邊緣計算隱私保護研究進展

周 俊 沈華杰 林中允 曹珍富 董曉蕾

(上海市高可信計算重點實驗室(華東師范大學) 上海 200062)

隨著移動通信與大數據[1]的高速發展，信息化生活已經普及至千家萬戶，深刻地改變人們的生活習慣和工作模式.智能醫療、智能家居和智能交通等應用已廣泛應用于日常生活中，給人們帶來了極大的便利.例如，智能家居不僅能提供家電控制服務，還能實現實時的環境監測及防盜報警等功能，幫助我們構建舒適且安全的生活環境.另一方面，物聯網與傳感技術的蓬勃發展導致了數據的爆炸式增長，據不完全統計和預測：到2020年底將有500億設備連入互聯網，而到2025年這個數字將達到5 000億[2-3].然而，只具備有限計算能力和存儲空間的本地設備難以有效地處理這些數據.如何高效地分析利用這些海量信息成為了一個亟待解決的問題.

云計算最初被認為是一種很有前途的計算基礎設施，資源受限的本地用戶將其大批量的數據文件和開銷巨大的計算任務外包給存儲和計算資源豐富的云服務器完成[4].然而，單一的云服務器架構集中化存儲和處理大量的原始數據會帶來嚴重的帶寬和能耗問題，且容易成為敵手俘獲攻擊的目標，導致單點失敗.此外，針對一些需要實現實時響應、位置感知和上下文感知等功能的基于多輸入、多輸出的多用戶和多任務場景，由于云服務器和用戶設備的距離較遠，往往會帶來較大的通信延遲，從而成為外包系統的安全與性能瓶頸.

為了彌補云計算的不足，引入了邊緣計算[5]的概念，用于將云計算拓展至網絡的邊緣.具體地說，邊緣計算是一種新的分布式計算模式，由多個位于云服務器和本地用戶之間的邊緣節點合作完成外包存儲與外包計算任務.由于其能夠在靠近用戶終端設備的網絡邊緣存儲和處理數據，因此能較好地支持實時響應、環境感知等功能，從而適用于智能電網[6]、自動駕駛、虛擬現實(virtual reality, VR)等多個應用場景.

盡管邊緣計算具有許多優點，但它也面臨著各種安全和隱私威脅.邊緣計算作為云計算的拓展，仍具有一些云計算中的安全問題：邊緣節點由于其內部故障與外部攻擊，通常假定與云服務器一樣處于半可信或惡意敵手環境中.前者是指邊緣節點會誠實執行協議并通過與協議其他參與方進行最大程度的交互來竊取其隱私信息；后者是指邊緣節點可通過任意行為來破壞協議的正確執行.另一方面，由于邊緣計算具有分布式部署、多元異構和低延遲等自身特性，會帶來一些特有的安全與隱私保護問題.邊緣節點介于云服務器與本地用戶間的資源限制也使得云計算中典型的安全模型無法直接應用于邊緣計算，因此，如何設計基于邊緣計算的輕量級安全與隱私保護方案成為近年來國內外的研究熱點.

1 邊緣計算模型

本節主要介紹邊緣計算的網絡模型與安全模型.

1.1 網絡模型

邊緣計算將一些云處理過程移動至更接近終端設備的位置，從而最大限度地利用了網絡邊緣中未開發的計算能力[7].邊緣節點是網絡邊緣上具有計算和存儲能力的設備.它們可以是資源受限的設備，如網關、路邊單元、機頂盒、路由器等，也可以是擁有豐富資源的設備，如微云等.

圖1 邊緣計算的隱私保護網絡模型Fig. 1 Network architecture of privacy preserving in edge computing

邊緣計算的網絡模型如圖1所示.邊緣計算系統包括3個不同的實體，即本地用戶設備(local devicesrequest user)、邊緣節點(edge nodes)和云服務器(cloud server)，本地用戶設備的存儲、計算和通信能力最弱，云服務器的資源最豐富，而邊緣節點則處于兩者之間.為了實現不同實體間的通信，邊緣計算采用了各種通信技術，包括有線通信(例如以太網和光纖)、無線通信(例如藍牙、NFC、IEEE 802.11)或兩者的組合[8].這3個實體可以直接連接或通過權威機構(如證書機構或密鑰生成中心)間接連接.如果發現網絡任何威脅，權威機構將立即介入以處理事故.

具體地說，邊緣計算的3層架構描述如下：

1) 最底層是用戶設備層.由大量物聯網設備組成，如傳感器、智能手機、智能可穿戴設備等.其中一些設備是移動物聯網對象，另一些是固定物聯網對象.這些設備能夠生成或感知原始數據，并發送給更高層次的設備進行進一步處理.

2) 中間層是邊緣節點層.由具有一定計算能力的設備組成，如基站、路由器等.邊緣節點由網絡設備組成，如具有計算能力的路由器、網關、交換機和基站等.這些設備在邊緣計算中稱為邊緣節點，可以通過網絡連接部署在任何地方.邊緣節點傾向于將云計算擴展到網絡邊緣，它具有一定的計算和存儲能力和自治能力，可減少資源受限的物聯網設備上的數據處理負載.除了常規通信(例如包轉發和路由)之外，一些實時和需要高響應速度的應用程序可以從云服務器移至邊緣節點.由于邊緣節點距離設備較近，因此它們擁有有關設備及其所有者(即用戶)的區域性知識，例如本地的網絡情況、用戶的移動方式及精確的位置信息.邊緣節點能夠為用戶提供計算卸載、瞬態數據存儲、緩存等服務，并能將來自云的服務傳遞給用戶.為了減輕云的負擔，邊緣節點間可以相互合作分流計算任務.

3) 最上層是云服務器層.云服務器具有巨大的存儲空間和計算資源，它能對邊緣節點的預處理數據進行進一步的數據處理，并將計算任務委托給邊緣節點.云服務器從各邊緣節點接收數據摘要，并對其提交的數據和其他來源的數據進行全局分析，以改善各類網絡應用服務[9]，如智能配電[10]、電子醫療[11]等.此外，云服務器還向邊緣節點發送策略，以提高邊緣節點提供的服務質量.

1.2 特 性

邊緣節點層的參與使得邊緣計算與云計算并不完全相同，云計算與邊緣計算的詳細對比總結[12]如表1所示.

1) 位置感知[12].位置感知是指確定用戶設備的地理位置的能力.云計算通常不提供位置識別服務，當云服務器需要獲取用戶的位置信息時，需要用戶主動將位置信息發送至云服務器，這會帶來巨大的通信開銷，用戶的位置隱私也可能泄露[13].而在邊緣計算中，邊緣節點能夠感知自己覆蓋區域內的用戶設備，因此用戶不需要將自己的本地信息發送給遠程的第三方.

2) 平均延遲[12].云服務器一般遠離物聯網設備，導致數據傳輸延遲較長.然而，同樣擁有一定計算能力和存儲空間的邊緣節點距離物聯網設備更近，這使得它們之間的數據傳輸時間更短.非實時應用程序(如離線游戲)一般不受數據延遲影響，但實時應用程序(如車載網)往往依賴于低延遲的數據傳輸.

3) 支持大規模物聯網應用[12].由于繁重的管理和計算開銷，云計算無法為大規模物聯網應用提供服務.例如在廣泛的環境監測系統中，大量的傳感器會產生海量數據，如果在中央云服務器中管理這些傳感器并執行數據處理，會帶給云服務器較大的負擔.而在邊緣計算中，邊緣節點可以以較小的開銷在自己的區域內管理這些物聯網設備.因此邊緣計算能夠有效地支持電網管理、環境監測和氣候變化監測等大規模物聯網應用.

4) 網絡架構.在云計算中，有一個集中的服務器來管理、計算和存儲資源.然而，邊緣計算模式是一個分散的框架，實時的應用服務是由自組織的邊緣節點所提供.

5) 移動性.在邊緣計算中，具有高移動性的物聯網設備通常是數據生產者，而在云計算中，數據往往由公司和企業產生，如騰訊、阿里巴巴等.由于物聯網設備很容易從邊緣節點覆蓋的一個區域移動到另一個區域，邊緣計算通常需要提供移動性支持.

Table 1 Feature Comparison Between Cloud Computing and Edge Computing

1.3 安全模型

邊緣計算的隱私保護框架主要由4個步驟組成：1)存儲、計算、通信資源受限的本地設備(用戶)將采集的批量數據批量加密后上傳至邊緣節點；2)計算任務請求用戶將加密的計算任務上傳至邊緣節點；3)邊緣節點通過相互合作(必要時可與云服務器交互完成)，在密文域上進行函數計算、數據分析與處理，并將密文的計算結果返回給請求用戶；4)授權的請求用戶解密計算結果(在不同的應用場景中，計算任務請求用戶和本地設備、用戶可以是同一實體或不同實體，參與邊緣計算協議).

雖然邊緣計算給用戶提供了很大的便利，但仍存在其特有的安全與隱私保護需求.由于邊緣節點往往工作在不可信的環境下，因此通?？煞譃榘胝\實(semi-trusted or honest-but-curious adversary)敵手模型和惡意(malicious adversary)敵手模型2類.前者是指邊緣節點誠實地按照協議的規定執行計算任務，但同時通過與協議各方的交互最大限度地竊取其隱私信息；后者是指邊緣節點能通過任意行為來破壞協議的執行，從而返回錯誤的計算結果.具體來說，我們將以基于邊緣計算的電子醫療系統為例，從輸入隱私、輸出隱私、函數隱私、可驗證性和高效性5方面展開闡述.

圖2是邊緣計算電子醫療系統隱私保護框架.醫生用戶(Physicians)的屬性集合AS由k個屬性子集ASi(i=1,2,…,k)構成；k個屬性機構AAi(i=1,2,…,k)分別為醫生用戶頒發對應屬性子集的屬性私鑰.同時，d個證書中心CAj(j=1,2,…,d)合作為醫生用戶生成身份私鑰.多個邊緣節點采集各自負責區域病人用戶的生命體征密文數據及其對應的訪問控制策略，并在密文域上通過多方計算對區域的疾病發展趨勢進行有效分析、預測.屬性集合滿足訪問策略的醫生用戶可以成功解密分析、預測的明文結果，從而采取有效、及時與正確的干預措施.

1) 輸入隱私.誠實的本地設備(用戶)采集的數據隱私能抵抗由邊緣節點、被俘獲的本地設備與計算任務請求用戶發起的合謀攻擊.如在基于邊緣計算的電子醫療系統中，輸入數據表現為從本地用戶(病人)身體采集的多類型生命體征數據，是本地用戶的隱私.

2) 輸出隱私.邊緣計算結果隱私能抵抗由邊緣節點、本地設備與惡意計算任務請求用戶發起的合謀攻擊，即邊緣計算的結果僅能由被授權的請求用戶訪問.如：在基于邊緣計算的電子醫療系統中，輸出隱私表現為以本地用戶(病人)生命體征數據、醫檢報告為輸入的診療結果，是本地用戶的隱私.

3) 函數隱私.即計算任務隱私，是指由誠實計算任務請求用戶提交給邊緣節點進行外包計算的函數隱私能保護由邊緣節點、本地設備與惡意請求者發起的合謀攻擊.如：在基于邊緣計算的電子醫療系統中，邊緣計算函數體現了醫務人員對從病人身體采集的生命體征數據、醫檢報告等進行分析診療的方法或醫療科研人員對醫療大數據進行分析和預測的處理方法，具有知識產權保護的需要；從而其函數隱私保護顯得尤為必要.

4) 可驗證性.可驗證性是指邊緣計算輸入、輸出數據的正確性可驗證、可追責與可審計.該安全性需求是針對惡意敵手模型設計的，主要包括2方面：一是本地設備提交數據的合法性驗證，如：在基于邊緣計算的聯邦學習系統中，如何有效甄別本地用戶提交的數據集的合法性，從而避免惡意本地設備提交假數據而導致模型訓練結果錯誤；二是對邊緣計算結果實現正確性可驗證，要求邊緣節點在返回外包函數密文計算結果的同時提交計算結果正確性驗證證據；計算任務請求用戶在正確性驗證通過的前提下，進一步解密得到邊緣計算結果.

5) 高效性.邊緣計算的隱私保護要求在密文域上處理數據，因此需要廣泛利用(全)同態加密、安全多方計算等具有較高計算開銷和通信開銷的密碼原語來實現.因此，如何構建輕量化的邊緣計算隱私保護技術，以滿足本地設備存儲、計算、通信資源受限的客觀性能需求是一個亟待解決的、具有挑戰性的公開問題.否則，雖然在理論上能實現邊緣計算隱私保護需求，但如果本地設備或計算任務請求用戶用于隱私保護的計算開銷大于其自己計算外包函數的計算開銷，邊緣計算就失去了外包的意義.

構建邊緣計算隱私保護新理論和新方法需要在正確性(即邊緣計算結果的可驗證性)、安全性(輸入隱私和輸出隱私)、高效性3方面實現平衡.

圖2 邊緣計算電子醫療系統隱私保護框架Fig. 2 Framework of privacy preserving in edge-based e-healthcare system

2 邊緣計算的隱私保護方案

本節從邊緣計算的隱私保護數據聚合、隱私保護外包計算和面向應用的安全計算3方面，基于數據擾動、同態加密和安全多方計算等密碼技術，對邊緣計算隱私保護領域的國內外最新研究成果進行了系統的闡述、總結與科學歸類.

2.1 隱私保護數據聚合

邊緣計算的隱私保護數據聚合是指每個本地設備從周圍采集并加密數據，再將加密數據發送給邊緣節點，邊緣節點相互合作在密文數據上進行分布式的多方聚合計算，在必要的情況下將聚合結果發送給云服務器做進一步的分析處理，或將聚合結果發送給授權接收方解密.在這個過程中，安全的數據聚合能夠防止本地用戶數據泄漏并且減少通信開銷.

圖3是基于邊緣計算的智能電網隱私保護框架.在智能電網中，作為社區網關或地區網關的邊緣節點可對隸屬于該社區或地區的用戶實時用電量在密文域上進行聚合，并將匯總后的密文提交到電力公司運營監測中心進行負荷監控.與由本地用戶設備(智能電表)將所有實時用電量直接向電力公司傳輸相比，這種方式使得通信開銷大大降低，且更易于社區網關與地區網關及時發現所在區域的用電負荷問題并加以實時控制.同時，本地用戶的實時用電數據隱私和區域用電量聚合結果隱私都得到有效保護.

圖3 邊緣計算智能電網隱私保護框架Fig. 3 Framework of privacy preserving in edge-based smart grid

圖4 邊緣計算智能交通系統隱私保護框架Fig. 4 Framework of privacy preserving in edge-based intelligent transportation system

圖4是基于邊緣計算的智能交通系統隱私保護框架.在基于群智感知的車聯網中，由路側單元(road side unit, RSU)或處于臨時閑置狀態的車載設備(on board unit, OBU)擔任的邊緣節點從多個車輛收集并預處理加密后的交通流數據發送給云服務器，用于隱私保護的智能導航或各類基于位置的服務.因此，在邊緣計算中實現基于不同安全需求和性能需要的隱私保護數據聚合就顯得尤為重要.

目前，同態加密[14-16]和差分隱私[17-18]已廣泛應用于智能電網以實現數據聚合，這些加密方案都支持加法同態.因此，邊緣節點可以將本地設備采集的數據在密文上進行聚合.同態加密方案也能用于實現用戶隱私保護[19]，支持移動社交網絡中的加法同態操作[20].

Lu等人[14]利用同態加密為邊緣計算中的異構物聯網設備開發了一種輕量級數據聚合方案，保證了數據機密性和數據完整性，然而該方案沒有考慮身份隱私、可追蹤性、可拓展性和移動性.

Lyu等人[17]提出了一種基于差分隱私和秘密共享技術的隱私保護數據聚合方案.具體來說，為了保證總體統計量的差分隱私，該方案利用高斯分布噪聲對私有數據進行擾動.雙層聚合可以減輕隱私泄露風險，從而保證數據的實用性.這篇文章使用公鑰加密實現認證，為了保證方案的可拓展性還考慮了節點的更新問題.然而，在提供數據聚合服務的同時，邊緣節點可能會竊取用戶的位置隱私并交給惡意第三方.此外，該方案并沒有考慮數據完整性、身份隱私、可追蹤性和移動性.

雖然上述邊緣計算的隱私保護數據聚合方案[14,17]都具有容錯功能，但未考慮到身份隱私保護問題.為了解決該問題，Wang等人[15]引入了一種邊緣計算場景下使用假名技術的匿名數據聚合方案.云服務器在注冊階段對邊緣節點和用戶設備進行認證，保證了所有參與邊緣計算實體的真實性.該方案使用同態加密技術，既保護了本地設備的身份隱私，又保證了數據機密性.在該方案中，邊緣節點和云服務器會對接收到的消息進行驗證，保證了數據完整性.此外，該方案也考慮了本地設備和邊緣節點的撤銷問題，但移動性仍然沒有被考察.與文獻[14]不同，文獻[15]和[17]的隱私保護數據聚合并未考慮邊緣計算中數據的異構性.

為了同時保護數據隱私和身份隱私，Guan等人[16]提出了一種將假名證書與Paillier同態加密相結合的方案，適用于增強的邊緣計算物聯網環境中的隱私保護數據聚合.在該方案中，每個邊緣節點所負責的區域擁有一個本地證書頒發機構(local certificate authority, LCA)和一個可信證書頒發機構(trusted certificate authority, TCA).為了防止偽造證書，它將與用戶設備一同生成和更新假名證書.此外，所有實體都可以在數據傳輸期間使用摘要來驗證數據完整性，同時該方案還考慮了假名證書的更新和撤銷，具有較強的靈活性.然而，上述所有數據聚合方案都不支持可追溯性，也無法驗證聚合結果的正確性.

值得注意的是，國內外現有的大多數邊緣計算隱私保護數據聚合方案[14-16,19-20]是利用公鑰同態加密技術實現的；然而從效率方面看，直接將公鑰加密算法作用在數據上違背了混合加密的基本原則，為資源受限的本地設備帶來了巨大的計算和通信負擔；從安全性方面看，無論是單用戶、多數據聚合還是多用戶、多數據聚合，都是用聚合結果接收方的公鑰對本地數據進行同態加密，以保證密文域上的聚合計算；因此，本地設備數據對聚合結果接收方無法實現隱私保護；對除了聚合接收方以外的其他協議實體而言，加法同態加密僅能保證選擇明文安全.另一方面，用數據擾動方法對本地數據加噪，又會對聚合結果的準確性產生一定程度的影響.

因此，如何在隱私保護數據聚合的準確性、安全性和性能3方面實現最優化是一個具有挑戰性的公開研究問題，近年來受到了國際密碼安全研究人員的廣泛關注.邊緣計算的另一個重要應用領域是認知無線電網絡(cognitive radio network).認知無線電網絡能通過頻譜聚合與共享實現有效的頻譜管理，從而解決極具增加的移動用戶和有限的頻譜帶寬之間的供求矛盾.二級用戶可以在與一級用戶不產生地理位置沖突的前提下，發現和共用同一個頻譜.然而，其中仍存在許多安全問題未能解決，其中最為重要的是用戶位置隱私泄露問題.國內外現有工作或未能完全解決用戶位置隱私保護問題，或依賴計算開銷巨大的公鑰同態加密技術實現，不適用于資源受限的移動用戶的客觀性能需求.Zhou等人[21]不利用公鑰同態加密技術，基于任意單向陷門置換提出了一個高效的隱私保護多用戶數據聚合協議PPMDA，并在此基礎上構造了認知無線電網絡中的輕量級隱私保護頻譜聚合與拍賣協議PPSAS.尤其值得指出的是，為了抵抗合謀攻擊，還將PPMDA協議進行了分布式擴展設計，并且在密文域上實現了一個擴展的完美穩定婚姻匹配協議，從而在保護用戶位置隱私的前提下，靈活實現了二級用戶(競拍者)利益最優化和拍賣方利益最優化.

2.2 隱私保護外包計算

在隱私保護數據聚合的基礎上，在邊緣計算中，資源受限的本地設備可將基于大批量輸入數據的各類復雜多元函數計算任務外包給具備一定存儲、計算和通信資源的邊緣節點完成.本節將從4類適用于邊緣計算隱私保護的外包計算技術，即：數據擾動、公鑰全同態加密、安全多方計算和全同態數據封裝技術出發，對國內外最新的研究成果進行闡述與歸類.最后，我們小結了惡意敵手環境下，邊緣計算結果正確性可驗證與可審計方面的最新研究進展.

2.2.1 數據擾動

數據擾動(data perturbation)是在邊緣計算中實現隱私保護的一類常用技術.通常，數據擁有者通過執行線性運算或非線性運算，以某些特定方式對原始數據進行盲化，然后將盲化后的數據外包給服務器用于數據分析與處理[22].具體的數據擾動方法包括交換記錄值[23-24]、隨機化[25]、幾何擾動[26]、旋轉擾動[27-28]、同分布樣本替換[29-30]等.

Lin在文獻[31]中設計了一個保護隱私的內核k均值聚類外包方案，對向量中的所有值進行擾動運算.Yang等人[32]采用了一種可檢索的數據擾動方法來進行隱私保護的外包計算.他們的方案通過添加噪聲矩陣來保護私有數據，該矩陣具有被擾動的數據具有與原始數據相同的均值和協方差的特性.此外，幾何數據擾動(geometric data perturbation)是一種組合技術，包括乘法變換、平移變換和噪聲加法運算.這些子變換的集成在計算中展現出了良好的性能以及隱私保護能力[33-34].另一種是基于置換函數的數據擾動技術，在不改變原始數據值的情況下對其進行無序置換.較為常見的有矩陣置換，即置換矩陣的行和列.置換函數可以表示為π(i)=pi(i=1,2,…,n)，其中i是原始索引，而π(i)是置換后索引.換句話說，第1個由i標記的元素將被pi標記的元素替換.Duan等人[35]提出了一種用于非負矩陣分解的安全可靠的外包方案.輸入矩陣通過執行置換操作實現盲化，并且2個置換矩陣由Knuth shuffle算法生成[36].基于置換的方法已應用于許多特定的外包方案中，例如線性代數[37-38]、圖像處理[39]和數據挖掘[40].

在基于數據擾動的方案中，隨機值或置換的隨機性被視為用戶的秘密密鑰.與基于密碼方法的技術相比，擾動方法由于其相對簡單的操作而通常導致較低的計算開銷與通信開銷.然而，其隱私保護的能力通常不如基于密碼學的方法，某些重要信息經過線性(逆)變換還是會泄露一部分的數據，且對外包計算結果的準確性會帶來一定程度的影響.

2.2.2 全同態加密

全同態加密可以在密文域上實現與明文域上相同的加法和乘法運算，并由于加法和乘法運算在有限域上功能是完整的，因此可實現使用這2個原子運算來構造的任意函數的同態計算.表2總結了具有代表性的公鑰全同態加密方案(其中前2種BGN方案[41]和Armknecht等人提出的方案[42]是一定程度的同態加密方案SWHE).

首先，一定程度同態加密(somewhat homo-morphic encryption, SWHE)可以對密文執行有限次的加法和乘法運算，可認為是一種功能受限的全同態加密.如BGN密碼系統[41]支持有限數量的加法同態運算，并且僅支持一次乘法同態運算.Armknecht等人[42]基于編碼理論問題提出了一種SWHE方案，它允許在任意有限域上進行任意次數的加法和固定次數的乘法運算.但是，該方案的密文大小隨預期的加密總數呈指數增長.盡管SWHE同時支持加法和乘法，但是所允許的運算數量是有限的，因此只能用于小規模的程序電路運算場景.

作為安全計算的高級解決方案，公鑰全同態加密(fully homomorphic encryption, FHE)允許對密文進行無限次數的任意操作(包括任意次數的加法和乘法運算).2009年，Gentry[43]首次提出了FHE，他先構造了SWHE方案，并使它可引導.也就是說，該方案在解密之后還可以執行至少一次的同態操作.但是Gentry和Halevi的文獻[44]中指出，基于文獻[43]的全同態加密方案需要對明文消息逐位加密，計算開銷非常巨大，所以無法直接用于邊緣計算底層資源受限的本地設備.盡管隨后提出了幾種改進和優化方法[45-46]，但就計算開銷和密文擴張而言，這些方案對于邊緣計算隱私保護應用仍然不切實際.此外，Gentry等人[47]還提出了一種新的近似特征向量方法，以使同態加法和乘法運算更加有效.之后由Brakerski等人[48]根據帶錯誤的學習(learning with errors, LWE)問題構造了另一種FHE方案.近年來，Halevi等人[49]建立了一個名為HElib的FHE算法庫，以實現上述的密碼系統和自引導方法[50].Brakerski等人[51]建立了一個新的有效工具來減少密文噪聲.為了更有效地存儲數據，Smart等人[52]構造了一種FHE新技術，該技術允許將多個密文值打包為單個密文，并以單指令多數據(SIMD)方式對這些值進行操作.

為了進一步提高FHE的計算和通信效率，Ducas等人[53]構建了具有有效自引導功能的FHE方案.Chillotti等人[54-55]給出了2種改進的自引導方法，以使FHE方案切實可行.Meaux等人[56]結合分組密碼和流密碼評估的優勢，設計了一種有效的FHE方案，該方案具有密文的低噪聲性質.Brakerski[57]提出了一種量子FHE(quantum FHE, QFHE)方案，該方案提出在量子多項式時間內可計算的函數.在多項式量子電路中，同態計算的誤差會成倍地減小.Boneh等人[58]基于帶錯誤的學習假設構造了閾值FHE(threshold FHE, ThFHE)方案，此外ThFHE還給出了閾值密碼系統的通用框架.由于FHE的天然優勢(所有計算都可以在某個半可信的服務器中執行)，因此許多基于FHE算法的應用程序都被設計出來，例如關聯規則挖掘[59]、私有信息檢索[60]和臨床決策支持系統[61].雖然上述國內外關于公鑰全同態加密(FHE)的輕量化工作取得了顯著成效，但其高計算、存儲和通信開銷仍然無法滿足邊緣計算系統中資源受限的本地設備的客觀性能需求，成為基于FHE的隱私保護外包計算獲得廣泛應用的嚴重障礙.

Table 2 Typical HE Schemes and Their Security Assumptions

2.2.3 安全多方計算

安全多方計算(secure multi-party computation, MPC)是指一種在多用戶間進行的安全計算的協議，其中多個參與方共同對他們的輸入數據進行計算，同時保持各個輸入數據為私有.MPC是密碼學中的一個熱門話題，自Yao提出百萬富翁協議[62]以來，它已經被研究了二十多年.Yao的百萬富翁問題描述了這樣一種情況：假設有2個整數a(來自參與方A)和b(來自參與方B)，目的是獲得這2個整數之間的大小關系，但不向對方透露各自擁有整數的實際值.

Yao[63]首先描述了基于混淆電路(garbled circuit)的MPC的思想，通過門電路的組合來構造通用的MPC.在這種設計中，參與方A首先創建了一個“混淆電路”，并將該電路發送給另一方B.然后B將他的輸入放入電路中計算并將結果返回給A.通過這樣交換一些信息，雙方會知道計算結果，但不知道另一方的輸入.然而Yao的論文沒有提供有關如何構建該通用電路的詳細信息.后來，在雙參與方的情況下高效的混淆電路技術被提出[64]，以節省運行時間和存儲空間.盡管雙參與方的混淆電路取得了成功，但多方安全計算進度卻比兩方的情況要慢得多.減少多方計算中的輪復雜度一直是MPC研究中的重點.Beaver等人[65]設計了一種用于常數輪的多方安全功能計算的方案(由n個參與方(n≥2)組成，每個方都具有私有輸入xi(1≤i≤n)).n個參與方希望在不暴露輸入值的同時共同計算函數f(x1,x2,…,xi).Ben-Efraim等人的研究[66]表明，通過多方混淆電路，對于半誠實的敵手，可以在常數輪的安全多方計算達到較好的表現.然后這項工作提出了一種構建混淆電路的新方法，對于大量參與方而言，每個門僅需進行常數次的操作即可對其進行運算.

Wang等人[67]通過一個計算方預處理消息的方法實現了一個常數輪的多方計算協議，且在惡意敵手模型下安全.Zhu等人[68]在Wang的方案的基礎上運用動態規劃進一步提升了安全多方計算的效率.Ananth等人[69]基于DDH假設提出了一個5輪的多方計算協議，并基于混淆電路提出了一個4輪的多方安全計算協議.Badrinarayanan等人[70]通過單項函數來實現了無狀態令牌模型下的3輪的多方計算，并證明了在UC模型下安全.Mukherjee等人[71]在隨機字符串模型下提出了一個通用的2輪多方計算協議的構造.在有錯誤學習(LWE)假設下達到了半可信參與方模型下安全，在非交互式零知識證明的假設下達到了惡意敵手模型下安全.Boyle等人[72]使用了逐位的不經意傳輸，提出了一個2輪的交換群內的多方計算協議.Garg等人[73]通過減少使用不經意傳輸，用更多的單項陷門來代替，以減少公鑰密碼使用次數，來構造了高效的2輪多方安全計算協議，且在半可信和惡意敵手模型下都保證了安全性.Benhamouda等人[74]通過提出了一個交互式混淆電路，構造了通用的方法來使用k輪的不經意傳輸構造k輪的多方計算.

除了減少輪復雜度，很多工作關注于安全多方計算的安全等級，比如在不同敵手的門限數量的情況下保證安全性以及可用性.Coretti等人[75]優化了異步傳輸中的多方安全計算的輪數，在惡意敵手模型下達到了t

由于很多現實應用都需要多參與方共同進行計算，大量參考文獻使用混淆電路方法來設計用于實際應用的協議，例如生物識別[86]、私有線性分支程序[87]、保護隱私的遠程診斷[88]和人臉識別[89].但是，這些方案仍然需要很高的計算量和多輪的通信復雜度[90].

MPC的另一種構造方法是基于秘密共享的協議，該協議使用秘密共享(secret sharing)技術生成隨機份額，并將份額分配給不同的參與者，并且參與者共同交互地計算目標函數.秘密共享(由Shamir[91]和Blakley[92]首先提出)可以將機密信息分割并分配給一定數量的擁有者，只有在聚集了足夠多的擁有者的情況下，才可以聯合執行解密.Ben-Or等人[93]和Chaum等人[94]提出了安全計算任何函數的協議.他們都設計了以(可驗證的)秘密共享形式對秘密值進行加法和乘法(XOR和AND)運算.依靠每個門上的加法和乘法運算，就可以逐個門計算任何函數.基于通用秘密共享的MPC協議往往比解決專門函數的多方計算協議的效率低，這有2個原因.首先，通用電路通常很大;其次，乘法子協議效率很低，因為它需要大量的交互.因此，一系列研究集中于為特定函數開發有效的MPC協議.Damg?rd等人[95]提出了基于通用秘密共享機制的用于比較、相等性測試和位分解操作的通用協議.Nishide和Ohta[96]構建了更高效的協議，用于求解2個數的大小關系，而無需依賴位分解協議.后來Dinur等人[97]通過分布式離散對數問題構造了一個同態的秘密分享協議.除此之外，很多擁有特定安全屬性的多方計算方案被提出，比如隱藏輸入輸出大小[98]、威懾合謀的敵手[99]、隱藏網絡拓撲結構[100].很多工作聚焦于方便其他學者設計的MPC方案，比如Eldefrawy等人[101]設計了一套代碼EasyCrypt，可以讓機器自檢多方安全計算的安全性及效率，Agarwal等人[102]提出了一組叫做CPS的代數結構來更方便地進行多方安全計算.還有很多針對特定功能的更有效的MPC協議也被提出了，例如安全的多方乘積[103]、標量乘積[104]、排序[105]、矩陣分解[106]和集合求交[107]等.這些協議已用于隱私保護的多方數據挖掘[108]、多方科學計算[109]、數據庫查詢[110]、幾何計算[111]等.

2.2.4 全同態數據封裝機制

基于數據擾動的邊緣計算隱私保護方案雖然采用了較高效的盲化技術，但無法保證外包計算結果的準確性.在基于公鑰全同態加密技術實現的邊緣計算隱私保護中，存儲、計算、通信資源受限的本地設備需要用公鑰全同態加密去加密其采集的每一個數據，違背了混合加密的基本原則，且本地設備執行公鑰全同態加密運算的次數與數據量的大小n成線性關系(計算復雜度為O(n))；其數據安全(包括本地設備采集的輸入數據隱私和計算結果隱私)僅達到選擇明文安全(公鑰全同態加密由于其密文具有延展性，無法達到適應性選擇密文安全).在基于安全多方計算的方案中，多個邊緣節點間較高的通信開銷與輪復雜度又成為了邊緣計算隱私保護輕量化的瓶頸.

為了解決上述問題，Cao和Zhou等人[112]提出了不依賴傳統的公鑰全同態加密技術，通過減少公鑰加密使用次數構造輕量級安全外包計算新理論構想、總體實現思路和方法.具體而言，依據邊緣計算節點存儲、計算資源受限、自組織和通信范圍有限等特點，形式化刻畫了基于邊緣計算的物聯網中的隱私保護外包計算的安全模型.在此基礎上，不利用公鑰全同態加密技術，通過離線狀態下一次任意單項陷門置換與在線狀態下僅包含簡單加法、乘法運算的對稱加法同態映射，設計了高效的安全外包數據聚合方案.

在安全性方面，該方案中由于本地設備提交給邊緣節點的數據密文中包含了對隨機數(該隨機數用于帶密鑰的對稱全同態映射加密數據本身)的任意單向陷門置換這一密文項，由于該密文項是不具有全同態性質的，而邊緣計算是在針對數據加密的對稱全同態映射上進行，因此其外包計算結果可達到適應性選擇密文安全.在性能方面，本地設備僅在離線狀態下執行了一次任意單向陷門置換(其計算開銷相當于一次任意公鑰加密)，對大批量的n個數據實現批量加密，因此其公鑰加密使用次數復雜度為O(1)，與本地設備采集的數據大小無關.該方案解決了國際著名密碼學家Gentry[113]團隊在國際三大頂級密碼會議之一美密會上提出的“如何利用比全同態加密更高效的密碼原語設計可驗證安全計算(our work leaves open several interesting problems. It would be desirable to devise a verifiable computation scheme that used a more efficient primitive than fully homomorphic encryption.)”這一挑戰性公開問題.同時，進一步將上述理論與方法應用到基于邊緣計算的物聯網中，解決了輕量級數據包安全傳輸與高效的隱私保護認證兩大問題.

針對邊緣計算的隱私保護，國內外學者更關注如何在多服務器架構下構造輕量級的隱私保護外包計算協議.Zhou等人[114]在合作且不合謀的雙服務器架構下，提出了一個輕量級的多用戶、多數據安全外包計算協議，并在此基礎上研究無線車聯網的高效數據包認證協議.車聯網的位置服務有助于基于地理位置的社交網中的信息獲取，認證保證了基于位置服務信息的有效性與不可偽造性.然而，由于車聯網通信中存在大量的冗余信息與無用信息、周期性分發認證密鑰導致的高認證開銷、基于消息標識碼過濾的不徹底性和公鑰全同態加密使用等原因，使得現有的認證協議無法滿足資源受限的車載設備的性能需求或不適應于車聯網對實時控制的需求.作者不利用傳統的公鑰全同態加密技術，在不合謀的雙服務器假設下，首先提出了一個高效的多密鑰安全外包計算協議MSOC.然后，基于MSOC，在無需用戶與服務器在線交互的前提下，設計了一個高效的隱私保護整數比較協議LSCP.再次，基于MSOC協議，設計一個高效的隱私保護信息過濾系統，在執行位置服務消息認證前過濾了冗余和無用信息，從而構造了最終的輕量級隱私保護認證協議LPPA.車載用戶的位置隱私、興趣隱私得到有效保護，可抵抗路側單元和半誠實服務器(或密碼服務提供商)發起的合謀攻擊.尤其值得一提的是，所構造的MSOC方案中密文具有可重隨機化性質，從而進一步保護了車載用戶的興趣模板隱私，即敵手對2個不同車載用戶是否對同一條位置服務信息感興趣這一事實計算不可區分.

2.2.5 可驗證與可審計

在惡意敵手模型中，無論是理性的邊緣節點為了從本地設備獲得更多外包計算收益從節省計算資源的角度出發，還是被敵手俘獲的邊緣節點都可能將錯誤的計算結果返回給計算任務請求方.另一方面，邊緣節點在網絡邊緣代表上層云服務器向用戶提供分布式計算服務，云服務器也關心邊緣節點是否向用戶提供了正確可信的計算結果.因此，計算結果的正確性驗證對于用戶和云來說都是非常重要的.如果沒有檢查返回結果正確性的機制，云服務器可能不愿意將計算任務分攤給邊緣節點，當用戶無法訪問邊緣節點提供的服務時，意味著邊緣計算分流失敗.如何在實現邊緣計算數據隱私保護的基礎上保證外包計算結果的正確性可驗證與可審計成為具有挑戰性的研究熱點.

Gennaro等人[115]引入了可驗證計算的概念，并設計了一種基于混淆電路的非交互式可驗證計算方案[116].Chung等人[117]利用全同態加密方案構造了一個使用較小公鑰的非交互式可驗證計算方案.此外，Parno等人[118]設計了一種基于CP-ABE的公開可驗證計算方案，Papamanthou等人[119]提出了一種云環境下新的動態計算驗證模型.為了支持多用戶系統，Choi等人[120]提出了一種使用代理無關傳輸方案的多用戶非交互式可驗證計算方案.Gordon等人[121]利用ABE、全同態加密和混淆電路構造了一個多用戶可驗證的計算方案.Elkhiyaoui等人[122]提出了一種有效的公開可驗證的計算委托，Zhuo等人[123]采用可驗證計算技術設計了一種保護隱私的可驗證數據聚合移動眾包方案.

聚合簽名為實現邊緣計算結果高效可驗證與可審計提供了重要的研究思路.聚合簽名的工作原理如下：給定來自同一用戶的n個不同消息上的n個簽名，可以將這n個簽名聚合成一個簽名[124].為了實現用戶多個簽名的聚合，目前已提出了許多聚合簽名方案[125-126]來縮短簽名長度.其中，為了克服聚合簽名中的n個簽名只能來源于同一個用戶這一局限性，我們引入了多簽名[127]、順序聚合簽名[128]和同態簽名[128]等密碼原語，用來聚合來自n個不同用戶對同一消息的n個簽名.Ni等人[129]利用多密鑰同態簽名來聚合由多用戶對同一消息產生的多個簽名.然而，目前還沒有一種在無需多用戶預先共享秘密的前提下，使用多密鑰同態簽名來將n個用戶對n個不同消息的n個簽名實現高效聚合的方法；相信在這一方向的突破會對基于多輸入、多輸出的多用戶、多任務場景下的邊緣計算結果正確性高效可驗證與可審計問題提供有力的理論支撐.

上述邊緣計算結果的正確性可驗證方案主要通過Yao的混淆電路(garbled circuit)、雙線性配對或聚合簽名技術實現，因此計算開銷巨大.如果計算結果驗證的開銷大于外包計算任務請求方自身計算外包函數的計算開銷，則外包計算將違背其初衷.另一方面，在邊緣計算中，邊緣節點以分布式的方式協同執行用戶的計算任務.一個邊緣節點所得出的錯誤(中間)計算結果會擴散到鄰近的其他邊緣節點，從而導致錯誤結果的迅速累積直至最終外包計算結果正確性驗證失敗.因此，如何對邊緣計算的所有中間結果和最終結果進行及時驗證，以保證結果的正確性，并對輸出錯誤結果的邊緣節點進行快速有效追蹤與審計，仍然是值得關注的研究問題.

2.3 面向應用的隱私保護邊緣計算

本節將從2類基本函數、人工智能神經網絡、圖像處理、生物認證和密文搜索等應用場景出發，具體闡述邊緣計算的隱私保護在各類新興智能網絡服務中的應用密碼學研究.

2.3.1 基本函數的邊緣外包計算

基本函數是指解決基本算術問題的一些簡單操作，如集合運算、矩陣運算等.

1) 集合運算.集合通常被用作不同對象的容器.集合上的主要操作包括集合求交、集合求并，它們已作為基礎模塊應用于許多程序中，例如數據挖掘、圖形算法和推薦服務.本節主要討論集合交集、并集及其變體的外包方案.由于集合內的數據有時會涉及用戶隱私，因此需要保證集合元素運算結果正確性以及安全性.

集合求交是指在計算出多個集合之間的共同元素.在邊緣計算環境中，一個或多個客戶端共同計算并獲得交集結果，而其各自的集合保持私有狀態.邊緣節點有效地執行預設的相交操作，但無法得知集合中的任何信息.

Freedman等人[130]討論了半誠實和惡意對手模型中的安全的兩方集合相交協議，想法是將集合元素映射到多項式中，然后依靠同態加密方案在密文上進行運算.基于文獻[130]的思想，Dachman-Soled等人[131]描述了一種用于集合相交的魯棒協議，對惡意敵手的行為具有驗證能力.該算法還采用Shamir秘密共享技術，通過k階多項式共享服務器的集合，其中k是安全參數.為了驗證最終結果的正確性，服務器和客戶端在服務器集合上共同運行了一個切割選擇協議.最終，客戶端正確地獲得自己集合和服務器集合的交集.

除隱私和正確性要求外，效率也是集合運算中要考慮的重要因素.Yang等人[132]利用RSA密碼系統的乘法同態性質提出了一種高效的集合相交協議，在半誠實模型下安全.該協議假設2個不同的參與方(即A和B)擁有各自的私有集，這些私有集已加密并外包到云中.當一方A嘗試獲取其集合的交集結果時，他向另一方B發送請求信號.如果B同意參與該集合交集，則他將向云發送許可消息和一些必要的信息.由于具有同態屬性，云服務器對加密的集合進行操作，并將交集結果(也是加密形式)返回給A.最后A解密結果并恢復交集，而不會知道B的私有集的信息.客戶端上的計算僅涉及幾個簡單的模塊化乘法.如果有多個客戶端(每個客戶端都擁有一個秘密集合)，則云服務器將在從客戶端那里接收到許可消息后，在所涉及的加密集合之間執行集合相交操作.Chen等人[133]利用分層的FHE方案構造了一個私有集求交協議.通過組合各種優化技術(例如批處理和散列技術)，大大降低了通信和計算成本，并證明了在半誠實模型下安全.除了用多項式來表示集合，Ruan等人[134]將集合表示為向量，集合相交運算由此轉換為向量運算.Zhu等人[135]基于GM密碼系統構造了另一個基于Bloom過濾器的集合表示形式.該協議允許多個客戶端外包其集合并獲得集合相交結果，而無需透露其私有集合.

2) 矩陣運算.矩陣乘法是2個矩陣之間的運算，無論在特定應用程序中還是其他矩陣運算中，矩陣乘法通常被用作構造塊.在矩陣乘法的外包方案中，假設矩陣A和矩陣B是輸入矩陣，則在服務器端進行計算之后，客戶端將以最小的開銷得到C=AB的結果.服務器將永遠不會知道原始輸入矩陣或最終的乘法結果.當對n×n維矩陣進行運算時，矩陣乘法公認的理論上限為O(nω)(ω?2.38).但是，在實際運用中，計算復雜度通常接近O(n3).

在許多工作中都研究了具有可驗證屬性的矩陣乘法外包方案.Mishra等人[136]采用了一種新穎的矩陣包裝方法，提出了一種高效的安全矩陣乘法方案.在該協議中，將輸入矩陣的條目打包為一個多項式，并使用SWHE[137]方案進行加密.在該協議中，2個矩陣之間的乘法只需要對密文進行一次同態乘法運算.由于文獻[136]僅支持2個矩陣之間的乘法運算，為了改進這一點，Mishra等人[138]基于BGV密碼系統，進一步提出了多矩陣乘法.另外，該方法是在HElib下實現的，具有很高的效率.Lu等人[139]也提出了一種具有更高效率的安全矩陣乘法協議.為了減少計算和通信的開銷，引入了幾種優化方法.一方面，使用中國剩余定理(Chinese Remainder Theorem, CRT)設計了一種高效的打包技術，以單次同構運算為代價來計算一批內積.另一方面，在協議的開頭構造了一個預先計算的表，并由客戶端多次重用，從而大大減少了客戶端的工作量.實踐證明，該方案并發性也很高.Benjamin等人[140]設計了將矩陣乘法分配給2個云服務器的協議.每個輸入矩陣都隨機分成2個份額，分別外包給2個服務器.為了保持強大的可驗證性，Atallah等人[141]通過擴展Shamir的秘密共享和語義安全的AHE方案的組合技術，提出了一種僅使用一個服務器的改進解決方案.Mohassel[142]基于不同的HE方案分析了委托同態矩陣乘法的有效性.他們的工作證明了如果采用的HE方案滿足2個屬性(即關聯性和獨特性)，則可以用O(n2)復雜度驗證計算結果.

上述隱私保護的基本函數計算協議[136-142]大多利用公鑰(全)同態加密技術實現，其巨大的計算開銷和密文擴張無法滿足邊緣計算場景中存儲、計算和通信資源受限的本地設備的性能需求和適應性選擇密文安全性.為了解決該問題，Zhou等人[143]構造了各類輕量級隱私保護外包信號處理協議.密文域上的信號處理使得外包計算環境中，在保持大規模信號分析與處理結果精確性的前提下，對不可信的云服務器和未授權用戶保護敏感的信號消息.國內外現有工作大多采用Paillier公鑰加法同態加密技術對輸入信號逐一進行加密，為資源受限的用戶本地帶來了巨大的計算開銷，且無法對信號處理結果的授權接收方有效保護每一個輸入信號的隱私.該方案不利用公鑰同態加密算法，提出了一個高效的隱私保護外包離散小波變換協議PPDWT(包括PPDWT-1和PPDWT-2兩個子協議).具體而言，PPDWT-1協議中的信號輸入隱私能有效抵抗半誠實的云服務器和未授權用戶發起的合謀攻擊；PPDWT-2協議中的信號輸入隱私和小波變換系數隱私均能有效抵抗上述合謀攻擊.所構造的協議PPDWT利用離線狀態下一次任意單向陷門置換運算對輸入信號進行批量加密，并實現密文域上的信號處理.僅授權用戶(即小波變換外包計算任務請求方)能成功解密離散小波變換的結果.國內外現有的利用公鑰同態加密技術實現的協議在用戶端的計算復雜度是O(|l|)(其中l是輸入信號的大小)，而該協議在用戶端的計算復雜度為O(1).此外，作者還進一步討論了隱私保護信號處理中擴張因子對結果精確度影響的上限，以及在隱私保護離散傅里葉變換與余弦變換上的方案擴展，并在UC通用組合安全模型下形式化證明了所構造協議PPDWT的安全性.

2.3.2 人工神經網絡

機器學習(machine learning)極大地推動了人工智能的發展.機器學習的框架模擬生物大腦中的神經系統，包含一組連接的單元或節點.在輸入和輸出層之間具有多個隱藏層的神經網絡被稱作深度神經網絡(deep neural network, DNN).遞歸神經網絡(recursive neural network, RNN)和卷積神經網絡(convolutional neural network, CNN)是DNN的兩大類型.為了降低本地設備用戶的計算開銷與通信開銷，通常在邊緣節點和云服務器進行模型訓練和分類、回歸等各種預測評估.如果說基于單一云服務器的外包計算可應用于傳統的隱私保護機器學習，則基于邊緣計算的外包計算模型則與隱私保護的聯邦學習存在天然對應關系.

圖5表明了邊緣計算場景下的隱私保護聯邦學習(Edge-AI)框架，主要由4個步驟組成：1)本地用戶將加密數據集發送給負責本區域數據處理的邊緣節點；2)邊緣節點在密文域上執行本地訓練過程，獲得并將加密的局部參數發送給上層云服務器；3)云服務器聚合加密的局部參數，獲得加密的全局參數并返回至各邊緣節點；4)各邊緣節點重復多輪密文域上的模型訓練，直到滿足訓練目標為止(如滿足特定的預設損失函數要求).雖然聯邦學習與傳統的機器學習相比，由于本地用戶的數據集并未直接上傳到云服務器，實現了一定程度的隱私保護；然而，敵手仍可以通過竊聽信道中傳輸的模型參數來推導用戶數據集的構成，從而發起成員推理攻擊.此外，惡意本地用戶還企圖上傳惡意數據來破壞模型訓練的準確性.最終，由于邊緣節點和云服務器通常工作在半可信或惡意敵手環境中，用戶的數據集隱私及其合法性、模型參數隱私和預測評估結果隱私均應實現有效保護.

圖5 邊緣計算聯邦學習隱私保護框架Fig. 5 Framework of privacy preserving in edge-based federated machine learning

Xie等人[144]和Gilad-Bachrach等人[145]實現了加密數據上神經網絡的隱私保護預測.在該協議中，客戶端將加密的樣本特征(通過HE算法)發送到云中，以根據訓練后的模型進行預測.輸入數據和預測結果均對云服務器保密.Ma等人[146]提出了第一個完全非交互的(在云服務器和客戶端之間)神經網絡預測方案.在協議中，使用秘密共享技術將訓練后的模型分為2個隨機部分，然后分別將其發送到2個非競爭服務器.由于加法同態性，服務器在客戶端的輸入數據(通過Paillier方案加密)上交互地應用神經網絡，并將加密的預測份額返回給客戶端.最后，客戶端通過組合結果份額來解密并恢復其數據樣本的相應預測.他們的方案中，客戶端的計算與通信開銷是獨立的，與模型的大小無關.

文獻[144-146]這3個工作假設神經網絡模型是已經訓練好的，僅關注預測階段.而Hesamifard等人[147]主要考慮神經網絡的訓練階段，實現了安全地對加密數據運行CNN算法的方案.為了突破HE算法的局限性，該協議使用低階多項式來近似激活函數，并使用近似多項式來訓練CNN模型.然后，在加密數據上運行訓練后的模型以進行預測.Tang等人[148]提出了一種具有安全保證和高精度的分布式深度學習方案.在該協議中，數據請求者將加密的梯度外包給數據服務提供商，以進行新一輪的模型權重更新.采用新的參與者(即密鑰變換服務器)對加密的梯度進行重加密.同時，數據服務提供商使重新加密的梯度具有加法同態性，并對密文執行更新計算.最后，每個數據請求者獲得更新的權重并將其解密.在該算法中，為了實現隱私性，增加了額外的通信成本.Shamsabadi等人[149]使用全同態加密以及多方安全計算方案提出了一種分布式的隱私保護的機器學習訓練及預測方案.

國內外現有的隱私保護機器學習工作大多利用公鑰全同態加密或安全多方計算技術完成，導致高額的計算開銷與密文擴張，且要求用戶與服務器之間進行多輪在線交互.為了解決該問題，Zhou等人[150]首先提出了一個高效的單密鑰全同態數據封裝機制SFH-DEM；然后基于該機制，設計了一系列可用于隱私保護機器學習模型訓練與計算的原子計算協議，如密文域上的多元多項式計算協議、非線性激活函數計算協議、梯度函數計算協議和最大值計算協議等；最終，在離散神經網絡中提出了一個輕量級隱私保護的模型訓練與計算協議LPTE，同時還進一步給出了擴展到加密域上卷積神經網絡的具體方法.形式化安全性證明表明所構造協議在半誠實敵手模型下能有效保護用戶的數據集隱私、模型訓練隱私和模型計算結果隱私；在MNIST數據集上的實驗結果表明，其所構造的LPTE協議用于離散神經網絡中隱私保護的手寫數字識別時，比同類方案相比，具有更高的準確性與高效性.

2.3.3 圖像特征提取與匹配

圖像特征提取與匹配在圖像分析、處理和識別過程中都必不可少.它的主要目的是從原始圖像數據中提取有用的特征，以作為分析圖像的重要依據.圖像提取算法已經發現了廣泛的應用場景，如基于云的電子醫療系統[151]和生物識別系統[152].國內外隱私保護的圖像特征提取算法主要集中在4類特征：尺度不變特征變換(SIFT)[153]、加速魯棒特征(SURF)[154]、定向梯度直方圖(HOG)[155]和位置上下文描述子(shape-context)等.

SIFT[162]是一種用于檢測和描述圖像局部特征的算法，具有強大的抗攻擊特征點檢測能力.Hsu等人[156]利用Paillier加法同態加密算法，提出了安全可靠的SIFT計算外包協議，實現了SIFT特征在加密域中的提取和表示.該算法包括4個主要部分：高斯差分(DoG)變換、特征點檢測、特征描述和描述子匹配.在這基礎上，Hsu等人[157]進一步探索了一個類似的基于公鑰同態加密的安全SIFT外包方案.該算法基于離散對數問題和RSA問題，對純密文攻擊(cybertext only attack, COA)和已知明文攻擊(known plaintext attack, KPA)是安全的.然而，文獻[156-157]從隱私角度引入了很大的計算復雜性和一定的不安全性[158].為了消除這些限制，Hu等人[159]提出了一種高級協議.與用Paillier密碼系統加密初始圖像不同，該工作將原始圖像分成2個隨機共享串，并將加密后的子圖像上傳到2個獨立的云服務器上.采用SWHE方案和SIMD批處理技術對比較過程進行了改進.此外，隱私保護SIFT方案很好地保留了原始明文上SIFT方案在顯著性和魯棒性方面的重要特性.為提供更強的隱私，Li等人[160]利用文獻[161]的部分解密Paillier密碼體制，提出了另一種安全的SIFT特征提取方案.為了進一步減少公鑰(全)同態加密給資源受限的本地設備帶來的巨大開銷，Zhou等人[151]基于任意單向陷門置換提出了隱私保護的整數比較協議，并在此基礎上構造了密文域上輕量級的基于SIFT的圖像特征提取與匹配協議.

SURF[162]被認為是SIFT的增強版.與SIFT相比，它可以更快地執行，并且對不同的圖像變換更加健壯.SURF算法的步驟和原理與SIFT算法基本一致，但在尺度空間、特征點檢測和方向確定、特征描述符等方面存在一些差異.比如說，SIFT算法通過找到DoG域中的極值點來作為特征點提取，而SURF算法通過計算所構造的Hessian矩陣的行列式進行特征檢測.Bai等人[163]提出了一種在加密域中執行的SURF特征提取外包解決方案.通過Paillier密碼系統的性質來進行密文上的計算.但是，由于操作需要客戶端和服務器之間的多個交互，因此會產生相當大的通信開銷.除此之外，它也很難保存原始SURF的主要特征.基于這些觀察結果，Wang等人[164]設計了一個實用的SURF計算外包協議，它使用2個非共謀服務器來共同計算輸入圖像的加密特征描述符.在該算法中，基于SWHE和SIMD技術設計了高效的乘法和比較操作交互子協議，不僅支持安全計算，而且降低了整體通信開銷.

HOG是計算機視覺和圖像處理中廣泛應用的另一種圖像特征描述子，它是通過計算局部區域的梯度方向直方圖而形成的.Wang等人[165]為HOG計算設計了安全的外包方案.該工作介紹了加密域中HOG計算的2種不同模式下的隱私保護協議：單服務器和雙服務器設置.在單服務器模式下，利用SWHE與SIMD技術相結合對原始圖像進行加密，達到了安全和高效的雙重要求.加密的特征描述符被安全地計算并返回給客戶端.對于雙服務器模型，首先將圖像隨機分成2個共享，然后將加密的共享分別發送到2個獨立的服務器.之后，2臺服務器共同計算各自的加密特征描述符.在最后一步中，客戶機解密并恢復組合從服務器返回的這2部分的功能描述符.利用一種更有效的同態方法(即向量同態加密(VHE)[166])，Yang等人[167]還提出了一種隱私保護的HOG特征提取方案.直接對圖像矢量進行加密，可以很好地應用于圖像處理.基于一個FHE方案，Shortell和Shokoufandeh[168]還設計了一個安全框架，使SURF和HOG計算能夠在加密域中進行.在協議中，SURF和HOG任務分別在有理數和固定點二進制數上實現.實驗評估表明，這些解決方案[165-167]達到了與原始HOG解決方案相當的性能.

2.3.4 生物認證

生物特征認證是一種利用人類固有的生理和行為特征進行身份識別或訪問控制的技術.通過比較目標樣本和數據庫中樣本之間的生物特征，如果比較結果在一定閾值范圍內，系統就可以成功地識別出對應個體.

Chun等人[170]利用加法同態加密與Yao混淆電路混合方法提出了一種隱私保護方案，將生物特征認證的任務外包.這項工作使用云服務器存儲加密的生物特征數據，并使用另一個獨立服務器保存解密密鑰.這2個服務器在協議期間交互操作，它們都不會學習敏感的生物特征信息和中間結果.然而，由于2臺服務器之間的通信成本昂貴，該方案并不實用.Yasuda等人[171]利用公鑰SWHE提出了隱私保護的模式匹配協議，并在DNA序列上實現了安全的通配符模式匹配(即可以在查詢的模式中包含通配符)，該協議具有良好的性能和較低的通信復雜度.

Sedenka等人[172]引入了另一種生物特征認證外包方案，該方案使用可擴展的Manhattan和Euclidean驗證器，首先提出了一種基于Yao混淆電路方法的算法，然后將其改進為一種基于加法同態加密的隱私保護方案.為了提高認證的準確性，作者采用了主成分分析(principal component analysis, PCA)的思想，但增加了計算和通信的開銷.為了獲得更好的效率表現，Hu等人[173]分別針對單服務器和雙服務器(假設2個服務器是非共謀)模型描述了2種不同的外包生物識別任務的解決方案.單服務器協議使用對稱密鑰加密方案和數學變換來盲化數據.在協議的末尾，服務器對輸入記錄和數據庫記錄之間的歐幾里德距離進行排序，并將最近的記錄返回給客戶端.而雙服務器協議采用了與SIMD模型相結合的公鑰SWHE方案，實現了更高的安全標準.在同態計算完距離后，服務器將索引轉換為帶有輸入記錄最小距離的置換索引返回給客戶端.因此，結果的實際索引及其相關距離對于服務器來說是未知的.對于半誠實模型，前者在已知樣本攻擊(known sample attack, KSA)下是安全的，而后者在已知明文攻擊(KPA)下實現安全.Salem等人[174]提出了一種保護隱私的生物識別系統，能同時滿足數據安全和驗證能力的要求.根據加法同態的性質，對加密后的特征進行識別.此外，客戶端還增加了一項真假生物特征數據檢測任務，增強了系統結果的完整性和正確性.

在體域網(body area network)中基于生物特征的輕量級隱私保護可認證密鑰協商協議是近年來國內外的研究熱點之一.體域網已被廣泛采用于電子醫療服務中，用于有效地實時監測病人的健康狀況和各類應急處理.具有即插即用和透明性的密鑰協商協議是在人體傳感器之間建立安全通信信道不可或缺的重要密碼原語.現有的工作主要利用模糊保險庫技術，允許部署在同一個人體上的傳感器節點間以較高的概率建立安全的密鑰對.其中真實的生物特征點數據和為了隱私保護加入的噪聲點數據從概率多項式時間能力的敵手的角度不可區分，但同時因處理大批量的噪聲冗余數據帶來了巨大的額外開銷.為了解決該問題，Zhou等人[175]設計了輕量級的隱私保護集合求交集協議，并在次基于上構建了一個體域網中安全高效的基于生物特征的確定性密鑰協商協議.其安全性可歸約至單向陷門函數求逆的困難問題，而不依賴于其他方案中采取的模糊保險箱的大小.與同類方案相比，該方案具有更強的容侵性，以及更少的存儲空間、計算和通信開銷.

2.3.5 密文搜索

密文搜索是我們日常生活中經常使用的加密數據庫最為重要的應用之一，它能在保護用戶查詢隱私和數據文件隱私的前提下返回包含特定關鍵詞的數據文件.

圖6 邊緣計算密文搜索隱私保護框架Fig. 6 Framework of privacy preserving in edge-based encrypted search

圖6是邊緣計算密文搜索隱私保護框架.通常，一個密文搜索協議包含4個步驟：1)數據擁有者將加密后的數據文件上傳至邊緣節點或云服務器；2)查詢用戶向數據擁有者申請并獲得針對指定關鍵詞的搜索令牌；3)邊緣節點或云服務器收到搜索令牌后，在密文域上進行相應文件查詢并返回查詢結果；4)查詢用戶驗證搜索結果的正確性并解密相應文件.

Hou等人[176]為了保護數據的隱私性，基于同態加密方案構造了2個搜索方案.但是系統只能查找與某個關鍵字匹配的數據，而不能同時查找多個關鍵字.在此基礎上，Hou等人[177]又提出了改進的協議版本，使服務器能夠匹配多個關鍵字.該工作利用同態加密技術設計了析取和合取的多關鍵字搜索算法.Yang等人[178]以隱私保護的方式實現了聯合關鍵字搜索，支持有限時間內的有效搜索授權.該系統能夠抵抗選擇關鍵字的時間攻擊和離線的關鍵字猜測攻擊.由于大多數方案只支持精確搜索或模糊搜索，Yang等人[179]從關鍵詞語義的角度描述了一個更實用的安全搜索解決方案.根據語義信息，系統將相關結果和語義相關關鍵字返回給用戶.

Yu等人[180]提出了一種2輪top-k多關鍵字檢索方案，該方案采用向量空間模型(VSM)表示文件，并采用改進的FHE方案[181]對索引陷門進行加密.當接收到多關鍵字查詢時，服務器計算文件關聯分數(取決于術語頻率反向文檔頻率(TF-IDF)[182]的規則)，并將加密后的分數返回給客戶端.然后，客戶端解密分數并在本地執行top-k排序算法.最后，客戶機將k個得分最高的標識符發送到服務器，并訪問它們相應的標識符.然而，由于FHE的效率限制，該系統不適用于大規模加密數據的實際應用.Strizhov等人[183]也實現了一個多關鍵字搜索系統，返回的結果按分數排序.該方案達到了最優的次線性搜索時間，并且對自適應選擇關鍵字攻擊(CKAs)是安全的.Zhang等人[184]設計了一個具有驗證能力的安全排名關鍵字搜索方案，一旦服務器行為異常，很可能會被檢測到.Yang等人[185-187]利用帶門限解密的Paillier密碼體制，提出了多關鍵字搜索的安全top-k排名系統.在文獻[186]中，查詢的關鍵字中允許使用通配符.此外，關鍵字可以由邏輯運算符AND或OR連接.通過使用標準編碼技術(即Unicode[188])，文獻[185]的系統能夠以任意語言搜索加密數據.此外，客戶可以設置查詢關鍵字的偏好分數，以獲得更滿意的結果.對于更具表現力的查詢，文獻[187]支持不同的查詢模式，例如單合取關鍵字查詢和混合布爾查詢.在文獻[185-187]方案中，搜索多個數據所有者的數據只需要一個陷門.此外，還實現了可執行的搜索授權和撤銷.

隱私保護的模式匹配是密文搜索的重要功能之一.外包模式匹配是指資源受限的設備將“從文本T中找出所有模板P出現的所有位置”這一任務外包給云服務器完成.然而，它帶來了一系列安全與隱私問題.國內外現有的部分安全外包模式匹配協議僅能保護文本隱私或模板隱私；另一部分則利用計算開銷巨大的公鑰全同態加密、承諾協議和零知識證明協議實現文本隱私、模板隱私和匹配結果的可驗證，效率較低而不實用.為了解決該問題，Zhou等人[189]首先基于任意單向陷門置換和同態消息認證碼提出了一個高效的隱私保護可驗證外包離散傅里葉變換協議OVFT；基于OVFT，進一步設計了安全高效的可驗證外包多項式乘法協議OPVML；最終在此基礎上構造了輕量級可驗證的隱私保護外包模式匹配協議PVOPM.不利用傳統的公鑰全同態加密，給出的外包模式匹配協議對惡意云服務器和接收方發送方發起的合謀攻擊實現了文本隱私和查詢模板隱私，同時實現了模式匹配結果的正確性可驗證.所生成的匹配結果正確性驗證證據的大小和任意單項陷門置換的計算復雜度均為常數，與文本的長度n和查詢模板長度m均無關.

尤其需要指出的是，到目前為止國內外關于隱私保護數據聚合、隱私保護外包計算和面向應用的安全計算具體方案構造仍多基于云計算環境構建[190]，如何刻畫邊緣計算的隱私保護新安全模型與設計可證明安全的輕量級隱私保護邊緣計算協議仍是一個亟待解決的、具有挑戰性的研究課題.

3 總結與展望

本文首先介紹邊緣計算隱私保護的網絡模型與安全模型，并在此基礎上從邊緣計算的隱私保護數據聚合、隱私保護外包計算和包括隱私保護集合運算、隱私保護機器學習、隱私保護圖像處理、隱私保護生物認證、隱私保護的密文搜索等面向應用的安全計算問題3方面出發，基于數據擾動、同態加密和安全多方計算等密碼技術，對邊緣計算隱私保護領域的國內外最新研究成果進行了系統的闡述、總結與科學歸類.提出了在輕量化密碼原語的基礎上，通過減少公鑰密碼使用次數構造邊緣計算輕量級隱私保護的新理論和新方法，從而達到“一次加密、多次使用”和“一次驗證、多次有效”的輕量化目標.雖然，目前國內外基于傳統云服務的安全外包計算隱私保護已取得一系列重要研究成果，但針對邊緣計算的隱私保護仍有若干具有挑戰性的公開問題值得進一步研究.

1) 邊緣計算場景下敏感數據的識別問題.對特定邊緣場景中各類數據的隱私性進行有效甄別和度量，確定“哪些數據是敏感的，哪些數據是可以公開使用的”是實現邊緣計算輕量級隱私保護的前提和基礎.有些數據被認為是隱私數據，如位置信息、健康狀況和社會關系等；而有些則不是，如社會事件、道路交通狀況等.如何利用機器學習技術對用戶數據的敏感性進行智能分類與識別，成為邊緣計算中實現高效、安全的數據分析的關鍵問題.

2) 刻畫邊緣計算隱私保護的形式化安全模型.與傳統單一的云服務器場景不同的是，邊緣計算要求多個邊緣節點合作完成外包計算任務.因此，不可避免地存在多個邊緣節點合謀以及部分被俘獲的邊緣節點與惡意本地用戶設備間合謀的敵手模型.需要結合已有的安全多方計算成果，對其進行形式化地刻畫與建模.

3) 在傳統的云計算場景中，設計安全外包計算協議往往更側重于考慮本地資源受限用戶的性能需求，而較少考察資源豐富的云服務器端的存儲、計算與通信開銷.然而，地理位置部署于本地設備和云服務器之間的邊緣節點所具備的資源往往遠不如云服務器豐富.因此，如果一個邊緣節點執行過多復雜的運算，如雙線性配對和模冪運算等，必將導致較高的反饋延遲，從而違背了邊緣計算可實現實時控制的初衷.特別是對于實時性要求較高的應用，效率成為安全數據處理的關鍵問題.因此，設計一種能兼顧本地設備與邊緣節點的輕量級的邊緣計算隱私保護新方法實現數據的安全高效處理迫在眉睫.

4) 可驗證與可審計能有效保證惡意敵手環境下邊緣計算結果的正確性.然而，在邊緣計算中實現可驗證性比云計算中更具挑戰.一方面，外包計算的可驗證可能給邊緣計算帶來高延遲；另一方面，由于每個邊緣節點有自己的管理區域，移動用戶可能會頻繁地從一個區域移動到另一個區域，這導致不同區域的多個邊緣節點一起工作為用戶服務.因此，這些邊緣節點中的任何一個出錯，最終的結果都是不正確的.因此，如何及時對邊緣節點的中間計算結果進行高效驗證，并有效追蹤和刪除惡意邊緣節點是重要的研究問題.國內外研究者對屬性基加密中如何有效追蹤惡意私鑰泄露源以及在群簽名中如何有效追蹤簽名用戶已經有了一系列重要研究成果.因此，如何借鑒上述已有成果，設計高效可追蹤、可驗證的隱私保護邊緣計算協議是一個亟待解決的重要研究問題.

5) 邊緣計算的外包存儲與密文搜索問題是重要的研究課題.與傳統單一云服務器環境不同的是，同一份數據文件可能在多個邊緣節點存儲多個備份，因此如何實現高效的安全數據文件同步更新、添加、刪除等操作是值得考察的；此外，查詢用戶在本區域發起特定關鍵字密文搜索失敗時，如何設計多個邊緣節點間的聯合密文搜索也是一個具有重要理論意義與實際應用價值的問題.

6) 在輕量化密碼原語的基礎上，通過減少公鑰密碼使用次數構造邊緣計算輕量級隱私保護的新理論和新方法，在基于多輸入、多輸出模型的多用戶、多任務邊緣計算模型下設計輕量化隱私保一般性構造，從而達到“一次加密、多次使用”和“一次驗證、多次有效”的輕量化目標；實現邊緣計算的輕量級隱私保護理論在各類新興智能網絡服務中的多態化應用方法，提出滿足不同安全性和性能要求的個性化輕量級隱私保護邊緣計算新方案是一個極具挑戰的重要研究課題.