There is this thing: I first sign some documents, then I will be in a long-term commitment. At the beginning, I do not know where this thing will take me in the future, how long it will last exactly, or what will be the ending.

Yes, this thing can be my marriage, or… my PhD ;)

上周签了contract，PhD申请的剧本终于可算是演完了，回头看看这剧情也是真的挺drama的。 如果有做cybersecurity相关的朋友，也希望我的ups and downs可以帮各位避个坑啥的。 先写一下怎么从不想读博到想读博，之后是申请的准备和过程，最后是选offer的drama。 Cybersecurity的项目不多，主要对比一下CISPA、ETHZ、EPFL这三个在欧洲的项目，写一写在ETHZ和EPFL的经历。

不过PhD申请这事儿真的跟结婚一样，个体差异实在是太大了：有的人happily live ever after，有的人被折磨了一辈子也不肯放手。Anyway, please do not take my story too seriously ;)

How the Story Began

我本科是学通信的，2019年秋天来ETHZ读Electrical Engineering的硕士。当时决定继续读硕士是觉得我的好奇心还在，还想学；之所以出国是觉得还是趁着年轻要玩就玩个大的，离家远一点。不过真没细想读博的事儿，因为我觉得成本这么大的事儿，肯定是要有拍着胸脯说“I love it”的那种真爱才行。那时候要是问我：喜不喜欢通信？我也答不太出来。要是说不喜欢也没有，就…还行吧；要说喜欢，那喜欢做哪个方向，也真说不上来。就跟谈恋爱一样，说“要不就结婚吧”那心里还是打退堂鼓，说“那就别谈了”又舍不得。反正各位懂吧，就有点凑活、差不多、还行，就这种感觉。

学习和谈恋爱其实真的差不多：虽然大家嘴上都说soul mate什么的太难找了差不多得了，但是实际上我是没见过谁真就一点不想找的。找career passion和找soul mate差不多吧我觉得，都是所谓“能找到是福气，找不到运气正常，也没啥好难过的”。但是实际上大家都是表面上说“哎呀折腾不起了，找个能过日子的就得了”，实际上心里都暗戳戳憋着一股劲想找the one。

我当时觉得来都来了，那就各个方向都试试，找找自己真正想做的到底是啥，读完硕士还没找到的话，那就工作，好歹养活自己就行了。ETHZ的硕士项目在这一点上是很有优势的，基本上等于“只要你tutor不难为你，全校的课任你挑”，所以真的是给了很多自由。而且欧洲的硕士项目基本上时间都在两年及以上，时间上也不是太紧张。只要不是非要“30岁以前走上人生巅峰”，花个两三年时间探索一下不亏啊，咱总不能搞一辈子自己说不上爱也说不上不爱的事儿，是吧？

A Hard Landing

前两个学期我基本上把想试的方向都试了一下，简单总结一下：

  • Statistics and Optimization: not my thing
  • Communication Networks: not my thing
  • Computer Architecture: not my thing
  • Distributed Computing: not my thing

估计各位透过屏幕都能感受到我当时的绝望。这几个方向我都上过至少一门课，也不是说有多不喜欢，但就是非常明确：绝对不是爱。就是学也能凑活学，但是也学得不咋好，没有passion。举个例子，我第二个学期做一个跟network相关的semester project，试了各种各样的方法，一直没有做出很好的结果。那个感觉就像是数学里有一些非常美的theorem，不知真伪。因为它太美了，如果能证明是真的，那就可以衍生出很多很漂亮的结果。但是尝试用各种方法证明，都行不通，最后特别失望得发现这个theorem，尽管特别特别美，可能真的就是错的。一开始越觉得它美，投入得越多，最后就会越难过。那段时间虽然表面上没事，但是心里其实天天都在哭，每天跑步的时候我最开心，因为觉得流了很多汗就像把心里的泪都哭出来了，能轻快一点点。

每个学期开始我都约着跟tutor A见个面聊选课的建议什么的，我跟A描述心里的挣扎：要是选通信方面的课，毕竟之前学过，可能更轻松也更舒服一点，要是最后决定走这个老路，继续读或者工作都会比较稳；可又有点不甘心，总觉得有点凑活的意思，没有love&passion，凑活着做一辈子真的会很痛苦吧，还是想试试其他方向，但是学得很辛苦一直感觉在撞墙。A鼓励我：

As a professor, I don't really care about the scores when selecting my PhD students. Of course, it is always good to have a beautiful transcript. But no need to stay in your comfort zone just for that. Give yourself one more semester, take your time and let's see what will happen.

这鸡汤是挺好喝的，大家也都说“Finding what does not work is also good progress”，但是谁都想要个正反馈不是？不过不管怎么样，最后我还是决定再试试。也真的是没有别的办法，说不上什么坚持，纯粹就是挺着。

Back to Square One

读过一年以后，也不能说是啥变化都没有：心态好了很多，该承认不行，就承认真的是不行。还是一样，该对自己下狠手就下狠手，但是结果不好也就接受，然后没有废话就move on就完事了。只要做的时候尽了全力，之后完全不会后悔就可以了。 第二个学期修了一门跟安全相关的课，其实也没觉得有多有感觉，但是somehow觉得可以再试一试，第三个学期就选了很多安全相关的课。这几个课每个都有一两个project，做project的时候那个chemistry就慢慢感觉到了，就觉得：诶？好像有点来电 ;)

上课的时候做project是很开心的，然后lecture的互动和体验都不错，第四个学期选第二个semester project的时候就做了一个跟飞行器通信安全相关的。安全方向的semester project除了ETHZ Institute of Information Security下属的五个lab之外，其实还有一些政府或者企业跟他们合作的项目是开放给学生申请的。但是这些项目的信息基本上都不在官网上，写邮件直接去问会得到更准确和实时的信息。比如我当时是给其中一个lab的PhD写了邮件，因为看到他有开放的项目，方向也很感兴趣，但是他回我说那个项目已经有人选了，但是他给我推荐给了另一个项目，说我可以去看看，根据我的描述，应该也很match。结果我就真的去做了他推荐的那个项目，遇到了很棒的同事，做的很开心。所以各位要是遇到心仪的项目，别等，该发邮件问就赶紧问。

这个时候已经是2021年6月了，在苏黎世两年兜兜转转，终于是找到了可能是我有love&passion的方向。当时心里是有点忐忑的：怕做了一段时间又发现不行，那我的时间就很有紧张了，再去尝试新的方向我自己都不知道还有啥方向能做的；但是确实也是有点儿期待的，心里是有砰砰跳那种感觉的，直觉上觉得说不定就是它了。你看，我说了吧，就跟谈恋爱很像啊 ;)

As always, life changes at the most unexpected moments. 2021年7月我把手头的项目做完开始找master thesis project的时候，想离开苏黎世换个环境。To run away from Zurich，我开始找external thesis。那时候申请project已经很晚了，我没报太大希望，能找到就算，找不到的话就是老天非要把我按在苏黎世那我也真是没辙。 结果我发现因为EPFL和ETHZ都是ETH domain的，所以它们之间的交换手续特别简便，而且看了一眼EPFL的一些lab，我的天竟然还很match。我选了三个lab中的五个project发邮件，有三个一周之内就给我回了，SPRING Lab第二周就安排了面试，面试完三天就说OK可以来做。说实话这个速度我是贼震惊的。2021年9月开始，我就去了洛桑，thesis做的项目之前写过一些了，反正就是越做越喜欢: I can feel the chemistry and I have the confidence to say “I love this!”. 所以就决定继续读博，做system security&privacy。

The Application

Cybersecurity虽然是Computer Science，但是跟ML/DL/AI这种热门领域是没法比的，职位少挣的少所以做的人也少(which, I think, is not necessarily a bad thing: less money = less hype)。好处就是phd项目也少，基本就两条路：欧洲或者美国。考虑到签证问题，我个人申请美国的风险太大，所以其实对我来讲就欧洲这一条路。不过security领域还挺神奇的，欧洲的学校确实有非常值得去的lab(of course this is a non-exhaustive list):

  • Austria: Graz University of Technology, TU Wien
  • Belgium: KU Leuven
  • Britain: Royal Holloway University of London, UCL
  • Germany: CISPA, Max Planck Society, Ruhr-University Bochum, TU Darmstadt
  • Netherland: Radboud University, VU Amsterdam
  • Spain: IMDEA Software Institute
  • Switzerland: EPFL, ETHZ

我个人在查cybersecurity phd program的时候的感受是：首先，不是所有“好”学校都有“好”lab，当然这个“好”也是每个人有自己的标准，比如Oxford、Cambridge我就直接没有放到list里；其次，不一定非要找university，一些research institute我根本以前就没听说过，查了才知道，比如CISPA、IMDEA Software Institute；还有，每个lab的方向、professor的学术活跃程度、lab culture这些对于phd application很重要的信息，如果没在这个lab做过project，基本上看不出来，盲选基本等于买彩票。

phd program能考虑的点实在太多了：学术水平、城市环境、签证政策、工作机会、能不能有球踢、能不能有舞跳、人好不好玩、有没有好吃的、方言是不是太难学了之类的。每个人在意的点不一样所以真的没有所谓“统一标准”，反正最后打碎了牙都是往自己肚子里咽，所以就想明白自己要啥、不要啥，选了以后不后悔就OK。我只能根据我自己的经历，主要说一下CISPA、EPFL、ETHZ这三个。

CISPA是Helmholtz Association下面专门做cybersecurity的research center。从研究方向来讲，CISPA比EPFL、ETHZ都要全，基本上security的各个方面都有人做，而且全年招人。德国政府在cybersecurity砸钱砸的挺狠的，CISPA的research funding充足，所以researcher待遇很好，phd 50k+，这个工资在欧洲横向比算是非常好了。CISPA跟Stanford有合作的postdoc项目，如果各位想去美国也许可以考虑一下申请。

EPFL和ETHZ都是ETH Domain里面的，EPFL更年轻，ETHZ历史更久。EPFL的phd是committee制，有截止时间统一申请，ETHZ主要看professor什么时候放position。总体来讲EPFL的师生比更高一些，ETHZ的组比较大，但是当然lab culture和mentor style还是主要看professor本人。城市方面，苏黎世更fancy，洛桑更chill。ETHZ CS phd 70k+，EPFL CS phd 50k+。不过说实话没差多少，都能活得挺好的，扣除生活成本也基本攒不下来钱。如果对钱要求比较高，还是不要读phd了，ETHZ或者EPFL的CS master在瑞士随便找个工作基本100K+。跟德国相比，瑞士的签证限制特别多，非常烦，比如中国人bachelor+master+phd+postdoc加起来在瑞士不能超过8年，另外phd+postdoc在ETHZ+EPFL总共不能超过六年，这种hard line在申请之前就要考虑好，要不然之后会很麻烦。

Lessons Learned

We write to taste life twice, in the moment and in retrospect. ― Anais Nin

Any feeling is valid, just go with the flow.

自己的感受永远是最准的，喜欢就是喜欢，不喜欢就是不喜欢。做研究和谈恋爱是一样的，如果不知道自己喜欢还是不喜欢，那不用怀疑，就是不够喜欢。When we are in love, we will definitely know we are in love, because there is just no other possible reason for such a strong feeling. 当然，每个人自己都有权说“就到这里了，可以了”。如果自己觉得做这个方向也可以，那就是可以；如果还是想再找找real passion，那就再找找。We only live once.

Choices always hit us hard at the most unexpected moments. Sometimes, there is no "why" but "what".

三分天注定绝对是说少了，phd application这事儿，五五开吧我觉得：一半靠努力，一半靠运气。能不能开始读是一件事，能不能活着读下来是另一件事，读下来以后还能不能保持热爱，那可真是完全不相关的另另一件事。We will never feel ready for any of the life choice at that specific moment, still, life goes on.

Projects start and end, jobs come and go, people stay, always.

其实最后接offer的时候发生了之前没有想到的变化，要在两个里面选，先把能问的朋友和同事都问了问意见，然后列了个表pros&cons。我自己盯着那个表瞅了好久，然后…把它扔了。出去买了个pizza，坐在湖边的台子上，边吃边想: If I die in five years, which project I would like to do, where I would stay, whom I want to work with. The answer becomes super clear after that moment.

People matter the most. It is a privilege to do the things we love with people we like.

有一回跟B聊天，我问B: How did you built the support net during you PhD? The PhD journey seems to be almost impossible if people go through alone.

B跟我说: Our job is hard, and not everyone understands why it is so hard. People around are just as smart as we are and work as hard as we do, so the feeling “I am not that good” will always follow us. The opinions from our important ones matter. Find the people who can understand why you are doing what you are doing, they are the ones that will support you going through the darkest moments.

Special thanks to: C for the encouragement and for saving me twice during my emotional breakdown, D for the relentless support through my application, E&F for discussions and supports, G&H for helping me revising the writing things, I&J for the sincere advice, bro K for the calls, 老汪老何 for all the love along the way, as always.