Zama TFHE-rs白皮书（2）

前序博客有：

• 基于[Discretized] Torus的全同态加密指引（1）
• 基于[Discretized] Torus的全同态加密指引（2）
• TFHE——基于[Discretized] Torus的全同态加密 代码解析
• Zama TFHE-rs
• Zama TFHE-rs白皮书（1）

Zama TFHE-rs白皮书，见：

• Zama团队Ilaria Chillotti、Marc Joye、Pascal Paillier论文《Programmable Bootstrapping Enables Efficient Homomorphic Inference of Deep Neural Networks∗》。

4. Programmable Bootstrapping可编程自举

Programmable Bootstrapping可编程自举为bootstrapping技术的扩展，支持重置噪声到某固定级别，与此同时，对输入密文做某函数evaluate。

本节将详细介绍如何做常规bootstrapping，然后继续到可编程自举，同时展示如何将任意函数表示为look-up table来做evaluate。当可编程自举中的$f$为identity函数时，其就是常规自举。

4.1 blind rotation

Gentry的bootstrapping为：

• 对某密文自身的解密密钥加密，使用该加密后的解密密钥，来对该密文进行同态解密，与此同时降低该密文中的噪声。

4.1.1 Intuition

Intuition：
对于$\overline{LWE}$密文$\bar{c}\leftarrow {\overline{LWE}}_{\mathbf{s}}(\bar{\mu })=({\bar{a}}_1,\cdots ,{\bar{a}}_n,\bar{b})\in (\mathbb{Z}/q\mathbb{Z}{)}^{n+1}$，其中：

• ${\bar{a}}_j\stackrel{\S }{\leftarrow }\mathbb{Z}/q\mathbb{Z}$
• $\bar{b}={\sum }_{j=1}^n{s}_j{\bar{a}}_j+{\bar{\mu }}^{\ast }$，其中${\bar{\mu }}^{\ast }=\bar{\mu }+\bar{e}$，离散噪声$\bar{e}=\lceil eq\rfloor (\mathrm{mod}q)$，$e\leftarrow \mathcal{N}(0,{\sigma }^2)$。
• 密文$\bar{c}$，为基于私钥$\mathbf{s}=(s_1,\cdots ,s_n)\in {\mathbb{B}}^n$，对明文$\bar{\mu }\in \mathbb{Z}/q\mathbb{Z}$的加密。
• 使用私钥$\mathbf{s}$，对密文$\bar{c}$解密分为2步：
  • ${\bar{\mu }}^{\ast }\leftarrow \bar{b}-{\sum }_{j=1}^n{s}_j{\bar{a}}_j$
  • $\bar{\mu }\leftarrow Uppe{r}_{q,p}({\bar{\mu }}^{\ast })$

为bootstrap，可将（无rounding）的解密看成是：
$-{\bar{\mu }}^{\ast }=-\bar{b}+{\sum }_{j=1}^n{s}_j{\bar{a}}_j(\mathrm{mod}q)$

将该值作为$X$的指数，获得单项式$X^{-{\bar{\mu }}^{\ast }}$。注意，${\bar{\mu }}^{\ast }$有$q$个可能的取值。粗略的思想为，对于所有可能的${\bar{\mu }}^{\ast }$值，构建多项式——test polynomial，使得其每个系数都编码了对应${\bar{\mu }}^{\ast }$的无噪声值，即$\bar{\mu }=Uppe{r}_{q,p}({\bar{\mu }}^{\ast })$。
特别地，假设该test polynomial为degree-$q$多项式$\bar{v}={\bar{v}}_0+{\bar{v}}_{1}X+\cdots +{\bar{v}}_{q-1}{X}^{q-1}$，则其第$i$个系数设置为${\bar{v}}_i=Uppe{r}_{q,p}(i\mathrm{mod}q)$。

通过对该test polynomial $\bar{v}$ rotate ${\bar{\mu }}^{\ast }$ 个位置，$\bar{\mu }$值就移至了常量系数位置，然后剩下的就是extract该值了。如下图所示：

当然，该rotation是同态进行的，因此名为blind rotation。同时，由于$X^{-{\bar{\mu }}^{\ast }}\cdot \bar{v}$为多项式，这正是$\overline{GLWE}$加密所要处理的。

$\overline{GLWE}$中的多项式都是基于模$X^N+1$定义的。这即意味着$X$为${\mathbb{Z}}_N[X]$中order为$2N$的multiplicative元素。【$X^{N+i}\equiv -X^i(\mathrm{mod}{X}^N+1)$，从而有$X^N\equiv -1(\mathrm{mod}{X}^N+1)$，以及$X^{2N}\equiv 1(\mathrm{mod}{X}^N+1)$。】
但是在$\overline{LWE}$加密中，${\bar{\mu }}^{\ast }$是基于模$q$定义的。因此，需要将其rescale为模$2N$。因此，不适用relation $-{\bar{\mu }}^{\ast }=-\bar{b}+{\sum }_{j=1}^n{s}_j{\bar{a}}_j(\mathrm{mod}q)$，而实际依赖于其近似值：
$-{\tilde{\mu }}^{\ast }=-\tilde{b}+{\sum }_{j=1}^n{s}_j{\tilde{a}}_j(\mathrm{mod}2N)$
其中：

• $\tilde{b}=\lceil \frac{2N(\bar{b}\mathrm{mod}q)}{q}\rfloor$
• ${\tilde{a}}_j=\lceil \frac{2N({\bar{a}}_j\mathrm{mod}q)}{q}\rfloor$

这种近似可能会生成一个小的额外error添加到噪声中。称该额外error为drift：

• drift 同时依赖$\overline{LWE}$的size $n$，和，$\overline{GLWE}$中的ring size $N$
• 可通过小心选择参数，可处理drift对结果的影响。

同时，因为test polynomial $\bar{v}$ 属于 ${\hat{\mathbb{Z}}}_N[X]$，因此其由$N$个系数，最多可编码$N$个${\tilde{\mu }}^{\ast }$值——对应的解决方案为，确保${\tilde{\mu }}^{\ast }$的最高有效位为$0$，即要求参数$\bar{w}\ge 1$。此时，${\tilde{\mu }}^{\ast }$最多有$N$个可能值，该test polynomial $\bar{v}={\bar{v}}_0+\cdots +{\bar{v}}_{N-1}{X}^{N-1}$，其中：
${\bar{v}}_i=Uppe{r}_{q,p}(\frac{q}{2N}i\mathrm{mod}q)$。

4.1.2 implementation

接下来将解释在$\overline{GLWE}$加密情况下，如何计算$X^{-{\tilde{\mu }}^{\ast }}$与test polynomial $\bar{v}$ 之间的乘积——可通过一系列CMux gates来实现。

用于加密$\overline{LWE}$密文的私钥bits $s_j$是不可公开的。基于某加密密钥${\mathfrak{s}}^{\prime }\in {\mathbb{B}}_N[X{]}^k$，对$\overline{LWE}$私钥逐bit做$\overline{GGSW}$加密，可获得bootstrapping keys——对于所有的$j=1,\cdots ,n$，有：
$bsk[j]\leftarrow {\overline{GGSW}}_{{\mathfrak{s}}^{\prime }}(s_j)$。

对应的blind rotation算法见Algorithm 1：

Blind rotation算法中，循环结束时，$ACC$包含了，基于key ${\mathfrak{s}}^{\prime }$ 对 $X^{-{\tilde{\mu }}^{\ast }}\cdot \bar{v}$ 做$\overline{GLWE}$ 加密的密文。

以${\bar{\mathfrak{c}}}_j^{\prime }$来表示Algorithm 1中$i=j$时 accumulator $ACC$ 的值。则有：
${\bar{\mathfrak{c}}}_j^{\prime }\leftarrow {\overline{GLWE}}_{{\mathfrak{s}}^{\prime }}(X^{-\tilde{b}+{\sum }_{i=1}^j{s}_i{\tilde{a}}_i}\cdot \bar{v})$。

令${\bar{\mathfrak{c}}}^{\prime }={\bar{\mathfrak{c}}}_n$，则有：
$$\begin{gathered} {\bar{\mathfrak{c}}}^{\prime }\leftarrow \underset{={\overline{GLWE}}_{{\mathfrak{s}}^{\prime }}(X^{-{\tilde{\mu }}^{\ast }}\cdot \bar{v})}{\underbrace{{\overline{GLWE}}_{{\mathfrak{s}}^{\prime }}(X^{-\tilde{b}+{\sum }_{i=1}^n{s}_i{\tilde{a}}_i}\cdot \bar{v})}} \\ \leftarrow {\overline{GLWE}}_{{\mathfrak{s}}^{\prime }}(\bar{u}) \end{gathered}$$

其中，多项式$\bar{u}\in {\hat{\mathbb{Z}}}_N[X]$的常量项为$\bar{\mu }$，即$\bar{u}:=X^{-{\tilde{\mu }}^{\ast }}\cdot \bar{v}={\bar{u}}_0+{\bar{u}}_{1}X+\cdots +{\bar{u}}_{N-1}{X}^{N-1}$，其中${\bar{u}}_0=\bar{\mu }$。

bootstrapping剩余的步骤包含：

• sample extraction：
  • 提取$\bar{u}=X^{-{\tilde{\mu }}^{\ast }}\cdot \bar{v}$ 作为$\bar{\mu }$的$\overline{LWE}$密文。
  • 其实际是简单的提取 ${\bar{\mathfrak{c}}}^{\prime }$ $\overline{GLWE}$密文 中的一些系数。

sample extraction的实现细节为：

• 1）令${\mathfrak{s}}^{\prime }=({\mathfrak{s}}_1^{\prime },\cdots ,{\mathfrak{s}}_k^{\prime })\in {\mathbb{B}}_N[X{]}^k$，其中对于$1\le j\le k$，有：
  ${\mathfrak{s}}_j^{\prime }=s_{j,0}^{\prime }+\cdots +s_{j,N-1}^{\prime }{X}^{N-1}$
• 2）将${\bar{\mathfrak{c}}}^{\prime }\leftarrow {\overline{GLWE}}_{{\mathfrak{s}}^{\prime }}(\bar{u})\in {\hat{\mathbb{Z}}}_N[X{]}^{k+1}$解析为$({\bar{\mathfrak{a}}}_1^{\prime },\cdots ,{\bar{\mathfrak{a}}}_k^{\prime },{\bar{\mathfrak{b}}}^{\prime })$，其中对于$1\le j\le k$，有：
  ${\bar{\mathfrak{a}}}_j^{\prime }={\bar{a}}_{j,0}^{\prime }+\cdots +{\bar{a}}_{j,N-1}^{\prime }{X}^{N-1}$
  ${\bar{\mathfrak{b}}}^{\prime }={\bar{b}}_0^{\prime }+\cdots +{\bar{b}}_{N-1}^{\prime }{X}^{N-1}$
• 3）可验证，${\bar{c}}^{\prime }:=({\bar{a}}_{1,0}^{\prime },-{\bar{a}}_{1,N-1}^{\prime },\cdots ,-{\bar{a}}_{1,1}^{\prime },\cdots ,{\bar{a}}_{k,0}^{\prime },-{\bar{a}}_{k,N-1}^{\prime },-{\bar{a}}_{k,1}^{\prime },{\bar{b}}_0^{\prime })\in (\mathbb{Z}/q\mathbb{Z}{)}^{kN+1}$，为，基于key ${\mathbf{s}}^{\prime }=(s_1^{\prime },\cdots ,s_{kN}^{\prime })\in {\mathbb{B}}^{kN}$，对$\bar{\mu }$的$\overline{LWE}$加密。其中对于$1\le j\le k$和$0\le l\le N-1$，有$s_{l+1+(j-1)N}^{\prime }:=s_{j,l}^{\prime }$。

4.1.3 key switching

经以上blind rotation和sample extraction之后，会将输入密文$\bar{c}\leftarrow {\overline{LWE}}_{\mathbf{s}}(\bar{\mu })\in (\mathbb{Z}/q\mathbb{Z}{)}^{n+1}$，转换为输出密文${\bar{c}}^{\prime }\leftarrow {\overline{LWE}}_{{\mathbf{s}}^{\prime }}(\bar{\mu })\in (\mathbb{Z}/q\mathbb{Z}{)}^{n+1}$，二者加密的是相同的明文$\bar{\mu }$，但使用的是不同的加密密钥，且具有不同的格式。

为将${\bar{c}}^{\prime }$转换为原始的$\bar{c}$，需要额外的操作：

• key switching

FHE中，key switching是经典技术，可用于：

• 在不同的参数设置下，对加密密钥进行switch。

实现key switching技术时，需用到key-switching keys。所谓key-switching keys，其本质为：

• 基于原始加密密钥$\mathbf{s}$，对${\mathbf{s}}^{\prime }$逐bit做$\overline{LWE}$加密。
  

理论上看，key switching看起来与bootstrapping非常相似：

• bootstrapping：降低噪声，以满足计算要求。
• key switching：增加噪声，使得evaluate更便宜。

Remark 2：
如上所属，输入明文会经过3个转换：

• 1）blind rotation：有噪声的
• 2）sample extraction：无噪声的
• 3）key switching：有噪声的
  ${\bar{c}}^{(out)}\leftarrow KeySwitch\circ SampleExtract\circ BlindRotate({\bar{c}}^{(in)})$
  
  同时，在Florian Bourse等人2018年论文 Fast homomorphic evaluation of deep discretized neural networks中，作者发现，[nosiy] key switching流程可四处移动。
  考虑到输入输出密文均属于$(\mathbb{Z}/q\mathbb{Z}{)}^{kN+1}$，则bootstrapping流程也可表示为：
  ${\bar{c}}^{\prime (out)}\leftarrow SampleExtract\circ BlindRotate\circ KeySwitch({\bar{c}}^{\prime (in)})$

由于sample extraction是无噪声的，输出密文中包含的唯一噪声源自blind rotation。与key switching相对应的噪声不会相加。

4.2 Look-up Table Evaluation

之前章节中，blind rotation用于做bootstrapping。
此外，blind rotation技术还可调整用于对函数evaluate。函数会被evaluate为某编码进test polynomial的look-up table。

特别地，对于具有domain $\mathcal{D}$的任意函数$f$，基于已加密数据进行evaluate，并想象有$\mathcal{F}$：
$f:\mathcal{D}\to \mathcal{F},x\mapsto y=f(x)$。

假设已知编码函数 $Encode:\mathcal{D}\to \mathbb{Z}/q\mathbb{Z}$ 和 $Encod{e}^{\prime }:\mathcal{F}\to \mathbb{Z}/q\mathbb{Z}$，及其相应的解码函数 $Decode$ 和 $Decod{e}^{\prime }$。

之前章节中提到，通过选择test polynomail $\bar{v}={\bar{v}}_0+{\bar{v}}_{1}X+\cdots +{\bar{v}}_{N-1}{X}^{N-1}$，其中${\bar{v}}_i=Uppe{r}_{q,p}(\frac{q}{2N}i\mathrm{mod}q)$，可将某$\bar{\mu }$的密文，转换为具有更低噪声的、对相同$\bar{\mu }$的密文。

对于$0\le i\le N-1$，定义具有pairs $(i,T[i])$的look-up table，其中：
$T[i]=Encod{e}^{\prime }\circ f\circ Decode\circ Uppe{r}_{q,p}(\frac{q}{2N}i\mathrm{mod}q)$

如上图所示，有test polynomail $\bar{v}={\bar{v}}_0+{\bar{v}}_{1}X+\cdots +{\bar{v}}_{N-1}{X}^{N-1}$，其中${\bar{v}}_i=T[i]$。剩下的处理流程与4.1节中的一致，保持不变。

这样，up to the drift，$\bar{\mu }$的输入密文（$\bar{\mu }$为对某$s\in \mathcal{D}$值的编码），将被转换为编码了$f(x)$值的密文。此外，作为bootstrapping的输出，最终的密文具有低级别的噪声。以上整个流程称为programmable bootstrapping。

Remark 3：

• 常规的bootstrapping，要求编码参数$\bar{w}\ge 1$。
• 当look-up table中的元素是negacyclic时，可将常规bootstrapping提升为programmable bootstrapping。所谓negacyclic，是指$T[i+N]\equiv -T[i](\mathrm{mod}2N)$，此时$2N$值实际是programmed。

5. 神经网络应用

至此，所有工具均已列出。本节，将把这些工具用于对神经网络进行同态evaluate。

Neural Network（NN，神经网络）最初是在计算机科学中通过类比人脑来构建的，目的是解决机器以前无法解决的复杂问题。神经网络可以被训练，然后用于对物体进行分类、探测疾病、进行人脸识别等。神经网络如下图所示，由相互连接的人工神经元组成，这些神经元会分层：

• 第一层包含初始数据，称为输入层。
• 最后一层称为输出层。
• 输入层与输出层之间的层用于计算，称为hidden隐藏层。
  
  如下图展示了单个人工神经元示例结构。人工神经元模仿生物神经元。神经元接收：
• $d$个输入信号$x_i$，每个信号由参数$w_i$（量化其各自的影响）加权
• 1个输入偏置参数$b。
• 输出信号为$z=f(s)$，其中$s={\sum }_d^i=w_i{x}_i+b$。函数$f$是非线性的，并被称为激活函数。

神经网络中的不同层通常旨在从输入数据中连续提取辨别特征或模式。层的数量和在每层中执行的操作类型取决于神经网络试图实现的任务。

接下来回顾一些常用于构建神经网络的层。该清单并非详尽无遗。本文技术是通用的，支持所有已知类型的层。每个层接收来自前一层的输入，执行一些计算，并产生输出。输出然后作为输入流到下一层。在处理加密数据时，可以区分两种类型的层：

• 1）可使用分级运算（leveled operations）进行同态评估的层；【只要噪声超过某个阈值，第一类型的层也可以对一些中间值进行自举操作。】
• 2）涉及非线性或更复杂操作的层，在这种情况下，需要一个或多个可编程自举（PBS，Programmable bootstrappings）。

5.1 没有PBS的层

没有PBS的层有：

• 1）Dense/linear密集/线性层
• 2）convolution卷积层
• 3）addition加法层
• 4）Flatten拍平层
• 5）Global average pooling全局平均池化层

5.1.1 Dense/linear致密/线性层

（全连接）密集层，计算输入和权重矩阵之间的点积。可添加一个偏置向量。激活函数然后按逐个元素应用以产生输出。当没有激活函数时，密集层也称为线性层。

当以同态方式进行评估时，权重和偏置向量是明文停工的。因此，对密集层（激活除外）的评估包括一系列常数乘法和加法运算，这些运算都是leveled operations。

激活函数将在下一节中进行处理（请参见激活层）。

5.1.2 convolution卷积层

卷积层将输入层与由权重张量组成的卷积核（也称为filters滤波器）进行卷积，以产生输出张量。可以将偏差添加到输出中。此外，激活函数可以应用于输出。下图一个2D卷积。

filters是明文提供的。与密集层类似，对卷积层（激活除外）的评估包括一系列常数乘法和加法运算，这些运算都是leveled operations。

5.1.3 addition加法层

加法层会逐元素做加法运算。基于已加密数据，这些都是leveled operations。

5.1.4 Flatten拍平层

拍平层，会将输入，重整为低维度数组——如，喂入随后的密基层。
基于已加密数据，拍平函数简单地对输入密文进行重排。无需同态运算。

5.1.5 Global average pooling全局平均池化层

全局平均池化层，计算输入元素的平均值。若$n$表示元素个数，$a_i$表示第$i$个元素的值，则全局平均池化函数计算：
$({\sum }_{i=1}^n{a}_i)/n$

在同态评估时，可将全局平均池化reduce为求和计算${\sum }_{i=1}^n{a}_i$。除以$n$的运算可在后续programmable bootstrapping中进行——如在密集层或卷积层中，除以相同量的权重。因此，对全局平均池化层同态评估时，仅需要做密文加法运算——是leveled operations。

5.2 具有PBS的层

具有PBS的层有：

• 1）激活层：ReLU
• 2）最大池化层

5.2.1 激活层：ReLU

激活层，用于向神经网络中注入非线性性。在学习中，激活层至关重要。激活层中可使用很多激活函数。最流行的激活函数为：

• Rectified Linear Unit（ReLU）函数
  

其它常用的激活函数有：

• sigmoid函数
• hyperbolic tangent函数

如第4章所属，对激活函数（即任意函数）的同态评估，可通过programmable bootstrapping（PBS）来实现，该函数的输出编码在test polynomials内。

5.2.2 最大池化层

最大池化层，从输入中提取固定大小的元素子集，并计算其中的最大值。

初步看，max函数是多变量的（其对输入有多个参数），如何对其同态评估是并不清晰的。
通过2个参数，max函数可表示为【单变量】ReLU函数：
$\max (x,y)=y+ReLU(x-y)$

因此，通过密文$Encrypt(x),Encrypt(y)$，有$Encrypt(\max (x,y))=Encrypt(y)+Encrypt(ReLU(z))$，其中$Encrypt(z)=Encrypt(x)-Encrypt(y)$。这需要一组密文加减法，以及对ReLU函数的同态评估，对应的开销为one PBS。

为对具有更多参数的最大池化层进行评估，基本的关系为：

• $\max (x_{,}\cdots ,x_{k-1},x_k)=\max (y_k,x_k)$，其中：
  • $y_k=\max (x_{,}\cdots ,x_{k-1})$，以此类推。

对$k$个元素$(x_1,\cdots ,x_k)$的最大池化函数进行同态评估，需要$k-1$个PBS。

6. 试验结果和benchmarks

本文进行了一系列试验以评估性能。基于MNIST数据集——其包含了手写数字的$28\times 28$图片。为测试需要，设计了depth为20、50、100的神经网络，分别表示为$NN-20$、$NN-50$、$NN-100$。这些网络均包含了具有激活函数的密集层和卷积层，且每个隐藏层至少拥有92个活跃神经元。

6.1 parameter sets参数集

目标安全级别为80位和128位。word-size为$\Omega =64$位。针对$\overline{GLWE}$加密的$(k,N,\sigma )$参数，以及，$\overline{LWE}$加密的$(n,\sigma )$参数为：

不同的参数集Ⅰ、Ⅱ、Ⅲ，均至少满足所声称的安全级别，且均使用lwe-estimator验证。这些参数集可用于最大精度为8位到12位的同态推理网络。

6.2 性能分析

性能测试时，主要针对2类不同机器：

• PC个人电脑： 2.6 GHz 6-Core Intel® Core™ i7处理器
• AWS云服务器：3.00 GHz Intel® Xeon® Platinum 8275CL processor with 96 vCPUs

下图Table 2中：

• run-time和accuracy是针对未加密推理的。
• 其使用ONNX Runtime来衡量
  

下图Table 3中：

• run-time和accuracy是针对已加密数据推理的。
  
  Table 3中结论，明确说明了参数选择的重要性，以及不同的取舍权衡。特别地，参数$N$值越大，将增加accuracy，代价是更多的processing（即run-time）。

7. 结论

本文提出了一个使用全同态加密评估深度神经网络的通用框架。本文方法可有效地根据层数进行缩放，同时提供良好的精度结果。为此，采用了编码方法和可编程自举技术的通用组合。据已知信息，本文结果在深度神经网络的同态推理中创下了新纪录。

本文框架的实用性需要进一步的研究：

• 首先，了解在本文框架中使用专用硬件的影响是很有意思的。作者认为，通过这种方式可将处理时长提升几个数量级。
• 另一项有趣的工作是研究如何将本文技术扩展到神经网络的同态训练，或者更广泛地扩展到其他密集的机器学习任务。

FHE系列博客

• 技术探秘：在RISC Zero中验证FHE——由隐藏到证明：FHE验证的ZK路径（1）
• 基于[Discretized] Torus的全同态加密指引（1）
• 基于[Discretized] Torus的全同态加密指引（2）
• TFHE——基于[Discretized] Torus的全同态加密 代码解析
• 技术探秘：在RISC Zero中验证FHE——RISC Zero应用的DevOps（2）
• FHE简介
• Zama TFHE-rs
• Zama TFHE-rs白皮书（1）