楊靖世 王思源 袁博 劉嘉夕

(1. 中國(guó)信息通信研究院云計(jì)算與大數(shù)據(jù)研究所，北京 100191；2. 北京郵電大學(xué)泛網(wǎng)無(wú)線(xiàn)通信教育部重點(diǎn)實(shí)驗(yàn)室，北京 100876)

0 引言

當(dāng)前，數(shù)據(jù)融合需求不斷增強(qiáng)，數(shù)據(jù)保護(hù)要求逐步提高，作為一種數(shù)據(jù)安全流通技術(shù)，隱私計(jì)算在近年來(lái)迎來(lái)了極大發(fā)展，同時(shí)《中華人民共和國(guó)數(shù)據(jù)安全法》《中華人民共和國(guó)個(gè)人信息保護(hù)法》等國(guó)家政策的出臺(tái)更是推動(dòng)了隱私計(jì)算技術(shù)在數(shù)據(jù)領(lǐng)域持續(xù)發(fā)力。近年來(lái)，在算法協(xié)議不斷優(yōu)化、硬件性能逐步增強(qiáng)的背景下，隱私計(jì)算的可用性大大提升，越來(lái)越多的企業(yè)開(kāi)始進(jìn)行隱私計(jì)算的技術(shù)研究和產(chǎn)品化研發(fā)，已發(fā)布的產(chǎn)品數(shù)自2018年的2款產(chǎn)品爆發(fā)增長(zhǎng)至2021年的105款產(chǎn)品[2]；隱私計(jì)算應(yīng)用也在進(jìn)一步發(fā)展豐富，在金融、政務(wù)、互聯(lián)網(wǎng)、通信和醫(yī)療等領(lǐng)域逐步細(xì)分外延，并在工業(yè)、能源和物流等行業(yè)開(kāi)始進(jìn)行嘗試性探索。

由于隱私計(jì)算涉及多個(gè)參與方、參與計(jì)算的數(shù)據(jù)規(guī)模量級(jí)大和計(jì)算加密等特點(diǎn)，當(dāng)前性能成為其難以形成大規(guī)模應(yīng)用的主要因素之一。其龐大的技術(shù)體系，更使得衡量產(chǎn)品性能的困難性陡增。本文首先討論了隱私計(jì)算產(chǎn)品在性能標(biāo)準(zhǔn)化進(jìn)程中面臨的挑戰(zhàn)，進(jìn)而提出產(chǎn)品性能評(píng)估方法的思考，最后總結(jié)了隱私計(jì)算的局限與未來(lái)發(fā)展。

1 隱私計(jì)算產(chǎn)品性能測(cè)評(píng)標(biāo)準(zhǔn)化現(xiàn)狀與挑戰(zhàn)

隱私計(jì)算作為一種促進(jìn)數(shù)據(jù)流通合規(guī)的“技術(shù)解”，其技術(shù)體系復(fù)雜。當(dāng)前其主流技術(shù)方向有多方安全計(jì)算、聯(lián)邦學(xué)習(xí)和可信執(zhí)行環(huán)境等，各種技術(shù)的實(shí)現(xiàn)原理差異大，很難以同樣的標(biāo)準(zhǔn)進(jìn)行衡量。其次，由于隱私計(jì)算不僅要考慮計(jì)算效率，也需充分考慮安全性和準(zhǔn)確性，而這三者往往相互制約不能同時(shí)滿(mǎn)足，所以隱私計(jì)算性能測(cè)試標(biāo)準(zhǔn)中需要確定安全性和準(zhǔn)確性門(mén)檻。另外，當(dāng)前已有的隱私計(jì)算標(biāo)準(zhǔn)大多關(guān)于技術(shù)或產(chǎn)品功能，需要向性能測(cè)試標(biāo)準(zhǔn)拓展。

1.1 隱私計(jì)算技術(shù)體系

1.1.1 多方安全計(jì)算

多方安全計(jì)算(Secure Multi-party Computation，MPC)是多個(gè)參與方在無(wú)可信第三方的情況下，安全協(xié)同地計(jì)算出一個(gè)約定函數(shù)的結(jié)果，關(guān)鍵技術(shù)可分為不經(jīng)意傳輸、混淆電路、秘密分享等。在不經(jīng)意傳輸協(xié)議中，數(shù)據(jù)擁有者在同一時(shí)間發(fā)送多個(gè)消息，接收方只能從中選其一，并且不知道其他消息的情況，而數(shù)據(jù)發(fā)送方也無(wú)法獲知具體哪一條消息被選擇。經(jīng)典的二選一不經(jīng)意傳輸方案是Naor-Pinkas不經(jīng)意傳輸[5]，其滿(mǎn)足半誠(chéng)實(shí)模型要求，安全性由計(jì)算過(guò)程中的公鑰加密操作和求解離散對(duì)數(shù)困難保證，但該方案在多次執(zhí)行時(shí)由于大量的非對(duì)稱(chēng)加密操作導(dǎo)致其表現(xiàn)較差。不經(jīng)意傳輸擴(kuò)展協(xié)議[8]利用少量的基礎(chǔ)不經(jīng)意傳輸，以較小代價(jià)構(gòu)造出大量的不經(jīng)意傳輸，可以有效減少多次構(gòu)造時(shí)的公鑰操作數(shù)從而提升性能，該方案因此得到廣泛應(yīng)用?；煜娐返乃枷胧菍⒂?jì)算函數(shù)轉(zhuǎn)換成電路形式來(lái)計(jì)算，電路生成方加密輸入并將順序打亂，然后發(fā)送給計(jì)算方計(jì)算，計(jì)算方通過(guò)不經(jīng)意傳輸方式得到密鑰并解密出對(duì)應(yīng)組合的密文。由于電路的生成與計(jì)算分別在不同參與方中進(jìn)行，計(jì)算方不知道生成方的實(shí)際輸入，并且使用了不經(jīng)意傳輸協(xié)議，安全性因而得到保證。

當(dāng)前，針對(duì)電路進(jìn)行優(yōu)化的方案已顯著降低了電路的計(jì)算開(kāi)銷(xiāo)和通信開(kāi)銷(xiāo)，通信輪數(shù)與電路規(guī)模無(wú)關(guān)，但通信量仍會(huì)比較大。秘密分享是將數(shù)據(jù)或秘密分割成多個(gè)分片，然后在一組參與者共享的技術(shù)，經(jīng)典的Shamir門(mén)限秘密共享規(guī)定了在N個(gè)參與方中，只有多于特定數(shù)量的參與方合作才可以恢復(fù)出完整數(shù)據(jù)，安全性由特定數(shù)量參與方不合謀假設(shè)保證。秘密分享技術(shù)廣泛用于基礎(chǔ)運(yùn)算、統(tǒng)計(jì)和建模中，其缺點(diǎn)是在進(jìn)行涉及乘法運(yùn)算前，需離線(xiàn)生成大量的三元組，并且運(yùn)算時(shí)參與方需進(jìn)行多輪的交互，從而導(dǎo)致通信消耗較大。

1.1.2 聯(lián)邦學(xué)習(xí)

聯(lián)邦學(xué)習(xí)(Federated Learning，F(xiàn)L)是一種分布式的機(jī)器學(xué)習(xí)技術(shù)框架，多個(gè)參與方協(xié)作訓(xùn)練一個(gè)機(jī)器學(xué)習(xí)模型，數(shù)據(jù)不出域并且要求保護(hù)中間梯度。聯(lián)邦學(xué)習(xí)根據(jù)系統(tǒng)架構(gòu)可分為客戶(hù)-服務(wù)器架構(gòu)和對(duì)等網(wǎng)絡(luò)架構(gòu)，在客戶(hù)-服務(wù)器架構(gòu)中存在第三方聚合或分發(fā)梯度，建模方法主要包括基于同態(tài)加密和基于差分隱私的方案，兩種方案中本地?cái)?shù)據(jù)不出域并且所有數(shù)據(jù)不需加密，各參與方通過(guò)交互中間梯度完成模型訓(xùn)練，不同點(diǎn)是同態(tài)加密方案需要對(duì)計(jì)算過(guò)程中的交互參數(shù)或梯度加密，而基于差分隱私的方法是對(duì)數(shù)據(jù)或梯度進(jìn)行混淆來(lái)達(dá)到隱私保護(hù)目的，以安全性和精度的犧牲換取更高的計(jì)算和通信效率。在對(duì)等網(wǎng)絡(luò)架構(gòu)中沒(méi)有第三方，常用基于秘密分享與同態(tài)加密結(jié)合的方案，各參與方不會(huì)泄露本地輸入數(shù)據(jù)、本地局部數(shù)據(jù)和全局中間數(shù)據(jù)，往往安全性高但效率較低。

1.1.3 可信執(zhí)行環(huán)境

可信執(zhí)行環(huán)境(Trusted Execution Environment，TEE)是一種基于硬件的隱私計(jì)算技術(shù)，相較于聯(lián)邦學(xué)習(xí)和多方安全計(jì)算是從軟件層面密碼學(xué)保證安全性，TEE的安全假設(shè)首先是對(duì)硬件的信任。它在中央處理器內(nèi)部物理隔離出一個(gè)代碼運(yùn)行環(huán)境，與軟件層面的保護(hù)相結(jié)合達(dá)到計(jì)算環(huán)境與外部的隔離，代碼和數(shù)據(jù)的完整性由此得到保證，并有哈希算法度量隔離環(huán)境內(nèi)的活動(dòng)記錄來(lái)保證其機(jī)密性，另外每次執(zhí)行任務(wù)時(shí)TEE會(huì)進(jìn)行遠(yuǎn)程驗(yàn)證，確保運(yùn)行時(shí)的任務(wù)、數(shù)據(jù)和算法與約定的一致，安全程度進(jìn)一步提高。性能方面，實(shí)際應(yīng)用中各參與方會(huì)將數(shù)據(jù)加密發(fā)送至TEE內(nèi)部，數(shù)據(jù)在內(nèi)部解密，并以明文形式存儲(chǔ)和計(jì)算，所以TEE相比于聯(lián)邦學(xué)習(xí)和多方安全計(jì)算效率高。

1.2 安全性、準(zhǔn)確性和計(jì)算效率三者相互制約

隱私計(jì)算性能會(huì)隨著安全性的提升而下降。當(dāng)前隱私計(jì)算算法安全等級(jí)的分水嶺通常是是否支持惡意模型，算法一旦通過(guò)提升安全性來(lái)滿(mǎn)足惡意模型下的隱私計(jì)算需求，便會(huì)產(chǎn)生額外的通信和時(shí)間開(kāi)銷(xiāo)。這在聯(lián)合建模等需要加法、乘法和比較多個(gè)算子的組合參與場(chǎng)景下更為嚴(yán)重。此外，在隱私信息檢索場(chǎng)景中，選擇不同的查詢(xún)不可區(qū)分度對(duì)耗時(shí)也有很大影響。

隱私計(jì)算的性能和準(zhǔn)確度也有取舍，如在某些場(chǎng)景下可能需要使用差分隱私的技術(shù)手段犧牲結(jié)果準(zhǔn)確性來(lái)提升性能。

1.3 隱私計(jì)算標(biāo)準(zhǔn)現(xiàn)狀

1.3.1 國(guó)際標(biāo)準(zhǔn)

隱私計(jì)算相關(guān)的國(guó)際標(biāo)準(zhǔn)化項(xiàng)目主要在IEEE、ISO和ITU三大標(biāo)準(zhǔn)化組織中開(kāi)展。其中，IEEE自2019—2021年發(fā)布三項(xiàng)隱私計(jì)算相關(guān)國(guó)際標(biāo)準(zhǔn)，分別是《Standard for Technical Framework and Requirements of TEE-based Shared Machine Learning》《Standard for Secure Computing Based on Trusted Execution Environment》 《Guide for Architectural Framework and Application of Federated Machine Learning》。另外，ISO組織在2019年立項(xiàng)《Secure Multi-Party Computation》，而《Technical Framework for Secure Multi-Party Computation》和《Technical Framework for Shared Machine Learning System》也分別于2019年和2021年在ITU立項(xiàng)。上述標(biāo)準(zhǔn)均與隱私計(jì)算技術(shù)相關(guān)，尚未有隱私計(jì)算性能評(píng)估的標(biāo)準(zhǔn)。

1.3.2 國(guó)內(nèi)標(biāo)準(zhǔn)

國(guó)內(nèi)隱私計(jì)算標(biāo)準(zhǔn)化項(xiàng)目工作主要在中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì)和全國(guó)金融標(biāo)準(zhǔn)化技術(shù)委員會(huì)開(kāi)展。其中，中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì)從2019年起逐步制定了《基于多方安全計(jì)算的數(shù)據(jù)流通產(chǎn)品 技術(shù)要求與測(cè)試方法》《基于聯(lián)邦學(xué)習(xí)的數(shù)據(jù)流通產(chǎn)品 技術(shù)要求與測(cè)試方法》《基于可信執(zhí)行環(huán)境的數(shù)據(jù)計(jì)算平臺(tái) 技術(shù)要求與測(cè)試方法》《區(qū)塊鏈輔助的隱私計(jì)算技術(shù)工具技術(shù)要求與測(cè)試方法》等隱私計(jì)算產(chǎn)品功能標(biāo)準(zhǔn)，并于2021年啟動(dòng)編制《隱私計(jì)算 多方安全計(jì)算產(chǎn)品性能要求和測(cè)試方法》《隱私計(jì)算 多方安全計(jì)算產(chǎn)品安全要求和測(cè)試方法》《隱私計(jì)算 聯(lián)邦學(xué)習(xí)產(chǎn)品性能要求和測(cè)試方法》《隱私計(jì)算 聯(lián)邦學(xué)習(xí)產(chǎn)品安全要求和測(cè)試方法》等性能和安全標(biāo)準(zhǔn)。2020年，全國(guó)金融標(biāo)準(zhǔn)化技術(shù)委員會(huì)發(fā)布《安全多方計(jì)算金融應(yīng)用技術(shù)規(guī)范》，同時(shí)在2021年制定了《聯(lián)邦學(xué)習(xí)技術(shù)金融應(yīng)用規(guī)范》。

隱私計(jì)算產(chǎn)品在實(shí)現(xiàn)大規(guī)模應(yīng)用的進(jìn)程中，亟需完善統(tǒng)一的性能測(cè)試標(biāo)準(zhǔn)，在算法安全性、產(chǎn)品安全性、計(jì)算準(zhǔn)確性的前提下規(guī)范性能考察指標(biāo)。以下是關(guān)于隱私計(jì)算產(chǎn)品性能測(cè)試方案的設(shè)計(jì)思路。

2 隱私計(jì)算產(chǎn)品評(píng)估維度

基于以上原因，多方安全計(jì)算、聯(lián)邦學(xué)習(xí)和可信執(zhí)行環(huán)境需制定獨(dú)立的性能測(cè)試標(biāo)準(zhǔn)，雖然各個(gè)技術(shù)差異較大，但性能測(cè)試的總體思路保持一致：如何利用給定資源和條件，安全、準(zhǔn)確、高效完成特定計(jì)算任務(wù)。目的是：在特定硬件資源、特定數(shù)據(jù)集、特定算法要求和特定結(jié)果要求條件下，模擬實(shí)際需求場(chǎng)景，測(cè)試不同產(chǎn)品安全性、準(zhǔn)確性、耗時(shí)三類(lèi)維度指標(biāo)。

基于以上思路目的，為使評(píng)估條件一致，性能測(cè)試應(yīng)設(shè)定多方面的固定變量。固定變量模擬了實(shí)際場(chǎng)景、具體需求和給定資源，例如固定的數(shù)據(jù)方數(shù)量、固定的硬件資源(應(yīng)設(shè)定上限)、數(shù)據(jù)集大小(分類(lèi)設(shè)定)、算法要求(分類(lèi)設(shè)定)、輸出結(jié)果要求、安全性要求(應(yīng)分類(lèi)設(shè)定下限，包含通信安全、身份認(rèn)證、結(jié)果安全、密碼安全、算法安全、各類(lèi)算法密鑰長(zhǎng)度要求等)、準(zhǔn)確性要求(應(yīng)分類(lèi)設(shè)定下限)、規(guī)范數(shù)據(jù)預(yù)處理(例如公開(kāi)數(shù)據(jù)集需要現(xiàn)場(chǎng)隨機(jī)抽取維度，若采用生成三元組方案，三元組生成時(shí)間也需計(jì)入任務(wù)耗時(shí)等等)、任務(wù)起始狀態(tài)一致(數(shù)據(jù)已準(zhǔn)備未讀取等)、任務(wù)結(jié)束狀態(tài)一致(計(jì)算結(jié)果已生成等)等。

2.1 安全性要求

隱私計(jì)算產(chǎn)品應(yīng)滿(mǎn)足協(xié)調(diào)方安全、通信信道安全、身份認(rèn)證、計(jì)算結(jié)果安全、安全參數(shù)、密碼安全等通用安全要求以及針對(duì)每項(xiàng)被測(cè)算法的專(zhuān)項(xiàng)安全性要求。例如，在安全參數(shù)要求中，對(duì)于每種密碼學(xué)算法，產(chǎn)品也應(yīng)滿(mǎn)足該項(xiàng)算法層面的安全要求，對(duì)于對(duì)稱(chēng)密碼學(xué)算法SM4、AES等和非對(duì)稱(chēng)密碼學(xué)算法SM2、RSA等各類(lèi)常見(jiàn)密碼學(xué)算法應(yīng)提出最低密鑰長(zhǎng)度要求，如RSA密鑰長(zhǎng)度應(yīng)至少為2048 bit，以保證在當(dāng)前安全強(qiáng)度下，產(chǎn)品在使用過(guò)程中不會(huì)泄露用戶(hù)數(shù)據(jù)隱私。

安全評(píng)估方法旨在確認(rèn)產(chǎn)品實(shí)際方案與評(píng)審內(nèi)容的一致性，通過(guò)對(duì)隱私計(jì)算產(chǎn)品使用的相關(guān)論文文獻(xiàn)、產(chǎn)品設(shè)計(jì)手冊(cè)、產(chǎn)品所采用算法的說(shuō)明文檔進(jìn)行評(píng)審，并對(duì)產(chǎn)品的核心代碼、關(guān)鍵的日志記錄以及網(wǎng)絡(luò)通信報(bào)文等內(nèi)容做交叉核驗(yàn)。安全評(píng)估方法主要包括專(zhuān)家評(píng)審和一致性檢驗(yàn)。

在多方安全計(jì)算測(cè)試中，應(yīng)保證計(jì)算過(guò)程中沒(méi)有泄露用戶(hù)輸入數(shù)據(jù)，沒(méi)有暴露各計(jì)算方本地的中間數(shù)據(jù)，沒(méi)有暴露全局的中間數(shù)據(jù)。聯(lián)邦學(xué)習(xí)測(cè)試中也要對(duì)各計(jì)算方本地的梯度等進(jìn)行保護(hù)，不能暴露。

鑒于隱私計(jì)算產(chǎn)品的協(xié)議多樣性與復(fù)雜性，性能測(cè)試應(yīng)基于現(xiàn)有的密碼學(xué)分析和計(jì)算分析手段對(duì)安全強(qiáng)度進(jìn)行評(píng)估，任何新發(fā)表的攻擊手段或者諸如量子計(jì)算的計(jì)算手段都可能影響安全強(qiáng)度，建議關(guān)注后量子密碼等算法的研究與標(biāo)準(zhǔn)化過(guò)程。另外需要注意的是，隱私計(jì)算產(chǎn)品通常會(huì)使用多種密碼學(xué)服務(wù)(密鑰生成、完整性保護(hù)、安全性保護(hù)等)和多種密碼學(xué)算法。一般情況下，隱私計(jì)算產(chǎn)品的安全強(qiáng)度由使用的最弱的密碼學(xué)算法決定。在實(shí)際使用過(guò)程中，安全強(qiáng)度還會(huì)被算法的具體實(shí)現(xiàn)方式和功能模塊之間的交互影響?？傊?，對(duì)于密碼算法的選擇和使用，應(yīng)當(dāng)相當(dāng)謹(jǐn)慎以保護(hù)整個(gè)隱私計(jì)算產(chǎn)品的安全性。

2.2 準(zhǔn)確性要求

由于隱私計(jì)算產(chǎn)品所使用的某些特定算法可能會(huì)存在部分精度的丟失的情況，這會(huì)導(dǎo)致加密計(jì)算結(jié)果與明文存在一定程度的偏差。但在實(shí)際應(yīng)用中，往往存在可接受的小范圍內(nèi)的偏差。因此，應(yīng)對(duì)不同的算法的準(zhǔn)確性要求做出不同的規(guī)范，滿(mǎn)足該要求的計(jì)算結(jié)果即為有效結(jié)果。

在基礎(chǔ)運(yùn)算、聯(lián)合統(tǒng)計(jì)、特征工程(如WOE、IV值計(jì)算)場(chǎng)景中，需要核驗(yàn)產(chǎn)品通過(guò)隱私計(jì)算所得結(jié)果與明文通過(guò)本地計(jì)算所得結(jié)果的相對(duì)誤差是否保持在規(guī)定范圍內(nèi)；在隱匿查詢(xún)、安全求交和聯(lián)合預(yù)測(cè)場(chǎng)景中，需要核驗(yàn)產(chǎn)品通過(guò)隱私計(jì)算所得結(jié)果與明文通過(guò)本地計(jì)算結(jié)果是否保持一致；在聯(lián)合建模場(chǎng)景中，使用隱私計(jì)算產(chǎn)品和與之相應(yīng)的機(jī)器學(xué)習(xí)算法程序在保證樣本數(shù)據(jù)集、特征選擇和訓(xùn)練參數(shù)一致的前提下分別進(jìn)行建模訓(xùn)練，若該產(chǎn)品通過(guò)隱私計(jì)算得到的模型的評(píng)價(jià)指標(biāo)(如AUC和KS值)和相對(duì)應(yīng)的明文機(jī)器學(xué)習(xí)訓(xùn)練得到的基準(zhǔn)模型的評(píng)價(jià)指標(biāo)保持在規(guī)定的誤差范圍內(nèi)，則表示通過(guò)核驗(yàn)[1]。

2.3 場(chǎng)景分析及算法舉例

隱私計(jì)算產(chǎn)品的耗時(shí)由可能的離線(xiàn)階段預(yù)處理操作和程序運(yùn)行時(shí)的在線(xiàn)時(shí)間組成，其中在線(xiàn)時(shí)間又包含計(jì)算耗時(shí)和通信耗時(shí)，在不同帶寬環(huán)境中所用的方法會(huì)不同。

2.3.1 基礎(chǔ)運(yùn)算

在隱私計(jì)算產(chǎn)品(尤其是多方安全計(jì)算產(chǎn)品)中，大部分復(fù)雜算法依賴(lài)于基礎(chǔ)運(yùn)算功能，通過(guò)組合基礎(chǔ)運(yùn)算算子來(lái)實(shí)現(xiàn)。針對(duì)基礎(chǔ)運(yùn)算，具體使用場(chǎng)景，如某隱私計(jì)算產(chǎn)品使用者想了解一批客戶(hù)的總資產(chǎn)，應(yīng)按照客戶(hù)ID對(duì)各銀行的數(shù)據(jù)進(jìn)行的聯(lián)合加法計(jì)算；或有時(shí)需要在不泄露雙方信息情況下，比較兩方數(shù)據(jù)中的客戶(hù)年齡、資產(chǎn)等個(gè)人信息。

加法、乘法和比較是隱私計(jì)算產(chǎn)品中具有代表性且能體現(xiàn)產(chǎn)品特性的三種基礎(chǔ)運(yùn)算算子，在聯(lián)合統(tǒng)計(jì)、安全求交和聯(lián)合建模等場(chǎng)景中常被使用，因此在檢驗(yàn)產(chǎn)品的基礎(chǔ)運(yùn)算性能時(shí)，可作為主要的測(cè)試場(chǎng)景。實(shí)際測(cè)試中應(yīng)在限定計(jì)算方個(gè)數(shù)的前提下，記錄多方基礎(chǔ)運(yùn)算耗時(shí)。以?xún)煞綖槔?，每個(gè)計(jì)算方各擁有一列若干行的浮點(diǎn)數(shù)，按行分別做若干次的安全計(jì)算并批量輸出結(jié)果，記錄完整的任務(wù)耗時(shí)。

加法、乘法和比較算子常用秘密分享實(shí)現(xiàn)。各參與方分別將其每一條數(shù)據(jù)拆分成隨機(jī)分片，自己持有一個(gè)分片，并將其余分片發(fā)送給其他參與方，各參與方完成本地分片計(jì)算后，再進(jìn)行匯聚得到運(yùn)算結(jié)果。在兩方乘法運(yùn)算的性能測(cè)試中，應(yīng)注意檢驗(yàn)輔助的Beaver三元組生成時(shí)間及安全性。

2.3.2 聯(lián)合統(tǒng)計(jì)

聯(lián)合統(tǒng)計(jì)是由多個(gè)基礎(chǔ)運(yùn)算算子構(gòu)成的組合運(yùn)算，包括了聯(lián)合運(yùn)算與本地運(yùn)算，能夠綜合考量產(chǎn)品面對(duì)實(shí)際統(tǒng)計(jì)應(yīng)用的計(jì)算效率。常用的聯(lián)合統(tǒng)計(jì)包括方差、中位數(shù)計(jì)算等。與基礎(chǔ)運(yùn)算要求相同，應(yīng)限定計(jì)算方個(gè)數(shù)的前提下，記錄耗時(shí)。

在測(cè)試聯(lián)合統(tǒng)計(jì)運(yùn)算的性能時(shí)，為保證結(jié)果的公平性，應(yīng)確定允許的本地運(yùn)算以及可暴露的信息。方差計(jì)算時(shí)其中一方可先本地計(jì)算所有數(shù)的和以及平方和，將其連同樣本量發(fā)送給另一方，然后通過(guò)對(duì)方數(shù)據(jù)和求出所有數(shù)總平均，再根據(jù)公式求得方差。中位數(shù)計(jì)算常用方法是找到第k個(gè)大元素[8]，主要思想是本地對(duì)雙方數(shù)組排序，然后比較特定位置的數(shù)值大小再進(jìn)行截?cái)噙^(guò)濾，其中比較數(shù)值大小需要基礎(chǔ)運(yùn)算中的比較算子。

2.3.3 隱匿查詢(xún)

隱匿查詢(xún)功能常用于聯(lián)合用戶(hù)畫(huà)像等場(chǎng)景中。隱匿查詢(xún)要求在查詢(xún)過(guò)程中保護(hù)查詢(xún)方的查詢(xún)信息，數(shù)據(jù)服務(wù)方為查詢(xún)方提供了匹配的查詢(xún)結(jié)果，卻無(wú)法獲知具體對(duì)應(yīng)的查詢(xún)對(duì)象，查詢(xún)方也無(wú)法知曉數(shù)據(jù)服務(wù)方除了匹配命中內(nèi)容以外的其他信息。

在實(shí)際的應(yīng)用過(guò)程中，產(chǎn)品通常會(huì)考慮需求場(chǎng)景，平衡效率和安全，將待查數(shù)據(jù)進(jìn)行分桶等操作以提升查詢(xún)效率。但是，此類(lèi)操作也會(huì)減小隱匿查詢(xún)結(jié)果的不可區(qū)分度，在一定程度上犧牲了安全性。因此舉例來(lái)說(shuō)，測(cè)評(píng)中可以對(duì)百級(jí)不可區(qū)分度和百萬(wàn)級(jí)不可區(qū)分度的查詢(xún)?nèi)蝿?wù)分別考量。百級(jí)不可區(qū)分的查詢(xún)可滿(mǎn)足實(shí)時(shí)查詢(xún)?nèi)蝿?wù)的效率要求，百萬(wàn)級(jí)不可區(qū)分的查詢(xún)可滿(mǎn)足高安全需求的查詢(xún)要求。

隱匿查詢(xún)的主要實(shí)現(xiàn)方法是基于隱私信息檢索技術(shù)(Private Information Retrieval，PIR)，典型的實(shí)現(xiàn)方案如XPIR[11]、SEALPIR[12]等。此外，通常定義下的PIR只能定位到目標(biāo)行，不能完成Keyword PIR的目標(biāo)。因此，被測(cè)產(chǎn)品需使用Labeled PSI[13]等Keyword PIR方法或在PIR中加入行和關(guān)鍵字的映射過(guò)程。在實(shí)際測(cè)評(píng)中，也應(yīng)注意考慮行號(hào)和關(guān)鍵字映射過(guò)程的額外耗時(shí)以及該過(guò)程的安全性。

2.3.4 安全求交

安全求交(Private Set Intersection，PSI)用于找到多方共有人群，同時(shí)不暴露各參與方的其他用戶(hù)。具體應(yīng)用：一是作為縱向聯(lián)邦學(xué)習(xí)的前置工作，二是可以根據(jù)多個(gè)規(guī)則篩選出目標(biāo)用戶(hù)群，三是找到共有人群后可用于人群篩選前后的統(tǒng)計(jì)分析工作，如在營(yíng)銷(xiāo)場(chǎng)景中，在保證本機(jī)構(gòu)和外部數(shù)據(jù)方的數(shù)據(jù)安全前提下，得到本機(jī)構(gòu)與外部數(shù)據(jù)方共有的用戶(hù)群，進(jìn)而得到與總量的比例。

考慮到當(dāng)前實(shí)際場(chǎng)景中經(jīng)常是兩個(gè)或三個(gè)機(jī)構(gòu)間進(jìn)行隱私集合求交，因此計(jì)算方數(shù)量設(shè)置為兩方和三方會(huì)有參考意義。其次，同一算法在參與方的數(shù)據(jù)規(guī)模差異程度不同的情況下性能表現(xiàn)也有不同，即有些算法適用于參與方數(shù)據(jù)集規(guī)模相差不大的情況下，有些算法在數(shù)據(jù)集規(guī)模相差大的情況下表現(xiàn)更好，所以設(shè)置平衡與非平衡場(chǎng)景更能體現(xiàn)產(chǎn)品能力。在平衡場(chǎng)景下，兩個(gè)或三個(gè)計(jì)算方持有的數(shù)據(jù)量相同，如均為上億級(jí)數(shù)據(jù)，相交率50%，進(jìn)行安全求交。在非平衡場(chǎng)景下，其中一個(gè)參與方持有較小量級(jí)的數(shù)據(jù)，如十萬(wàn)或百萬(wàn)量級(jí)的數(shù)據(jù)，其他參與方持有上億數(shù)據(jù)，相交率50%，進(jìn)行安全求交。

上述的兩方場(chǎng)景中典型的實(shí)現(xiàn)方式包括基于公鑰體系的方案和基于不經(jīng)意傳輸?shù)姆桨浮Ｔ诨诠€的體系中，主要包括基于非對(duì)稱(chēng)加密的方案，如適用于非平衡場(chǎng)景下的RSA盲簽名的隱私集合求交，以及基于密鑰協(xié)商的方案?；诿荑€協(xié)商的隱私集合求交方案是兩方在不安全信道中共同協(xié)商出一個(gè)密鑰來(lái)用于后續(xù)數(shù)據(jù)加密，該方案的安全性依賴(lài)求解離散對(duì)數(shù)問(wèn)題的困難，也有將基于橢圓曲線(xiàn)的加密算法和密鑰協(xié)商相結(jié)合的方案(ECDH)，其效率比一般的基于密鑰協(xié)商的方案高[3]。在實(shí)際測(cè)評(píng)中，使用以上方案需核驗(yàn)算法中的安全參數(shù)，如密鑰長(zhǎng)度或密鑰協(xié)商方案中的所選質(zhì)數(shù)的長(zhǎng)度是否符合要求。另外，在不經(jīng)意傳輸協(xié)議的方案中，基于文獻(xiàn)[14]的方案性能較高，該方案使用不經(jīng)意傳輸擴(kuò)展協(xié)議高效地構(gòu)造了大量不經(jīng)意偽隨機(jī)函數(shù)，并針對(duì)布谷鳥(niǎo)哈希做了相關(guān)優(yōu)化，壓縮通信量，在大規(guī)模數(shù)據(jù)集上表現(xiàn)良好，缺點(diǎn)是仍比基于公鑰體系的方案通信量大，在帶寬受限的情況下不適用。不同算法的通信量和計(jì)算資源使用不同，可通過(guò)日志、報(bào)文與監(jiān)控驗(yàn)證是否與聲明算法一致。

2.3.5 特征工程

特征工程包括特征預(yù)處理、特征選擇和特征降維等。在針對(duì)隱私計(jì)算產(chǎn)品的性能測(cè)試中，應(yīng)主要檢驗(yàn)需要多方數(shù)據(jù)聯(lián)合計(jì)算的特征工程任務(wù)，如數(shù)據(jù)縱向分布的WOE/IV值計(jì)算。通過(guò)計(jì)算WOE/IV值進(jìn)行特征篩選可以有效提升建模效果，所以特征工程的數(shù)據(jù)集和場(chǎng)景選擇與建模保持一致，場(chǎng)景分別為計(jì)算方兩方和三方的場(chǎng)景，僅一方持有標(biāo)簽信息，有標(biāo)簽方本地計(jì)算WOE/IV值，無(wú)標(biāo)簽方使用有標(biāo)簽方的標(biāo)簽以隱私保護(hù)的方式計(jì)算。

在特征工程場(chǎng)景的實(shí)際測(cè)試中，應(yīng)確定需要保護(hù)的信息以及可允許暴露的中間信息。例如，在多方聯(lián)合計(jì)算WOE和IV值時(shí)，通常使用同態(tài)加密技術(shù)，有標(biāo)簽方A使用同態(tài)加密方法加密標(biāo)簽發(fā)送給無(wú)標(biāo)簽方B，B方根據(jù)加密標(biāo)簽對(duì)變量分桶，并將每個(gè)分箱內(nèi)的正負(fù)樣本數(shù)和連同桶樣本量發(fā)送回A方，A方解密數(shù)據(jù)并結(jié)合自己每個(gè)分箱中的正負(fù)樣本數(shù)來(lái)計(jì)算WOE和IV值。在該舉例中，標(biāo)簽值是需要保護(hù)的關(guān)鍵信息，正負(fù)樣本數(shù)量情況作為可允許暴露的中間信息應(yīng)明確標(biāo)注。

2.3.6 聯(lián)合建模

聯(lián)合建模廣泛用于金融、政務(wù)和醫(yī)療等領(lǐng)域，在金融領(lǐng)域中場(chǎng)景包括授信風(fēng)控、廣告營(yíng)銷(xiāo)、反洗錢(qián)和反欺詐等。銀行等金融機(jī)構(gòu)通常作為數(shù)據(jù)使用方，借助外部數(shù)據(jù)，可以是縱向擴(kuò)展特征維度完成信貸、風(fēng)控或精準(zhǔn)營(yíng)銷(xiāo)，也可以是橫向擴(kuò)展數(shù)據(jù)集提高反洗錢(qián)識(shí)別效果；在政務(wù)領(lǐng)域中，通過(guò)政務(wù)數(shù)據(jù)開(kāi)放和共享的方式，可實(shí)現(xiàn)如商業(yè)選址、勞動(dòng)就業(yè)，電信反詐騙和人口流動(dòng)分析等應(yīng)用；隱私計(jì)算在醫(yī)療領(lǐng)域，通過(guò)醫(yī)院與醫(yī)院間的數(shù)據(jù)流通、政務(wù)和企業(yè)內(nèi)部數(shù)據(jù)的開(kāi)放的方式，可應(yīng)用于疫情防控、病情診斷和醫(yī)學(xué)研究等場(chǎng)景。

聯(lián)合建模測(cè)試的設(shè)置需充分考慮上述場(chǎng)景的實(shí)際情況，由于當(dāng)前縱向方式的聯(lián)合建模通常在兩個(gè)或三個(gè)機(jī)構(gòu)間進(jìn)行，所以在測(cè)試中計(jì)算方也分為兩方場(chǎng)景和三方場(chǎng)景，所有參與方均擁有數(shù)據(jù)的所有行，當(dāng)是兩方場(chǎng)景時(shí)，每個(gè)計(jì)算方各持有一半的特征，當(dāng)有三個(gè)計(jì)算方時(shí)，每個(gè)計(jì)算方持有1/3總量的特征，并且兩種場(chǎng)景下均是只有一個(gè)計(jì)算方持有標(biāo)簽信息。其次，建模數(shù)據(jù)集規(guī)模通常在十萬(wàn)至百萬(wàn)行間，特征總量在1 000維左右，因此測(cè)試中的數(shù)據(jù)集規(guī)模也在這一量級(jí)，另外考慮到特征工程會(huì)極大影響建模效果，所以測(cè)試前數(shù)據(jù)集需完成歸一化和標(biāo)準(zhǔn)化。最后，在算法上選擇應(yīng)考慮技術(shù)發(fā)展，當(dāng)前主流建模算法中易于實(shí)現(xiàn)并且表現(xiàn)良好的是邏輯回歸和XGBoost，測(cè)試中以這兩種算法為例更具代表性，在未來(lái)隨著其他算法更加普及也可將其納入考察范圍，如基于隱私保護(hù)的深度學(xué)習(xí)模型。在建模完成后使用創(chuàng)建的模型進(jìn)行離線(xiàn)批量預(yù)測(cè)，場(chǎng)景與建模一致也為兩方和三方的邏輯回歸和XGBoost。

邏輯回歸常見(jiàn)的方案包括縱向的聯(lián)邦學(xué)習(xí)方式，即基于同態(tài)加密的方案和基于多方安全計(jì)算的建模方案，兩種方案的安全要求不一樣，基于聯(lián)邦學(xué)習(xí)的建模由于存在第三方，第三方會(huì)解密再分發(fā)梯度導(dǎo)致中間數(shù)據(jù)泄露，而多方安全計(jì)算的建模方式要求不能泄露全局的中間數(shù)據(jù)，安全要求更高，所以在多方安全計(jì)算的性能測(cè)試中應(yīng)核驗(yàn)所用算法的安全性是否達(dá)標(biāo)。基于多方安全計(jì)算的邏輯回歸方案通常無(wú)可信第三方，常見(jiàn)的方法包括僅使用同態(tài)加密的方案和秘密分享與同態(tài)加密相結(jié)合的方案，以及多方安全計(jì)算基礎(chǔ)算子組合的協(xié)議ABY[8]，是一種基于算術(shù)分享、布爾分享和混淆電路分享的兩方協(xié)議，和其支持三方的ABY3協(xié)議[9]等。基于秘密分享的建模方案中需要三元組輔助計(jì)算，并且由于三元組在線(xiàn)計(jì)算開(kāi)銷(xiāo)大，該步驟通常在離線(xiàn)階段進(jìn)行，在測(cè)試時(shí)離線(xiàn)時(shí)間也需被記錄在內(nèi)。另一建模算法Xgboost的常見(jiàn)方案是SecureBoost[10]，其基于同態(tài)加密，主要思想是通過(guò)找到特征的最佳分裂點(diǎn)進(jìn)行多個(gè)樹(shù)的生成，直至滿(mǎn)足停止條件。由于初始模型和數(shù)據(jù)集會(huì)影響建模的效果及性能，所以上述的聯(lián)合建模測(cè)試中應(yīng)檢查模型初始權(quán)重，避免預(yù)訓(xùn)練，也需核驗(yàn)訓(xùn)練中所有數(shù)據(jù)是否至少使用一次，以及是否在數(shù)據(jù)集上做數(shù)據(jù)抽樣和特征篩選。

3 局限與展望

本文論述了隱私計(jì)算產(chǎn)品安全性、準(zhǔn)確性和性能三個(gè)維度相關(guān)影響的關(guān)系，以及在不同算法類(lèi)型下各個(gè)維度的標(biāo)準(zhǔn)化測(cè)試思路。主要采用的思路是首先固定硬件資源、每個(gè)算法的數(shù)據(jù)集和每個(gè)場(chǎng)景的計(jì)算方數(shù)量等，然后在每個(gè)算法下分類(lèi)固定其安全性和準(zhǔn)確性門(mén)檻要求，滿(mǎn)足在該算法下的安全性和準(zhǔn)確性門(mén)檻要求后測(cè)試其性能表現(xiàn)。由論述可知硬件資源、數(shù)據(jù)集和計(jì)算方數(shù)量等前置條件，每個(gè)算法場(chǎng)景的設(shè)置，以及安全性、準(zhǔn)確性和性能三大測(cè)試維度均是隱私計(jì)算產(chǎn)品性能測(cè)試需要考量的重要因素。由于不同隱私計(jì)算產(chǎn)品技術(shù)路線(xiàn)、實(shí)現(xiàn)原理差異較大，未來(lái)仍需探索考慮上述種種因素以及更多變量下，如何更好更準(zhǔn)確地量化衡量一個(gè)隱私計(jì)算產(chǎn)品。當(dāng)然，除去已述當(dāng)前理論問(wèn)題外，很多現(xiàn)實(shí)問(wèn)題和未來(lái)發(fā)展問(wèn)題也會(huì)影響后續(xù)隱私計(jì)算產(chǎn)品性能測(cè)評(píng)標(biāo)準(zhǔn)化工作。

(1)隱私計(jì)算參與方的資源情況不同

隱私計(jì)算通常由多方共同參與，各參與方的通信資源和計(jì)算資源可能差異較大，當(dāng)出現(xiàn)一方因網(wǎng)絡(luò)或計(jì)算資源不足無(wú)法繼續(xù)參與的情況時(shí)，可能會(huì)引起整個(gè)計(jì)算過(guò)程被迫停止。因此，保障同步性和可用性是隱私計(jì)算面臨的重要挑戰(zhàn)之一，尤其是在多參與方、數(shù)據(jù)規(guī)模大的情況下[4]。

(2)隱私計(jì)算產(chǎn)品安全邊界和等級(jí)有待形成共識(shí)

隱私計(jì)算產(chǎn)品多環(huán)節(jié)均可能存在風(fēng)險(xiǎn)，包括在算法協(xié)議上各產(chǎn)品差異化較大，并依賴(lài)安全假設(shè)；密碼學(xué)算法里的安全強(qiáng)度和密鑰證書(shū)的管理；以及產(chǎn)品方面的數(shù)據(jù)授權(quán)、監(jiān)管性和系統(tǒng)穩(wěn)定性等方面。在不同行業(yè)、不同技術(shù)中，隱私計(jì)算產(chǎn)品的安全邊界和等級(jí)界定也不盡相同。也要平衡實(shí)際應(yīng)用中準(zhǔn)確性和計(jì)算效率的要求，作為一項(xiàng)促進(jìn)數(shù)據(jù)合規(guī)流通的新技術(shù)，隱私計(jì)算因其技術(shù)復(fù)雜性，市場(chǎng)尚不成熟，為了實(shí)現(xiàn)實(shí)際應(yīng)用中準(zhǔn)確性和計(jì)算效率之間的平衡，就需要深入研究討論形成安全等級(jí)統(tǒng)一劃分的共識(shí)[3]。

(3)隱私計(jì)算產(chǎn)品性能仍需提升也必然會(huì)繼續(xù)提升

隱私計(jì)算技術(shù)通過(guò)密碼學(xué)算法實(shí)現(xiàn)數(shù)據(jù)計(jì)算的隱私性，卻是一種通過(guò)“犧牲性能換取安全”的思路，雖然算法的不斷改進(jìn)、硬件的不斷優(yōu)化以及算力的不斷增強(qiáng)促進(jìn)了隱私計(jì)算的性能不斷提升，但相對(duì)于無(wú)需加密的目標(biāo)函數(shù)計(jì)算，由于其通信量和加密復(fù)雜度，在計(jì)算效率上仍存在先天劣勢(shì)。當(dāng)產(chǎn)品應(yīng)用逐步向更大數(shù)據(jù)規(guī)模、更多數(shù)據(jù)方、更復(fù)雜場(chǎng)景推廣時(shí)，性能不足仍將成為關(guān)鍵阻礙。提升性能可以從算法層面優(yōu)化與硬件層面加速相結(jié)合。在算法層面，數(shù)據(jù)并行處理、算法并行操作或工作流水線(xiàn)并行進(jìn)行可以充分利用現(xiàn)有資源提升效率。另一方面，可以通過(guò)包括GPU、FPGA和ASIC等硬件將復(fù)雜運(yùn)算轉(zhuǎn)移至硬件設(shè)備執(zhí)行，以硬件加速方式縮短計(jì)算耗時(shí)。

4 結(jié)束語(yǔ)

當(dāng)前，隱私計(jì)算技術(shù)和工程化發(fā)展仍在突飛猛進(jìn)，本次結(jié)合實(shí)際場(chǎng)景對(duì)當(dāng)前階段特定條件下的產(chǎn)品的性能表現(xiàn)進(jìn)行了初步探索。未來(lái)，行業(yè)組織、科研機(jī)構(gòu)、技術(shù)廠(chǎng)商、行業(yè)應(yīng)用方仍需繼續(xù)合力探索，完善測(cè)試方法和測(cè)試手段，升級(jí)完善隱私計(jì)算相關(guān)規(guī)范標(biāo)準(zhǔn)，綜合考慮產(chǎn)品的性能與安全，共同促進(jìn)隱私計(jì)算行業(yè)健康高質(zhì)量發(fā)展。