Xiao-Massey 定理: 历史背景、学术影响和原创性*

张卫国

西安电子科技大学 综合业务网理论及关键技术国家重点实验室, 西安 710071

1 Xiao-Massey 定理的历史背景与命题本质

第二次世界大战后, 数字电路技术在工程中逐渐被广泛应用, 流密码的发展也逐渐从机械密码时代过渡到数字电路密码时代. 上世纪五十年代至七十年代, 是移位寄存器序列(shift register sequence) 理论蓬勃发展的时期, 有关线性移位寄存器(linear feedback shift register, LFSR) 的理论成果逐渐成熟[1–3].同一时期, 编码理论和技术也得到较为充分的发展[4,5]. 在上世纪六十年代后期, Berlekamp[4,6]在BCH码的译码方案中给出一种从校验子找出错位多项式的迭代算法, 这种算法的实质是运用归纳法确定一系列LFSR 的结构. Massey[7]也独立地给出同一算法,解决了LFSR 的综合问题. 所谓LFSR 的综合,是指对一个给定的二元周期序列, 找出产生该序列的最少级数的LFSR. 后人称这一算法为Berlekamp-Massey算法(BM 算法). BM 算法的提出, 对流密码的发展产生了深远影响, 它提示人们用于加解密的二元序列应该具有较高的线性复杂度[8]; 后来又进一步考虑了序列线性复杂度的稳定性问题, 引入序列的重量复杂度和球体复杂度等度量指标[9–11].

在生成伪随机序列的方式中, 利用非线性移位寄存器(nonlinear feedback shift register, NFSR) 生成序列是非常吸引人的方式, 可以实现具有优良随机性质(包括高线性复杂度) 的序列的生成. 遗憾的是, 时至今日对这种生成序列的方式的研究仍不成熟. BM 算法问世之后, 人们对生成“复杂” (不止是高线性复杂度) 序列的流密码系统的研究走向了另一方向.

上世纪七十年代初, Groth[12]在一个LFSR 生成的序列中置入乘法运算, 这实际上是给序列生成器加入了非线性逻辑结构. 这种非线性前馈(feedforward) 结构和NFSR 结构有本质的不同, 所生成的序列不再反馈到移位寄存器参与下一次非线性运算. 非线性前馈结构的引入对于提高生成序列的线性复杂度有明显效果[13]. 经过十多年的发展, 逐渐形成了一系列基于LFSR 的非线性序列生成器[8,14–18]. 非线性组合模式和非线性滤波(前馈) 模式这两种非线性序列生成器成为最经典的流密码体制, 见图1. 在图1 中,f:→F2是一个n元布尔函数.f的性质直接影响系统的安全性, 它应是一个非线性布尔函数. 系统经由f所生成的序列一般称为非线性序列.

图1 非线性组合模式和非线性滤波模式的流密码系统Figure 1 Stream cipher for nonlinear combination mode and nonlinear filter mode

与此同时, 对非线性序列的分析理论也逐渐成熟[8,10,11,13,19–27]. 对多个LFSR 序列进行布尔组合的方式最早由Golomb[28]提出, 但当时的目的并不是为了密码应用, 而是为了测距需要[29].

假设图1 a) 中第i个LFSR 的级数为ri,i=1,2,··· ,n, 这n个LFSR 的初始状态和线性反馈系数共同构成密码系统的密钥. 为了最大化生成序列的周期, 线性反馈系数一般选择本原多项式对应的系数以生成周期为2ri-1 的m序列. 同时, LFSR 初始状态避免取全零. 用Ri=φ(2ri-1)/ri表示F2上ri次本原多项式的个数, 其中φ(n) 是Euler 函数, 定义为与正整数n互素且不大于n的正整数的个数. 该系统可能的密钥总量为其中P(A) 表示事件A发生的概率. 设上述n个序列经由f后所生成的密钥流序列(z(k)) =z(1),z(2),z(3),···是由独立同分布的随机变量z所产生, 并有

上面讨论的分别征服攻击只考虑了单个LFSR 所产生的序列与密文序列的相关性, 这一攻击当然可以进一步考虑多个LFSR 的输出序列进行叠加(模2 加法运算) 后所得到的序列与密文序列的相关性. 这就引出Siegenthaler 对t阶相关免疫函数的定义[39]. 设X=(x1,x2,··· ,xn), 其中x1,x2,··· ,xn是n个独立同分布二元随机变量. 设Bn是所有n元布尔函数的集合. 若f(X)∈Bn和x1,x2,··· ,xn中的任意t个变量都是统计独立的, 则称f(X) 是t阶相关免疫函数. Siegenthaler 在文献[39] 中还给出一种t阶相关免疫函数的递归构造方法, 并给出t阶相关免疫函数代数次数的上界. Siegenthaler[32]还曾给出抵抗分别征服攻击的组合部件的设计方案, 但并没有产生多大影响. Siegenthaler 的贡献在于他基于Blaser 和Heinzmann 的思想给出分别征服攻击的统计模型, 并定义了布尔函数的相关免疫性. 他给出的相关免疫函数的递归构造法, 虽然可以保证每一步得到的函数都是t阶相关免疫, 但函数的非线性度很差.Siegenthaler 对相关免疫性的定义看起来严谨清晰, 但对函数设计和分析的指导意义较弱.

上世纪八十年代中期, 肖国镇提出“线性统计独立” (linear statistical independence) 的概念, 并用频谱方法对非线性生成器进行相关分析, 刻画了线性统计独立函数的频谱特征.

线性统计独立概念的提出动机是为了研究图1 中流密码系统产生的密文序列与系统中一个或多个LFSR 所产生的序列的线性统计关联性. 下面我们先描述一下线性统计独立的概念.

定义1 设f是关于随机变量x1,x2,··· ,xn的n元布尔函数, 并设1≤t ≤n-1,ν ∈F2,aj ∈F2,j=1,2,··· ,t. 若任取t个随机变元xi1,xi2,··· ,xit, 1≤i1＜i2＜···＜it ≤n, 恒有

其中线性组合运算是在F2上进行的, 且t是具有上述性质的最大正整数, 则称f是t阶线性统计独立的.否则, 若对任意t, 1≤t ≤n-1,f都不是线性统计独立的, 则称f为完全线性相关的.

下面的定理由肖国镇于1985 年6 月在第23 届ISIT 国际会议的报告“The spectrum method in correlation analysis of non-linear generator” 中给出[40].

定理1f ∈Bn是t阶线性统计独立函数的当且仅当对Fn2中满足1≤wt(α)≤t的α, 都有Sf(α)=0, 其中Sf(α) 是f在点α的Fourier 变换, 定义为:

这一成果是流密码发展史上最重要的成果之一, 开创性地用布尔函数的频谱特征简洁地刻画出布尔函数为t阶线性统计独立(t阶相关免疫) 的充要条件. 这一成果开辟了流密码研究的新领域, 对密码函数的设计和分析产生了深远影响.

肖国镇在ISIT ’85 宣读的研究成果引起国际同行的极大兴趣. 很多学者就这些成果提出自己的观点和建议, 这些学者主要有Massey、Siegenthaler、Duella、Golomb 等, 其中以Massey 提供的修改建议最具建设性. 1985 年8 月, 肖国镇与Massey 共同署名将论文提交至IEEE Transactions on Information Theory (TIT) 评审. 这一论文的最终版本中没有使用“线性相关独立” 这一概念, 而是使用了“相关免疫” 这一概念. 1988 年5 月, 论文以“A spectral characterization of correlation-immune combining functions” 为题目正式发表[41].

这一论文中特别值得一提的是论文首页的引理, 后人称之为Xiao-Massey 引理[38,42]. 有了这一引理,就建立起从相关免疫这一概念到Xiao-Massey 定理的桥梁. 同时, 这一引理既给出了概率统计上的一个重要结论, 也为密码分析技术提供了指引.

引理1 (Xiao-Massey 引理) 离散随机变量Z和t个相互独立的二元随机变量Y1,Y2,··· ,Yt都是相互独立的, 当且仅当Z和c1Y1+c2Y2+···+ctYt是相互独立的, 其中(c1,c2,··· ,ct)∈.

引理1 的证明可参阅文献[42,43]. 由这一引理比较容易地推出Xiao-Massey 定理. 文献[41] 中还有一些其他结论, 这里不再介绍.

弹性函数的提出时间稍晚于相关免疫函数, 最早由Chor 等人提出[44], 是一种多输出布尔函数→Fm2, 用F表示.F的m个分量函数的任意非零线性组合都是平衡的相关免疫函数. 由于平衡性是密码函数设计时总要考虑的, 人们所设计的(多输出) 相关免疫函数一般都是弹性函数. 线性统计独立、相关免疫、弹性, 这些概念是在同一时期被独立提出的, 它们的定义都是从概率统计的观点给出的. Xiao-Massey定理用代数的观点从频谱的角度给出这些定义的等价描述.

设α ∈Fn2,f ∈Bn.f在α点的Walsh 变换定义为

借助关系(-1)f(X)=1-2f(X), 可得到Sf(α) 和Wf(α) 的关系:

由(4) 式可以看出, 在α/=0n的前提下,Wf(α)=0 当且仅当Sf(α)=0. 同时, 注意到f是平衡布尔函数当且仅当Wf(0n)=0. 因而, Xiao-Massey 定理如今也常被描述成如下定理.

定理2f ∈Bn是t阶弹性布尔函数的当且仅当对Fn2中满足0≤wt(α)≤t的α, 都有Wf(α)=0.

2 Xiao-Massey 定理的学术价值和学术影响

本节分析整理Xiao-Massey 定理的被引用情况, 进一步阐述其学术价值和学术影响.

(1) Xiao-Massey 定理对相关免疫(弹性) 函数的刻画简洁而深刻, 已成为研究密码函数的奠基性定理. 该定理的提出使频谱理论方法从此成为研究密码函数的最重要的代数工具之一.

从上世纪八十年代中期至今, Xiao-Massey 定理被国内外同行广泛引用, 深远地影响着流密码理论的发展. 密码学家Rueppel[45]最早在Crypto ’85 引用了Xiao-Massey 定理, 并把这一定理写进他在1986年出版的著名专著《Analysis and Design of Stream Ciphers》中[8]. Pichler[46]在Eurocrypt ’86 用Walsh-Fourier 分析方法实现了具有相关免疫性的开关函数的设计, Mund 等人[47]在Eurocrypt ’87 利用频谱方法研究了DES 体制中的S 盒, Forrié[48]在Crypto’88 用布尔函数的频谱特征给出其满足SAC的充要条件, Preneel 等人[49]在Eurocrypt ’90 利用布尔函数的Walsh 变换和自相关函数的关系研究了函数的扩散特征. 刘育人是较早注意到Xiao-Massey 定理的中国台湾学者, 1988 年他在文献[50] 中用频谱方法研究了非线性移位寄存器及其线性等价系统问题. 更多引用Xiao-Massey 定理的文献可参阅[51—194].

(2) Xiao-Massey 定理在布尔函数多密码指标折中优化中具有重要价值, 在构造高非线性度的相关免疫(弹性) 函数这一研究课题中扮演了“方向盘” 的作用, 指导了一大批优秀密码函数构造方法的提出.

Meier 和Staffelbach[195]在Eurocrypt’89 从频谱的角度给出了非线性度的计算公式,借助Parseval恒等式和Xiao-Massey 定理, 初步明确了非线性度和相关免疫性(弹性) 之间存在制约关系. 由于弹性和非线性度都可通过计算布尔函数的频谱得到, Xiao-Massey 定理在高非线性度弹性函数设计这一课题中扮演着举足轻重的角色. 基于Xiao-Massey 定理和频谱分析方法, 一大批便于确定弹性阶和非线性度的密码函数构造方法被提出, 可参阅文献[196—304].

(3) Xiao-Massey 引理和Xiao-Massey 定理对密码分析的价值.

1989 年, Meier 和Staffelbach[38]在Journal of Cryptology 发表论文“Fast correlation attacks on certain stream ciphers”, 提出针对流密码系统的快速相关攻击. 在该文中用Xiao-Massey 引理解释攻击在特定情况下的可行性. Maurer 和Massey[305]在Crypto ’89 用Xiao-Massey 引理解释了伪随机序列中的完全局部随机性中的安全性问题. Xiao-Massey 引理也被Golić[306]在Eurocrypt ’92 用来研究带记忆非线性组合器相关性质, 进而考虑了多种非线性组合模式下的安全问题[307]. Heys[308]定义了对线性分析(m,n)-免疫的概念, 基于Xiao-Massey 引理给出分组密码系统对线性分析(m,n)-免疫的充要条件.更多相关引用文献可参阅[309—330].

(4) Xiao-Massey 定理的发展以及在其他领域的应用.

Forré[331]从条件熵的角度考虑了S 盒输入和输出之间的“垂直独立”, 不同输出之间的“水平” 独立.把肖国镇提出的“线性统计独立” 推广到非线性函数之间的统计独立.

冯登国[332]用广义一阶Walsh 谱刻画了多输出相关免疫函数的特征, 用Chrestenson 谱刻画了剩余类环上的多值逻辑相关免疫函数的特征, 用离散Fourier 谱刻画了有限域上的相关免疫函数的特征, 系统全面地发展了Xiao-Massey 定理.

Stinson[333,334]从正交阵列的角度刻画了弹性函数的特征, 进而在1995 年和Gopalakrishnan 进一步从相伴矩阵、Fourier 变换、正交阵列等角度刻画了非二元相关免疫和弹性函数的特征[335]. 后来,Xiao-Massey 定理又在Abel 群和复数域上被推广[336,337].

Xiao-Massey 定理以充要条件的形式刻画了相关免疫(弹性) 函数的频谱特征, 确定了哪些点的谱值必定为0. 但是, 由Xiao-Massey 定理并不知道那些非零谱值有何特征. 2000 年, 人们发现t阶相关免疫(弹性) 函数f ∈Bn的频谱必定被2t+1(2t+2) 整除[338–340]. 这一结论是t阶相关免疫(弹性) 函数频谱特征的进一步刻画, 是对Xiao-Massey 定理的发展.

Lacharme[341,342]从布尔函数角度研究了真随机数生成器的校正器的分析和设计问题, 给出t阶校正器的频谱特征. 对单输出布尔函数f ∈Bn而言, 它是t阶校正器的充要条件是

结合Xiao-Massey 定理可知, 任意t阶弹性函数必定是t阶校正器, 反之不然.

Xiao-Massey 定理还在下面研究课题中发挥着作用: 二元(双极) 序列的量子纠缠态相关指标的度量[343]、决策(投票) 规则的敏感性指标度量[344]、欺骗免疫秘密共享方案的设计[345]、抗病毒行为检测策略模型[346]等.

关于Xiao-Massey 定理的意义和作用, 读者还可参阅文献[347].

3 “Golomb 不变量” 的历史背景和概念本质

“相关免疫函数的频谱化特征定理” 这一研究成果在国际上公认首创属于肖国镇和Massey, 并称之为“Xiao-Massey 定理”. 但是,在2018 年第4 期TIT 纪念Solomon W.Golomb 的专刊上却有观点认为这一成果的首创应属Golomb, 过度解读了Golomb 提出的“不变量”(invariant)的概念, 见文献[348,Section VIII]. 受这一错误观点的影响,在2021 年出版的专著“Boolean Functions for Cryptography and Coding Theory”[349]中又把“Xiao-Massey 定理” 误称为“Golomb-Xiao-Massey characterization”. 这一研究成果的归属问题在肖国镇、Massey、Golomb 三位学者都在世时没有争议, 近年来在这一问题上出现的错误观点既不符合学术事实, 也不符合三位学者生前达成的共识.

每一个概念或定理的产生, 都不是凭空而来的, 都有其特定的历史背景. 下面我们通过梳理Golomb提出“不变量” 的历史背景, 揭示其概念本质. 这一概念本质上描述了在特定等价关系下不同布尔函数具有某种共同的频谱特征, 它既不等同于相关免疫这一概念, 更没有揭示Xiao-Massey 定理所描述的规律.

1938 年, Shannon 发表了重要论文“A symbolic analysis of relay and switching circuits”[350], 阐述了他在1937 年提交的硕士论文中的主要工作. 他创造性地在布尔代数[351,352]和开关电路之间建立了关联, 实现了从布尔逻辑到电路功能的转化, 创建了开关电路理论. Shannon 把开关电路理论中的问题分为两类: “分析问题” (analysis problem) 和“综合问题” (synthesis problem). 分析问题是对确定的开关电路分析其性质功能, 综合问题是寻找具有特定性质功能的电路. 前者是相对容易的问题, 而后者是非常困难的问题[353–356]. 这一时期, 一系列开关电路的分析和综合问题被转化为数学问题进行研究[357–367]. 到了上世纪七十年代中期, 由开关电路的综合问题逐渐发展出电子设计自动化(electronic design automation,EDA) 技术. 综合问题的困难之处在于如何以最低的代价实现电路功能, 同时考虑电路的功耗、速度等因素. 早期的综合问题主要考虑如何用相对简单的方式实现具有特定功能的电路. 1949 年, Shannon 又进一步发展了开关电路综合问题的理论和方法[353]. Shannon 指出变元个数相对较大的n元布尔函数绝大多数实现起来都是相当复杂的. 另一方面, 现实中使用的n个变元的电路都是非常简单的. 对产生这个“矛盾” 的原因, Shannon 是这样解释的: 电路设计实践中使用的布尔函数不是随机选择的. 为了有助于在实现电路功能时能选择到结构相对简单的布尔函数, Shannon 给出两种函数关系(functional relation), 一种叫函数可分关系(functional separability),另一种是特殊情形下的群不变关系(group invariance). 对前一种函数关系, 这里不作介绍. 后一种函数关系是指函数f ∈Bn满足如下群不变性质: 对任意xi,ai ∈F2,0≤i ≤n, 总有

其中(i1,i2,··· ,in) 是(1,2,··· ,n) 的置换. 需要说明的是, Shannon 当时研究的布尔函数中的乘法运算规则与普通乘法规则相同, 而加法运算规则为: 0+0=0, 0+1=1, 1+0=1, 1+1=1, 这并不影响讨论的结果. (5)式中等号左右两边变元的变换关系是两种运算复合而成的: 一种是对(x1,x2,··· ,xn) 进行置换运算, 另一种是对x1,x2,···,xn中的k个变元进行取反运算, 0≤k ≤n. 复合后的运算共有2nn!种可能, 构成一个群G.

1953 年, Slepian[368]把Shannon 在(5)式中给出的群不变关系推广到两个不同函数之间, 定义了一种等价关系. 设f1,f2∈Bn. 称f1和f2是等价的, 若对任意xi,ai ∈F2, 0≤i ≤n, 总有

其中(i1,i2,··· ,in) 是(1,2,··· ,n) 的置换. 这一等价关系把n元布尔函数划分为Nn个等价类, Slepian利用群论相关方法和结论[369,370]计算了Nn的数量. 同一等价类中的布尔函数被设计成电路后看作是功能等价的电路, 而Nn的值代表功能不等价电路的数量. 在这个意义上, 对等价类进行计数是有现实意义的. 注意到, Golomb 在1958 年也撰写了一篇研究等价类计数的技术报告[371].

1959 年, Golomb[365,372]又进一步推广了(6)式中Slepian 所定义的等价关系: 对b ∈F2, 若对任意xi,ai ∈F2, 0≤i ≤n, 总有其中(i1,i2,··· ,in) 是(1,2,··· ,n) 的置换, 则称f1∈Bn和f2∈Bn是等价的. 这可以看作是一种更广义的群不变关系. 由这一等价关系把n元布尔函数划分的等价类数量可以参考Slepian 的计算方法得到. 等价类的具体数量对我们下面的讨论并不重要. 假设等价类的数量是ν, 并把ν个等价类记为E1,E2,··· ,Eν. 可知,E1∪E2∪···∪Eν=Fn2且Ei ∩Ej=Ø, 1≤i ＜j ≤ν.

Golomb 发现, 对同一等价类Ei中的所有布尔函数而言, 它们具有共同的“不变量” (invariant).Golomb 具体地描述了0 阶和1 阶不变量的定义, 并以2 阶不变量为例定义了高阶不变量. 为了清晰地阐释不变量的实质, 下面用一种较为简洁的方式来一般性地描述t阶不变量.

设0≤t ≤n.t阶不变量的一般性定义描述如下: 设f ∈Ei, 1≤i ≤ν. 对α ∈Fn2, 定义Rα=max{cα,2n-cα}, 其中

显然, 2n-1≤Rα ≤2n. 设多重集

我们从频谱角度分析一下, 对同一等价类Ei中的布尔函数而言, 为什么它们会有相同的t阶不变量?在Golomb 给出的这一等价关系下,f ∈Bn所属等价类中的任一函数g ∈Bn和f都是扩展仿射等价的(extended affine equivalent), 并满足g(X)=f(XA+α)+b, 其中α=(a1,a2,··· ,an)∈Fn2,b ∈F2,A是把n阶单位阵的列向量进行某一置换得到. 可得

Golomb 发现不变量的历史背景还与他在上世纪五十年代后期在喷气推进实验室(Jet Propulsion Laboratory, JPL) 的工作经历密切相关. 这一时期, Golomb 和他的同事们在星际测距系统设计方面做了一系列前沿性工作[29]. 星际测距要求所使用的伪随机序列具有很大的周期且便于实现测距. Golomb[28]建议对周期两两互素的分量序列进行非线性布尔组合, 用以生成周期为分量序列周期之积的长周期组合序列. Easterling[373]按这一建议建立了布尔组合运作模式. 最终Golomb 和他的同事们实现了地球到金星的测距[373–376].

在Golomb 和他的同事们的上述工作中, 为了实现测距, 需要把分量序列从组合序列中区分出来, 这可通过计算组合序列和分量序列的互相关值来实现[29]. 这就解释了(7)式中Golomb 为什么要用一个非线性布尔函数f和一个线性函数α·X进行叠加的工程背景. 在工程实践中, 每个分量序列对应于某个变元xi, 这相当于只考虑了α重量为1 时的情形. 事实上, 考虑wt(α)≥2 时的情形对测距而言也无必要.为了区分分量序列和组合序列, 需要它们的互相关值尽可能大. 这和肖国镇[40]提出的1 阶线性统计独立(1 阶情形) 和Siegenthaler[39]提出的相关免疫性(1 阶情形) 对函数f的频谱的要求是“相反的”. 在文献[41, Section V] 中, 称这两个方面的问题是“对偶的(dual)”.

肖国镇和Massey 于1988 年发表在TIT 上的论文[41]是在1985 年8 月投稿, 1986 年6 月定稿.在论文定稿之前, Golomb 已和肖国镇、Massey 进行过深入的交流, 比较正式的一次交流反映在1986 年3 月Golomb 给他们的私人通信中[377](文献[41] 的引用文献[5]). 他们交流的结果体现在文献[41] 第V部分的评注中.

结合文献[41, Section V] 中的评注和我们前面的讨论, 可以作如下总结:

(1) Golomb 定义的不变量是一个概念, 而Xiao-Massey 定理是一个命题.

(2) Golomb 定义的不变量本质上是刻画了某种群不变关系下所划分的等价类中布尔函数的频谱特征(具有排序后的不变性), 它和相关免疫是两个不同的概念.

(3) 相关免疫函数的定义是从概率统计的角度被描述的. Xiao-Massey 定理从频谱观点把一个概率统计概念等价地转化为代数方式的描述, 二者之间的“桥梁” 在文献[41] 中是通过“Xiao-Massey引理” 建立起来的. Golomb 所定义的不变量只是一个与Walsh 变换相关的纯粹代数概念.

(4) Golomb 给出的计算不变量的方法(算法)本质上是一种频谱计算, 后人借助不变量这个概念去重新阐述Xiao-Massey 定理这个命题是一种“后知后觉”.

(5) Golomb 和他的同事们在JPL 所做的测距方面的工作对组合函数的要求与1 阶相关免疫函数对组合函数的要求恰恰相反. 前者要求经过组合函数所生成的非线性序列与每一LFSR 序列高度相关, 而后者要求二者之间的相关值为0[29,41,378]. 由于时代背景和工程背景不同, Golomb 并没有刻画出1 阶相关免疫函数的频谱特征, 高阶不变量也只是停留在概念层面.

4 结束语

上世纪五十年代以来, 信息论领域涌现了许多了不起的人物. 他们用数学的观点看待工程中的问题,从工程实践中抽象出数学问题, 又把数学理论巧妙地应用于工程实践. 他们对世界严肃而严谨的思考, 把我们对世界的认知带入高度理性的层面. 本文中提到的肖国镇、Massey、Golomb 三位学者无疑都是他们那个时代的杰出代表.

今年正值肖国镇教授逝世六周年, 以此文作为纪念. 同时, 也以此文纪念肖国镇教授和James L.Massey、Solomon W. Golomb 之间的友谊.

致谢

作者就本文第3 节的观点和法国巴黎第8 大学的学者Claude Carlet 进行了有价值的学术讨论.