🧬 biology

bioETH-Beacon: A Confidential On-Chain Genomic Beacon with Encrypted Counts, Filters, and Bounded Noise over a Fully Homomorphic EVM

bioETH-Beacon 是一个智能合约原型，它通过在全同态以太坊虚拟机（fhEVM）上实现加密计数和有界噪声，实现了机密的链上基因组信标查询，从而消除了对可信计算评估者的需求，并缓解了诸如成员推理和明文查询暴露等隐私风险。

原作者： Christos Galanopoulos, Kimon Antonios Provatas, Ilias Georgakopoulos-Soares

发布于 2026-06-19

📖 1 分钟阅读☕ 轻松阅读

原作者： Christos Galanopoulos, Kimon Antonios Provatas, Ilias Georgakopoulos-Soares

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ⚕️ 这是一篇未经同行评审的预印本的AI生成解释。这不是医疗建议。请勿根据此内容做出健康决定。阅读完整免责声明

想象一个庞大的、全球性的遗传信息图书馆。在这个图书馆里，研究人员想要提出一些简单的问题，比如：“这组人群中是否有人曾被发现携带这种特定的遗传缺陷（typo）？”

目前，如果你提出这个问题，图书管理员（持有数据的医院）会看到你具体问了什么，并且你会得到一个清晰的答案，比如“是的，5个人”。这产生了两个问题：

管理员知道得太多了： 医院可以看到你的研究兴趣。
“跟踪者”问题： 如果研究人员反复询问非常罕见的缺陷，他们可以通过数学方法推断出某个特定的人（比如某位名人或邻居）是否在这一组人群中，即使他们看不到这个人的姓名。

bioETH-Beacon 是一个全新的、实验性的“智能图书馆”，它构建在一种特殊的区块链之上，这种区块链使用了**全同态加密（Fully Homomorphic Encryption, FHE）**技术。你可以把 FHE 想象成一个神奇的、不可破解的玻璃盒。你可以把数据放入盒中，在盒内进行数学运算，并得到结果，而无需打开盒子或看到里面的任何数据。

以下是本文通过简单的类比来解释该系统的方式：

1. 神奇的玻璃盒（系统架构）

该图书馆没有使用人类管理员，而是使用了一个智能合约（一个自动运行的计算机程序）。

医院（数据所有者）： 他们将自己的遗传数据放入玻璃盒中。他们先对数据进行加密，因此一旦进入盒子，甚至连医院自己也无法看到这些数字。
研究人员（请求者）： 他们将问题放入盒子中。他们也对问题进行了加密，因此盒子不知道它正在寻找什么。
神奇之处： 盒子在所有东西仍然被锁在内部的情况下执行搜索和计数。它永远不会打开盒子去读取数据。
结果： 盒子会吐出一个加密的答案。只有提出该特定问题的特定研究人员才拥有解锁该特定答案的钥匙。医院、区块链，甚至运行该盒子的计算机都看不到原始数据或最终的数字。

2. “反跟踪”噪声（隐私保护）

论文解决了“跟踪者问题”（成员推理攻击）。如果研究人员询问“是否存在某种罕见的缺陷？”并得到“0”，他们就知道那个人不在其中。如果得到“1”，他们就知道那个人在其中。

为了阻止这种情况，bioETH-Beacon 在某些答案中加入了有界噪声（Bounded Noise）。

类比： 想象图书馆里有一层薄雾。如果真实答案是“5个人”，系统可能会随机增加一点“静电干扰”，然后告诉你结果是“6”或“4”。
代价： 论文非常诚实地指出：这并不是完美的盾牌。如果一名跟踪者多次询问同一个问题，他们最终可能通过寻找数值最低点的方法来获得“真实”答案。因此，系统还设置了速率限制（Rate Limits）（就像一个保安），以阻止任何人询问同一个问题过于频繁。
重要提示： 这种“雾气”功能仅用于某些类型的查询（遗传标记和复杂的多重过滤搜索）。对于较简单的查询（如年龄或性别过滤），系统会给出精确的数量，但仅提供给受信任且经过批准的研究人员。

3. 三条速度车道（分级）

论文描述了一个“3x4 网格”，展示了运行搜索的不同方式，它们在隐私性与速度/成本之间进行权衡。

车道 1 (T3 - 金标准)： 搜索会逐一查看每一条数据。一切都是隐藏的。这是最私密的，但耗时最长（且消耗最多的“Gas”，即使用区块链的费用）。
车道 2 (T4 - 精简版盒子)： 搜索仍然查看所有内容，但使用的是更小、更轻量级的数字容器。在真实的网络上运行速度稍快，但工作原理相同。
车道 3 (T5 - 预分组货架)： 这是快速通道。在搜索开始之前，图书馆会将数据组织成 20 个预定义的“货架”（插槽）。研究人员询问：“第 3 号货架上有多少人？”系统只检查这 20 个货架，而不是整个图书馆。
- 权衡： 为了获得这种速度，系统必须公开哪些货架存在（即正在追踪哪些遗传标记），但它仍然保持着计数信息的隐藏。这对于密集型数据非常有效，但在关于“正在追踪什么”的隐私性方面稍逊一筹。

4. “多重过滤器”超级查询

有一个特殊的“G1”合约，它充当了超级搜索的功能。与其提出三个独立的问题（“她是女性吗？”、“她超过 40 岁吗？”、“她患有这种疾病吗？”），你可以提出一个复杂的复合问题：“寻找患有此疾病且年龄超过 40 岁的女性。”

为什么重要： 如果你分别询问这三个问题，人们可以利用这些答案拼凑出更多意图之外的信息。G1 合约会在玻璃盒内部同时完成这三个检查，并给你一个单一的、加密的答案。

5. 论文的实际内容（现实检查）

作者非常明确地说明了这是一个什么，以及它不是什么：

它是一个原型： 这是一个研究项目，而不是一个准备好让医院明天就能投入使用的成熟医疗产品。
它使用合成数据： 他们使用从公共遗传目录生成的虚假数据进行了测试，而不是真实的患者记录。
它有局限性：
- “雾气噪声”并不是完美的隐私保证；它只是让监视变得更难。
- 如果数据库变得非常庞大（数百万个标记），系统可能会因为“碰撞”（两种不同的缺陷看起来一样）而产生混乱，因此他们必须使用更大的数字容器。
- 系统仍然依赖于一个“密钥管理服务”（第三方）来分发解锁答案的钥匙。如果该第三方被黑客攻击，隐私将会被破解。

总结

bioETH-Beacon 是一个聪明的实验，它证明了你可以在公共区块链上运行全球遗传搜索，而无需任何人（甚至包括医院或计算机）看到实际的数据或具体的问题。它使用一个“玻璃盒”来计数，加入了一些“静电干扰”来迷惑跟踪者，并根据你需要的隐私程度提供不同的速度设置。这是迈向私人化医疗研究的一步，但它仍处于测试阶段。

技术摘要：bioETH-Beacon

问题陈述

全球基因组学与健康联盟（GA4GH）的 Beacon 协议允许研究人员查询特定基因变异是否存在于某个队列中，并可选地接收聚合计数。然而，标准部署存在两个关键的隐私漏洞：

宿主可见性： 宿主机构可以观察到所有以明文形式存在的查询，包括研究人员的身份、查询的具体变异以及返回的计数。
成员推理： 研究人员接收到的是明文计数，这使得攻击者可以对稀有变异进行重复查询。通过似然比检验，这使得成员推理攻击成为可能，从而可以确认特定个体是否存在于该队列中。

虽然组织层面的措施（信任、访问治理、速率限制）可以部分缓解这些风险，但协议本身并不能消除这些漏洞。

方法论

bioETH-Beacon 是一个研究原型，它直接在全同态加密以太坊虚拟机（fhEVM）上实现了 GA4GH 的“聚合计数”查询，具体使用了 Zama 的 TFHE 协处理器。该系统完全在加密域内运行，确保宿主或区块链观察者都无法访问原始基因组数据或查询内容。

核心架构

系统基于两层合约架构构建：

公共层 (BeaconRegistry)： 管理数据集元数据、贡献者批准、速率限制策略和完整性承诺。它不包含任何加密状态。
加密层 (ConfidentialBeacon 系列)： 存储加密的标记-计数数组并执行扫描内核。它将所有基因组状态保存在密文中。

执行层级与查询族

设计被组织为一个 3×4 层级-查询族网格，用于参数化隐私与计算成本之间的权衡：

执行层级：
- T3 (参考型)： 全加密扫描。标记 ID、过滤值和计数均为加密状态。成本随上传条目数量 ( $N$ ) 线性扩展 ( $\Theta(N)$ )。
- T4 (宽度优化型)： 将累加器从 euint64 缩小到 euint32，以降低同态计算单元（HCU）的深度成本，前提是计数符合 32 位限制。
- T5 (预聚合型)： 使用一组固定的 $M$ 个公共标记槽位。贡献者将计数上传到特定槽位。查询扫描 $M$ 个槽位而非 $N$ 个条目 ( $\Theta(M)$ )，显著降低了查询 Gas，但会泄露哪些标记存在（尽管计数仍是加密的）。
查询族：
- 基因型 (Genotype)： 基础查询，用于检测标记是否存在。
- 性别、年龄、表型： 单轴分类过滤器（例如：性别分为 5 个桶，年龄分为 7 个桶）。
- G1 (多过滤器)： 一个单一合约评估一个四向合取谓词（标记 $\land$ 性别 $\land$ 年龄 $\land$ 表型），在一次加密查询中完成，防止中间单轴计数的泄露。

关键机制

无知扫描内核 (Oblivious Scan Kernel)： 合约在每一项上执行 FHE.eq（等值检查）、FHE.select 和 FHE.add 链，且不设置提前退出机制，确保无论查询结果如何，执行时间均保持恒定。
分块 (Chunking)： 由于 FHE 协处理器的顺序深度限制（5M 单位），扫描被分解为多个块。论文确定了一个安全的经验分块大小：对于 euint64 累加器为 29 个条目（分析上限为 37，建议部署值为 23）。
有界噪声注入： 为了缓解成员推理，系统在受支持的路径上（Genotype T3/T4/T5 以及 G1）向结果中添加有界均匀噪声 ( $\nu \sim \mathcal{U}\{0, \dots, B-1\}$ )。至关重要的一点是，该噪声是在 FHE 协处理器内部采样的，从而防止协调者选择零噪声注入。这是一种防探测功能，而非正式的差分隐私保证。
访问控制： 结果解密任务被委托给离线密钥管理服务（KMS）。只有在合约的 FHE.allow 调用中指定的请求者才能检索明文聚合值。

核心贡献

首个 fhEVM Beacon 实现： 一个智能合约原型，在加密数据上执行 Beacon 聚合计数原语，隐藏了标记 ID、计数和过滤值（除 T5 中标记存在性公开外）。
3×4 设计空间： 一个由 13 个已部署合约（网格中的 12 个 + 1 个 G1 多过滤器）组成的结构化网格，提供从全加密（T3）到预聚合查找（T5）的不同隐私与成本水平。
链上噪声注入： 一种在 FHE 协处理器内部添加有界噪声的机制，防止协调者操纵噪声值。
安全不变性： 定义并验证了跨整个合约套件的 11 个显式安全不变性，涵盖状态隐私、查询执行模式和访问控制。
实证评估： 在源自 PGS Catalog 的合成面板（范围从 16 到 100,000 个标记）上进行基准测试，测量了 Gas、交易次数和墙钟时间。

结果

扩展性： 上传成本随非零条目数量 ( $N$ ) 线性扩展。T3/T4 的查询成本随 $N$ 线性扩展，而 T5 相对于 $N$ 保持平稳（取决于固定的 $M$ ）。
Gas 效率： 在固定 $M=20$ $M = 20$ 的基准测试中（ $N=500$ $N = 500$ 条目）：
- T5 比 T3 减少了 94% 的查询 Gas（从约 24.9M 降至约 1.45M）和 53% 的上传 Gas。
- T4 在本地测试中显示出微不足道的 EVM Gas 节省，但在真实网络上可降低 24% 的 HCU 成本。
交叉点： 对于 P1K 面板，当 $N$ 超过约 246–484 条目时（取决于查询与上传的比例），T5 在总生命周期 Gas（上传 + 查询）方面比 T3 更具成本效益。
正确性： 端到端验证确认，在各种合成配置下，解密后的计数与预期值相符。
噪声开销： 有界噪声注入在每次查询中增加约 215k EVM Gas 和 162k HCU，在 $N=500$ 时，这仅占总查询成本的不到 1%。

重要性与声明

论文将 bioETH-Beacon 定位为一个研究原型，而非生产级的临床部署。其主要意义在于证明了：

使用 FHE 而无需指定的受信计算评估者，在公共区块链上实现机密基因组查询是可行的。
通过将查询和结果保持加密，并将解密权限限制为通过离线 KMS 授权的请求者，可以解决传统 Beacon 的“双重披露”问题。
分层方法允许联盟在隐私需求与计算成本之间进行权衡（例如，在标记存在性不敏感的高密度、高查询工作负载中使用 T5）。

作者明确指出，该系统并未消除对离线 KMS 的信任假设，也不提供正式的差分隐私。它作为一个基础构建模块，旨在为未来既不能完全信任宿主也不能完全信任请求者的机密基因组数据共享提供支持。