💻 computer science

Jaguar: Fast Private CNN Inference with Power-of-Two Homomorphic Arithmetic

Jaguarは、効率的なスカラー多項式畳み込みと厳密な局所切断を可能にする2のべき乗暗号環を活用することで、プロトコルのボトルネックを排除し、最先端のハイブリッドHE/2PCソリューションと比較して大幅に低いレイテンシと通信オーバーヘッドを実現する、プライベートなCNN推論システムである。

原著者： Yewon Jeong, Nayoung Jung, Hyeri Roh, Woo-Seok Choi

公開日 2026-06-11

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Yewon Jeong, Nayoung Jung, Hyeri Roh, Woo-Seok Choi

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

想像してみてください。あなたは、自分だけの秘密の家族のレシピ（クライアントのデータ）を使って、超一流のシェフ（サーバー）に複雑な料理を作ってほしいと頼みたいと考えています。ただし、あなたはシェフにレシピを見られたくありませんし、シェフも自分の秘伝の調理技術（モデル）を明かしたくありません。

これを解決するために、あなたは「魔法のキッチン」を使用します。そこでは、材料は壊せない箱（暗号化）の中に閉じ込められています。シェフは、箱を開けることなく、その箱に入ったまま材料を使って料理をすることができます。これが**プライベート・インファレンス（秘密計算による推論）**と呼ばれるものです。

しかし、問題があります。現在の魔法のキッチンは、動作が遅くて不器用なのです。シェフは、箱の中の材料をどう混ぜ合わせるかを考えるだけで、時間の99%を費やしてしまいます。さらに、測定値を正確にするために、不必要で余計な手順も踏まなければなりません。

そこで、これらのボトルネックを解消するために設計された新しいシステム、「Jaguar」が登場しました。その仕組みを、簡単な比喩を使って説明しましょう。

1. 旧来の方法：「素数」の罠

これまでのシステムの多くは、箱の中での計算を行うために、素数（7、13、17など）に基づいたルールを使用していました。

問題点: 素数は一般的な数学には優れていますが、画像認識に必要な特定の「混ぜ合わせ（畳み込み）」には適していません。それは、円形のノコギリを使って完璧な正方形のケーキを切り出そうとするようなものです。パーツを形に合わせるために、大量の余分なカットや研磨（剰余演算）を行わなければならず、それが動作を遅らせる原因となります。
精度の混乱: また、シェフが材料を混ぜ合わせると、測定値が大きくなりすぎてしまいました（倍精度）。そのため、シェフは大きな測定値で調理した後、一度手を止め、二人目の作業員を呼んでサイズを小さく切り詰め（切り捨て）、それから料理が美味しいかどうかを確認する（ReLU）という、二つの別々の遅いステップを踏む必要がありました。

2. Jaguarの解決策：「2の累乗」への切り替え

Jaguarは、一つの大胆な変更を行いました。数学のルールを「素数」から2の累乗（2, 4, 8, 16, 32など）へと切り替えたのです。

なぜこれが役立つのか: デジタル世界において、2の累乗は「完璧にフィットするレゴブロック」のようなものです。削ったり切ったりする必要はありません。もし数値を減らしたい場合は、単に余分なビットを「マスク」するだけです（レゴのパーツをパチンと外すような感覚です）。これにより、計算が驚異的に速くなります。

3. Jaguarの3つの魔法のトリック

A. 「スカラー・多項式」キッチン (SPA-CONV)

旧来の方法: シェフは、一度に二つの巨大で複雑なレシピを掛け合わせなければなりませんでした。これは重労働で時間がかかりました。
Jaguarの方法: 数学が2の累乗に基づいているため、シェフは二つの巨大なレシピを掛け合わせる必要がありません。代わりに、単一の材料（スカラー）を取り、それをレシピに掛け合わせ、スライドさせていきます。これを何度も繰り返し、結果を足し合わせます。
結果: これは、重い工業用ミキサーを、シンプルで速い手動の泡立て器に交換するようなものです。論文によれば、この「混ぜ合わせ」のステップは、従来の最高水準のシステムよりも2〜3倍高速になります。

B. 「事前トリミング」のトリック (Exact Truncation)

旧来の方法: シェフは大きすぎる測定値で調理した後、作業を中断して、余分な部分を切り詰めるための二人目の作業員を呼ばなければなりませんでした。
Jaguarの方法: 数学が2の累乗に基づいているため、シェフは料理が美味しいかどうかを確認する（ReLU）前に、単に「小数点を移動させる（右シフト）」ことができます。
結果: 切り詰め作業は、通信を行うことなく、箱の中で瞬時に行われます。「切り詰める」というステップが完全に排除されるため、膨大な時間とデータ転送を節約できます。

C. シェフのための「秘密の道具」 (NTT-Assisted Decryption)

懸念事項: 「素数を使わなくなったら、最後に箱を開けて結果を確認する時に、シェフが行き詰まってしまうのではないか？」と心配になるかもしれません。
解決策: Jaguarは、箱を開けるための最終ステップにおいてのみ、シェフが特別な一時的な「素数ツール」を使用することを可能にします。このツールは、シェフの手元にのみ存在する秘密のものです。
結果: シェフは、作業の99%において「レゴ」の数学によるスピードを享受しながら、最終的な開封時には「素数」の数学による精度を得ることができます。

最終スコアカード

研究者たちは、有名な画像認識モデル（ResNetやMobileNetなど）を用いてJaguarのテストを行い、現在のリーダーであるCheetahやRhombusと比較しました。

速度: Jaguarは、エンドツーエンドのタスクにおいて2倍から3.7倍高速です。
通信量: クライアントとサーバーの間でやり取りされるデータ量を1.1倍から1.7倍削減しています。
精度: 元のモデルと同じ高い精度を維持しています。

要約すると: Jaguarは、従来の「魔法のキッチン」のルールが全員の足を引っ張っていたことに気づきました。数学のシステムをよりシンプルでデジタルフレンドリーなもの（2の累乗）に変更し、調理のステップを再編成することで、プライベートで安全な画像認識を大幅に高速化し、効率化することに成功したのです。

技術要約: Jaguar

問題提起

ハイブリッド同型暗号（HE）およびセキュアな2者間計算（2PC）フレームワークは、現在、正確なプライベート畳み込みニューラルネットワーク（CNN）推論のための実用的な設計点となっているが、これは完全同型暗号による多項式近似による精度低下を回避するためである。しかし、これらのシステムには2つの決定的なボトルネックが存在する：

HE畳み込みのレイテンシ: 線形層の計算は、数論変換（NTT）に基づく多項式演算と剰余素数による簡約によって支配されている。Cheetahのような最先端のシステムにおけるプロファイリングによれば、畳み込みだけで線形層のレイテンシの96%以上を消費しており、その大部分はNTT演算と剰余簡約によるものである。
非効率な精度フロー: 固定小数点推論において、線形層は2倍の小数精度（ $2f$ ビット）で出力を行う。従来のハイブリッドシステムでは、この広いビット幅を持つ値をそのままReLUプロトコルに渡し、続いて、目的の精度を復元するための個別のインタラクティブな2PC切り捨て（truncation）プロトコルを実行する。この手法は、ReLUにおける広いビット幅に対して不要な計算コストを発生させ、さらに切り捨てステップにおいて大幅な通信オーバーヘッドを加える。

これら両方の問題の根本原因は、標準的なFHEライブラリの設計から継承された、素数剰余（特にNTTに適した素数）を用いた算術への依存にある。これは一般的な多項式乗算には最適であるが、単一の線形層を実行した直後に $\mathbb{Z}_{2^\ell}$ 上の加法シェアへと変換を行うハイブリッドHE/2PCシステムにとっては、最適ではない。

手法

Jaguarは、従来の素数モジュラスではなく、2のべき乗の暗号化環（ $q = 2^Q, p = 2^P$ ）を算術基盤として採用するという、単一かつ中心的な設計上の選択を通じて、これらのボトルネックに対処する。この選択により、相互に連結した3つの技術革新が可能になる：

1. SPA-CONV: 係数ドメイン畳み込み

2のべき乗の環を利用することで、Jaguarは線形パスにおけるNTTベースの多項式乗算を排除する。代わりに、**スカラー・多項式累積（SPA-CONV）**を採用する。

メカニズム: 畳み込みは、シフトされたスカラー・多項式積の総和として評価される。各フィルタ重み（スカラー）に対して、システムは入力暗号文の係数ごとのシフトを実行し、その結果を累積する。
利点: このアプローチは、高価な多項式同士の乗算や剰余素数による簡約を、スカラー・多項式乗算、係数シフト、およびビットマスク（ $2^Q$ による簡約のため）に置き換える。これには、プレーンテキストと暗号文の多項式乗算や、サーバー側でのNTTを必要としない。

2. ReLU前の正確な暗号文側切り捨て

2のべき乗モジュラスにより、BFVスケールファクター $\Delta = q/p = 2^{Q-P}$ もまた2のべき乗となることが保証される。

メカニズム: この可除性は、ReLU操作の前に、暗号文コンポーネントに対する算術右シフト（符号なし剰余に対する論理シフトとして実装）を介した正確な切り捨てを可能にする。
利点: これにより、別途のインタラクティブな2PC切り捨てプロトコルが不要になる。さらに、ReLUプロトコルへの入力を $\ell$ から $\ell-f$ へと減少させることで、非線形ステージの通信および計算コストを削減する。

3. NTT支援型復号

サーバー側の線形パスではNTTを回避するが、クライアントは依然として復号中に多項式乗算（ $\hat{c}'_1 \cdot \hat{s}$ ）を実行する必要がある。

メカニズム: Jaguarは、クライアント側でのみ補助的なNTT適性素数（ $q_{ntt}$ ）を使用することで、この特定のローカル操作における効率を回復する。クライアントは係数をこの補助的な素数へ写像し、NTTを介して乗算を実行した後、結果を2のべき乗の環へ書き戻す。
利点: これにより、2のべき乗プロトコルの基盤を乱したり、サーバー側にNTTのコストを導入したりすることなく、 $O(N \log N)$ の複雑度を維持したまま、クライント側の復号効率を保持できる。

主な貢献

2のべき乗算術基盤: Jaguarは、ImageNet規模のCNN推論において、標準的なNTT-素数バックエンドから離れ、2のべき乗の暗号化環を中央の算術レジームとして使用する最初のHE/2PCシステムである。
SPA-CONVカーネル: 点ごとの（pointwise）、高密度（dense）、および深度方向（depthwise）の畳み込みを、スカラー・多項式積と係数シフトの総和として評価する新しい畳み込みカーネル。これにより、線形パスにおけるNTTと剰余素数による簡約を排除する。
ゼロ通信量切り捨て: 正確な暗号文側切り捨ての正当性の証明により、従来のハイブリッドシステムには存在しない「ポストReLU切り捨てプロトコル」を完全に排除した。
NTT支援型復号: 2のべき乗設計を損なうことなく復号効率を維持するために、補助的な素数を利用するクライアントローカル技術。

実験結果

著者らは、AVXを無効にしたデュアルIntel Xeon Gold 6250構成を用いて、ImageNet規模のResNet-18、ResNet-50、およびMobileNetV2についてJaguarを評価した。

レイテンシ: Jaguarは、LANおよびWAN設定において、Cheetahよりも2.07–3.72倍低く、Rhombusよりも2.16–3.36倍低いエンドツーエンドのレイテンシを実現した。
- ResNet-50において、畳み込みカーネルのレイテンシは79%減少した。
- ReLU+切り捨てステージでは、**2.32倍（LAN）および1.80倍（WAN）**のレイテンシ削減が見られた。
通信量: Jaguarは、Cheetahと比較して通信量を1.16–1.76倍削減した。
- 切り捨てステージの通信量はゼロに減少した。
- ReLUの通信量は、入力ビット幅の縮小により減少した。
- 注記: ResNet-50において、Jaguarの通信量はRhombusよりもわずかに高い（1.28倍）。これは、RhombusがResNet-50の通信を支配する点ごとおよび行列ベクトル成分に特化して最適化されているためであり、Jaguarは通信の一部を犠牲にして、畳み込みパス全体での計算量を大幅に削減している。しかし、ResNet-18およびMobileNetV2においては、Jaguarはレイテンシと通信量の両方でRhombusを上回っている。
マイクロベンチマーク: 計算のみの畳み込みベンチマーク（AVX無効）において、パックされたレイアウトに対して、JaguarはCheetahに対し、幾何平均で2.47倍（dense）、11.82倍（pointwise）、および11.65倍（depthwise）の高速化を示した。

意義

本論文は、基礎となるHE算術レジームを（素数モジュラスから）2のべき乗へ変更することが、従来のバックエンドの上にパッキングや通信を最適化するだけでは達成できない、実用的なプライベートCNN推論のための大幅な利得を解き放つことを示している。暗号文モジュラスをシェアのドメイン（ $\mathbb{Z}_{2^\ell}$ ）に適合させ、簡約のない算術を可能にすることで、JaguarはHE畳み込みと精度フローの主要なボトルネックを同時に解決している。本システムは、特定の要件（スカラー・多項式累積としての畳み込み、および復号としてのローカルNTTの回復）に対処すれば、2のべき乗の環はハイブリッドHE/2PC推論において、単に実行可能であるだけでなく、より優れていることを証明している。