例

$\sqrt N$ 方案要点

• 数据 + $\sqrt N$ 个"哑元（dummy）"块随机置乱（用伪随机置换）存放，外加一个 $\sqrt N$ 大小的 shelter（缓存区）。
• 每次访问：先线性扫描整个 shelter（隐藏目标是否在缓存中），再去主区取一个块——若目标已在 shelter，则去主区取一个未用过的哑元作掩护。取回的块写入 shelter。
• 每 $\sqrt N$ 次操作后，重新随机置乱整个结构（oblivious shuffle），清空 shelter。 :::

🔎 为何隐藏：每次对主区的访问看起来都是"取一个尚未访问过的随机置乱位置"，与逻辑目标无关；周期性重置防止访问历史累积泄露。摊销带宽 $O(\sqrt N)$。

3. Path ORAM（实用主流）

Path ORAM（二叉树 + 位置映射）

• 服务器存一棵二叉树，每个节点是一个能放若干块的 bucket；客户持一张 position map：每个块被随机指派到某条根到叶路径，块一定在该路径的某个 bucket 上。
• 读/写块 $a$：查 position map 得其叶 $\ell$ → 读回整条根到 $\ell$ 的路径（固定模式）→ 在本地 stash 中取出/更新块 $a$，并给 $a$ 重新随机指派一条新路径 → 把路径上的块尽量写回靠近各自目标叶的位置（其余暂存 stash）。 :::

🔎 为何隐藏：每次操作服务器只看到"读一条路径、写回一条路径"，而目标块每次访问后立即换到新随机路径 → 连续两次访问同一逻辑块对应互相独立的随机路径，物理模式与逻辑序列无关。带宽 $O(\log N)$ 路径 × bucket 容量。position map 自身较大时递归存成更小的 ORAM。

4. 工程视角

• 应用：加密云存储/数据库隐藏访问模式、可信执行环境（SGX）抗内存访问侧信道、隐私支付的钱包扫描、隐私搜索引擎。
• 与 PIR（L8）区别：PIR 隐藏对公开只读库的查询，通常不改服务器状态；ORAM 隐藏对自有私有可读写存储的访问模式。
• 成本现实：即使 Path ORAM，带宽放大仍是几十×—— 对延迟敏感系统是硬约束；常配合批处理、ORAM 友好的数据结构。
• 元数据即信息：很多"已加密就安全"的直觉错误，正是被访问模式/时序/大小这些元数据击穿——ORAM 是堵这个洞的工具。

5. Oblivious RAM 小结

• 加密不够，访问模式会泄露 → ORAM 让物理访问模式与逻辑操作不可区分。
• 平凡方案 $O(N)$；理论下界 $\Omega(\log N)$。
• Square-root ORAM：置乱 + shelter 扫描 + 周期重洗，摊销 $O(\sqrt N)$。
• Path ORAM：二叉树 + position map，每次读写一条路径并把目标块重指派到新随机路径，$O(\log N)$。

访问模式常与内容同样敏感；ORAM 的价值在于把“读了哪里”也纳入机密性边界。