中國(guó)隱私保護(hù)計(jì)算技術(shù)研究報(bào)告

1、目錄 HYPERLINK l _bookmark3 一、隱私保護(hù)計(jì)算 6 HYPERLINK l _bookmark4 （一）隱私保護(hù)計(jì)算概念 6 HYPERLINK l _bookmark5 （二）隱私保護(hù)計(jì)算架構(gòu) 6 HYPERLINK l _bookmark8 （三）隱私保護(hù)計(jì)算目標(biāo) 7 HYPERLINK l _bookmark11 （四）隱私保護(hù)計(jì)算價(jià)值 8 HYPERLINK l _bookmark13 二、隱私保護(hù)計(jì)算關(guān)鍵技術(shù) 10 HYPERLINK l _bookmark14 （一）聯(lián)邦學(xué)習(xí) 10 HYPERLINK l _bookmark28 （二）安全多方計(jì)算 17 HY

2、PERLINK l _bookmark42 （三）機(jī)密計(jì)算 29 HYPERLINK l _bookmark52 （四）差分隱私 35 HYPERLINK l _bookmark59 （五）同態(tài)加密 38 HYPERLINK l _bookmark64 三、隱私保護(hù)計(jì)算關(guān)鍵技術(shù)綜合評(píng)價(jià) 40 HYPERLINK l _bookmark66 四、隱私保護(hù)計(jì)算應(yīng)用案例 44 HYPERLINK l _bookmark67 （一）金融領(lǐng)域 44 HYPERLINK l _bookmark69 （二）政務(wù)領(lǐng)域 45 HYPERLINK l _bookmark71 （三）醫(yī)療領(lǐng)域 46 HYPERLIN

3、K l _bookmark74 五、 隱私保護(hù)計(jì)算發(fā)展展望 48圖 目 錄 HYPERLINK l _bookmark7 圖 1隱私保護(hù)計(jì)算參考架構(gòu) 7 HYPERLINK l _bookmark10 圖 2面向數(shù)據(jù)生命周期的隱私計(jì)算技術(shù) 8 HYPERLINK l _bookmark17 圖 3基于聯(lián)邦學(xué)習(xí)的語(yǔ)言預(yù)測(cè)模型更新 11 HYPERLINK l _bookmark19 圖 4橫向聯(lián)邦學(xué)習(xí) 13 HYPERLINK l _bookmark20 圖 5縱向聯(lián)邦學(xué)習(xí) 13 HYPERLINK l _bookmark21 圖 6聯(lián)邦遷移學(xué)習(xí) 14 HYPERLINK l _bookmark

4、22 圖 7聯(lián)邦學(xué)習(xí)參考架構(gòu) 14 HYPERLINK l _bookmark31 圖 8安全多方計(jì)算示意圖 18 HYPERLINK l _bookmark35 圖 92 取 1 不經(jīng)意傳輸協(xié)議 22 HYPERLINK l _bookmark37 圖 10AND 門(mén)混淆電路示意圖 23 HYPERLINK l _bookmark38 圖 11安全多方計(jì)算參考架構(gòu) 24 HYPERLINK l _bookmark46 圖 12Intel SGX 基本原理 31 HYPERLINK l _bookmark49 圖 13Rust SGX 架構(gòu)示意圖 30 33 HYPERLINK l _book

5、mark51 圖 14消息傳遞接口示意圖 34 HYPERLINK l _bookmark68 圖 15反欺詐聯(lián)邦學(xué)習(xí)示意圖 45 HYPERLINK l _bookmark70 圖 16疑犯信息查詢(xún)示意圖 46 HYPERLINK l _bookmark73 圖 17新冠人工智能聯(lián)合診斷示意圖 48表 目 錄 HYPERLINK l _bookmark40 表 1通用安全多方計(jì)算實(shí)施方案對(duì)比 27 HYPERLINK l _bookmark65 表 2關(guān)鍵技術(shù)綜合評(píng)價(jià)表 43隱私保護(hù)計(jì)算技術(shù)研究報(bào)告2019 年 10 月，黨的十九屆四中全會(huì)決議通過(guò)的中共中央關(guān)于堅(jiān)持和完善中國(guó)特色社會(huì)主義制度

6、 推進(jìn)國(guó)家治理體系和治理能力現(xiàn)代化若干重大問(wèn)題的決定（以下簡(jiǎn)稱(chēng)決定），首次增列“數(shù)據(jù)”為生產(chǎn)要素，要求健全勞動(dòng)、資本、土地、知識(shí)、技術(shù)、管理、數(shù)據(jù)等生產(chǎn)要素由市場(chǎng)評(píng)價(jià)貢獻(xiàn)、按貢獻(xiàn)決定報(bào)酬的機(jī)制?？v觀社會(huì)經(jīng)濟(jì)發(fā)展，從以土地、勞動(dòng)力為生產(chǎn)要素的農(nóng)業(yè)經(jīng)濟(jì)時(shí)代，到以資本、技術(shù)為生產(chǎn)要素的工業(yè)經(jīng)濟(jì)時(shí)代，演進(jìn)至今以數(shù)據(jù)生產(chǎn)要素為核心推動(dòng)力的數(shù)字經(jīng)濟(jì)時(shí)代，生產(chǎn)要素形態(tài)的演進(jìn)具有鮮明的社會(huì)經(jīng)濟(jì)發(fā)展時(shí)代特征。隨著經(jīng)濟(jì)的發(fā)展和進(jìn)步，由于自然資源的不可再生性、人口紅利逐漸弱化、技術(shù)貢獻(xiàn)逐漸乏力等因素導(dǎo)致傳統(tǒng)生產(chǎn)要素對(duì)經(jīng)濟(jì)增長(zhǎng)的拉動(dòng)作用逐漸減弱，全要素生產(chǎn)率增長(zhǎng)乏力。而數(shù)據(jù)要素打破了原有自然資源的有限性，實(shí)現(xiàn)可復(fù)制、

7、可共享，為經(jīng)濟(jì)持續(xù)增長(zhǎng)釋放了無(wú)限的潛能。將數(shù)據(jù)增列為生產(chǎn)要素，是對(duì)數(shù)據(jù)生產(chǎn)價(jià)值、市場(chǎng)貢獻(xiàn)以及歷史地位的高度肯定。為落實(shí)黨的十九屆四中全會(huì)關(guān)于決定的重大決策部署，2020年 4 月，中共中央、國(guó)務(wù)院出臺(tái)關(guān)于構(gòu)建更加完善的要素市場(chǎng)化配置體制機(jī)制的意見(jiàn)（以下簡(jiǎn)稱(chēng)意見(jiàn)）。作為我國(guó)首份要素市場(chǎng)化配置的文件，意見(jiàn)圍繞數(shù)據(jù)生產(chǎn)要素，強(qiáng)調(diào)從推進(jìn)政府?dāng)?shù)據(jù)開(kāi)放共享、提升社會(huì)數(shù)據(jù)資源價(jià)值、加強(qiáng)數(shù)據(jù)資源整合和安全保護(hù)三方面加快培育數(shù)據(jù)要素市場(chǎng)。意見(jiàn)對(duì)數(shù)據(jù)生產(chǎn)要素市場(chǎng)培育的理論創(chuàng)新和方法論指導(dǎo)，對(duì)于全面釋放數(shù)字紅利、助推國(guó)家搶抓數(shù)字經(jīng)濟(jì)全球競(jìng)爭(zhēng)制高點(diǎn)具有重大戰(zhàn)略意義。由希捷公司資助，IDC 發(fā)布的數(shù)據(jù)時(shí)代 2025白皮

8、書(shū)顯示（2020年 5 月數(shù)據(jù)更新），相較于歐洲、中東、非洲、美國(guó)、亞太（含日本，不含中國(guó)）以及全球其他區(qū)域，在未來(lái) 5 年我國(guó)的數(shù)據(jù)量年平均增長(zhǎng)率將達(dá)到 26%，預(yù)計(jì)到 2022 年將擁有全球最大的數(shù)據(jù)圈（datasphere） HYPERLINK l _bookmark0 5。如何加快培育數(shù)據(jù)要素市場(chǎng)成型，激發(fā)數(shù)據(jù)要素市場(chǎng)活力，充分發(fā)揮數(shù)據(jù)生產(chǎn)要素對(duì)其他要素的倍增作用，亟待多方協(xié)同努力開(kāi)拓。數(shù)據(jù)要素的流通共享和核心價(jià)值挖掘是數(shù)據(jù)要素市場(chǎng)培育的核心內(nèi)容，必須在保證隱私安全的前提下實(shí)現(xiàn)有效信息共享，在兼顧其它生產(chǎn)要素實(shí)現(xiàn)資源統(tǒng)籌優(yōu)化、提高資源配置效率的同時(shí)，反哺農(nóng)業(yè)經(jīng)濟(jì)和工業(yè)經(jīng)濟(jì)，實(shí)現(xiàn)資源配置

9、最優(yōu)組合服務(wù)社會(huì)，孕育更大的數(shù)據(jù)價(jià)值，為數(shù)字經(jīng)濟(jì)繁榮創(chuàng)造條件。從當(dāng)下數(shù)據(jù)流通的實(shí)踐來(lái)看，傳統(tǒng)基于所有權(quán)轉(zhuǎn)讓的交易模式仍然受困于交易形態(tài)、數(shù)據(jù)確權(quán)、數(shù)據(jù)定價(jià)等問(wèn)題而無(wú)法規(guī)?；涞兀劳杏陔[私保護(hù)計(jì)算的數(shù)據(jù)協(xié)同應(yīng)用平臺(tái)的服務(wù)模式更為可行。當(dāng)前，仍然有三大因素制約數(shù)據(jù)流通與協(xié)作。一是 “數(shù)據(jù)孤島”現(xiàn)象普遍存在；二是全球數(shù)據(jù)合規(guī)監(jiān)管日趨嚴(yán)格;三是隱私泄露事件頻發(fā)導(dǎo)致信任鴻溝。“數(shù)據(jù)孤島”現(xiàn)象普遍存在。隨著信息化、智能化進(jìn)程的不斷推進(jìn)，“數(shù)據(jù)孤島”作為一個(gè)全球性問(wèn)題已成為制約數(shù)據(jù)核心價(jià)值挖掘的瓶頸之一?！皵?shù)據(jù)孤島”的產(chǎn)生與企業(yè)的集團(tuán)化發(fā)展模式和信息化的“需求優(yōu)先”建設(shè)思路有著必然的聯(lián)系，各子公司、各部門(mén)

10、的數(shù)據(jù)5 IDC: Data Age 2025The Digitization of the World From Edge to Core.形成彼此相互“獨(dú)立”無(wú)法互通關(guān)聯(lián)的一座座“孤島”。“數(shù)據(jù)孤島”的獨(dú)立性不僅僅體現(xiàn)在物理數(shù)據(jù)存儲(chǔ)和維護(hù)方面，更體現(xiàn)在企業(yè)間、部門(mén)間由于業(yè)務(wù)背景不同造成對(duì)數(shù)據(jù)的定義和使用差異化的邏輯性 方面?！皵?shù)據(jù)孤島”的出現(xiàn)使得數(shù)據(jù)共享和流通協(xié)作受阻，無(wú)法保證 數(shù)據(jù)的一致性和準(zhǔn)確性，對(duì)于數(shù)據(jù)的核心價(jià)值挖掘造成了一定的阻礙。此外，由于數(shù)據(jù)要素的低成本可復(fù)制性，使其具有明顯的規(guī)模經(jīng)濟(jì)效 應(yīng)，導(dǎo)致數(shù)據(jù)要素在資產(chǎn)化過(guò)程中極易發(fā)生壟斷。如何打破產(chǎn)業(yè)鏈上 下游既有的數(shù)據(jù)壁壘，有效解決

11、數(shù)字市場(chǎng)的競(jìng)爭(zhēng)與壟斷問(wèn)題，充分激 發(fā)數(shù)據(jù)要素價(jià)值、共享數(shù)字紅利，實(shí)現(xiàn)數(shù)字經(jīng)濟(jì)時(shí)代的“耕者有其田”，已然成為社會(huì)各界關(guān)注的焦點(diǎn)。全球合規(guī)監(jiān)管日趨嚴(yán)格。2018 年 5 月 25 日，歐盟通用數(shù)據(jù)保護(hù)條例（General Data Protection Regulation,GDPR）正式生效。為充分實(shí)現(xiàn)個(gè)人數(shù)據(jù)安全，GDPR 圍繞個(gè)人數(shù)據(jù)處理行為組織者的義務(wù)主體和個(gè)人數(shù)據(jù)權(quán)利主體兩方面搭建個(gè)人數(shù)據(jù)保護(hù)框架。此外， GDPR 也憑借其極高的域外適用效力，被稱(chēng)為史上“最嚴(yán)格”的數(shù)據(jù)保護(hù)管理?xiàng)l例備受全球關(guān)注。GDPR 的實(shí)施不僅向世界宣示了歐盟肩負(fù)重建數(shù)字經(jīng)濟(jì)時(shí)代隱私保護(hù)新秩序的雄心和決心，對(duì)世界各國(guó)

12、關(guān)于隱私保護(hù)監(jiān)管框架的構(gòu)建與升級(jí)產(chǎn)生了深遠(yuǎn)的影響，也預(yù)示著隱私問(wèn)題已切實(shí)成為懸在頭上的“達(dá)摩克利斯之劍”。在 GDPR 正式生效一個(gè)月后，美國(guó)加利福尼亞州頒布了2018 加利福尼亞州消費(fèi)者隱私法（California Consumer Privacy Act of 2018，CCPA），并于 2020年 1 月 1 日正式實(shí)施。相較于GDPR，CCPA 在倡導(dǎo)對(duì)個(gè)人數(shù)據(jù)隱私被動(dòng)防御和主動(dòng)實(shí)施方面有著極大的相似性。但在個(gè)人信息概念界定、個(gè)人信息主體權(quán)利的豐富程度、個(gè)體意愿表達(dá)、出于利益平衡的數(shù)據(jù) 合理應(yīng)用等方面都體現(xiàn)出了較大的差異性。如 CCPA 對(duì)個(gè)人信息的收 集使用采取“默示同意”（opt-

13、out）模式，而非 GDPR 的“明示同意”（opt-in）模式。2020 年 6 月 28 日，第十三屆全國(guó)人大常委會(huì)第二十次會(huì)議初次審議了中華人民共和國(guó)數(shù)據(jù)安全法（草案）（以下簡(jiǎn)稱(chēng)數(shù)據(jù)安全法（草案）。數(shù)據(jù)安全法（草案）貫徹落實(shí)總體國(guó)家安全觀，確立了數(shù)據(jù)安全保護(hù)的各項(xiàng)基本制度，堅(jiān)持安全與發(fā)展并重，鼓勵(lì)與促進(jìn)數(shù)據(jù)依法合規(guī)的有效利用，促進(jìn)以數(shù)據(jù)為關(guān)鍵生產(chǎn)要素的數(shù)字經(jīng)濟(jì)發(fā)展。2020 年 10 月 21 日，中華人民共和國(guó)個(gè)人信息保護(hù)法（草案）（以下簡(jiǎn)稱(chēng)個(gè)人信息保護(hù)法（草案）公布并公開(kāi)征求社會(huì)公眾意見(jiàn)。個(gè)人信息保護(hù)法（草案）圍繞總則、個(gè)人信息處理規(guī)則、個(gè)人信息跨境提供的規(guī)則、個(gè)人在個(gè)人信息處理活動(dòng)

14、中的權(quán)利、個(gè)人信息處理者的義務(wù)、履行個(gè)人信息保護(hù)職責(zé)的部門(mén)、法律責(zé)任和附則等多個(gè)層面設(shè)計(jì)和建構(gòu)個(gè)人信息保護(hù)的立法框架。日趨嚴(yán)格的隱私保護(hù)監(jiān)管一方面促進(jìn)了數(shù)據(jù)權(quán)利主體和數(shù)據(jù)處理行為組織者的隱私保護(hù)意識(shí)的覺(jué)醒，但同時(shí)也加重了企業(yè)對(duì)數(shù)據(jù)流通與協(xié)作合法合規(guī)的擔(dān)憂。隱私泄露事件頻發(fā)導(dǎo)致信任鴻溝。2017 年，英國(guó)期刊經(jīng)濟(jì)學(xué) 人（The Economist）發(fā)表封面文章稱(chēng)數(shù)據(jù)已經(jīng)取代“石油” HYPERLINK l _bookmark1 6成 為當(dāng)今世界最有價(jià)值的資源，將數(shù)據(jù)的重要性提到了無(wú)與倫比的高度。6 The Economist: Regulating the Internet Giants-The

15、 Worlds Most Valuable Resource Is No Longer Oil, But Data.基于對(duì)數(shù)據(jù)經(jīng)濟(jì)價(jià)值的高度認(rèn)可，以及快速實(shí)現(xiàn)商業(yè)變現(xiàn)的盲目追逐，缺乏隱私保護(hù)的數(shù)據(jù)“野蠻掘金”活動(dòng)日益猖獗，對(duì)于個(gè)人隱私的侵 犯無(wú)處不在。2018 年 3 月，數(shù)據(jù)分析公司劍橋分析（Cambridge Analytica）被爆違規(guī)竊取 Facebook 用戶(hù)數(shù)據(jù)并將之不當(dāng)應(yīng)用于政治 廣告投放和大選營(yíng)銷(xiāo)，實(shí)現(xiàn)了以經(jīng)濟(jì)利益為根本的政治目的?！皠?分析”事件后，美國(guó)聯(lián)邦貿(mào)易委員會(huì)（Federal Trade Commission，F(xiàn)TC）重啟了對(duì)Facebook 是否違反“2012 和

16、解令”的調(diào)查，而 Facebook 也 因未采取充分的隱私保護(hù)機(jī)制，與美國(guó)聯(lián)邦貿(mào)易委員會(huì)達(dá)成彼時(shí)罰金 最高的 50 億美元和解協(xié)議 HYPERLINK l _bookmark2 7。隨著萬(wàn)物互聯(lián)愿景的逐步實(shí)現(xiàn)，數(shù)據(jù)作 為人類(lèi)與設(shè)備間的橋梁作用逐步顯現(xiàn)，數(shù)據(jù)間的關(guān)聯(lián)程度日漸增強(qiáng)，單點(diǎn)數(shù)據(jù)泄露事件的發(fā)生，極易被級(jí)聯(lián)放大，足以引起一場(chǎng)“多米諾 骨牌”效應(yīng)的連鎖危機(jī)。在隱私意識(shí)逐步覺(jué)醒和合規(guī)監(jiān)管日趨嚴(yán)格的 大背景下，頻發(fā)的隱私泄露事件進(jìn)一步打擊了社會(huì)各界對(duì)數(shù)據(jù)流通與 協(xié)作的隱私保護(hù)信心。數(shù)據(jù)價(jià)值挖掘和隱私保護(hù)并非一場(chǎng)零和博弈，它們有著促進(jìn)數(shù)字經(jīng)濟(jì)發(fā)展的共同理想和合作共贏的利益訴求。片面的共享集中及不切

17、實(shí)際的隱私期待極易使得數(shù)據(jù)價(jià)值挖掘陷入“囚徒困境”。如何打破 “數(shù)據(jù)孤島”壁壘，建立數(shù)據(jù)流通與協(xié)作的隱私保護(hù)信心，以更加彈性柔軟的方式促進(jìn)法律監(jiān)管“硬制度”的“軟著陸”，實(shí)現(xiàn)數(shù)據(jù)價(jià)值挖掘和隱私保護(hù)的正和博弈，隱私保護(hù)計(jì)算為此提供了行之有效的解決之道。7 FTC Imposes $5 Billion Penalty and Sweeping New Privacy Restrictions on Facebook. https HYPERLINK /news-events/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-

18、new-privacy-restr :/news-events/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-new-privacy-restr ictions一、隱私保護(hù)計(jì)算（一）隱私保護(hù)計(jì)算概念隱私保護(hù)計(jì)算（Privacy-Preserving Computation）近年來(lái)被提出，是指在提供隱私保護(hù)的前提下，實(shí)現(xiàn)數(shù)據(jù)價(jià)值挖掘的技術(shù)體系 HYPERLINK l _bookmark6 8。面對(duì)數(shù)據(jù)計(jì)算的參與方或其他意圖竊取信息的攻擊者，隱私保護(hù)計(jì)算技術(shù)能夠?qū)崿F(xiàn)數(shù)據(jù)處于加密狀態(tài)或非透明（Opaque）狀態(tài)下的計(jì)算，以

19、達(dá)到各參與方隱私保護(hù)的目的 8。隱私保護(hù)計(jì)算并不是一種單一的技術(shù)，它是一套包含人工智能、密碼學(xué)、數(shù)據(jù)科學(xué)等眾多領(lǐng)域交叉融合的跨學(xué)科技術(shù)體系。隱私保護(hù)計(jì)算能夠保證滿(mǎn)足數(shù)據(jù)隱私安全的基礎(chǔ)上，實(shí)現(xiàn)數(shù)據(jù)“價(jià)值”和“知識(shí)”的流動(dòng)與共享，真正做到“數(shù)據(jù)可用不可見(jiàn)”。（二）隱私保護(hù)計(jì)算架構(gòu)隱私保護(hù)計(jì)算架構(gòu)可抽象為圖 1。在隱私保護(hù)計(jì)算參考架構(gòu)中，主要有數(shù)據(jù)方、計(jì)算方和結(jié)果方三類(lèi)角色。數(shù)據(jù)方是指為執(zhí)行隱私保護(hù)計(jì)算過(guò)程提供數(shù)據(jù)的組織或個(gè)人；計(jì)算方是指為執(zhí)行隱私保護(hù)計(jì)算過(guò)程提供算力的組織或個(gè)人；結(jié)果方是指接收隱私保護(hù)計(jì)算結(jié)果的組織或個(gè)人。為實(shí)現(xiàn)數(shù)據(jù)資源的豐富、升維以及模型的智能化應(yīng)用，在實(shí)際部署中參與實(shí)體至少為

20、2 個(gè)，每個(gè)參與實(shí)體可以承擔(dān)數(shù)據(jù)方、計(jì)算方和結(jié)果方中的一個(gè)或多個(gè)角色。例如在P2P 的對(duì)等網(wǎng)絡(luò)架構(gòu)中，數(shù)據(jù)方同時(shí)承擔(dān)了計(jì)算方和結(jié)果方的角色。8 UN Handbook on Privacy-Preserving Computation Techniques.原始數(shù)據(jù)2交互1數(shù)據(jù)634計(jì)算 75結(jié)果數(shù)據(jù)方計(jì)算方結(jié)果方圖 1隱私保護(hù)計(jì)算參考架構(gòu)（三）隱私保護(hù)計(jì)算目標(biāo)根據(jù)圖 1，隱私保護(hù)計(jì)算過(guò)程中主要存在 7 個(gè)隱私風(fēng)險(xiǎn)點(diǎn) 8：數(shù)據(jù)在數(shù)據(jù)方的靜態(tài)存儲(chǔ)風(fēng)險(xiǎn)；數(shù)據(jù)從數(shù)據(jù)方傳輸至計(jì)算方的傳輸風(fēng)險(xiǎn)；數(shù)據(jù)在計(jì)算方計(jì)算時(shí)的隱私風(fēng)險(xiǎn)；數(shù)據(jù)在計(jì)算方計(jì)算后的隱私風(fēng)險(xiǎn)；計(jì)算結(jié)果在計(jì)算方的靜態(tài)存儲(chǔ)風(fēng)險(xiǎn)；計(jì)算結(jié)果從計(jì)算方傳

21、輸至結(jié)果方的傳輸風(fēng)險(xiǎn)；計(jì)算結(jié)果在結(jié)果方的靜態(tài)存儲(chǔ)風(fēng)險(xiǎn)。數(shù)據(jù)隱私計(jì)算技術(shù)廣義上來(lái)說(shuō)是面向隱私信息全生命周期的隱私保護(hù)計(jì)算理論和方法 HYPERLINK l _bookmark9 9。但在數(shù)據(jù)傳輸和數(shù)據(jù)存儲(chǔ)環(huán)節(jié)的隱私保護(hù)技術(shù)已相對(duì)成熟，如 SM2、SM3、SM4、RSA、SHA2、AES 以及SSL/TLS等（如圖 2 所示）。故本報(bào)告提出的隱私保護(hù)計(jì)算則重點(diǎn)關(guān)注數(shù)據(jù)計(jì)算過(guò)程和數(shù)據(jù)計(jì)算結(jié)果的隱私安全問(wèn)題。9 李鳳華, 李暉, 賈焰,等. 隱私計(jì)算研究范疇及發(fā)展趨勢(shì)J. 通信學(xué)報(bào), 2016, 37(04):1-11.生命周期相關(guān)技術(shù)數(shù)據(jù)存儲(chǔ)SM2、SM3、 SM4、RSA、 SHA2、AES、數(shù)據(jù)

22、傳輸SM2、SM3、 SM4、RSA、 AES、SHA2、SSL/TLS、數(shù)據(jù)計(jì)算過(guò)程MPC(GC、SS)、FL OT、FHE、TEE、Paillier、ElGarmal、數(shù)據(jù)計(jì)算結(jié)果DP、圖 2面向數(shù)據(jù)生命周期的隱私計(jì)算技術(shù)隱私保護(hù)計(jì)算的目標(biāo)是在完成計(jì)算任務(wù)的基礎(chǔ)上，實(shí)現(xiàn)數(shù)據(jù)計(jì)算過(guò)程和數(shù)據(jù)計(jì)算結(jié)果的隱私保護(hù)。數(shù)據(jù)計(jì)算過(guò)程的隱私保護(hù)指參與方在整個(gè)計(jì)算的過(guò)程中難以得到除計(jì)算結(jié)果之外的額外信息。數(shù)據(jù)計(jì)算結(jié)果的隱私保護(hù)指參與方難以基于計(jì)算結(jié)果逆推原始輸入數(shù)據(jù)和隱私信息。（四）隱私保護(hù)計(jì)算價(jià)值在消除“數(shù)據(jù)孤島”方面。“數(shù)據(jù)孤島”的出現(xiàn)是企業(yè)集團(tuán)化發(fā)展和信息化進(jìn)程的“必然產(chǎn)物”，但是越來(lái)越多的企業(yè)和組織

23、需要與產(chǎn)業(yè)上下游的業(yè)務(wù)伙伴通過(guò)數(shù)據(jù)流通實(shí)現(xiàn)深度合作，以此來(lái)提升決策能力，獲取競(jìng)爭(zhēng)優(yōu)勢(shì)。物理和邏輯上的孤立性疊加日漸趨嚴(yán)的合規(guī)監(jiān)管和隱私保護(hù)意識(shí)的覺(jué)醒，使得數(shù)據(jù)價(jià)值釋放舉步維艱。而以聯(lián)邦學(xué)習(xí)、安全多方計(jì)算、機(jī)密計(jì)算、差分隱私、同態(tài)加密等為代表的隱私保護(hù)計(jì)算從技術(shù)角度實(shí)現(xiàn)了原始數(shù)據(jù)不出庫(kù)、數(shù)據(jù)“價(jià)值”和“知識(shí)”出庫(kù)的目標(biāo)，有效實(shí)現(xiàn)跨領(lǐng)域多維度數(shù)據(jù)的融合，完成了數(shù)據(jù)流通向 “價(jià)值”流通的升級(jí)，打破既有數(shù)據(jù)壁壘，有效實(shí)現(xiàn)了數(shù)據(jù)隱私保護(hù)與價(jià)值挖掘之間的平衡，構(gòu)建了一種“數(shù)據(jù)可用不可見(jiàn)”的合作新模式。在合規(guī)避險(xiǎn)方面。歐盟的數(shù)據(jù)市場(chǎng)報(bào)告顯示 HYPERLINK l _bookmark12 10，2019 年

24、歐盟 27國(guó)及英國(guó)的數(shù)據(jù)經(jīng)濟(jì)價(jià)值已經(jīng)突破 4000 億歐元（4064.68 億歐元），年增長(zhǎng)率達(dá) 7.6%，預(yù)計(jì) 2020 年達(dá) 4439.25 億歐元，預(yù)計(jì)年增長(zhǎng)率達(dá) 9.2%，數(shù)據(jù)經(jīng)濟(jì)對(duì)歐盟 2019 年 GDP 貢獻(xiàn)比已達(dá) 2.6%。在數(shù)據(jù)隱私保護(hù)合規(guī)監(jiān)管日趨嚴(yán)格的大背景下，歐洲數(shù)據(jù)經(jīng)濟(jì)相當(dāng)程度的規(guī)?；蜕虡I(yè)化發(fā)展一定程度上實(shí)現(xiàn)了 GDPR 開(kāi)宗明義所傳承的二元立法目標(biāo)：保護(hù)個(gè)人權(quán)利并促進(jìn)個(gè)人數(shù)據(jù)流動(dòng)。這與歐洲在隱私保護(hù)計(jì)算技術(shù)合規(guī)性研究方面做出的巨大努力密切相關(guān)。其中關(guān)于隱私保護(hù)計(jì)算技術(shù)的一個(gè)重要范例是愛(ài)沙尼亞在 2015 年的私人統(tǒng)計(jì)項(xiàng)目，1000萬(wàn)條可識(shí)別納稅記錄與 60 萬(wàn)條可識(shí)

25、別學(xué)歷信息關(guān)聯(lián)在一起，通過(guò)安全多方計(jì)算技術(shù)對(duì)其進(jìn)行統(tǒng)計(jì)分析。歐洲的 PRACTICE 項(xiàng)目（歐盟第七框架計(jì)劃）付出大量努力分析安全計(jì)算技術(shù)的合規(guī)性 8，報(bào)告依據(jù) GDPR 論證了該愛(ài)沙尼亞項(xiàng)目的合規(guī)性，為歐洲實(shí)現(xiàn)隱私保護(hù)合規(guī)的高效數(shù)據(jù)流通提供了重要范例。在彌合“信任鴻溝”方面。數(shù)字經(jīng)濟(jì)時(shí)代，我們一方面高度認(rèn)可數(shù)據(jù)所蘊(yùn)含的巨大價(jià)值，但另一方面頻發(fā)的隱私泄露事件也引發(fā)了公眾對(duì)數(shù)字經(jīng)濟(jì)發(fā)展中的隱私保護(hù)能力的信任危機(jī)。對(duì)待數(shù)字經(jīng)濟(jì)時(shí)代的數(shù)據(jù)價(jià)值挖掘，我們應(yīng)該始終堅(jiān)持包容審慎的態(tài)度，積極探索隱私保護(hù)和數(shù)據(jù)價(jià)值挖掘的平衡點(diǎn)。如何彌合數(shù)字經(jīng)濟(jì)時(shí)代的信任鴻溝，10 The European Data Mark

26、et Monitoring Tool.有效規(guī)避隱私侵害，隱私保護(hù)計(jì)算對(duì)于破解公眾的信任危機(jī)是顯而易見(jiàn)的。以安全多方計(jì)算、差分隱私、同態(tài)加密等為代表的隱私保護(hù)計(jì)算技術(shù)憑借其堅(jiān)實(shí)的理論基礎(chǔ)和安全性證明，從技術(shù)角度實(shí)現(xiàn)數(shù)據(jù)主體權(quán)利和數(shù)據(jù)使用者義務(wù)的平衡，增強(qiáng)數(shù)據(jù)應(yīng)用透明度，提升了數(shù)據(jù)價(jià)值挖掘下的隱私保護(hù)信任，對(duì)于彌合數(shù)字經(jīng)濟(jì)時(shí)代的信任鴻溝具有重大意義。二、隱私保護(hù)計(jì)算關(guān)鍵技術(shù)隱私保護(hù)計(jì)算（Privacy-Preserving Computation）的概念雖然是近年來(lái)才被提出，但其涵蓋的技術(shù)理論研究卻有著相當(dāng)?shù)臍v史?？傮w來(lái)說(shuō)，隱私保護(hù)計(jì)算技術(shù)通常涵蓋聯(lián)邦學(xué)習(xí)、安全多方計(jì)算、機(jī)密計(jì)算、差分隱私、同態(tài)加

27、密等。（一）聯(lián)邦學(xué)習(xí)聯(lián)邦學(xué)習(xí)定義聯(lián)邦學(xué)習(xí)（Federated Learning，F(xiàn)L）最初是由谷歌的 H.Brendan McMahan 等人提出 HYPERLINK l _bookmark15 11，并將其應(yīng)用落地。即通過(guò)一個(gè)中央服務(wù)器協(xié)調(diào)眾多結(jié)構(gòu)松散的智能終端實(shí)現(xiàn)語(yǔ)言預(yù)測(cè)模型更新 HYPERLINK l _bookmark16 12（如圖 3 所示）。其工作原理是：客戶(hù)終端從中央服務(wù)器下載現(xiàn)有預(yù)測(cè)模型，通過(guò)使用本地?cái)?shù)據(jù)對(duì)模型進(jìn)行訓(xùn)練，并將模型的更新內(nèi)容上傳至云端。訓(xùn)練模11 Mcmahan H B , Moore E , Ramage D , et al. Communication-Ef

28、ficient Learning of Deep Networks from Decentralized DataJ. 2016.12 Federated Learning: Collaborative Machine learning without centralized training data, Google AI Blog. /2017/04/federated-learning-collaborative.html型通過(guò)將不同終端的模型更新進(jìn)行融合，以此優(yōu)化預(yù)測(cè)模型，客戶(hù)終端再將更新后的模型下載到本地，過(guò)程不斷重復(fù)。在整個(gè)過(guò)程中，終端數(shù)據(jù)始終存儲(chǔ)在本地，不存在數(shù)據(jù)泄露的風(fēng)險(xiǎn)。圖

29、3基于聯(lián)邦學(xué)習(xí)的語(yǔ)言預(yù)測(cè)模型更新來(lái)源：Google AI聯(lián)邦學(xué)習(xí)通常可以理解為是由兩個(gè)或以上參與方共同參與，在保證數(shù)據(jù)方各自原始數(shù)據(jù)不出其定義的安全控制范圍的前提下，協(xié)作構(gòu)建并使用機(jī)器學(xué)習(xí)模型的技術(shù)架構(gòu)。聯(lián)邦學(xué)習(xí)本質(zhì)上來(lái)說(shuō)是以數(shù)據(jù)收集最小化為原則，在保持訓(xùn)練數(shù)據(jù)去中心化分布的基礎(chǔ)上，實(shí)現(xiàn)參與方數(shù)據(jù)隱私保護(hù)的特殊分布式機(jī)器學(xué)習(xí)架構(gòu)，且基于聯(lián)邦學(xué)習(xí)協(xié)同構(gòu)建的機(jī)器學(xué)習(xí)模型與中心化訓(xùn)練獲得的機(jī)器學(xué)習(xí)模型相比，性能幾乎是無(wú)損的。但因其應(yīng)用場(chǎng)景的不同，也使得聯(lián)邦學(xué)習(xí)具有一些區(qū)別于傳統(tǒng)分布式學(xué)習(xí)的特性：數(shù)據(jù)的絕對(duì)掌控。數(shù)據(jù)方作為模型訓(xùn)練的數(shù)據(jù)屬主，對(duì)本地?cái)?shù)據(jù)擁有絕對(duì)控制權(quán)，可自主決定何時(shí)加入、何時(shí)停止參與計(jì)

30、算和通信。參與方不穩(wěn)定。由于聯(lián)邦學(xué)習(xí)不同參與方在計(jì)算能力、通信穩(wěn)定性等方面存在差異，導(dǎo)致聯(lián)邦學(xué)習(xí)相較于傳統(tǒng)分布式機(jī)器學(xué)習(xí)存在參與方不穩(wěn)定的情況。通信代價(jià)高。由于聯(lián)邦學(xué)習(xí)參與方的不穩(wěn)定，使得通信代價(jià)成為聯(lián)邦學(xué)習(xí)的效率瓶頸之一。數(shù)據(jù)非獨(dú)立同分布。在聯(lián)邦學(xué)習(xí)中，不同參與方數(shù)據(jù)分布不同。如特征分布傾斜、標(biāo)簽分布傾斜、標(biāo)簽相同特征不同、特征相同標(biāo)簽不同等，不滿(mǎn)足獨(dú)立同分布。負(fù)載不均衡。各參與方數(shù)據(jù)在量級(jí)上存在差異化，各參與方的數(shù)據(jù)量不平衡，且在聯(lián)邦學(xué)習(xí)中無(wú)法進(jìn)行負(fù)載均衡。聯(lián)邦學(xué)習(xí)分類(lèi)根據(jù)訓(xùn)練數(shù)據(jù)在不同數(shù)據(jù)方之間的特征空間和樣本空間的分布情況，將聯(lián)邦學(xué)習(xí)分為橫向聯(lián)邦學(xué)習(xí)（Horizontal Federa

31、ted Learning， HFL）、縱向聯(lián)邦學(xué)習(xí)(Vertical Federated Learning，VFL)和聯(lián)邦遷移學(xué)習(xí)（Federated Transfer Learning, FTL） HYPERLINK l _bookmark18 13。橫向聯(lián)邦學(xué)習(xí)（Horizontal Federated Learning，HFL）：橫向聯(lián)邦學(xué)習(xí)主要是指在各參與方的數(shù)據(jù)集特征重合較大，但是樣本重合較小的場(chǎng)景下，對(duì)應(yīng)的聯(lián)邦學(xué)習(xí)模式稱(chēng)之為橫向聯(lián)邦學(xué)習(xí)（圖 4）。橫向聯(lián)邦學(xué)習(xí)的本質(zhì)就是通過(guò)擴(kuò)充樣本數(shù)目，實(shí)現(xiàn)基于樣本的分布式模型訓(xùn)練，以此達(dá)到模型效果提升的目的。13 聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社。參與方

32、B 的數(shù)據(jù)標(biāo)簽橫向聯(lián)邦學(xué)習(xí)參與方A 的數(shù)據(jù)標(biāo)簽數(shù)據(jù)樣本數(shù)據(jù)樣本數(shù)據(jù)特征和標(biāo)簽來(lái)源：聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社圖 4橫向聯(lián)邦學(xué)習(xí)縱向聯(lián)邦學(xué)習(xí)(Vertical Federated Learning，VFL)：與橫向聯(lián)邦學(xué)習(xí)不同，縱向聯(lián)邦學(xué)習(xí)適用于在參與方數(shù)據(jù)集的樣本重合度較高，但是特征重合度較低場(chǎng)景下，對(duì)應(yīng)的聯(lián)邦學(xué)習(xí)模式稱(chēng)為縱向聯(lián)邦學(xué)習(xí)（圖 5）?？v向聯(lián)邦學(xué)習(xí)的本質(zhì)是通過(guò)豐富樣本特征維度，實(shí)現(xiàn)機(jī)器學(xué)習(xí)模型的優(yōu)化。參與方A 的數(shù)據(jù)數(shù)據(jù)樣本數(shù)據(jù)樣本縱向聯(lián)邦學(xué)習(xí)參與方B 的數(shù)據(jù)標(biāo)簽數(shù)據(jù)特征和標(biāo)簽來(lái)源：聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社圖 5縱向聯(lián)邦學(xué)習(xí)聯(lián)邦遷移學(xué)習(xí)（Federated Transfer Learn

33、ing，F(xiàn)TL）：聯(lián)邦遷移學(xué) 習(xí)是指在各參與方的樣本和特征重合度都極低的情況下，模型訓(xùn)練時(shí)，各數(shù)據(jù)集的樣本空間與特征空間重疊范圍都非常小時(shí)，相應(yīng)的聯(lián)邦學(xué) 習(xí)稱(chēng)為聯(lián)邦遷移學(xué)習(xí)（圖 6）13。參與方B 的數(shù)據(jù)標(biāo)簽參與方A 的數(shù)據(jù)數(shù)據(jù)樣本聯(lián)邦遷移學(xué)習(xí)數(shù)據(jù)特征和標(biāo)簽來(lái)源：聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社圖 6聯(lián)邦遷移學(xué)習(xí)聯(lián)邦學(xué)習(xí)參考架構(gòu)數(shù)據(jù)方 1數(shù)據(jù)庫(kù)原始 私有數(shù)據(jù)記錄中間本地計(jì)算節(jié)點(diǎn)結(jié)果結(jié)果方 1操作日志數(shù)據(jù)方 2交互協(xié)調(diào)方數(shù)據(jù)庫(kù)操作日志原始 私有數(shù)據(jù)記錄中間本地計(jì)算節(jié)點(diǎn)結(jié)果交互聯(lián)邦模型結(jié)果方 2數(shù)據(jù)方m數(shù)據(jù)庫(kù)原始 私有數(shù)據(jù)記錄中間本地計(jì)算節(jié)點(diǎn)結(jié)果結(jié)果方 n操作日志圖 7聯(lián)邦學(xué)習(xí)參考架構(gòu)在聯(lián)邦學(xué)習(xí)中，參與方

34、主要承擔(dān)的角色有協(xié)調(diào)方、數(shù)據(jù)方和結(jié)果方（如圖 7 所示）。數(shù)據(jù)方是指提供聯(lián)邦模型建模所需的私有數(shù)據(jù)的參與方；協(xié)調(diào)方是協(xié)調(diào)各參與方協(xié)作構(gòu)建并使用聯(lián)邦模型的參與方；結(jié)果方是指獲取聯(lián)邦學(xué)習(xí)結(jié)果的參與方。一個(gè)聯(lián)邦學(xué)習(xí)參與方可承擔(dān)多個(gè)角色。例如一個(gè)參與方可以同時(shí)承擔(dān)協(xié)調(diào)方、數(shù)據(jù)方和結(jié)果方三類(lèi)角色。在聯(lián)邦學(xué)習(xí)過(guò)程中，根據(jù)具體應(yīng)用場(chǎng)景的不同，算力可以由數(shù)據(jù)方、協(xié)調(diào)方或者其他第三方提供。聯(lián)邦學(xué)習(xí)支持的常見(jiàn)算法包括 SecureBoost HYPERLINK l _bookmark23 14、線性回歸、邏輯回歸、神經(jīng)網(wǎng)絡(luò)算法等。聯(lián)邦學(xué)習(xí)安全屬性聯(lián)邦學(xué)習(xí)的優(yōu)勢(shì)是以原始數(shù)據(jù)不出本地、共享數(shù)據(jù)最小化為根本遵循，實(shí)現(xiàn)一

35、定程度的隱私保護(hù)。通常情況下，聯(lián)邦學(xué)習(xí)主要提供安全性的隱私保護(hù)。安全性（Security） HYPERLINK l _bookmark24 15：理想情況下，聯(lián)邦學(xué)習(xí)在模型訓(xùn)練和推理階段，參與方只能獲得其參與計(jì)算所必需的數(shù)據(jù)和協(xié)議規(guī)定的計(jì)算結(jié)果，不應(yīng)獲得其他任何信息。實(shí)際上為了兼顧實(shí)用性、公平性等，通常會(huì)在理想情況下做出一定的妥協(xié)。安全性重點(diǎn)關(guān)注基于交互數(shù)據(jù)能否實(shí)現(xiàn)對(duì)參與方原始數(shù)據(jù)和隱私信息的推斷。聯(lián)邦學(xué)習(xí)開(kāi)放問(wèn)題雖然現(xiàn)有的聯(lián)邦學(xué)習(xí)解決方案已提供部分安全性的保護(hù)能力，但是在聯(lián)邦學(xué)習(xí)中仍具有一些開(kāi)放性的問(wèn)題值得討論。在通信效率方面。傳統(tǒng)分布式機(jī)器學(xué)習(xí)中，服務(wù)器之間的網(wǎng)絡(luò)連接狀態(tài)穩(wěn)定可控，數(shù)據(jù)滿(mǎn)足

36、獨(dú)立同分布，能有效實(shí)現(xiàn)負(fù)載均衡；而在14 Cheng K, Fan T, Jin Y, et al. SecureBoost: A Lossless Federated Learning FrameworkJ. arXiv, 2019.15 Advances and Open Problems in Federated LearningJ. 2019.聯(lián)邦學(xué)習(xí)中，各參與節(jié)點(diǎn)計(jì)算能力不一致、網(wǎng)絡(luò)連接狀態(tài)不穩(wěn)定、數(shù) 據(jù)通常非獨(dú)立同分布，導(dǎo)致聯(lián)邦學(xué)習(xí)的通信效率極易成為聯(lián)邦學(xué)習(xí)應(yīng) 用的瓶頸之一。谷歌提出的 FedAvg11 算法是一個(gè)很好的起步點(diǎn)，但 是有研究表明 FedAvg 的通信效率與模型收斂速

37、度成反比 HYPERLINK l _bookmark25 16。其次， 當(dāng)前許多聯(lián)邦學(xué)習(xí)方案引入部分同態(tài)加密等技術(shù)來(lái)加密保護(hù)中間值，加密會(huì)帶來(lái)額外的計(jì)算代價(jià)，而且密文體積較大，這會(huì)進(jìn)一步對(duì)效率 造成不利影響。最后，F(xiàn)edAvg 等方案是針對(duì)橫向聯(lián)邦學(xué)習(xí)設(shè)計(jì)的， 而面向縱向聯(lián)邦學(xué)習(xí)的研究還相當(dāng)欠缺?？偠灾?，如何設(shè)計(jì)方案以 取得通信效率和收斂速度的平衡，這將是學(xué)術(shù)界和產(chǎn)業(yè)界關(guān)注的焦點(diǎn)。在安全性方面。關(guān)于聯(lián)邦學(xué)習(xí)的安全性并沒(méi)有嚴(yán)格定義。通常希望達(dá)到實(shí)用性、安全性的平衡，已有部分針對(duì)聯(lián)邦學(xué)習(xí)的安全性分析工作。一是由梯度帶來(lái)的隱私泄露。由于梯度的本質(zhì)是基于原始輸入數(shù)據(jù)的函數(shù)W l(F (xt ,i ,

38、Wt ), yt ,i ) ，雖然原始數(shù)據(jù)沒(méi)有出庫(kù)，但是梯度幾t ,iWt乎是包含原始數(shù)據(jù)信息的，所以一定程度上可以反推其他參與方的原始數(shù)據(jù)。無(wú)論是簡(jiǎn)單的邏輯回歸 HYPERLINK l _bookmark26 17或是復(fù)雜的 CNN HYPERLINK l _bookmark27 18，學(xué)術(shù)界已給出一些安全性分析論文，指出梯度泄露可能存在原始數(shù)據(jù)泄露的風(fēng)險(xiǎn)。部分解決方案采用了差分隱私技術(shù)實(shí)現(xiàn)梯度的隱私保護(hù)，但差分隱私保護(hù)技術(shù)是通過(guò)添加噪聲實(shí)現(xiàn)隱私保護(hù)，不僅會(huì)使得機(jī)器學(xué)習(xí)模型收斂速度降低，而且會(huì)對(duì)模型的精度產(chǎn)生損失。在金融風(fēng)控等對(duì)模型精度有較高要求的場(chǎng)景下是否可接受仍值得討論。二是隱私求交問(wèn)題

39、。16 Li X, Huang K, Yang W, et al. On the Convergence of FedAvg on Non-IID dataJ. arXiv preprint arXiv:1907.02189, 2019.Li Z, Huang Z, Chen C, et al. Quantification of the Leakage in Federated LearningJ. arXiv preprint arXiv:1910.05467, 2019.Zhu L, Liu Z, Han S. Deep leakage from gradientsC/Advances

40、in Neural Information Processing Systems. 2019: 14774-14784.在縱向聯(lián)邦學(xué)習(xí)中，基于隱私求交 PSI（Private Set Intersection，PSI）實(shí)現(xiàn)樣本 ID 的對(duì)齊，能夠?qū)Ψ墙患瘍?nèi)的樣本 ID 進(jìn)行保護(hù)，但交集內(nèi)的明文樣本 ID 存在泄露的風(fēng)險(xiǎn)。三是基于半同態(tài)加密技術(shù)的單向隱私保護(hù)問(wèn)題。部分縱向聯(lián)邦學(xué)習(xí)方案采用半同態(tài)加密技術(shù)對(duì)中間結(jié)果進(jìn)行加密，但是這類(lèi)方案中存在解密過(guò)程，因此僅能實(shí)現(xiàn)對(duì)私鑰持有方單向的隱私保護(hù)。在健壯性（Robust）方面。由于聯(lián)邦學(xué)習(xí)本質(zhì)上是一種分布式機(jī)器學(xué)習(xí)，所以也面臨著拜占庭將軍問(wèn)題 HYPERL

41、INK l _bookmark29 19。參與方中的敵手可在模型訓(xùn)練和模型推理階段進(jìn)行投毒攻擊（Data Poisoning Attacks）以及逃逸攻擊（Evasion Attacks）15 等，以此來(lái)降低模型的性能或?yàn)槟Ｐ皖A(yù)留后門(mén)等，破壞模型的可用性。目前關(guān)于健壯性討論尚處在理論研究階段，產(chǎn)業(yè)界考慮的較少。（二）安全多方計(jì)算安全多方計(jì)算定義安全多方計(jì)算（Secure Multi-Party Computation，SMPC）最早是由圖靈獎(jiǎng)獲得者、中國(guó)科學(xué)院院士姚期智于 1982 年正式提出，解決一組互不信任的參與方各自持有秘密數(shù)據(jù),協(xié)同計(jì)算一個(gè)既定函數(shù)的問(wèn)題 HYPERLINK l _bo

42、okmark30 20。安全多方計(jì)算在保證參與方獲得正確計(jì)算結(jié)果的同時(shí)，無(wú)法獲得計(jì)算結(jié)果之外的任何信息。在整個(gè)計(jì)算過(guò)程中，參與方對(duì)其所擁19 Lamport L, Shostak R, Pease M. The Byzantine generals problemM/ Concurrency: the Works of Leslie Lamport. 2019.20 YAO A C. Protocols for secure computationC. In Proc. of the 23rd Annual Symposium on Foundations of Computer Scienc

43、e, 1982.有的數(shù)據(jù)始終擁有絕對(duì)的控制權(quán)。1986 年姚期智院士提出的針對(duì)兩方計(jì)算的混淆電路方法成為構(gòu)建通用 SMPC 協(xié)議的經(jīng)典方案之一。后經(jīng)Goldreich，Micali 和Widgerson 等學(xué)者進(jìn)一步研究擴(kuò)展到多方計(jì)算 HYPERLINK l _bookmark32 21，安全多方計(jì)算逐漸成為現(xiàn)代密碼學(xué)的一個(gè)重要分支。具體來(lái)說(shuō)（圖 8），在一個(gè)分布式網(wǎng)絡(luò)中，有n 個(gè)互不信任的參與方P1，P2，Pn ,每個(gè)參與方Pi 持有秘密數(shù)據(jù)xi (i 1, 2, n) 。這n 個(gè)參與方協(xié)同執(zhí)行既定函數(shù) f : (x1, x2 , xn ) ( y1, y2 , yn ) ，其中 yi 為參

44、與方Pi得到的輸出結(jié)果。任意參與方 Pi 除 yi 之外無(wú)法獲得關(guān)于其他參與方Pj (i j)的任何輸入信息。 如果y1 y2 yn， 可簡(jiǎn)單表示為f : (x1, x2 , xn ) y 。圖 8安全多方計(jì)算示意圖安全多方計(jì)算安全屬性安全多方計(jì)算憑借其堅(jiān)實(shí)的安全理論基礎(chǔ)，實(shí)現(xiàn)了隱私保護(hù)計(jì)算過(guò)程安全性的嚴(yán)格定義。安全多方計(jì)算的屬性主要包括輸入隱私性、正確性、公平性和結(jié)果傳遞保證等。輸入隱私性（Input Privacy）：各參與方除自身輸入的秘密數(shù)據(jù)21 Goldreich O, Micali S, Widgerson A. How to play any mental gameC. In P

45、roc. Of the nineteenth annual ACM symposium on Theory of computing, 1987.以及既定函數(shù)計(jì)算輸出結(jié)果外，無(wú)法獲得其他任何信息。正確性（Correctness）：若各參與方均遵守協(xié)議完成了計(jì)算，那么所有用戶(hù)都應(yīng)該收到各自計(jì)算函數(shù)的正確輸出結(jié)果。公平性（Fairness）(可選）：惡意參與方獲得計(jì)算輸出結(jié)果，當(dāng)且僅當(dāng)其他遵守SMPC 協(xié)議的參與方都已獲得計(jì)算輸出結(jié)果。結(jié)果傳遞保證（Guarantee Output Delivery）（可選）：遵守 SMPC協(xié)議的參與方可以確保收到正確的計(jì)算結(jié)果。安全多方計(jì)算安全模型當(dāng)前，存在多種

46、維度來(lái)評(píng)價(jià)安全多方計(jì)算方案安全性，其中最主要的是行為模型和安全門(mén)限。行為模型根據(jù)安全多方計(jì)算參與方的可信程度，可將安全多方計(jì)算的行為模型分為半誠(chéng)實(shí)敵手模型和惡意敵手模型。半誠(chéng)實(shí)敵手模型（Semi-Honest Adversary Model）：各參與方嚴(yán)格遵循協(xié)議的要求，執(zhí)行協(xié)議要求的各項(xiàng)步驟，但是會(huì)盡可能從獲得數(shù)據(jù)中挖掘其他參與方的隱私。惡意敵手模型（Malicious Adversary Model）：惡意參與方試圖通過(guò)改變協(xié)議甚至采取任意的行為獲取其他參與方的隱私。滿(mǎn)足惡意敵手模型的SMPC 協(xié)議可以抵抗更強(qiáng)的攻擊。安全門(mén)限假設(shè)一個(gè)SMPC 協(xié)議的總參與方數(shù)目為n ，根據(jù)安全多方計(jì)算參與

47、方是否有合謀可能，可將安全多方計(jì)算的安全門(mén)限分為誠(chéng)實(shí)大多數(shù)和不誠(chéng)實(shí)大多數(shù)：誠(chéng)實(shí)大多數(shù)（Honest Majority）：可能合謀的人數(shù)小于n 2 。不誠(chéng)實(shí)大多數(shù)（Dishonest Majority）：可能合謀的人數(shù)大于等于n 2 。滿(mǎn)足不誠(chéng)實(shí)大多數(shù)的SMPC 協(xié)議可以抵抗更強(qiáng)的合謀可能。 就數(shù)據(jù)挖掘、機(jī)器學(xué)習(xí)這類(lèi)典型隱私保護(hù)計(jì)算應(yīng)用而言，目前市場(chǎng)上的大部分安全多方計(jì)算產(chǎn)品能夠在半誠(chéng)實(shí)敵手模型和誠(chéng)實(shí)大多數(shù)假設(shè)下保持安全性，但滿(mǎn)足惡意敵手模型或不誠(chéng)實(shí)大多數(shù)假設(shè)則需要付出較大的性能代價(jià)，主要見(jiàn)諸于學(xué)術(shù)研究，而業(yè)界應(yīng)用中尚不常見(jiàn)。安全多方計(jì)算關(guān)鍵技術(shù)秘密共享（Secret Sharing，SS）秘密

48、共享定義秘密共享作為現(xiàn)代密碼學(xué)的重要分支，不僅是保護(hù)數(shù)據(jù)安全的重要手段，也是安全多方計(jì)算的基礎(chǔ)應(yīng)用技術(shù)之一。秘密共享通過(guò)將秘密信息分割成若干秘密份額并分發(fā)給多人掌管，以此來(lái)達(dá)到風(fēng)險(xiǎn)分散和容忍入侵的目的。一般來(lái)說(shuō)，一個(gè)秘密共享方案由一個(gè)秘密分割算法和一個(gè)秘密重組算法構(gòu)成，包含秘密分發(fā)者、秘密份額持有者還有接收者三類(lèi)角色 HYPERLINK l _bookmark33 22。秘密分發(fā)者持有秘密信息并且負(fù)責(zé)執(zhí)行秘密分割算法，并將秘密份額分發(fā)給秘密份額持有者。接收者是試圖重組秘密信息的一方。當(dāng)接收者希望重組秘密信息時(shí)，將從一組授權(quán)的秘密份額持有者中收集秘密份額，并執(zhí)行秘密重組算法計(jì)算秘密信息，當(dāng)有充足

49、的秘密份額就可以重新恢復(fù)出秘密信息。一個(gè)參與方可以同時(shí)承擔(dān)多個(gè)角色。秘密共享屬性消息機(jī)密性（Message Confidentiality）：秘密共享的消息機(jī)密性是指如果一組秘密份額持有者所擁有的秘密份額子集不足以進(jìn)行秘密信息重組，那么該組秘密份額持有者就無(wú)法獲得關(guān)于秘密消息的任何信息。消息可恢復(fù)性（Message Recoverability）：秘密共享的消息可恢復(fù)性是指如果一組秘密份額持有者有足夠進(jìn)行秘密重組的秘密份額子集，則這些秘密份額持有者可以通過(guò)合并他們的秘密份額并應(yīng)用消息重組算法對(duì)秘密信息進(jìn)行重組。不經(jīng)意傳輸（Oblivious Transfer，OT）不經(jīng)意傳輸作為安全多方計(jì)算的

50、重要基石之一，最初由 Rabin 于1981 年提出 HYPERLINK l _bookmark34 23。如圖 9 所示，該協(xié)議中發(fā)送方 Alice 擁有兩個(gè)秘密消22 ISO/IEC 19592-1:2016 Information technology Security techniques Secret sharing Part 1: General23 Rabin M O. How to exchange secrets with oblivious transferJ. Technical Report (Harvard University) ,2005.息 x0 和 x1 ，

51、接收者 Bob 選擇并且僅能恢復(fù)其中的一個(gè)秘密消息xb (b 0,1) ，但無(wú)法得到關(guān)于x1b 的任何消息，Alice 無(wú)法知曉接收方選擇的是哪一個(gè)消息?，F(xiàn)有的OT 協(xié)議只能用公鑰密碼系統(tǒng)來(lái)實(shí)現(xiàn)，公鑰密碼系統(tǒng)相對(duì)對(duì)稱(chēng)密碼系統(tǒng)來(lái)說(shuō)一般性能低很多，無(wú)法適用于大規(guī)模數(shù)據(jù)傳輸?shù)膱?chǎng)景。例如很多安全多方計(jì)算方案中需要 Alice 和 Bob 頻繁大量地傳輸 OT 消息，這時(shí)直接使用普通的OT 協(xié)議的性能將難以接受。為了解決這種大數(shù)據(jù)傳輸?shù)膱?chǎng)景，研究者提出了 OT Extension協(xié)議：在 OT Extension 中，Alice 和 Bob 先執(zhí)行少量的普通 OT 協(xié)議來(lái)傳送較短的密鑰種子。然后運(yùn)行擴(kuò)展

52、（Extension）協(xié)議，通過(guò)對(duì)稱(chēng)密碼算法把普通OT 階段的結(jié)果延長(zhǎng)。這樣整個(gè)過(guò)程主要使用的是高效的對(duì)稱(chēng)密碼算法，僅第一階段使用了少量的公鑰密碼計(jì)算，因此可以適配于大數(shù)據(jù)傳輸?shù)膱?chǎng)景。這種設(shè)計(jì)思想類(lèi)似于信封加密系統(tǒng)中先用公鑰傳輸對(duì)稱(chēng)密鑰，再用對(duì)稱(chēng)密鑰加密傳輸大文件。x01-out-of-2 OTx1b 0,1xb圖 92 取 1 不經(jīng)意傳輸協(xié)議混淆電路（Garbled Circuit，GC）混淆電路是由姚期智先生于 1986 年提出針對(duì)半誠(chéng)實(shí)敵手模型的兩方安全計(jì)算協(xié)議 HYPERLINK l _bookmark36 24，其核心思想是將任何函數(shù)的計(jì)算問(wèn)題轉(zhuǎn)化為由24 Yao C C . How

53、 to generate and exchange secretsC/ Symposium on Foundations of Computer Science. IEEE, 2008.“與”門(mén)、“或”門(mén)和“非”門(mén)組成的布爾邏輯電路，再利用加密技術(shù)構(gòu)建加密版本的布爾邏輯電路。姚氏混淆電路包含布爾邏輯電路構(gòu)建和布爾邏輯電路計(jì)算兩部分。下面以“與”門(mén)（AND 門(mén)）為例簡(jiǎn)單說(shuō)明姚氏混淆電路的主要思想，見(jiàn)圖 10。復(fù)雜電路就是將一個(gè)個(gè)門(mén)電路串起來(lái)。假設(shè) Alice 的秘密輸入比特為a ，Bob 的秘密輸入比特為b ，他們一起計(jì)算 AND 門(mén)，即a & b ，分為電路構(gòu)建和電路計(jì)算兩部分。圖 10AND

54、 門(mén)混淆電路示意圖電路構(gòu)建：Alice 給每個(gè)電線隨機(jī)選擇兩個(gè)密鑰： k0, x , k1, x ，k0, y , k1, y 和k0, z , k1, z ，其中k0, x 對(duì)應(yīng)Alice 的輸入a 0 ，其他符號(hào)類(lèi)似。 Enck0 ,x,k0 , y(k0,z )Alice 構(gòu)造加密真值表 Enck0 ,x,k1, y(k0,z ) ，并隨機(jī)打亂順序得到混淆的加) Enck1,x ,k0 , y (k0,z ) Enck1,x ,k1, y(k1,z Enck ,k (k0,z ) 1,x 0 , y Enck ,k (k1,z ) 密真值表，如1,x1, y 。Alice 將混淆的加密真

55、值表發(fā)送給 Bob。) Enck0 ,x ,k0 , y (k0,z ) Enck0 ,x ,k1, y(k0,z 電路計(jì)算：Alice 將ka,x 發(fā)送給 Bob，Bob 通過(guò)不經(jīng)意傳輸協(xié)議獲得kb, y 。Bob 使用ka,x 和kb, y 對(duì)混淆的加密真值表進(jìn)行解密得到kc,z 。Bob將kc,z 發(fā)送給Alice。如果kc,z k0,z ，那么輸出結(jié)果a & b 0 ；如果kc,z k1,z ，那么輸出結(jié)果a & b 1 。Alice 將結(jié)果分享給 Bob。安全多方計(jì)算解決方案部署實(shí)施安全多方計(jì)算參考架構(gòu)在實(shí)際的安全多方計(jì)算工程部署中，參與方主要承擔(dān)的角色包括數(shù)據(jù)方、計(jì)算方、結(jié)果方。數(shù)

56、據(jù)方指原始秘密輸入數(shù)據(jù)的提供者；計(jì)算方指安全多方計(jì)算協(xié)議算力的提供者，負(fù)責(zé)安全多方計(jì)算協(xié)議的實(shí)際執(zhí)行；結(jié)果方指安全多方計(jì)算結(jié)果的接收方。數(shù)據(jù)方 1原始數(shù)據(jù)數(shù)據(jù)方 2輸入模塊存證模塊輸入模塊計(jì)算方 1協(xié)同計(jì)算模塊存證模塊調(diào)度模塊計(jì)算方 2結(jié)果方 1計(jì)算結(jié)果輸出模塊存證模塊結(jié)果方 2計(jì)算結(jié)果明文計(jì)算結(jié)果明文計(jì)原始數(shù)據(jù)存證模塊協(xié)同計(jì)算模塊存證模塊輸出模塊存證模塊算結(jié)果數(shù)據(jù)方 m輸入模塊調(diào)度模塊結(jié)果方 n計(jì)算結(jié)果輸出模塊明文計(jì)算結(jié)果原始數(shù)據(jù)存證模塊圖 11安全多方計(jì)算參考架構(gòu)存證模塊在一次安全多方計(jì)算任務(wù)中，數(shù)據(jù)方按照預(yù)先設(shè)定的輸入方式，通過(guò)安全信道將數(shù)據(jù)發(fā)送給計(jì)算方；計(jì)算方接收數(shù)據(jù)方發(fā)送的數(shù)據(jù)，按照

57、安全多方計(jì)算協(xié)議進(jìn)行協(xié)同計(jì)算，并將結(jié)果發(fā)送給結(jié)果方。在安全多方計(jì)算協(xié)議中結(jié)果方可以有一個(gè)或多個(gè)，計(jì)算方為一個(gè)或多個(gè)。一個(gè)安全多方計(jì)算參與者可以同時(shí)擔(dān)任多個(gè)角色。例如一個(gè)參與者可以同時(shí)承擔(dān)數(shù)據(jù)方、計(jì)算方和結(jié)果方三類(lèi)角色。安全多方計(jì)算技術(shù)路線安全多方計(jì)算憑借其堅(jiān)實(shí)的安全理論基礎(chǔ)提供輸入秘密數(shù)據(jù)的隱私保護(hù)能力，實(shí)現(xiàn)隱私保護(hù)計(jì)算過(guò)程的安全。目前安全多方計(jì)算主要有兩條實(shí)施技術(shù)路線，包括通用安全多方計(jì)算和特定問(wèn)題安全多方計(jì)算。前者可以解決各類(lèi)計(jì)算問(wèn)題，但是這種“萬(wàn)能型”的技術(shù)路線通常體系龐大，各種開(kāi)銷(xiāo)較大；后者針對(duì)特定問(wèn)題設(shè)計(jì)專(zhuān)用協(xié)議，如隱私集合求交 PSI（Private Set Intersectio

58、n，PSI），隱私信息檢索（Privacy Preserving Information Retrieval，PIR）等，往往能夠以比通用安全多方計(jì)算協(xié)議更低的代價(jià)得到計(jì)算結(jié)果，但是需要領(lǐng)域?qū)＜裔槍?duì)應(yīng)用場(chǎng)景進(jìn)行精心設(shè)計(jì)，無(wú)法適用于通用場(chǎng)景且設(shè)計(jì)成本較高。通用安全多方計(jì)算通用安全多方計(jì)算解決方案主要包括基于秘密共享的安全多方計(jì)算解決方案、基于混淆電路的安全多方計(jì)算解決方案以及基于全同態(tài)加密的安全多方計(jì)算解決方案。但基于全同態(tài)加密的安全多方計(jì)算目前仍處在理論研究階段，距離實(shí)際應(yīng)用仍存在一定的差距。綜合考慮實(shí)際場(chǎng)景的應(yīng)用效果，目前在各領(lǐng)域中應(yīng)用較為廣泛的是基于秘密共享和基于混淆電路的安全多方計(jì)算方案

59、?；诿孛芄蚕淼陌踩喾接?jì)算解決方案：基于秘密共享的安全多方計(jì)算解決方案采用基于秘密共享的方式實(shí)現(xiàn)各類(lèi)通用計(jì)算，中間計(jì)算值以秘密份額的方式存在。在此基礎(chǔ)上進(jìn)行應(yīng)用層算法的指令改寫(xiě)，構(gòu)造安全多方計(jì)算的電路實(shí)現(xiàn)秘密份額上的基本運(yùn)算，如加法、乘法、比較等?；诿孛芄蚕矸椒ǖ?SMPC 協(xié)議通信輪數(shù)與電路的深度成線性關(guān)系，所以在相同的計(jì)算需求背景下，通信輪數(shù)更多?；诨煜娐返陌踩喾接?jì)算解決方案：基于混淆電路的安全多方計(jì)算解決方案其通信輪數(shù)與電路深度無(wú)關(guān)，因此在機(jī)器學(xué)習(xí)訓(xùn)練等較深的電路需求背景下，總通信輪數(shù)更少，但總通信量更大。一般來(lái)說(shuō)，基于混淆電路方法的 SMPC 更適合高帶寬的網(wǎng)絡(luò)，而基于秘密共

60、享的 SMPC 協(xié)議適合低延遲的網(wǎng)絡(luò)。此外，基于秘密共享的方案可以高效的支持加法和乘法等算術(shù)運(yùn)算，但難以高效支持復(fù)雜的運(yùn)算如浮點(diǎn)計(jì)算；而基于混淆電路的方案理論上可以通過(guò)門(mén)電路實(shí)現(xiàn)任意邏輯運(yùn)算，但由于其通信量較大，對(duì)網(wǎng)絡(luò)帶寬要求較高。因此在流行的安全多方計(jì)算解決方案,如 SecureML HYPERLINK l _bookmark39 25中，經(jīng)常采用基于秘密共享的方案實(shí)現(xiàn)加法和乘法，而對(duì)于更加復(fù)雜的執(zhí)行邏輯（如 RELU、SIGMOID 等），則采用基于混淆電路的方案。25 Mohassel P, Zhang Y. SecureML: A system for scalable privacy