同态加密(HE)分类：Paillier、BGV、BFV、CKKS

可视化演示

展示同态加密的密文计算流程与Paillier、BGV/BFV、CKKS三类方案的参数对比，支持模式切换查看不同维度。

核心概念

想象你请了一位看不见东西的大厨。你把一个磨砂玻璃保险柜交给他，柜子里放着你的食材，柜门外伸进一双机械手臂。大厨虽然看不见柜中的食材，却能根据你从窗口递进的纸条，操控机械臂完成「加一勺糖」「搅拌三圈」这类操作。几个小时后，柜子送回来，你打开一看，食材已经按配方处理完毕。整个过程中，大厨没看过一眼食材，但活儿全干完了。

这个「看不见却算得动」的魔法柜子，在密码学中叫同态加密。它的核心性质可以写成一句话：对密文做某种运算，等价于对明文做对应运算后再加密。用符号表示：把加密的 $m_1$、$m_2$ 放进柜子，机械手「叠加」一下，拿回来解出来的就是 $m_1+m_2$。

同态加密家族按「机械手能做什么动作」分成几档：只会一种动作的叫部分同态，动作更多但次数有限的叫稍全同态，任意动作无限次数的叫全同态。这篇文章的主角是四个成名方案——只会拌的 Paillier、能切能炒但油烟大的 BGV、刀法更清爽的 BFV，以及追求「差不多就行」的 CKKS。

总之，这口保险柜的价值不在于柜子本身多结实，而在于柜子里那双「盲操作」的手能完成多复杂的菜式。接下来，我们挨个认识这四位大厨。

Paillier 加法同态

Paillier 是保险柜家族里的「凉拌专员」。他的机械手只练过一个动作：把两份食材倒进一个盆里拌匀。对应到密码世界，就是两个密文相乘，解密后等于对应明文相加。因为动作单一，他的柜子里几乎不积攒油烟，可以一口气处理成千上万份食材而不需要清理。

Paillier 于 1999 年由 Pascal Paillier 提出，属于部分同态加密。它是一套公钥加密系统：任何人可以用公钥把数字 $m$ 加密成密文，只有持有私钥的你才能解密。它的同态魔法表现在这个等式上——密文做乘法，明文做加法，仿佛数字在密文世界里发生了一次「运算换装」。

由于只做加法，Paillier 的密文扩展率非常低：明文在 $\mathbb{Z}_n$ 里，密文在 $\mathbb{Z}_{n^2}$ 里，体积只膨胀约两倍。这在同态加密里是极其奢侈的「轻量级」。实际应用中，电子投票、密文求和、联邦学习中的梯度聚合，都是 Paillier 的主场。

如果说其他全同态方案是功能繁多的重型机械，Paillier 就是那台把「拌匀」做到极致的轻巧推车。别嫌它动作少——大量统计任务归根到底就是加法，而它恰好又快又稳。

BGV 整数全同态

BGV 给保险柜装上了两只机械手：一只负责切（加法），一只负责炒（乘法）。理论上，绝大多数菜谱都能由「切」与「炒」组合出来。然而，每炒一次菜，柜内就会多一层油烟；油烟越积越浓，直到磨砂玻璃彻底变成黑玻璃，你打开柜子也看不清菜变成什么样了——解密失败。

BGV 由 Brakerski、Gentry 和 Vaikuntanathan 于 2011 年提出，是第一代实用的全同态加密方案，奠基在 LWE/RLWE 格问题上。它把整数编码为多项式系数，通过密文加法和乘法构造任意计算电路。为了让无限深度的计算成为可能，BGV 祭出三件套：密钥交换、模切换和自举。

密钥交换解决乘法后密文尺寸膨胀的问题，把三元密文压回二元；模切换在每次乘法后按比例缩小模数，让噪声的增长不再失控；而当噪声逼近临界值时，自举对密文做一次「加密的解密」，将噪声重置回初始水平。但三件套都很昂贵，尤其自举，常常吃掉 90% 以上的计算时间。

BGV 像一位手艺全面的大厨，但每道菜的成本都包含一次电费高昂的排烟。聪明的使用法不是逃避油烟，而是精心设计菜谱，把乘法层级控制在油烟上限之内，只在关键时刻才开抽油烟机。

BFV 整数全同态

BFV 是 BGV 的同门师弟，同样拥有「切炒双全」的机械手。变化在于他换了一套刀法：下锅之前，先把所有食材按固定大小切丁（消息缩放），于是烹饪过程中飞溅的油星明显变少，同样的排烟预算能做更多道菜。

BFV 由 Brakerski、Fan 和 Vercauteren 在 2012 年提出，与 BGV 同属基于 RLWE 的全同态整数方案。两者都能在密文上进行加法和乘法，但编码思路不同：BGV 把消息嵌在模数结构里，BFV 则先把明文 $m$ 乘以一个缩放因子 $\Delta$ 再加密，解密时除以 $\Delta$ 还原。

BFV 的缩放策略让整数除法变得很自然：除以一个数等于乘以它的倒数再取整，这在 BGV 里却要费一番周折。因此，需要精确整数除法、平均值计算的场景，BFV 往往更顺手。主流库 OpenFHE 和 Microsoft SEAL 对 BFV 的支持也很成熟。从性能对比看，BFV 和 BGV 的密文扩展率都处在千倍量级，属于「半斤八两」的通勤费用。

如果说 BGV 是爆炒时油花四溅的铁锅，BFV 就是不粘涂层升级版——同一套菜谱，更少的油烟，更省心的维护。但该有的排烟系统（自举）一样不能少，只是能多撑几层烟火。

CKKS 近似浮点

CKKS 保险柜里的机械手是一位「差不多先生」。他做的菜不追求精确到克，而是保证口味大体不差，误差在可接受范围内。为此，他换来惊人的效率：能同时颠勺炒一整车食材（向量打包），特别适合「尝个大概对不对」的场合——比如让 AI 判断一张片子像不像早期肺癌。

CKKS 由 Cheon、Kim、Kim 和 Song 于 2017 年提出，是首个面向浮点近似计算的全同态方案。它把复数或实数向量编码成多项式，一条密文里打包成百上千个数值，密文乘法天然变成逐元素乘法（SIMD）。计算过程中用一个缩放因子 $\Delta$ 模拟浮点小数点，每次乘法后执行重缩放（rescaling）把比例调回去，同时压住噪声。

正因为误差可控但不为零，CKKS 完美契合机器学习：神经网络本来就是梯度下降、概率输出的「容错算法」，对 $10^{-5}$ 量级的扰动浑然不觉。于是，密文推理和密文训练几乎成了 CKKS 的代名词。代价是密文扩展率同样高达千倍级别——一条 HE 密文动辄数 MB，传输和存储都让人心跳加速。

差不多先生的菜未必适合国宴摆盘（比如货币金额的精确结算），却最适合时间紧、量大、口味容错的场景。AI 世界的烟火气，正好配 CKKS 这位高效大厨。

噪声与性能

四口保险柜摆在厨房里，我们得打开账本算一笔账：每一口柜子的「排烟成本」和「食材损耗」是多少？这决定你接不接这单生意。

衡量同态加密方案有两条硬指标：噪声累积速度和密文扩展率。噪声是密文中夹杂的随机扰动，每次乘法都会被放大，放大到一定程度就无法解密；密文扩展率指密文体积与明文体积的比值，直接决定传输带宽和存储成本。

| 方案 | 支持运算 | 密文扩展率 | 噪声增长速度 | 典型深度 |

|------|---------|-----------|-------------|---------|

| Paillier | 仅加法 | 约 2 倍 | 极慢 | 极深（加法几乎无噪声） |

| BGV | 加法+乘法 | 千倍级 | 快（指数） | 约 10~20 层乘法 |

| BFV | 加法+乘法 | 千倍级 | 较快（指数） | 约 15~25 层乘法 |

| CKKS | 加法+乘法（近似） | 千倍级 | 中等 | 可数十层，容忍误差 |

厨具没有好坏，只有账本算不算得过来。BGV 的油烟虽然大，但你的菜谱只炒三步，那它就绰绰有余；CKKS 效率虽高，可客户若要求克克精确，它的「差不多」就交不了差。

选型指南

你是一家医院的「数据大厨」，想把病人的病历送上云服务器做分析，又不愿泄露隐私。面对四口保险柜，怎么下单？答案藏在你要做的「菜」里。

先算菜谱有几层乘法：若是求和、均值、统计计数这类纯加法任务，Paillier 是预算最优解，成熟稳定；若是金额结算、整数运算且深度可控，BFV 的缩放机制让整数除法得心应手；若要在密文上跑神经网络，CKKS 的浮点近似和 SIMD 打包几乎是唯一答案。BGV 则适合整数电路设计友好、愿意精细管理噪声预算的场景。

其次看算力约束：全同态计算比明文慢好几个数量级，自举更慢，所以「能不用 FHE 就不用」是工程界的共识，或配合可信硬件等其他隐私技术混合使用。最后看发展趋势：专用硬件加速（FPGA/ASIC）、SIMD 打包优化、混合协议正在把 FHE 的延迟从秒级推向毫秒级，CKKS 的生态也愈发繁荣。

选型不是选最贵的厨具，而是选最合菜谱的那口锅。凉拌菜就推 Paillier 小推车，整数大餐交给 BFV 不粘锅，AI 快炒认准 CKKS 猛火灶——至于那台自举抽油烟机，预算充足时备上，关键时刻能救命。

AI 应用场景

Python 演示

# 需要安装依赖: pip install phe# 演示 Paillier 加法同态: 云服务器汇总密文, 不泄露任何明文from phe import paillier  def main():    print("=== Paillier 加法同态演示 ===")    # 1. 密钥生成: 公钥交给数据方, 私钥由数据方自己保管    pub_key, priv_key = paillier.generate_paillier_keypair()     # 2. 医院加密三笔检查费用, 上传云服务器    bills = [128.5, 362.0, 89.75, 450.25]    enc_bills = [pub_key.encrypt(m) for m in bills]    print("明文账单:", bills)    print("密文账单(截断):", [str(e)[:16] + "..." for e in enc_bills])     # 3. 云服务器在密文上直接求和, 全程看不到明文    enc_total = sum(enc_bills)    print("云服务器完成密文求和")     # 4. 医院取回结果, 用私钥解密    total = priv_key.decrypt(enc_total)    print("解密总额:", round(total, 2))    assert abs(total - sum(bills)) < 1e-6     # 5. 密文还支持标量乘法, 可用于求平均等统计    enc_avg = enc_total * (1.0 / len(bills))    avg = priv_key.decrypt(enc_avg)    print("密文求平均:", round(avg, 2))  if __name__ == "__main__":    main()

1. pub_key, priv_key = paillier.generate_paillier_keypair()生成一对钥匙：公钥用来加密，私钥只能自己留着解密。
2. enc_bills = [pub_key.encrypt(m) for m in bills]把每笔费用逐个丢进保险柜，变成外人读不懂的密文。
3. enc_total = sum(enc_bills)云服务器直接把密文相加，这正是 Paillier 的核心法力：看不见数字，却能算出总和。
4. total = priv_key.decrypt(enc_total)拿回结果后用私钥解密，得到所有账单的总金额。
5. enc_avg = enc_total * (1.0 / len(bills))密文还能乘以常数，再解密就是平均值，用途又扩大一步。

常见误区

面试题