CKKS Part5: CKKS的重缩放

合集 - 同态加密(37)

1.RSA2021-06-24 2.ElGamal算法2021-06-26 3.基于全同态加密的隐匿查询-洪澄2021-11-16 4.同态加密技术及其在FL/MPC中的应用-洪澄2021-11-12 5.Paillier半同态加密：原理、高效实现方法和应用2021-10-27 6.Paillier算法2021-06-29

7.CKKS Part5: CKKS的重缩放 2022-02-07

8.CKKS Part4: CKKS的乘法和重线性化2022-02-06 9.CKKS Part3: CKKS的加密和解密2022-02-06 10.CKKS Part2: CKKS的编码和解码2022-02-05 11.CKKS Part1：普通编码和解码2022-01-31 12.MAC上安装HEAAN库2022-01-24 13.DGHV同态库2022-01-07 14.同态加密及其在隐私计算中应用（李增鹏）2021-11-21 15.全同态加密研究：学习2022-08-29 16.课程笔记：全同态加密理论与基础2022-08-27 17.全同态加密-丁津泰：学习2022-08-26 18.课程笔记：全同态加密的理论与构造-下篇：学习2022-08-26 19.课程笔记：全同态加密的理论与构造-上篇：学习2022-08-22 20.阈值同态加密在隐私计算中的应用：解读2022-07-05 21.Lifted ElGamal 门限加密算法2022-06-07 22.Tenseal库2022-05-19 23.Packed Ciphertexts in LWE-based Homomorphic Encryption：解读2022-05-17 24.一种高效的同态加密方案及其应用-解读2022-04-25 25.Homomorphic Evaluation of the AES Circuit：解读2022-04-24 26.SIMD编码2022-02-23 27.SEAL库 - 安装和介绍2022-02-15 28.HEAAN新版学习2022-02-11 29.HEAAN库学习2022-02-11 30.CKKS加密方案2022-02-07 31.同态密码学原理及算法-笔记2023-05-17 32.文章学习：基于AVX-512指令集的同态加密算法中大整数运算性能优化与突破2023-04-22 33.全同态加密是否完美？2022-12-06 34.半同态计算芯片2022-11-01 35.并行同态加密算法及应用研究-20202022-09-26 36.基于同态加密的生物认证研究-20152022-09-07 37.论文笔记：全同态加密研究进展-白利芳等2023-12-27

本文翻译于 CKKS EXPLAINED, PART 5: RESCALING，主要介绍CKKS方案中最重要的技术- rescaling，重缩放技术

介绍#

在CKKS的前一篇文章 CKKS Part4: CKKS的乘法和重线性化中，我们了解了密文乘法在CKKS中的工作原理，为什么需要重新线性化输出以及保持恒定的密文大小，以及如何做到这一点。

尽管如此，正如我们将看到的，我们需要一个名为“重缩放”的最终操作来管理噪音并避免溢出。这将是本系列的最后一篇理论性文章，在下一篇也是最后一篇文章中，我们将用Python实现所有内容！

为了了解它是如何工作的，我们首先要有一个整体图，然后再详细了解它是如何工作的。

模数链的高级视图#

到目前为止，我们已经深入挖掘了CKKS的细节，但对于这一点，我们将后退一步。CKKS使用我们所说的level，级数，也就是说，在噪声太大而无法正确解密输出之前，所允许的有限乘法次数。

你可以想象这是一个油箱。最初，油箱充满了汽油，但当你执行越来越多的操作时，汽油将被排空，直到没有剩余的汽油，就不能再做任何事情。同样的道理也适用于同态加密方案：你先从一定量的汽油开始，但当你进行乘法时，汽油越来越少，直到用完为止，你不能再执行任何操作。

下图说明了这一点。当你开始的时候，你的初始油箱已经满了。但当你们执行乘法和重缩放时，你们会降低级数，这相当于消耗了你们的一些汽油。如果你从L层开始，表示为 $q_{L} ， q_{L - 1} ， \dots ， q_{1}$ ，处于级别 $q_{l}$ 意味着还剩下 $l$ 个乘法，执行一个乘法会将级别从 $q_{l}$ 降低到 $q_{l - 1}$ .

现在，一旦你的汽油用完了，就像在现实生活中一样，你可以把油箱加满，这样你就可以在路上走得更远。此操作称为bootstrap，引导，本文将不介绍它。因此，如果我们假设我们不可能重新加注油箱，那么在使用有限级同态加密方案时，必须考虑一个有趣的方面：您需要提前知道将要进行的乘法数量！

事实上，就像在现实生活中一样，如果你打算走很远的路，你将需要比你只是在附近走走更多的汽油。同样的道理也适用于这里，根据需要执行的乘法次数，您必须调整油箱的大小。但是油箱越大，计算就越繁重，你的参数也就越不安全。事实上，就像在现实生活中一样，如果你需要一个更大的油箱，它会更重，这会使事情变得更慢，同时也会降低安全性。

我们不会详细讨论所有细节，但知道CKKS方案的难度取决于比率 $N / q$ ，N是多项式的阶数，也就是向量的的大小；q是多项式系数模数，即我们的油箱大小。

因此，我们需要的乘法越多，油箱就越大，我们的参数就越不安全。为了保持相同的安全强度，我们需要增加N，这将增加我们操作的计算成本。（不是增加q么？）

下面的图，从 Microsoft Private AI Bootcamp 中，展示了在使用CKKS时必须考虑的折衷，显示了多项式次数和模数的安全性之间的关系。为了保证128位的安全性，我们必须增加多项式次数，即使我们不需要它提供的“额外插槽”【是明文槽么？】，因为增加模数可能会使我们的参数不安全。

因此，在我们进入更理论的部分之前，让我们看看关键的收获是什么：
1、重缩放和噪音管理可以被视为管理一个油箱，你从一个初始预算（油量）开始，使用（做乘法）后预算（油量）将会减少，如果汽油用完了，你就什么都做不了。
2、你需要提前知道你将进行多少次乘法，这将决定油箱的大小，这将影响你将使用的多项式次数的大小。

背景#

现在，我们看到了整体图，让我们深入了解为什么以及如何运作。

如果你正确地记得 CKKS Part2: CKKS的编码和解码第二部分关于编码的内容，如果我们有一个初始向量z，它在编码过程中乘以一个缩放因子Δ，以保持一定的精度。

因此，包含在明文μ和密文c的基本值是 $Δ . Z$ ，所以当我们把两个密文c和c'相乘时，最后的结果是 $z . z^{'} . Δ^{2}$ ，所以它包含了缩放因子的平方，当缩放因子指数增长时，经过几次乘法后可能会导致溢出。此外，正如我们之前看到的，每次乘法后噪声都会增加。

因此，重缩放操作的目标实际上是保持缩放因子恒定，同时减少密文中存在的噪声。

普通做法#

那么我们如何解决这个问题呢？要做到这一点，我们需要了解如何定义q。记住，这个参数q被用作多项式环 $R_{q} = Z_{q} [X] / (X^{N} + 1)$ 中系数的模数。

正如高级视图中所述，q比作一个汽油箱的大小，我们将逐步进行计算，清空该汽油箱。

如果我们假设我们用一个缩放因子Δ，进行L次乘法，那么我们将q定义为： $q = Δ^{L} . q_{0}$ ，其中 $q_{0} \geq Δ$ ，这将决定小数部分之前需要多少整数位。实际上，如果我们假设小数部分需要30位精度，整数部分需要10位精度，我们将设置：

一旦我们为整数和小数部分设置了我们想要的精度，选择了我们想要执行的乘法的数量L，就能相应地求得q，接下来很容易定义重缩放操作，我们只需对密文进行分割和取整。

事实上，假设我们在一个给定的级数 $l$ ，那么模是 $q_{l}$ 。我们有密文 $c \in R_{q_{_{l}}}^{2}$ ，然后我们可以定义从 $l$ 级到 $l - 1$ ：

R S_{l - > l - 1} (c) = ⌊ \frac{q_{l - 1}}{q_{l}} . c ⌋ (mod q_{l - 1}) = ⌊ Δ^{- 1} . c ⌋ (mod q_{l - 1})

因为 $q_{l} = Δ^{l} . q_{0}$

因此，通过这样做，我们可以做到两件事：
1、一旦我们解密了两个密文c，c′的乘积，以及对应底层明文值 $Δ . z, Δ . z^{'}$ ，应用重缩放后，我们有 $Δ . z . z^{'}$ ，因此，只要我们在每次乘法后重缩放，在整个计算过程中，缩放因子保持不变。
2、噪声被减少了，因为我们既分割底层的明文值，也分割了解密时的噪声，如果你记得清楚的话，它的形式是μ+e，（此时解密，再舍入得到的u不是原先的明文值）。因此，重缩放也可以达到降噪的目的。

所以，如果我们把所有的东西都放在一起，要在CKKS中进行乘法，你需要做三件事：
1、做乘法： $c_{m u l t} = C_{M u l t} (c, c^{'}) = (d_{0}, d_{1}, d_{2})$
2、重线性化： $c_{re l i n} = Re l i n ((d_{0}, d_{1}, d_{2}), e v k)$
3、重缩放： $c_{r s} = R S_{l - > l - 1} (c)$

如果你做好上面的工作，使用正确的密钥就可解密成功！差不多了，下面还有最后一个细节我们要讲。

CRT，中国剩余定理#

所以我们得到了我们需要的一切，但有一个技术问题：计算是在大数上完成的！事实上，我们已经知道，操作是在大模数 $q_{l} = Δ^{l} . q_{0}$ 上完成的。例如，想象一下，小数部分需要30位精度，整数部分需要10位精度，乘法需要10位精度（即进行10次乘法），那么我们有 $q_{L} = Δ^{L} . q_{0} = 2^{30 \cdot 10 + 40} = 2^{340}$ 。

因为我们有时会计算有大系数的多项式，比如均匀采样得到的多项式，然而一些计算不适合常用的64位系统，所以我们必须找到一种方法使其工作。

这就是中国剩余定理的由来！这个定理表明，如果我们有L个互素数 $p_{1}, . . ., p_{L}, p = \prod_{l = 1}^{L} p_{l}$ ，然后映射： $Z / p Z - > Z / p_{1} Z \times . . . \times Z / p_{L} Z : x (mod p) - > (x (mod / p_{1}), . . ., x (mod p_{L}))$ ，是一个环同构，即如果你想在大环 $Z / p Z$ 上做算术运算，那么你可以在小环 $Z / p_{l} Z$ 上执行，这样就不会在执行计算时超过64位的问题了。

所以在实际中有 $q_{L} = Δ^{L} . q_{0}$ ，我们选择 $p_{1}, . . ., p_{L}$ ，其中 $p_{l} 约等于 Δ ， q_{0}$ 是远大于 $Δ$ 的素数，然后设置 $q_{L} = \prod_{l = 1}^{L} p_{l} . q_{0} = q_{0} * p$ 。

这样，我们就可以使用CRT完成上面描述的小技巧，从而能够执行大模数运算。必须稍微修改重缩放操作： $R S_{l - > l - 1} (c) = ⌊ \frac{q_{l - 1}}{q_{l}} . c ⌋ (mod q_{l - 1}) = ⌊ p_{l}^{- 1} . c ⌋ (mod q_{l - 1})$