技術要約：プライバシー保護を実現するクラウド・エッジ・エンド協調のための、レイテンシ最適化された適応型分割推論

1. 問題提起

IoTエンドデバイスは、プライバシーに敏感なデータ（例：医療画像）を処理する際、極めて重要なトレードオフに直面している。すなわち、ローカルで完全な畳み込みニューラルネットワーク（CNN）を実行するための計算リソースが不足している一方で、生のデータや中間特徴量をクラウドやエッジサーバーにオフロードすることは、機密情報の漏洩リスクを伴う。完全準同型暗号（FHE）は、暗号化されたデータに対して復号なしでの計算を可能にするが、暗号文の膨張と準同型演算のオーバーヘッドにより、クラウド全体でFHEを完全に展開することは極めて困難である。逆に、エッジサーバーのみに依存することは、クラウドと比較してその容量が限定的であるため不十分である。

本論文が取り組む核心的な課題は、「CNNをどこで分割するか」、および「暗号化されたサフィックス（後続部分）をエッジとクラウドの階層間でどのように分配するか」を決定し、プライバシーを厳格に保護しながらエンドツーエンドのレイテンシを最小化することである。具体的には、ローカルでの平文実行、暗号化コスト、通信遅延、およびリモートでのFHE実行コストのバランスを取るための、最適な分割ペア（エンド側の分割点とエッジ側の終了点）を選択するという問題を解決しようとしている。

2. 手法

システムアーキテクチャと脅威モデル

提案されるフレームワークは、3層のアーキテクチャ上で動作する。

• エンドデバイス: トラストアンカー（信頼の起点）として機能する。CNNの初期の平文プレフィックス（前置部分）を実行し、CKKSスキームを用いたFHEによって中間活性化関数を暗号化し、秘密鍵をローカルに保持する。生の入力や平文の特徴量を送信することはない。
• エッジサーバー: 最初の外部階層である。暗号化された活性化関数を受け取り、暗号文に対してモデルの連続したセグメントを実行する。
• クラウドサーバー: 高容量の階層である。エッジ側で推論が終了しない場合、残りの暗号化されたサフィックスを完了させる。

脅威モデル: エッジおよびクラウドサーバーは「誠実だが好奇心旺盛（honest-but-curious）」なものとしてモデル化されている。これらはプロトコルに従って忠実に動作するが、処理中の暗号文からプライベートな情報を推測しようとする可能性がある。本フレームワークは、各階層間に共謀がないことを前提としている。たとえエッジとクラウドが観測結果を組み合わせたとしても、エンドデバイスのみが保持する秘密鍵なしではデータを復号できない。

FHE適合型モデル設計

効率的な準同型評価を可能にするため、標準的なReLU活性化関数の代わりに、二次残差活性化関数 $\sigma(z) = (\alpha \cdot z)^2 + z$ を採用している。これは、加算と乗算をサポートするCKKSスキームと互換性のある次数2の多項式を使用しながら、線形な残差経路を維持するものである。精度を維持するために、この活性化関数を用いてモデルをゼロから学習させている。

レイテンシ最適化プランニングアルゴリズム

著者らは、デプロイメントを、エンド側の分割点 $q$ とエッジ側の終了点 $e$ に関する制約付き最適化問題として定式化し、総レイテンシ $T_{tot}(q, e)$ を最小化する。総レイテンシは以下の合計である：

1. ローカル平文実行 ($T_{end}$): エンドデバイスのGFLOPSに基づいて算出。
2. 暗号化 ($T_{enc}$): 分割された活性化関数を暗号化するコスト。
3. 通信 ($T_{comm}$): 各階層間の暗号文の伝送遅延。これはペイロードサイズ（CKKSパラメータとSIMDパッキングによって決定）と設定されたリンク帯域幅に基づいて計算される。
4. リモートFHE実行 ($T_{edge}, T_{cloud}$): 特定のレイヤーグループ（例：畳み込み＋プーリング、全結合層）に対する、それぞれのハードウェア上での経験的に校正されたコスト密度（秒/GFLOP）を用いて推定。

プランナーは以下の2つの粒度をサポートする：

• 畳み込みレベル: 個々の畳み込み層での分割を許可。
• ブロックレベル: 完全なネットワークブロックまたは全結合層の境界への分割を制限。

システムは、最大モデル露出ポリシー（エンドデバイス上のモデルパラメータの割合を制限する）および構造的一貫性などの制約条件下で、実行可能なすべてのペア $(q, e)$ を評価し、レイテンシを最小化するペアを選択する。

3. 主な貢献

1. プライバシー保護型分割フレームワーク: エンドデバイスが秘密鍵と平文データの唯一の保持者であり、エッジおよびクラウドの階層が厳密にFHE暗号文に対して計算を行う、新しいアーキテクチャ。
2. レイテンシ認識型プランナー: 平文実行、暗号化、通信、およびエッジとクラウドの異種FHE実行コストを統合的に考慮した、統一されたコストモデルと最適化アルゴリズム。
3. 粒度認識型パーティショニング: 畳み込みレベルとブロックレベルの両方の分割をサポートしており、細かい分割がエッジのリソースをより良く活用することでレイテンシを大幅に削減できることを実証。
4. プロトタイプ実装: VGG16ベースのモデルを用い、ハイブリッドテストベッド（エンド用にRaspberry Pi 4B、エッジ/クラウド用にXeonサーバー上のDockerコンテナ）上でCKKS/OpenFHEを使用した動作可能なプロトタイプ。

4. 実験結果

実験は、修正されたVGG16（SquareVGG16）アーキテクチャを用い、CIFAR-10およびPathMNISTデータセットに対して行われた。

• レイテンシ性能:

  • 提案された畳み込みレベルの分割は、CIFAR-10で1033.279 s/sample、PathMNISTで1023.429 s/sampleの平均エンドツーエンドレイテンシを達成した。
  • これは、フルクラウドFHEベースラインと比較して約12.9倍、ブロックレベル分割ベースラインと比較して約3.9倍の高速化を実現している。
  • フルクラウドFHEベースラインは、モデル全体をリモートで実行するため、高いレイテンシ（CIFAR-10では約13,357 s/sample）に苦しんだ。

• 精度:

  • 協調スキームは、CIFAR-10で88.53%、PathMNISTで**91.43%**の精度を達成した。
  • これらの結果は、平文のSquareVGG16モデルと正確に一致（または0.01パーセントポイント以内）しており、FHE適合型活性化関数と分割推論がモデルの性能を低下させないことを裏付けている。

• 通信オーバーヘッド:

  • 畳み込みレベルの分割は、クラウドへのハンドオフが（Block IIIの後ではなく、Conv. III-1の後に行われるため）、ブロックレベルの分割（141 MB/sample）と比較して高い通信量（約276 MB/sample）を発生させた。しかし、エッジ側のFHE計算時間の短縮が通信コストを上回ったため、結果として総レイテンシは低くなった。

• 感度分析:

  • 最適な分割プラン（エンド側はBlock II、エッジ側はConv. III-1）は、様々な帯域幅構成において安定していた。エッジのFHE実行速度がクラウドの実行速度に近づかない限り、プランがエッジ層のより深い位置へ移動することはない。

5. 重要性と主張

本論文の主な意義は、適応的なパーティショニングを通じて、プライバシー保護分割推論をレイテンシ最適化可能にできることを実証した点にある。分割点の選択を、暗号化、通信、および異種FHE実行コストを包含する結合最適化問題として扱うことで、本フレームワークはFHEの高いセキュリティと、IoTアプリケーションにおける実用的なレイテンシ要件との間の溝を埋めている。

著者らは、以下のシステムレベルのソリューションを提供することを強調している：

• フルクラウドFHEの暗号学的プライバシー境界を維持しつつ（平文はエンドデバイスから離れない）、レイテンシを劇的に削減する。
• 異種クラウド・エッジ環境においては、細かい（畳み込みレベルの）分割が、通信コストが増大する場合であっても、粗い（ブロックレベルの）分割よりも優れていることを検証した。
• 暗号化された分散推論の将来の研究に向けた、再現可能でベンチマーク校正されたコストモデルを提供する。

結論として、本研究は現在の実装が非対話型バッチ推論のためのCPUベースの研究用プロトタイプであり、リアルタイムの意思決定用ではないことを述べ、今後の展望としてハードウェア加速とより広範なモデルファミリーへの適用を挙げている。