1. 提出背景

1978年，Rivest、Adleman和Dertouzos在文献[1]中就贷款公司数据库的保密问题与计算问题进行了讨论，并首次提出了同态加密的加密方式。后来，随着云计算、大数据、人工智能、机器学习等新兴技术不断兴起，人们越来越发现同态加密对于现阶段信息安全的重要性。2009年，Gentry首次提出自举技术^[2]，实现了第一个全同态加密方案。2010年，Dijk又首次实现了基于整数环上FHE的DGHV方案^[4]。2012年，Kipnis等人给出了基于矩阵和多项式的无噪声FHE方案^[5]。2016年，Jaschke等人通过将有理数近似表示为整数^[6]，实现了明文空间为实数的FHE方案。2017年，Cheon等人实现了可进行浮点数近似计算的层次型FHE方案^[3]（下文称CKKS方案），一年后，Cheon等人又通过自举技术，将CKKS方案扩展为全同态加密方案^[7]，同年，也通过RNS实现了CKKS方案的RNS变体^[8]。

2. 方案原理

同态加密就是在数据仍处于密文的状态下，对密文数据信息进行各种计算，从而使得其结果在变回明文后和对明文进行相应运算时的结果等值。

对于函数$f$，若$f$满足$f(a)+f(b)=f(a+b)$或$f(a)\cdot f(b)=f(a\cdot b)$其一，则称其为半同态，若对于加法与乘法均满足，则称该函数为全同态。我们在这里将加密操作 看作是一个满足同态性质的函数，那么，其密文$Enc(m)$就有
$$\begin{gathered} Enc(m_1)+Enc(m_2)=Enc(m_1+m_2)或 \\ Enc(m_1)\cdot Enc(m_2)=Enc(m_1\cdot m_2) \end{gathered}$$的性质，而且加密函数没有变化，故仍可以用相同的解密函数$Dec$进行解密，并且解密后的明文与对明文直接进行运算的结果相等：
$$\begin{gathered} Dec(Enc(m_1)+Enc(m_2))=m_1+m_2或 \\ Dec(Enc(m_1)\cdot Enc(m_2))=m_1\cdot m_2 \end{gathered}$$
同理，若加法与乘法均满足，则称该方案为全同态加密方案。

Cheon等人给出的CKKS方案，实现了明文为浮点数的近似计算。该方案首先通过编码技术将明文槽上的$N/2$维复向量变换为$N$次整系数多项式；接着假设其具有循环安全性，引入同态乘密钥$evk$，将同态乘法带来的密文维数扩张加以控制；最后在同态乘法结束后进行“重缩放”，有效地控制噪声对明文的影响。

3. 算法描述

设CKKS方案的安全系数为$\lambda$，明文空间$\mathcal{M}={\mathbb{C}}^{N/2}$，映射$\tau$为：$$\tau :{\mathbb{Z}}_q[x]/⟨x^N+1⟩\to {\mathbb{C}}^{N/2}$$即$m(x)\mapsto \mathbf{m}$，具体关系为$z_j=m({\zeta }_M^j)$，其中${\zeta }_M=\exp (-2\pi i/M)$。方案详细描述如下：

1. $CKKS.KeyGen(1^{\lambda })$

• 选择一个2的方幂的整数$M=M(\lambda ,q_L)$, 一个整数$h=h(\lambda ,q_L)$, 一个大整数$P=P(\lambda ,q_L)$，和一个实数$\sigma =\sigma (\lambda ,q_L)$；
• 采样$s\leftarrow HWT(h)$，$a\leftarrow R_{q_L}$，$e\leftarrow DG({\sigma }^2)$，设私钥$sk=(1,s)$，公钥为$pk=(b,a)\in R_{q_L}^2$，其中$b\leftarrow -as+e(mod{q}_L)$；
• 采样$a^{\prime }\leftarrow R_{q_L}$，$e^{\prime }\leftarrow DG({\sigma }^2)$，设同态乘密钥$evk\leftarrow (b^{\prime },a^{\prime })\in R_{P\cdot q_L}^2$，其中$b^{\prime }=-a^{\prime }s+e^{\prime }+P{s}^2(modP\cdot q_L)$。

2. $CKKS.Encode(\mathbf{m},\Delta )$

• 对于明文向量$\mathbf{m}$，首先对其等比放大$\lfloor \Delta \cdot \mathbf{m}\rceil$；
• 接着通过$\tau$映射的逆${\tau }^{-1}$将$\lfloor \Delta \cdot \mathbf{m}\rceil$转化为多项式$$m=\lfloor {\tau }^{-1}(\lfloor \Delta \cdot \mathbf{m}\rceil )\rceil$$

3. $CKKS.Decode(m,\Delta )$

• 对于明文多项式$m$，使用$\tau$映射还原为向量$\mathbf{m}$并等比缩小$$\mathbf{m}=\lfloor {\Delta }^{-1}(\lfloor \tau (m)\rceil )\rceil$$

4. $CKKS.En{c}_{pk}(m)$

• 采样$v\leftarrow ZO(0.5)$，$e_0,e_1\leftarrow DG({\sigma }^2)$，输出密文：$$\mathbf{c}=v\cdot pk+(m+e_0,e_1)(mod{q}_L)$$

5. $CKKS.De{c}_{sk}(\mathbf{c})$

• 对于$\mathbf{c}=(b,a)$，解密算法为$[⟨\mathbf{c},\mathbf{s}\mathbf{k}⟩]q_l$，即$$m=b+as(mod{q}_l)$$

由于CKKS方案在加密时引入了噪声，所以其解密函数生成的明文与原始明文是不同的，但误差的数量级是远远小于明文的，所以该误差是完全可以忽略的。

6. $CKKS.Add({\mathbf{c}}_1,{\mathbf{c}}_2)$

• 对于${\mathbf{c}}_1=(b_1,a_1)$，${\mathbf{c}}_2=(b_2,a_2)$，密文的同态加法为相应位直接相加$${\mathbf{c}}_{\mathbf{A}\mathbf{d}\mathbf{d}}=[(b_1+b_2,a_1+a_2)]q_l$$

由于密文的同态乘法会导致密文规模扩大，这将影响到解密算法的执行，从而使得密钥规模随乘法深度的增加而增大。故Cheon等人在方案设计时引入同态乘密钥（$evk$）实现对乘法密文的缩放，使其规模保持在$R_{q_L}^2$中。

7. $CKKS.Mul{t}_{evk}({\mathbf{c}}_1,{\mathbf{c}}_2)$

• 对于${\mathbf{c}}_1=(b_1,a_1)$，${\mathbf{c}}_2=(b_2,a_2)$，我们记$$(d_0,d_1,d_2)=[(b_1{b}_2,a_1{b}_2+a_2{b}_1,a_1{a}_2){]}_{q_l}$$
• 则${\mathbf{c}}_1$、${\mathbf{c}}_2$的同态乘法表示为$${\mathbf{c}}_{\mathbf{M}\mathbf{u}\mathbf{l}\mathbf{t}}=(d_0,d_1)+\lfloor P^{-1}\cdot d_2\cdot evk\rceil$$

但乘法操作会导致噪声增大，从而出现无法正确解密的情况，这时就需要在每次乘法之后进行一个“重缩放”的操作。

8. $CKKS.R{S}_{l\to l^{\prime }}(\mathbf{c})$

• 对于密文$\mathbf{c}$，我们对其进行“重缩放”$${\mathbf{c}}^{\prime }=\lfloor \frac{q_l^{\prime }}{q_l}\mathbf{c}\rceil$$经“重缩放”后，其密文模数降低为$q_l^{\prime }$。

4.方案改进

在之后的研究中，人们又对该方案进行了不同程度的改进，如下图：
欧密18^[7] 给出了CKKS方案的自举方案，欧密19^[9] 对其进行了改进；而SAC18^[8] 则是提出了CKKS方案的RNS变体，但是其使用的是欧密18中的自举方案，自举精度远达不到实际需求；故在RSA20^[10] 中，又结合欧密19中的自举改进对RNS-CKKS方案的自举进行了改进；21年的欧密会上，又有两个方案被相继提出，一个是在RSA20的基础上对自举精度进行了提升^[11] ，另一个则是提出了一种新的自举方案^[12]，相较之前的方案，精度、效率和安全性上都有了明显的提升。

4.1 自举方案

这里只对欧密18中提到的自举方案进行说明。

由于明文槽上的任意线性变换都可表示为$\mathbf{z}\mapsto A\cdot \mathbf{z}+B\cdot \overline{\mathbf{z}}$，即对于任意线性变换，我们都可以使用两个$N/2$维的矩阵表示。故我们在同态计算编解码操作时需要用到$MatMult(\mathbf{c}\mathbf{t},A)$函数以实现同态计算矩阵乘法，其中$\mathbf{c}\mathbf{t}\in R_q^2$并且$A\in {\mathbb{C}}^{N/2\times N/2}$，这个函数相当于对$\mathbf{c}\mathbf{t}$加密的向量$\mathbf{m}$进行了如下的操作：$$A\cdot \mathbf{m}=\sum _{0⩽j<N/2}({\mathbf{a}}_j\odot \rho (\mathbf{m};j))$$其中，$\odot$为向量按位乘法，$\rho$为循环向左移位。

而对于模运算，Cheon等人首先模运算近似为正弦函数上的运算：$$[t{]}_q=\frac{q}{2\pi }\cdot \sin (\frac{2\pi }{q}\cdot t)$$

接着，再通过欧拉公式，$$\{\begin{array}{l}\exp (i\theta )=\cos \theta +i\sin \theta \\ \exp (-i\theta )=\cos \theta -i\sin \theta \end{array}$$将正弦函数上的运算转换到指数函数上的运算：$$\sin \theta =\frac{1}{2i}\exp (i\theta )-\exp (-i\theta )$$最后利用文献[4]给出的计算指数函数的算法进行运算即可：$$[t{]}_q=\frac{q}{4\pi i}[\exp (\frac{2\pi i}{q}t)-\exp (-\frac{2\pi i}{q}t)]$$

4.2 RNS变体

为了有效地实现多项式运算，Gentry等人基于CRT提出了一种双CRT表示的分圆多项式表示方案[13]。第一层CRT层通过使用RNS将多项式分解成具有较小模的多项式分量。第二层则是通过NTT的方法，将每个小多项式转换为整数向量。在双CRT表示中，任意多项式都可以用由小整数组成的矩阵来识别，并且可以通过执行不同分量的模操作来实现有效的多项式运算。

Cheon等人提出了CKKS方案的RNS变体[9]，实现了在RNS上的近似全同态加密方案，具体算法如下：

1. $RNS.Setup(q,L,\eta )$

• 输入基本整数$q$，深度$L$，比特精度$\eta$；
• 选择一个基 C = { q 0 , q 1 , ⋯   , q L } \mathcal{C} = \{q_0,q_1,\cdots,q_L\} C={q0​,q1​,⋯,qL​}，满足$q/q_l\in (1-2^{-\eta },1+2^{-\eta })$，并且对于乘法深度为$l$的密文模数$Q_l={\prod }_{i=0}^l{q}_i$，其相邻模数模数具有相同的比率$Q_l/Q_{l-1}=q_l\approx q$；
• 选择一个$KSGen(s_1,s_2)$算法需要的模数$P={\prod }_{i=0}^{k-1}{p}_i$；
• 生成基 D = { p 0 , p 1 , ⋯   , p k − 1 , q 0 , q 1 , ⋯   , q l − 1 } \mathcal{D} = \{p_0,p_1,\cdots,p_{k-1},q_0,q_1,\cdots,q_{l-1}\} D={p0​,p1​,⋯,pk−1​,q0​,q1​,⋯,ql−1​}， B = { p 0 , p 1 , ⋯   , p k − 1 } \mathcal{B} = \{p_0,p_1,\cdots,p_{k-1}\} B={p0​,p1​,⋯,pk−1​}， C l = { q 0 , q 1 , ⋯   , q l − 1 } \mathcal{C}_l = \{q_0,q_1,\cdots,q_{l-1}\} Cl​={q0​,q1​,⋯,ql−1​}；
• 选择一个2的幂整数$N$，$\mathbb{R}$上的私钥分布${\chi }_{key}$，加密参数分布${\chi }_{enc}$和误差分布${\chi }_{err}$。

2. $RNS.KSGen(s_1,s_2)$

• 采样$(a_0^{\prime },a_1^{\prime },\cdots ,a_{k+L}^{\prime })\leftarrow U({\prod }_{i=0}^{k-1}{\mathbb{R}}_{p_i}\times {\prod }_{j=0}^L{\mathbb{R}}_{q_j})$，$e^{\prime }\leftarrow {\chi }_{err}$；
• 对于给定的秘密多项式$s_1,s_2\in \mathbb{R}$，计算
  当$0⩽i<k$时，$$b_i^{\prime }=-a_i^{\prime }\cdot s_2+e^{\prime }mod{p}_i$$当$0⩽j⩽L$时，$$b_{k+j}^{\prime }=-a_{k+j}^{\prime }\cdot s_2+[P{]}_{q_j}\cdot s_1+e^{\prime }mod{q}_j$$
• 输出转换密钥$\mathbf{s}\mathbf{w}\mathbf{k}$为：$$\mathbf{s}\mathbf{w}\mathbf{k}=({\mathbf{s}\mathbf{w}\mathbf{k}}_0,{\mathbf{s}\mathbf{w}\mathbf{k}}_1,\cdots ,{\mathbf{s}\mathbf{w}\mathbf{k}}_{k+L})\in \prod _{i=0}^{k-1}{\mathbb{R}}_{p_i}^2\times \prod _{j=0}^L{\mathbb{R}}_{q_j}^2$$其中，${\mathbf{s}\mathbf{w}\mathbf{k}}_i=(b_i^{\prime },a_i^{\prime })$。

3. $RNS.KeyGen()$

• 采样$(a_0^{\prime },a_1^{\prime },\cdots ,a_L^{\prime })\leftarrow U({\prod }_{j=0}^L{R}_{q_j})$，$e\leftarrow {\chi }_{err}$，$s\leftarrow {\chi }_{key}$，并记私钥为$\mathbf{s}\mathbf{k}=(1,s)$；
• 计算$b_i=-a_i\cdot s+emod{q}_j$，$0⩽j⩽L$；
• 生成同态乘密钥$$\mathbf{e}\mathbf{v}\mathbf{k}=KSGen({\mathbf{s}}^2,\mathbf{s})$$

4. $RNS.Encode(\mathbf{m},\Delta )$

• 对于明文向量$\mathbf{m}$，首先对其等比放大$\lfloor \Delta \cdot \mathbf{m}\rceil$；
• 接着通过$\tau$映射的逆${\tau }^{-1}$将$\lfloor \Delta \cdot \mathbf{m}\rceil$转化为多项式$$m=\lfloor {\tau }^{-1}(\lfloor \Delta \cdot \mathbf{m}\rceil )\rceil$$

5. $RNS.Decode(m,\Delta )$

• 对于明文多项式$m$，使用$\tau$映射还原为向量$\mathbf{m}$并等比缩小$$\mathbf{m}=\lfloor {\Delta }^{-1}(\lfloor \tau (m)\rceil )\rceil$$

6. $RNS.En{c}_{\mathbf{p}\mathbf{k}}(m)$

• 采样$v\leftarrow {\chi }_{enc}$，$e_0,e_1\leftarrow {\chi }_{err}$；
• 输出密文$$\mathbf{c}\mathbf{t}=({\mathbf{c}\mathbf{t}}_0,{\mathbf{c}\mathbf{t}}_1,\cdots ,{\mathbf{c}\mathbf{t}}_L)\in \prod _{j=0}^L{\mathbb{R}}_{q_j}^2$$其中，${\mathbf{c}\mathbf{t}}_j=(v\cdot {\mathbf{p}\mathbf{k}}_j+(m+e_0,e_1))mod{q}_j$。

7. $RNS.De{c}_{\mathbf{s}\mathbf{k}}(\mathbf{c}\mathbf{t})$

• 对于密文$\mathbf{c}\mathbf{t}$，输出$[⟨{\mathbf{c}\mathbf{t}}_0,\mathbf{s}\mathbf{k}⟩{]}_{q_0}$，即$$m=b_0+a_0\cdot smod{q}_0$$

之后便是运算部分，由于RNS的特性，在该表征系统上的运算均可分解为各个基上的运算，并且相互独立。故RNS上运算的具体算法展示如下：

8. $RNS.Add(\mathbf{c}\mathbf{t},{\mathbf{c}\mathbf{t}}^{\prime })$

• 给定两个密文$\mathbf{c}\mathbf{t},{\mathbf{c}\mathbf{t}}^{\prime }\in {\prod }_{j=0}^l{\mathbb{R}}_{q_j}^2$，分别表示为$\mathbf{c}\mathbf{t}=({\mathbf{c}\mathbf{t}}_0,\cdots ,{\mathbf{c}\mathbf{t}}_l)$和${\mathbf{c}\mathbf{t}}^{\prime }=({\mathbf{c}\mathbf{t}}_0^{\prime },\cdots ,{\mathbf{c}\mathbf{t}}_l^{\prime })$，RNS上的同态加法是对应位的元素分别相加，即$${\mathbf{c}\mathbf{t}}_{add}=({\mathbf{c}\mathbf{t}}_{ad{d}_1},{\mathbf{c}\mathbf{t}}_{ad{d}_2},\cdots ,{\mathbf{c}\mathbf{t}}_{ad{d}_l},)$$其中，${\mathbf{c}\mathbf{t}}_{ad{d}_i}=({\mathbf{c}\mathbf{t}}_i+{\mathbf{c}\mathbf{t}}_i^{\prime })mod{q}_i$。

9. $RNS.Mul{t}_{\mathbf{e}\mathbf{v}\mathbf{k}}(\mathbf{c}\mathbf{t},{\mathbf{c}\mathbf{t}}^{\prime })$

• 给定两个密文$\mathbf{c}\mathbf{t},{\mathbf{c}\mathbf{t}}^{\prime }\in {\prod }_{j=0}^l{\mathbb{R}}_{q_j}^2$，分别表示为$\mathbf{c}\mathbf{t}=({\mathbf{c}\mathbf{t}}_0,\cdots ,{\mathbf{c}\mathbf{t}}_l)$和${\mathbf{c}\mathbf{t}}^{\prime }=({\mathbf{c}\mathbf{t}}_0^{\prime },\cdots ,{\mathbf{c}\mathbf{t}}_l^{\prime })$；
• 计算$$\begin{array}{rl}{\mathbf{d}}_{i_0}& ={\mathbf{c}\mathbf{t}}_{i_0}\cdot {\mathbf{c}\mathbf{t}}_{i_0}^{\prime }mod{q}_j\\ {\mathbf{d}}_{i_1}& ={\mathbf{c}\mathbf{t}}_{i_0}\cdot {\mathbf{c}\mathbf{t}}_{i_1}^{\prime }+{\mathbf{c}\mathbf{t}}_{i_1}\cdot {\mathbf{c}\mathbf{t}}_{i_0}^{\prime }mod{q}_j\\ {\mathbf{d}}_{i_2}& ={\mathbf{c}\mathbf{t}}_{i_1}\cdot {\mathbf{c}\mathbf{t}}_{i_1}^{\prime }mod{q}_j\end{array}$$
• 使用近似模提升，将${\mathbf{d}}_{i_2}$的基由${\mathcal{C}}_l$提升到${\mathcal{D}}_l$ $$Modu{p}_{{\mathcal{C}}_l\to {\mathcal{D}}_l}({\mathbf{d}}_{2_0},\cdots ,{\mathbf{d}}_{2_l})=({\tilde{\mathbf{d}}}_{2_0},\cdots ,{\tilde{\mathbf{d}}}_{2_{k-1}},{\mathbf{d}}_{2_0},\cdots ,{\mathbf{d}}_{2_l})$$
• 重线性化$$\widetilde{\mathbf{c}\mathbf{t}}=({\widetilde{\mathbf{c}\mathbf{t}}}_0,{\widetilde{\mathbf{c}\mathbf{t}}}_1,\cdots ,{\widetilde{\mathbf{c}\mathbf{t}}}_{k+l})$$其中$$\begin{array}{rl}{\widetilde{\mathbf{c}\mathbf{t}}}_i& ={\tilde{\mathbf{d}}}_{2_i}\cdot {\mathbf{e}\mathbf{v}\mathbf{k}}_{i}mod{p}_{i}0⩽i<k\\ {\widetilde{\mathbf{c}\mathbf{t}}}_{k+j}& ={\mathbf{d}}_j\cdot {\mathbf{e}\mathbf{v}\mathbf{k}}_{k+j}mod{q}_{j}0⩽j⩽l\end{array}$$
• 再通过近似模降低，将$\widetilde{\mathbf{c}\mathbf{t}}$的基由${\mathcal{D}}_l$降低到${\mathcal{C}}_l$ $$Moddow{n}_{{\mathcal{D}}_l\to {\mathcal{C}}_l}({\widetilde{\mathbf{c}\mathbf{t}}}_0,\cdots ,{\widetilde{\mathbf{c}\mathbf{t}}}_{k+l})=({\widehat{\mathbf{c}\mathbf{t}}}_0,\cdots ,{\widehat{\mathbf{c}\mathbf{t}}}_l)$$
• 输出$${\mathbf{c}\mathbf{t}}_{mult}=({\mathbf{c}\mathbf{t}}_{mul{t}_0},{\mathbf{c}\mathbf{t}}_{mul{t}_1},\cdots ,{\mathbf{c}\mathbf{t}}_{mul{t}_l})$$其中，${\mathbf{c}\mathbf{t}}_{mul{t}_i}=({\widehat{\mathbf{c}\mathbf{t}}}_{i_0}+{\mathbf{d}}_{0_i},{\widehat{\mathbf{c}\mathbf{t}}}_{i_1}+{\mathbf{d}}_{1_i})mod{q}_i$。

11. $RNS.RS(\mathbf{c}\mathbf{t})$

• 对于$l$级密文$\mathbf{c}\mathbf{t}=({\mathbf{c}\mathbf{t}}_0,{\mathbf{c}\mathbf{t}}_1,\cdots ,{\mathbf{c}\mathbf{t}}_l)\in {\prod }_{j=0}^l{\mathbb{R}}_{q_j}^2$，输出$${\mathbf{c}\mathbf{t}}^{\prime }=({\mathbf{c}\mathbf{t}}_0^{\prime },{\mathbf{c}\mathbf{t}}_1^{\prime },\cdots ,{\mathbf{c}\mathbf{t}}_{l-1}^{\prime })\in \prod _{j=0}^{l-1}{\mathbb{R}}_{q_j}^2$$其中，${\mathbf{c}\mathbf{t}}_j^{\prime }=(q_l^{-1}\cdot (c_{0_j}-c_{0_l}),q_l^{-1}\cdot (c_{1_j}-c_{1_l}))mod{q}_j$。

系列论文我会在下载资源中给出。

参考文献
[1] Rivest R L , Adleman L M , Dertouzos M L . On Data Banks and Privacy Homomorphisms[J]. Foundations of Secure Compuation, 1978.
[2] Gentry C . Fully homomorphic encryption using ideal lattices[J]. Stoc, 2009.
[3] Cheon J H , Kim A , Kim M , et al. Homomorphic Encryption for Arithmetic of Approximate Numbers[C]// International Conference on the Theory and Application of Cryptology and Information Security. Springer, Cham, 2017.-1
[4] Dijk M V , Gentry C , Halevi S , et al. Fully Homomorphic Encryption over the Integers[C]// International Conference on Theory & Applications of Cryptographic Techniques. Springer, Berlin, Heidelberg, 2010.
[5] Aviad Kipnis E H . 1 Efficient Methods for Practical Fully-Homomorphic Symmetric-key Encryption, Randomization, and Verification[J]. Urban Research & Practice, 2012, 7(3):255-257.
[6] Jschke A , Armknecht F . Accelerating Homomorphic Computations on Rational Numbers[J]. Springer, Cham, 2016.
[7] Cheon J H , Han K , Kim A , et al. Bootstrapping for Approximate Homomorphic Encryption[J]. Annual International Conference on the Theory and Applications of Cryptographic Techniques, 2018.-2
[8] Cheon J H , Han K , Kim A , et al. A Full RNS Variant of Approximate Homomorphic Encryption[J]. Selected areas in cryptography :. annual international workshop, SAC. proceedings. SAC (Conference), 11349:347-368.-2
[9] Chen H , Chillotti I , Song Y . Improved Bootstrapping for Approximate Homomorphic Encryption[C]// International Conference on the Theory & Applications of Cryptographic Techniques. Springer, Cham, 2019.-3
[10] Han K , D Ki. Better Bootstrapping for Approximate Homomorphic Encryption[C]// Cryptographers’ Track at the RSA Conference. Springer, Cham, 2020.-4
[11] Lee J W , Lee E , Lee Y , et al. High-Precision Bootstrapping of RNS-CKKS Homomorphic Encryption Using Optimal Minimax Polynomial Approximation and Inverse Sine Function[M]. 2021.-5
[12] Bossuat J P , Mouchet C , Troncoso-Pastoriza J , et al. Efficient Bootstrapping for Approximate Homomorphic Encryption with Non-sparse Keys[M]. 2021.-5
[13] Gentry C , Halevi S , Smart N P . Homomorphic Evaluation of the AES Circuit[C]// Annual Cryptology Conference. Springer, Berlin, Heidelberg, 2012.