[论文解读] Optimizing relinearization in circuits for homomorphic encryption

Hao Chen|arXiv (Cornell University)|Oct 25, 2017

Cryptography and Data Security参考文献 9被引用 3

一句话总结

本文形式化并分析了全同态加密电路中的重线性化优化问题，证明其为 NP-难问题，同时为每个顶点最多只有一条出边的电路提供了多项式时间的动态规划解法。主要贡献在于构建了一个正式框架，通过战略性地放置重线性化操作，以平衡乘法与重线性化开销，从而最小化总计算成本。

ABSTRACT

Fully homomorphic encryption (FHE) allows an untrusted party to evaluate arithmetic cir- cuits, i.e., perform additions and multiplications on encrypted data, without having the decryp- tion key. One of the most efficient class of FHE schemes include BGV and FV schemes, which are based on the hardness of the RLWE problem. They share some common features: ciphertext sizes grow after each homomorphic multiplication; multiplication is much more costly than addition, and the cost of homomorphic multiplication scales linearly with the input ciphertext sizes. Furthermore, there is a special relinearization operation that reduce the size of a ciphertext, and the cost of relinearization is on the same order of magnitude as homomorpic multiplication. This motivates us to define a discrete optimization problem, which is to decide where (and how much) in a given circuit to relinearize, in order to minimize the total computational cost. In this paper, we formally define the relinearize problem. We prove that the problem is NP-hard. In addition, in the special case where each vertex has at most one outgoing edge, we give a polynomial-time algorithm.

研究动机与目标

• 将全同态加密（FHE）算术电路中何时以及以何种程度进行重线性化的优化问题形式化，以最小化总计算成本。
• 通过从背包问题的归约，证明重线性化优化问题是 NP-难的。
• 为每个顶点最多只有一条出边的特殊情况，设计一个多项式时间的动态规划算法。
• 证明在每次乘法后进行重线性化并不总是最优策略，从而凸显智能优化的必要性。
• 为未来在 FHE 应用中研究近似算法和电路特定优化奠定基础。

提出的方法

• 将重线性化问题形式化为算术电路中的离散优化任务，将乘法和重线性化成本建模为密文长度的线性函数。
• 定义一个成本函数，综合考虑同态乘法成本 $ k_m(l_1 + l_2) $ 和重线性化成本 $ k_r \times $ 长度减少量。
• 使用动态规划计算 $ M(i, \ell) $，即以输出长度 $ \ell $ 计算顶点 $ i $ 所需的最小成本，基于其父顶点的成本。
• 通过从背包问题的归约证明 NP-难性，构造一个电路 $ G $，使得在 $ G $ 上求解重线性化问题等价于求解一个背包实例。
• 对长度 $ \ell $ 的搜索空间施加限制，证明只需考虑 $ 2 \leq \ell \leq N $，其中 $ N $ 为顶点数。
• 设计辅助电路 $ \mathcal{L}'(\lambda_i) $ 的构造，将背包变量和数值编码为电路结构，以支持归约。

实验结果

研究问题

• RQ1 FHE 电路中的重线性化优化问题是否为 NP-难？
• RQ2 能否为每个顶点最多只有一条出边的电路设计出高效算法？
• RQ3 在每次乘法后进行重线性化是否总能最小化总计算成本？
• RQ4 重线性化优化问题能否归约为已知的 NP-难问题（如背包问题）？
• RQ5 一般电路中重线性化优化问题的计算复杂度是多少？

主要发现

• 通过从背包问题的归约，证明了重线性化优化问题是 NP-难的。
• 对于每个顶点最多只有一条出边的电路，提供了时间复杂度为 $ O(N^4) $ 的多项式时间动态规划算法。
• 最优重线性化策略并不总是每次乘法后都进行重线性化，因为这可能导致因重线性化开销过高而产生次优成本。
• 归约构造了一个电路 $ G $，使得在 $ G $ 上求解重线性化问题等价于求解一个背包实例，且成本差异编码了背包的值。
• 该构造确保最终电路的顶点数在背包实例参数（包括 $ v_i, w_i, W $）的多项式范围内。
• 成本参数 $ k_m $ 和 $ k_r $ 在背包参数范围内有界，确认了归约的有效性与效率。