[論文レビュー] Frobenius Additive Fast Fourier Transform

Wen-Ding Li, Ming-Syan Chen⋆+3 more|arXiv (Cornell University)|Feb 12, 2018

Coding theory and cryptography参考文献 14被引用数 3

ひとこと要約

本稿では、有限体におけるフロベニウス写像を活用することで、小次元の二項多項式乗算において効率的なFrobenius加法的高速フーリエ変換（FAFFT）という、FFTに基づく新規手法を提案する。256未満の次数において29,005ビット演算という記録的低値を達成し、カラツバ法や先行するFFT手法を上回り、小次元においてFFTベースの乗算がビット演算数においてカラツバ法を上回る初めての事例である。

ABSTRACT

In ISSAC 2017, van der Hoeven and Larrieu showed that evaluating a polynomial P in GF(q)[x] of degree

研究の動機と目的

• FFTが小次元多項式乗算において非効率であるという従来の常識（高めの隠れ定数）を克服すること。
• カントールおよびガオ＝マティアの枠組みに基づき、乗法的単位根から加法的FFT構造へとフロベニウスFFT技術を一般化すること。
• 暗号理論および符号理論で関連性のある小次元において、二項多項式乗算におけるビット演算数を削減すること。
• 256次までの次数において、FFTベースの乗算がビット演算数の観点でカラツバ類似アルゴリズムを上回ることを示すこと。
• FAFFTに基づく実用的なコード生成ツールを提供し、組み込みおよび暗号システムへの導入を可能にする（公開可）こと。

提案手法

• 本手法は、フロベニウスFFTフレームワークを加法的FFT構造へと拡張し、有限体拡大における対称性をフロベニウス写像を用いて活用する。
• アーチン＝シュライヤー拡大体における多項式除法を用いるカントールおよびガオ＝マティアの加法的FFTアルゴリズムを適用する。
• 基本体𝔽₂を固定する体自己同型を活用することで、演算数を削減する。
• 拡大体の加法的構造に適合した基底を用いることで、𝔽₂^d上で二項多項式に特化した処理を実現する。
• FAFFTを用いた多項式乗算の最適化された手続きを自動生成するコード生成ツールを実装する。
• 現代のCPU向けに大規模次数乗算を対応させるために、評価点を𝔽₂^128の部分集合に制限することで、PCLMULQDQ命令を活用するように変更する。

実験結果

リサーチクエスチョン

• RQ1 有限体における乗法的FFT構造から加法的FFT構造へと、フロベニウスFFT技術を一般化できるか？
• RQ2 小次元における二項多項式乗算において、FAFFTはカラツバ類似アルゴリズムを下回るビット演算数を達成できるか？
• RQ3 フロベニウス加法的FFTは、Kronecker法や標準的加法的FFTといった既存のFFTベース手法を、ビット演算数の観点で上回れるか？
• RQ4 PCLMULQDQのような専用命令を備えた現代CPUにおいて、FAFFTを効率的に適合できるか？
• RQ5 小次元二項多項式におけるビット演算数の観点で、FFTベース乗算の性能上限は何か？

主な発見

• 次数<256の場合、FAFFT手法はわずか29,005ビット演算で実現され、記録的低値に達し、前回の最良結果（33,397）を上回った。
• 次数128では11,556ビット演算を達成し、前回の最良結果（11,466）と比較してわずか0.78%遅延するにとどまり、ほぼ最適性に近い。
• 理論的予想通り、フロベニウスFFTの性質を踏まえ、KroneckerベースのFFT実装よりも約2倍のビット演算数の削減を達成した。
• Intel Skylakeアーキテクチャ上では、FAFFTのPCLMULQDQを活用したバージョンが、2^23までの次数において、FDFT、ADFT、gf2xなどのすべての先行実装を上回った。
• Koblitz曲線（例：sect233k1、sect239r1、BBE251）において、FAFFTは前回の手法よりもビット演算数を削減し、二項楕円曲線暗号における演算速度を向上させた。
• 本研究は、このような低次元においてFFTベース乗算がビット演算数の観点でカラツバ類似アルゴリズムを上回ることを初めて示した。これにより、従来の仮定に疑問を呈した。