尧图网页设计 
简介面向需要完成毕业设计、课程设计或工程实训的高校学生以及希望探索隐私保护与深度学习结合方向的开发者。系统基于Python卷积神经网络解决加密云端图像的隐私保护分类需求尤其适合安全与AI交叉领域的初期项目。压缩包共2004个文件体积约148.84MB文件类型以js脚本1296个、Markdown文档356个和JSON配置341个为主同时包含少量Python源文件和HTML页面。这些文件分别承担前端交互展示、说明文档、参数配置与核心模型代码等角色。目前已有116人学习下载资源内容较为完整初学者可按文档逐步搭建进阶者可在此基础上调整网络结构或加密策略。借助这份资源可快速搭建一个带可视化界面的加密图像分类系统理解从图像加密、CNN训练到类别输出的全流程并利用JSON配置灵活切换实验参数为论文写作或二次开发提供扎实的代码参考。1. 加密图像分类让云端在噪声里替你做卷积一个常见的隐私保护场景医院想用云端服务对眼底照片做疾病分类但不想把病人原始影像交给云厂商安防平台想对监控图像做目标分类又不想让第三方服务商留存原始画面。基于Python卷积神经网络的加密图像分类系统做的就是这件事——用同态加密把图像变成密文再上传云端在完全看不到明文内容的情况下完成CNN分类最后把加密的分类结果返回给你由你本地解密。对算法工程师来说它的价值在于把“明文训练、密文推理”这条路径变成可落地的工程方案而不是停留在论文里。2. 为什么卷积神经网络能藏在密文里加法、乘法和平方激活的拼图2.1 同态加密只认识加减乘卷积和池化恰好是加减乘同态加密里最接近工程可用的是CKKS方案它允许在密文上直接做浮点数加法和乘法而且结果解密后等于明文做同样运算的结果。这个特性与CNN的计算结构高度吻合卷积层本质上是“乘累加”即每个输出像素是邻域像素与卷积核系数的乘积之和平均池化本质上是“加权和”也就是把几个像素加起来再乘一个固定系数。这两类操作在CKKS下都能直接用密文加法、密文与明文标量乘法实现不需要额外引入近似。所以一个直觉上的判断是只要把网络里的非线性部分处理掉整条CNN推理链路都可以在密文上串起来。云端手里只有噪声一样的密文张量既看不到单个像素也推断不出原始图像内容但它能正确执行卷积和池化把分类所需的信息一层层传递下去。2.2 ReLU不敢进密文平方激活成了CNN的替代品CNN里真正让同态加密头疼的是ReLU和Softmax。ReLU本质上是“和0比较后取较大值”这个比较操作在同态密文里代价极高通常需要深电路或者复杂的多项式近似。Softmax里带有指数和对数在密文上做更是灾难噪声和深度预算都扛不住。工程上的常见做法是把ReLU替换成平方函数。平方激活在明文上是一次密文自乘代价小而且梯度简单网络依然能训练。代价是网络的非线性表达能力略有下降分类精度相比同结构ReLU网络会掉几个点但在小规模图像分类任务上通常可控。Softmax则干脆不做训练时用CrossEntropyLoss直接吃logits推理时直接比较密文解密后的logits大小省掉指数运算。这里有一个必须强调的要点替换激活函数之后网络必须重新训练而不是把训练好的ReLU模型权重直接搬过来用。很多第一次尝试的人在这里翻车后面避坑章节会细说。2.3 三条工程路线明文训练-密文推理、蒸馏折半网络、全流程密文加密图像分类的落地路线并不是只有一条我梳理成三档路线做法优点代价明文训练-密文推理明文环境训练CNN推理阶段把图像加密上传云云端在密文上跑前向训练无约束、成熟稳定是本方案主线推理网络结构必须同态友好深度受噪声预算限制蒸馏探路用一个大的明文教师网络蒸馏出小规模、平方激活的密文可用学生网络精度更接近大模型推理深度可控需要额外做蒸馏流程工程链路变长全流程加密训练云端直接在密文上更新梯度隐私保护覆盖训练和推理目前算力开销不可接受仅适合小型原型我给大多数业务场景的建议是第一档明文侧随便用大数据集训练上线部署时把模型换成同态友好结构并做一次微调。这样既保住训练阶段的精度又把上线阶段的隐私风险控制住。3. 用Python与TenSEAL把加密图像分类跑起来从明文CNN到密文CNN3.1 环境准备torch与tenseal是最小依赖我在原型阶段最常用的组合是PyTorch负责明文CNN训练TenSEAL负责CKKS加密和密文推理。TenSEAL是Python里封装比较完整的一个同态加密库提供了CKKS上下文、密文向量和密文张量的基本算子适合快速验证加密分类链路。python -m venv he_env source he_env/bin/activate pip install torch torchvision tenseal这段命令创建虚拟环境并安装两个核心依赖。建议用Python 3.8到3.10之间的版本tenseal对过新的Python版本支持往往滞后遇到安装失败先检查Python版本。torch版本不必追最新2.x即可。如果只用CPU推理torch的CPU版就够密文推理阶段本来也用不到GPU。3.2 第一步训练一个同态友好的CNN并导出权重为了让密文推理能逐层对齐明文CNN必须限制成“卷积平方激活”结构不要有ReLU、BatchNorm的均值方差归一化、也不要Softmax。下面这个模型以MNIST单通道28x28图像为例两个卷积层之间用平方激活最后用全局平均池化得到每类logits。import torch import torch.nn as nn import torch.nn.functional as F class HomomorphicCNN(nn.Module): def __init__(self, num_classes10): super().__init__() self.conv1 nn.Conv2d(1, 8, 3, padding1) self.conv2 nn.Conv2d(8, num_classes, 3, padding1) def forward(self, x): x self.conv1(x) x torch.square(x) x self.conv2(x) x torch.square(x) x x.mean(dim(2, 3)) return x模型结构说明输入1x28x28的灰度图conv1输出8个通道平方激活后在28x28空间上保持尺寸不变conv2把8个通道映射到10个类别通道再做一次平方最后在空间维度上做全局平均得到10个logits。没有中间池化层是为了减少密文推理时的空间尺寸切换也让旋转实现卷积的边界逻辑更容易对齐。训练循环就是标准PyTorch训练损失函数用CrossEntropyLoss输入输出都是明文。训练完后导出权重后续密文阶段直接读这些权重。model HomomorphicCNN() # 训练代码省略标准交叉熵训练 # 导出state_dict为numpy便于密文推理直接使用 state model.state_dict() weights { conv1.weight: state[conv1.weight].numpy(), conv1.bias: state[conv1.bias].numpy(), conv2.weight: state[conv2.weight].numpy(), conv2.bias: state[conv2.bias].numpy(), }导出的是conv1的(8,1,3,3)权重、conv2的(10,8,3,3)权重以及对应偏置。注意这里必须是训练完成后新模型的权重不能用普通ReLU模型再改结构否则精度对不上。3.3 第二步创建CKKS上下文并加密单张图像CKKS上下文是密文推理的“运载火箭”它决定了密文能算多深、能打包多少数据。下面的配置把一个MNIST图像展平后加密进一个密文向量。import tenseal as ts import numpy as np def create_ckks_context(): context ts.context( ts.SCHEME_TYPE.CKKS, poly_modulus_degree16384, coeff_mod_bit_sizes[60, 40, 40, 40, 60] ) context.global_scale 2 ** 40 context.generate_galois_keys() return context def encrypt_image(context, img_tensor): img img_tensor.numpy().astype(np.float64) img (img - 0.1307) / 0.3081 flat img.flatten().tolist() enc_vec ts.ckks_vector(context, flat) return enc_vecpoly_modulus_degree决定了一次能打包的slot数量16384对应8192个浮点slot单个MNIST图只占784个slot剩余空间以后可以塞其他图片做打包。coeff_mod_bit_sizes里的四个40对应四次密文乘法的深度预算正好覆盖本网络显式的4次乘法两层卷积、两次平方激活。global_scale用2的40次方保证密文乘法后数值精度不因缩放而崩塌。3.4 第三步在密文上完成卷积、池化和平方激活密文卷积用旋转实现卷积核3x3的每一个位置等价于把输入特征图整体平移一个偏移量后与对应系数相乘并累加。对密文调用rotate方法即可完成同态移位。def enc_conv2d(enc_channels, weight, bias, W28, kernel3): in_channels weight.shape[1] out_channels weight.shape[0] outputs [] for oc in range(out_channels): acc None for ic in range(in_channels): for kh in range(kernel): for kw in range(kernel): shift (kh - 1) * W (kw - 1) rotated enc_channels[ic].rotate(shift) term rotated * float(weight[oc, ic, kh, kw]) acc term if acc is None else acc term outputs.append(acc float(bias[oc])) return outputs def enc_square(enc_vec): return enc_vec * enc_vec def enc_global_avg_pool(enc_vec, length): ones [1.0] * length return enc_vec.dot(ones) / length这段代码把卷积层变成“9次旋转、9次密文乘明文标量、9次密文累加”。shift计算里kh减1和kw减1是为了把核中心对齐到当前像素。enc_square是平方激活直接在密文上做一次自乘。全局平均池化用全1明文向量与密文做点积再除以长度等价于所有像素求和取平均。边界问题是这段代码最大的简化点rotate是循环移位图像边缘的像素会卷到对面去。完整实现里必须针对每个shift生成一个明文mask先乘mask再乘权重把跨边界的非法位置清零。演示代码省略了mask所以密文结果与明文模型在边缘位置会有偏差后面避坑章节专门说。主推理流程把两层卷积和两个平方激活串起来context create_ckks_context() enc_img encrypt_image(context, sample_img) enc_x enc_conv2d([enc_img], weights[conv1.weight], weights[conv1.bias]) enc_x [enc_square(v) for v in enc_x] enc_logits enc_conv2d(enc_x, weights[conv2.weight], weights[conv2.bias]) enc_logits [enc_square(v) for v in enc_logits] cipher_logits [enc_global_avg_pool(v, 28 * 28).decrypt() for v in enc_logits]每一层的输入输出始终是长度为784的密文向量列表通道数从1变8再变10。执行到这里云端的推理过程已经结束密文logits被解密回明文得到10个浮点数。3.5 第四步解密分类结果并与明文结果对齐解密后的logits直接比较大小取最大下标就是分类结果。为了确认密文推理没有跑偏我习惯把同一张图在明文模型上也forward一次对比两者预测类别和logits分布。def predict_from_logits(logits): return int(np.argmax(logits)) def compare_plain_cipher(plain_logits, cipher_logits): plain_pred predict_from_logits(plain_logits) cipher_pred predict_from_logits(cipher_logits) diff np.max(np.abs(plain_logits - cipher_logits)) return plain_pred, cipher_pred, diff这里plain_logits是明文模型输出的10个浮点值cipher_logits是上面解密得到的10个浮点值。diff能反映密文推理的数值误差误差在1e-2量级时分类通常仍然正确如果diff到了1或者更大基本可以判断是深度预算或边界处理出了问题。4. 参数与性能边界poly_modulus_degree、打包策略与推理代价怎么权衡4.1 一张参数表把CKKS关键配置对齐到网络深度CKKS参数不能照抄必须按网络的实际乘法深度来配。下面是我每次动手前都会过一遍的对照表参数作用我的起点值调大影响调小影响poly_modulus_degree决定slot数量和最大模数16384slot变多、速度变慢slot变少、装不下大图coeff_mod_bit_sizes决定可承受的乘法深度[60,40,40,40,60]深度更深、密文更大深度不够、解密出噪声global_scale控制浮点精度与噪声预算2**40精度更高、噪声消耗快精度下降、数值误差大密文打包数一个密文里塞几张图1并行度更高、串扰风险增加更安全、带宽浪费关键判断点在于算出网络的显式乘法次数。本网络两层卷积加两次平方共4次乘法所以coeff_mod_bit_sizes里给了4个40。如果你的网络只有3次乘法可以把参数缩成[60,40,40,60]如果有5次乘法就用16384甚至32768的degree否则ctx创建时就会因为模数总位数超限而报错。4.2 图像打包单张密文和多张共享一条密文的取舍一个poly_modulus_degree16384的CKKS上下文有8192个slot而28x28的MNIST图展平只有784个slot直接加密浪费了大半空间。实际系统中更常见的做法是batch打包把多张图按通道或按像素位置塞进同一条密文让一次密文乘法同时处理多条数据。打包的核心是slot布局要跟卷积的rotate操作对齐。举例来说如果一条密文里连续放了4张图的784个像素那么rotate一个偏移量会把上一张图的像素卷到下一张图的位置造成跨图串扰。解决思路是按图像维度分块排布并在每张图之间留保护带或者用mask把非法slot清零。打包能显著降低上传带宽和总推理时间代价是mask设计和边界检查更繁琐。建议第一版先单图一条密文跑通后再做多图打包。4.3 性能预期毫秒级明文推理与分钟级密文推理的真实差距明文CNN在CPU上跑MNIST单张图在毫秒级而密文推理单张图通常要几十秒甚至更久主要时间花在两方面一是每层卷积对每个输出通道要做九次rotate和九次密文乘明文密文乘法的开销远大于明文二是CKKS每次乘法后要rescaling控制噪声这个步骤也会消耗算力。云端如果用单核CPU跑整体等待时间会非常明显。所以加密图像分类并不适合所有实时场景。它最合适的落点是离线的、批量化的敏感图像分析比如夜间批量筛查医疗影像、森林巡检图像的分批分类。这类场景对单张响应时间不敏感但对数据隐私有硬性要求。想降延迟优先考虑多线程并行跑多张图而不是指望单条密文算得更快。5. 避坑密文CNN最容易翻车的五个位置5.1 明文模型精度97%密文推理精度却掉到50%现象同一个测试集明文模型分类准确率在97%左右密文推理却接近随机猜测。 原因直接把ReLU模型换成了平方激活但没有重新训练。平方激活的拟合能力与ReLU不同旧权重在输入分布上完全不匹配。 解决用替换激活后的HomomorphicCNN从头训练并先在明文侧验证平方激活版本的准确率。如果这个明文版本本身就掉到90%以下不要急着上密文先加宽卷积层或调整学习率把明文基线提起来。5.2 边缘像素被循环移位卷回密文logits在边界上错乱现象单张图密文推理的diff值很大中央区域分类基本正常但图像旋转后错判率升高。 原因rotate在CKKS里就是循环移位图像最右边一列会卷到最左边上边一行会卷到下边。卷积核扫描到边缘时邻域里混入了本不应该出现的远端像素。 解决对每个卷积核偏移量生成一张与特征图等长的明文mask合法位置标1、越界位置标0把rotate后的密文先乘mask再乘权重。这个mask在明文侧预计算推理时只多一次密文与明文向量的逐元素乘法开销可控。5.3 coeff_mod_bit_sizes配置不够推理跑到中间层解密就崩现象前两层密文推理正常第三层开始解密出来的数值变成随机大数。 原因CKKS的乘法深度预算不足。每做一次密文乘法噪声预算会消耗一个等级超过预算后后续乘法结果完全失真。 解决核对模型里的显式乘法次数把coeff_mod_bit_sizes里的40数量对齐到乘法深度。宁可多配一个level也不要少配多出的深度不影响正确性只是密文变大、速度变慢。如果总位数超过poly_modulus_degree允许的上限就把degree升到16384或32768。5.4 在密文上强行做Softmax解密结果全变成同一个类现象logits解密后数值相差很小甚至全部接近同一个值argmax总是固定一类。 原因Softmax里的指数运算在CKKS上要用高次多项式近似深度和噪声消耗都极大而且数值范围压缩严重最终把logits差异全部抹平。 解决训练和推理都别碰Softmax。训练用nn.CrossEntropyLoss直接吃logits推理直接比较解密后的logits。如果业务上必须输出概率也在客户端解密后补一道softmax不放在云端。5.5 以为租个便宜GPU云端就能加速结果密文推理反而更慢现象把密文推理搬到GPU上总耗时比CPU单机更差。 原因同态加密的主流开源库底层核心运算和密钥切换是针对CPU指令集优化的GPU上的实现要么没有要么需要额外拷贝开销。把密文张量从CPU搬到GPU的传输成本可能比密文运算本身还要高。 解决第一版就用CPU多线程跑把一张图拆成多个通道并行处理或者多张图并行比盲目上GPU更有效。如果未来对延迟有硬需求再考虑专用同态加密加速硬件或FPGA方案而不是普通云端显卡。6. 验证与进阶密文分类一致性怎么测以及值得继续投入的方向密文分类系统上线前建议用三类指标验证密文与明文的一致性。第一是Top-1类别一致率最直接反映业务可用性第二是logits的Spearman相关系数看排序是否接近这比只看正确类别更严格第三是logits数值最大绝对误差用来排查具体哪一层产生了异常偏差。from scipy.stats import spearmanr def validate_cipher_system(plain_logits_batch, cipher_logits_batch): plain_preds [int(np.argmax(p)) for p in plain_logits_batch] cipher_preds [int(np.argmax(c)) for c in cipher_logits_batch] top1_match sum(a b for a, b in zip(plain_preds, cipher_preds)) / len(plain_preds) rho spearmanr(plain_logits_batch, cipher_logits_batch).statistic return top1_match, rho如果Top-1一致率在测试集上低于95%先查是不是深度预算不够其次查卷积边界mask是否完整最后再看score是否过大。这三步走完大多数问题都能定位到具体层。值得继续投入的方向有两个。一个是多图打包把前面提到的slot浪费补回来用一次密文乘法同时处理多张图像吞吐量能提升好几倍。另一个是知识蒸馏用一个表达能力强的明文大模型蒸出“平方激活小模型”把密文推理的深度和宽度控制在预算内同时尽量保住精度。这两个方向叠加加密图像分类就能从演示走向小规模生产。我自己第一次跑通这个系统时被一个低级错误卡了整整两天明文网络里明明做了平均池化密文侧却忘了实现同一步导致特征图尺寸错位解密出来的logits怎么看都不对。从那以后我养成了一个习惯先逐层对比明文和密文的中间结果再对比最终分类而不是只看最后的准确率。希望帮到你。本文还有配套的精品资源点击获取 用同态加密在密文上跑CNN：Python实现加密图像分类
简介面向需要完成毕业设计、课程设计或工程实训的高校学生以及希望探索隐私保护与深度学习结合方向的开发者。系统基于Python卷积神经网络解决加密云端图像的隐私保护分类需求尤其适合安全与AI交叉领域的初期项目。压缩包共2004个文件体积约148.84MB文件类型以js脚本1296个、Markdown文档356个和JSON配置341个为主同时包含少量Python源文件和HTML页面。这些文件分别承担前端交互展示、说明文档、参数配置与核心模型代码等角色。目前已有116人学习下载资源内容较为完整初学者可按文档逐步搭建进阶者可在此基础上调整网络结构或加密策略。借助这份资源可快速搭建一个带可视化界面的加密图像分类系统理解从图像加密、CNN训练到类别输出的全流程并利用JSON配置灵活切换实验参数为论文写作或二次开发提供扎实的代码参考。1. 加密图像分类让云端在噪声里替你做卷积一个常见的隐私保护场景医院想用云端服务对眼底照片做疾病分类但不想把病人原始影像交给云厂商安防平台想对监控图像做目标分类又不想让第三方服务商留存原始画面。基于Python卷积神经网络的加密图像分类系统做的就是这件事——用同态加密把图像变成密文再上传云端在完全看不到明文内容的情况下完成CNN分类最后把加密的分类结果返回给你由你本地解密。对算法工程师来说它的价值在于把“明文训练、密文推理”这条路径变成可落地的工程方案而不是停留在论文里。2. 为什么卷积神经网络能藏在密文里加法、乘法和平方激活的拼图2.1 同态加密只认识加减乘卷积和池化恰好是加减乘同态加密里最接近工程可用的是CKKS方案它允许在密文上直接做浮点数加法和乘法而且结果解密后等于明文做同样运算的结果。这个特性与CNN的计算结构高度吻合卷积层本质上是“乘累加”即每个输出像素是邻域像素与卷积核系数的乘积之和平均池化本质上是“加权和”也就是把几个像素加起来再乘一个固定系数。这两类操作在CKKS下都能直接用密文加法、密文与明文标量乘法实现不需要额外引入近似。所以一个直觉上的判断是只要把网络里的非线性部分处理掉整条CNN推理链路都可以在密文上串起来。云端手里只有噪声一样的密文张量既看不到单个像素也推断不出原始图像内容但它能正确执行卷积和池化把分类所需的信息一层层传递下去。2.2 ReLU不敢进密文平方激活成了CNN的替代品CNN里真正让同态加密头疼的是ReLU和Softmax。ReLU本质上是“和0比较后取较大值”这个比较操作在同态密文里代价极高通常需要深电路或者复杂的多项式近似。Softmax里带有指数和对数在密文上做更是灾难噪声和深度预算都扛不住。工程上的常见做法是把ReLU替换成平方函数。平方激活在明文上是一次密文自乘代价小而且梯度简单网络依然能训练。代价是网络的非线性表达能力略有下降分类精度相比同结构ReLU网络会掉几个点但在小规模图像分类任务上通常可控。Softmax则干脆不做训练时用CrossEntropyLoss直接吃logits推理时直接比较密文解密后的logits大小省掉指数运算。这里有一个必须强调的要点替换激活函数之后网络必须重新训练而不是把训练好的ReLU模型权重直接搬过来用。很多第一次尝试的人在这里翻车后面避坑章节会细说。2.3 三条工程路线明文训练-密文推理、蒸馏折半网络、全流程密文加密图像分类的落地路线并不是只有一条我梳理成三档路线做法优点代价明文训练-密文推理明文环境训练CNN推理阶段把图像加密上传云云端在密文上跑前向训练无约束、成熟稳定是本方案主线推理网络结构必须同态友好深度受噪声预算限制蒸馏探路用一个大的明文教师网络蒸馏出小规模、平方激活的密文可用学生网络精度更接近大模型推理深度可控需要额外做蒸馏流程工程链路变长全流程加密训练云端直接在密文上更新梯度隐私保护覆盖训练和推理目前算力开销不可接受仅适合小型原型我给大多数业务场景的建议是第一档明文侧随便用大数据集训练上线部署时把模型换成同态友好结构并做一次微调。这样既保住训练阶段的精度又把上线阶段的隐私风险控制住。3. 用Python与TenSEAL把加密图像分类跑起来从明文CNN到密文CNN3.1 环境准备torch与tenseal是最小依赖我在原型阶段最常用的组合是PyTorch负责明文CNN训练TenSEAL负责CKKS加密和密文推理。TenSEAL是Python里封装比较完整的一个同态加密库提供了CKKS上下文、密文向量和密文张量的基本算子适合快速验证加密分类链路。python -m venv he_env source he_env/bin/activate pip install torch torchvision tenseal这段命令创建虚拟环境并安装两个核心依赖。建议用Python 3.8到3.10之间的版本tenseal对过新的Python版本支持往往滞后遇到安装失败先检查Python版本。torch版本不必追最新2.x即可。如果只用CPU推理torch的CPU版就够密文推理阶段本来也用不到GPU。3.2 第一步训练一个同态友好的CNN并导出权重为了让密文推理能逐层对齐明文CNN必须限制成“卷积平方激活”结构不要有ReLU、BatchNorm的均值方差归一化、也不要Softmax。下面这个模型以MNIST单通道28x28图像为例两个卷积层之间用平方激活最后用全局平均池化得到每类logits。import torch import torch.nn as nn import torch.nn.functional as F class HomomorphicCNN(nn.Module): def __init__(self, num_classes10): super().__init__() self.conv1 nn.Conv2d(1, 8, 3, padding1) self.conv2 nn.Conv2d(8, num_classes, 3, padding1) def forward(self, x): x self.conv1(x) x torch.square(x) x self.conv2(x) x torch.square(x) x x.mean(dim(2, 3)) return x模型结构说明输入1x28x28的灰度图conv1输出8个通道平方激活后在28x28空间上保持尺寸不变conv2把8个通道映射到10个类别通道再做一次平方最后在空间维度上做全局平均得到10个logits。没有中间池化层是为了减少密文推理时的空间尺寸切换也让旋转实现卷积的边界逻辑更容易对齐。训练循环就是标准PyTorch训练损失函数用CrossEntropyLoss输入输出都是明文。训练完后导出权重后续密文阶段直接读这些权重。model HomomorphicCNN() # 训练代码省略标准交叉熵训练 # 导出state_dict为numpy便于密文推理直接使用 state model.state_dict() weights { conv1.weight: state[conv1.weight].numpy(), conv1.bias: state[conv1.bias].numpy(), conv2.weight: state[conv2.weight].numpy(), conv2.bias: state[conv2.bias].numpy(), }导出的是conv1的(8,1,3,3)权重、conv2的(10,8,3,3)权重以及对应偏置。注意这里必须是训练完成后新模型的权重不能用普通ReLU模型再改结构否则精度对不上。3.3 第二步创建CKKS上下文并加密单张图像CKKS上下文是密文推理的“运载火箭”它决定了密文能算多深、能打包多少数据。下面的配置把一个MNIST图像展平后加密进一个密文向量。import tenseal as ts import numpy as np def create_ckks_context(): context ts.context( ts.SCHEME_TYPE.CKKS, poly_modulus_degree16384, coeff_mod_bit_sizes[60, 40, 40, 40, 60] ) context.global_scale 2 ** 40 context.generate_galois_keys() return context def encrypt_image(context, img_tensor): img img_tensor.numpy().astype(np.float64) img (img - 0.1307) / 0.3081 flat img.flatten().tolist() enc_vec ts.ckks_vector(context, flat) return enc_vecpoly_modulus_degree决定了一次能打包的slot数量16384对应8192个浮点slot单个MNIST图只占784个slot剩余空间以后可以塞其他图片做打包。coeff_mod_bit_sizes里的四个40对应四次密文乘法的深度预算正好覆盖本网络显式的4次乘法两层卷积、两次平方激活。global_scale用2的40次方保证密文乘法后数值精度不因缩放而崩塌。3.4 第三步在密文上完成卷积、池化和平方激活密文卷积用旋转实现卷积核3x3的每一个位置等价于把输入特征图整体平移一个偏移量后与对应系数相乘并累加。对密文调用rotate方法即可完成同态移位。def enc_conv2d(enc_channels, weight, bias, W28, kernel3): in_channels weight.shape[1] out_channels weight.shape[0] outputs [] for oc in range(out_channels): acc None for ic in range(in_channels): for kh in range(kernel): for kw in range(kernel): shift (kh - 1) * W (kw - 1) rotated enc_channels[ic].rotate(shift) term rotated * float(weight[oc, ic, kh, kw]) acc term if acc is None else acc term outputs.append(acc float(bias[oc])) return outputs def enc_square(enc_vec): return enc_vec * enc_vec def enc_global_avg_pool(enc_vec, length): ones [1.0] * length return enc_vec.dot(ones) / length这段代码把卷积层变成“9次旋转、9次密文乘明文标量、9次密文累加”。shift计算里kh减1和kw减1是为了把核中心对齐到当前像素。enc_square是平方激活直接在密文上做一次自乘。全局平均池化用全1明文向量与密文做点积再除以长度等价于所有像素求和取平均。边界问题是这段代码最大的简化点rotate是循环移位图像边缘的像素会卷到对面去。完整实现里必须针对每个shift生成一个明文mask先乘mask再乘权重把跨边界的非法位置清零。演示代码省略了mask所以密文结果与明文模型在边缘位置会有偏差后面避坑章节专门说。主推理流程把两层卷积和两个平方激活串起来context create_ckks_context() enc_img encrypt_image(context, sample_img) enc_x enc_conv2d([enc_img], weights[conv1.weight], weights[conv1.bias]) enc_x [enc_square(v) for v in enc_x] enc_logits enc_conv2d(enc_x, weights[conv2.weight], weights[conv2.bias]) enc_logits [enc_square(v) for v in enc_logits] cipher_logits [enc_global_avg_pool(v, 28 * 28).decrypt() for v in enc_logits]每一层的输入输出始终是长度为784的密文向量列表通道数从1变8再变10。执行到这里云端的推理过程已经结束密文logits被解密回明文得到10个浮点数。3.5 第四步解密分类结果并与明文结果对齐解密后的logits直接比较大小取最大下标就是分类结果。为了确认密文推理没有跑偏我习惯把同一张图在明文模型上也forward一次对比两者预测类别和logits分布。def predict_from_logits(logits): return int(np.argmax(logits)) def compare_plain_cipher(plain_logits, cipher_logits): plain_pred predict_from_logits(plain_logits) cipher_pred predict_from_logits(cipher_logits) diff np.max(np.abs(plain_logits - cipher_logits)) return plain_pred, cipher_pred, diff这里plain_logits是明文模型输出的10个浮点值cipher_logits是上面解密得到的10个浮点值。diff能反映密文推理的数值误差误差在1e-2量级时分类通常仍然正确如果diff到了1或者更大基本可以判断是深度预算或边界处理出了问题。4. 参数与性能边界poly_modulus_degree、打包策略与推理代价怎么权衡4.1 一张参数表把CKKS关键配置对齐到网络深度CKKS参数不能照抄必须按网络的实际乘法深度来配。下面是我每次动手前都会过一遍的对照表参数作用我的起点值调大影响调小影响poly_modulus_degree决定slot数量和最大模数16384slot变多、速度变慢slot变少、装不下大图coeff_mod_bit_sizes决定可承受的乘法深度[60,40,40,40,60]深度更深、密文更大深度不够、解密出噪声global_scale控制浮点精度与噪声预算2**40精度更高、噪声消耗快精度下降、数值误差大密文打包数一个密文里塞几张图1并行度更高、串扰风险增加更安全、带宽浪费关键判断点在于算出网络的显式乘法次数。本网络两层卷积加两次平方共4次乘法所以coeff_mod_bit_sizes里给了4个40。如果你的网络只有3次乘法可以把参数缩成[60,40,40,60]如果有5次乘法就用16384甚至32768的degree否则ctx创建时就会因为模数总位数超限而报错。4.2 图像打包单张密文和多张共享一条密文的取舍一个poly_modulus_degree16384的CKKS上下文有8192个slot而28x28的MNIST图展平只有784个slot直接加密浪费了大半空间。实际系统中更常见的做法是batch打包把多张图按通道或按像素位置塞进同一条密文让一次密文乘法同时处理多条数据。打包的核心是slot布局要跟卷积的rotate操作对齐。举例来说如果一条密文里连续放了4张图的784个像素那么rotate一个偏移量会把上一张图的像素卷到下一张图的位置造成跨图串扰。解决思路是按图像维度分块排布并在每张图之间留保护带或者用mask把非法slot清零。打包能显著降低上传带宽和总推理时间代价是mask设计和边界检查更繁琐。建议第一版先单图一条密文跑通后再做多图打包。4.3 性能预期毫秒级明文推理与分钟级密文推理的真实差距明文CNN在CPU上跑MNIST单张图在毫秒级而密文推理单张图通常要几十秒甚至更久主要时间花在两方面一是每层卷积对每个输出通道要做九次rotate和九次密文乘明文密文乘法的开销远大于明文二是CKKS每次乘法后要rescaling控制噪声这个步骤也会消耗算力。云端如果用单核CPU跑整体等待时间会非常明显。所以加密图像分类并不适合所有实时场景。它最合适的落点是离线的、批量化的敏感图像分析比如夜间批量筛查医疗影像、森林巡检图像的分批分类。这类场景对单张响应时间不敏感但对数据隐私有硬性要求。想降延迟优先考虑多线程并行跑多张图而不是指望单条密文算得更快。5. 避坑密文CNN最容易翻车的五个位置5.1 明文模型精度97%密文推理精度却掉到50%现象同一个测试集明文模型分类准确率在97%左右密文推理却接近随机猜测。 原因直接把ReLU模型换成了平方激活但没有重新训练。平方激活的拟合能力与ReLU不同旧权重在输入分布上完全不匹配。 解决用替换激活后的HomomorphicCNN从头训练并先在明文侧验证平方激活版本的准确率。如果这个明文版本本身就掉到90%以下不要急着上密文先加宽卷积层或调整学习率把明文基线提起来。5.2 边缘像素被循环移位卷回密文logits在边界上错乱现象单张图密文推理的diff值很大中央区域分类基本正常但图像旋转后错判率升高。 原因rotate在CKKS里就是循环移位图像最右边一列会卷到最左边上边一行会卷到下边。卷积核扫描到边缘时邻域里混入了本不应该出现的远端像素。 解决对每个卷积核偏移量生成一张与特征图等长的明文mask合法位置标1、越界位置标0把rotate后的密文先乘mask再乘权重。这个mask在明文侧预计算推理时只多一次密文与明文向量的逐元素乘法开销可控。5.3 coeff_mod_bit_sizes配置不够推理跑到中间层解密就崩现象前两层密文推理正常第三层开始解密出来的数值变成随机大数。 原因CKKS的乘法深度预算不足。每做一次密文乘法噪声预算会消耗一个等级超过预算后后续乘法结果完全失真。 解决核对模型里的显式乘法次数把coeff_mod_bit_sizes里的40数量对齐到乘法深度。宁可多配一个level也不要少配多出的深度不影响正确性只是密文变大、速度变慢。如果总位数超过poly_modulus_degree允许的上限就把degree升到16384或32768。5.4 在密文上强行做Softmax解密结果全变成同一个类现象logits解密后数值相差很小甚至全部接近同一个值argmax总是固定一类。 原因Softmax里的指数运算在CKKS上要用高次多项式近似深度和噪声消耗都极大而且数值范围压缩严重最终把logits差异全部抹平。 解决训练和推理都别碰Softmax。训练用nn.CrossEntropyLoss直接吃logits推理直接比较解密后的logits。如果业务上必须输出概率也在客户端解密后补一道softmax不放在云端。5.5 以为租个便宜GPU云端就能加速结果密文推理反而更慢现象把密文推理搬到GPU上总耗时比CPU单机更差。 原因同态加密的主流开源库底层核心运算和密钥切换是针对CPU指令集优化的GPU上的实现要么没有要么需要额外拷贝开销。把密文张量从CPU搬到GPU的传输成本可能比密文运算本身还要高。 解决第一版就用CPU多线程跑把一张图拆成多个通道并行处理或者多张图并行比盲目上GPU更有效。如果未来对延迟有硬需求再考虑专用同态加密加速硬件或FPGA方案而不是普通云端显卡。6. 验证与进阶密文分类一致性怎么测以及值得继续投入的方向密文分类系统上线前建议用三类指标验证密文与明文的一致性。第一是Top-1类别一致率最直接反映业务可用性第二是logits的Spearman相关系数看排序是否接近这比只看正确类别更严格第三是logits数值最大绝对误差用来排查具体哪一层产生了异常偏差。from scipy.stats import spearmanr def validate_cipher_system(plain_logits_batch, cipher_logits_batch): plain_preds [int(np.argmax(p)) for p in plain_logits_batch] cipher_preds [int(np.argmax(c)) for c in cipher_logits_batch] top1_match sum(a b for a, b in zip(plain_preds, cipher_preds)) / len(plain_preds) rho spearmanr(plain_logits_batch, cipher_logits_batch).statistic return top1_match, rho如果Top-1一致率在测试集上低于95%先查是不是深度预算不够其次查卷积边界mask是否完整最后再看score是否过大。这三步走完大多数问题都能定位到具体层。值得继续投入的方向有两个。一个是多图打包把前面提到的slot浪费补回来用一次密文乘法同时处理多张图像吞吐量能提升好几倍。另一个是知识蒸馏用一个表达能力强的明文大模型蒸出“平方激活小模型”把密文推理的深度和宽度控制在预算内同时尽量保住精度。这两个方向叠加加密图像分类就能从演示走向小规模生产。我自己第一次跑通这个系统时被一个低级错误卡了整整两天明文网络里明明做了平均池化密文侧却忘了实现同一步导致特征图尺寸错位解密出来的logits怎么看都不对。从那以后我养成了一个习惯先逐层对比明文和密文的中间结果再对比最终分类而不是只看最后的准确率。希望帮到你。本文还有配套的精品资源点击获取