具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。

本申请实施例提供一种基于分解约简的格加密模乘运算方法，所述一种基于分解约简的格加密模乘运算方法包括步骤1至步骤5。

步骤1，选取形式为2^2N-δ的模素数q，其中为2N为模素数q的数据位宽，0<δ<2^N-2；从模q有限域中选取被乘数X和乘数Y，其中X和Y为数据位宽为2N比特的无符号整数，并且0≤X,Y<q；输入模素数q、被乘数X和乘数Y；

本申请实施例首先对有限域的特征数模素数q进行一定形式的限定，需要说明的是，本申请实施例对模素数q的限制并不严格，所以不失通用性。在此基础上再进行模q有限域中的乘法运算，即输入模素数q、被乘数X和乘数Y，其中X和Y为数据位宽为2N比特的无符号整数，并且0≤X,Y<q，计算XY mod q。

步骤2，对所述被乘数X和所述乘数Y以基数2^N进行分解，得到x₁、x₀、y₁和y₀，所述x₁、所述x₀、所述y₁和所述y₀分别为X除以2^N的商、X除以2^N余数、Y除以2^N的商和Y除以2^N的余数。

本申请实施例以2^N为基数将所述被乘数X和所述乘数Y分解为：

X＝x₁×2^N+x₀；

Y＝y₁×2^N+y₀；

其中，x₁、x₀、y₁和y₀分别为X除以2^N的商、X除以2^N余数、Y除以2^N的商和Y除以2^N的余数。

需要说明的是，本申请实施例中，关于2的幂的乘除以及模运算都可以通过简单的位运算来实现。

步骤3，将所述被乘数X和所述乘数Y乘积的展开式按基数2^2N进行分解后直接取模约简，获得第一约简中间值。

S301，建立第一约简中间值的表达式，所述第一约简中间值的表达式是通过对被乘数X和所述乘数Y乘积的展开式按基数2^2N进行分解后直接取模约简得到，第一约简中间值的表达式为：

Z_0＝z₀+z₁×2^N+z₂×δ；

式中，z₀＝x₀y₀，z₁＝(x₁+x₀)(y₁+y₀)-x₀y₀-x₁y₁，z₂＝x₁y₁。

关于所述第一约简中间值的表达式详细推导步骤如下所示，首先将所述被乘数X和所述乘数Y的乘积展开，其展开式为：

Z＝z₀+z₁×2^N+z₂×2^2N；

式中，Z为X和Y的乘积展开式，z₀＝x₀y₀，z₁＝(x₁+x₀)(y₁+y₀)-x₀y₀-x₁y₁，z₂＝x₁y₁。

由于模素数q为2^2N-δ，则有2^2N mod q＝δ，因此不计算Z的值，而是直接构造Z modq，将Z按基数2^N分解后直接取模约简，得到第一约简中间值的表达式，其中，将Z按基数2^N分解后直接取模约简的算法推导步骤为：

其中，设Z_0＝z₀+z₁×2^N+z₂×δ，为第一约简中间值的表达式。

S302，根据第一约简中间值的表达式对x₁、x₀、y₁和y₀进行乘法和加法运算，得到所述第一约简中间值。

关于第一约简中间值的数据位宽，可作如下推导：

再由于0<δ<2^N-2，则

因此，第一约简中间值的最大数据位宽为3N+2，比起4N比特长的Z减少约25％，可见，本申请实施例通过初步的分解约简降低了计算的复杂度。

进一步的，当对n点多项式进行数论变换时，模素数还需要满足q mod 2n＝1且n为2的幂次方，因此，本申请实施例对模素数进行相应的进一步限定，则

式中，

本申请实施例提供一种mul_δ模型，所述mul_δ模型用于计算输入值与δ的乘积，首先第一步先计算输入值与δ'的乘积，其中再将输入值与δ'的乘积乘以2n后减去输入值，获得mul_δ模型输出结果。在第一约简中间值表达式Z_0＝z₀+z₁×2^N+z₂×δ中，利用mul_δ模型计算z₂×δ，以此可以通过更小位宽的乘法和加法实现z₂和δ乘积运算。

步骤4，对所述第一约简中间值按基数2^2N进行分解后直接取模约简，获得第二约简中间值。

S401，将第一约简中间值进行分解后直接取模约简，得到第二约简中间值的表达式，所述第二约简中间值的表达式为：

Z_1＝z'₀+z′₁×δ+z'₂×δ×2^N；

式中，z'₀＝Z_0mod2^2N，z′₁＝Z_0/2^2Nmod2^N，z'₂＝Z_0/2^3N。

关于所述第二约简中间值的表达式详细推导步骤如下所示，本申请实施例再次利用分解约简的思路，按基数2^2N对第一约简中间值进行分解，获得分解结果表达式，所述分解结果表达式为：

z'₀+z′₁×2^2N+z'₂×2^3N；

式中，z'₀＝Z_0mod2^2N，z′₁＝Z_0/2^2Nmod2^N，z'₂＝Z_0/2^3N。

对分解结果表达式直接取模约简，获得第二约简中间值的表达式，所述第二约简中间值的表达式为：

Z_1＝z'₀+z′₁×δ+z'₂×δ×2^N；

S402，根据第二约简中间值的表达式计算所述第二约简中间值。

关于第二约简中间值的数据大小，可作如下推导：

z₀'∈[0,2^2N-1],z₁'∈[0,2^N-1],z₂'∈[0,2²-1]；

再由于0<δ<2^N-2，则

由此可见，经过步骤4低复杂度的分解约简过程，最后得到的第二约简中间值满足0≤Z_1<2q，因此，接下来将第二约简中间值调整到模q有限域中即可得模乘运算结果。

进一步的，可以利用mul_δ模型计算z₁'×δ。

步骤5，比较所述第二约简中间值和q的大小，得到模乘运算结果，若第二约简中间值大于或等于q，所述模乘运算结果为第二约简中间值减去q的结果值；若第二约简中间值小于q，所述模乘运算结果为第二中间约简值。

本申请实施例在经过步骤3和步骤4两个低复杂度的分解约简过程后，第二约简中间值满足0≤Z_1<2q，因此，将第二约简中间值调整到模q有限域中即可得XYmodq运算结果。

与前述一种基于分解约简的格加密模乘运算方法的实施例相对应，本申请还提供了一种基于分解约简的格加密模乘运算架构的实施例，参见图1，为本申请实施例提供的一种基于分解约简的格加密模乘运算架构的架构示意图a，参见图2，为本申请实施例提供的一种基于分解约简的格加密模乘运算架构的架构示意图b，所述一种基于分解约简的格加密模乘运算架构包括数据输入单元、整数分解单元、第一分解约简单元、第二分解约简单元和判定输出单元。

所述数据输入单元，用于选取形式为2^2N-δ的模素数q，其中为2N为模素数q的数据位宽，0<δ<2^N-2；从模q有限域中选取被乘数X和乘数Y，其中X和Y为数据位宽为2N比特的无符号整数，并且0≤X,Y<q；输入模素数q、被乘数X和乘数Y；

所述整数分解单元，用于对所述被乘数X和所述乘数Y以基数2^N进行分解，得到x₁、x₀、y₁和y₀。

所述第一分解约简单元，用于将所述被乘数X和所述乘数Y乘积的展开式按基数2^2N进行分解后直接取模约简，获得第一约简中间值。

所述第一分解约简单元包括乘积展开模块；所述乘积展开模块包括第一乘法器、第二乘法器、第三乘法器、第一加法器、第二加法器和第三加法器，第三乘法器的两个输入端分别与第一加法器输出端和第二加法器输出端相连，第三加法器的三个输入端分别与第一乘法器输出端、第二乘法器输出端和第三乘法器输出端相连。

所述第一乘法器，用于计算x₀和y₀的乘积。

所述第二乘法器，用于计算x₁和y₁的乘积。

所述第一加法器，用于计算x₁和x₀的和。

所述第二加法器，用于计算y₁和y₀的和。

所述第三乘法器，用于计算第一加法器的输出结果和第二加法器的输出结果的乘积。

所述第三加法器，用于计算第一乘法器输出结果的负值、第二乘法器输出结果的负值和第三乘法器输出结果的和。

所述第一分解约简单元还包括第一约简计算模块。

所述第一约简计算模块包括第一移位器、第一乘法模块和第四加法器，所述第一移位器的一个输入端与第三加法器的输出端相连，所述第一乘法模块的一个输入端与第二乘法器的输出端相连，所述第四加法器的三个输入端分别与第一乘法器输出端、第一移位器输出端和第一乘法模块输出端相连。

所述第一移位器，用于计算第三加法器输出结果和2^N的乘积。

所述第一乘法模块，用于计算第二乘法器输出结果和δ的乘积。

所述第四加法器，用于计算第一乘法器输出结果、第一移位器输出结果和第一乘法模块输出结果的和，所述第四加法器输出结果为所述第一约简中间值。

进一步的，如图3所示，为本申请实施例提供的第一乘法模块的架构示意图，所述第一乘法模块包括第四乘法器、第三移位器和第七加法器，所述第四乘法器一个输入端与第一乘法模块输入端相连且另一输入端输入(δ+1)/2n，其中为n为2的幂次方且qmod2n＝1，所述第三移位器的输入端与第四乘法器输出端相连，所述第七加法器两个输入端分别与第三移位器和第一乘法模块输入端相连，所述第七加法器的输出端与第一乘法模块输出端相连。

所述第四乘法器，用于计算第二乘法器输出结果和(δ+1)/2n的乘积。

所述第三移位器，用于计算第四乘法器输出结果和2n的乘积。

所述第七加法器，用于计算第三移位器输出结果和第一乘法模块输入结果负值的和。

因此，利用所述第一乘法模块可以通过更小位宽的乘法和加法实现第二乘法器输出结果和δ的乘积。

所述第二分解约简单元，用于对所述第一约简中间值按基数2^2N进行分解后直接取模约简，获得第二约简中间值。

所述第二分解约简单元包括第二分解模块。

所述第二分解模块用于将第四加法器输出结果按基数2^2N进行分解，得到第一约简中间值分解结果，所述第一约简中间值分解结果包括z₀'、z₁'和z₂'，其中Z_0为第四加法器输出结果，z'₀＝Z_0mod2^2N，z′₁＝Z_0/2^2Nmod2^N，z'₂＝Z_0/2^3N。

所述第二分解约简单元还包括第二约简计算模块，所述第二约简计算模块包括第二乘法模块、第三乘法模块、第二移位器和第五加法器，所述第二移位器的输入端与第三乘法模块相连，所述第五加法器的两个输入端分别与第二乘法模块和第二移位器相连，且另一输入端输入z₀'。

所述第二乘法模块，用于计算z₁'和δ的乘积。

所述第三乘法模块，用于计算z₂'和δ的乘积。

所述第二移位器，用于计算第三乘法模块输出结果和2^N的乘积。

所述第五加法器，用于计算第二乘法模块输出结果、第二移位器输出结果和z₀'的和。

进一步的，如图4所示，为本申请实施例提供的第二乘法模块的架构示意图，所述第二乘法模块包括第五乘法器、第四移位器和第八加法器，所述第五乘法器一个输入端与第二乘法模块输入端相连且另一输入端输入(δ+1)/2n，其中为n为2的幂次方且qmod2n＝1，所述第四移位器的输入端与第五乘法器输出端相连，所述第八加法器两个输入端分别与第四移位器和第二乘法模块输入端相连，所述第八加法器的输出端与第二乘法模块输出端相连。

所述第五乘法器，用于计算第二乘法模块输入结果和(δ+1)/2n的乘积。

所述第四移位器，用于计算第五乘法器输出结果和2n的乘积。

所述第八加法器，用于计算第四移位器输出结果和第二乘法模块输入结果负值的和。

进一步的，如图5所示，为本申请实施例提供的第三乘法模块的架构示意图，所述第三乘法模块包括第二多路选择器，所述第二多路选择器用于预存储0、1、2和3分别乘以δ的乘积，第二多路选择器的输入端输入z₂'的值。

若z₂'为0，则所述第二多路选择器输出0。

若z₂'为1，则所述第二多路选择器输出δ。

若z₂'为2，则所述第二多路选择器输出2δ。

若z₂'为3，则所述第二多路选择器输出3δ。

所述判定输出单元，包括第六加法器和第一多路选择器，判定输出单元用于比较所述第二约简中间值和q的大小，若第二约简中间值大于或等于q，将第二约简中间值减去q的结果值作为模乘运算结果；若第二约简中间值小于q，将第二中间约简值作为模乘运算结果。

为了直观地体现本申请技术方案的优势，本申请实施例将本申请技术方案与现有最优的格加密器实现作比较，在相同的FPGA板上实现了已发表的最新工作的模乘法器和利用本申请架构的模乘法器。所有的模乘法器都设置为在一个周期内完成，没有进行流水线处理。在参数选择方面，选择了格加密方案中常用的两组参数：(1)(2)n＝1024。在实现平台方面，选择在Xilinx Vivado 2016.2上仿真，在Xilinx VIRTEX-7FPGA xc7vx690tffg1761-2的开发板上进行实现。最终结果如表1所示，为几种格加密乘法器的对比。

表1几种格加密乘法器的对比

由表1可以看出，基于本申请架构的模乘法器在牺牲较少查找表资源的基础上，具有最快的速度和最少的DSP消耗。对于n＝4096的情况，基于本申请架构的乘法器有1.13-1.89倍的加速比；当n＝1024时，基于本申请架构的乘法器有1.12-1.68倍的加速比。

本申请实施例提供的一种基于分解约简的格加密模乘运算方法及架构，限定模素数q的形式，输入模素数q、被乘数X和乘数Y，对被乘数X和乘数Y以基数2^N进行分解，再将X和Y乘积的展开式按基数2^2N进行分解后直接取模约简得到第一约简中间值，对第一约简中间值按基数2^2N进行分解后直接取模约简，获得第二约简中间值，再根据第二约简中间值的大小将其调整到模q有限域中，本申请通过分解约简，有效减少了中间数据的数据位宽，提出了更低计算复杂度和计算延迟的格加密模乘运算方法，并设计了相应的模乘架构，而且本申请的模乘运算方法和架构不失通用性。

以上结合具体实施方式和范例性实例对本申请进行了详细说明，不过这些说明并不能理解为对本申请的限制。本领域技术人员理解，在不偏离本申请精神和范围的情况下，可以对本申请技术方案及其实施方式进行多种等价替换、修饰或改进，这些均落入本申请的范围内。本申请的保护范围以所附权利要求为准。