Я полагаю, что неправильно понимаю кое-что о границах, полученных для ошибки переключения клавиш в CKKS. я буду обращаться к исходный документ, но аналогичные оценки были получены во всех рассмотренных мною вариантах.
Меня особенно смущает $ B _ {\ mathsf {mult}} (\ ell) $ (на стр. 12, как часть леммы 3), который определяется как $P^{-1}q_\ell B_{\mathsf{ks}}$, куда $B_{\mathsf{ks}} = O(N\sigma)$ Я понимаю (здесь $N$ - степень RLWE примерно, и $\сигма$ стандартное отклонение шума). Мое замешательство в том, что я понимаю, что
- $q_\ell := p^\ell q_0$ для фиксированных целых чисел $р, д$
- $P$ описывается как некоторая функция $\лямбда, q_L$ (это описано в алгоритме KeyGen на стр. 11).
Во всяком случае, количество $ B _ {\ mathsf {mult}} (\ ell) $ представляется достаточно небольшим.
На странице 14 указано, что количество
$$p^{\ell'-\ell}B_{\mathsf{mult}}(\ell)+B_{\mathsf{масштаб}} = O(N)$$
куда $\элл'$ это уровень, на который мы переключаемся во время умножения.
Исходя из этого, кажется, что у нас было бы, что $$p^{\ell'-\ell}B_{\mathsf{mult}}(\ell) = p^{\ell'-\ell}P^{-1}q_\ell N\sigma = O( N) \ подразумевает P = \ Omega \ left (\ sigma \ frac {q_ \ ell} {p ^ {\ ell- \ ell'}} \ right) = \ Omega (\ sigma q _ {\ ell'}) $ $
Это примерно моя проблема --- кажется, что $P$ должен быть достаточно большим (потенциально $\Омега(q_L)$, в зависимости от того, сколько уровней теряется при умножении), и я не вижу реального обсуждения того, как выбрать $P$ "достаточно большой". Итак, мои вопросы:
В криптосистеме CKKS как константа $P$ (используется при генерации оценочного ключа) selected? В частности, насколько он велик конкретно (по сравнению с такими вещами, как $q$ и $р$, которые часто явно описываются)?
