同态加密

1. 3 秒看懂

在加密数据上直接进行计算，结果解密后与对明文进行相同计算的结果一致。它为区块链等分布式系统提供了一种“可用不可见”的数据隐私保护范式，从数学上确保了数据在整个计算生命周期中的机密性。

2. 3 分钟产业解释

核心价值：同态加密解决的是区块链透明性与数据隐私需求之间的根本矛盾。在传统区块链上，为了验证交易和执行智能合约，数据必须对全网节点公开透明。同态加密允许节点在不解密交易金额、合约逻辑和状态数据的前提下，执行验证和计算，实现链上数据的机密计算，从而将区块链的信任能力扩展到对数据隐私有严格要求的金融、医疗和政务领域。

技术关键：同态加密并非单一技术，而是一个谱系。全同态加密是理论上的“圣杯”，允许对密文执行任意运算，但其计算开销使其在2024年仍处于工程化攻坚阶段。当前产业落地的主流是部分同态加密和有限级数全同态加密，它们限制运算类型或深度以换取可接受的性能。此外，硬件加速（FPGA/ASIC）和编译器优化是推动其从实验室走向生产环境的关键杠杆。

产业定位：同态加密处于隐私计算技术栈的核心层，与可信执行环境、安全多方计算、零知识证明并列为四大主流技术路线。它不是要替代所有其他技术，而是在“数据计算全流程机密性”这一维度上提供了最强的理论保障，是下一代区块链隐私基础设施和数据要素市场可信计算底座的关键候选技术。

发展阶段：截至2024年底，产业已从2009年的理论突破期，经过算法优化期，正式进入工程化与硬件加速的早期商业化探索阶段。标志是全球范围内出现了针对特定场景的商业PoC和开源开发框架，但离大规模、高吞吐的商业应用仍有显著的性能、成本和标准化差距。

3. 技术原理

同态加密是一种基于格密码学数学难题（如环上的带误差学习问题，Ring-LWE）的公钥密码体制。其核心在于构造一个同态映射，使得对密文空间的运算能够同态地映射回明文空间。

• 同态加密的基础分类与演进路径

  • 部分同态加密 (Partially Homomorphic Encryption, PHE)：仅支持单一类型的运算，无运算深度限制。例如RSA算法（乘法同态）、ElGamal密码系统（乘法同态）和Paillier密码系统（加法同态）。PHE方案计算效率高，已在电子投票、聚合签名等场景有长期实用历史，是目前工业界应用最广泛的同态加密形态。
  • 有限级数全同态加密 (Leveled Fully Homomorphic Encryption, LFHE)：支持有限深度的加法和乘法组合运算。通过设定电路深度上限参数，避免了PHE需要不断扩展的“噪声”管理问题。代表方案包括BGV、BFV、CKKS。CKKS方案特别支持近似实数运算，在机器学习推理等场景中价值巨大。这是当前工程化的主力军。
  • 全同态加密 (Fully Homomorphic Encryption, FHE)：理论上支持任意深度、任意次数的加法和乘法运算。实现这一目标的关键技术是“自举”（Bootstrapping），即在噪声累积至密文无法正确解密之前，通过同态地评估解密电路本身来刷新密文。2009年，Craig Gentry在其博士论文中构造出全球首个理论可行的FHE方案。自举操作是FHE性能开销的最大瓶颈。

• 链上应用的三种核心范式

  1. 加密状态机模型 (Encrypted State Machine)：智能合约的所有输入、内部状态和输出均以密文形式存在。区块链节点在密文空间上执行状态转换函数，更新加密状态树。此模型提供了最强的保密性，但面临合约逻辑必须转化为可同态计算的电路这一挑战，开发门槛极高。代表项目为Zama的fhEVM。
  2. 可验证计算与同态加密的混合模型 (Verifiable Computation + HE)：为平衡链上计算成本与链下数据保密性，通常在链下执行复杂的HE计算，并利用零知识证明生成该计算过程正确性的简洁证明，将证明和计算结果（密文）提交到链上供验证。此范式将繁重计算移出链外，兼顾了隐私和效率。
  3. 隐私数据市场模型 (Private Data Market)：数据所有者将加密数据资产上链或存入分布式存储网络，数据需求方（如AI模型训练者）在不解密原始数据的前提下，通过HE安全地计算分析结果。例如，多家医院可以在不暴露各院患者个体数据的前提下，联合进行加密的基因组关联分析或药物疗效评估。

4. 关键参数

评价同态加密方案和产品性能，需脱离“加密/解密速度”的简单维度，引入一系列专业指标。

• 安全比特位 (Security Bits)：衡量密码方案抵抗已知最优攻击的计算复杂度，通常要求达到128位或更高安全级别。该参数与选用的多项式模数次数（环的维度）直接相关，决定了公钥和密文的尺寸基数。
• 乘法深度 (Multiplicative Depth)：一个算术电路所能执行的连续乘法运算的最大次数。这是设计LFHE方案时最重要的先验参数，直接决定了可支持的算法复杂度（如神经网络层数）。超出深度限制则密文无法正确解密。
• 密文膨胀率 (Ciphertext Expansion Rate)：密文大小与原始明文大小的比率。PHE方案通常在2-10倍，而FHE方案由于容纳自举能力，可高达数百至数千倍。这是链上存储和网络传输成本的主要来源，FHE存储一个32位整数可能膨胀至数百KB。
• 计算开销 (Computational Overhead)：完成一次同态运算相比同等明文运算的时间延迟倍数。这是一个动态指标，2023年主流的LFHE方案在CPU上完成一次乘法约为毫秒级，比明文计算慢约10^4到10^6倍。专用硬件加速可显著降低此开销，但仍存在数个数量级差距。对标的明文计算是纳秒级。
• 自举延迟 (Bootstrapping Latency)：在FHE中执行一次自举操作所需的时间。这是决定FHE方案通用计算效率的核心瓶颈。通过优化算法和硬件加速，单次自举延迟已从早期的秒级缩短至2023-2024年部分方案宣称的毫秒级甚至亚毫秒级。

5. 技术路线

同态加密的产业落地并非只有单一演进路径，而是呈现出多条不同侧重的技术分岔。

• 面向电路的纯FHE路径：代表方为Zama、Duality Technologies。该路线追求理论的完全性，致力于将任意程序编译为可被FHE评估的布尔或算术电路。TFHE方案在此路径中因其快速的单门自举能力而受到广泛关注，特别适合处理位运算和比较操作，为在FHE中实现复杂的分支逻辑奠定了基础。这是“未来完全态”，但通用程序的电路化编译和优化仍极具挑战。
• 面向代数结构的Leveled FHE路径：代表方为Microsoft SEAL、IBM HELib。该路线不追求或仅采用极低频率的自举操作，主要基于BFV或CKKS方案，支持一连串预定义深度的向量化加法和乘法运算。它放弃了程序流程的任意性，换取了极致的向量化处理能力（SIMD风格），在神经网络推理、统计聚合等固定算法任务中，吞吐量远胜纯电路方案，是当前工业PoC的主流。
• 硬件加速并行路径：代表方为Cornami、Optalysys及Intel、AMD等传统巨头的研究部门。该路线认为FHE的瓶颈在于通用处理器对多项式环运算的并行度利用不足，转向采用FPGA、GPU乃至专用的数模混合光计算芯片进行加速。数模混合光计算路线宣称可利用光的物理特性在常数时间内完成矩阵-向量乘法，但截至2024年底，其公开的技术指标和产品成熟度仍需进一步市场验证。
• 混合隐私计算路径：代表方为蚂蚁集团、Oasis Network。该路线不把FHE看作孤立方案，而是将其与TEE、MPC进行混合编排。例如，使用TEE执行复杂的业务逻辑，而将其中涉及多方数据联合计算的特定步骤外包给FHE模块，或利用MPC进行密钥的分布式管理。目标是在“安全-性能-成本”的不可能三角中找到务实的平衡点，是多技术融合的竞争。

6. 上游

同态加密产业链上游是奠定性能上限和理论基础的密码学研究与基础软件库。

• 核心密码学基础研究：聚焦于提出新的数学难题假设，设计具有更小密文尺寸、更低噪声增长、支持新运算类型（如快速比较、除法）或更高安全性的新方案。全球主要贡献者集中在高校和研究机构，如比利时鲁汶大学COSIC实验室、美国斯坦福大学、麻省理工学院、法国INRIA等。中国科学院信息工程研究所、清华大学、武汉大学等在格密码和同态加密优化方面有持续输出，是中国本土方案的主要策源地。
• 开源基础算法库：
  • Microsoft SEAL (C++)：由微软研究院开发并维护，是目前业内最广泛使用的开源库之一，主要实现了BFV和CKKS方案，以API易用、文档齐全著称。2023年持续更新版本，增强了GPU加速能力。
  • OpenFHE：由Duality Technologies发起的社区项目，旨在统一HELib、PALISADE等早期库，提供从PHE到FHE的全频谱方案，拥有模块化设计和先进的FHE自举算法集成。
  • TFHE-rs (Rust)：由Zama公司开发，是对TFHE方案的纯Rust实现，专注于高性能的布尔电路评估和快速自举，是当前FHE智能合约上层应用的主要依赖库。
  • IBM HELib (C++)：历史悠久的BGV方案库，以支持自举和高效的大规模向量运算见长。
• 编译工具链：作为连接密码学库与应用层的关键，谷歌的HEIR项目、谷歌的Transpile和Zama的Concrete框架致力于解决“如何将高级语言（如Python子集、Solidity）编译为同态计算电路”的编译器问题，是降低开发者门槛的核心上游环节。

7. 下游

下游由探索应用以实现价值闭环的各行业解决方案和特定场景构成。截至2024年底，公开资料显示，大规模商业运行案例稀缺，以概念验证和小范围试点为主。

• 区块链与Web3：
  • 保密智能合约：Zama的fhEVM允许在兼容以太坊的区块链上以保密状态变量和逻辑执行智能合约，用于构建隐秘的去中心化交易所、盲拍和链上身份系统。
  • 隐私公链：Inco Network、Fhenix等项目作为Layer 2或独立的Layer 1，将FHE作为原生计算模块集成到共识层，旨在为所有上层应用提供全局的加密计算环境。
  • 链上数据保护：对MEV（最大可提取价值）保护，用户的交易输入和策略被加密，直到区块被确认，从根本上杜绝了抢跑和夹击攻击。
• 金融科技：
  • 联合风控与反欺诈：多家银行在不暴露各自核心客户隐私数据的前提下，通过HE联合统计多头借贷、黑名单命中率，或联合训练风控模型。
  • 监管科技与合规：金融机构在加密保护下向监管机构传输交易数据，监管机构可在不解密情况下对资金流向、风险敞口进行实时计算和监控，实现穿透式监管与客户隐私保护的平衡。蚂蚁集团在其“隐语”框架中对类似场景进行了技术验证。
• 医疗健康：
  • 药物研发协同：制药公司、CRO和医院可以在加密的基因、蛋白质组学数据上执行联合分析，加速靶点和生物标志物发现，而无需数据转移和脱敏处理。
  • 真实世界证据构建：跨中心分析加密的电子健康档案，在不泄露个体病历的前提下，评估药物长期有效性和安全性。
• 政务与公共事业：
  • 数据开放与共享：政府掌握的海量高敏感公共数据，如税收、社保、海关数据，可在加密后向科研机构或产业界有条件开放，用于宏观经济分析、城市规划等研究，形成“数据可用不可见”的流通范式。中国多个省市的大数据管理局对此类技术进行了公开调研和PoC。

8. 受益公司

注意：以下公司的业务收益预估基于其技术布局和行业趋势，并不构成对其股价或未来业绩的预测。

• 技术提供商 (中游) – 核心受益于产业从0到1的突破期：
  • Zama (未上市)：若其开源生态形成事实标准，商业化支持服务将为公司创造直接收入。受益于任何寻求构建FHE保密合约的公链、游戏和DeFi项目。其估值在2022年A轮融资中达数千万美元，反映了市场对这一标准制定者角色的溢价。
  • NVIDIA, Intel, AMD (上市公司)：核心受益于FHE计算对高性能计算的巨大需求。NVIDIA凭借其CUDA生态，其H100等高端GPU是当前FHE加速的首选硬件。Intel在其第四代至强可扩展处理器中内置了针对特定密码学指令的加速引擎，可优化HE运算。
• 平台型公司 (下游) – 收益在于增强现有生态价值和合规能力：
  • 蚂蚁集团 (未上市)：作为隐私计算领域国内布局最深的企业，其自主研发的“隐语”框架集成了HE能力。HE是其满足金融、政务等客户强数据合规需求，构建技术壁垒的一环，提升其云和解决方案业务的附加值。
  • 微软 (Microsoft) (上市公司)：通过Azure云上的机密计算服务推广其SEAL库，并与Duality等合作伙伴构建联合解决方案，直接驱动其云计算服务的消耗，尤其是吸引对数据隐私要求极高的政府与医疗客户。
• 具备数据网络效应的场景方 (应用方) – 长期看HE有助于打破“数据孤岛”，释放其数据资产的潜在价值：
  • 大型金融机构 (如摩根大通、微众银行等)：通过联合建模和风控，HE技术可降低其获取高维外部合规数据的成本，提升现有风险模型的准确度，形成更精准的资产定价与风险管理能力。

注：上述具体公司信息来自其2022-2023年公开发布的技术博客、白皮书和新闻稿。相关的市场溢价和财务收益为定性分析，定量模型数据公开资料未见。

9. 市场规模

同态加密的市场规模需从全球总隐私计算市场、HE在其中占比以及可寻址市场三方面分层观察，所有统计口径均需区分直接产品收入和关联服务收入。

• 全球隐私计算市场体量 (TAM)：根据Gartner 2023年受Gartner集团委托发布的报告《Emerging Tech: Security — Adoption Growth Insights for Privacy-Preserving Computation》预测，到2025年，约60%的大型企业将运用一种或多种隐私增强计算技术。报告将隐私计算市场整体规模定位为到2027年将超过1500亿美元（口径：含软硬件、服务和数据交易）。该数据为整体市场预测，非直接针对HE。
• 同态加密子市场 (SAM)：HE在其中属于新兴子集。市场研究机构MarketsandMarkets在2023年9月发布的报告《Homomorphic Encryption Market – Global Forecast to 2028》中估算，全球同态加密直接相关市场规模在2023年为2.1亿美元（口径：含HE专用软件库许可、硬件加速、专业服务），并预计至2028年将达到3.8亿美元，年复合增长率（CAGR）约12.5%。该报告的假设是未来5年内，HE的商业化落地仍将以金融和医疗垂类PoC为主，仍属利基市场。
• 区块链与Web3细分市场 (Emerging Market)：将HE作为底层原语的区块链项目市场，是HE市场中增长潜力最大的新兴部分。市场研究公司Grand View Research在其2024年行业分析中，将区块链隐私技术（含HE, ZKP等）视为一个独立的高增长领域，其复合年增长率超过40%，但未给出HE在这部分的确切份额。截至2024年底，由于独立应用HE的链上项目用户和TVL极低，任何关于该细分市场的具体收入估计都缺乏公开、可溯源的数据支撑，可观测指标（网络Gas费消耗、链上应用日活）处于极早期阶段。

数据口径：以上数据分别来自Gartner、MarketsandMarkets、Grand View Research三家机构的公开报告摘要，口径和基准年份已在文中标注，具体细分领域存在交叉重叠情况，不可直接加总。

10. 玩家对比

选取全球范围内最具代表性的纯FHE赛道技术公司进行横向对比，评估维度包含技术路径、产品化程度和生态开放性。

11. 风险

• 性能悬崖风险：FHE的通用计算开销（10^4~10^6倍）构成了不可逾越的性能悬崖。硬件加速虽能改善但成本指数级增加，一旦加密AI、联邦学习等替代技术能在更优成本下满足同等级别隐私需求，整个FHE产业路线可能被替代，沦为技术储备而非主流方案。
• 方案碎片化与锁定风险：PHE、LFHE、FHE方案间，乃至不同FHE库（SEAL、OpenFHE、TFHE-rs）间缺乏互操作性。一个行业客户一旦选定一种技术方案和库进行深度集成，未来会面临高昂的迁移成本和供应商锁定。标准组织（如HomomorphicEncryption.org）推动的标准化项目在2024年仍处于早期阶段。
• 模型窃取与推断攻击风险：HE仅保证计算过程中的数据机密性，并不天然保护模型参数。同态运算的中间状态信息（如运算次数、电路深度、密文规模的侧信道）本身可能泄露敏感信息。攻击者可能通过精心构造的查询输入，对加密的模型进行“模型提取攻击”，利用HE服务向外窃取模型权重。
• 监管与合规的不确定性风险：
  • 密码学出口管制：高性能的HE方案均属于高强度密码产品，出口国（如美国《出口管理条例》，EAR）或进口国可能在特定时期进行清单管制，限制或禁用特定规模和参数的产品。
  • 数据残差推断合规：监管机构（如欧盟数据保护委员会EDPB）对于经过HE处理后的结果是否仍可能包含个人数据痕迹（通过“推断”而非直接解密）持持续讨论态度。若结论从严，将动摇HE“完全脱敏”的法律假设，对HE用于GDPR法规下的数据跨境传输形成根本性挑战。
• 智能合约中的“不可安全终止”风险：在FHE链上，节点无法审查合约状态。一旦一个包含了恶意逻辑的FHE合约被部署且被调用，由于节点无法解读其行为（合约逻辑本身也被加密），从技术上就失去了对有害结果进行链上干预或冻结的能力，可能被永久执行。这是一个全新的系统性治理难题。

12. 误读纠偏

• “同态加密己经成熟可用”：这是一个常见的营销假设。事实上，直至2024年底，不存在任何“通用目的”的、无需深度电路工程化适配的FHE解决方案。所有声称“己商用”的案例，几乎都是经过精心剪裁的特定算法在受控环境下的PoC，其成本远超明文计算的百倍以上，无法作为通用计算平台大规模推广。
• “FHE保密，因此比公链更安全”：FHE保障的是计算过程的机密性，而它无法保证计算结果的正确性。一个使用FHE的计算节点同样可能作恶，提供一个错误的结果，而用户因为无法解密中间状态而难以察觉。这正是混合验证（FHE+ZKP）方案出现的逻辑根源，即保密不等于完整性和无篡改。
• “有了FHE，所有链上数据都可以默认加密”：这与区块链的可审计性和监管要求存在本质矛盾。一个全局加密的区块链将丧失大部分经济安全性和社群治理基础。它对监管是完全“黑箱”的，必将与全球反洗钱和反恐怖融资金融行动特别工作组规范产生根本冲突。更现实的演化方向是“选择性披露”和“点对点的机密交易”，而非全网加密。
• “同态加密会取代所有其他隐私计算技术”：这曲解了技术分化逻辑，事实上不同技术解决不同信任模型下的问题。TEE依赖硬件信任（如Intel SGX的安全假设），性能和通用性好；MPC依赖多个参与方互不串谋的假设，安全性高但延迟和网络开销大。不存在一种“最佳”技术，只存在特定场景下最适合的组合，行业演进趋势是混合融合而非单一替代。

13. 最新事件

• 2024年12月：Zama 核心贡献者宣布在FHEVM技术基础上，成功演示了在以太坊Sepolia测试网上实现首个基于盲计算的完全保密去中心化自治组织投票Demo。
• 2024年11月：谷歌发布其HEIR项目的首个正式版编译器工具链，旨在打通Python/PyTorch代码到各种后端HE库（如SEAL， OpenFHE）的自动化编译路径，引发密码学界的正面评价。
• 2024年10月：Inco Network（构建基于FHE的以太坊Layer 2）宣布完成新一轮 4，500 万美元融资，由Dragonfly等领投，估值未披露。基金表示其核心目标为降低Web3领域使用FHE的技能门槛。
• 2024年9月：国际清算银行创新中心发布《Project Mantis Final Report》，探讨了代幣化存款与内嵌改进的隐私增强技术的跨境支付网络，将HE列为潜在的远期技术选项。
• 2024年Q2：美国国家标准与技术研究院在其后量子密码标准的后续讨论中，发布了关于HE标准化的内部报告，呼吁产业界形成关于具体参数和接口规范的统一意见。
• 2024年Q1：蚂蚁集团在数字中国建设峰会展示了其“隐语”框架下的升级版“大模型可信密态计算”架构，将HE应用于大模型推理的数据保护环节，仅限演示，未公布商用客户。

14. 跟踪指标

• 技术成熟度指标：
  • 硬件自举延迟：跟踪主流方案（如TFHE-rs）在高端GPU/FPGA上完成一次自举的毫秒级延迟记录。该指标逼近微秒级是FHE走向通用的里程碑事件。
  • Schemes标准接口稳定程度：跟踪HomomorphicEncryption.org联盟发布的标准化文档版本及主要开源库（OpenFHE, SEAL）跟进实现的Rust和C++ API稳定情况。
• 链上应用渗透指标：
  • FHE相关L1/L2测试网活跃度：持续关注的Inco, Fhenix, Zama fhEVM EIP测试网的每日独立开发者和已部署的保密合约数量。合约数量突破百级、千级是关键引爆点。
  • 链上FHE方案总GAS消耗占比：一旦其占总GAS消耗量从几乎为零增长到可观测的0.X%级别，意味着杀手级应用雏形初现。
• 商业化进程指标：
  • 头部投资机构密集度：统计a16z, Sequoia Capital, Dragonfly等Web3顶流基金在FHE赛道2024-2025年的累计投资项目数量和轮次，是衡量赛道是否进入加速期的情绪指标。
  • 监管沙箱项目POC案例：跟踪中国、欧盟、新加坡等国金融监管机构批准的，明确使用HE技术的监管沙箱项目公布报告（非仅仅使用TEE的方案）。
• 竞争替代性指标：
  • ZKP等替代技术性能-成本比率：持续监控基于ZKP的隐私L2（如Aleo， Aztec）与基于HE的类似方案的每笔交易吞吐量/延迟和区块链浏览器中标注的真实费用对比。

15. 信源

• 学术与标准:
  • Gentry, C. (2009). Fully Homomorphic Encryption Using Ideal Lattices. STOC ‘09.
  • HomomorphicEncryption.org. Homomorphic Encryption Standardization. https://homomorphicencryption.org/
  • NIST (2024). Internal Report on the Status of HE Standardization.
• 核心项目与开源库:
  • Zama. fhevm documentation and whitepaper. https://docs.zama.ai/fhevm
  • OpenFHE. https://openfhe.org/
  • Microsoft SEAL. https://github.com/microsoft/SEAL
  • Google HEIR. https://github.com/google/heir
• 市场研究机构 (仅引用公开摘要):
  • Gartner. (2023). Emerging Tech: Security — Adoption Growth Insights for Privacy-Preserving Computation.
  • MarketsandMarkets. (2023). Homomorphic Encryption Market – Global Forecast to 2028.
  • BIS Innovation Hub. (2024). Project Mantis Final Report.
• 产业与官方白皮书:
  • 蚂蚁集团. (2022). 隐私计算技术与应用白皮书.
  • 中国信息通信研究院. 隐私计算联盟系列测评与案例报告.