例

2-服务器 PIR

• 客户选随机子集 $S\subseteq[N]$，发 $S$ 给服务器 1、$S\triangle\{i\}$（对称差）给服务器 2。
• 各服务器回所选项的异或 $\bigoplus_{j\in S}D_j$。
• 两回复异或 = $D_i$（其余项成对抵消）。 :::

每台服务器只看到一个近均匀随机子集，对 $i$ 零信息。通信 $O(N)$ 比特（用平方根分块可降到 $O(\sqrt N)$）。代价：需要不共谋的多副本。

2. 单服务器计算 PIR（基于 LWE）

用同态加密把"选择向量"加密后交给服务器计算，服务器看不到明文选择。

思路（线性同态 PIR）

• 客户加密选择向量 $\mathrm{Enc}(\mathbf{e}_i)$（密文里第 $i$ 位是加密的 1，其余是加密的 0）发给服务器。
• 服务器在密文上计算 $\sum_j \mathrm{Enc}(e_{i,j})\cdot D_j = \mathrm{Enc}(D_i)$（线性同态）。
• 回传单个密文，客户解密得 $D_i$。 :::

🔎 由 LWE 的加法同态支撑：密文相加 = 明文相加。把数据库视为矩阵 $D$，则一次 PIR ≈ 密文向量与 $D$ 的矩阵-向量乘，服务器对 $\mathbf{e}_i$ 由 LWE 不可区分而无从得知 $i$。 ⚠️ 朴素方案上传选择向量本身就是 $O(N)$ 密文。降通信的关键技巧：递归/平方根分块（把 $D$ 视作 $\sqrt N\times\sqrt N$ 矩阵，只需 $O(\sqrt N)$ 上传），以及现代方案（SimplePIR/DoublePIR）用预处理 + LWE 把在线通信压到亚线性。

3. 工程视角

• PIR 是"隐私优先检索"的核心：私有 DNS、不泄露查询词的搜索、隐私广告匹配、凭证撤销查询（CT/OCSP 隐私）。
• 单服务器计算 PIR 部署最现实（无需多方不共谋假设），但服务器需对整库做线性扫描 → 计算成本高，靠预处理摊销。
• 与 ORAM（L20）区别：PIR 是只读、公开库、隐藏查询；ORAM 隐藏对自有私有存储的读写访问模式。

4. 私有信息检索小结

• PIR：隐藏查询索引，通信 $\ll N$。
• 信息论 PIR 需多服务器（不共谋）；单服务器必须靠计算假设。
• 计算 PIR 用（LWE）同态：加密选择向量 → 服务器密文内积 → 回单密文。
• 难点在通信与服务器计算的平衡，现代方案靠预处理。

PIR 只给出查询隐私，不等于系统匿名；网络标识、时间和响应大小仍需由其他机制处理。