CKKS do przybliżonych obliczeń i uczenia maszynowego

BGV/BFV działają na liczbach całkowitych (arytmetyka dokładna). Uczenie maszynowe wykorzystuje liczby zmiennoprzecinkowe (arytmetyka przybliżona). CKKS (Cheon-Kim-Kim-Song, 2017) koduje liczby rzeczywiste i zespolone oraz pozwala kontrolować utratę precyzji — dzięki temu idealnie nadaje się do wnioskowania ML i analityki danych.

CKKS traktuje szum jako część precyzji kodowania. Zamiast eliminować szum (korygować błędy), CKKS interpretuje wynik jako przybliżenie z gwarantowanymi granicami precyzji. Ten kompromis umożliwia znacznie wydajniejsze HE dla obliczeń na wartościach ciągłych.

CKKS koduje wektor liczb zespolonych jako wielomian: wektor (z_0, ..., z_{n/2-1}) jest odwzorowywany za pomocą odwrotnej transformaty FFT na wielomian w R. Współczynnik skalowania Δ (np. 2^40) odwzorowuje liczby zmiennoprzecinkowe na liczby całkowite. Jeden szyfrogram zawiera n/2 slotów rzeczywistych.

Po mnożeniu współczynnik skalowania podwaja się: Δ^2. CKKS wprowadza operację reskalowania: dzielenie przez Δ w celu przywrócenia pojedynczego skalowania. Zmniejsza to również poziom modułu szyfrogramu (podobnie jak przełączanie modułu w BGV), dzięki czemu szyfrogram pozostaje możliwy do obsługi.

Każde mnożenie zużywa jeden poziom modułu i zmniejsza precyzję o około log2(Δ) bitów. Dla obwodu o głębokości L i współczynniku skalowania Δ = 2^40 całkowita utrata precyzji wynosi około L*40 bitów. Początkowy moduł Q należy wybrać na tyle duży, aby pomieścić ten budżet precyzji.

Warstwy liniowe (mnożenie macierzy przez wektor): wydajne — rotacja i akumulacja. Funkcje aktywacji (ReLU, sigmoid): wymagają przybliżenia wielomianowego. ReLU: przybliżenie wielomianem Czebyszewa stopnia 7. Utrata dokładności: około 0,1–1% w porównaniu z wnioskowaniem na tekście jawnym.

Szpital szyfruje dane pacjenta za pomocą klucza publicznego CKKS pacjenta. Chmura uruchamia diagnostyczną sieć neuronową na zaszyfrowanych danych, korzystając z operacji CKKS. Zwraca zaszyfrowaną predykcję. Szpital odszyfrowuje ją za pomocą klucza prywatnego. Chmura nigdy nie ma dostępu do danych pacjenta ani do diagnozy w postaci jawnej.

Zalecenia HEAAN/OpenFHE: n=2^15 (32768) dla głębokich obwodów ML. Łańcuch modułów: początkowe Q ≈ 2^1500 dla 30 poziomów mnożenia przy Δ=2^50. Bezpieczeństwo: 128 bitów, przy założeniu, że CKKS z tymi parametrami jest równie trudne jak RLWE. Pamięć: szyfrogram ~1 MB.

Bootstrapping CKKS (Cheon i in., 2018) homomorficznie oblicza redukcję modularną w celu odświeżenia szyfrogramu. Złożoność wynika z obliczania funkcji sinus za pomocą przybliżenia wielomianowego na liczbach zespolonych. Umożliwia nieograniczoną głębokość obwodu i trwa około 30 sekund na bootstrapping.

BFV: dokładne liczby całkowite, teksty jawne zawierające liczby całkowite, brak utraty precyzji. CKKS: przybliżone liczby rzeczywiste/zespolone, teksty jawne zmiennoprzecinkowe, precyzja zmniejsza się wraz z głębokością. BFV należy stosować do: baz danych, zapytań, dokładnych obliczeń. CKKS należy stosować do: ML, statystyki, obliczeń naukowych.

HEAAN (oryginalny CKKS, Seoul National University). Microsoft SEAL (CKKS + BFV). OpenFHE (CKKS + BGV + BFV). Concrete-ML (Zama.ai, opakowuje OpenFHE dla modeli scikit-learn i PyTorch). TF-HE (eksperymenty z integracją TensorFlow + HE).

CKKS obsługuje przybliżoną arytmetykę na liczbach rzeczywistych, dzięki czemu idealnie nadaje się do wnioskowania ML i statystyki na zaszyfrowanych danych. Reskalowanie zarządza współczynnikiem skalowania, a przybliżenia wielomianowe zastępują funkcje aktywacji. Dalej: kryptografia postkwantowa — algorytmy Shora i Grovera.