근사 산술 및 머신러닝을 위한 CKKS

BGV/BFV는 정수에 대해 정확한 산술을 수행합니다. 머신러닝은 부동소수점 수를 사용하므로 근사 산술이 필요합니다. CKKS(Cheon-Kim-Kim-Song, 2017)는 실수와 복소수를 인코딩하고 정밀도의 손실을 제어할 수 있어 머신러닝 추론과 데이터 분석에 적합합니다.

CKKS는 잡음을 인코딩 정밀도의 일부로 취급합니다. 잡음을 제거하여 오류를 수정하는 대신, CKKS는 결과를 보장된 정밀도 범위를 가진 근사값으로 봅니다. 이러한 절충을 통해 연속값 계산을 위한 HE를 훨씬 효율적으로 만들 수 있습니다.

CKKS는 복소수 벡터를 다항식으로 인코딩합니다. 벡터 (z_0, ..., z_{n/2-1})는 역 FFT를 통해 R의 다항식으로 변환됩니다. 스케일링 인자 Δ(예: 2^40)는 부동소수점 수를 정수로 변환합니다. 암호문 하나당 n/2개의 실수 슬롯을 사용할 수 있습니다.

곱셈 후 스케일링 인자는 Δ^2로 두 배가 됩니다. CKKS는 단일 스케일링을 복원하기 위해 Δ로 나누는 크기 재조정 연산을 도입합니다. 이 과정은 암호문 법 레벨도 낮춥니다(BGV의 법 전환과 유사함). 따라서 암호문을 관리 가능한 크기로 유지할 수 있습니다.

각 곱셈은 법 레벨 하나를 소모하고 정밀도를 약 log2(Δ)비트만큼 낮춥니다. 스케일링 인자 Δ = 2^40이고 깊이가 L인 회로에서는 총 정밀도 손실이 약 L*40비트입니다. 이 정밀도 예산을 수용할 수 있도록 초기 법 Q를 충분히 크게 선택하십시오.

선형 계층(행렬-벡터 곱셈)은 회전과 누적을 사용하므로 효율적입니다. 활성화 함수(ReLU, 시그모이드)는 다항식 근사가 필요합니다. ReLU는 7차 체비쇼프 다항식으로 근사할 수 있습니다. 평문 추론과 비교한 정확도 손실은 약 0.1-1%입니다.

병원은 자체 CKKS 공개 키로 환자 데이터를 암호화합니다. 클라우드는 CKKS 연산을 사용하여 암호화된 데이터에 진단 신경망을 실행합니다. 암호화된 예측 결과를 반환합니다. 병원은 비밀 키로 복호화합니다. 클라우드는 환자 데이터나 평문 진단 결과를 전혀 볼 수 없습니다.

HEAAN/OpenFHE는 깊은 머신러닝 회로에 n=2^15(32768)를 권장합니다. 법 체인은 Δ=2^50에서 30개의 곱셈 레벨을 처리할 수 있도록 초기 Q ≈ 2^1500으로 설정합니다. 보안 수준은 128비트이며, 이러한 매개변수의 CKKS가 RLWE만큼 어렵다고 가정합니다. 암호문 메모리 크기는 약 1 MB입니다.

CKKS 부트스트래핑(Cheon 외, 2018)은 법 연산을 동형적으로 평가하여 암호문을 새로 고칩니다. 복잡도는 복소수에 대해 다항식 근사를 사용하여 사인 함수를 평가하는 데서 발생합니다. 부트스트래핑 한 번에 약 30초가 걸리지만 회로 깊이를 제한 없이 사용할 수 있습니다.

BFV는 정확한 정수, 정수 평문, 정밀도 손실 없음을 제공합니다. CKKS는 근사 실수와 복소수, 부동소수점 평문을 사용하며 깊이가 깊어질수록 정밀도가 낮아집니다. 다음에는 BFV를 사용하십시오: 데이터베이스, 질의, 정확한 계산. 다음에는 CKKS를 사용하십시오: 머신러닝, 통계, 과학 계산.

HEAAN(최초의 CKKS, 서울대학교), Microsoft SEAL(CKKS + BFV), OpenFHE(CKKS + BGV + BFV)가 있습니다. Concrete-ML(Zama.ai, scikit-learn 및 PyTorch 모델을 위해 OpenFHE를 감쌈)도 있습니다. TF-HE는 TensorFlow와 HE의 통합을 실험하는 프로젝트입니다.

머신러닝 추론에 BFV보다 CKKS를 선호하는 이유는 무엇입니까?

CKKS는 근사 실수 산술을 지원하므로 암호화된 데이터에 대한 머신러닝 추론과 통계에 적합합니다. 크기 재조정으로 스케일링 인자를 관리하고, 활성화 함수는 다항식 근사로 대체합니다. 다음 주제: 양자 이후 암호학과 쇼어 및 그로버 알고리즘입니다.