $R_p$，明文模数 $p=x-2$ 是个多项式

对于加密、解密、同态运算、秘钥切换，除了把 $(\mathrm{mod}p)$ 替换为了 $(\mathrm{mod}x-b)$，这个 BGV 变体的计算方式都是与原始方案一样的。略微修改 BGV 的模切换算法，就可以适应这个明文模数。算法 $scale(c,q,q^{\prime },p)$，

1. 对于密文模数 $q^{\prime }<q$，满足 $q\equiv q^{\prime }\equiv 1\mathrm{mod}p$
2. 从 $R_q$ 提升到 $\mathbb{Q}[x]$，计算 $y=(q^{\prime }/q)c\in \mathbb{Q}[x]$
3. 寻找多项式 $c^{\prime }\in \mathbb{Z}[x]$，满足如下条件
   • 保持解密正确性：只需满足 $c^{\prime }\equiv c(\mathrm{mod}{x}^n+1,x-2)$
   • 最小化舍入噪声：使得系数向量的距离 $\Vert y-c^{\prime }{\Vert }_{\infty }$ 最小化

可以证明，对于 $p=x-2$，舍入噪声的规模为 $\Vert y-c^{\prime }{\Vert }_{\infty }\le 1.5$

BFV-big-number

[CLPX18] 将上述的 RIE 应用到了 B/FV 方案上，得到了高精度整数的 B/FV 变体，并且给出了有理数的编码方案（分数格式）。另外它利用 [CS16] 提出的平均情况下的启发式噪声上界（heuristic upper bounds for the noise growth），评估了这个 BFV 变体的噪声增长（原始 B/FV 使用最坏的噪声估计，参数很不紧）。

New Level FHE

类似于 BCE，我们令消息空间 $M=[-\lceil b^n/2\rceil ,\lfloor b^n/2\rfloor ]\cap \mathbb{Z}$（大小为 $b^n+1$ 的对称区间）。那么，对于任意的 $m\in M$，总是存在至少一个短的多项式 $\hat{m}(x)\in \mathbb{Z}[x]$，满足 $\mathrm{deg}\hat{m}\le n-1$ 以及 $\Vert \hat{m}{\Vert }_{\infty }\le (b+1)/2$（如果系数大小约束为 $b/2$ 则只能表示 $b^n$ 个元素），使得 $\hat{m}(b)=m(\mathrm{mod}{b}^n+1)$

我们设置明文模数 $p=x-b\in \mathbb{Z}[x]$，密文模数 $q\in \mathbb{Z}$，BFV 工作的多项式环 $R=\mathbb{Z}[x]/(x^n+1)$，其中 $n$ 是二的幂次。那么，
$$\begin{gathered} R/pR\cong \mathbb{Z}/(b^n+1)\mathbb{Z} \\ \hat{m}(x)\mapsto m=\hat{m}(b) \end{gathered}$$

可以验证，$p=x-b$ 在分圆数域 $\mathbb{Q}[x]/(x^n+1)$ 中的逆元为：
$$p^{-1}=-\frac{1}{b^n+1}(x^{n-1}+b{x}^{n-2}+\cdots +b^{n-1})\in \mathbb{Q}[x]$$

因此，我们定义
$${\Delta }_b:=\lfloor \frac{q}{p}\rceil =\lfloor -\frac{q}{b^n+1}(x^{n-1}+b{x}^{n-2}+\cdots +b^{n-1})\rceil \in \mathbb{Z}[x]$$

构造出 BFV 变体，

• 秘钥：私钥 $sk=s\in R$，公钥 $pk=(p_0,p_1)\in R_q^2$，满足 $p_0+p_{1}s=e\approx 0(\mathrm{mod}q)$

• 加密：消息 $m\in M$ 是有界的整数，编码为多项式 $\hat{m}(x)\in R_p$，短随机带 $r\in R$，中心离散高斯 $e_0,e_1\in R$，
  $$ct:=([{\Delta }_b\cdot \hat{m}+p_{0}r+e_0{]}_q,[p_{1}r+e_1{]}_q)\in R_q^2$$

• 解密：密文 $ct=(c_0,c_1)$，计算
  $$\hat{m}=\lfloor \frac{x-b}{q}[c_0+c_{1}s{]}_q\rceil \in R_p$$

  输出 $m=\hat{m}(b)\in M$

• 加法：输入 $c{t}_0,c{t}_1$，输出 $c{t}_{add}=c{t}_0+c{t}_1$

• 乘法：输入 $c{t}_0=(c_0,c_1),c{t}_1=(d_0,d_1)$，计算 $c{t}_{mult}^{\prime }=(c_0^{\prime },c_1^{\prime },c_2^{\prime })\in R_q^3$，其中
  $$\begin{array}{rl}{c}_0^{\prime }& ={\left[\lfloor \frac{x-b}{q}(c_0{d}_0)\rceil \right]}_q\\ c_1^{\prime }& ={\left[\lfloor \frac{x-b}{q}(c_0{d}_0+c_1{d}_0)\rceil \right]}_q\\ c_2^{\prime }& ={\left[\lfloor \frac{x-b}{q}(c_1{d}_1)\rceil \right]}_q\end{array}$$

  然后执行 Relinearize 操作，得到 $c{t}_{mult}\in R_q^2$

我们采取启发式的噪声估计，规范嵌入范数（Canonical Embedding Norm）定义为
$$\Vert a{\Vert }_{\infty }^{can}:=\Vert (a({\zeta }_m^i){)}_{i\in {\mathbb{Z}}_m^{\ast }}{\Vert }_{\infty }$$

其中 ${\zeta }_m\in \mathbb{C}$ 是本原单位根。它有良好的性质，

• 适合评估乘积的范数，$\Vert a\cdot b{\Vert }_{\infty }^{can}\le \Vert a{\Vert }_{\infty }^{can}\cdot \Vert b{\Vert }_{\infty }^{can}$
• 约束了 L1 范数的下界，$\Vert a{\Vert }_{\infty }^{can}\le \Vert a{\Vert }_1$
• 约束了无穷范数的上界，$\Vert a{\Vert }_{\infty }\le c_m\cdot \Vert a{\Vert }_{\infty }^{can}$，其中 $c_m=\Vert CR{T}_m^{-1}{\Vert }_{\infty }$ 是只和 $m$ 有关的环常数（ring constant）

启发式的，如果 $a\in R_{\mathbb{Q}}$ 的各个系数是根据标准差 $\sigma$ 独立采样的，那么以压倒性概率满足 $\Vert a{\Vert }_{\infty }^{can}\le 6\sigma \sqrt{n}$，除了 $erfc(6)\approx 2^{-55}$ 的小尾巴。

1. 同态加法的噪声，
   $$\Vert Err(v_{add}){\Vert }^{can}\le \Vert Err(v_1){\Vert }^{can}+\Vert Err(v_2){\Vert }^{can}$$

2. 同态乘法的噪声，
   ∥ E r r ( v m u l t ) ∥ c a n ≲ 14 ( b + 1 ) n max ⁡ { ∥ E r r ( v 1 ) ∥ c a n , ∥ E r r ( v 2 ) ∥ c a n } \|Err(v_{mult})\|^{can} \lesssim 14(b+1)n\max\{\|Err(v_{1})\|^{can},\|Err(v_{2})\|^{can}\} ∥Err(vmult​)∥can≲14(b+1)nmax{∥Err(v1​)∥can,∥Err(v2​)∥can}

Fractional Encoder

类似于 SEAL 的思路，[CLPX18] 也是采用基于分数的有理数编码器，而非基于缩放的有理数编码器，[CSVW17] 证明了这两种有理数编码器同构，但是后者需要追踪 scale 的大小。

抽象地，分数编码器是 $(P,Encode,Decode)$，其中 $P\subseteq \mathbb{Q}$ 是有限子集，编码函数 $Encode:P\to M$，解码函数 $Decode:M\to P$，我们要求：

1. 编码器是可逆的（$Encode$ 是单射，$Decode$ 是左逆），
   $$Decode(Encode(x))=x,\forall x\in P$$

2. 具有同态的性质，
   $$\begin{gathered} Encode(x+y)=Encode(x)+Encode(y) \\ Encode(xy)=Encode(x)\cdot Encode(y) \end{gathered}$$

设置 $M=\mathbb{Z}/(b^n+1)\mathbb{Z}$，定义编码函数为
$$Encode\left(\frac{x}{y}\right)=x{y}^{-1}(\mathrm{mod}{b}^n+1)$$

现在，我们需要选择合适的 $P$（比如 $gcd(y,b^n+1)\ne 1$ 就明显不可逆），并构造对应的解码函数，使得它们满足我们要求的可逆、同态的性质。

odd base

假如 $b\in \mathbb{Z}$ 是奇数，设置
$$P=\left\{\frac{c\cdot b^{n/2}+d}{b^{n/2}}:c,d\in \left[-\frac{b^{n/2}-1}{2},\frac{b^{n/2}-1}{2}\right]\cap \mathbb{Z}\right\}$$

可以证明，上述定义的 $Encode:P\to M$ 是单射，其中 $(b^{n/2}{)}^{-1}=-b^{n/2}(\mathrm{mod}{b}^n+1)$

定义它的左逆，对于 $z\in Encode(P)$，
$$Decode(z)=\frac{[z\cdot b^{n/2}{]}_{b^n+1}}{b^{n/2}}$$

可以验证 $(P,Encode,Decode)$ 满足我们的抽象要求。

even base

假如 $b\in \mathbb{Z}$ 是偶数，由于证明编码函数是单射的限制，需要把整数部分 $c$ 或者小数部分 $d$ 的位数降低一位（没看懂里面的 $b/(b-1)$ 代表什么意思）。我们把 $d$ 减少到 $n/2-1$ 位，那么
$$P=\left\{\frac{c\cdot b^{n/2-1}+d}{b^{n/2-1}}:c\in \left[-\frac{(b^{n/2}-1)b}{2(b-1)},\frac{(b^{n/2}-1)b}{2(b-1)}\right]\cap \mathbb{Z},d\in \left[-\frac{(b^{n/2-1}-1)b}{2(b-1)},\frac{(b^{n/2-1}-1)b}{2(b-1)}\right]\cap \mathbb{Z}\right\}$$

可以证明，上述定义的 $Encode:P\to M$ 是单射，其中 $(b^{n/2-1}{)}^{-1}=-b^{n/2+1}(\mathrm{mod}{b}^n+1)$

定义它的左逆，对于 $z\in Encode(P)$，
$$Decode(z)=\frac{[z\cdot b^{n/2-1}{]}_{b^n+1}}{b^{n/2-1}}$$

可以验证 $(P,Encode,Decode)$ 满足我们的抽象要求。

Result

使用正则电路（regular circuit）：$A$ 层加法，$1$ 层乘法，迭代 $L$ 轮，整数范围 $[-L,L]$，来评估 BFV-big-number 的效率。

原始 BFV，采取 [CJLL17] 的 NAF 编码器，

本文的高精度 BFV 变体，