全同态加密的概念同态密文计算的结果解密后等于明文计算的结果。即 Dec(Enc(a)⊕Enc(b))ab全同态支持任意深度的加法和乘法运算不仅是单一操作而且可以无限次组合。第一层密码学基础与底层理论FHE-Scheme全同态加密方案噪声增长每次密文计算尤其是乘法都会导致噪声增大一旦噪声超过阈值解密就会失败。这是 FHE 与普通公钥加密最大的不同。自举Bootstrapping是用公钥加密私钥在密文状态下解密自身“吃自己的尾巴”从而“刷新”密文重置噪声大小。SIMD 批处理Batching把成百上千个数据塞进一个密文里一次计算处理所有数据基于中国剩余定理 CRT 或复数域编码模数切换Modulus Switching和重线性化Relinearization用于控制密文膨胀和噪声增长密钥切换Key Switching转换密文所使用的密钥例如从公钥切换到私钥或用于同态旋转BGV / BFV 方案底层数学基于 LWE / RLWE环上容错学习问题。特点主要处理整数和模运算。采用“层级Leveled”同态即在噪声耗尽前预先设定好电路深度。BGV 与 BFV 在打包Batching和模数切换Modulus Switching上略有不同。应用适合逻辑电路、精确整数计算。CKKS 方案底层数学基于 RLWE。特点专门为浮点数/复数近似计算设计。它将消息编码在多项式的系数中支持 SIMD单指令多数据批处理。应用隐私保护机器学习PPML、神经网络推理FHE-CNN、线性代数FHE-Matrix Multiplication几乎全用它。TFHE / FHEW 方案传统的 FHE 方案如 BGV/BFV执行一次深度计算后密文中的“噪声”会累积到临界值必须进行耗时的自举操作来“刷新”噪声这曾是 FHE 实用化的最大瓶颈。FHEW 和 TFHE 的设计截然不同它们不再等待电路达到一定深度后才自举而是每评估一个逻辑门如一个 AND 门就立即对结果密文进行一次自举。这使得它们能够处理任意深度的布尔电路。正是通过将自举操作极致地优化FHEW 和 TFHE 才得以实用。TFHE全同态加密其最核心的创新在于实现了极快的自举Bootstrapping速度将密文噪声刷新时间从秒级压缩至毫秒级这使得对加密数据进行实时计算成为可能。与BFV/BGV擅长整数算术、CKKS擅长浮点近似计算不同TFHE采用逐位加密专为布尔电路逻辑门和低精度运算而设计在处理比较、查表、控制流等非线性操作时具有显著优势 。一次完整的TFHE自举以刷新一个TLWE密文为例通常包含以下关键步骤其核心是盲旋转Blind Rotation它占据了绝大部分计算时间初始化Initialize根据输入的TLWE密文初始化一个包含“测试多项式”的同态累加器Homomorphic Accumulator。盲旋转Blind Rotation这是最核心、最耗时的一步。利用自举密钥由TRGSW密文组成与累加器中的TRLWE密文进行一系列外积运算根据加密的输入值在密文状态下“旋转”累加器中的多项式。样本提取Sample Extraction从旋转后的TRLWE密文中提取出一个分量通常是常数项将其转换为一个TLWE密文。此时该密文的噪声已被刷新。密钥切换Key Switching通过密钥切换技术将密文从自举过程使用的中间密钥下切换回原始的TLWE密钥使密文格式与输入保持一致。第二层系统架构与工程实现FHE-Matrix MultiplicationFHE 矩阵乘法矩阵乘法是绝大多数机器学习负载的核心。在FHE中它之所以困难根源在于密文旋转Rotation的代价极高。高效的FHE矩阵乘法方案本质上都是围绕“如何减少旋转次数”来设计的核心技术SIMD打包与分块策略主流方案如基于CKKS利用SIMD单指令多数据批处理技术将一个矩阵的多个元素打包进单个密文的不同“槽位slot”中。这样一次密文运算就能同时处理数十甚至数百个数据点。在此基础上MAT-FHE等方案通过将矩阵填充为超立方体结构并利用按行/列旋转、密文-明文乘法等操作避免了代价高昂的密文-密文乘法从而支持任意维度包括非方阵的矩阵乘法。其实验显示16维矩阵乘法耗时约4.23秒比当时最优的方阵方案快约1.5倍。定位基础数学算子。同态加密下的矩阵乘法涉及旋转、重线性化等复杂操作是绝大多数高级应用的底层支撑。FHE-CompilerFHE 编译器负责将高级语言如 Python/C 代码转化为 FHE 可执行的底层指令涉及计算图的优化。一个FHE编译器需要自动完成几项关键决策自举Bootstrapping的放置位置何时刷新噪声、模数缩放Rescale的管理控制精度与噪声的平衡以及数据在密文槽位中的布局以最小化昂贵的旋转操作。Orbit等工作专门利用整数线性规划来优化自举和缩放的位置。循环变换CHLOE编译器专门处理FHE程序中的循环结构。它将循环区分为条件透明的循环和** oblivious循环**循环条件本身是加密的并分别进行多级向量化和控制路径削减性能提升可达1.5倍至105倍。端到端效率Parasol编译器通过引入自定义指令集架构ISA和电路自举CBS范式在运行时上实现了最高17倍的加速同时程序体积缩小22倍编译时间缩短32倍。FHE-HardwareFHE 硬件加速FHE的计算和访存模式与普通程序截然不同通用CPU效率极低这催生了专用硬件的研究。路线一FPGA与ASIC专用加速器FPGA现场可编程门阵列和ASIC专用集成电路可以针对FHE的核心运算如NTT、密钥切换、自举进行深度定制。例如HERA是一款基于HBM高带宽内存FPGA的带宽高效加速器其性能密度每乘法器的吞吐量可达当时最优ASIC方案的70.9倍。Hypnos则是一个软硬件协同设计框架通过专门的分页内存管理系统来缓解FHE巨大的内存压力在数据密集型应用上比SOTA ASIC和FPGA方案分别快2.75倍和4.72倍。路线二同态处理单元HPU——迈向通用化更长远的方向是设计原生支持FHE的通用处理器。HPUHomomorphic Processing Unit在RISC-V架构基础上扩展了同态指令集架构H-ISA目标是让FHE计算成为一种“原生”的计算机能力。其实ASIC原型在LSTM等负载上已展现出对专用TFHE加速器1.36倍的加速比但功耗和计算速度仍是待解的挑战。FHE-GPU基于 GPU 的 FHE 加速GPU加速的核心思路是将FHE中高度可并行的计算模式尤其是NTT和盲旋转映射到数千个CUDA核心上。定位底层物理执行环境。因为 FHE 计算开销极大通常需要 FPGA/ASICHardware或 GPU 来进行硬件加速。第三层上层算法与应用场景FHE-PPML隐私保护机器学习它的目标是让模型拥有者服务器和数据拥有者客户端在不泄露各自秘密的前提下完成AI计算。核心推理Inference模型是明文或加密的用户输入加密的数据服务器算完返回加密结果。目前最成熟、落地最多。训练Training数据和模型全加密服务器连模型权重都看不到直接在密文上算梯度。极难主要在学术界研究。难点非线性操作。矩阵乘法线性好办但神经网络里充满了ReLU、Max Pooling找最大值、Sigmoid这些非线性操作FHE处理起来极其昂贵。解决方案多项式近似用高阶多项式去逼近ReLU比如 x2x2 或 x3x3把非线性变成同态加法和乘法。但精度容易崩。混合协议FHE MPC线性部分用FHECKKS非线性部分用安全多方计算MPC或者 TFHE 的可编程自举PBS。FHE-CNN基于 FHE 的卷积神经网络PPML 的具体子领域推理/Inference。如何在加密状态下完成 CNN 的前向传播。卷积 (Convolution)在 CKKS 方案下利用SIMD Batching技术将多维张量如多通道图像映射到多项式系数槽Slots中将卷积转化为循环矩阵-向量乘法或点积。使用同态旋转Rotation与明文-密文乘法Plaintext-Ciphertext Multiplication替代昂贵的密文-密文乘法。激活函数 (ReLU)一般采用 f(x)x^2 或 f(x)ax^2bxc等低阶多项式进行近似替代。池化层 (Pooling)由于密文下求最大值Max Pooling涉及非线性比较通常降级替换为线性计算友好的平均池化 (Average Pooling)。FHE-TrainingFHE 模型训练PPML 的进阶子领域。在加密数据上直接训练模型难度远高于推理通常涉及多项式近似等技术。难点噪声爆炸与计算深度反向传播需要计算梯度涉及大量链式求导与高阶乘法。每次迭代都会极大消耗噪声预算Noise Budget导致必须极其频繁地执行自举Bootstrapping计算开销远超推理。解决方式限制模型复杂度主要集中于同态逻辑回归Logistic Regression、线性 SVM 等浅层模型。多项式激活与求导使用高阶平滑多项式替代ReLU以支持梯度的同态求导。混合训练架构前向/反向传播的线性部分使用 FHE 加速非线性梯度更新交由 MPC 或联邦学习FL框架处理。FHE-RetrievalFHE 信息检索密码学领域的重要分支通常指PIR (Private Information Retrieval)即单服务器隐私信息检索。业务逻辑客户端持有查询索引 i加密服务器持有数据库 DB明文或密文。服务器在同态下返回 DB[i] 的密文且对 i 不可见客户端解密后仅获取 DB[i]。同态实现机制:精确匹配 (Exact Match)通常采用BFV整数或TFHE布尔。客户端发送加密的指示向量One-hot Vector服务器进行同态内积运算。向量检索 (Vector Similarity)面向大模型的 RAG 向量数据库。通常采用CKKS服务器同态计算查询向量与数据库向量的内积或欧氏距离返回最相似的 Top-K 密文。
全同态加密的概念同态密文计算的结果解密后等于明文计算的结果。即 Dec(Enc(a)⊕Enc(b))ab全同态支持任意深度的加法和乘法运算不仅是单一操作而且可以无限次组合。第一层密码学基础与底层理论FHE-Scheme全同态加密方案噪声增长每次密文计算尤其是乘法都会导致噪声增大一旦噪声超过阈值解密就会失败。这是 FHE 与普通公钥加密最大的不同。自举Bootstrapping是用公钥加密私钥在密文状态下解密自身“吃自己的尾巴”从而“刷新”密文重置噪声大小。SIMD 批处理Batching把成百上千个数据塞进一个密文里一次计算处理所有数据基于中国剩余定理 CRT 或复数域编码模数切换Modulus Switching和重线性化Relinearization用于控制密文膨胀和噪声增长密钥切换Key Switching转换密文所使用的密钥例如从公钥切换到私钥或用于同态旋转BGV / BFV 方案底层数学基于 LWE / RLWE环上容错学习问题。特点主要处理整数和模运算。采用“层级Leveled”同态即在噪声耗尽前预先设定好电路深度。BGV 与 BFV 在打包Batching和模数切换Modulus Switching上略有不同。应用适合逻辑电路、精确整数计算。CKKS 方案底层数学基于 RLWE。特点专门为浮点数/复数近似计算设计。它将消息编码在多项式的系数中支持 SIMD单指令多数据批处理。应用隐私保护机器学习PPML、神经网络推理FHE-CNN、线性代数FHE-Matrix Multiplication几乎全用它。TFHE / FHEW 方案传统的 FHE 方案如 BGV/BFV执行一次深度计算后密文中的“噪声”会累积到临界值必须进行耗时的自举操作来“刷新”噪声这曾是 FHE 实用化的最大瓶颈。FHEW 和 TFHE 的设计截然不同它们不再等待电路达到一定深度后才自举而是每评估一个逻辑门如一个 AND 门就立即对结果密文进行一次自举。这使得它们能够处理任意深度的布尔电路。正是通过将自举操作极致地优化FHEW 和 TFHE 才得以实用。TFHE全同态加密其最核心的创新在于实现了极快的自举Bootstrapping速度将密文噪声刷新时间从秒级压缩至毫秒级这使得对加密数据进行实时计算成为可能。与BFV/BGV擅长整数算术、CKKS擅长浮点近似计算不同TFHE采用逐位加密专为布尔电路逻辑门和低精度运算而设计在处理比较、查表、控制流等非线性操作时具有显著优势 。一次完整的TFHE自举以刷新一个TLWE密文为例通常包含以下关键步骤其核心是盲旋转Blind Rotation它占据了绝大部分计算时间初始化Initialize根据输入的TLWE密文初始化一个包含“测试多项式”的同态累加器Homomorphic Accumulator。盲旋转Blind Rotation这是最核心、最耗时的一步。利用自举密钥由TRGSW密文组成与累加器中的TRLWE密文进行一系列外积运算根据加密的输入值在密文状态下“旋转”累加器中的多项式。样本提取Sample Extraction从旋转后的TRLWE密文中提取出一个分量通常是常数项将其转换为一个TLWE密文。此时该密文的噪声已被刷新。密钥切换Key Switching通过密钥切换技术将密文从自举过程使用的中间密钥下切换回原始的TLWE密钥使密文格式与输入保持一致。第二层系统架构与工程实现FHE-Matrix MultiplicationFHE 矩阵乘法矩阵乘法是绝大多数机器学习负载的核心。在FHE中它之所以困难根源在于密文旋转Rotation的代价极高。高效的FHE矩阵乘法方案本质上都是围绕“如何减少旋转次数”来设计的核心技术SIMD打包与分块策略主流方案如基于CKKS利用SIMD单指令多数据批处理技术将一个矩阵的多个元素打包进单个密文的不同“槽位slot”中。这样一次密文运算就能同时处理数十甚至数百个数据点。在此基础上MAT-FHE等方案通过将矩阵填充为超立方体结构并利用按行/列旋转、密文-明文乘法等操作避免了代价高昂的密文-密文乘法从而支持任意维度包括非方阵的矩阵乘法。其实验显示16维矩阵乘法耗时约4.23秒比当时最优的方阵方案快约1.5倍。定位基础数学算子。同态加密下的矩阵乘法涉及旋转、重线性化等复杂操作是绝大多数高级应用的底层支撑。FHE-CompilerFHE 编译器负责将高级语言如 Python/C 代码转化为 FHE 可执行的底层指令涉及计算图的优化。一个FHE编译器需要自动完成几项关键决策自举Bootstrapping的放置位置何时刷新噪声、模数缩放Rescale的管理控制精度与噪声的平衡以及数据在密文槽位中的布局以最小化昂贵的旋转操作。Orbit等工作专门利用整数线性规划来优化自举和缩放的位置。循环变换CHLOE编译器专门处理FHE程序中的循环结构。它将循环区分为条件透明的循环和** oblivious循环**循环条件本身是加密的并分别进行多级向量化和控制路径削减性能提升可达1.5倍至105倍。端到端效率Parasol编译器通过引入自定义指令集架构ISA和电路自举CBS范式在运行时上实现了最高17倍的加速同时程序体积缩小22倍编译时间缩短32倍。FHE-HardwareFHE 硬件加速FHE的计算和访存模式与普通程序截然不同通用CPU效率极低这催生了专用硬件的研究。路线一FPGA与ASIC专用加速器FPGA现场可编程门阵列和ASIC专用集成电路可以针对FHE的核心运算如NTT、密钥切换、自举进行深度定制。例如HERA是一款基于HBM高带宽内存FPGA的带宽高效加速器其性能密度每乘法器的吞吐量可达当时最优ASIC方案的70.9倍。Hypnos则是一个软硬件协同设计框架通过专门的分页内存管理系统来缓解FHE巨大的内存压力在数据密集型应用上比SOTA ASIC和FPGA方案分别快2.75倍和4.72倍。路线二同态处理单元HPU——迈向通用化更长远的方向是设计原生支持FHE的通用处理器。HPUHomomorphic Processing Unit在RISC-V架构基础上扩展了同态指令集架构H-ISA目标是让FHE计算成为一种“原生”的计算机能力。其实ASIC原型在LSTM等负载上已展现出对专用TFHE加速器1.36倍的加速比但功耗和计算速度仍是待解的挑战。FHE-GPU基于 GPU 的 FHE 加速GPU加速的核心思路是将FHE中高度可并行的计算模式尤其是NTT和盲旋转映射到数千个CUDA核心上。定位底层物理执行环境。因为 FHE 计算开销极大通常需要 FPGA/ASICHardware或 GPU 来进行硬件加速。第三层上层算法与应用场景FHE-PPML隐私保护机器学习它的目标是让模型拥有者服务器和数据拥有者客户端在不泄露各自秘密的前提下完成AI计算。核心推理Inference模型是明文或加密的用户输入加密的数据服务器算完返回加密结果。目前最成熟、落地最多。训练Training数据和模型全加密服务器连模型权重都看不到直接在密文上算梯度。极难主要在学术界研究。难点非线性操作。矩阵乘法线性好办但神经网络里充满了ReLU、Max Pooling找最大值、Sigmoid这些非线性操作FHE处理起来极其昂贵。解决方案多项式近似用高阶多项式去逼近ReLU比如 x2x2 或 x3x3把非线性变成同态加法和乘法。但精度容易崩。混合协议FHE MPC线性部分用FHECKKS非线性部分用安全多方计算MPC或者 TFHE 的可编程自举PBS。FHE-CNN基于 FHE 的卷积神经网络PPML 的具体子领域推理/Inference。如何在加密状态下完成 CNN 的前向传播。卷积 (Convolution)在 CKKS 方案下利用SIMD Batching技术将多维张量如多通道图像映射到多项式系数槽Slots中将卷积转化为循环矩阵-向量乘法或点积。使用同态旋转Rotation与明文-密文乘法Plaintext-Ciphertext Multiplication替代昂贵的密文-密文乘法。激活函数 (ReLU)一般采用 f(x)x^2 或 f(x)ax^2bxc等低阶多项式进行近似替代。池化层 (Pooling)由于密文下求最大值Max Pooling涉及非线性比较通常降级替换为线性计算友好的平均池化 (Average Pooling)。FHE-TrainingFHE 模型训练PPML 的进阶子领域。在加密数据上直接训练模型难度远高于推理通常涉及多项式近似等技术。难点噪声爆炸与计算深度反向传播需要计算梯度涉及大量链式求导与高阶乘法。每次迭代都会极大消耗噪声预算Noise Budget导致必须极其频繁地执行自举Bootstrapping计算开销远超推理。解决方式限制模型复杂度主要集中于同态逻辑回归Logistic Regression、线性 SVM 等浅层模型。多项式激活与求导使用高阶平滑多项式替代ReLU以支持梯度的同态求导。混合训练架构前向/反向传播的线性部分使用 FHE 加速非线性梯度更新交由 MPC 或联邦学习FL框架处理。FHE-RetrievalFHE 信息检索密码学领域的重要分支通常指PIR (Private Information Retrieval)即单服务器隐私信息检索。业务逻辑客户端持有查询索引 i加密服务器持有数据库 DB明文或密文。服务器在同态下返回 DB[i] 的密文且对 i 不可见客户端解密后仅获取 DB[i]。同态实现机制:精确匹配 (Exact Match)通常采用BFV整数或TFHE布尔。客户端发送加密的指示向量One-hot Vector服务器进行同态内积运算。向量检索 (Vector Similarity)面向大模型的 RAG 向量数据库。通常采用CKKS服务器同态计算查询向量与数据库向量的内积或欧氏距离返回最相似的 Top-K 密文。
