同态求值的电路隐私

两张电路对本次输入算出相同的答案，客户端本应只知道这个答案及约定泄漏。如果结果密文长度、标签或可见噪声规模不同，客户端就可能辨认用了哪张电路。

CPA 关注没有私钥的观察者是否能区分不同消息。电路隐私关注拥有私钥的观察者是否能区分相同输出的不同计算。两种比较对象和权限都改变了。

一位标签就能分离两个安全目标 ​

从任意正确、紧致、CPA 安全的同态方案出发，在每个密文尾部加一位。新鲜加密时写0，解密忽略这一位；求值时把它设置为电路描述的某个公开可计算属性，例如“是否含有乘法门”。

取 $C_0(x)=x$ 与 $C_1(x)=x\cdot 1$，两者输出相同，但尾部标签分别为0和1。密文只增加一位，仍紧致；输入 CPA 安全也不受影响，因为标签只依赖求值电路，而不是秘密输入。但客户端无需私钥就能完美区分两张电路，因此式 (1) 失败。

即使格式没有显式标签，LWE 型密文的噪声也可能扮演标签。知道 $sk$ 和输出 $y$ 的客户端，可以计算解密相位再减去 $y$ 的编码，观察残差。一个原样返回输入的电路与一个额外执行许多门的等价电路，可能留下不同残差分布；正确解密并不排除这种信息。

噪声淹没的一个精确小模型 ​

只看一维整数残差：取整数 $B,M\ge 0$，求值后有未知整数偏移 $e\in [-B,B]\cap \mathbb{Z}$。再加入独立均匀整数

比较 $Z+e$ 与 $Z$。当 $|e|\le 2M+1$ 时，两份均匀分布支持区间重叠 $2M+1-|e|$ 个整数，其总变差距离公理库统计不可区分性Statistical indistinguishability · Information-theoretic indistinguishability两个分布族即使面对计算无界的判别器，其最优区分优势也随安全参数可忽略。恰为

例如 $B=3,M=100$ 时，每个合法偏移与标准模拟分布的距离至多 $3/201=1/67$；两个不同电路的残差分布之间由三角不等式得至多 $6/201$。这还只是百分之一级的误差，不能称作随安全参数可忽略。

若要保证 $2^{-40}$，就需要 $2M+1\ge B{2}^{40}$。同时若正确解密要求总残差绝对值小于阈值 $T$，还必须有 $M+B<T$。两条式子直接展示了隐私与正确性余量的张力。

在 $d$ 个独立均匀噪声坐标、偏移各不超过 $B$ 的模型中，逐坐标替换给出 $dB/(2M+1)$ 的上界；因此高维情况不能照搬一维误差预算。

这为什么还不是任意FHE的完整修复器 ​

式 (2) 只证明残差分布的平移平滑。完整密文还包含其他坐标；若这些坐标保留电路标签，或与噪声存在可见关联，只淹没一个残差仍不足以建立式 (1)。真正方案要同时控制整份密文分布，并证明随机化后依然正确。[1, Chapter 20]

同样，“加一份加密零”并不自动给电路隐私。如果其噪声只与原噪声同量级，支持形状仍可能不同。Paillier公理库Paillier 加法同态加密Paillier cryptosystem通过n次剩余类隐藏模n明文，用L函数恢复消息，并完整核算模225的加法同态、回绕与重随机化例子。对合法密文乘上独立随机零加密确实能恢复同一消息的新鲜分布，那是由其随机陪集结构单独证明的性质，不能外推给所有同态加密。

电路隐私用于隐藏服务器模型、私有函数或数据库中除答案以外的信息。但它允许输出 $C(x)$ 本身泄漏：客户端选择许多输入反复查询，可能从合法答案重建函数。式 (1) 不自动提供查询预算或差分隐私。

自举公理库同态自举刷新Bootstrapping for FHE把旧密文作为公开常量、旧私钥位作为新密钥下的密文，求值解密电路以刷新表示，并区分功能余量、独立密钥链和循环安全。控制可继续计算的噪声预算；它没有一般性地证明刷新密文与输出唯一决定的分布相同。把“刷新成功”当成“电路隐藏成功”，会遗漏模拟目标。

在私有信息检索公理库单服务器计算私有信息检索Computational private information retrieval · Single-server computational PIR用加密索引与公开查表电路构造单服务器计算PIR，证明查询隐私并分别核算通信、服务器工作和数据库隐私边界。里，普通查询隐私只保护客户端索引，允许返回值额外暴露数据库信息的方案仍可能满足该定义。若需要数据库隐私，应把客户端视图与仅给被选记录的理想接口比较；对恶意客户端，还要验证其查询是否合法，而非只给诚实查询的电路隐私。