模上 Learning With Errors

Module-LWE 在两种极端结构之间提供可调坐标。每个环坐标内部仍由环乘法产生结构，而 $d$ 个坐标之间通过模内积组合；底层整数格维数约为 $nd$。增大 $d$ 会减弱“单个理想”式结构并增加矩阵尺寸，但安全性、带宽和速度不会只由一个秩数字单调决定。

选定 $R$ 的整数基后，每个 $a_j$ 变成一个结构化乘法矩阵，整个样本是 $d$ 个这类矩阵的横向拼接。它既不是从所有标量矩阵均匀抽取的普通 LWE，也不是把 $d$ 个互不相关 Ring-LWE 样本并列：所有块共同作用于一个模秘密，并汇成同一环值 $b$。

模格的最坏情形问题允许 $R$ 同时作用于 $d$ 个坐标。相关归约利用这一闭包性质；若实现选择的误差不在 canonical 嵌入下近球形，或秘密压缩改变了分布，便需要单独的 normal-form 或混合论证。

取 $R=\mathbb{Z}[x]/(x^2+1)$、$q=7$、$d=2$，令

在 $x^2=-1$ 下逐项计算

两项之和为 $6+7x$，所以

这个样本在系数展开后给两条标量同余，但它们来自两个形如 $\left(\begin{array}{cc}u& -v\\ v& u\end{array}\right)$ 的乘法块，结构可直接检查。将 $d$ 改成 $1$ 并删除第二分量，只有在误差和表示约定也保持相同时才是 Ring-LWE 样本。

若改取 $R=\mathbb{Z}$，模秩承担全部向量维数，公式可接近普通 LWE；若固定 $d=1$ 而让数域次数承担维数，则接近 Ring-LWE。这个插值是参数化观察，不允许把任一端点的 search-to-decision 或最坏情形定理无条件复制到所有中间点。

实际方案常用中心二项误差、压缩和舍入。例如 Kyber 的安全性使用具体的 Module-LWE 假设及其 KEM 安全归约；Module-SIS 则在若干模格签名构造中承担不同角色。这些构造都需要各自的假设与归约，不能直接从 canonical Gaussian 定理逐字继承。实现的解密失败率还取决于噪声卷积和编码间隔，不能由问题定义单独给出。

Module-LWE 支持以环向量和环矩阵表达的公钥加密、KEM、签名及同态组件。模秩提供工程折中：较小 $d$ 通常有更紧凑的结构化表示，较大 $d$ 提供更多块自由度；具体安全比较必须保持总整数维数、模数、噪声率与攻击模型，而不能只比较 $d$。

在适当参数下，平均情形 Module-LWE 可由最坏情形 module-lattice 问题归约支持。定理会限制数域、误差宽度、模数与模秩，并产生明确近似因子。评估标准化参数时，还应结合已知 primal、dual 与混合格攻击的具体成本；渐近归约是依据之一，不是完整的位安全估计。