全同态加密（FHE）工程实践：从理论突破到硬件加速的落地路径

概述

全同态加密（Fully Homomorphic Encryption, FHE）曾被视为密码学的"理论圣杯"——一个能在加密数据上直接执行任意计算、同时保证数据不可见的方案。2009 年 Craig Gentry 在其博士论文中首次构造了 FHE 方案，但早期方案效率极低（一次乘法需数秒），距离实际应用遥不可及。

2010 年代中期，Brakerski-Fan-Vercauteren（BFV）、Cheon-Kim-Kim-Song（CKKS）和 Zama 团队的 TFHE 方案相继提出，FHE 从理论走向实用。2026 年 2 月，Intel 在 ISSCC 上展示了基于 3nm 工艺的 Heracles 芯片，将 FHE 运算速度提升数千倍，标志着 FHE 正式进入工程部署时代。

本文从工程实践视角出发，系统分析 FHE 的三大主流方案（BFV/CKKS/TFHE）、开源框架选型、硬件加速现状、国密适配挑战，为有意部署 FHE 的研究者和工程师提供实用参考。

1. FHE 方案选型：BFV vs CKKS vs TFHE

1.1 三大方案的数学基础与适用场景

• BFV：支持精确整数运算，适合需要精确结果的场景（如加密搜索、加密投票）
• CKKS：支持近似浮点运算，适合机器学习和统计分析（如加密线性回归、加密神经网络推理）
• TFHE：专为布尔电路设计，通过"函数包装"（gates）实现快速逻辑运算，适合混合算术/逻辑场景

1.2 参数选择的关键因素

FHE 的性能高度依赖参数选择，主要包括：

• 安全性要求 128-bit → 选择 poly_modulus_degree = 4096（CKKS）或 8192（BFV）
• 支持 10 层矩阵乘法 → 选择 coeff_modulus 至少 60-bit × 10 段
• 精度要求 10⁻⁵ → CKKS 的 scale 参数设为 2⁵⁰

1.3 典型参数配置示例

# CKKS 方案参数配置（基于 TenSEAL >= 0.3.0）
import tenseal as ts

# 安全性 ~128-bit，支持约 5-8 层乘法
ctx = ts.Context(
    scheme=ts.SCHEME_TYPE.CKKS,
    poly_modulus_degree=16384,      # 平衡安全与性能
    coeff_mod_bit_sizes=[60, 40, 40, 60]  # 总 bit 数约 240
)
ctx.scale = 2 ** 40  # 约 12 位十进制精度

# 测试向量的密文加密
vector = ts.ckks_vector(ctx, [1.0, 2.0, 3.0, 4.0])

2. 开源框架实践：TenSEAL vs Concrete

2.1 TenSEAL（Python，CKKS/BFV 方案）

技术栈：基于 Microsoft SEAL（C++），提供 Python 接口

安装：

pip install tenseal>=0.3.0  # 注意：0.3 版本 API 有较大调整

典型使用模式：

import tenseal as ts

# 初始化上下文
ctx = ts.Context(
    scheme=ts.SCHEME_TYPE.CKKS,
    poly_modulus_degree=8192,
    coeff_mod_bit_sizes=[40, 40, 40, 40]
)
ctx.scale = 2 ** 40

# 加密数据
x = ts.ckks_vector(ctx, [1.0, 2.0, 3.0])
y = ts.ckks_vector(ctx, [4.0, 5.0, 6.0])

# 密文运算
z = x + y           # 加法
w = x * y           # 乘法（消耗 1 层 ciphertext scaling）
dot_prod = x.dot(y) # 点积

# 解密结果
result = dot_prod.decrypt()

关键陷阱：

• CKKS 精度损失：每次乘法会降低精度（scaling factor 减半），建议用 rotate 代替循环
• 噪声管理：超过同态深度会解密失败，需定期 relinearize 和 rescale
• API 版本兼容性：0.3 版本移除了部分旧 API，迁移时需检查代码
• scale 设置顺序：必须先设置 ctx.scale 再创建向量，否则报错 "no global scale"

2.2 Concrete（Python，TFHE 方案）

技术栈：由 Zama 团队开发，专为 TFHE 方案设计

安装：

pip install concrete-python>=2.0.0

典型使用模式：

from concrete import fhe

@fhe.compiler({"x": "encrypted", "y": "encrypted"})
def add(x: bool, y: bool) -> bool:
    return x + y  # 自动编译为 FHE 电路

# 运行加密计算
program = add.compile({"x": bool, "y": bool})
ciphertext = program.encrypt(x=True, y=False)
result = program.run(ciphertext)

优势：

• 原生支持布尔电路编译
• 与 PyTorch/TensorFlow 集成良好
• Zama 提供云端 FHE 服务（FheVM）

• 浮点运算支持不如 CKKS 成熟
• 文档和社区相对较小

2.3 框架选型决策树

需要精确整数运算？
├─ 是 → 选择 BFV (TenSEAL/OpenFHE)
└─ 否 → 需要浮点运算？
    ├─ 是 → 选择 CKKS (TenSEAL/Microsoft SEAL)
    └─ 否 → 选择 TFHE (Concrete)

3. 硬件加速：从 CPU 到专用芯片

3.1 Intel Heracles 芯片（2026 年 ISSCC 发布）

Intel 于 2026 年 2 月在 ISSCC（IEEE International Solid-State Circuits Conference）上发布的 Heracles 是全球首款专用 FHE 加速器：

• 专用的 NTT（Number Theoretic Transform）引擎
• 支持 BFV/CKKS 方案的硬件加速
• 通过 PCIe Gen5 接口连接主机
• 8×8 网格排列的 64 个 SIMD 计算核心

3.2 其他硬件加速方案

3.3 性能对比参考

*以下数据基于 Intel Xeon Gold 6248R @ 3.0GHz，TenSEAL 0.3.x，仅供参考，实际性能因工作负载而异*

4. FHE 在国密体系中的适配路径

4.1 国密算法与 FHE 的兼容性

目前主流 FHE 方案均基于 Ring-LWE 问题，而 Ring-LWE 的安全性依赖于：

• 素数 $q$（模数）
• 多项式环 $\mathbb{Z}_q[x]/(x^N + 1)$
• 误差分布（离散高斯）

4.2 国密 FHE 适配策略

策略 1：混合架构

┌─────────────────────────────────────┐
│  应用层（国密 SM2/SM4 加解密）       │
├─────────────────────────────────────┤
│  中间层：SM2 身份认证 + FHE 计算      │
├─────────────────────────────────────┤
│  基础设施层：标准 FHE 方案（CKKS/BFV）│
└─────────────────────────────────────┘

• SM2 用于身份认证和密钥交换
• 标准 FHE（基于 NIST PQC 参数）用于数据计算
• 通过国密 TLS 隧道保护通信

• 使用 SM4-GCM 加密静态数据（满足国密合规）
• 使用 FHE 对加密数据进行计算（不满足国密合规，但符合国际安全标准）
• 计算完成后用 SM4 解密结果

4.3 密评合规建议

根据《GB/T 39786-2021 信息系统密码应用基本要求》：

• 密钥管理：FHE 的密钥生成、分发、存储使用 SM2/SM4
• 通信保护：FHE 计算节点的通信使用 GM/T 0024-2023 国密 TLS
• 审计日志：记录所有 FHE 操作的访问日志，符合密评要求

5. 工程实践中的关键挑战

5.1 噪声管理与同态深度限制

FHE 的核心挑战是噪声累积：每次乘法操作都会增加密文中的噪声，超过阈值会导致解密失败。

缓解策略：

• 重线性化（Relinearization）：乘法后压缩密钥大小
• 重新缩放（Rescaling）：降低 scaling factor 以控制噪声增长
• 位分解（Bit Decomposition）：将大整数分解为小位，减少乘法复杂度

# TenSEAL 中的噪声管理示例
import tenseal as ts

ctx = ts.Context(
    scheme=ts.SCHEME_TYPE.CKKS,
    poly_modulus_degree=8192,
    coeff_mod_bit_sizes=[40, 40, 40, 40]
)
ctx.scale = 2 ** 40

a = ts.ckks_vector(ctx, [1.0, 2.0])
b = ts.ckks_vector(ctx, [3.0, 4.0])

# 乘法后自动 rescale
c = a * b
c.rescale_to(2 ** 40)  # 手动 rescale

# 多轮乘法需要多次 rescale
for _ in range(5):
    c = c * c
    c.rescale_to(2 ** 40)

5.2 精度损失控制（CKKS 特有）

CKKS 方案使用近似编码，浮点数会引入舍入误差：

# CKKS 精度控制
ctx.scale = 2 ** 40  # 设置初始精度

# 多次运算后精度损失
result = ((x * y) + z) / w  # 每层运算降低约 log2(scale) 位精度

# 解决方案：使用更大的 scale 或中途重新编码

5.3 性能瓶颈与优化

主要瓶颈：

• NTT 变换：多项式乘法的核心，占用 80%+ 计算时间
• 密钥交换：每次运算需要密钥操作
• 内存访问：大密钥尺寸导致内存带宽瓶颈

• 使用并行 NTT（GPU/FPGA 加速）
• 批处理多个密文（batching）
• 预计算常用常数

6. 应用场景与案例

6.1 隐私保护医疗数据分析

场景：多家医院联合训练肺癌诊断模型，但不共享患者数据

架构：

医院 A ──┐
医院 B ──┼── FHE 聚合层 ── 模型服务器 ── 全局模型
医院 C ──┘

流程：

• 各医院使用本地数据训练局部模型
• 将模型参数加密（FHE）后上传
• 服务器在密文上聚合参数
• 返回加密的全局模型，各医院解密更新本地模型

• 单次聚合延迟：~2.5 秒（CIFAR-10 数据集）
• 通信开销：~15 MB/轮
• 相比明文训练的精度损失：< 0.5%

6.2 加密云计算

场景：用户在云端进行敏感数据分析

技术方案：

• 客户端加密数据（CKKS）
• 云端执行加密计算（如统计、查询）
• 返回加密结果
• 客户端解密获得最终答案

总结

全同态加密正在从学术走向产业，其核心驱动力是：

• 算法成熟：BFV/CKKS/TFHE 三大方案各具适用场景
• 工具完善：TenSEAL、Concrete 等开源框架降低工程门槛
• 硬件加速：Intel Heracles 等专用芯片将性能提升数个数量级
• 合规适配：国密体系可通过混合架构兼容 FHE

• 从 TenSEAL（CKKS）或 Concrete（TFHE）入手
• 小规模测试后再扩展至生产环境
• 关注硬件加速器进展，评估成本效益
• 国密场景采用"国密密钥管理 + 国际标准计算"的混合架构

参考来源

• Gentry, C. (2009). "A Fully Homomorphic Encryption Scheme". Stanford Ph.D. Thesis.
• Brakerski, Fan, Vercauteren (2012). "Leveled Fully Homomorphic Encryption for Bootstrapping and Refreshing". IACR ePrint 2012/670.
• Cheon, Kim, Kim, Song (2017). "Homomorphic Encryption for Arithmetic of Approximate Numbers". ASIACRYPT 2017.
• Zama Team. "Concrete: A Fast FHE Library in Rust/Python". https://github.com/zama-ai/concrete
• Intel (2026). "HERACLES: 8192-Way SIMD Programmable Scalable Fully-Homomorphic Encryption SoC". ISSCC 2026. https://doi.org/10.1109/isscc49663.2026.11409291
• GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》

相关实践

• 同态加密基础：从部分同态到全同态的数学原理
• 后量子密码学：从量子威胁到 NIST 标准化
• 机密计算与密码学：TEE 环境下的安全隔离