[論文レビュー] A Note on Discrete Gaussian Combinations of Lattice Vectors

Divesh Aggarwal, Oded Regev|arXiv (Cornell University)|Aug 11, 2013

Cryptography and Data Security参考文献 9被引用数 7

ひとこと要約

この論文は、独立な離散ガウス分布で重み付けされた格子ベクトルの和が、格子上の離散ガウス分布と統計的に近い条件を確立する。生成行列の構造を分析し、Kuperberg, Lovett, and Peledの技法を新規に応用して逐次最小値に上限を適用することで、著者たちはベクトル数 $ m $ にたいする依存関係を著しく改善し、Agrawalら（AGHS13）の未解決問題を解決した。

ABSTRACT

We analyze the distribution of $\sum_{i=1}^m v_i \bx_i$ where $\bx_1,...,\bx_m$ are fixed vectors from some lattice $\cL \subset \R^n$ (say $\Z^n$) and $v_1,...,v_m$ are chosen independently from a discrete Gaussian distribution over $\Z$. We show that under a natural constraint on $\bx_1,...,\bx_m$, if the $v_i$ are chosen from a wide enough Gaussian, the sum is statistically close to a discrete Gaussian over $\cL$. We also analyze the case of $\bx_1,...,\bx_m$ that are themselves chosen from a discrete Gaussian distribution (and fixed). Our results simplify and qualitatively improve upon a recent result by Agrawal, Gentry, Halevi, and Sahai \cite{AGHS13}.

研究の動機と目的

• 離散ガウス分布の組み合わせにおける必要な分散パラメータ $ r $ が、ベクトル数 $ m $ にどのように依存するかという、Agrawal ら（AGHS13）の未解決問題を解消すること。
• 行列 $ X $ の生成ベクトル $ \mathbf{x}_1, \dots, \mathbf{x}_m $ に対して、$ \mathcal{E}_{X,r} = X \cdot \mathbf{v} $（ただし $ \mathbf{v} \sim \mathcal{D}_{\mathbb{Z}^m, r} $）が、格子 $ \mathbb{Z}^n $ 上の離散ガウス分布と統計的に近いかどうかを満たす十分条件を確立すること。
• 生成ベクトル $ \mathbf{x}_1, \dots, \mathbf{x}_m $ が $ \mathbb{Z}^n $ 上の離散ガウス分布から独立に抽出されるとき、統計的近さのための条件が高確率で満たされることを示すこと。
• 結果を $ \mathbb{Z}^n $ を超える任意の格子 $ \mathcal{L} \subset \mathbb{R}^n $ に一般化すること、すなわち $ \mathbb{Z}^n $ に限らない枠組みへの拡張。

提案手法

• 生成ベクトルの構造を捉える orthogonal lattice $ A \subset \mathbb{Z}^m $ の最後の逐次最小値 $ \lambda_{m-n}(A) $ を評価することで、問題を簡略化する。
• Kuperberg, Lovett, and Peled（KLP12）の技法を適用し、$ X $ が小さな要素を持ち、$ X \mathbf{u}_i = \mathbf{e}_i $ を満たす短いベクトル $ \mathbf{u}_1, \dots, \mathbf{u}_n \in \mathbb{Z}^m $ が存在するならば、$ \lambda_{m-n}(A) $ が小さいことを示す。
• 鳩の巣原理を用いて、$ (\mathcal{D}_{\mathbb{Z}^n, S})^m $ から抽出された確率的行列 $ X $ が、必要な短い双対ベクトル条件を高確率で満たすことを証明する。
• 適切なパrameter制約のもとで、$ \mathcal{E}_{X,r} $ と $ \mathcal{D}_{\mathbb{Z}^n, rX^T} $ の統計的距離が $ \varepsilon $ 以下であることを確立する。
• 基底 $ B $ を用いて、任意の格子 $ \mathcal{L} $ に一般化し、$ \mathcal{E}_{X,R,\mathbf{c}} $ が $ \mathcal{D}_{\mathcal{L} + X\mathbf{c}, RX^T} $ と統計的に近いことを示す。
• 離散ガウス分布の集中不等式と尾部推定を用いて、構成における失敗確率を制御する。

実験結果

リサーチクエスチョン

• RQ1 分散パラメータ $ r $ が $ \mathbb{Z}^n $ 上の格子に依存するとき、$ v_i \sim \mathcal{D}_{\mathbb{Z}, r} $ である $ \sum_{i=1}^m v_i \mathbf{x}_i $ が、格子上での離散ガウス分布と統計的に近いのはどのような条件下か？
• RQ2 AGHS13の線形依存性を超えて、必要な分散パラメータ $ r $ がベクトル数 $ m $ に依存する関係を改善できるか？
• RQ3 格子ベクトル $ \mathbf{x}_i $ からなる行列 $ X $ が、和の分布が離散ガウス分布に近くなるように保証するための構造的性質は何か？
• RQ4 列が $ \mathbb{Z}^n $ 上の離散ガウス分布から抽出された確率的行列 $ X $ が、和が離散ガウス分布に近くなるために必要な双対ベクトル条件を満たす確率はどの程度か？
• RQ5 結果を $ \mathbb{Z}^n $ から任意の格子 $ \mathcal{L} \subset \mathbb{R}^n $ に拡張するにはどうすればよいか？

主な発見

• $ m = \operatorname{\tilde{\Omega}}(n \sqrt{\log(1/\varepsilon)}) $ かつ $ r = \tilde{\Omega}(n s \sqrt{\log(1/\varepsilon)}) $ である限り、$ \mathcal{E}_{X,r} $ と $ \mathcal{D}_{\mathbb{Z}^n, rX^T} $ の統計的距離は $ \varepsilon $ 以下であり、確率 $ 1 - 2^{-n} $ で成立する。ここで $ s = \Omega(\sqrt{\log(n/\varepsilon)}) $ である。
• $ r $ の $ m $ に対する依存関係が、AGHS13の線形依存性から非線形（部分線形）に改善され、その論文で提起された未解決問題が解決された。
• 高確率で、$ (\mathcal{D}_{\mathbb{Z}^n, s})^m $ から抽出された行列 $ X $ は、$ X \mathbf{u}_i = \mathbf{e}_i $ を満たす短い双対ベクトル $ \mathbf{u}_1, \dots, \mathbf{u}_n \in \mathbb{Z}^m $ の存在を満たす。これは本結果の鍵となる条件である。
• 結果は任意の格子 $ \mathcal{L} $ に一般化され、類似のパrameter制約のもとで、$ \mathcal{E}_{X,R,\mathbf{c}} $ が $ \mathcal{D}_{\mathcal{L} + X\mathbf{c}, RX^T} $ と統計的に近い。
• KLP12の手法に基づく証明技法により、直交格子の逐次最小値の分析が洗練され、より厳密な上限が得られた。
• 解析により、必要な分散 $ r $ が $ \tilde{\Omega}(n s \sqrt{\log(1/\varepsilon)}) $ にスケーリングすることが示され、従来の研究における線形依存性よりも著しく優れている。