任意分圆环下的 RLWE：如何产生正确的噪声分布

参考文献：

1. [Con09] Conrad K. The different ideal[J]. Expository papers/Lecture notes. Available at: http://www.math.uconn.edu/∼kconrad/blurbs/gradnumthy/different.pdf, 2009.
2. [LPR10] Lyubashevsky V, Peikert C, Regev O. On ideal lattices and learning with errors over rings[J]. Journal of the ACM (JACM), 2013, 60(6): 1-35.
3. [GHS11] Craig Gentry, Shai Halevi, and Nigel P. Smart, Fully homomorphic encryption with polylog overhead, Cryptology ePrint Archive, Report 2011/566, 2011, To appear in Eurocrypt 2012.
4. [DD12] Ducas L, Durmus A. Ring-LWE in polynomial rings[C]//Public Key Cryptography–PKC 2012: 15th International Conference on Practice and Theory in Public Key Cryptography, Darmstadt, Germany, May 21-23, 2012. Proceedings 15. Springer Berlin Heidelberg, 2012: 34-51.
5. [LPR13] Lyubashevsky V, Peikert C, Regev O. A toolkit for ring-LWE cryptography[C]//Advances in Cryptology–EUROCRYPT 2013: 32nd Annual International Conference on the Theory and Applications of Cryptographic Techniques, Athens, Greece, May 26-30, 2013. Proceedings 32. Springer Berlin Heidelberg, 2013: 35-54.
6. [AP13] Alperin-Sheriff J, Peikert C. Practical bootstrapping in quasilinear time[C]//Annual Cryptology Conference. Berlin, Heidelberg: Springer Berlin Heidelberg, 2013: 1-20.
7. [Pei14] Peikert C. Lattice cryptography for the internet[C]//International workshop on post-quantum cryptography. Cham: Springer International Publishing, 2014: 197-219.
8. [CP16] Crockett E, Peikert C. Λολ: Functional Lattice Cryptography[C]//Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. 2016: 993-1005.
9. [Pei16] Peikert C. How (not) to instantiate ring-LWE[C]//International Conference on Security and Cryptography for Networks. Cham: Springer International Publishing, 2016: 411-430.
10. [ACC+18] Albrecht M, Chase M, Chen H, et al. Homomorphic encryption standard[J]. Protecting privacy through homomorphic encryption, 2021: 31-62.
11. 分式理想 & 对偶群 & 对偶空间

RLWE

[LPR10] 给出了 Ring-LWE 的定义，其中的秘密 $s\in R^{\vee }$ 是取自环 $R={\mathcal{O}}_K$ 的对偶理想。两个主定理为：

1. 对于任意的数域，存在从最坏情况下格上困难问题到 S-RLWE 的量子归约，其高斯噪声是近似球形的（我们总是在典范嵌入下说它的形状，整数环 $R$ 分式理想 $I$ 的典范嵌入是空间 $H\cong {\mathbb{R}}^n$ 中的格）
2. 对于任何的分圆域，存在从 S-RLWE 到平均情况下 D-RLWE 的经典归约

为了实现方便，我们希望移除对偶结构，变换到 $s\in R$，但是还需要采样出正确格式的噪声，才能让上述归约存在。[DD12] 在扩环上采样球形噪声，然后取模，最后圆整得到整数环 $R$ 下的噪声。[CP16] 在典范嵌入下采样球形噪声，然后乘以某个常数，扭曲出整数环 $R$ 下的噪声。

Number Fields

Canonical Embedding

任意的数域 $K=\mathbb{Q}(\zeta )\cong \mathbb{Z}[x]/(f)$，如果 $\mathrm{deg}f=n$，那么都恰好存在 $n$ 个嵌入 ${\sigma }_i:\zeta \mapsto {\alpha }_i$，其中 ${\alpha }_i$ 是极小多项式 $f$ 在复数域上的所有根。假如有 $s_1$ 个实根，$2s_2$ 个复根（成对共轭），易知 $n=s_1+2s_2$，那么定义它的典范嵌入（canonical embedding）：
$$\begin{array}{rl}\sigma :K& \mapsto {\mathbb{R}}^{s_1}\times {\mathbb{C}}^{2s_2}\\ x& \mapsto ({\sigma }_1(x),\cdots ,{\sigma }_n(x))\end{array}$$
易知 $\sigma$ 是环同态，加法和乘法就是 point-wise 的加/乘。

元素 $x\in K$ 的典范范数，定义为：
$$\Vert x{\Vert }_p^{can}:=\Vert \sigma (x){\Vert }_p={\left(\sum _{i=1}^n|{\sigma }_i(x){|}^p\right)}^{1/p}$$
我们定义 ${\mathbb{C}}^n$ 的子空间：
$$H:=\{(x_1,\cdots ,x_n)\in {\mathbb{R}}^{s_1}\times {\mathbb{C}}^{2s_2}\mid x_{s_1+s_2+j}=\overline{x_{s_1+j}},\forall j\in [s_2]\}$$
作为内积空间（inner product space）有同构 $H\cong {\mathbb{R}}^n$，单位正交基（列矢 $h_i$）表示为矩阵：
T = 1 2 ⋅ ( I s 1 O s 1 O s 1 O s 2 I s 2 i ⋅ I s 2 O s 2 I s 2 − i ⋅ I s 2 ) ,    H = { h ⋅ a ∣ ∀ a ∈ R n } T = \dfrac{1}{\sqrt2} \cdot \left(\begin{array}{c|c|c} I_{s_1} & O_{s_1} & O_{s_1}\\\hline O_{s_2} & I_{s_2} & i \cdot I_{s_2}\\\hline O_{s_2} & I_{s_2} & -i \cdot I_{s_2}\\ \end{array}\right),\,\, H = \{h \cdot a \mid \forall a \in \mathbb R^n\} T=2 ​1​⋅ ​Is1​​Os2​​Os2​​​Os1​​Is2​​Is2​​​Os1​​i⋅Is2​​−i⋅Is2​​​​ ​,H={h⋅a∣∀a∈Rn}
像空间 $\sigma (K)\subseteq H$ 是子集，坐标表示 $\sigma (x)={\sum }_i{a}_i{h}_i\in H$，那么有：
$$\Vert x{\Vert }_p^{can}={\left(\sum _{i=1}^{s_1}|a_i{|}^p+2\sum _{i=s_1+1}^{s_1+s_2}{\left(\frac{a_i^2+a_{i+s_2}^2}{2}\right)}^{p/2}\right)}^{1/p}$$
对于分圆数域 $K=\mathbb{Q}(\zeta )$，其中 $\zeta ={\zeta }_m$（抽象的本原单位根），$f={\Phi }_m(x)={\sum }_{i\in {\mathbb{Z}}_m^{\ast }}(x-w_m^i)$，其中的 $w_m=\exp (2\pi i/m)\in \mathbb{C}$ 是复数本原单位根。它的 Galois 群包含全部的自同构，形如 ${\tau }_k:\zeta \mapsto {\zeta }^k,\forall k\in {\mathbb{Z}}_m^{\ast }$，于是
$${\sigma }_i({\tau }_k(\zeta ))={\sigma }_i({\zeta }^k)=w_m^{ik}={\sigma }_{ik}(\zeta )$$
也就是说，自同构 ${\tau }_k$ 导致了典范嵌入 $\sigma$ 的各个分量做某个固定置换。

Trace & Norm

迹 $T{r}_{K/\mathbb{Q}}:K\to \mathbb{Q}$ 和范数 $N_{K/\mathbb{Q}}:K\to \mathbb{Q}$ 定义为嵌入的加和、乘积，
$$Tr(x)=\sum _{i\in [n]}{\sigma }_i(x),N(x)=\prod _{i\in [n]}{\sigma }_i(x)$$
可以证明，乘积的迹等于典范嵌入的（复空间）典范内积，
$$Tr(x\cdot y)=\sum _{i\in [n]}{\sigma }_i(x)\cdot {\sigma }_i(y)=⟨\sigma (x),\overline{\sigma (y)}⟩$$
因此 $Tr(x\cdot y)$ 是一个双线性函数。

Ring of Integers & Ideal Lattices

数域 $K\cong {\mathbb{Q}}^n$，整数环 $R={\mathcal{O}}_K$，易知 $R$ 是一个秩为 $n$ 的自由 $\mathbb{Z}$-模，存在整基（integral basis）
$$B=\{b_1,\cdots ,b_n\}\subseteq R,R=\{\sum _{i\in [n]}{b}_i\cdot x_i\mid x_i\in \mathbb{Z}\}$$
整理想 $I\subseteq R$ 也是秩为 $n$ 的自由 $\mathbb{Z}$-模，也存在一组整基 $U_I=\{u_1,\cdots ,u_n\}\in R$，理想的范数定义为它作为子加群的指标 $N(I):=|R/I|$，理想的乘积满足 $N(IJ)=N(I)N(J)$，主理想的范数 $N(⟨x⟩)=|N(x)|$，并且 $|N(x)|\ge N(I),\forall x\in I$

分式理想 $I\subseteq K$，存在某个 $d\in R$ 使得 $dI\subseteq R$ 成为整理想，即 $I=\frac{1}{d}R$，范数为 $N(I)=N(dI)/|N(d)|$。全部的分式理想，在理想的乘积下构成了群，并且 norm 是一个群同态。整理想是 $d=1$ 的特殊分式理想。

分式理想 $I$ 的典范嵌入 $\sigma (I)\subseteq H$，具有一组整基 $\sigma (U)=\{\sigma (u_1),\cdots ,\sigma (u_n)\}\subseteq H$，因此我们将 fractional ideal 视为 $H\cong {\mathbb{R}}^n$ 中的 lattice（离散线性空间）

由于 $B$ 既是整数环 $R$ 的 $\mathbb{Z}$-基，同时也是数域 $K$ 的 $\mathbb{Q}$-基，因此 $x\in R,K$ 都可以表示为坐标形式 ${\sum }_i{b}_i\cdot x_i,\forall x_i\in \mathbb{Z},\mathbb{Q}$，那么有
$$x\cdot y=\sum _{i,j\in [n]}(x_i\cdot b_i)(y_j\cdot b_j)$$
于是只要预计算 $b_i{b}_j,\forall i,j\in [n]$，则环元素乘法就可以被线性化。同样的，整理想 $I\subseteq R$ 中的元素可以用基底 $U_I$ 描述，而分式理想 $J=\frac{1}{d}I\subseteq K$ 中的元素可以用基底 $U_I$ 以及额外的 $d\in R$ 来描述。分式理想的范数、逆、对偶、积、采样，都可以有效计算。

Duality

数域 $K\cong {\mathbb{Q}}^n$，任取一组 $\mathbb{Q}$-基 $B$，它的 $\mathbb{Z}$-span 构成了一个格 $L$，对偶格定义为：
$$L^{\vee }:=\{x\in K\mid Tr(xL)\subseteq \mathbb{Z}\}$$
也就是说，那些将格 $L$ 映射到 $\mathbb{Z}$ 子集的全部线性态射 $x$ 组成了对偶格。根据 $Tr$ 和 ${\sigma }_i$ 的关系，也可以写成：
$$L^{\vee }:=\{x\in K\mid ⟨\sigma (x),\overline{\sigma (L)}⟩=0(\mathrm{mod}1)\}$$
对于平凡的数域 $K=\mathbb{Q}$，整数环 $R=\mathbb{Z}$，因此 $R^{\vee }=R=\mathbb{Z}$ 是自对偶的（self-dual），并且理想 $I=d\mathbb{Z}$ 和它的形式逆 $I^{-1}=\frac{1}{d}\mathbb{Z}$ 是相互对偶。

对于非凡的数域 $K$ 和分式理想 $I\subseteq K$，并没有上述的两条性质，但是依然有：
$$I^{\vee }=I^{-1}\cdot R^{\vee }$$
即两者只相差一个因子 $R^{\vee }$，它被称为 codifferent。它的逆 $(R^{\vee }{)}^{-1}$ 被称为 different ideal。对于二的幂分圆域 $n=\varphi (m)=m/2$，有 $R^{\vee }=n^{-1}R$，它仅仅为 $R$ 的缩放，因此可以直接选取 $s\in R$，噪声 $e$ 简单地是 $R$ 上的球形高斯。根据 [Con09]，分圆环 $\mathbb{Z}[{\zeta }_m]$ 的对偶，可以写成如下的主分式理想：
$$\mathbb{Z}[{\zeta }_m{]}^{\vee }=\frac{1}{{\Phi }_m^{\prime }({\zeta }_m)}\mathbb{Z}[{\zeta }_m]$$
其中的 ${\Phi }_m^{\prime }(x)$ 是形式导数。也可以选取其他的生成元，也许会更加高效。

利用 CRT，[LPR10] 给出了以下的引理：

存在并且可以快速找出 $t\in I\subseteq R$，使得函数 ${\theta }_t:u\in K\mapsto t\cdot u\in K$ 诱导了同构映射 ${\theta }_t:w(\mathrm{mod}JM)\mapsto t\cdot w(\mathrm{mod}IJM)$，它将被用于 non-dual form 的噪声生成过程。

Error Distributions

代数（algebra over a field）：域 $K$ 上的代数 $A$ 是一个向量空间 $K^n$，运算包括向量加法 $+:A\times A\to A$、标量乘法 $\cdot :K\times A\to A$，以及一个双线性乘法 $⟨\cdot ,\cdot ⟩:A\times A\to A$，我们把 $A$ 叫做 $K$-代数，而 $K$ 被称为 $A$ 的基域（base field）

域的张量积（field tensor product）：记作 $K_1{\otimes }_L{K}_2$，两个域 $K_1,K_2$ 有公共子域 $L$，它们作为 $L$-代数（两个向量空间）做张量积。对于没有显式指定的子域，默认 $L$ 是素域，这要求 $K_1,K_2$ 有相同的特征。

数域 $K\cong {\mathbb{Q}}^n$，我们定义域张量积
$$K_{\mathbb{R}}:=K{\otimes }_{\mathbb{Q}}\mathbb{R}$$
作为 $\mathbb{Q}$-代数有同构 $K_{\mathbb{R}}\cong {\mathbb{R}}^n\cong H$，它的同构映射就是嵌入 $\sigma$，其中的双线性乘法就是 point-wise 乘法。我们在数域 $K_{\mathbb{R}}$ 上定义高维椭圆高斯分布 $D_r,r\in ({\mathbb{R}}^{+}{)}^n$，对于元素 $x\in K_{\mathbb{R}}$，扭曲的分布为 $x\cdot D_r=D_{r^{\prime }}$，其中 $r_i^{\prime }=r_i\cdot |{\sigma }_i(x)|$，这是根据 $H$ 中双线性乘法得出的。

我们定义 “一族有界的椭圆高斯分布” 的随机分布 ${{\rm Y}}_{\alpha }$，

在 RLWE 的定义中，需要模掉对偶格 $R^{\vee }$，因此需要让 $\alpha$ 不超过它的平滑参数，使得 RLWE 分布并非统计接近均匀分布，从而不是平凡的问题。

Hardness of RLWE

一些符号：任意数域 $K$，它的整数环 $R$，模数 $q$，分式理想（$K$ 的 $R$-子模，子加群）$J\subseteq K$ 的商群 $J_q:=J/qJ$， 对偶分式理想 $R^{\vee }$（视为对偶格），环面 $\mathbb{T}:=K_{\mathbb{R}}/R^{\vee }$

[LPR10] 给出的 Ring-LWE 分布是 “dual form”，秘密 $s\in R_q^{\vee }$ 取自对偶格：

由于 $s\in R_q^{\vee }$ 属于分式理想，因此吸收 $a\cdot s\in R^{\vee }/q{R}^{\vee }$，得到 $a\cdot s/q\in \frac{1}{q}{R}^{\vee }/R^{\vee }$，然而噪声 $e\in K_{\mathbb{R}}$，需要将它模掉 $R^{\vee }$ 进入 $\mathbb{T}$

S-RLWE 和 D-RLWE 的定义为：

对于 $m=2^k$ 的分圆域，$R^{\vee }=n^{-1}R$ 仅仅是缩放，于是上述的 RLWE 分布可以做变换 $s^{\prime }=n\cdot s\in R_q$ 和 $e^{\prime }=n\cdot e$，转换为样本 $(a,b^{\prime }=a\cdot s^{\prime }/q+e^{\prime })\in R_q\times K_{\mathbb{R}}/R$，这就是我们常用的形式了。

Right Defifinition of Ring-LWE：[LPR10] 解释了为何秘密需要从对偶分式理想中选取，

1. 在 BDD 到 S-LWE 的归约中，对偶理想 $R^{\vee }$ 是自然出现的，从而可以给出最紧的归约
2. 理想 $I$ 中能够正确解码的最大错误反比于 ${\lambda }_n(I^{\vee })$，并且分圆域下的 ${\lambda }_n(R)=\sqrt{n}$ 是最小的，导致选取 $I=R^{\vee }$ 能够容忍最高的错误规模
3. 格 $L^{\perp }(a):=\{z\in R^m:{\sum }_i{a}_i{z}_i=0\in R_q\}$ 的对偶 $(L^{\perp }(a){)}^{\vee }=(R^{\vee }{)}^m+\{as/q\mid s\in R_q^{\vee }\}$，RLWE 可被视为它上边的 BDD 问题
4. 此外使用 [LPR13] 的 powerful basis 和 decoding basis 能够获得最好的性能

[LPR10] 证明了 RLWE 可以归约到 Ideal Lattice 上的 SVP、SIVP、BDD 问题。

1. 对于任意数域，存在从 worst-case approx-SIVP 到 worst-case S-RLWE 的量子归约

2. 约束在分圆域上，存在从 worst-case S-RLWE 到 average-case D-RLWE 的经典归约

主定理：存在从 worst-case approx-SIVP 到 average-case D-RLWE 的量子归约。对于有界数量样本（数量 $l$ 较小），随机的椭圆高斯可以替换为固定的球形高斯，分布 $D_{\xi }$ 接近于从 ${{\rm Y}}_{\alpha }$ 采样出的 $\psi$ 分布。

Equivalence of dual and non-dual forms

[Pei16] 研究了一些不安全的 RLWE 实例，发现它们的根本原因都是噪声分布的不充分传播。[Pei16] 给出的建议是，困难实例的 $D_r$ 的参数选取为 $r\ge 2$，这使得若干攻击失效。此外，文章还介绍了对偶版本和非对偶版本的等价性。

dual form of RLWE：秘密 $s\in R_q^{\vee }$ 是均匀采样的，噪声分布 $\psi$ 是（近似）球形的，样本形如
$$(a_i,b_i:=s\cdot a_i+e_i(\mathrm{mod}q{R}^{\vee }))\in R_q\times K_{\mathbb{R}}/q{R}^{\vee }$$
non-dual form of RLWE：秘密 $s\in R_q$ 是均匀采样的，噪声分布 $\psi$ 需要被正确地设置（可能是长扁的椭球），样本形如
$$(a_i,b_i:=s\cdot a_i+e_i(\mathrm{mod}qR))\in R_q\times K_{\mathbb{R}}/qR$$
两者通过一个恰当的扭曲因子（tweak factor）等价，这在 [AP13] 和 [Pei14] 中最早出现。根据 [LPR10]，对于任意的分式理想 $I,J$，都存在常数 $t\in K$，使得两个函数
$$\begin{array}{clcl}{\theta }_t:& u\in I_q& \mapsto & t\cdot u\in J_q\\ {\kappa }_t:& u\in K_{\mathbb{R}}/qI& \mapsto & t\cdot u\in K_{\mathbb{R}}/qJ\end{array}$$
都是高效可逆的双射。设置 $I=R^{\vee }$ 和 $J=R$，假如分式理想 $R^{\vee }$ 是主的 $I=Rx,\exists x\in K$，可以简单选取 $t=x^{-1}\in K$，就有 $t{R}^{\vee }=R$。即使不是主的，$t$ 也总存在，但是找出它更加繁琐些，用到 CRT 和素理想分解。

对于分圆环，[LPR13] 给出了 $t$ 的构造：对于 $m$ 次分圆环 $R$，定义元素
$$g_m:=\prod _{\text{odd prime }p|m}(1-{\zeta }_p)\in R$$
再定义整数
$$\hat{m}:=\{\begin{array}{rlr}m/2,& & m\text{ is even}\\ m,& & m\text{ is odd}\end{array}$$
那么总是有 $t_m:=\hat{m}/g_m\in R$，并且 $R^{\vee }=⟨t_m^{-1}⟩$ 是主的，因此 $t_m\cdot R^{\vee }=R$，这便得到了扭曲因子。

[Pei14] 使用了分布 $\psi :=t_m\cdot D_r$ 在 $R$ 上的离散化 $\chi :=\lfloor \chi \rceil$ 作为噪声分布。我们考虑 $D_r$ 下的 dual form 样本 $(a,b:=s\cdot a+e)\in R_q\times K_{\mathbb{R}}/q{R}^{\vee }$，将第二分量乘以 $t_m$，得到
$$b^{\prime }={\kappa }_t(b)=t_m\cdot (s\cdot a+e)=s^{\prime }\cdot a+e^{\prime }\in K_{\mathbb{R}}/qR$$
其中 $s^{\prime }=t_m\cdot s={\theta }_t(s)\in R_q$ 是 non-dual 的秘密，噪声 $e^{\prime }=t_m\cdot e\in K_{\mathbb{R}}$ 的分布为 $t_m\cdot D_r=\psi$

于是两者是等价的：${\text{dual D-RLWE}}_{q,D_r}⟺{\text{non-dual D-RLWE}}_{q,\psi }$，dual 使用的是球形高斯噪声，而 non-dual 使用的是椭球形高斯噪声（在典范嵌入下）。

[Pei16] 认为 RLWE 可以视为特殊的 LWE：考虑 non-dual form RLWE 样本 $(a,b=sa+e)\in R_q\times K_{\mathbb{R}}/qR$，由于 $R$ 的一组 $\mathbb{Z}$-基 $B$ 也是 $K_{\mathbb{R}}$ 的一组 $\mathbb{R}$-基，从而可将私钥写成 $s\in {\mathbb{Z}}_q^n$ 使得 $s=\sum s_i{b}_i$，可将 $a$ 扩写矩阵 $A\in {\mathbb{Z}}_q^{n\times n}$ 使得 $s\cdot a=s^{t}A$，第 $i$ 行是 $A_i={\sum }_j{a}_j{b}_i{b}_j$，噪声写成 $e\in {\mathbb{R}}^n$ 使得 $e=\sum e_i{b}_i$，那么 $(A_i,s^t{A}_i+e_i)\in {\mathbb{Z}}_q^n\times \mathbb{R}/q\mathbb{Z}$ 就是 $n$ 个标准 LWE 样本。虽然它们之间不独立，单个 RLWE 样本总是可以转换出一个 LWE 样本，因此有归约 $\text{RLWE}\le \text{LWE}$

正确的噪声

对于二的幂的分圆域，$\hat{m}=n,g_m=1,t_m=n\in \mathbb{Q}$，因此 $\psi =n\cdot D_r$ 依旧是球形的，我们可以直接对 $K_{\mathbb{R}}$ 的各个分量（在 power basis 下的）分别独立采样。

但是对于一般的分圆域，元素 $t_m\in R$ 并不属于 $\mathbb{Q}$，这就导致了 $\psi =t_m\cdot D_r$ 是倾斜的，直接对各个分量 i.i.d 采样，这显然是不对的。

由于 [LPR10] 的归约是针对于 “分圆环对偶理想” 和 “噪声分布的典范嵌入是近似球形高斯” 来说的，因此想要移除对偶结构，需要乘以元素 $t_m\in R$，确切地：

1. 先在 $K_{\mathbb{R}}$ 上按照 $D_r$ 采样出 $e$，然后计算乘积 $e^{\prime }=t_m\cdot e\in K_{\mathbb{R}}$，这同构于环 $\mathbb{R}[x]/({\Phi }_m(x))$ 上的多项式乘积
2. 或者先计算 $\sigma (e)$ 和 $\sigma (t_m)$，在空间 $H$ 中计算 ponit-wise 乘积 $\sigma (t_m\cdot e)$，最后回到 $e^{\prime }\in K_{\mathbb{R}}$

DD12

[DD12] 给出了一种更简单的转换方案：

对于分圆域 $K=\mathbb{Q}({\zeta }_m)\cong \mathbb{Q}[x]/({\Phi }_m)$，令 $n=\varphi (m)$，矩阵
$$T=\frac{1}{\sqrt{2}}\cdot \left(\begin{array}{cc}{I}_{n/2}& i\cdot I_{n/2}\\ I_{n/2}& -i\cdot I_{n/2}\end{array}\right)$$
那么 $\sqrt{2}\cdot T$ 是 embedding space $H:=\sigma (K)\subseteq {\mathbb{C}}^n$ 的一组 $\mathbb{Q}$-基，即 $H\cong {\mathbb{Q}}^n$ 的同构映射为 $v\mapsto \sqrt{2}\cdot T\cdot v$。为了生成球形高斯分布，可以 i.i.d 采样各个坐标 $v_i\in \mathbb{Q}$，然后计算出 $H$ 中元素，最后回到 $K$ 中。

第一个定理

根据 [Con09]，$\mathbb{Z}[{\zeta }_m{]}^{\vee }=\frac{1}{{\Phi }_m^{\prime }({\zeta }_m)}\mathbb{Z}[{\zeta }_m]$，采用 [LPR13] 定义的 $\hat{m}$，[DD12] 证明了 $\frac{\hat{m}}{{\Phi }_m^{\prime }({\zeta }_m)}\in \mathbb{Z}[\zeta ]$，总是有 $R\cong \mathbb{Z}[{\zeta }_m]\supseteq m{R}^{\vee }$，也就是 $\hat{m}{R}^{\vee }$ 是 $R$ 的一个加法子群。

因此，我们可以将 $R^{\vee }$ 映射到 $R$ 中，

1. 对于任意的 $x\in R^{\vee }$，都有 $\hat{m}\cdot x\in R$
2. 如果 $y(\mathrm{mod}{R}^{\vee })$ 统计/计算均匀，那么 $\hat{m}\cdot y(\mathrm{mod}R)$ 也统计/计算均匀，损失因子仅为 $\sqrt{m/\varphi (m)}$

第二个定理

现在我们考虑如何高效采样噪声。一种自然方法是在 $H$ 上采样，然后计算逆范德蒙矩阵 ${\sigma }^{-1}$。对于二的幂情况，$\sigma$ 是正交阵（FFT），求逆速度很快；但是对于一般的 $m$，这个操作十分低效。

我们定义：
$${\Theta }_m(x)=\{\begin{array}{rlr}{x}^{m/2}+1,& & m\text{ is even}\\ x^m-1,& & m\text{ is odd}\end{array}$$
易知 ${\Phi }_m(x)\mid {\Theta }_m(x)$，[DD12] 在扩环 $\mathbb{Q}[x]/({\Theta }_m)$ 上快速采样，并且证明了它确实是一个球形高斯，满足 [LPR10] 的归约条件。

因为对于许多大类 $m$，取模运算 $(\mathrm{mod}{\Phi }_m(x))$ 存在 power basis 下的稀疏矩阵表示，计算速度较快。比如对于$m=2^k{p}^i,k\ge 0,i\ge 1$，就有：

并且 $\Vert B{\Vert }_1=2$（按行矢），因此有 $\Vert \beta (f){\Vert }_{\infty }\le 2\Vert f{\Vert }_{\infty }$，取模后的范数增长也不算大。

[GHS11] 也采用了类似的 ${\Theta }_m(x)$ 以及 $G_m(x)$，但是被用于加速解密的计算，延迟模约简。[DD12] 在加密阶段使用，lift-then-map，生成正确噪声分布。

采样算法

[DD12] 给出了 LPR10 主定理的变体：

实际采样时，我们简单使用 $s=\sqrt{m^{\prime }}\alpha q\ge w(\sqrt{m^{\prime }\log m})$，忽略后面的复杂因子。根据 Arora-Ge 算法，如果标准差为 $o(\sqrt{\varphi (m)})$，那么可以在压指数时间求解 SVP 问题，从而上述 $s$ 的选取是紧的。

CP16

[CP16] 设计了一个算法工具包 “$\Lambda \circ \lambda$”（奇奇怪怪的名字），它是格密码的通用框架（PQC、FHE），支持任意分圆环上的快速噪声采样。

它的采样算法就是 [Pei14] 的扭曲思路，先采样球形高斯噪声 $e^{\prime }$，然后乘以 $t_m$ 并圆整，获得 $e=\lfloor e^{\prime }\cdot t_m\rceil \in R$。不过，存在更加高效的算法来计算它：利用 [LPR13] 的 decoding basis 和相关算法，可高效地采样 $R^{\vee }$ 球形高斯分布；我们将它们扭曲到 $R$ 上，依然保持性能。