CN113660076A - 基于可重构技术的同态加密系统及同态加密执行方法 - Google Patents

Abstract

本发明涉及基于可重构技术的同态加密系统及同态加密执行方法，属于加密算法设计领域。本发明包括主控单元、执行单元、运算阵列和存储单元；执行单元包括加密控制器、同态运算控制器和解密控制器；运算阵列包括数论变换模块、四舍五入取整除法模块和多项式环上的模运算模块；存储单元包括中间结果存储器、源数据缓冲区和结果数据缓冲区；主控单元控制整个系统流程；执行单元驱动运算阵列进行重构；运算阵列对数据进行运算处理；存储单元对数据进行存储。本发明旨在通过利用可重构技术来实现同态加密算法，以期在满足算法所需的较高性能的同时，为同态加密算法的实现提供一定的灵活性。

Description

基于可重构技术的同态加密系统及同态加密执行方法

技术领域

本发明涉及加密算法设计领域，具体涉及一种基于可重构技术的同态加密系统及同态加密执行方法。

背景技术

自全同态加密(Fully Homomorphic Encryption，FHE)的数学方案被提出之后，出现了不少的实现方案，也为同态加密算法方案的性能提供了较为实际的评估。尽管某些新提出的方案很大程度上提升了实现方案的性能，但是对于应用到现实生活中来讲，其成本和开销仍旧是不可接受的。除了在同态加密方面的论文当中提及到的软件实现方案，目前的公开可用的同态加密软件算法库有IBM开发的HElib、微软开发的SEAL等等多个算法库，这些算法库所支持的同态加密方案包括BGV、CKKS和BFV等多个基于环错误学习(RingLearning With Errors,RLWE)问题的方案，也对Bootstrapping、Relinearization和Modulus Switching等复杂的密文刷新算法提供了软件实现。虽然这些软件实现方案较为完整地实现了各类同态加密算法方案，并为实际的应用提供了较多的参数选择，但是离现实的应用场景所需的目标性能仍然有实质性的差距。因此研究者们也在尝试在硬件平台上对同态加密方案进行实现，这些平台主要包括图像处理单元(Graphics Processing Unit,GPU)，专用集成电路(Application Specific Integrated Circuit，ASIC)和现场可编程逻辑门阵列(Field Programmable Gate Array,FPGA)。

由于基于RLWE问题的算法方案的主要瓶颈在于多项式乘法，所以大多数硬件的实现方案都着重于对多项式乘法的优化，并且通过实现某个独立算法步骤来对优化的效果进行评估，资源利用率较低；而且目前的硬件实现方案都是对固定算法的实现，不支持对要执行算法的配置，并不具备软件实现方案的灵活性。

发明内容

发明目的：本发明提出基于可重构技术的同态加密系统，并进一步提出一种基于上述加密系统的加密方法，以解决现有技术存在的上述问题。

技术方案：第一方面，提出基于可重构技术的同态加密系统，该系统包括输入单元、主控单元、执行单元、运算阵列、存储单元、输出单元，其中输入单元用于输入加密指令；主控单元负责控制整个同态加密算法的流程和数据的输入输出，执行单元负责根据配置信息对运算阵列进行重构来实现同态加密中各个阶段的算法，运算阵列可实现数论变换、四舍五入取整除法和多项式环上的模运算，负责对具体数据进行处理，存储单元负责存储同态加密算法的初始明文，中间结果密文和同态运算后解密得到的明文；输出单元根据主控单元的输出指令输出加密数据。

在第一方面的优选实施例中，主控单元负责控制整个算法流程，其中所需的初始信息包括私钥sk、公钥pk、输入源数据的个数n和要执行的算法S，其中私钥和公钥均为多项式环上的元素，要执行的算法支持加法和乘法的组合。

在第一方面的优选实施例中，执行单元包括执行同态加密算法流程所需的三个控制器：加密控制器、同态运算控制器和解密控制器，而这三个控制器在算法的不同阶段控制运算阵列当中的运算模块，以实现各步骤的运算。

加密控制器将从源数据缓冲器输入的编码后的源数据和加密所需的噪声分发到运算阵列进行加密；同态运算控制器驱动运算阵列按序对密文进行同态乘法和同态加法运算，并将运算后的结果输出至中间结果存储器并将结束信号发送至主控单元；解密控制器驱动运算阵列对同态运算之后的结果进行解密。

在第一方面的优选实施例中，运算阵列当中的运算模块包括数论变换模块、四舍五入取整除法模块和多项式环上的模运算模块，这些运算模块在算法的各个执行阶段以不同的次序被调配，在执行单元中控制器的控制下对存储单元中的数据进行处理，并将中间结果密文或最终解密得到的明文输出到存储单元。

数论变换模块包括至少一个正数论变换模块，以及至少一个反数论变换模块；四舍五入取整除法模块在解密运算的最后一步介入，用于对密文空间中的多项式的每一项进行四舍五入取整除法，将其转换到明文空间；模运算模块位于多项式环上，其输入为至少一个多项式环上的元素，输出为一个多项式环上的元素，并通过选通器选择多项式模加、多项式模点乘、以及多项式模取反中的一种运算。

在第一方面的优选实施例中，存储单元包括中间结果存储器、源数据缓冲区和结果数据缓冲区，其中源数据缓冲区用于接收来自上位机发来的待加密的明文数据和加密所需的噪声；中间结果存储器用于存储加密后的密文和同态运算所得到的密文；结果数据缓冲区用于存储同态运算之后解密所得到的明文。

在第一方面的优选实施例中，加密控制器、同态运算控制器、解密控制器彼此独立且可被单独调用，在其中一个控制器运行时，其他控制器可关断电源。

在第一方面的优选实施例中，多项式环上的模运算模块中的模除算法基于Barrett模除算法，在确定模数q之后通过预计算得到一个通用常量m，之后可通过两次乘法和一到两次减法得到模除结果。

在第一方面的优选实施例中，数论变换模块采用了快速数论变换算法，并对多项式环上的模乘法进行了负折叠卷积优化；存储单元通过PCI-E接口与上位机通信连接。

在第一方面的优选实施例中，整体同态加密系统采用HLS工具进行参数可配置的设计，在设计阶段运算阵列的基本运算模块对于多项式环的项数N，密文多项式的系数模q和明文多项式的系数模t是可配置的，在对运算阵列中的基本运算模块完成参数可配置的设计之后，采用HLS工具的优化指令对整个系统进行优化。

第二方面，提出基于可重构技术的同态加密方法，步骤如下：

S1、主控单元在初始化时接受配置信息，配置信息包括私钥sk、公钥pk、输入源数据的个数n和要执行的算法S，其中私钥和公钥均为多项式环上的元素，以数组的形式进行存储，主控单元随时监测存储单元和执行单元的运行状态；

S2、执行单元接收到来自主控单元的算法流程信息后调取相应控制器，并对运算阵列进行重构来完成算法的对应步骤；

S3、运算模块在算法的各个执行阶段以不同的次序被调配，并组合实现其他算子，在执行单元中控制器的控制下对存储单元中的数据进行处理，并将中间结果密文或最终解密得到的明文输出到存储单元；

S4、运算阵列在数据的运算完成之后向执行单元发送结束信号，以标志数据运算的完成。

有益效果：本发明采用可重构技术实现同态加密方案，在加密、解密和同态运算时均对运算阵列中的数论变换模块和多项式环上的模运算模块进行了重复利用，达到了较高的资源利用率；根据不同应用的需求，该系统的主控单元可按照用户自定义的输入源数据的个数和要执行的算法，以不同的次序调用各个控制器对运算阵列进行动态重构并实现计算，从而支持不同的目标算法，使得该实现方案具有较高的灵活性。

附图说明

图1为可重构同态加密系统框架图。

图2为存储单元结构示意图。

图3为运算阵列结构示意图。

图4为多项式环上的模运算模块算法示意图。

图5为模除模块算法示意图。

图6为四舍五入取整除法模块算法示意图。

具体实施方式

在下文的描述中，给出了大量具体的细节以便提供对本发明更为彻底的理解。然而，对于本领域技术人员而言显而易见的是，本发明可以无需一个或多个这些细节而得以实施。在其他的例子中，为了避免与本发明发生混淆，对于本领域公知的一些技术特征未进行描述。

申请人认为，传统的基于RLWE问题的算法方案的主要瓶颈在于多项式乘法，所以大多数硬件的实现方案都着重于对多项式乘法的优化，并且通过实现某个算法步骤来对优化的效果进行评估，但很少有对整个同态加密算法方案的系统性实现，而且选取的参数和能够执行的算法往往也是固定的，并不具备软件实现方案的灵活性。

为了解决上述问题，本发明公开了一种基于可重构技术的同态加密系统，包括：主控单元、执行单元、运算阵列和存储单元，其中主控单元负责控制整个同态加密算法的流程和数据的输入输出，执行单元负责根据配置信息对运算阵列进行重构来实现同态加密中各个阶段的算法，运算阵列可实现数论变换、四舍五入取整除法和多项式环上的模运算，负责对具体数据进行处理，存储单元负责存储同态加密算法的初始明文，中间结果密文和同态运算后解密得到的明文。

如图1所示为一种基于可重构技术的同态加密系统，包括主控单元、执行单元、存储单元和运算阵列。其中实线箭头代表数据流，虚线箭头代表控制流。

所述主控单元在初始化时接受配置信息，其中包括私钥sk、公钥pk、输入源数据的个数n和要执行的算法S，其中私钥和公钥均为多项式环上的元素，以数组的形式进行存储，要执行的算法支持加法和乘法的组合。主控单元随时监测存储单元和执行单元的运行状态并对整个算法流程进行控制。

所述执行单元包括加密控制器、同态运算控制器和解密控制器，在接收到来自主控单元的算法流程信息后调取相应控制器，并对运算阵列进行重构来完成算法的对应步骤。

所述执行单元包括执行同态加密算法流程所需的三个控制器：加密控制器、同态运算控制器和解密控制器，而这三个控制器在算法的不同阶段驱动运算阵列进行重构，以实现各步骤的运算。执行单元在一个阶段执行完成之后向主控单元发送结束信号，以标志对应阶段执行的完成。

所述存储单元的结构如图2所示，包括中间结果存储器、源数据缓冲区和结果数据缓冲区，其中源数据缓冲区用于接收来自上位机发来的待加密的明文数据和加密所需的噪声；中间结果存储器用于存储加密后的密文和同态运算所得到的密文；结果数据缓冲区用于存储同态运算之后解密所得到的明文。各存储区分为多个子块，可支持数据并行传输，提升数据访存效率。存储单元在数据的存储或读取完成之后向主控单元发送结束信号，以标志数据传输的完成。

所述运算阵列的结构如图3所示，其中处理单元(Processing Unit,PE)当中的运算模块包括正数论变换模块、反数论变换模块和多项式环上的模运算模块，除此之外运算阵列还包括一个四舍五入取整除法模块。这些运算模块在算法的各个执行阶段以不同的次序被调配，并可以组合实现其他算子，在执行单元中控制器的控制下对存储单元中的数据进行处理，并将中间结果密文或最终解密得到的明文输出到存储单元。运算阵列在数据的运算完成之后向执行单元发送结束信号，以标志数据运算的完成。运算阵列中的各处理单元描述如下：

运算阵列的处理单元当中的正数论变换模块和反数论变换模块采用了快速数论变换算法，其运算原理如下：

设向量a的点数为N＝2^L，其中L为正整数，ω_N为模q的原根。利用原根便于加速计算的性质，可对一般的NTT算法进行优化，分别得出快速数论变换的正变换(NTT)和反变换(INTT)的计算式：

NTT：

INTT：

快速数论变换算法将模乘次数从N²优化为N/2logN，将模加次数从N(N-1)优化为NlogN，这是NTT算法加速的核心原理。

运算阵列的处理单元当中的多项式环上的模运算模块的结构如图4所示，其输入为一个或者两个多项式环上的元素，输出为一个多项式环上的元素，并可通过选通器来选择多项式模加、多项式模点乘或多项式模取反其中的一种运算，其算法公式分别如下：

令三个多项式环上的元素分别为a，b和c，其系数分别为(a₀,a₁,...,a_N-1)，(b₀,b₁,...,b_N-1)和(c₀,c₁,...,c_N-1)，其中N为多项式的项数，约定“·”代表多项式环上的模点乘。则多项式环上的三则模运算公式分别如下：

多项式环上的模加c＝a+b：

c_i＝(a_i+b_i)modq,i＝0,1,...,N-1

多项式环上的模点乘c＝a·b：

c_i＝(a_i*b_i)modq,i＝0,1,...,N-1

多项式环上的模取反c＝-a：

c_i＝(-a_i)modq,i＝0,1,...,N-1

所述多项式环上的模运算中的模除算法基于Barrett模除算法，其算法示意如图5所示，算法流程如下：

以tmodq为例，首先进行预计算：

其中q为模数，p和μ为中间值。接下来计算余数R：

如果R仍大于q，余数仍需减去一次q：

R＝R-q

其中p和μ在确定系统所需要的模数q之后会被预先计算出来并直接作为初始化信息配置给主控单元，并在之后的运算中提供给运算阵列。

运算阵列的处理单元当中的四舍五入取整除法模块用于解密的最后一步，用于对密文空间中的多项式的每一项进行四舍五入取整除法，将其转换到明文空间。其中针对每一项的算法示意图如图6所示，算法流程如下：

输入有两项，其中X是被除数，D是除数。Q是X除以D的商，R是XmodD的余数，res是最终结果。如果R<((D+1)＞＞1)，则输出res＝Q，反之，输出res＝Q+1。

将NTT/INTT模块和多项式环上的模运算模块组合，可以进一步实现多项式模乘运算，具体实现方式如下：

为了避免直接使用N点的NTT在多项式乘法中会出现混叠的问题，在多项式环选择为

时，显然有X^N＝-1，因此取模的过程可直接简化为令X^N＝-1的过程。由此采用如下所述的负折叠卷积算法，使得其发生混叠的部分乘以-1，就可通过N点的NTT直接得到多项式模乘的结果，而不需要额外取模。算法原理如下：

令三个多项式环上的元素分别为a，b和c，其系数分别为(a₀,a₁,...,a_N-1)，(b₀,b₁,...,b_N-1)和(c₀,c₁,...,c_N-1)，其中N为多项式的项数，模q的N阶原根ω_N，模q的2N阶原根ω_2N，首先对a和b进行预处理：

然后使用N点NTT计算多项式乘法：

ANTT_N(a)，B＝NTT_N(b)

C＝A·B

c＝INTT_N(C)

最后再对c进行处理：

该算法共有

次乘法，3NlogN次加法。

下面详细描述本发明的一种优选实施方式，但是，本发明并不限于以下实施方式中的具体细节。在本发明的技术构思范围内，可以对本发明的技术方案进行多种等同变换，这些等同变换均属于本发明的保护范围。

在本发明的一个实施例中，选取BFV作为同态加密方案，先对BFV算法所使用的参数做出说明：N为多项式环的项数，q为密文多项式系数的模数，t为明文多项式系数的模数，环

为密文空间，环

为明文空间，χ_err为用于噪声采样的截断离散高斯分布多项式环，约定

表示a是从有限集S均匀随机采样得到的。该实施例的密文模q选取0x3FFFFFFFFFF001，明文模t选取128，多项式环的项数N选取2048，使得该方案的安全性能够达到128bit。从而确定环

为密文空间，环

为明文空间。

进一步地，在本发明的一个实施例中，初始化信息中的私钥sk和公钥pk均在上位机生成，其中sk是一个有2048项的数组，其中每一个数的取值范围均为{0,1}。公钥pk由两个有2048项的数组组成，其中每一个数的取值范围均为{0,1,...,0x3FFFFFFFFFF000}。

进一步地，在本发明的一个实施例中，共输入三个源数据a＝4,b＝7,c＝10。要执行的算法为(a+b)*c。其中对源数据的编码采用整数编码方案，在上位机完成，编码后的结果分别为a＝{0,0,1,0,...,0},b＝{1,1,1,0,...,0},c＝{0,1,0,1,0,...,0}，均为128位数组。

主控单元首先调取执行单元中的加密控制器对运算阵列进行重构，同时将从源数据缓冲器输入的三个编码后的源数据和加密所需的噪声分发到运算阵列进行加密，BFV方案的加密算法公式如下：

使用公钥pk对明文m∈R_t进行加密，其中上位机输入的噪声

ct＝(c₀，c₁)＝([Δ[m]_t+upk₀+e₁]_q，[upk₁+e₂]_q)

由此得到三个密文a_enc，b_enc和c_enc，每个密文均由两个有2048项的数组组成，其中每一个数的取值范围均为{0,1,...,0x3FFFFFFFFFF000}。三个密文均保存在中间结果存储器。对源数据的加密完成之后，执行单元发送结束信号给主控单元，主控单元再对要执行的算法S进行解析，并调取执行单元中的同态运算控制器对运算阵列进行重构，驱动运算阵列按序对三个密文进行同态乘法和同态加法运算，并将运算后的结果输出至中间结果存储器并将结束信号发送至主控单元。其中BFV方案的同态运算算法公式如下：

已知两项密文ct₁＝(c₁₀,c₁₁)，ct₂＝(c₂₀,c₂₁)，令同态加法结果密文为ct_add＝(c_add0,c_add1)，同态乘法结果密文为ct_mul＝(c_mul0,c_mul1,c_mul2)，则对ct₁和ct₂进行同态加法和同态乘法的公式分别为：

ct_add＝BFV.Add(ct₁,ct₂)＝(c₁₀+c₂₀，c₁₁+c₂₁)

主控单元在接收到同态运算控制器的结束信号之后，调取执行单元中的解密控制器对运算阵列进行重构，驱动运算阵列对同态运算之后的结果进行解密。其中BFV方案的解密算法公式如下：

使用私钥s对密文ct进行解密：

解密完成之后，运算阵列将解密之后的结果从结果数据缓冲区输出，存储单元在结果全部输出之后向主控单元发送结束信号，然后主控单元向上位机发送输出信号，标志运算的结束。

如上所述，尽管参照特定的优选实施例已经表示和表述了本发明，但其不得解释为对本发明自身的限制。在不脱离所附权利要求定义的本发明的精神和范围前提下，可对其在形式上和细节上做出各种变化。

Claims (8)

1.基于可重构技术的同态加密系统，其特征在于，包括：

输入单元，输入加密指令；

主控单元，接收来自所述输入单元的加密指令，提供配置信息，并控制整个同态加密算法的流程和数据的迁移；

执行单元，根据所述主控单元提供的配置信息对运算阵列进行重构来实现同态加密中各个阶段的算法；

运算阵列，接收来自所述执行单元的控制指令，对具体数据进行处理及运算；

存储单元，存储同态加密算法的初始明文、中间结果密文、以及同态运算后解密得到的明文；

输出单元，根据所述主控单元的输出指令输出加密数据。

2.根据权利要求1所述的基于可重构技术的同态加密系统，其特征在于，所述主控单元采集包括私钥sk、公钥pk、输入源数据的个数n、以及执行算法S在内的初始信息；

其中，所述私钥sk、公钥pk为多项式环上的元素；

所述执行算法S支持加法和乘法的组合。

3.根据权利要求1所述的基于可重构技术的同态加密系统，其特征在于，所述执行单元包括执行同态加密算法流程所需的多个控制器，在所述控制器的控制下对存储单元中的数据进行处理，并将中间结果密文或最终解密得到的明文输出到存储单元。

4.根据权利要求3所述的基于可重构技术的同态加密系统，其特征在于，所述执行单元包括：

加密控制器，将从源数据缓冲器输入的编码后的源数据和加密所需的噪声分发到运算阵列进行加密；

同态运算控制器，驱动运算阵列按序对密文进行同态乘法和同态加法运算，并将运算后的结果输出至中间结果存储器并将结束信号发送至主控单元；

解密控制器，驱动运算阵列对同态运算之后的结果进行解密。

5.根据权利要求1所述的基于可重构技术的同态加密系统，其特征在于，所述运算阵列包括：

数论变换模块，包括至少一个正数论变换模块，以及至少一个反数论变换模块；

四舍五入取整除法模块，在解密运算的最后一步介入，用于对密文空间中的多项式的每一项进行四舍五入取整除法，将其转换到明文空间；

模运算模块，位于多项式环上，其输入为至少一个多项式环上的元素，输出为一个多项式环上的元素，并通过选通器选择多项式模加、多项式模点乘、以及多项式模取反中的一种运算。

6.根据权利要求1所述的基于可重构技术的同态加密系统，其特征在于，所述存储单元包括：

中间结果存储器，用于存储加密后的密文和同态运算所得到的密文；

源数据缓冲区，用于接收来自上位机发来的待加密的明文数据和加密所需的噪声；

结果数据缓冲区，用于存储同态运算之后解密所得到的明文。

7.根据权利要求4所述的基于可重构技术的同态加密系统，其特征在于，所述加密控制器、同态运算控制器、解密控制器彼此独立且可被单独调用，在其中一个控制器运行时，其他控制器可关断电源。

8.同态加密执行方法，基于权利要求1至7中任一项所述的基于可重构技术的同态加密系统，其特征在于包括如下步骤：

S1、主控单元在初始化时接受配置信息，配置信息包括私钥sk、公钥pk、输入源数据的个数n和要执行的算法S，其中私钥和公钥均为多项式环上的元素，以数组的形式进行存储，主控单元随时监测存储单元和执行单元的运行状态；

S2、执行单元接收到来自主控单元的算法流程信息后调取相应控制器，并对运算阵列进行重构来完成算法的对应步骤；

S3、运算模块在算法的各个执行阶段以不同的次序被调配，并组合实现其他算子，在执行单元中控制器的控制下对存储单元中的数据进行处理，并将中间结果密文或最终解密得到的明文输出到存储单元；

S4、运算阵列在数据的运算完成之后向执行单元发送结束信号，以标志数据运算的完成。

Images