CKKS für approximative Arithmetik und ML

BGV/BFV arbeiten mit Ganzzahlen (exakte Arithmetik). Maschinelles Lernen verwendet Gleitkommazahlen (approximative Arithmetik). CKKS (Cheon-Kim-Kim-Song, 2017) codiert reelle und komplexe Zahlen und erlaubt einen kontrollierten Präzisionsverlust – ideal für ML-Inferenz und Datenanalysen.

CKKS behandelt das Rauschen als Teil der Codierungspräzision. Statt das Rauschen zu eliminieren (Fehlerkorrektur), interpretiert CKKS das Ergebnis als Approximation mit garantierten Präzisionsgrenzen. Dieser Zielkonflikt ermöglicht eine wesentlich effizientere HE für Berechnungen mit kontinuierlichen Werten.

CKKS codiert einen Vektor komplexer Zahlen als Polynom: Ein Vektor (z_0, ..., z_{n/2-1}) wird mithilfe der inversen FFT auf ein Polynom in R abgebildet. Der Skalierungsfaktor Δ (z. B. 2^40) bildet Gleitkommawerte auf Ganzzahlen ab. Pro Chiffrat stehen n/2 reelle Slots zur Verfügung.

Nach einer Multiplikation verdoppelt sich der Skalierungsfaktor: Δ^2. CKKS führt eine Neuskalierungsoperation ein: Durch Division durch Δ wird die einfache Skalierung wiederhergestellt. Dabei wird auch die Modulus-Stufe des Chiffrats reduziert (ähnlich wie beim Modulus Switching in BGV), sodass das Chiffrat handhabbar bleibt.

Jede Multiplikation verbraucht eine Modulus-Stufe und reduziert die Präzision um etwa log2(Δ) Bit. Für einen Schaltkreis der Tiefe L mit dem Skalierungsfaktor Δ = 2^40 beträgt der gesamte Präzisionsverlust ungefähr L*40 Bit. Wählen Sie den anfänglichen Modulus Q so groß, dass dieses Präzisionsbudget berücksichtigt wird.

Lineare Schichten (Matrix-Vektor-Multiplikation): effizient – Rotation und Akkumulation. Aktivierungsfunktionen (ReLU, sigmoid): Eine polynomiale Approximation ist erforderlich. ReLU: Approximation durch ein Tschebyscheff-Polynom vom Grad 7. Präzisionsverlust: etwa 0,1–1 % gegenüber der Klartext-Inferenz.

Ein Krankenhaus verschlüsselt Patientendaten mit seinem öffentlichen CKKS-Schlüssel. Die Cloud führt mit CKKS-Operationen ein diagnostisches neuronales Netz auf den verschlüsselten Daten aus. Sie gibt eine verschlüsselte Vorhersage zurück. Das Krankenhaus entschlüsselt sie mit dem privaten Schlüssel. Die Cloud erhält zu keinem Zeitpunkt Einblick in die Patientendaten oder die Diagnose im Klartext.

Empfehlung von HEAAN/OpenFHE: n=2^15 (32768) für tiefe ML-Schaltkreise. Modulus-Kette: anfängliches Q ≈ 2^1500 für 30 Multiplikationsebenen bei Δ=2^50. Sicherheit: 128 Bit, sofern CKKS mit diesen Parametern mindestens so schwer zu lösen ist wie RLWE. Speicherbedarf: Chiffrat etwa 1 MB.

Das CKKS-Bootstrapping (Cheon et al., 2018) wertet die Modulusreduktion homomorph aus, um das Chiffrat aufzufrischen. Komplexität: Auswertung der Sinusfunktion (mithilfe einer polynomialen Approximation) über komplexen Zahlen. Ermöglicht unbegrenzte Schaltkreistiefe bei etwa 30 Sekunden pro Bootstrapping.

BFV: exakte Ganzzahlen, Ganzzahl-Klartexte, kein Präzisionsverlust. CKKS: approximative reelle/komplexe Zahlen, Gleitkomma-Klartexte, mit zunehmender Tiefe abnehmende Präzision. Verwenden Sie BFV für Datenbanken, Abfragen und exakte Berechnungen. Verwenden Sie CKKS für ML, Statistik und wissenschaftliche Berechnungen.

HEAAN (ursprüngliches CKKS, Seoul National University). Microsoft SEAL (CKKS + BFV). OpenFHE (CKKS + BGV + BFV). Concrete-ML (Zama.ai, kapselt OpenFHE für scikit-learn- und PyTorch-Modelle). TF-HE (Experimente zur Integration von TensorFlow und HE).

Warum wird CKKS für die Inferenz mit maschinellem Lernen BFV vorgezogen?

CKKS unterstützt approximative Arithmetik mit reellen Zahlen und eignet sich daher ideal für ML-Inferenz und statistische Berechnungen auf verschlüsselten Daten. Die Neuskalierung verwaltet den Skalierungsfaktor; Aktivierungsfunktionen werden durch polynomiale Approximationen ersetzt. Als Nächstes folgt die Postquanten-Kryptografie – die Algorithmen von Shor und Grover.