同态加密 (Homomorphic Encryption) 概念与前沿

教程导读：沿密码学演化史学同态加密

最初，密码学只关心一件事：把数据锁起来，运输和存储时别人看不见。想计算？先解密。这个默认设定统治了整个领域几十年，直到有人认真地问了一句——密文为什么不能直接算？这句疑问催生了一个绵延至今的研究纲领：同态加密（Homomorphic Encryption, HE）。它允许服务器在完全看不到明文的前提下对数据做加法、乘法，乃至任意函数的计算，算完的密文交还持有密钥的人解密，结果与明文计算严格一致。

本教程不按"概念、方案、应用"的百科顺序铺陈，而是沿着这条技术自身的演化主线推进：从 RSA 里被顺手发现的乘法同态，到 Paillier 的加法同态，再到 Gentry 在博士论文中用"靴子技术"（bootstrapping，自举）凿穿噪声之墙，随后是 BGV、BFV、GSW、CKKS、TFHE 一代代方案的迭代，最后落到硬件加速、后量子迁移与标准化这些正在发生的事。每一章回答一个时代的问题，每一节都带具体参数、可运行的代码骨架或完整的算例。

图：同态加密全册知识地图——一条演化主线

这部教程适合谁

读者画像很明确：你需要对密码学有基本概念（知道公钥、私钥、模运算），最好写过一些 Python，但不要求懂抽象代数——用到群、环、格的地方，我们都会从历史动机讲起，先说"当年为什么被逼到这一步"，再给定义。安全和隐私方向的工程师、要做隐私计算选型的架构师、以及想进入这个领域的研究生，都能各取所需：前两章给思想史和数学地基，中间两章给方案与工程细节，后两章给落地算例与前沿地图。

主线怎么读

六章就是六个时代。第一章回到一九七八年，看 Rivest、Adleman 和 Dertouzos 在一篇关于数据库隐私的论文里提出构想，而答案早就藏在同年的 RSA 里——乘法同态是那套公钥体制的副产物，却在几十年里无人问津；Paillier 补上了加法这一半。第二章进入破冰时刻：理解为什么"噪声"是所有方案的心病，Gentry 又如何让密文在同态域里给自己解密。第三章是方案大爆发的年代，BGV 用模交换摆脱了逐门自举，BFV 让明文变成整齐的整数，GSW 换了矩阵密文的乘法方式，CKKS 为浮点与机器学习开了近似计算的门，TFHE 把布尔电路的自举压到毫秒量级。第四章把镜头拉回工程：噪声预算怎么花、密文为什么膨胀几万倍、参数怎么定才安全、RNS 和 NTT 在优化什么。第五章用完整算例讲落地——隐私求交、加密神经网络推理、跨医院联合统计。第六章看正在发生的硬件竞赛、后量子定位、标准化进程与工具生态。

我们的主张

写教程也是做判断。本册有三个反复出现的主张，先亮出来：其一，同态加密的历史是"约束驱动的发明史"，每个方案都是对上一代瓶颈的精确回应，脱离历史只背方案名是学不会选型的；其二，工程参数（多项式模数维度、明文模数、缩放因子、噪声预算）才是理解这门技术的钥匙，所以每一节都给具体数字；其三，它不是隐私计算的银弹，与安全多方计算、差分隐私、可信执行环境各有所长，第六章会用对比矩阵把边界画清楚。

读法上，第一章到第四章顺序读，第五章的算例可以按需跳读，第六章适合通读一遍建立地图感。每章支柱页列出可考核的知识点清单，读完不妨自测；附录备有参数速查表与常见问题排错，可当工具页反复查。

怎么检验自己学到位了

教程不配习题集，但每章的"读完你应该"清单就是考卷。建议的自测节奏是三遍读法：第一遍通读，只追演化主线，能复述每个时代解决什么问题即算过关；第二遍精读中间两章，手里开着代码环境，把 RSA 算例、Paillier 算例、近似方案的精度账亲手算一遍——数字过手才算知识，过眼只是见闻；第三遍带着自己的项目来读，对着第三章的选型矩阵与第四章的成本表，给自己的负载写一份方案评审意见。附录的排错速查表在第三遍时最有用，它的每一条都对应一个真实踩坑场景。

三类读者的最短路径也可以给出：算法研究者的重点在第二章与第三章（数学地基与方案谱系是论文的共同语言）；工程落地者的重点在第四章与第五章（成本表与算例直接进入设计文档）；技术管理者的重点在导读、第二章时间线与第六章（判断投入时机与风险边界足够用，不必陷入推导）。无论哪条路径，遇到术语卡壳时回附录的术语速查，那里的一句话定义都标了首次出现的章节，可以顺藤摸瓜回原文。

关于引文与出处的说明：本册为教程文体，正文不附参考文献列表，涉及论文与事件均以"某年、某团队、某成果"的方式内嵌叙述（如 Gentry 的博士论文、二零二零年的近似方案解密误用事件），读者可按这些线索检索原文。所有性能数字均为量级示意并注明口径——同态加密的性能高度依赖参数与硬件，抄数字前请先抄口径。