14、基于TFHE的批量全同态加密方案

基于TFHE的批量全同态加密方案

1. 同态环解密

1.1 带同态NTT的慢速乘法

同态环解密算法的输入为单个TLWE密文 $(a, b) \in TLWE_s(\frac{1}{2}m_jY^j)$（其中 $j \in [n]$）以及秘密密钥 $s \in B_N[X]$ 的二进制表示的加密。该算法会同态地计算环元素 $b - a \cdot s \bmod (X^N + 1)$，然后将结果提取为 $n$ 个TLWE密文。

为了同态地计算 $a \cdot s \bmod X^N + 1$，我们设计了一种带同态NTT的高效慢速乘法算法。设素数模 $q \equiv 1 \bmod 2N$（$N$ 为2的幂），$g \in \mathbb{Z}_q$ 是一个本原 $N$ 次单位根，且 $\eta^2 = g$。多项式乘积 $a \cdot s \bmod (X^N + 1)$（其中 $a, s \in R_q$）可按如下方式计算：
[a \cdot s \bmod (X^N + 1) = (1, \eta^{-1}, \cdots, \eta^{-(N - 1)}) \circ INTT(NTT(\hat{a}) \circ NTT(\hat{s})) \in R_q]
其中 $\hat{a} = (a[0], \eta a[1], \cdots, \eta^{N - 1}a[N - 1])$ 且 $\hat{s} = (s[0], \eta s[1], \cdots, \eta^{N - 1}s[N - 1])$。

我们记 $\overline{a} = NTT(\hat{a})$ 和 $\overline{s} = NTT(\hat