[論文レビュー] F1: A Fast and Programmable Accelerator for Fully Homomorphic Encryption (Extended Version)

Axel Feldmann, Nikola Samardzic+7 more|arXiv (Cornell University)|Sep 11, 2021

Cryptography and Data Security参考文献 66被引用数 25

ひとこと要約

F1は、完全なFHEプログラムを高スループットで実行する最初のプログラム可能FHEアクセラレータであり、ソフトウェアを大幅に上回り、リアルタイムの安全なクラウド推論を実現します。

ABSTRACT

Fully Homomorphic Encryption (FHE) allows computing on encrypted data, enabling secure offloading of computation to untrusted serves. Though it provides ideal security, FHE is expensive when executed in software, 4 to 5 orders of magnitude slower than computing on unencrypted data. These overheads are a major barrier to FHE's widespread adoption. We present F1, the first FHE accelerator that is programmable, i.e., capable of executing full FHE programs. F1 builds on an in-depth architectural analysis of the characteristics of FHE computations that reveals acceleration opportunities. F1 is a wide-vector processor with novel functional units deeply specialized to FHE primitives, such as modular arithmetic, number-theoretic transforms, and structured permutations. This organization provides so much compute throughput that data movement becomes the bottleneck. Thus, F1 is primarily designed to minimize data movement. The F1 hardware provides an explicitly managed memory hierarchy and mechanisms to decouple data movement from execution. A novel compiler leverages these mechanisms to maximize reuse and schedule off-chip and on-chip data movement. We evaluate F1 using cycle-accurate simulations and RTL synthesis. F1 is the first system to accelerate complete FHE programs and outperforms state-of-the-art software implementations by gmean 5400x and by up to 17000x. These speedups counter most of FHE's overheads and enable new applications, like real-time private deep learning in the cloud.

研究の動機と目的

• 現実的な安全なオフロードを実現するためのFHEのハードウェア加速の必要性を動機づける。
• プリミティブだけでなく完全なFHEプログラムを実行できるプログラム可能なFHEアクセラレータを設計する。
• 明示的に管理されたメモリ階層と静的スケジューリングを用いて、データ移動を最小化し再利用を最大化する。
• FHEプリミティブ（モジュラー算術、NTT、自己同型変換など）に合わせた専門のベクトル機能ユニットを開発する。
• RTL/14nm-12nm実装と周期正確シミュレーションを通じて大幅な速度アップの実現可能性を示す。

提案手法

• 専門のFHE機能ユニット（モジュラー加算/乗算、NTT、自己同型変換）を備えたワイドベクタープロセッサアーキテクチャを提案する。
• 演算幅を32ビット車線に保ち広い係数演算を可能にするために剰余数系(RNS)を使用する。
• 分散制御とデカップルドデータ移動を備えた静的なVLIW様スケジューリングを採用し、スループットを最大化しスタールを最小化する。
• レイテンシを隠すためにオンチップスクラッチパッドメモリ（64 MB）を明示的に管理し、オンチップネットワークを備えた高帯域幅のオフチップメモリを実装する。
• 三段階スケジューリングを行う新規コンパイラを開発する：高レベルの演算順序付け、オフチップデータ移動のスケジューリング、周期正確で部品レベルのスケジューリング。
• 周期正確なシミュレーションと14nm/12nmプロセスでのRTL合成により性能と面積を定量化して評価する。

実験結果

リサーチクエスチョン

• RQ1 アクセラレータをプログラム可能にして、BGV、CKKS、GSWなどの異なるFHEスキームにまたがる完全なFHEプログラム（プリミティブだけでなく）を実行できるようにするにはどうすればよいか？
• RQ2 データ移動を最小化しつつFHEワークロードのスループットを最大化するための、どのようなアーキテクチャ選択（メモリ階層、静的スケジューリング、ベクトル化FUs）が最適か？
• RQ3 代表的なFHEワークロードに対する、最先端のソフトウェア実装に対してプログラム可能なFHEアクセラレータが達成可能な速度アップはどの程度か？
• RQ4 F1設計はキースイッチングと自己同型変換の支配的コストをどのように扱い、再利用と帯域幅効率のためにどのようなデータ管理戦略が必要か？

主な発見

• F1はベンチマーク全体で最先端ソフトウェアFHE実装に対して1,200×から17,000×の速度アップを達成する。
• RTLと合成は14nm/12nmプロセスで、32-bitモジュラー算術の36 tera-ops/s、64 MBオンチップストレージ、1 TB/sのメモリ帯域をもたらす。
• F1は完全なFHEプログラムを実行し、クラウドでのリアルタイム深層学習推論などの応用を可能にする（例：20分の推論を240 msに短縮）。
• 性能はデータ移動によって制限されており、F1は明示的に管理されたメモリ階層とデカップルドデータ移動でこれを緩和する。
• アーキテクチャは多くの高スループットベクトルユニットと、それらに効率よく供給する綿密に設計されたオンチップネットワークを用いた静的スケジューリングを採用する。
• F1は同じプリミティブユニットを使用して複数のFHEスキーム（BGV、CKKS、GSW）をサポートし、アルゴリズムの多様性を実現する。