37、布尔函数与S盒的高阶非线性研究

布尔函数与S盒的高阶非线性研究

1. 高阶非线性相关基础概念

在布尔函数和S盒的研究中，高阶非线性是一个重要的概念。我们先来了解一些关于高阶非线性的简单事实：
- 函数叠加性质 ：给函数 (f) 加上一个代数次数至多为 (r) 的函数，显然不会改变 (f) 的 (r) 阶非线性。
- 仿射变换性质 ：由于RM((r, n)) 在任何仿射自同构下是不变的，所以布尔函数与仿射自同构复合不会改变其 (r) 阶非线性（即特征 (nl_r) 是仿射不变的）。对于S盒，左右两侧与仿射自同构复合也不会改变其 (r) 阶非线性。
- 最小距离性质 ：对于 (r \leq n)，RM((r, n)) 的最小距离等于 (2^{n - r})，因此对于代数次数恰好为 (r + 1 \leq n) 的每个函数 (f)，有 (nl_r(f) \geq 2^{n - r - 1})。而且，任何代数次数为 (r + 1) 的最小权函数 (f)（即任何 ((n - r - 1)) 维平面的指示函数），其 (r) 阶非线性等于 (2^{n - r - 1})，因为与 (f) 最接近的代数次数至多为 (r) 的函数显然是零函数。
- 函数限制性质 ：
- 若 (f_0) 是 (f) 在方程 (x_n = 0) 的线性超平面 (H) 上的限制，(f_1) 是 (f) 在方程 (x_n = 1) 的仿射超平面 (H’) 上的限制（这两个函数视为 ((n - 1)) 变量函数），则 (nl_r(f) \geq nl_r(f_0) + nl_r(f_1))。若 (f_0 = f_1)，则等式成立。
- 若存在非零向量 (a \in F_2^n) 使得 (f(x + a) = f(x))，则用代数次数为 (r) 的函数对 (f) 进行最佳逼近时，存在函数 (g) 使得 (g(x + a) = g(x))，且 (nl_r(f)) 等于 (f) 在任何不包含 (a) 的线性超平面 (H) 上限制的 (r) 阶非线性的两倍。
- 若 (f_0) 和 (f_1) 相差一个代数次数至多为 (r - 1) 的函数，则 (nl_r(f) = 2nl_r(f_0)) 也成立。
- 反向限制性质 ：设 (f) 是任意 (n) 变量布尔函数，(r) 是小于 (n) 的正整数，(H) 是 (F_2^n) 的仿射超平面，则 (f) 在 (H) 上的限制 (f_0)（视为 ((n - 1)) 变量函数）的 (r) 阶非线性满足 (nl_r(f_0) \geq nl_r(f) - 2^{n - 2})。

下面用一个mermaid流程图来展示函数限制与非线性关系：

graph LR
    A[f函数] -->|限制到H| B[f0函数]
    A -->|限制到H'| C[f1函数]
    B -->|计算nlr| D[nlr(f0)]
    C -->|计算nlr| E[nlr(f1)]
    D & E -->|相加| F[nlr(f0)+nlr(f1)]
    F -->|比较| G[nlr(f) >= nlr(f0)+nlr(f1)]

2. 最高可能的 (r) 阶非线性

对于布尔函数的一阶非线性，已知的最佳通用上界为：
- 对于任意布尔函数，(nl(f) \leq 2^{n - 1} - 2^{\frac{n}{2} - 1})，它可直接从Parseval关系 (\sum_{a \in F_2^n} W_f^2(a) = 2^{2n}) 推导得出。当 (n) 为偶数时该界是紧的，当 (n) 为奇数时不紧。此界对于 ((n, m)) 函数同样有效，当 (m < n) 时是已知的最佳界。但只有当 (n) 为偶数且 (m \leq \frac{n}{2}) 时，该界才是紧的（由所谓的弯曲函数达到）。
- 当 (m = n) 时，有更好的界 (nl(F) \leq 2^{n - 1} - 2^{\frac{n - 1}{2}})，对于每个奇数 (n)，该界由所谓的几乎弯曲函数达到。
- 当 (m > n) 时，文献中给出了进一步（更好）的界，但没有一个界是紧的。

对于 (r \geq 2) 的布尔函数的 (r) 阶非线性，已知的最佳上界为 (nl_r(f) = 2^{n - 1} - \frac{\sqrt{15}}{2} \cdot (1 + \sqrt{2})^{r - 2} \cdot 2^{n/2} + O(n^{r - 2}))，该界显然对向量函数也有效。

此外，对于每个正实数 (c) 使得 (c^2 \log_2(e) > 1)（例如 (c = 1)），几乎所有布尔函数满足 (nl_r(f) \geq 2^{n - 1} - c \sqrt{\sum_{i = 0}^{r} \binom{n}{i}} 2^{\frac{n - 1}{2}} \approx 2^{n - 1} - \frac{c n^{r/2} 2^{n/2}}{\pi^{1/4} r^{(2r + 1)/4} 2^{3/4}})，并且当 (n) 趋于无穷大时，(nl_r(f)) 小于该表达式的概率渐近至多为 (O(2^{(1 - \log_2 e) \sum_{i = 0}^{r} \binom{n}{i}}))。

下面用表格总结不同情况下的上界：
| 情况 | 上界表达式 | 达到条件 |
| ---- | ---- | ---- |
| (n) 变量布尔函数一阶非线性（通用） | (nl(f) \leq 2^{n - 1} - 2^{\frac{n}{2} - 1}) | (n) 为偶数，(m \leq \frac{n}{2}) 时由弯曲函数达到 |
| (m = n) 时一阶非线性 | (nl(F) \leq 2^{n - 1} - 2^{\frac{n - 1}{2}}) | 奇数 (n) 时由几乎弯曲函数达到 |
| (r \geq 2) 时 (r) 阶非线性 | (nl_r(f) = 2^{n - 1} - \frac{\sqrt{15}}{2} \cdot (1 + \sqrt{2})^{r - 2} \cdot 2^{n/2} + O(n^{r - 2})) | 无明确达到条件 |

3. 给定代数免疫性的布尔/向量布尔函数的高阶非线性下界

代数免疫性是衡量布尔函数抵抗标准代数攻击的一个重要指标。对于布尔函数 (f)，其代数免疫性 (AI(f)) 定义为所有非零 (f) 或 (f + 1) 的零化子的最小代数次数。显然，(AI(f) \leq \text{deg} f)，并且 (AI(f) \leq \lfloor \frac{n}{2} \rfloor)，该界是紧的。几乎所有布尔函数的代数免疫性接近这个最优值。

已知具有给定代数免疫性的函数 (f) 的权重满足关系 (\sum_{i = 0}^{AI(f) - 1} \binom{n}{i} \leq \text{wt}(f) \leq \sum_{i = 0}^{n - AI(f)} \binom{n}{i})。这表明如果 (n) 是奇数且 (f) 具有最优代数免疫性，则 (f) 是平衡的。基于此，不同学者得出了不同的关于高阶非线性的下界：
- Dalai等人的推广界 ：(nl_r(f) \geq \sum_{i = 0}^{AI(f) - r - 1} \binom{n}{i})。
- 文献[8]的界 ：(nl_r(f) \geq \max_{r’ \leq n} (\min (\lambda_{r’}, \mu_{r’})))，其中：
- 当 (r’ \leq AI(f) - r - 1) 时，(\lambda_{r’} = 2 \max \left( \sum_{i = 0}^{r’ - 1} \binom{n}{i}, \sum_{i = 0}^{AI(f) - r - 1} \binom{n - r}{i} \right))；
- 当 (r’ > AI(f) - r - 1) 时，(\lambda_{r’} = 2 \sum_{i = 0}^{AI(f) - r - 1} \binom{n}{i})；
- (\mu_{r’} = \sum_{i = 0}^{AI(f) - r - 1} \binom{n - r}{i} + \sum_{i = 0}^{AI(f) - r’} \binom{n - r’ + 1}{i})。
- S. Mesnager的界 ：(nl_r(f) \geq \sum_{i = 0}^{AI(f) - r - 1} \binom{n}{i} + \sum_{i = AI(f) - 2r}^{AI(f) - r - 1} \binom{n - r}{i})。

这些结果表明，具有良好代数免疫性的函数通常具有不太差的非线性轮廓。然而，上述所有界相对于渐近界都比较弱。

对于S盒，其代数免疫性可以这样定义：对于 ((n, m)) 函数 (F)，其代数免疫性 (AI(F)) 是所有集合 (F^{-1}(z) = {x \in F_2^n / F(x) = z})（(z) 遍历 (F_2^m)）的最小代数免疫性。并且对于每个 (z \in F_2^m)，有 (|F^{-1}(z)| \geq \sum_{i = 0}^{AI(F) - 1} \binom{n}{i})。

下面用一个列表来展示不同下界的优劣情况：
1. S. Mesnager的界在 (r) 值较低时（对攻击起最重要作用）优于文献[11]和[8]的界。
2. 文献[8]的界在变量数小于等于12时，对所有 (AI(f)) 值都优于文献[11]的界；在变量数小于等于22时，对大多数 (AI(f)) 值也更优。

4. 代数免疫性与S盒高阶非线性的进一步关系

为了更深入地研究S盒的高阶非线性，我们先给出一些相关的定义和命题。

对于子集 (A) ，我们称 (n) 变量布尔函数 (g) 为 (A) 的零化子，如果 (g) 在 (A) 上的限制为零。用 (Ank(A)) 表示 (A) 的次数至多为 (k) 的零化子的向量空间，(A) 的代数免疫性 (AI(A)) 等于所有非零 (A) 的零化子的最小代数次数。而 ((n, m)) 函数 (F) 的代数免疫性 (AI(F)) 是所有集合 (F^{-1}(z))（(z) 遍历 (F_m^2)）的最小代数免疫性。

下面的命题给出了给定代数免疫性的集合与给定代数次数的函数的支持集之间交集大小的下界：
- 命题2 ：设 (A) 是 (F_n^2) 的子集，(r) 是正整数，(r’) 是非负整数且 (r’ \leq r)，(AI(A) - r - 1 \geq 0)。对于每个代数次数为 (r) 且代数免疫性为 (r’) 的 (n) 变量布尔函数 (h)，有：
- 当 (r’ \leq AI(A) - r - 1) 时，(\vert A \cap supp(h) \vert \geq \max \left( \sum_{i = 0}^{r’ - 1} \binom{n}{i}, \sum_{i = 0}^{AI(A) - r - 1} \binom{n - r}{i} \right))；
- 当 (r’ > AI(A) - r - 1) 时，(\vert A \cap supp(h) \vert \geq \sum_{i = 0}^{AI(A) - r - 1} \binom{n}{i})；
- 并且 (\vert A \cap supp(h) \vert \geq \dim \left( An_{AI(A) - 1}(supp(h + 1)) \right) \geq \dim \left( Mul_{AI(A) - r - 1}(h) \right))，其中 (Mul_{AI(A) - r - 1}(h)) 是 (h) 与次数至多为 (AI(A) - r - 1) 的函数的所有乘积的集合。

基于命题2，我们可以推导出关于S盒高阶非线性的定理：
- 定理1 ：设 (F) 是任意 ((n, m)) 函数，(r) 是任意正整数且 (AI(F) - r - 1 \geq 0)。则：
- (nl_r(F) \geq \max \left( 2^m \sum_{i = 0}^{AI(F) - r - 1} \binom{n - r}{i}, 2^{m - 1} \left( \sum_{i = 0}^{AI(F) - r - 1} \binom{n}{i} + \sum_{i = AI(F) - 2r}^{AI(F) - r - 1} \binom{n - r}{i} \right) \right))。
- 此外，(nl_r(F) \geq \max_{r’ \leq n} (\min (\lambda_{r’}, \mu_{r’})))，其中：
- 当 (r’ \leq AI(F) - r - 1) 时，(\lambda_{r’} = 2^m \max \left( \sum_{i = 0}^{r’ - 1} \binom{n}{i}, \sum_{i = 0}^{AI(F) - r - 1} \binom{n - r}{i} \right))；
- 当 (r’ > AI(F) - r - 1) 时，(\lambda_{r’} = 2^m \sum_{i = 0}^{AI(F) - r - 1} \binom{n}{i})；
- (\mu_{r’} = 2^{m - 1} \sum_{i = 0}^{AI(F) - r - 1} \binom{n - r}{i} + 2^{m - 1} \sum_{i = 0}^{AI(F) - r’} \binom{n - r’ + 1}{i})。

下面用一个mermaid流程图来展示定理1的推导过程：

graph LR
    A[命题2] --> B[对于任意h和l]
    B --> C[计算dH(l◦F, h)]
    C -->|h为常数| D[根据性质得到下界]
    C -->|h非常数| E[根据命题2得到下界]
    D & E --> F[综合得到nlr(F)的下界]

5. 总结与展望

通过前面的讨论，我们对布尔函数和S盒的高阶非线性有了较为全面的认识。下面用表格总结不同情况下的关键结论：
| 研究对象 | 相关性质 | 结论 |
| ---- | ---- | ---- |
| 布尔函数 | 高阶非线性简单事实 | 函数叠加、仿射变换、限制等性质影响 (nl_r) |
| 布尔函数 | 一阶非线性上界 | 不同 (n) 和 (m) 取值有不同上界，部分情况有紧界 |
| 布尔函数 | (r \geq 2) 阶非线性上界 | (nl_r(f) = 2^{n - 1} - \frac{\sqrt{15}}{2} \cdot (1 + \sqrt{2})^{r - 2} \cdot 2^{n/2} + O(n^{r - 2})) |
| 布尔函数 | 高阶非线性渐近情况 | 几乎所有函数满足 (nl_r(f) \geq 2^{n - 1} - c \sqrt{\sum_{i = 0}^{r} \binom{n}{i}} 2^{\frac{n - 1}{2}}) |
| 布尔函数 | 给定代数免疫性下界 | 不同学者给出不同下界，S. Mesnager界在低 (r) 时较优 |
| S盒 | 代数免疫性定义 | (AI(F)) 是 (F^{-1}(z)) 最小代数免疫性 |
| S盒 | 高阶非线性下界 | 由定理1给出下界 |

虽然目前已经取得了很多关于高阶非线性的研究成果，但仍有许多问题有待解决。例如，在一阶非线性和 (r \geq 2) 阶非线性的上界不是紧的情况下，如何改进这些界是一系列困难的开放问题。对于S盒，如何进一步提高其高阶非线性的上界也是一个值得研究的方向。未来的研究可以朝着寻找具有更好代数免疫性和高阶非线性的函数和S盒的方向发展，以满足密码学等领域对安全性的更高要求。