概要

今回は、準同型暗号（暗号化したままデータを計算できる暗号形式）

の中でも注目されている「格子暗号」のオープンソースライブラリ

OpenFHE

の最新バージョン v1.1 系
でできる様になった機能について解説します。

また、実際に動かすことのできるサンプルコードも紹介します。

忙しい人のためのまとめ

新機能

OpenFHEのv1.1を使用すると、次の様な機能を使えるよ

①閾値型のCKKS形式の暗号が使えるよ
②CKKS形式からFHEW（TFHE）形式に暗号状態のまま変換、その逆変換もできるよ

この記事ではそのうち、

暗号形式の動的変換

について解説するよ

何が美味しいの？

動的変換

格子暗号形式の動的変換が行えると、

CKKS形式
TFHE形式

のいいとこどりが可能になって嬉しいよ

解説

それでは、実際にOpenFHE1.1系で追加された機能について解説していきます。

暗号形式の変換

さて、追加された機能のうち
この　「暗号形式の変換」　ですが、これはある意味待ち望まれていた機能です。

始祖論文

もともとこの「変換」について提唱した論文は

この論文でした。
タイトルでは暗号形式の「統一」と書かれていますが、

「統一」を実現すると、各形式を「変換」をすることが可能になります。

暗号形式の変換とは

格子暗号にはいくつかの形式が存在し、今現在よく使われているものを挙げると

BFV
BGV
CKKS
TFHE

が有名です。その中でも、

CKKS
TFHE

形式が非常によく使われています。
CKKS形式とTFHE形式の準同型暗号についての比較は、

をお読みいただければと思います。

OpenFHEに実装された変換は、まさにこの
CKKS形式とTFHE形式（FHEW形式）の間の変換関数たちです。

変換をすると何がいいのか

CKKS形式は線形演算が得意である一方で、非線形演算や比較演算は苦手でしたし、
TFHE形式は非線形演算や比較演算も可能なものの、線形演算などもすべてやろうとすると遅すぎてちょっと、、
という状況でした。

動的変換とは、暗号状態のままこの形式を変換させる技術のことであり、
これによりCKKS形式で演算したい場面ではCKKS形式を使用し、
CKKS形式では演算が難しい処理に対してはまず暗号形式を「変換」し、
TFHE形式にしてから演算を実行することが可能になります。

要はいいとこ取りが可能になります。

実装

今回は、OpenFHEで実装されている暗号形式変換のExampleの

の関数を参考にして、

二つのベクトルをCKKS形式で暗号化して内積を計算
内積結果をFHEW形式に変換
ReLU関数を計算
FHEW形式からCKKS形式に戻す
復号して結果を確認

というチュートリアルを作ってみました。

注意）パラメータはExampleが使っているセキュリティが標準的ではないものをデバッグ用に使っています。
実際のセキュリティを担保した形でのパラメータはまだ試せていないので注意してください。

example.cpp

void MultThenReLUViaSchemeSwitching() {
    std::cout << "\n-----MultThenReLUViaSchemeSwitching-----\n" << std::endl;
    std::cout << "Output precision is only wrt the operations in CKKS after switching back.\n" << std::endl;

    // Setup CryptoContext for CKKS ==============================================
    ScalingTechnique scTech = FIXEDAUTO;
    uint32_t multDepth      = 17;
    if (scTech == FLEXIBLEAUTOEXT)
        multDepth += 1;

    uint32_t scaleModSize = 50;
    uint32_t firstModSize = 60;
    uint32_t ringDim      = 8192;
    SecurityLevel sl      = HEStd_NotSet;
    BINFHE_PARAMSET slBin = TOY;
    uint32_t logQ_ccLWE   = 25;
    uint32_t slots        = 16;  // sparsely-packed
    uint32_t batchSize    = slots;

    CCParams<CryptoContextCKKSRNS> parameters;
    parameters.SetMultiplicativeDepth(multDepth);
    parameters.SetScalingModSize(scaleModSize);
    parameters.SetFirstModSize(firstModSize);
    parameters.SetScalingTechnique(scTech);
    parameters.SetSecurityLevel(sl);
    parameters.SetRingDim(ringDim);
    parameters.SetBatchSize(batchSize);
    parameters.SetSecretKeyDist(UNIFORM_TERNARY);
    parameters.SetKeySwitchTechnique(HYBRID);
    parameters.SetNumLargeDigits(3);

    CryptoContext<DCRTPoly> cc = GenCryptoContext(parameters);

    // Enable the features that you wish to use ==============================================
    cc->Enable(PKE);
    cc->Enable(KEYSWITCH);
    cc->Enable(LEVELEDSHE);
    cc->Enable(ADVANCEDSHE);
    cc->Enable(SCHEMESWITCH);

    std::cout << "CKKS scheme is using ring dimension " << cc->GetRingDimension();
    std::cout << ", number of slots " << slots << ", and suports a multiplicative depth of " << multDepth << std::endl
              << std::endl;

    // Generate encryption keys  ==============================================
    auto keys = cc->KeyGen();
    cc->EvalSumKeyGen(keys.secretKey);

    // Prepare the FHEW cryptocontext and keys for FHEW and scheme switching
    auto FHEWparams = cc->EvalSchemeSwitchingSetup(sl, slBin, false, logQ_ccLWE, false, slots);

    auto ccLWE          = FHEWparams.first;
    auto privateKeyFHEW = FHEWparams.second;
    ccLWE.BTKeyGen(privateKeyFHEW);

    cc->EvalSchemeSwitchingKeyGen(keys, privateKeyFHEW);

    std::cout << "FHEW scheme is using lattice parameter " << ccLWE.GetParams()->GetLWEParams()->Getn();
    std::cout << ", logQ " << logQ_ccLWE;
    std::cout << ", and modulus q " << ccLWE.GetParams()->GetLWEParams()->Getq() << std::endl << std::endl;

    // Set the scaling factor to be able to decrypt; the LWE mod switch is performed on the ciphertext at the last level
    // auto pLWE1       = ccLWE.GetMaxPlaintextSpace().ConvertToInt();  // Small precision
    auto modulus_LWE = 1 << logQ_ccLWE;
    auto beta        = ccLWE.GetBeta().ConvertToInt();
    auto pLWE2       = modulus_LWE / (2 * beta);  // Large precision

    double scaleSignFHEW    = 1.0;
    const auto cryptoParams = std::dynamic_pointer_cast<CryptoParametersCKKSRNS>(cc->GetCryptoParameters());
    uint32_t init_level     = 0;
    if (cryptoParams->GetScalingTechnique() == FLEXIBLEAUTOEXT)
        init_level = 1;
    cc->EvalCompareSwitchPrecompute(pLWE2, init_level, scaleSignFHEW);

    // Encoding and encryption of inputs  ==============================================
    // Inputs
    std::vector<double> x1 = {4.0, -3.0};
    std::vector<double> w1;
    for (int i = 0; i < 16; i++) {
        if (i == 0 || i == 1) {
            w1.emplace_back(1.0);
        }
        else {
            w1.emplace_back(0.0);
        }
    }
    std::vector<double> unit0;
    for (int i = 0; i < 16; i++) {
        unit0.emplace_back(0.0);
    }
    unit0[0] = 1.0;

    std::vector<double> x2(slots, 0.0);
    std::vector<double> x3(slots, 1.0);

    // Encoding as plaintexts  ==============================================
    Plaintext ptxt1   = cc->MakeCKKSPackedPlaintext(x1, 1, 0, nullptr, slots);
    Plaintext ptxt2   = cc->MakeCKKSPackedPlaintext(x2, 1, 0, nullptr, slots);
    Plaintext pw1     = cc->MakeCKKSPackedPlaintext(w1, 1, 0, nullptr, slots);
    Plaintext p_unit0 = cc->MakeCKKSPackedPlaintext(unit0, 1, 0, nullptr, slots);

    // Encrypt the encoded vectors  ==============================================
    auto c1      = cc->Encrypt(keys.publicKey, ptxt1);
    auto c2      = cc->Encrypt(keys.publicKey, ptxt2);
    auto c_w1    = cc->Encrypt(keys.publicKey, pw1);
    auto c_unit0 = cc->Encrypt(keys.publicKey, p_unit0);

    // Calculate Inner Product of c1 and c_w1  ==============================================
    auto c_mult = cc->EvalInnerProduct(c1, c_w1, batchSize);
    c_mult      = cc->EvalMultAndRelinearize(c_mult, c_unit0);

    // CKKS to FHEW switching and sign evaluation to test correctness  ==============================================
    Plaintext p1;
    cc->Decrypt(keys.secretKey, c_mult, &p1);
    p1->SetLength(slots);
    std::cout << "c_mult: ";
    for (uint32_t i = 0; i < slots; ++i) {
        //std::cout << p1->GetRealPackedValue()[i] << " ";
        printf("%f ", p1->GetRealPackedValue()[i]);
    }
    printf("\n");



    // Operate ReLU function  ==============================================
    Plaintext ptmp;

    auto cResult = cc->EvalCompareSchemeSwitching(c_mult, c2, slots, slots);
    cc->Decrypt(keys.secretKey, cResult, &ptmp);
    std::cout << "cResult of compare: ";
    for (uint32_t i = 0; i < slots; ++i) {
        printf("%f ", ptmp->GetRealPackedValue()[i]);
    }
    printf("\n");
    cc->EvalSubInPlace(1.0, cResult);
    cResult = cc->EvalMultAndRelinearize(cResult, c_mult);


    // Decrypt and check the result  ==============================================
    cc->Decrypt(keys.secretKey, cResult, &ptmp);
    ptmp->SetLength(slots);
    std::cout << "cRes: ";
    for (uint32_t i = 0; i < slots; ++i) {
        printf("%f ", ptmp->GetRealPackedValue()[i]);
    }
    printf("\n");

}

やっていることの言葉での説明

プログラム自体は長いですが、やっていることはシンプルです。

example.cpp

    std::vector<double> x1    = {4.0, -3.0};
    std::vector<double> w1    = {1.0, 1.0};

    std::vector<double> unit0 = {1.0, 0.0};
    std::vector<double> x2(slots, 0.0);
    std::vector<double> x3(slots, 1.0);

x1 とw1の内積を計算し、
結果をReLU関数に通しています。

unit0, x2, x3 はReLU関数を計算する時に、用意されている
EvalCompareSchemeSwitching関数を使ってReLUを表現するために使用しているだけです。

実行結果は

cRes: 0.999999 -0.000000 0.000000

となり、確かに内積結果をReLU関数に通したものになっています。
1.0ではなく0.9999..　となるのはCKKS形式特有の誤差などによるものです。

まとめ

今回はOpenFHEの1.1系に追加された、
CKKSとFHEW（TFHE）形式の暗号状態での形式変換について解説してみました。
また、彼らのExmapleを応用した、機械学習の計算を意識した、線形計算 --> ReLU関数の評価
という一連の流れを暗号状態で実行するプログラムを作ってみました。

パラメータの選定や、それによってどのくらい実行時間が遅くなるかは評価すべき点ですが、
今までできなかったことができる様になったことはすごいことだと思います。

機能面で言うとOpenFHEが一つ抜けている状況になったかと思いますが、
他にもライブラリはあり、それらも研究開発が活発に行われているため、きちんとフォローしていくことが必要だと思います。

興味があったらぜひ動かしてみてください。

今回はこの辺で。

@kenmaro