[技术前沿]用加密数据进行计算的芯片即将问世

不要相信任何人。

这可不是惊悚片里的台词，它正在成为计算机安全的目标，实现这一目标的技术也已经出现。它被称为全同态加密（FHE），允许软件对加密数据进行计算，而无需解密数据。

在该技术的帮助下，很多行业都将迎来更多可能性：医学研究和患者护理方面实现巨大飞跃，而不会暴露患者数据；反洗钱工具更为有效，而不让监管机构看到任何人的银行账户信息；自动驾驶汽车可相互学习，而不会泄露司机信息；分析你的业务，而不会窥探你客户的生意；等等。
尽管全同态加密软件在保护金融和医疗数据方面取得了一些进展，但需要目前的计算机增加100万倍的算力付出，这一现象限制了全同态加密的应用。但到2024年，至少有6家公司将测试或商业化首批全同态加密芯片，使加密数据的计算速度增加到几乎与未加密数据的计算速度一样快。既然如此，为什么还要用其他方法呢?

密歇根大学硬件安全专家托德•奥斯汀（Todd Austin）表示：“我认为这是最近20年来最酷的技术。”奥斯汀的初创公司Agita Labs在亚马逊和微软的云平台上提供一种不同形式的安全计算。“它打破了计算机安全的‘一切都是可破解的’基本原则，因为它拒绝程序员看到数据。”

仅靠数据保护法规远远不够

保护数据的监管努力正在全球取得长足进展。在美国等地，患者数据受法律保护；在欧洲，《通用数据保护条例》（GDPR）保护个人数据，最近还据此对Meta公司处以13亿美元罚款；我们甚至可以将苹果应用商店反对数据共享的政策视为一种数据保护规定。

“这些都是很好的约束，都是社会需要的约束。”Fabric Cryptography公司创始人兼首席执行官麦克•高（Michael Gao）这样表示。Fabric Cryptography是开发全同态加密加速芯片的初创公司之一。但隐私和保密是有代价的：可能会使疾病跟踪和医学研究变得更为困难，可能会让坏人得利，也可能阻碍使用必要数据改进人工智能。

新泽西州霍博肯市Duality Technologies公司的首席执行官库尔特•罗勒夫（Kurt Rohloff）称：“全同态加密是一种自动化解决方案，在规避法律和监管问题的同时仍能保护隐私。”Duality Technologies是开发全同态加密加速芯片的公司之一，该公司的全同态加密软件已帮助金融公司检查欺诈并保护医疗研究中的患者隐私。

罗勒夫表示，尽管目前非加速全同态加密的发展速度相对较慢，但它仍然可用，因为“我们解决的并不是作为计算瓶颈的用例，而是有人参与的用例”，比如律师就“数据使用协议”进行谈判。他说，在公司的软件中添加新的硬件不仅能加速全同态加密，还能让它解决更大的“人在回路”问题。

全同态加密如何工作

乍一看，要对看似无意义的数据进行有意义的计算似乎并不可能。但这一概念可以追溯至几十年前，直至斯坦福大学研究生克雷格•金特里（Craig Gentry）于2009年最终实现了此想法。金特里找到了一种既可以做加法也可以做乘法的方法，不会累加消耗计算的噪声，可以实现任何形式的加密计算。

可以用傅里叶变换来理解全同态加密。有的人可能忘记了，在大学信号处理课程中，傅里叶变换是一个数学工具，可将时域信号（比如电路中电压的振荡）转变为频域信号。它存在一个关键的副作用，即在时域做的任何数学运算在频域都是等价的。所以在时域的任何计算都可以等价到频域计算，得到相同的答案。

全同态加密的天才之处在于它使用格密码（一种量子计算机校验编码形式）作为数学变换。这一方法的问题在于，变换会导致数据类型和数据量以及所需计算操作的种类发生重大变化。这便是新芯片的用武之地。

罗勒夫解释说，全同态加密计算意味着变换，对“很长的一列数字进行加法和乘法，每个数字本身都非常大”。计算的数字可能超过100位，这并非如今的中央处理器和图形处理器天生擅长的；图形处理器反而一直在朝着相反的方向发展，专注于使用越来越小的浮点数完成低精度的数学运算。相比之下，全同态加密加速芯片可以通过硬件串流海量数据，对长达千位的数字进行整数运算，满足加密精度的需求。

每个加速器都可以通过自己的方式来处理庞大的数据流。但它们都追求同一个目标——让全同态加密和今天的非加密计算一样快。

DARPA推动全同态加密

2021年，追求硬件加速全同态加密的努力得到最大提升，美国国防部高级研究计划局（DARPA）启动了一个名为DPRIVE的项目，其目标是制造硬件，从根本上减少全同态加密计算任务所需的时间，从几星期缩短至几秒乃至几毫秒。Duality Technologies、Galois和英特尔领导的3个参赛团队正在按计划交付芯片，2024年全同态加密的性能将达到传统计算性能的1/10，甚至更好。

此类芯片对于全同态加密突破目前的细分市场至关重要。Galois公司的大卫•阿彻（David Archer）称：“虽然算法和软件的发展已经让我们走得很远，但还不足以让全同态加密具有实用性，除了几组狭小的应用。”Galois公司杰出的硬件产品Basalisc使用异步时钟，执行全同态加密操作的各种类型电路均可按各自的速度运行。

对于英特尔团队的芯片Heracles，他们想出的方法是将全同态加密的庞大数字分解成只有32位的短数据字。较小的数字降低了计算延迟，这也意味着英特尔可以安排更多的计算单元以及更多的数据到达路径，英特尔负责增强私密计算研究的首席科学家罗•卡马罗塔（Ro Cammarota）解释说。

Duality团队的芯片名为Trebuchet，他们认为自己的优势在于设计可支持和加速全同态加密的软件，该初创公司已经将其软件商业化。罗勒夫称：“我们从应用程序开始驱动软件，然后让软件驱动硬件。”

全同态加密初创公司嗅到商机

至少还有3家公司独立于DARPA的DPRIVE项目开发全同态加密硬件。

麦克•高之前的创业公司名为Luminous，是一家致力于为人工智能提速的光学计算公司。在离开Luminous之后，麦克•高创立了Fabric Cryptograph。他对客户拥有的数据量印象深刻，也有点担心，想看看加密计算在保护私密的方面能做些什么，同时帮助企业从中获益。Fabric公司预计，其芯片将在2024年内实现量产。

对总部位于加州坎贝尔的Cornami来说，全同态加密是重新定义新型并行计算架构的机会。该架构最初的设计目的是加快计算速度，允许程序分解成完全独立的指令流，这些指令流可以在处理器的多个内核中流动，不会因共享资源而产生延迟。

2019年，芯片行业的资深人士瓦尔登•C. “沃利”•莱茵斯（Walden C.“Wally”Rhines）遇到Cornami，恰逢公司计划将该架构应用于机器学习，莱茵斯表示这一领域当时已经很拥挤了。而他刚刚为DARPA完成了一些全同态加密的工作，于是推动这家初创公司转向这个方向。目前担任该公司首席执行官的莱茵斯表示，Cornami将在2024年推出一款产品，使全同态加密的计算速度与非加密明文的计算速度相当。

位于英国利兹的Optalysys公司正在寻求利用光学计算傅里叶变换的内在灵活性。人们早就知道，一个相当简单的光学系统可立即生成二维图像的傅里叶变换，十多年前成立的Optalysys致力于利用这一技术，多年来公司开发的系统用于与国防相关的任务，比如从杂乱的图像中寻找规律模式。

该公司首席执行官尼克•纽（Nick New）表示，随着硅光子技术的普及，公司已经能够将变换技术用于加密和全同态加密。他说：“全同态加密绝对是光学变换主导的领域。”该初创公司计划在2024年下半年推出产品。

全同态加密前景

“从根本上讲，如果全同态加密足够快、成本效益足够高，没有理由不用它。”尼克•纽说，“但要做到这一点还有很长的路要走。”

英特尔的卡马罗塔认为加速芯片只是一个起点。全同态加密还需要软件开发工具来简化编程和标准化。虽然尚没有芯片在手，但这两项研究仍在进行之中，现有很多方法可以实现全同态加密，标准化的工作依然处于早期阶段。

一旦业界具备了软件、标准和硬件三大要素，研究人员便可开始研究此类加速芯片还能做些什么。“这是计算历史上的新篇章。”卡马罗塔这样说。

作者：Samuel K. Moore