⚡ electrical engineering

Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control

本文提出了一种基于格密码假设的、仅需单轮通信的近似矩阵乘法两方计算协议，并验证了其在保护控制器输入、输出及参数隐私的同时，能够以低于原始计算的在线复杂度实现安全线性控制律的可行性。

原作者： Kaoru Teranishi

发布于 2026-03-25

📖 1 分钟阅读☕ 轻松阅读

原作者： Kaoru Teranishi

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这是一篇关于**“如何在保护隐私的前提下，让两个互不信任的帮手帮你算数学题”**的论文。

为了让你轻松理解，我们可以把这篇论文的核心内容想象成一个**“秘密厨房”**的故事。

1. 背景：为什么我们需要“秘密厨房”？

想象你是一家高科技餐厅的老板（客户端），你有一个绝密的配方（控制算法），比如“如何完美控制一架无人机的飞行”。同时，你每天收到顾客点的菜（传感器数据）。

你想把这些复杂的计算工作外包给两个帮厨（服务器/计算方），因为他们算得快。但是，你面临两个大难题：

不能泄露配方：帮厨不能知道你的绝密参数（比如 $K$ 矩阵）。
不能泄露顾客订单：帮厨不能知道你今天收到了什么具体的订单数据（比如 $x$ 状态）。
不能太累：你自己（老板）不想在计算过程中忙得团团转，否则外包就没意义了。

以前的方法（单服务器）就像是你把配方和订单都加密了发给一个帮厨。但解密和加密的过程太慢、太费脑子，导致你自己算得比帮厨还累。

后来的方法（多服务器）引入了“分片”技术（秘密共享），把配方切成两半，订单切成两半，分别给两个帮厨。但以前的分片方法有个大问题：两个帮厨在计算乘法（比如配方 $\times$ 订单）时，需要来回跑好几趟（多轮通信）才能确认结果，或者需要你自己先准备好一堆复杂的“一次性密码本”（Beaver triples），这又增加了你的负担。

2. 核心创新：一次握手，搞定乘法

这篇论文提出了一种**“一次握手”**的新方法。

核心比喻：两个帮厨的“魔术扑克牌”

想象一下，你（老板）给两个帮厨（P0 和 P1）发了一副特殊的**“魔术扑克牌”**（基于格密码学的 LWE 和 SIS 技术）。

你的操作（离线阶段）： 你提前把配方（矩阵 $X$ ）和随机数混合，做成两半“魔术牌”，分别发给 P0 和 P1。这一步你做一次就行。
顾客下单时（在线阶段）： 当新的订单（矩阵 $Y$ ）来了，你只需要把订单也切成两半“魔术牌”，发给 P0 和 P1。
帮厨的计算（单轮通信）：
- P0 和 P1 拿到各自的牌后，不需要互相说话，也不需要问你。
- 他们利用那副特殊的“魔术牌”（基于格密码的线性特性），各自在自己的桌子上算一下。
- 然后，他们只互相交换一次结果（就像交换一张纸条），就能算出最终的“乘法结果”。
- 最后，他们把结果的两半发回给你。

神奇之处：

隐私保护：P0 和 P1 看到的只是乱码（随机数），他们永远无法拼凑出你的配方或订单。
速度极快：因为只需要一次交换信息（单轮通信），而且你（老板）只需要做简单的切分和拼合，不需要做复杂的乘法。你的工作量比直接自己算还要小！

3. 技术细节的通俗解释

论文里提到的几个高大上的词，其实对应着故事里的具体设定：

格密码（Lattice-based Cryptography）：
这就好比一种**“带噪音的锁”**。你在锁里放秘密时，故意加了一点随机噪音。帮厨虽然能看到锁，但因为噪音的存在，他们无法反推出里面的秘密。只有当你把两半结果拼起来，噪音会相互抵消，露出真正的秘密。
近似矩阵乘法（Approximate Matrix Multiplication）：
因为加了噪音，算出来的结果不是 100% 精确的，而是**“足够接近”**的。
- 比喻：就像你让帮厨切菜，因为刀工有点误差，切出来的土豆片厚度可能有 0.01 毫米的偏差。但在做“控制无人机”这种菜时，这点误差完全不影响飞机飞得稳不稳。论文证明了只要参数设置得当，这个误差小到可以忽略不计。
定点数（Fixed-point numbers）：
帮厨不会处理小数（浮点数），他们只处理整数。所以你把小数（比如 3.14）放大 1000 倍变成整数（3140）给他们算，算完再缩小 1000 倍。这就是“定点数”的魔法。

4. 实际应用：控制无人机

论文最后用**“控制无人机”**做了一个实验：

场景：客户想控制一个无人机，但怕帮厨偷看飞行数据或偷学控制算法。
结果：
1. 隐私：帮厨完全不知道无人机在哪，也不知道怎么控制它。
2. 效率：客户（老板）在计算时的负担，比他自己直接算还要轻！这打破了以往“加密计算一定更慢”的魔咒。
3. 精度：虽然用了“带噪音”的算法，但无人机飞得非常稳，误差极小，完全在安全范围内。

总结

这篇论文就像发明了一种**“极速、安全、省力的秘密计算外卖服务”**：

以前：你想外包计算，要么自己累死（加密太慢），要么帮厨互相聊半天（多轮通信），要么得准备一堆复杂的道具（Beaver triples）。
现在：你只需要发一次“魔术牌”，两个帮厨只交换一次纸条，就能帮你算出复杂的乘法结果。
好处：你（客户）最轻松，帮厨（服务器）最省事，而且你的秘密（配方和订单）被保护得严严实实，连帮厨自己都不知道算的是什么。

这项技术未来可以让我们的智能家居、自动驾驶汽车在云端处理数据时，既快又安全，再也不用担心隐私泄露了。

这是一份关于论文《Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control》（基于格密码的 Secure 两方矩阵乘法及其在加密控制中的应用）的详细技术总结。

1. 研究背景与问题 (Problem)

背景：
加密控制（Encrypted Control）旨在利用密码学原语保护物理系统（如传感器数据、控制动作、控制器参数）的隐私，使客户端能够将计算任务外包给不可信的服务器。

现有挑战：

单服务器架构的局限性： 基于同态加密（HE）的单服务器方案中，客户端的解密/加密开销巨大，导致其计算负担往往超过原始未加密计算，难以满足实时控制需求。
多服务器架构的瓶颈： 基于秘密共享（Secret Sharing）的多方计算（MPC）方案虽然能降低客户端负担，但在两方（Two-Party）设置下，安全地计算两个秘密共享值的乘积（即矩阵乘法）面临困难：
- 传统方法需要多轮通信（如 Beaver 三元组生成），增加了延迟。
- 某些高效方案（如复制秘密共享）需要至少三个不共谋的参与方，增加了部署复杂度和成本。
- 现有两方方案往往需要客户端承担较高的在线计算复杂度或通信开销。

核心问题：
如何在两方设置下，仅通过单轮通信，实现低客户端在线计算复杂度的近似矩阵乘法，同时确保输入、输出及控制器参数的隐私？

2. 方法论 (Methodology)

本文提出了一种基于格密码（Lattice-based Cryptography）的协议，结合了加法秘密共享与格上的加密/承诺方案。

2.1 核心数学基础

学习带误差问题 (LWE)： 用于构建加密方案，确保数据的机密性。
短整数解问题 (SIS)： 用于构建承诺方案（Commitment Scheme），确保数据的完整性及不可伪造性。
近似内积计算： 利用 LWE 密文和 SIS 承诺的线性性质，通过特定的代数运算消除噪声项，从而在模 $q$ $q$ 下近似计算两个向量的内积。
- 基本思想：若 $c = A^T s + x + e$ (LWE 密文) 和 $h = Ay + Br$ (SIS 承诺)，则通过组合 $c^T y + (c')^T r - s^T h$ 可以消去秘密项 $s$ ，得到 $x^T y$ 的近似值。

2.2 协议设计 (Mult Protocol)

协议分为三个阶段，支持固定点数的矩阵乘法：

Setup (离线阶段)：
- 客户端生成公共参考串（CRS），包含随机矩阵 $A$ 和 $B$ 。
- 客户端对输入矩阵 $X$ 进行编码（固定点数缩放），生成 LWE 密文 $C, C'$ 和秘密矩阵 $S$ 的份额 $[[S]]$ 。
- 将 $(C, C', [[S]])$ 分发给两个计算方 $P_0, P_1$ 。
Offline (离线阶段)：
- 此阶段主要处理密钥生成和预计算，不依赖具体输入 $Y$ 。
Online (在线阶段)：
- 输入处理： 客户端对输入矩阵 $Y$ 进行编码并生成份额 $[[Y]]$ 发送给计算方。
- 本地计算： 计算方 $P_i$ 本地采样随机份额 $[[R]]$ ，并利用秘密共享的线性性质计算承诺份额 $[[H]] = A[[Y]] + B[[R]]$ 。
- 重构与交互： 计算方重构 $H$ 并发送给对方（或广播），双方利用 $C, C', H$ 和本地持有的份额，通过单轮通信计算乘积份额 $[[Z]]$ 。
- 结果恢复： 客户端接收份额，重构 $Z$ 并缩放得到最终矩阵乘积结果。

2.3 精度与安全性分析

精度保证： 论文推导了固定点数位宽（整数位 $k$ $k$ 和小数位 $\ell$ $ℓ$ ）的充分条件。
- 条件 (7) 防止模运算溢出（Wrap-around）。
- 条件 (8) 确保近似误差（由 LWE 和 SIS 噪声引起）低于指定阈值 $\epsilon$ 。
安全性： 在 LWE 和 SIS 假设下，证明了协议在半诚实（Semi-honest）且非共谋模型下是安全的。计算方无法从通信中推断出输入 $X, Y$ 或输出 $Z$ 的任何信息，因为所有传输的份额和密文在计算上等同于均匀随机分布。

3. 主要贡献 (Key Contributions)

提出了一种单轮两方计算协议： 实现了固定点数矩阵的近似乘法，仅需一轮通信，打破了传统两方 MPC 需要多轮交互的限制。
基于标准格假设的安全性： 协议安全性基于 LWE 和 SIS 这两个格密码学中的标准假设，而非随机预言机模型。
理论误差分析： 推导了固定点数表示的位长条件，保证了在存在量化和近似误差的情况下，计算精度满足控制系统的理论要求。
在加密控制中的应用与验证：
- 将协议应用于线性控制律 $u = Kx + v$ 的实现。
- 显著降低客户端负担： 客户端的在线计算复杂度从 $O(n_u n_x)$ 降低到 $O(n_u + n_x)$ （仅需生成份额和重构结果），远低于原始控制器计算。
- 隐私保护： 同时隐藏了控制信号（状态、输入）和控制器参数（反馈增益）。

4. 实验结果 (Results)

数值仿真：
- 设置了一个线性时不变系统，参数设定为 LWE $(n, q, \sigma) = (2^{12}, 2^{108}, 3.2)$ 以确保 128 位安全性。
- 选取固定点数参数 $k=53, \ell=44$ 。
- 误差表现： 在 $v(\tau) = 10 \sin(0.2\pi\tau)$ $v (τ) = 10 sin (0.2 π τ)$ 的参考输入下，仿真显示：
  - 量化误差与近似误差的总和 $\|u(\tau) - \hat{u}(\tau)\|_{max}$ 保持在极小范围内（远低于 $10^{-12}$ 级别，符合理论界 $\epsilon = 2^{-10}$ ）。
  - 加密控制系统的性能与原始未加密系统几乎一致。
性能对比：
- 实现了单轮通信，这是交互式协议的最小通信轮数。
- 客户端在线计算量显著减少，解决了加密控制中客户端计算瓶颈的问题。

5. 意义与展望 (Significance)

理论突破： 首次在两方设置下，同时实现了低客户端在线复杂度、单轮通信以及信号与增益的完全隐私保护。这为资源受限的客户端（如嵌入式设备）安全外包控制计算提供了可行的新路径。
实际应用价值： 证明了基于格密码的近似计算可以应用于对精度要求极高的实时控制系统（如线性控制律），且误差在可控范围内。
未来方向： 作者计划将该框架扩展至动态控制器（Dynamic Controllers）并进一步优化计算方的计算成本，以推动其在更复杂工业场景中的落地。

总结： 该论文通过巧妙结合格密码的线性性质与秘密共享，解决了两方安全计算中“通信轮数”与“客户端计算负担”之间的矛盾，为隐私保护的 cyber-physical 系统（CPS）控制提供了高效、安全的解决方案。