技術要約：GPUサポートを備えた、軽量で実用的な暗号化顔認識

問題提起

顔認識システムは通常、クライアントが顔の埋め込み（エンベディング）を抽出し、サーバーがデータベースに対する類似性検索を実行するというクライアント・サーバー・アーキテクチャで動作します。このモデルは、顔データが厳格な規制対象となる個人識別情報（PII）を構成するため、重大なプライバシー上の懸念を引き起こします。完全準同型暗号（FHE）のような暗法的なアプローチは、平文を明かすことなく暗号化されたデータ上での類似性検索を可能にしますが、既存のFHEベースのプロトコル（特に最先端のHyDiaプロトコル）は、深刻な実用上の限界に直面しています。

現在のFHEベースの顔認識における主なボトルネックは以下の通りです：

1. 高いメモリオーバーヘッド： 既存の手法は、対角行列・ベクトル積を実行するために、膨大な回転鍵（多くの場合、ベクトル次元 $\ell$ に対して $O(\ell)$）を必要とします。これにより、クライアント側とサーバー側の両方で過剰なRAM使用量が発生し（例：最大100万件のデータベースに対して33 GB以上）、リソース制約のあるエッジデバイスへのデプロイを不可能にしています。
2. 計算レイテンシ： FHE演算、特に暗号文の回転（rotation）とスケーリング（rescaling）は、CPUにおいてメモリ帯域幅に制限されます。個々の操作をナイーブにGPUへオフロードすると、コストの高いホスト・デバイス間のデータ転送や、CPU（OpenFHE）とGPU（FIDESlib）のデータ構造間の繰り返される変換により、パフォーマンスが低下することがよくあります。

手法

著者らは、アルゴリズムの効率性とシステムレベルのハードウェア加速の両方をターゲットとした、二層の最適化戦略を提案しており、これはHyDiaプロトコルに基づいています。

1. アルゴリズムの改善：BSGS-Diagonal

メモリおよび回転鍵のボトルネックに対処するため、著者らは暗号化された行列設定向けに調整されたBaby-Step/Giant-Step（BSGS）戦略のアルゴリズム変種であるBSGS-Diagonalを導入しました。

• メカニズム： 平文行列を想定する標準的なBSGSとは異なり、BSGS-Diagonalは暗号化されたデータベース行列に対して動作します。これは、必要なすべての暗号化クエリベクトルの回転を一度だけ事前計算し、データベース内のすべての行列グループ（$G$）に対して再利用します。
• 鍵の削減： クエリの回転を事前計算することで、この手法は回転鍵のコストを償却します。これにより、必要な回転鍵のセットをHyDiaの $\ell-1$ から、約 $2\sqrt{\ell}$ （具体的には $n_1 + n_2 - 2$ 個）へと削減します。
• メモリ効率： これにより、クライアント側の回転鍵セットが91%削減され、クライアントのメモリ要件が約14 GB低下します。また、ピーク時のサーバーRAM使用量を削減するために、マルチスレッドを用いた逐次蓄積戦略を採用しています。
• パフォーマンス： このアプローチは、元のHyDiaと比較して、メンバーシップ検証で最大1.57倍、識別シナリオで1.43倍の実行速度を向上させます。

2. システムレベルの改善：GPUレジデント・アーキテクチャ

計算レイテンシに対処するため、著者らはOpenFHEと統合されたCUDA加速CKKSライブラリであるFIDESlibを使用し、エンドツーエンドのGPUレジデント・パイプラインを設計しました。

• 設計原則： 全体のクエリ処理パイプライン（類似性計算、閾値比較、および集計）をGPU内に保持することで、ホスト・デバイス間の転送を最小限に抑えます。初期のクエリ暗号文のみがアップロードされ、最終的な結果のみがダウンロードされます。
• カスタムカーネル： 実装には以下が含まれます：
  • GPUネイティブ・チェビシェフ評価器： CPUへのラウンドトリップを回避して、閾値比較のための符号関数を完全にGPU上で近似する、パターソン・ストックマイヤー法を用いたカスタム実装。
  • BSGS-RTX-TBS変種： 事前計算された（オフラインで計算された）回転対角成分と、オンデマンドのジャイアントステップ回転を利用するGPU特化型変種。これにより、GPU上のオンライン回転鍵セットを約516個から約36個に削減し、VRAM使用量を大幅に抑えます。
  • レイジー・リリニアリゼーション（遅延再線形化）： メモリ使用量を最適化するために、類似性蓄積におけるリリニアリゼーションを遅延させます。
• 変種： 本論文では3つのGPU構成を評価しています：
  • HyDia-RTX-DG: 元のHyDiaの直接的なGPU移植版。
  • BSGS-RTX-TBS: BSGSとサーバー側でのホモモルフィックな事前回転を利用したGPU版。
  • BSGS-RTX-TBE: BSGSとエンローラー側での平文事前回転を利用したGPU版（負の回転鍵を排除）。

主な貢献

本論文は、主に3つの貢献を主張しています：

1. 大幅なメモリ削減： BSGS-Diagonalアルゴリズムは、回転鍵の要求を劇的に減少させ（91%削減）、クライアントのメモリを約14 GB、ピーク時のサーバーRAMを最大$2^{20}$件のデータベースに対して最大4.5倍削減し、エッジへのデプロイを可能にします。
2. 初のGPU加速エンドツーエンド・プロトコル： 著者らは、メンバーシップ確認と識別の両方をサポートする、初のGPU加速された暗号化顔認識プロトコルの実装を提示しています。これにより、最大$2^{15}$件（BSGS変種では最大$2^{16}$件）のデータベースに対してサブ秒単位の実行時間を達成し、ホストRAMの使用量を削減しました。
3. オープンソースの実装： OpenFHEおよびFIDESlibに基づいた完全なオープンソース実装が提供されており、$2^{10}$から$10^6$件（CPU）および最大$2^{16}$件（GPU）のデータベースでテストされています。

実験結果

実験は、Intel Xeon Platinum 8260 (CPU) および NVIDIA Quadro RTX 8000 / H200 (GPU) で行われました。

• CPUパフォーマンス (BSGS-Diagonal vs. HyDia):

  • スピードアップ： メンバーシップで最大1.57倍、識別で最大1.43倍高速化。
  • メモリ： 100万件のデータに対し、ピークRAMがHyDiaの>33 GBからBSGS-Diagonalの<11 GBへと減少。クライアントの回転鍵は511個から44個に減少。
  • ディスク使用量： 最大5倍削減。

• GPUパフォーマンス：

  • スピードアップ： GPU実装は、CPUベースラインと比較して、HyDiaで最大9倍、BSGS変種で最大21倍のスピードアップを達成しました。
  • レイテンシ： 最大$2^{15}$件のデータベースに対して、サブ秒単位の暗号化顔認識を実現。
  • メモリ： BSGS-RTX-TBS変種は、8,192個のベクトルに対して、ピークGPUメモリ使用量をHyDia-RTX-DGの27 GBから9 GBへと削減し、12 GBのVRAMを持つGPUへのデプロイを可能にしました。
  • スケーラビリティ： H200 GPU（141 GB VRAM）により、$2^{17}$までのデータベースへの対応を拡張。

• 精度：

  • FRGC 2.0データセット（44,228個の埋め込み）を用いた評価により、暗号化パイプラインが認識品質を維持していることが確認されました。
  • 適合率（Precision）> 99.95%、再現率（Recall）≈ 99.40%、精度（Accuracy）> 99.998%。
  • チェビシェフ比較の次数を$\kappa=10$から$\kappa=8$に減らしても、測定可能な精度の低下なしにスピードアップが得られました。

重要性と主張

本論文は、その成果を、リソース制約のある環境における実用的な展開に向けた一歩として位置付けています。

• 実現可能性： メモリフットプリントと計算レイテンシを削減することで、著者らは、FHEベースの顔認識がもはやハイエンドサーバーに限定されるものではなく、エッジクライアントや標準的なサーバーGPUでも実行可能であると主張しています。
• プライバシー： システムは、経験的な難読化ではなく、（Ring Learning with Errors問題に基づく）暗号学的保証を提供し、再構成攻撃に対する保護を実現しています。
• オープンサイエンス： 著者らは、将来の暗号化検索研究の再現可能なベースラインを提供するために、最新のライブラリ（OpenFHE, FIDESlib）を統合したオープンソース実装の価値を強調しています。

著者らは、GPU実装が最大$2^{15}$件のデータベースに対してサブ秒単位のパフォーマンスを達成しているものの、より大規模なデータベースは依然として現在のハードウェアにおけるメモリ制約に直面しており、セットアップ時間（登録）とクエリレイテンシの間のトレードオフがデプロイメントの選択肢における要因となることを指摘し、謙虚な姿勢を保っています。